Zmluva o Poskytovaní Služieb: Spracovanie Osobitnej Kategórie Osobných Údajov

Úvod

V ére digitalizácie a rozsiahleho spracúvania dát, ochrana osobných údajov nadobúda čoraz väčší význam. Zvláštnu pozornosť si vyžaduje spracúvanie osobitnej kategórie osobných údajov, ktoré sú citlivé a ich neoprávnené spracovanie môže mať vážne dôsledky. Tento článok sa zameriava na zmluvu o poskytovaní služieb, ktorá zahŕňa spracovanie osobitnej kategórie osobných údajov, a rozoberá dôležité aspekty, ktoré je potrebné zvážiť.

Súhlas Dotknutej Osoby: Kľúčový Prvok Zákonného Spracúvania

Súhlas dotknutej osoby je jedným z právnych základov, ktoré oprávňujú prevádzkovateľa na spracúvanie osobných údajov. Je dôležité si uvedomiť, že súhlas nie je chápaný ako integrálna súčasť zmluvy, ale ako právny titul pre také spracúvanie osobných údajov, ktoré nie je nevyhnutné na uzatvorenie a plnenie zmluvy. Vhodná voľba právneho základu je dôležitým predpokladom zákonného spracúvania osobných údajov.

Požiadavky na Platný Súhlas

Súhlas dotknutej osoby musí spĺňať okrem všeobecných požiadaviek definujúcich platný právny úkon (§ 34 až § 42 Občianskeho zákonníka) aj určité špecifické požiadavky ustanovené v § 4 ods. 3 písm. d) a § 11 ods. 3 a 4 zákona o ochrane osobných údajov. Obsahové náležitosti súhlasu musia byť vyjadrené slobodne, vážne, vedome (aktívnym konaním) a zrozumiteľne.

Z právnej formulácie súhlasu dotknutej osoby musí byť explicitne zrejmé:

• Kto súhlas poskytol (Meno, priezvisko, bydlisko)
• Komu ho poskytol (identifikačné údaje prevádzkovateľa)
• Účel spracúvania osobných údajov (cieľ, resp. Forma spracúvania)

Forma súhlasu dotknutej osoby nie je vo väčšine prípadov stanovená ex lege, a preto postačuje, aby prevádzkovateľ vedel hodnoverne preukázať jeho získanie a existenciu.

Prečítajte si tiež: Vzor zmluvy o príspevku

Príklady Situácií Vyžadujúcich Súhlas

Písomný súhlas dotknutej osoby sa vyžaduje napríklad v prípadoch:

• získavania osobných údajov dotknutej osoby od inej fyzickej osoby, i.e. keď nie sú osobné údaje získavané priamo od dotknutej osoby (§ 12 ods.
• poskytovania osobných údajov inej právnickej osobe alebo fyzickej osobe v prípadoch, keď takéto poskytnutie nie je pokryté samostatným právnym základom (napr. poskytovanie údajov tzv. nebankovým registrom klientských informácií na účely posúdenia bonity klienta nad rámec upravený zákonom o spotrebiteľských úveroch) (§ 12 ods.
• získavania osobných údajov z úradných dokladov skenovaním, kopírovaním alebo iným zaznamenávaním na hmotný nosič informácií (§ 15 ods. 6 zákona o ochrane osobných údajov), s výnimkou potreby vykonania tejto operácie na účely uzatvorenia pracovného pomeru alebo v prípade potreby automatizovaného zoskenovania strojovo čitateľných údajov, ktoré sú číselným vyjadrením vybraných údajov v strojovo čitateľnej zóne dokladu totožnosti na účely kontroly identifkácie osoby pri vstupe do priestorov prevádzkovateľa (napr.
• vykonávania cezhraničných prenosov osobitnej kategórie osobných údajov (tzv. citlivé osobné údaje upravené v § 13 zákona o ochrane osobných údajov) ku tretej strane usídlenej v tretej krajine (§ 31 ods.

Vyššie uvedené prípady sa neaplikujú generálne, čo znamená, že nie je potrebné disponovať písomným súhlasom dotknutej osoby vtedy, ak konkrétnemu prevádzkovateľovi v konkrétnej situácii umožňuje vykonať spracovateľskú operáciu s osobnými údajmi taký právny akt (osobitný zákon - lex specialis), ktorý spĺňa zákonom o ochrane osobných údajov (lex generalis) stanovené požiadavky na obsahové náležitosti a právnu silu (§ 10 ods. 2 zákona o ochrane osobných údajov).

Vynucovanie Súhlasu a Všeobecné Obchodné Podmienky

Zákon o ochrane osobných údajov výslovne zakazuje prevádzkovateľovi, aby si súhlas dotknutej osoby vynucoval a podmieňoval hrozbou odmietnutia zmluvného vzťahu, služby, tovaru alebo vykonania svojej povinnosti vyplývajúcej z účinnej legislatívy. V praxi dozorný orgán vytýkal prevádzkovateľom porušenie tohto pravidla napr. v prípadoch jednostrannej inkorporácie súhlasu dotknutej osoby do všeobecných obchodných podmienok, ktoré boli štandardizovaným dokumentom neoddeliteľne spojeným s realizáciou hlavného zmluvného vzťahu, ktorý nijako nesúvisel s účelom spracúvania osobných údajov pokrytých súhlasom dotknutej osoby (napr. ak uzatvárate ako dotknutá osoba úverovú zmluvu a na základe znenia všeobecných obchodných podmienok udeľujete automaticky bez možnosti vyjadrenia súhlasu alebo nesúhlasu aj súhlas so spracúvaním Vašich osobných údajov na marketingové účely).

Z uvedeného dôvodu je potrebné dávať pozor na to, aby bolo možné vyjadriť explicitný súhlas/nesúhlas s parciálnymi nesúvisiacimi účelmi spracúvania osobných údajov, ktoré sú inkorporované do všeobecných obchodných podmienok (napr. vo forme tzv. „checkboxov”) a nedávať klientom podpisovať predmetný dokument ako celok, prípadne považovať takéto všeobecné obchodné podmienky za neoddeliteľnú súčasť zmluvy kreujúcej hlavný záväzkovo právny vzťah bez možnosti dotknutej osoby aktívne negociovať a vyjadriť svoj nesúhlas s takými účelmi spracúvania, ktoré nie sú nevyhnutné na uzatvorenie, zmeny alebo plnenie samotnej zmluvy.

Je potrebné si uvedomiť, že všeobecné obchodné podmienky sú štandardizované dokumenty, ktoré bývajú často (najmä pri zložitejších právnych vzťahoch) súčasťou tzv. adhéznych zmlúv, kde dotknutá osoba ako zmluvná strana nemá priestor na negociáciu a modifikáciu zmluvných podmienok. Práve táto skutočnosť môže v praxi v kombinácii s nevhodným obsahom všeobecných obchodných podmienok spôsobovať to, že dotknutej osobe sa znemožní disponovať z jej súhlasom, čo môže viesť v jednotlivých prípadoch až k porušeniu ustanovenia § 11 ods.

Prečítajte si tiež: Pracovná zmluva opatrovateľky v Belgicku

Opt-in vs. Opt-out Metóda

Súhlas dotknutej osoby nemôže byť získavaný tzv. opt-out metódou, ktorá predpokladá, že súhlas existuje až do momentu, kým dotknutá osoba neuskutoční konkrétne vymedzené kroky na zabránenie spracúvania jej osobných údajov. Iba vyjadrenia a úkony môžu byť na rozdiel od mlčania či nečinnosti považované za platný súhlas dotknutej osoby, pričom tieto aktivity by mali byť vykonané ešte pred získaním osobných údajov do informačného systému prevádzkovateľa (opt in). V prípade využívania tzv. „checkboxov”, preto nie je vhodné predznačovať udelenie súhlasu dotknutej osoby, ale je potrebné nechať samotnú dotknutú osobu komisívne prejaviť súhlas.

Kombinácia Právnych Základov

Vyššie uvedený výklad je však potrebné aplikovať v rámci individuálnych podmienok spracúvania osobných údajov konkrétnej firmy obozretne, pretože kombinácia právnych základov nie je apriori vylúčená. Problematická je hlavne kombinácia súhlas dotknutej osoby / zákon v prípadoch, keď je právnym základom zákon. Pri niektorých transakciách, resp. spracovateľských operáciách by sa mohli súčasne uplatňovať viaceré právne základy. Inými slovami, každé spracúvanie osobných údajov musí byť vždy v súlade s jedným alebo viacerými právnymi základmi. Týmto sa nevylučuje súbežné použitie rôznych právnych základov za predpokladu, že sa použijú v správnej súvislosti.

Určitý zber a ďalšie spracúvanie osobných údajov môže byť nevyhnutné podľa zmluvy s dotknutou osobou (§ 10 ods. 3 písm. b) zákona o ochrane osobných údajov); iné spracúvanie môže byť nevyhnutné v dôsledku zákonnej povinnosti (§ 10 ods. 2 zákona o ochrane osobných údajov); zber dodatočných informácií si môže vyžadovať samostatný súhlas - (§ 11 ods. 1 zákona o ochrane osobných údajov); no a ďalšie spracovanie by mohlo byť legitímne aj na základe rovnováhy záujmov dotknutej osoby a práv a právom chránených záujmov prevádzkovateľa (§ 10 ods. 3 písm. g) zákona o ochrane osobných údajov).

Napríklad pri kúpe motorového vozidla môže byť prevádzkovateľ (predávajúci podnikateľ) oprávnený spracúvať osobné údaje na rôzne účely a na základe rôznych právnych základov:

• údaje nevyhnutné pri kúpe auta: zmluva, resp. § 10 ods. 3 písm. b) zákona o ochrane osobných údajov,
• s cieľom spracovať doklady od auta: zákon, resp. § 10 ods. 2 zákona o ochrane osobných údajov,
• na účely služieb manažmentu klientov (napríklad aby sa auto mohlo dať opraviť v iných prepojených spoločnostiach v rámci EÚ) - ochrana práv a právom chránených záujmov prevádzkovateľa, resp. § 10 ods. 3 písm. g) zákona o ochrane osobných údajov
• s cieľom presunu údajov tretím stranám na účely ich vlastných marketingových činností: súhlas dotknutej osoby, resp. § 11 ods.

Doba Platnosti Súhlasu

Ďalším problematickým aspektom pri ceste za dosiahnutím právne perfektného súhlasu dotknutej osoby je vhodné nastavenie doby platnosti udeleného súhlasu. V aplikačnej praxi dozorných orgánov sa vyvinul prístup, ktorý je negatívne naklonený vymedzeniu doby platnosti súhlasu dotknutej osoby na dobu neurčitú. Zákon o ochrane osobných údajov explicitne neupravuje nastavenie doby platnosti súhlasu dotknutej osoby, avšak zo základných zásad formulovaných v § 6 ods. Okrem toho možno aj z dikcie ustanovenia § 28 ods. 1 písm.

Prečítajte si tiež: Dôležité aspekty zmluvy o sociálnej službe

Uvedený prístup je diskutabilný, keďže do istej miery spochybňuje autonómnosť a slobodu rozhodovania dotknutej osoby a tým pádom aj základné postuláty tohto právneho základu. Dotknutej osobe, ktorá udeľuje súhlas totiž nemusí prekážať udelenie svojho súhlasu prevádzkovateľovi na dobu neurčitú, resp. môže ho sama slobodne chcieť udeliť na dobu neurčitú, ktorej trvanie by bolo limitované výlučne odvolaním súhlasu dotknutej osoby. V každom prípade judikatúra z prípadného súdneho sporu v takejto veci ešte na Slovensku neexistuje, takže v rámci minimalizácie zbytočných starostí odporúčame prevádzkovateľom vymedzovať primeranú dobu platnosti súhlasu dotknutej osoby, tak aby vedeli efektívne dosahovať svoj účel spracúvania osobných údajov. Napokon v dnešnej dobe nie je problém obnoviť, resp.

Vymedzovanie doby platnosti súhlasu dotknutej osoby na dobu určitú potvrdzuje aj názor Pracovnej skupiny zriadenej podľa článku 29 smernice 95/46/ES, v zmysle ktorého „kým plynie čas, môžu vzniknúť pochybnosti, či súhlas pôvodne založený na platných, dostatočných informáciách, je ešte stále platný. Z rôznych dôvodov ľudia často menia svoje názory, pretože ich počiatočné rozhodnutia neboli dobré, alebo pre zmenu okolností. Z tohto dôvodu by v rámci osvedčeného postupu prevádzkovatelia mali vyvíjať úsilie, aby po určitom čase revidovali voľby jednotlivca, napríklad tak, že ho budú informovať o jeho aktuálnej voľbe a poskytnú mu možnosť túto voľbu potvrdiť alebo odvolať. Príslušné obdobie by samozrejme záviselo od kontextu a okolností prípadu.”

Okrem uvedeného stanoviska spomenutá pracovná skupina vyjadrila tiež názor o potrebe obmedzenia doby platnosti udeleného súhlasu aj v prípade spracúvania osobných údajov na účely behaviorálnej reklamy (napr.

Špecifiká Súhlasu pri Elektronickom Obchode a Elektronických Komunikáciách

Špecifické situácie ovplyvňujúce pravidlá stanovené vo vyššie uvedenom výklade sa týkajú súhlasu dotknutej osoby so spracúvaním jej osobných údajov na marketingové účely pri poskytovaní služieb informačnej spoločnosti v zmysle zákona č. 22/2004 Z. z. o elektronickom obchode a o zmene a doplnení zákona č. 128/2002 Z. z. o štátnej kontrole vnútorného trhu vo veciach ochrany spotrebiteľa a o zmene a doplnení niektorých zákonov v znení zákona č. 284/2002 Z. z. (ďalej len „zákon č. 22/2004 Z. z.”) ako aj pri poskytovaní služieb v zmysle zákona č. 351/2011 Z. z. o elektronických komunikáciách v znení neskorších predpisov (ďalej len „zákon č. 351/2011 Z. z.”), pretože v týchto prípadoch naša súčasná legislatíva umožňuje tzv. opt out súhlas dotknutej osoby v prípadoch priameho marketingu realizovaného vo forme newsletterov zacielených na dotknuté osoby, ktorých adresu elektronickej pošty získali napr. mobilní operátori alebo e-shopy pri predaji svojich tovarov alebo služieb (§ 62 ods. 3 zákona č. 351/2011 Z. z.). osobitný status buď ako poskytovateľ služieb informačnej spoločnosti (§ 2 písm. b) zákona č. 22/2004 Z. z.) alebo podnik (§ 5 ods. 2 zákona č. 351/2011 Z.

Okrem vyššie uvedených podmienok musí prevádzkovateľ v prípade zasielania newsletterov pri využívaní tzv. Inak neprijateľný opt-out súhlas dotknutej osoby vychádzajúci z fikcie udeleného súhlasu pokiaľ ho dotknutá osoba na základe vlastného prejavu vôle neodvolá je na základe osobitnej právnej úpravy § 62 ods. 3 zákona č. 351/2011 Z. z. Avšak v praxi e-shopy spracúvajú osobné údaje na marketingové účely aj nad rámec podmienok stanovených osobitným zákonom pre využívanie opt-out súhlasu, a tak je vždy z hľadiska „ošetrenia” compliance rizika vhodnejšie disponovať aj opt-in súhlasom dotknutej osoby umožňujúcim spracúvanie osobných údajov na všeobecné marketingové účely.

V danej súvislosti je tiež vhodné pripomenúť, že spracúvanie osobných údajov zákazníkov na účely určitých typov vernostných programov, či na účely organizácie a vyhodnocovania spotrebiteľských súťaží sa v regulačnom prostredí vníma ako samostatné spracúvanie osobných údajov, ktoré nie je možné subsumovať pod všeobecné marketingové účely, a preto je potrebné na zabezpečenie týchto špecifických účelov získať od dotknutej osoby samostatný opt-in súhlas, hoci povaha spracúvania je vo všeobecnosti vnímaná ako súčasť komplexnej marketingovej stratégie.

Pracovnoprávne Vzťahy a Maloleté Deti

Ďalšími špecifickými okolnosťami, ktoré je potrebné pri vytváraní právne perfektného súhlasu dotknutej osoby zobrať do úvahy je ešte prítomnosť pracovnoprávnych vzťahov, z ktorých vyplýva faktická nerovnosť a subordinácia medzi zamestnávateľom (prevádzkovateľom) a zamestnancom (dotknutou osobou) ako aj situácia, keď je dotknutou osobou maloleté dieťa.

Spracúvanie Osobných Údajov v Informačných Systémoch

Prevádzkovateľ má IS, v ktorom spracúva osobné údaje dotknutých osôb. Informačný systém osobných údajov Mzdy a personalistika nepodlieha oznamovacej povinnosti na základe § 34 ods. 2 písm. d) zákona č. 122/2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov; je potrebné o ňom viesť iba evidenciu (evidenčný list). podľa § 43 ods. 1 zákona č. 122/2013 Z. z.

Informačný Systém Personalistika a Mzdy

Názov informačného systému nie je zákonom stanovený. Je na prevádzkovateľovi, ako si ho pomenuje, napr. IS Ľudské zdroje, IS PAM, IS Personálna a mzdová agenda.

Prevádzkovateľ zapísaný v obchodnom registri uvedie ako názov prevádzkovateľa obchodné meno, pod ktorým je zapísaný v obchodnom registri (súčasťou obchodného mena právnickej osoby je aj dodatok označujúci jej právnu formu, napr. Lita, a. s.). Prevádzkovateľ zapísaný v živnostenskom registri uvedie ako názov prevádzkovateľa obchodné meno, pod ktorým je zapísaný v živnostenskom registri. Prevádzkovateľ zapísaný v inom registri uvedie ako názov prevádzkovateľa názov, pod ktorým je zapísaný v tomto registri.

Zástupcom prevádzkovateľa je každý, kto na území Slovenskej republiky zastupuje prevádzkovateľa so sídlom, organizačnou zložkou, prevádzkarňou alebo trvalým pobytom v tretej krajine.

Účel spracúvania je jednoznačne vymedzený alebo zákonom ustanovený zámer (dôvod) spracúvania osobných údajov, ktorý sa viaže na určitú činnosť. Platí, že jeden informačný systém = jeden účel spracúvania osobných údajov. V prípade IS personalistika a mzdy je účelom plnenie povinností zamestnávateľa súvisiacich s pracovným pomerom, štátnozamestnaneckým pomerom alebo obdobným vzťahom (napr. na základe dohôd o prácach vykonávaných mimo pracovného pomeru) vrátane predzmluvných vzťahov.

Právny základ je niečo, čo prevádzkovateľa oprávňuje spracúvať osobné údaje. V prípade personálnej a mzdovej agendy ide o osobitné zákony podľa § 10 ods. 2 zákona o ochrane osobných údajov. Každý prevádzkovateľ sám za seba uvedie svoje osobitné zákony, napr. zákon č. 311/2001 Z. z. Zákonník práce v znení neskorších predpisov, zákon č. 317/2009 Z. z., zákon č. 400/2009 Z. z., č. 552/2003 Z. z., č. 553/2003 Z. z., č. 580/2004 Z. z. o zdravotnom poistení a o zmene a doplnení zákona č. 95/2002 Z. z., zákon č. 461/2003 Z. z., zákon č. 595/2003 Z. z., zákon č. 43/2004 Z. z., zákon č. 650/2004 Z. z., zákon č. 5/2004 Z. z., zákon č. 462/2003 Z. z., zákon č. 152/1994 Z. z. o sociálnom fonde a o zmene a doplnení zákona č. 286/1992 Zb., zákon č. 215/2004 Z. z., zákon č. 355/2007 Z. z., zákon č. 124/2006 Z. z., zákon č. 570/2005 Z. z.

Dotknutými osobami sú fyzické osoby, ktorých osobné údaje sú spracúvané v informačnom systéme osobných údajov; dotknutou osobou nie sú právnické osoby (napr. družstvá, obce, obchodné spoločnosti - s. r. o., a. s, k. s, v. o. s) a ani fyzické osoby - podnikatelia (živnostníci). Ide napríklad o uchádzačov o zamestnanie, zamestnancov úradu, manželov alebo manželky zamestnancov úradu, vyživované deti zamestnancov, rodičia vyživovaných detí zamestnancov, blízke osoby, bývalí zamestnanci úradu.

Zoznam osobných údajov alebo rozsah osobných údajov podľa § 10 ods. 4 prvej vety: všetky osobné údaje dotknutých osôb, ktoré sú v informačnom systéme osobných údajov spracúvané (napr. meno, priezvisko, rodné priezvisko a titul). Osobnými údajmi nie sú identifikačné údaje o právnických osobách ani fyzických osobách -podnikateľoch (napr.

Vzhľadom na to, že v informačnom systéme Personalistika a mzdy sa spracúva osobitná kategória osobných údajov podľa § 13 citovaného zákona a informačný systém je prepojený s verejne prístupnou počítačovou sieťou (potreba zasielania podkladov do Sociálnej poisťovne alebo do zdravotných poisťovní), je potrebné mať vypracovaný bezpečnostný projekt informačného systému osobných údajov.

Treťou stranou je každý, kto nie je dotknutou osobou, prevádzkovateľom poskytujúcim osobné údaje, jeho zástupcom, sprostredkovateľom alebo oprávnenou osobou. V tomto bode sa uvádza iný prevádzkovateľ (t. j. ten, kto spracúva osobné údaje vo vlastnom mene), ktorému osobné údaje poskytujete z informačného systému na ďalšie spracovanie. Medzi tretie strany patria napríklad zákon č. 461/2003 Z. z., zákon č. 43/2004 Z. z., zákon č. 580/2004 Z. z. o zdravotnom poistení a o zmene a doplnení zákona č. 95/2002 Z. z., zákon č. 595/2003 Z. z., zákon č. 650/2004 Z. z., zákon č. 461/2003 Z. z., zákon č. 43/2004 Z. z.

Uvádza sa iný prevádzkovateľ, ktorému sa osobné údaje z informačného systému sprístupňujú (napr. dajú na nahliadnutie), ten ich však už ďalej nespracúva vo svojom informačnom systéme. Úrad a prevádzkovateľ podľa § 3 ods. 1 písm. g) zákona sa nepovažujú za príjemcov. Vernostné programy a marketing - osobné údaje sa spravidla nesprístupňujú.

Prevádzkovateľ, ktorý je zamestnávateľom dotknutej osoby, je oprávnený sprístupniť alebo zverejniť jej osobné údaje v rozsahu titul, meno, priezvisko, pracovné, služobné alebo funkčné zaradenie, odborný útvar, miesto výkonu práce, telefónne číslo, faxové číslo alebo elektronickú poštu na pracovisko a identifikačné údaje zamestnávateľa, ak je to potrebné v súvislosti s plnením pracovných, služobných alebo funkčných povinností dotknutej osoby. Sprístupnenie alebo zverejnenie osobných údajov nemôže narušiť vážnosť, dôstojnosť a bezpečnosť dotknutej osoby.

Treťou krajinou je krajina, ktorá nie je členským štátom Európskej únie alebo zmluvnou stranou Dohody o Európskom hospodárskom priestore.

Prevádzkovateľ môže spracúvať osobné údaje len prostredníctvom osôb, ktoré majú postavenie oprávnených osôb. Oprávnenou osobou je každá fyzická osoba, ktorá prichádza do styku s osobnými údajmi v rámci svojho pracovnoprávneho vzťahu, štátnozamestnaneckého pomeru, služobného pomeru, členského vzťahu, na základe poverenia, zvolenia alebo vymenovania, alebo v rámci výkonu verejnej funkcie a ktorá spracúva osobné údaje v rozsahu a spôsobom určeným v poučení podľa § 21 citovaného zákona. Napríklad v informačnom systéme Personalistika a mzdy: personalistka, mzdárka, štatutár, asistentka, vedúci oddelení, majstri (dochádzka, OČR, dovolenka, priepustky a podobne).

Poučenie oprávnených osôb od účinnosti nového zákona o ochrane osobných údajov, t. j. od 1. júla 2013, má tieto zákonom stanovené náležitosti uvedené v § 21 ods. d) prevádzkovateľ je oprávnenú osobu povinný poučiť o právach a povinnostiach ustanovených týmto zákonom a o zodpovednosti za ich porušenie pred uskutočnením prvej operácie s osobnými údajmi.

Nový zákon o ochrane osobných údajov stanovuje, že oprávnená osoba je povinná zachovávať mlčanlivosť o osobných údajoch, s ktorými príde do styku; tie nesmie využiť ani pre osobnú potrebu a bez súhlasu prevádzkovateľa ich nesmie zverejniť a nikomu poskytnúť ani sprístupniť. Podľa § 22 ods.

#

tags: #zmluva #o #poskytovani #sluzieb #spracovanie #osobitne