Má zaměstnavatel povinnost oznámit Úřadu pro ochranu osobních údajů, že zpracovává tyto údaje v rámci své mzdové a personální agendy? Lze sdělovat výši platů zaměstnanců, vyžadují-li to například novináři s odkazem na zákon o svobodném přístupu k informacím? A jak lze nakládat s rodnými čísly?
Dozvíte se na dalších stránkách, připravených podle informací Úřadu pro ochranu osobních údajů.
ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ ZAMĚSTNANCŮ A OZNAMOVACÍ POVINNOST
Ze strany zaměstnavatelů je velmi často podáváno na Úřad pro ochranu osobních údajů oznámení o zpracování osobních údajů prováděné v rámci personální a mzdové agendy. Mnoho zaměstnavatelů se domnívá, že pro takové zpracování je nutné plnit oznamovací povinnost podle § 16 zákona č. 101/2000 Sb., o ochraně osobních údajů. Pro plnění oznamovací povinnosti zaměstnavatele (jako správce údajů) lze uvést následující:
Uzavřením pracovní smlouvy, dohody o provedení práce, dohody o pracovní činnosti vzniká pracovněprávní vztah mezi zaměstnancem a zaměstnavatelem. V důsledku toho dochází ke zpracování osobních údajů zaměstnanců zaměstnavatelem (například v rámci osobního spisu zaměstnance, který obsahuje pracovní smlouvu, platové výměry, doklady o vzdělání apod.). Tyto osobní údaje slouží pro zpracování výstupů v oblasti mzdové, daňové, důchodového, nemocenského a zdravotního pojištění.
K zákonům, které zaměstnavateli ukládají povinnost zpracovávat osobní údaje, patří například: - zákoník práce a příslušné mzdové či platové předpisy, - zákon o daních z příjmů, - zákon o veřejném zdravotním pojištění, - zákon o sociálním zabezpečení, - zákon o důchodovém pojištění. Zaměstnavateli tak vzniká zákonná povinnost provádět zpracování osobních údajů zaměstnanců nezbytná pro dodržení jeho právních povinností uložených zvláštními zákony.
Podle ustanovení § 18 odst. 1 písm. b) zákona o ochraně osobních údajů se oznamovací povinnost podle § 16 tohoto zákona nevztahuje na zpracování osobních údajů, které správci ukládá zvláštní zákon nebo je takových osobních údajů třeba k uplatnění práv a povinností vyplývajících ze zvláštního zákona. Na zpracovávání osobních údajů zaměstnanců v rámci sjednávání pracovního vztahu a dále při zpracování personální a mzdové agendy se tudíž vztahuje výjimka z oznamovací povinnosti podle citovaného ustanovení zákona.
Je však nutné zdůraznit, že absence oznamovací povinnosti nezbavuje zaměstnavatele ostatních povinností při zpracování osobních údajů, stanovených zákonem o ochraně osobních údajů.
INFORMACE O ZDRAVÍ ZAMĚSTNANCŮ
K častému nedorozumění dochází při zpracování „citlivých osobních údajů“ zaměstnanců. Někteří zaměstnavatelé se domnívají, že zpracovávají citlivé osobní údaje o zdravotním stavu zaměstnanců. Potvrzení lékaře nebo zdravotnického zařízení (například ze vstupní nebo preventivní lékařské prohlídky) o tom, zda pracovník je nebo není schopen vykonávat svoji práci, není citlivým údajem o zdravotním stavu ve smyslu § 4 písm. b) zákona o ochraně osobních údajů.
Citlivé osobní údaje o zdravotním stavu zaměstnanců (nad rámec informace, zda je pracovník schopen či nikoliv vykonávat svoji práci), je však oprávněn zpracovávat pouze smluvní závodní lékař, nikoliv ovšem zaměstnavatel.
Výjimkou může být případ zaměstnání zaměstnanců se změněnou pracovní schopností. V tomto případě vyplývají povinnosti zaměstnavatelů
související se zaměstnáváním zaměstnanců se zdravotním postižením ze zvláštních právních předpisů (zákon o zaměstnanosti, zákoník práce, prováděcí vyhláška k zákonu o sociálním zabezpečení. Ani v uvedených případech zpracování citlivých osobních údajů nenastává oznamovací povinnost podle § 16 zákona o ochraně osobních údajů.
V případě, že zaměstnavatel vyžaduje od svých zaměstnanců předložení výpisu z rejstříku trestů pro ověření způsobilosti pro výkon určitého zaměstnání v souladu s příslušným ustanovením zákoníku práce, není rovněž nutné plnit oznamovací povinnost.
Výpis z rejstříku trestů, který dokládá beztrestnost, není citlivý osobní údaj „odsouzení za trestný čin“ ve smyslu § 4 písm. b) zákona o ochraně osobních údajů.
ÚDAJE O NÁRODNOSTI ČI STÁTNÍ PŘÍSLUŠNOSTI
Cizím státním příslušníkům, kteří na území naší republiky dlouhodobě pobývají (většinou z pracovních důvodů), je vydáván průkaz o povolení k pobytu. V tomto dokladu, kterým cizinci prokazují svoji totožnost, je uveden také údaj o státní příslušnosti - nikoliv tedy citlivý osobní údaj o národnostním původu, který zaměstnavatelé často mylně od cizince vyžadují, přitom však takový údaj k žádnému zákonnému účelu zpracovávat nepotřebují.
Naopak informaci o státní příslušnosti potřebuje mít zaměstnavatel k dispozici, aby mohl plnit další povinnosti, které mu ukládají zvláštní zákony (například odvod pojistného za zaměstnance na všeobecné zdravotní pojištění; vedení evidence o zaměstnancích pro účely nemocenského pojištění a podobně).
Ani v tomto případě nedochází k oznamovací povinnosti, neboť je nutno aplikovat liberační ustanovení § 18 odst. 1 písm. b) zákona o ochraně osobních údajů.
PRAVIDLO PRO PERSONÁLNÍ A MZDOVOU AGENDU
Pokud zaměstnavatel zpracovává osobní údaje svých zaměstnanců pouze za účelem vedení personální a mzdové agendy pro dodržení jeho právních povinností uložených zvláštními zákony, nemusí plnit oznamovací povinnost podle § 16 zákona o ochraně osobních údajů. Oznamovací povinnost podle § 16 tohoto zákona se na zaměstnavatele vztahuje pouze v tom případě, že zpracovává osobní údaje svých zaměstnanců i pro jiné účely, než je mu uloženo zvláštními zákony.
POSKYTOVÁNÍ OSOBNÍCH ÚDAJŮ O ZAMĚSTNANCÍCH
Mezi informacemi, které občané požadují od orgánů veřejné správy, se často objevuje i požadavek na sdělení konkrétní částky, která byla vyplacena vedoucím pracovníkům, zejména na odměnách. Tento dotaz bývá vznášen s odvoláním na zákon č. 106/1999 Sb., o svobodném přístupu k informacím.
Zde je však třeba citovat § 2 odst. 3 zákona č. 106/1999 Sb., podle něhož se tento zákon nevztahuje na poskytování osobních údajů a informací podle zvláštního právního předpisu, a jako příklad je uveden zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen zákon o ochraně osobních údajů). Výkon funkce v zaměstnání je ale těsně spojen jak se jménem a příjmením pracovníka, tak s řadou jeho dalších osobních údajů. Je tedy třeba vymezit, na které z těchto údajů týkajících se pracovněprávního vztahu se vztahují omezení uložená zákonem o ochraně osobních údajů, a tím i vymezit vztah tohoto zákona k zákonu o svobodném přístupu k informacím.
Zákon o ochraně osobních údajů je jedním z řady právních předpisů, jejichž smyslem je ochránit soukromý a rodinný život občana. Tato skutečnost je stanovena v § 10 tohoto zákona, kde je uvedeno, že při zpracování osobních údajů dbá správce nebo zpracovatel, v tomto konkrétním případě zaměstnavatel, na ochranu před neoprávněným zasahováním do soukromého a rodinného života subjektu údajů, v tomto případě zaměstnance.
Znamená to, že zaměstnavatel má pro plnění svých úkolů právo, a pokud jde o sdělení informací podle zvláštního zákona (například č. 106/1999 Sb.), používat a případně i jiným osobám sdělovat ty osobní údaje zaměstnance, které se týkají výlučně jeho pracovních aktivit a zjevně nevypovídají o jeho soukromém životě, za podmínky, že zaměstnavatel dodrží všechny povinnosti, uložené mu tímto zvláštním zákonem (například zákoník práce). Zaměstnavatel tak může, pokud je to potřebné k plnění jeho úkolů a zvláštní zákon nestanoví jinak, bez souhlasu zaměstnance sdělit jeho jméno a příjmení, akademický titul, funkční zařazení, kontaktní údaje zaměstnance na jeho pracoviště (číslo telefonu, faxu, adresu elektronické pošty).
Jinak je tomu však, pokud jde o přesnou výši platu, mzdy a odměny. Finanční částka, kterou zaměstnanec při výplatě obdrží, je osobním údajem, jehož zveřejnění je třeba plně podřídit režimu zákona o ochraně osobních údajů. Vzhledem k tomu, že se na zveřejnění tohoto údaje nevztahuje žádná z výjimek podle § 5 odst. 2 písm. a - f) tohoto zákona, může zaměstnavatel zveřejnit výši platu, mzdy nebo odměny pouze se souhlasem zaměstnance. Může však bez souhlasu jednotlivých zaměstnanců zveřejnit např. informaci o celkové výši odměn vyplacených v organizaci nebo jejím úseku. Pokud z této informace není určitelné, jaké konkrétní částky byly vyplaceny jednotlivým pracovníkům, není tento údaj údajem osobním a zákon o ochraně osobních údajů se tak na něj samozřejmě nevztahuje.
Zaměstnavatel jako správce osobních údajů zaměstnance je tedy povinen chránit údaje týkající se jeho soukromí, nemůže však nesprávným výkladem zákona o ochraně osobních údajů zakrývat svoji neochotu poskytnout údaje, na které má veřejnost právo.
POSKYTNUTÍ OSOBNÍCH ÚDAJŮ KONTROLNÍMU ORGÁNU
Lze bez souhlasu zaměstnanců zpřístupnit jejich personálně mzdovou dokumentaci kontrolnímu orgánu v rámci kontroly odměňování prováděné podle zákona č. 552/1991 Sb., o státní kontrole, a zákona 320/2001 Sb., o finanční kontrole ve veřejné správě?
Podle ustanovení § 5 odst. 2 písm. a) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů, může správce zpracovávat osobní údaje bez souhlasu subjektu údajů, jestliže provádí zpracování nezbytné pro dodržení své právní povinnosti.
Úřad má zato, že tato povinnost při provádění kontroly je dostatečně založena ustanovením § 12 odst. 1 zákona o státní kontrole, podle kterého je povinností kontrolních pracovníků zjistit při kontrole skutečný stav věci a kontrolní zjištění prokázat doklady. Pro veřejnoprávní kontrolu, prováděnou na základě zákona o finanční kontrole, platí na základě § 13 odst. 1 toto ustanovení taktéž. Vzájemné vztahy mezi kontrolními orgány a kontrolovanými osobami se řídí částí třetí zákona o státní kontrole.
K naplnění této povinnosti disponují kontrolní orgány oprávněné kontrolovat širokými oprávněními v oblasti přístupu k údajům, informacím či dokumentům kontrolovaného subjektu. K tomu je nutno dodat, že i kontrolní orgány mají postavení správce osobních údajů ve smyslu ust. § 4 písm. j) zákona o ochraně osobních údajů, a spolu s tím i všechny povinnosti tímto zákonem stanovené. V tomto smyslu půjde zejména o povinnosti vymezené § 5 odst. 1 zákona o ochraně osobních údajů (jako například shromažďování osobních údajů odpovídajících pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanoveného účelu, zpracovávání osobních údajů pouze v souladu s účelem, ke kterému byly shromážděny, a podobně).
Pro řešení situací, kdy se požadavek ochrany osobních údajů střetává - ať už skutečně či pouze zdánlivě - s jinými právy či zákonnými nároky, je pak podle názoru Úřadu pro ochranu osobních údajů významné především ustanovení § 5 odst. 3 zákona o ochraně osobních údajů, které zavazuje správce dbát práva na ochranu soukromého a osobního života subjektu údajů, provádí-li zpracování osobních údajů na základě zvláštního zákona, tedy zvláštním zákonem umožněného či uloženého.
Tato povinnost podle názoru Úřadu pro ochranu osobních údajů znamená především striktně konfrontovat požadovaný rozsah osobních údajů s vlastním předmětem kontroly, tedy přesně a jednoznačně vymezenou oblastí, která je předmětem kontrolní činnosti, a zároveň v mezích tohoto předmětu kontroly minimalizovat rozsah vyžadovaných údajů tak, aby ještě mohl být naplněn účel kontroly a zjištěn skutečný stav věci, jak požaduje výše citované ustanovení zákona o státní kontrole.
V případě kontroly zaměřené na odměňování zaměstnanců kontrolovaného subjektu však má Úřad za to, že požadavek kontrolních pracovníků na poskytnutí zmíněných písemných dokladů, jako pracovních a manažerských smluv a platových výměrů, je nutno považovat za adekvátní jejich povinnosti, zejména pak za situace, kdy principy odměňování jsou stanoveny pouze vnitřními předpisy a jakákoliv eventuální anonymizace osobních údajů je jen těžko představitelná.
Pro úplnost uvádíme, že korespondující obecná právní povinnost kontrolovaného subjektu poskytnout vyžádané informace či doklady je zakotvena v ustanovení § 14 odst. 1 zákona o státní kontrole. Využití rodných čísel je pak umožněno ustanovením § 13c odst. 1 písm. a) zákona č. 133/2000 Sb., o evidenci obyvatel a rodných číslech, a o změně některých zákonů (zákon o evidenci obyvatel), ve znění pozdějších předpisů.
Úřad pro ochranu osobních údajů tedy konstatuje, že poskytnutí personálně mzdové dokumentace kontrolním pracovníkům při kontrole odměňování zaměstnanců bez souhlasu těchto zaměstnanců není v rozporu se zákonem o ochraně osobních údajů.
POUŽÍVÁNÍ RODNÉHO ČÍSLA
Otázka používání rodného čísla není zákonem č. 101/2000 Sb., o ochraně osobních údajů a změně některých zákonů ve znění pozdějších předpisů (dále jen zákon), speciálně upravena. V tomto ohledu se nejedná dokonce ani o citlivý údaj podle § 4 písmeno b) zákona.
Přesto je svým způsobem rodné číslo osobním údajem do jisté míry výjimečným. Je to totiž jedinečný identifikátor, jeden z mála osobních údajů, které člověk během svého života nemění. Z toho důvodu bylo ostatně před lety zavedeno a používáno především pro účely sociálního zabezpečení. Postupně se rodné číslo stalo vhodným identifikátorem i pro jiné oblasti státní správy. Jeho výhody vyniknou zejména v souvislosti s přechodem manuálně vedených evidencí do počítačových informačních systémů. Většina z nich je totiž nastavena tak, aby se po zadání vstupního prvku - a bývá jím právě rodné číslo - zobrazila celá složka konkrétního subjektu údajů (konkrétní osoby).
Z výše uvedeného je však také zřejmé, jaké jsou nevýhody rodného čísla jako jednoznačného identifikátoru. Vzhledem ke značnému množství evidencí, do kterých je jedinec v moderním informačním světě zařazen, hrozí potenciální nebezpečí, že nesprávným nebo naopak záměrným užitím rodného čísla budou neoprávněným osobám zpřístupněny informace, ke kterým by se za jiných okolností dostat neměly a nemohly.
Vzhledem k tomu, že informační systémy dnes kromě státních institucí provozují i veřejnoprávní či zcela soukromé organizace, je evidentní, že s nabízenou výhodou rodného čís
la ve vztahu k uloženým souborům osobních údajů se tito správci chtějí jen těžko loučit. S postupující harmonizací českého právního řádu s právem Evropské unie však budou do nových právních předpisů (a do novel stávajících) upravujících zpracování osobních údajů implementována ustanovení důsledně upravující jak kategorie, tak rozsah osobních údajů. Dokud tento proces neskončí, je třeba vycházet z obecné právní úpravy - zákona č. 101/2000 Sb., ve znění pozdějších předpisů. Stěžejním ustanovením pro tento účel je § 5, který stanoví povinnosti správce. Odpověď na otázku užívání rodného čísla je třeba hledat v negativním vymezení v odstavci 1, písmeno d) - správce je povinen shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanoveného účelu. Většina správců zaštiťujících se nezbytností shromažďování rodného čísla by však ve skutečnosti potřebu tohoto osobního údaje neobhájila.
Zarážející je totiž fakt, s jakou urputností přetrvává ve společnosti, a bohužel i mezi právnickou veřejností představa, že pouze rodné číslo je jednoznačným identifikátorem a bez něj v podstatě nelze fyzickou osobu jednoznačně určit. Že tomu tak zdaleka není, dokazuje i samotný občanský zákoník, který vůbec neurčuje, jaké osobní údaje má účastník smluvního vztahu do smlouvy uvést. Z logické úvahy a pro posílení právní jistoty v oblasti závazkových vztahů pak lze dovodit, že fyzická osoba může být jednoznačně určena už například jménem, příjmením, datem narození a adresou. Všechny tyto údaje lze jednoduše a bezpečně ověřit již při podpisu smlouvy. aniž by k tomu bylo třeba většího úsilí. Stejně neodůvodněné je tvrzení, že bez rodného čísla se nelze domoci práva v případě soudního sporu. Ani zde žádný předpis neukládá jeho povinné uvádění.
Otázka užívání rodného čísla v soukromém i veřejném sektoru je tedy složitá jen zdánlivě. S přihlédnutím k předchozím odstavcům lze říci, že zákonná úprava zpracování osobních údajů včetně rodného čísla ve zvláštních předpisech (zvláštních ve vztahu k zákonu č. 101/2000 Sb., ve znění pozdějších předpisů) nedává příliš prostoru pro vlastní tvořivost. Naproti tomu předpisy v soukromoprávní sféře jsou namnoze natolik liberální, že povinnosti stanoví pouze rámcově. To ovšem neznamená, že si jejich podobu mohou subjekty vytvářet pouze se zřetelem k vlastnímu užitku. Vždy je třeba dbát toho, aby vztahy v soukromoprávní sféře byly v zásadě vyvážené. A to platí i pro zpracování osobních údajů. Problém používání rodného čísla rozhodně není nový, z toho důvodu i někteří lidé nechápou, proč okolo něj víří taková diskuze. Je to však proto, že nová právní úprava vytyčila kvalitativně lepší ochranu soukromí občanů tohoto státu.
V médiích se na konci loňského roku objevily pochyby, zda lze v pracovních smlouvách uvádět rodná čísla a zda to není v rozporu se zákonem č. 133/2000 Sb., o evidenci obyvatel a rodných číslech. Zvláště když k identifikaci pracovníka stačí jeho datum narození. Uvedený problém (uvedení rodného čísla) není nezbytné řešit pomocí výslovného písemného souhlasu pracovníka, ale spíše pomocí informační povinnosti zaměstnavatele - tedy aby při podpisu smlouvy byl zaměstnanec informován o tom, k jakému účelu bude každý jeho osobní údaj dále zaměstnavatelem zpracováván, což není dosud obvyklou praxí zaměstnavatelů, a tím často dochází k rozporu s platnou právní úpravou.
Připomínáme však, že uzavření pracovní smlouvy je dvoustranným právním aktem a obě strany musí s obsahem pracovní smlouvy souhlasit.
Další podrobnosti lze nalézt na webu Úřadu pro ochranu osobních údajů - www.uoou.cz.
