V tomto oběžníku navazujeme na právní oběžník č. 1/2016, kde jsme se v rámci úvodu do problematiky zpracování osobních údajů věnovali především legislativnímu vymezení pojmu osobní údaj. Tedy tomu, co vlastně osobní údaj z pohledu právního je.
Předání či předávání osobních údajů (jiné osobě) je pak jednou z podob zpracování osobních údajů. Konkrétně je toto zmíněno v ustanovení § 4 odst. písm. e) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon o ochraně osobních údajů“). To zní následovně: „zpracováním osobních údajů jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace…“
Pro účely tohoto oběžníku je předání osobních údajů chápáno primárně jako případ, kdy má dojít nebo dochází k předání osobních údajů jinému správci osobních údajů. Taktéž je pochopitelně možné i předání osobních údajů „interní“, tedy zpracovateli osobních údajů, který zajišťuje pro správce některé operace s osobními údaji (hostingová společnost apod.).
Obecně je nutné rozlišovat situace, kdy ke zpracování osobních údajů (včetně předávání osobních údajů) dochází se souhlasem subjektu údajů (se souhlasem zákazníka) a kdy k němu dochází bez takového souhlasu. V případě, kdy je subjektem údajů vysloven souhlas s předáváním osobních údajů, není pozice správce osobních údajů (obchodníka) extrémně složitá, neboť Úřad pro ochranu osobních údajů v této oblasti považuje za dostatečný i souhlas koncipovaný značně obecně. Nicméně i v takovém případě musí obchodník dodržovat ostatní povinnosti stanovené zákonem o ochraně osobních údajů, včetně povinnosti prokázat souhlas subjektu údajů se zpracováním osobních údajů po celou dobu zpracování (§ 5 odst. 4 zákon o ochraně osobních údajů).
Složitější je situace v případech, kdy má docházet ke zpracování osobních údajů, včetně předávání osobních údajů třetím osobám, bez souhlasu subjektu údajů, neboť tyto případy jsou chápany jako výjimka z pravidla. V případě obchodníků v prostředí internetu se nejčastěji uplatní výjimka zakotvená v ustanovení § 5 odst. 2 písm. b) zákona o ochraně osobních údajů. Toto ustanovení zakotvuje, že: „Správce může zpracovávat osobní údaje pouze se souhlasem subjektu údajů. Bez tohoto souhlasu je může zpracovávat, jestliže je zpracování nezbytné pro plnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro jednání o uzavření nebo změně smlouvy uskutečněné na návrh subjektu údajů…“ To znamená, že osobní údaje zákazníka mohou být bez jeho výslovného souhlasu předány kupříkladu přepravní společnosti za účelem doručení zboží dle kupní smlouvy či společnosti, jež zajišťuje záruční opravu zboží z kupní smlouvy. V obou zmiňovaných případech se jedná o plnění smlouvy obchodníkem.
Případy, kdy dochází ke zpracování osobních údajů bez souhlasu subjektu údajů za účelem nabízení obchodu nebo služeb, se budeme zabývat v některém z příštích právních oběžníků.
Josef Aujezdský
Advokátní kancelář Mašek, Kočí, Aujezdský
www.e-Advokacie.cz – on-line právní poradenství
Tento text byl advokátní kanceláří Mašek, Kočí, Aujezdský původně vyhotoven ve spolupráci se spolkem Asociace pro elektronickou komerci (APEK) jako právní oběžník č. 8/2016 určený členům tohoto spolku.