Osobní údaj? I e-mailová adresa

Osobní údaj? I e-mailová adresa

Podnikatel v roli zaměstnavatele eviduje své zaměstnance a za tím účelem vede jejich osobní spisy. V souladu se zákonem o ochraně osobních údajů je nutné provést likvidaci osobních údajů, jakmile pomine účel, pro který byly osobní údaje zpracovány.
Poté lze uchovat osobní údaje pro účely archívnictví nebo uplatnění práv podnikatele v případném soudním řízení (například v pracovněprávních vztazích po dobu promlčecí lhůty uvedené v zákoníku práce).
Výčet údajů, které jsou považovány za osobní, ovšem v zákoně o ochraně osobních údajů nenajdeme. Namísto toho zákon definuje osobní údaj jako jakoukoli informaci, na jejímž základě je možné přímo či nepřímo člověka identifikovat. Osobním údajem tak může být například i e-mailová adresa obsahující jméno a příjmení.

Pozor na rodná čísla

Rodné číslo umožňuje identifikaci subjektu údajů, a proto je osobním údajem ve smyslu zákona o ochraně osobních údajů.
Rodná čísla jsou však upravena i v zákoně o evidenci obyvatel. Ten stanoví, že je lze zpracovávat bez souhlasu nositele rodného čísla pouze tehdy, jde-li o činnost správních orgánů nebo stanoví-li tak zvláštní zákon.
Následkem této úpravy je, že podnikatelé mohou rodná čísla využívat pouze se souhlasem jejich nositele. A to i v případech, kdy se neuplatní zákon o ochraně osobních údajů.
Přitom každý, kdo má v úmyslu zpracovávat osobní údaje, musí tento svůj záměr písemně oznámit Úřadu pro ochranu osobních údajů ještě před zpracováním.
Toto neplatí v případě, že jde o zpracování veřejně přístupných datových souborů (např. obchodní rejstřík) nebo zpracování osobních údajů, která podnikateli ukládá zvláštní zákon. Jedná se třeba vedení evidenčních listů důchodového pojištění.

Spamming lze uvolnit

Leckdy je ale zákon příliš přísný. Podnikatel, který získal od svého klienta kontaktní elektronické údaje, je sice může v souladu se zákonem o některých službách informační společnosti využít k šíření obchodních sdělení (spamming), ovšem pouze za určitých předpokladů.
Podnikatel především musí od svého klienta získat předem prokazatelný souhlas k využití kontaktních údajů. Musí také zajistit klientovi jasnou a zřetelnou možnost jednoduchým způsobem a zdarma nebo na účet podnikatele svůj souhlas odmítnout. Tuto možnost musí mít při zasílání každé jednotlivé zprávy.
Povinnost získat souhlas k šíření obchodních sdělení předem se v praxi jeví jako příliš přísná. Tím spíše, že obchodní sdělení je v zákoně o některých službách informační společnosti definováno velmi široce.
Doufejme proto, že se v blízké budoucnosti podaří prosadit legislativní změnu umožňující šíření obchodních sdělení do doby, dokud to klient neodmítne (takzvaný systém opt-out).
Dodejme, že podnikatel, který systematicky uchovává elektronické kontakty, provádí zpracování osobních údajů ve smyslu zákona o ochraně osobních údajů, a je proto povinen plnit povinnosti vyplývající z tohoto zákona.

Účel zpracování údajů

Při zpracování osobních údajů, kterým se rozumí jakákoliv systematická operace, jako například shromažďování, uchovávání či ukládání na nosiče informací, je nutné stanovit předem účel zpracování.
Tento účel vyplývá buď ze zákona (daňové předpisy, předpisy sociálního zabezpečení a zdravotního pojištění, zákoník práce), nebo si jej podnikatel stanoví sám. Od účelu zpracování se lze odchýlit jen za zákonem stanovených podmínek, a je to právě účel zpracování, který je rozhodující pro určení rozsahu a doby zpracování.
Zákon se vztahuje na veškerá zpracování osobních údajů s výjimkou zpracování, které provádí fyzická osoba výlučně pro osobní potřebu, a nahodilého shromažďování osobních údajů, pokud tyto údaje nejsou dále zpracovávány - jde například o knihy zakázek.
Zpracování osobních údajů musí být náležitě zabezpečeno, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, jejich změně, zničení či ztrátě nebo jinému neoprávněnému zpracování.
Autor je advokátem ve společnosti Ambruz & Dark, advokáti, v.o.s.