Manažérska Zmluva a GDPR: Vzor a Ochrana Osobných Údajov

Slovenské pracovné právo sa primárne zaoberá úpravou pracovných vzťahov založených na princípe nadriadenosti a podriadenosti. Avšak, v podnikovej praxi sa čoraz viac využíva manažérska zmluva. Tento článok sa zameriava na manažérsku zmluvu v kontexte ochrany osobných údajov (GDPR) a poskytuje vzorové informácie o tom, ako zabezpečiť súlad s platnou legislatívou.

Manažérska Zmluva ako Štandardná Pracovná Zmluva

Manažérska zmluva je vo svojej podstate štandardnou pracovnou zmluvou. Dôležité je, aby manažérska zmluva obsahovala minimum toho, čo musí obsahovať každá pracovná zmluva. Uzatvára sa predovšetkým s cieľom upraviť podmienky vedúceho pracovníka - manažéra, voči spoločnosti - zamestnávateľovi. Ak manažérska zmluva obsahuje všetky náležitosti pracovnej zmluvy uvedené v § 43 ods. 1 zákonníka práce, považuje sa za štandardnú pracovnú zmluvu.

Voľba a vymenovanie sú právnymi predpokladmi pre založenie pracovného pomeru, ktorý sa zakladá pracovnou zmluvou.

Obchodnoprávny Charakter Vzťahu Konateľa a Spoločnosti

Vzťah medzi konateľom a spoločnosťou má obchodnoprávny charakter, ktorý sa spravuje vždy Obchodným zákonníkom. Na tento vzťah sa aplikujú ustanovenia mandátnej zmluvy v zmysle § 566 a nasledujúceho Obchodného zákonníka. Tento vzťah teda nie je pracovnoprávnym vzťahom spravujúcim sa Zákonníkom práce, aj keď nič nebráni tomu, aby konateľ bol zároveň aj zamestnancom spoločnosti, ale na iný druh práce, ktorá nie je zameniteľná s výkonom funkcie štatutárneho orgánu.

Ak by mal konateľ uzavretú pracovnú zmluvu ako zamestnanec s rovnakou alebo obdobnou činnosťou ako konateľ, takýto pracovný pomer by bol neplatný.

Prečítajte si tiež: Sociálny Status Manažéra

Obchodný zákonník výslovne neustanovuje náležitosti zmluvy o výkone funkcie konateľa. Pôjde o nepomenovanú zmluvu, ktorá sa približuje zmluve mandátnej. Podmienkou je, že zmluva musí mať písomnú formu a musí byť schválená valným zhromaždením spoločnosti, prípadne všetkými spoločníkmi s neobmedzeným ručením, inak je neplatná. V prípade neplatnosti zmluvy o výkone funkcie konateľa by sa tento vzťah riadil primerane ustanoveniami mandátnej zmluvy.

Podľa zákona o pobyte cudzincov, aby plnil účel svojho pobytu (v tomto prípade podnikanie) musí byť v obchodnom registri zapísaný ako konateľ a zároveň nesmie byť v pracovnoprávnom vzťahu.

Postavenie Konateľa alebo Spoločníka na Účely Sociálneho Poistenia

V zmysle § 36 ods. 1 písm. a) zákona č. 461/2003 Z. z. o sociálnom poistení, postavenie zamestnanca na účely sociálneho poistenia nadobúda fyzická osoba, ktorá spĺňa dve podmienky:

1. Existenciu právneho vzťahu, ktorý zakladá právo na príjem zo závislej činnosti.
2. Existenciu práva na príjem zo závislej činnosti podľa § 5 ods. 1 písm. a) až h) a m), ods. 2 a 3 zákona č. 595/2003 Z. z. o dani z príjmov.

Konateľ alebo spoločník spoločnosti s ručením obmedzeným nadobudne postavenie zamestnanca na účely sociálneho poistenia iba v prípade, ak mu vznikne právny vzťah konateľa alebo spoločníka zápisom do obchodného registra, a zároveň ak mu určitý úkon (napríklad mandátna zmluva, zmluva o výkone funkcie) zaručuje právo na príjem zo závislej činnosti za prácu konateľa alebo spoločníka. Pritom nie je rozhodujúce, či spoločník alebo konateľ má odmenu skutočne vyplatenú.

V prípade pravidelnej mesačnej odmeny sa konateľ alebo spoločník považuje za zamestnanca s pravidelným mesačným príjmom na účely nemocenského poistenia, dôchodkového poistenia a poistenia v nezamestnanosti. V prípade nepravidelného príjmu sa považuje za zamestnanca s nepravidelným príjmom na účely dôchodkového poistenia.

Prečítajte si tiež: Čo je Manažérska Komunitná Starostlivosť?

Ak dotyčný zamestnanec nemá slovenské rodné číslo z dôvodu, že ide o zahraničného občana, zamestnávateľ nepredkladá Registračný list fyzickej osoby (RLFO) - prihlášku v elektronickej forme. Za tohto zamestnanca treba predložiť RLFO - prihlášku pobočke Sociálnej poisťovne v papierovej forme. Pobočka Sociálnej poisťovne pridelí zamestnancovi - cudzincovi na účely sociálneho poistenia dočasné rodné číslo, ktoré sa bude používať v ďalšom kontakte so Sociálnou poisťovňou.

Ochrana Osobných Údajov a GDPR

Dňa 25. mája 2018 nadobudol účinnosť zákon č. 18/2018 Z. z. o ochrane osobných údajov, ktorý vznikol s cieľom zosúladenia vnútroštátneho práva s nariadením Európskeho parlamentu a Rady (EÚ) č. 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe týchto údajov (tzv. GDPR). Tieto predpisy nahradili starší zákon č. 122/2013 Z. z. o ochrane osobných údajov a Smernicu Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995.

Prevádzkovateľ je povinný pred spracúvaním osobných údajov zaviesť a počas spracúvania osobných údajov mať zavedenú špecificky navrhnutú ochranu osobných údajov, ktorá spočíva v prijatí primeraných technických a organizačných opatrení, najmä vo forme pseudonymizácie, na účinné zavedenie primeraných záruk ochrany osobných údajov a dodržiavanie základných zásad podľa § 6 až 12 zákona č. 18/2018 Z. z.

Záznam o Spracovateľskej Činnosti

Každý prevádzkovateľ alebo zástupca prevádzkovateľa má povinnosť viesť záznam o spracovateľskej činnosti (ďalej len „záznam“) a to buď v papierovej alebo elektronickej podobe, ktorý nemá povinnosť nikam zasielať a ponecháva si ho u seba. Úradom zverejnený záznam je len vzorom a prevádzkovateľ alebo zástupca prevádzkovateľa má možnosť si ho upraviť podľa seba, no musí obsahovať všetky zákonné náležitosti, ktoré sú upravené v § 37 ods. 1 zákona č. 18/2018 Z. z. o ochrane osobných údajov (ďalej len „zákon“), príp. podľa čl. 30 ods. 1 Nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016. Na požiadanie úradu je prevádzkovateľ alebo zástupca prevádzkovateľa povinný sprístupniť záznam úradu.

Výnimky z povinnosti viesť záznam podľa § 37 ods. 5 zákona, resp. podľa čl. 30 ods. 5 nariadenia sa týkajú podnikov alebo organizácií, ktoré zamestnávajú menej ako 250 osôb, ak spracúvanie, ktoré vykonávajú, pravdepodobne nepovedie k riziku pre práva a slobody dotknutých osôb, spracúvanie je príležitostné a nezahŕňa osobitné kategórie osobných údajov podľa § 16 ods. 1 zákona, príp. čl. 9 ods. 1 nariadenia (napr. biometrický údaj, údaj o zdraví a pod.) alebo nezahŕňa osobné údaje týkajúce sa uznania viny za spáchanie trestného činu alebo priestupku podľa § 17 zákona, príp. čl. 10 nariadenia.

Prečítajte si tiež: Krycí príspevok a manažérska výsledovka: Prepojenie

Prevádzkovateľ alebo zástupca prevádzkovateľa si môže vypracovať vlastný záznam alebo použiť vzor zverejnený úradom. Úradom zverejnený vzor obsahuje všetky povinné náležitosti vyžadované zákonom, príp. nariadením. Ak bude mať prevádzkovateľ alebo zástupca prevádzkovateľa správne a úplne vypísaný tento vzor, bude napĺňať zákon. Samozrejme nie je vylúčené, aby si prevádzkovateľ alebo zástupca prevádzkovateľa v prípade potreby pridal vlastné polia.

Povinné Náležitosti Záznamu o Spracovateľských Činnostiach

1. Údaje o prevádzkovateľovi a zodpovednej osobe: Podľa § 37 ods. 1 písm. a) zákona, čl. 30 ods. 1 písm. a) nariadenia, je potrebné uviesť meno a kontaktné údaje prevádzkovateľa, a ak je to uplatniteľné, spoločného prevádzkovateľa, zástupcu prevádzkovateľa a zodpovednej osoby. Údaje o spoločnom prevádzkovateľovi, zástupcovi prevádzkovateľa a zodpovednej osobe sa vypíšu v prípade, ak boli poverení alebo zodpovedná osoba určená. Pri zodpovednej osobe, ktorá môže byť fyzickou alebo právnickou osobou sa vypíšu všetky identifikačné a kontaktné údaje, ktoré má prevádzkovateľ alebo zástupca prevádzkovateľa k dispozícií. Ak ide o zodpovednú osobu, ktorá je zároveň zamestnancom prevádzkovateľa/zástupcu prevádzkovateľa, nie je potrebné vypĺňať adresu. Ak ide o externú zodpovednú osobu uvedie sa adresa jej sídla alebo trvalého bydliska.

2. Účel spracúvania osobných údajov: Podľa § 37 ods. 1 písm. b) zákona, čl. 30 ods. 1 písm. b) nariadenia, je potrebné uviesť účel spracúvania osobných údajov (§ 7 zákona, čl. 5 ods. 1 písm. b) nariadenia). Účelom spracúvania osobných údajov sa rozumie konkrétne vymedzený alebo ustanovený zámer, na základe ktorého bude prevádzkovateľ spracúvať osobné údaje viažuce sa na jeho činnosť. Tento účel by si mal prevádzkovateľ stanoviť vopred, jednoznačne a mal by byť oprávnený. Napr. spracúvanie osobných údajov zamestnanca na účel plnenia povinností zamestnávateľa súvisiacich s pracovným pomerom. Každý účel spracúvania musí byť v zázname vymedzený samostatne a ku každému musia byť vyplnené všetky povinné náležitosti. Koľko účelov má prevádzkovateľ, toľko „riadkov“ musí záznam obsahovať.

3. Kategórie dotknutých osôb a osobných údajov: Podľa § 37 ods. 1 písm. c) zákona, čl. 30 ods. 1 písm. c) nariadenia, je potrebné uviesť opis kategórií dotknutých osôb a kategórií osobných údajov. Opis kategórií dotknutých osôb je taký okruh osôb, ktorých osobné údaje sa budú spracúvať. V prípade príkladu na zamestnancoch bude takouto kategóriou práve zamestnanec, manžel/manželka zamestnanca, deti zamestnanca a pod. Pri kategórii osobných údajov sú tieto možnosti: bežné osobné údaje (§ 2 zákona, čl. 4 bod 1 nariadenia), osobitná kategória osobných údajov (§ 16 zákona, čl. 9 nariadenia) a/alebo osobné údaje týkajúce sa uznania viny za spáchanie trestného činu alebo priestupku (§ 17 zákona, čl. 10 nariadenia). Prevádzkovateľ/zástupca prevádzkovateľa musí uviesť kategóriu, ale nie je vylúčené, aby uviedol menný zoznam všetkých osobných údajov, ktoré spracúva. Je to možnosť, nie povinnosť.

4. Kategórie príjemcov: Podľa § 37 ods. 1 písm. d) zákona, čl. 30ods. 1 písm. d) nariadenia, je potrebné uviesť kategórie príjemcov, ktorým boli alebo budú osobné údaje poskytnuté, vrátane príjemcov v tretích krajinách alebo medzinárodných organizáciách. Príjemcom sa podľa § 5 písm. q) zákona (čl. 4 bod 9 nariadenia) rozumie každý, komu sa osobné údaje poskytnú bez ohľadu na to, či je treťou stranou. Ak prevádzkovateľ vie určiť príjemcu uvedie sa do záznamu konkrétny príjemca, napríklad sociálna poisťovňa, zdravotná poisťovňa v prípade zamestnanca a platenia odvodov za neho. Ak by prevádzkovateľ nevedel určiť príjemcu, uvedie sa kategória, okruh príjemcov, napr. súdy, orgány verejnej moci atď. Príjemcom je aj sprostredkovateľ prevádzkovateľa. Takýto príjemca sa môže nachádzať aj v tretej krajine, napr. Turecko, Izrael, USA alebo je treťou stranou medzinárodná organizácia (napr. Medzinárodná organizácia práce, Medzinárodná námorná organizácia alebo Svetová zdravotnícka organizácia).

5. Prenos osobných údajov do tretích krajín: Podľa § 37 ods. 1 písm. e) zákona, čl. 30 ods. 1 písm. e) nariadenia, v prípade, ak prevádzkovateľ zamýšľa prenos osobných údajov aj do tretích krajín alebo medzinárodných organizácií je povinný vypísať kolónku s touto zákonnou náležitosťou, kam budú údaje prenášané. Je potrebné disponovať dokumentáciou o primeraných zárukách, ktoré tento prenos budú zabezpečovať. V zákone sú tomu venované § 47 - 51 zákona, čl. 44 - 50 nariadenia.

6. Lehoty na vymazanie osobných údajov: Podľa § 37 ods. 1 písm. f) zákona, čl. 30 ods. 1 písm. f) nariadenia, je potrebné určiť lehoty na vymazanie jednotlivých kategórií osobných údajov. Na každú kategóriu osobných údajov je potrebné určiť lehotu, po ktorej majú byť osobné údaje vymazané. Túto lehotu môže stanoviť osobitný právny predpis, napr. zákon o archívoch a registratúrach, prípadne si ju určí prevádzkovateľ sám s ohľadom na zásadu minimalizácie uchovávania osobných údajov (§ 10 zákona, čl. 5 ods. 1 písm. e) nariadenia).

7. Bezpečnostné opatrenia: Podľa § 37 ods. 1 písm. g) zákona, čl. 30 ods. 1 písm. g) nariadenia, do záznamu o spracovateľských činnostiach je potrebné uviesť aké technické a organizačné bezpečnostné opatrenia prijal prevádzkovateľ, aby zabezpečil, že spracúvanie osobných údajov bude bezpečné, chránené a urobil všetko preto, aby nemohli byť zneužité. Je potrebné vychádzať z § 39 zákona, resp. z čl. 32 nariadenia, ktorý stanovuje najmä tieto opatrenia: pseudonymizácia a šifrovanie osobných údajov, zabezpečenie trvalej dôvernosti, integrity, dostupnosti a odolnosti systémov spracúvania osobných údajov, proces obnovy dostupnosti osobných údajov a prístup k nim v prípade fyzického alebo technického incidentu, proces pravidelného testovania, posudzovania a hodnotenia účinnosti technických a organizačných opatrení na zaistenie bezpečnosti spracúvania osobných údajov. Inými slovami môže ísť pri technických bezpečnostných opatreniach o zabezpečenie počítača antivírusom, zaheslovanie, v prípade listinnej podoby dokumentu, ktorý obsahuje osobné údaje to môže byť uzamykateľná skriňa, trezor, archív s kódom. Pri organizačných opatreniach je to ľudský faktor, ktorý zabezpečí bezpečnosť spracúvania osobných údajov dotknutých osôb, napr. určená zodpovedná osoba, poučená oprávnená osoba. V prípade vypracovanej dokumentácie bezpečnosti osobných údajov je možné uviesť odkaz na takýto dokument.

8. Právny základ spracovateľskej činnosti: Podľa § 13 zákona, čl. 6 nariadenia, vo vzore záznamu o spracovateľských činnostiach prevádzkovateľa alebo zástupcu prevádzkovateľa je vložená fakultatívna náležitosť „právny základ spracovateľskej činnosti“, ktorý je upravený v § 13 zákona, príp. v čl. 6 nariadenia. Nie je to obligatórna náležitosť záznamu o spracovateľských činnostiach, ale vzhľadom na skutočnosť, že na právny základ sa viaže účel spracúvania osobných údajov a v prípade kontroly je prevádzkovateľ/zástupca prevádzkovateľa i tak povinný uviesť právny základ spracúvania, Úrad vidí v tejto náležitosti opodstatnenie. Povinnosť vyplniť záznam sa vzťahuje aj na každého spoločného prevádzkovateľa ako aj zástupcu prevádzkovateľa a môže sa riadiť týmto návodom na vyplnenie. Ak je spracúvanie osobných údajov založené na súhlase dotknutej osoby, prevádzkovateľ je povinný kedykoľvek vedieť preukázať, že dotknutá osoba poskytla súhlas so spracúvaním svojich osobných údajov. GDPR nepredpisuje žiadnu formu pre súhlas so spracovaním osobných údajov.

Práva Dotknutej Osoby

Zákon o ochrane osobných údajov taxatívne stanovuje prípady, kedy je prevádzkovateľ povinný rešpektovať právo dotknutej osoby a obmedziť spracúvanie jej osobných údajov na základe toho, že dotknutá osoba uplatnila právo podľa čl. 18 všeobecného nariadenia o ochrane údajov. Dotknutá osoba má právo namietať spracúvanie jej osobných údajov z dôvodu týkajúceho sa jej konkrétnej situácie.

Čl. 13 všeobecného nariadenia o ochrane údajov ustanovuje tzv. informačnú povinnosť prevádzkovateľa.

Sprostredkovateľ

Za sprostredkovateľa sa na účely ochrany osobných údajov považuje každý, kto spracúva osobné údaje v mene prevádzkovateľa. Ak sa má spracúvanie osobných údajov uskutočniť v mene prevádzkovateľa, prevádzkovateľ môže poveriť len sprostredkovateľa, ktorý poskytuje dostatočné záruky na prijatie primeraných technických a organizačných opatrení tak, aby spracúvanie osobných údajov spĺňalo požiadavky tohto zákona a aby sa zabezpečila ochrana práv dotknutej osoby.

Zodpovedná Osoba

Určenie, postavenie a úlohy zodpovednej osoby sú prioritne upravené v čl. 37 a nasl. GDPR a v § 44 až § 46 zákona č. 18/2018 Z. z.

Vzorové Príklady Spracovateľských Činností a GDPR

Nasledujúce príklady ilustrujú, ako rôzne spracovateľské činnosti súvisia s GDPR a aké opatrenia je potrebné prijať:

1. Oprávnený záujem zamestnávateľa: Uplatnenie oprávnenia vyplývajúceho z § 78 ods. 3 zákona č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov, t.j. „Prevádzkovateľ, ktorý je zamestnávateľom dotknutej osoby je oprávnený poskytovať t.j. V akých lehotách vymažeme Vaše osobné údaje? Uskutočňuje sa automatizované rozhodovanie vrátanie profilovania?

2. Vedenie evidencie zamestnancov: Účelom spracúvania je vedenie evidencie zamestnancov v záujme poskytnutia ich osobných údajov v rozsahu tzv. Oprávnený záujem v zmysle čl. 6 ods. 1 písm. f) Nariadenia GDPR. Hlavný záujem je uplatniť oprávnenie vyplývajúce z § 78 ods. 3 zákona č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov, t.j. „Prevádzkovateľ, ktorý je zamestnávateľom dotknutej osoby je oprávnený poskytovať t.j. V akých lehotách vymažeme Vaše osobné údaje? Uskutočňuje sa automatizované rozhodovanie vrátanie profilovania?

3. Uplatnenie § 13 ods. 4 zákona č. 311/2001 Z. z.: Oprávnený záujem v zmysle článku 6 ods. 1 písm. Hlavným oprávneným záujmom je uplatnenie § 13 ods. 4 zákona č. 311/2001 Z. z. V akých lehotách vymažeme Vaše osobné údaje? Uskutočňuje sa automatizované rozhodovanie vrátanie profilovania? Prenášame Vaše osobné údaje mimo EÚ?

4. BOZP a preukazy na obsluhu pracovných prostriedkov: Účelom spracúvania osobných údajov v rámci tejto agendy je plnenie povinností vyplývajúcich zo zákona č. 124/2006 Z.z. o bezpečnosti a ochrane zdravia pri práci a o zmene a doplnení niektorých zákonov v znení neskorších predpisov, a to konkrétne § 16, ktorý stanovuje, že fyzická osoba môže obsluhovať určený pracovný prostriedok (napr. vysokozdvižný vozík) a vykonávať s ním určené pracovné povinnosti len na základe platného preukazu na vykonávanie činnosti alebo osvedčenia. Prevádzkovateľ zabezpečuje pre zamestnancov, na ktorých sa táto povinnosť vzťahuje vystavenie konkrétnych preukazov, resp. § 16 zákona č. 124/2006 Z.z. V akých lehotách vymažeme Vaše osobné údaje?

5. Spolupráca s externými spolupracovníkmi: Prevádzkovateľ spolupracuje pri vykonávaní činnosti okrem zamestnancov i s externými spolupracovníkmi, ktorí ako obchodní partneri realizujú činnosť v mene prevádzkovateľa, na jeho účet a na zodpovednosť prevádzkovateľa. Na plnenie týchto úkonov poskytol z vlastného majetku prevádzkovateľ externému spolupracovníkovi vozidlo pre účely plnenia povinností vyplývajúce z obchodnoprávneho vzťahu uzatvoreného s prevádzkovateľom. Prevádzkovateľ zabezpečuje pre externého spolupracovníka i ďalšie úkony, ako je i poučenie BOZP na konkrétnych pracoviskách. Súhlas dotknutej osoby podľa článku 6 ods. 1 písm. a) a čl 9 ods. 2 písm. a) Nariadenia a zákona o ochrane osobných údajov, pričom dotknutá osoba má právo kedykoľvek odvolať svoj súhlas.

6. Právna agenda: Účelom spracúvania osobných údajov v rámci predmetnej agendy je zabezpečenie vedenia právnej agendy (napr. advokát, kt. V akých lehotách vymažeme Vaše osobné údaje? Uskutočňuje sa automatizované rozhodovanie vrátanie profilovania? Prenášame Vaše osobné údaje mimo EÚ?

Legislatíva

Pri spracúvaní osobných údajov je potrebné dodržiavať nasledovné zákony:

• Ústava Slovenskej republiky
• Zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov
• Zákon č. 311/2001 Z. z. Zákonník práce
• Zákon č. 513/1991 Zb. Obchodný zákonník
• Zákon č. 461/2003 Z. z. o sociálnom poistení
• Zákon č. 595/2003 Z. z. o dani z príjmov
• Zákon č. 124/2006 Z. z. o bezpečnosti a ochrane zdravia pri práci a o zmene a doplnení niektorých zákonov
• Zákon č. 431/2002 Z. z. o účtovníctve
• Zákon č. 222/2004 Z. z. o dani z pridanej hodnoty
• NARIADENIE EURÓPSKEHO PARLAMENTU A RADY (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (GDPR)

tags: #manažérska #zmluva #GDPR #vzor