Whistleblowing z pohľadu GDPR

Úprava podmienok poskytovania ochrany osobám pred neoprávneným postihom v pracovnoprávnom vzťahu alebo v inom obdobnom vzťahu v súvislosti s oznamovaním kriminality alebo inej protispoločenskej činnosti (tzv. whistleblowing) v sebe nesie aj aspekt ochrany osobných údajov. Pri nastavovaní internej dokumentácie je preto potrebné zamerať sa na whistleblowing aj z pohľadu GDPR. Čomu v tomto smere treba venovať najväčšiu pozornosť?

Každý zamestnávateľ v súkromnej sfére, ktorý zamestnáva viac ako 50 zamestnancov, musí mať vnútorný systém oznamovania nezákonných činností. Pre verejný sektor to platí od piatich zamestnancov. Toto pravidlo a podmienky poskytovania ochrany osobám v pracovnoprávnom vzťahu alebo v inom obdobnom vzťahu v súvislosti s oznamovaním kriminality alebo inej protispoločenskej činnosti upravuje zákon č. 54/2019 Z. z. o ochrane oznamovateľov protispoločenskej činnosti a o zmene a doplnení niektorých zákonov v z. n. p. (ďalej len zákon o ochrane oznamovateľov). Ten v ust. § 10 ods. 9 zaväzuje zamestnávateľa k vydaniu vnútorného predpisu, v ktorom okrem iného určí tiež podrobnosti o spracúvaní osobných údajov uvedených v oznámení.

Spracúvanie osobných údajov sa riadi osobitným predpisom, a to nariadením európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov, Ú. v. EÚ L 119, 4. 5. 2016. ďalej len GDPR).

Informačná povinnosť pre dotknuté osoby

Medzi prvoradé povinnosti zamestnávateľa v súvislostí whistleblowingu a ochrany osobných údajov možno uviesť vypracovanie informačnej povinnosti podľa čl. 13 GDPR. Dokument bude adresovaný všetkým oznamovateľom protispoločenskej činnosti (nielen zamestnancom) a súčasne aj ďalším dotknutým osobám, ktorých osobné údaje môžu byť predmetom oznámenia o protispoločenskej činnosti. Obsahom tejto informačnej povinnosti sú nasledujúce informácie:

a)  Totožnosť a kontaktné údaje prevádzkovateľa a v príslušných prípadoch zástupcu prevádzkovateľa;

Uvádza sa názov, adresa sídla/miesta podnikania, IČO a z kontaktných údajov email, telefónne číslo. Zástupcu určuje ten prevádzkovateľ, ktorý nie je usadený v Európskej únii, avšak spracúva osobné údaje dotknutých osôb nachádzajúcich sa na jej území (čl. 27 v spojení s čl. 3 ods. 2 GDPR). Iba tento typ prevádzkovateľov uvádza v informačnej povinnosti svoju totožnosť a kontaktné údaje, ako aj totožnosť a kontaktné údaje svojho zástupcu, ktorý musí byť usadený v niektorom z členských štátov Európskej únie.

b)  Kontaktné údaje prípadnej zodpovednej osoby

Ak má prevádzkovateľ menovanú zodpovednú osobu, musí v informačnej povinnosti uviesť jej kontaktné údaje, ako email, či telefónne číslo. Odporúča sa zvoliť neutrálny formát emailovej adresy, ako napríklad zodpovednaosoba@firma.sk, gdpr@firma.sk a pod. Nie je vhodné uvádzať formát emailovej adresy skrz mena a priezviska menovanej zodpovednej osoby. Súčasne je potrebné odlíšiť funkciu zodpovednej osoby podľa GDPR a funkciu zodpovednej osoby podľa zákona o ochrane oznamovateľov. Ide o dva rozdielne inštitúty a ani v praxi by pre možný konflikt právomocí nemalo ísť o totožné osoby.

c)  Účely spracúvania, na ktoré sú osobné údaje určené, ako aj právny základ spracúvania;

V súvislosti s oznamovaním protispoločenskej činnosti sú možné tieto účely spracúvania a na základe týchto právnych základov:

d)  Ak sa spracúvanie zakladá na článku 6 ods. 1 písm. f), oprávnené záujmy, ktoré sleduje prevádzkovateľ alebo tretia strana;

V zmysle tohto ustanovenia sa vyžaduje, aby bol v informačnej povinnosti popísaný oprávnený záujem prevádzkovateľa, ak sa spracúvanie uskutočňuje na tomto právnom základe. V prípade agendy whistleblowingu sa spracúvanie osobných údajov deje pri väčšine účelov na právnom základe čl. 6 ods. 1 písm. c) GDPR, t. j. v dôsledku plnenia zákonnej povinnosti. Je však možné, aby táto agenda interne u konkrétneho prevádzkovateľa zahŕňala aj problematiku dodržiavania prevádzkovateľom vydaného etického kódexu.

Osobné údaje na účel preverovania oznámení a podozrení na porušenie etického kódexu prevádzkovateľa sú potom spracúvané v rozsahu a spôsobom, ktorý je nevyhnutný na ochranu jeho oprávnených záujmov. Tými sú samotné dodržiavanie etického kódexu, ochrana majetku a majetkových práv ako aj preukazovanie dodržiavania zákonných a zmluvných povinností.

e)  Príjemcov alebo kategórie príjemcov osobných údajov, ak existujú;

Príjemcom je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorému sa osobné údaje poskytujú bez ohľadu na to, či je treťou stranou. Príjemcom sa rozumejú sprostredkovatelia a tretie strany, ktorým sú osobné údaje poskytované. V závislosti od účelu spracúvania osobných údajov pri oznamovaní protispoločenskej činnosti pôjde o rôzne kategórie príjemcov ako súd, orgány činné v trestnom konaní, inšpektorát práce, Úrad na ochranu oznamovateľov protispoločenskej činnosti, Ministerstvo spravodlivosti SR, a ďalšie subjekty, ktorým prevádzkovateľ poskytuje osobné údaje priamo zo zákona.

Okrem toho môžu to byť aj odborní konzultanti, školitelia, poradcovia, advokáti, ktorí sú viazaní zákonnou a/alebo zmluvnou povinnosťou mlčanlivosti a poskytujú prevádzkovateľovi svoje služby. Na margo pravidelného uvádzania orgánov verejnej moci v rámci kategórie príjemcov v praxi uvádzame, že v zmysle čl. 4 bod 9 GDPR bude v poriadku, ak tieto budú v informačnej povinnosti absentovať. Orgány verejnej moci, ktoré môžu prijať osobné údaje v rámci konkrétneho zisťovania v súlade s právom Európskej únie alebo právom členského štátu, sa totiž nepovažujú za príjemcov (čl. 4 bod 9 GDPR).

f)  V relevantnom prípade informáciu o tom, že prevádzkovateľ zamýšľa preniesť osobné údaje do tretej krajiny alebo medzinárodnej organizácii;

V tejto súvislosti je potrebné overiť, či prenos nebude uskutočňovať sprostredkovateľ, ktorého si prevádzkovateľ zvolil na účel správy agendy whistleblowingu. Ak áno, je potrebné túto informáciu uviesť v informačnej povinnosti.

g)  Dobu uchovávania osobných údajov alebo, ak to nie je možné, kritériá na jej určenie;

Doba uchovávania osobných údajov je závislá od toho-ktorého účelu spracúvania osobných údajov. Samotný zákon o ochrane oznamovateľov počíta v § 11 s tým, že zamestnávateľ bude povinný viesť evidenciu oznámení o protispoločenskej činnosti počas troch rokov odo dňa doručenia oznámenia. V prípade ostatných účelov považujeme za primeranú lehotu uchovávania osobných údajov 5 rokov nasledujúcich po roku, ktorého sa týkajú.

h)  Informácia o právach dotknutej osoby;

Dotknutá osoba má viacero práv, o ktorých je povinný ju prevádzkovateľ informovať. Dotknutá osoba má právo získať potvrdenie od prevádzkovateľa o tom, či spracúva jej osobné údaje. V prípade, ak prevádzkovateľ spracúva jej osobné údaje, má právo získať prístup k týmto osobným údajom, a to v rozsahu účel spracúvania, kategória osobných údajov, príjemcovia osobných údajov, doba spracúvania osobných údajov a informácia o zdroji, z ktorého boli osobné údaje získané (právo na prístup k údajom, čl. 15 GDPR). Ďalej má dotknutá osoba právo na základe žiadosti na opravu jej nesprávnych osobných údajov alebo na doplnenie jej neúplných osobných údajov (právo na opravu alebo doplnenie, čl. 16 GDPR). Na základe žiadosti má dotknutá osoba právo požiadať o vymazanie jej vlastných osobných údajov, ak je splnený niektorý z dôvodov uvedených v čl. 17 GDPR. Môže tiež požiadať o blokáciu jej osobných údajov, t. j. uplatniť si právo na obmedzenie spracúvania za podmienok uvedených v čl. 18 GDPR. Pokiaľ sa dotknutá osoba domnieva, že došlo k porušeniu jej práv k osobným údajom alebo k porušeniu spracúvania jej údajov, má právo obrátiť sa so sťažnosťou na dozorný orgán, ktorým je Úrad na ochranu osobných údajov SR. V tejto časti informačnej povinnosti je potrebné upriamiť pozornosť na to, aby sme dotknutú osobu neinformovali zmätočne. V praxi veľmi často dochádza k formálnemu prepisu práv dotknutej osoby z GDPR a informuje sa aj o právach, ktoré dotknutej osobe v danej súvislosti neprináležia.

Napríklad právo namietať proti spracúvaniu (čl. 21 GDPR) majú dotknuté osoby len v prípade, ak k spracúvaniu dochádza na právnom základe oprávneného záujmu. Právo na prenosnosť údajov (čl. 20 GDPR), či právo odvolať súhlas sú bezprostredne späté s právnym základom súhlasu, a tento sa pri spracúvaní osobných údajov pri oznamovaní protispoločenskej činnosti vôbec nevyužíva.

i) Informácia o tom, či je poskytovanie osobných údajov zákonnou alebo zmluvnou požiadavkou, alebo požiadavkou, ktorá je potrebná na uzavretie zmluvy, či je dotknutá osoba povinná poskytnúť osobné údaje, ako aj možné následky neposkytnutia takýchto údajov;

V prípade whistleblowingu je poskytovanie osobných údajov zákonnou požiadavkou. V prípade neposkytnutia týchto údajov, nie je možné zabezpečiť riadne plnenie povinností prevádzkovateľa, ktoré mu vyplývajú z príslušných všeobecných právnych predpisov.

j)  Napokon má informačná povinnosť obsahovať aj informáciu o tom, či v danej súvislosti dochádza k automatizovanému rozhodovaniu vrátane profilovania.

V praxi slovenských zamestnávateľov sa spracúvanie osobných údajov pri oznamovaní protispoločenskej činnosti spravidla neuskutočňuje za využitia automatizovaného rozhodovania, ani nedochádza k profilovaniu. Obsahom informačnej povinnosti má byť potom negatívna informácia, že k automatizovanému rozhodovaniu ani k profilovaniu nedochádza.

RADA!

Okrem obsahu informačnej povinnosti je potrebné upriamiť pozornosť aj na to, kedy ju je treba plniť. GDPR ustanovuje, že prevádzkovateľ poskytne dotknutej osobe informácie pri získavaní osobných údajov. Spôsobom plnenia už nie je definovaný. Je vecou každého prevádzkovateľa, aby vedel včasné a obsahovo správne plnenie informačnej povinnosti preukázať.

doc. JUDr. Jana Žuľová, PhD.

Právnická fakulta, UPJŠ v Košiciach

§ 10 zákona č. 54/2019 Z. z., o ochrane oznamovateľov protispoločenskej činnosti
cit. na strane 57

Vnútorný systém preverovania oznámení

(1) Zamestnávateľ, ktorý zamestnáva najmenej 50 zamestnancov, zamestnávateľ, ktorý poskytuje finančné služby, služby v oblasti bezpečnosti dopravy alebo služby v oblasti životného prostredia, a zamestnávateľ, ktorý je orgánom verejnej moci, ktorý zamestnáva najmenej päť zamestnancov, je povinný určiť organizačnú zložku alebo osobu v rámci svojej organizácie, ktorá plní úlohy zamestnávateľa podľa odsekov 5 až 8 a § 11 ods. 1 (ďalej len „zodpovedná osoba“). Zodpovedná osoba musí mať odborné predpoklady na plnenie úloh podľa tohto zákona. V obci a vo vyššom územnom celku je zodpovednou osobou hlavný kontrolór.

(2) Na základe zmluvy so zamestnávateľom môže v zamestnávateľovom mene prijímanie a potvrdenie oznámení vykonávať aj iná osoba, ktorá nie je jeho zamestnancom. Osoba podľa prvej vety môže vykonávať aj preverovanie oznámení v mene zamestnávateľa, ktorý nie je orgánom verejnej moci a ktorý zamestnáva menej ako 250 zamestnancov; tým nie je dotknutá povinnosť podľa odseku 1.

(3) Zamestnávateľ podľa odseku 1, ktorý je orgánom verejnej moci, plní úlohu podľa odseku 9 a prostredníctvom zodpovednej osoby plní úlohy podľa odsekov 5 až 8 a § 11 ods. 1 aj vo vzťahu k rozpočtovej organizácii a príspevkovej organizácii, ktoré sú v jeho zriaďovateľskej pôsobnosti, vo vzťahu k štátnemu podniku, ktorého je zakladateľom, vo vzťahu k fondu, ktorý je v jeho správe, a vo vzťahu k akciovej spoločnosti so 100 % majetkovou účasťou štátu, ku ktorej vykonáva akcionárske práva, ak táto právnická osoba zamestnáva menej ako 50 zamestnancov.

(4) Zamestnávateľ podľa odseku 1 je povinný umožniť zodpovednej osobe nezávislé plnenie jej úloh, pričom zodpovedná osoba je viazaná len pokynmi štatutárneho orgánu...