Postavenie právnických osôb a fyzických osôb – podnikateľov z pohľadu ochrany osobných údajov

Úrad na ochranu osobných údajov Slovenskej republiky zverejnil podrobnejší rozbor náhľadu úradu na ochranu a spracúvanie osobných údajov osôb konajúcich za právnické osoby a fyzických osôb – podnikateľov.

Autori: Úrad na ochranu osobných údajov Slovenskej republiky
Právny stav od: 20. 11. 2018
Dátum publikácie: 28. 11. 2018
Prameň: EPI Odborné články / epi - 2018
Oblasti práva: Správne právo / Informácie, informačný systém / Ochrana údajov / GDPR


Nariadením sa chránia základné práva a slobody fyzických osôb, a to najmä ich právo na ochranu osobných údajov. Podľa recitálu 14 Nariadenia sa toto Nariadenie nevzťahuje na spracúvanie osobných údajov, ktoré sa týka právnických osôb, najmä podnikov založených ako právnické osoby vrátane názvu, formy a kontaktných údajov právnickej osoby.

V tejto súvislosti uvádzame do pozornosti závery rozsudku Súdneho dvora Európskej únieBližšie rozsudok SD EÚ v spojených veciach C-92/09 a C-93/09, Volker und markus Schecke GbR a Hartmut Eifert/Spolková krajina Hesensko, 9. novembra 2010, body 53,54 a 87 , podľa ktorého sa právnické osoby môžu dovolávať ochrany len v rozsahu, v akom názov právnickej osoby identifikuje jednu alebo viaceré fyzické osoby. Takisto možno uviesť aj stanovisko pracovnej skupiny WP29 4/2007, v zmysle ktorého, informácie o právnických osobách sa môžu tiež považovať za súvisiace s fyzickými osobami, napríklad ak názov právnickej osoby je odvodený od mena a priezviska fyzickej osoby.

Úrad na ochranu osobných údajov Slovenskej republiky (ďalej len ,,úrad“) si v súčasnosti vykladá predmetnú otázku tak, že z príslušného recitálu 14 Nariadenia je zrejmé, že aj pri spracúvaní údajov o podnikoch založených ako právnické osoby môže dôjsť k spracúvaniu osobných údajov fyzických osôb. Nariadenie, ako ani zákon č. 18/2018 Z. z. sa však na spracúvanie takýchto osobných údajov nevzťahuje.

Osobné údaje fyzických osôb, ktoré právnickú osobu zastupujú, konajú v jej mene, podliehajú v plnom rozsahu ochrane podľa Nariadenia a zákona č. 18/2018 Z. z., preto napríklad aj na údaje o štatutárnych zástupcoch právnickej osoby, ktoré sú obsiahnuté v zmluvnej dokumentáciiPrávnym základom spracúvania v tomto prípade môže byť napríklad oprávnený záujem podľa čl. 6 ods. 1 Nariadenia alebo samotná zmluva v súlade s čl. 6 ods. 1 písm. b) Nariadenia. Pokiaľ ide o kontaktné údaje zamestnancov zmluvných strán, takéto osobné údaje poskytuje zmluvou druhej zmluvnej strane prevádzkovateľ v postavení zamestnávateľa, v súlade s § 78 ods. 3 zákona č. 18/2018 Z. z. Kontaktné údaje právnickej osoby, ktoré možno priradiť konkrétnej fyzickej osobe (napr. Anna.Nova@firma.sk) teda takisto podliehajú ochrane podľa Nariadenia/zákona č. 18/2018 Z. z. , alebo sú uvedené na portáloch obsahujúcich najmä ekonomické informácie o spoločnostiach (verejne dostupné zdroje Napr. zákon č. 530/2003 Z. z. o obchodnom registri v znení neskorších predpisov alebo zákon č. 431/2002 Z. z. o účtovníctve v znení neskorších predpisov. ), sa vzťahuje právna úprava podľa Nariadenia a zákona č. 18/2018 Z. z. Uvedené platí samozrejme len v prípadoch, ak k spracúvaniu dochádza v rámci činností, ktoré nie sú z pôsobnosti Nariadenia (čl. 2 a 3) a zákona č. 18/2018 Z. z. vylúčené.

 

Fyzické osoby, prevádzkujúce živnosť v zmysle zákona č. 455/1991 Zb. o živnostenskom podnikaní (živnostenský zákon) v znení neskorších predpisov a fyzické osoby vykonávajúce podnikateľskú činnosť podľa osobitných právnych predpisov (tzv. slobodné povolania) (ďalej spolu len ,,fyzická osoba - podnikateľ“) sú v tomto kontexte osobitnou skupinou.

Osobné údaje sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby - „dotknutá osoba“. Identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby.

Možnosť dotknutú osobu identifikovať, či už priamo alebo nepriamo, je potrebné rozumne predpokladať. Nejedná sa teda len o hypotetickú možnosť identifikácie dotknutej osoby, ktorá by si vyžadovala mimoriadne úsilieNajvyšší súd Slovenskej republiky v rozhodnutí sp. zn. 6 Sžo 250/2008 vymedzil, že neúmerne vysokým úsilím sa rozumie získavanie údajov z ťažko dostupného zdroja, získavanie údajov dlhodobým vyhľadávaním, viacnásobným overovaním, porovnávaním a triedením alebo získavanie údajov prieskumom, ktorého výsledky je možné priradiť viacerým fyzickým osobám, ktoré treba ďalej analyzovať, upresňovať a selektovať. alebo náklady, ktoré by v konečnom dôsledku ani nemuseli viesť k úspešnej identifikácii. Ako bolo konštatované aj v prípade Patrick Breyer proti Spolkovej republike NemeckoRozsudok SD EÚ C-213/15, zo dňa 19. októbra 2016 Patrick Breyer proti Spolkovej republike Nemecko , na určenie toho, či je osoba identifikovateľná, sa majú vziať do úvahy všetky prostriedky, pri ktorých je primeraná pravdepodobnosť, že ich využije prevádzkovateľ alebo ľubovoľná iná osoba na identifikáciu príslušnej osoby. Súdny dvor Európskej únie uviedol, že na to, aby sa určitý údaj mohol kvalifikovať ako osobný údaj, nie je nevyhnutné, aby sa všetky informácie umožňujúce identifikovať dotknutú osobu museli nachádzať v rukách jedinej osoby. Kľúčovým je výsledok, teda možnosť a schopnosť fyzickú osobu jednoznačne určiť a spoľahlivo ju odlíšiť od ostatných fyzických osôb.

Vo veci Amann/ŠvajčiarskoESĽP, Aman/Švajčiarsko, č. 27798/95, 16. februára 2000, bod 65 ESĽP poukázal na to, že termín súkromný život sa nesmie vykladať reštriktívne. V tomto prípade verejné orgány odpočúvali služobný telefonický hovor sťažovateľa. Odpočúvanie sa síce týkalo služobného telefonického hovoru, ESĽP sa však domnieval, že uchovávanie údajov o tomto telefonáte súviselo so súkromným životom sťažovateľa a konštatoval, že rešpektovanie súkromného života zahŕňa právo na nadväzovanie a budovanie vzťahov s inými ľudskými bytosťami. Navyše neexistoval žiadny principiálny dôvod, ktorý by oprávňoval vylúčenie činnosti pracovnej alebo obchodnej povahy z pojmu súkromný život.

 

ESĽP vo veci Niemietz/Nemecko konštatoval, že by mohlo byť príliš reštriktívne limitovať pojem súkromný život „výsostným okruhom“. Rešpektovanie súkromného života musí tiež obsahovať do určitej miery právo zakladať a rozvíjať vzťahy s ostatnými ľuďmi. Okrem toho neexistuje dôvod, pre ktorý sa má pojem súkromný život chápať ako vylučujúci aktivity profesijnej alebo obchodnej povahy, pretože práve počas svojho pracovného života má väčšina ľudí významnú, ak nie najväčšiu príležitosť rozvíjať vzťahy s vonkajším svetom. Tento názor je podopretý skutočnosťou, na čo už správne poukázala Komisia, že nemožno vždy presne rozoznať, ktoré aktivity jednotlivca tvoria časť jeho profesijného alebo obchodného života a ktoré nie. Preto najmä v prípade, ak jednotlivec vykonáva slobodné povolanie, môže jeho práca tvoriť časť jeho života do takej miery, že sa stane nemožným určiť, v ktorej oblasti koná v danom časovom okamihu. Odopretie ochrany podľa článku 8 Európskeho dohovoru o ľudských právach, na základe toho, že namietané opatrenie sa vzťahovalo len na profesijné aktivity (tak, ako to v tomto prípade navrhovala vláda), by mohlo navyše viesť k nerovnakému zaobchádzaniu, pretože táto ochrana by nezostala prístupná osobe, ktorej profesijné a neprofesijné aktivity sú spojené tak, že sa nedá medzi nimi rozlišovať.ESĽP, Niemietz/Nemecko, č. 13710/88, 16. decembra 1992, bod 29

 

Vo veci Volker und Markus Schecke GbR SD EÚ konštatoval, že pre posudzovanie nemá nijaký význam skutočnosť, že zverejňované údaje sa týkajú profesijných činností.Bližšie rozsudok SD EÚ v spojených veciach C-92/09 a C-93/09, Volker und markus Schecke GbR, bod 59

Možno poukázať aj na rozsudok Nejvyššího správního soudu České republiky sp. zn. 1 Afs 60/2009, v ktorom sa konštatuje, že oblasť pracovných aktivít fyzických osôb podnikateľov je silne previazaná s ich súkromným životom. Nie je preto možné plošne pristúpiť k analogickému posudzovaniu ako v prípade právnických osôb, na ktoré sa zákon o ochrane osobných údajov nevzťahuje. „Je potrebné vziať do úvahy tiež to, že taxikár vo svojom vozidle trávi prevažnú časť svojho pracovného dňa. Taxikár v priebehu svojej jazdy so zákazníkom nadväzuje a rozvíja kontakty s okolitým svetom. V prípade opačného názoru by bol problém jednoznačné určiť a rozlíšiť, aké osobné prejavy taxikára v priebehu interakcie so zákazníkom možno charakterizovať ako pracovnú činnosť a čo už tvorí jeho súkromný život. Obzvlášť v takomto prípade, kedy jednotlivec vykonáva slobodné povolanie, je práca súčasťou jeho súkromného života a nie je možné určiť, do akej miery v danom okamihu pracuje či realizuje svoj súkromný život.“ Dostupné na webovej stránke: http://www.nssoud.cz/files/SOUDNI_VYKON/2009/0060_1Afs_0900119A_prevedeno.pdf  


Úrad v predmetnej otázke rešpektuje judikatúru Európskeho súdu pre ľudské práva a Súdneho dvora Európskej únie, ktoré sa prikláňajú k širokému výkladu pojmu práva na súkromie, pod ktoré možno subsumovať tiež ochranu osobných údajov vzťahujúcich sa na živnosť či slobodné povolanie.


Je nepochybné, že aj informácie o fyzických osobách – podnikateľoch môžu z hľadiska ich vecného obsahu zodpovedať definícii osobného údaju. Dotknutou osobou tak môže byť aj fyzická osoba – podnikateľ, nakoľko nie je vylúčené, že by mohlo dôjsť k narušeniu jeho súkromia a ochrany osobných údajov. V nadväznosti na uvedené je úrad toho názoru, že aj pri výkone povolania má každý právo na primeranú ochranu súkromia, ktoré zahŕňa tiež ochranu osobných údajov. Aj s ohľadom na úzku previazanosť súkromného a profesijného života fyzických osôb – podnikateľov, pri spracúvaní údajov o nich môže dôjsť k identifikácii fyzickej osoby, ktorá bude identifikovaná na základe znakov, tvoriacich výkon činnosti fyzickej osoby - podnikateľa. Prípadné vyčlenenie niektorých údajov mimo pôsobnosti Nariadenia/zákona č. 18/2018 Z. z. môže byť uskutočnené len ad hoc po zohľadnení individuálnych okolností prípadu, nakoľko určenie, či sa jedná o osobný údaj vždy závisí od komplexného posúdenia dostupných údajov v ich vzájomnej súvislosti a zároveň situácie, ako celku.

 

Záverom úrad dodáva, že aj Európska komisia zdôrazňuje, že Nariadenie sa vzťahuje len na fyzické osoby. Ak v členskom štáte fyzická osoba vykonáva ekonomické činnosti, ale podľa vnútroštátneho práva členského štátu nie je považovaná za právnickú osobu, potom by táto osoba mala mať priznanú ochranu podľa Nariadenia.http://ec.europa.eu/transparency/regexpert/index.cfm?do=groupDetail.groupDetailDoc&id=31371&no=2 Použité skratky: Nariadenie - Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) Zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov.

Poznámka redakcie: § 81 ods. 2 písm. d) zákona č. 18/2018 Z. z.

 

Autor: Úrad na ochranu osobných údajov Slovenskej republiky

Súvisiace autorsky spracované rozhodnutie súdu

Súvisiace odborné články

Súvisiace príklady z praxe

Súvisiace právne predpisy ZZ SR


S-EPI, s.r.o. © 2010-2018, všetky práva vyhradené