Kolega Miro Štrkolec nás upozornil na možný aplikačný problém týkajúci sa ochrany osobných údajov pri poskytovaní právnych služieb advokátmi a to typicky v prípadoch kedy je klientom advokáta poisťovňa (banka, inkasná spoločnosť a pod.) a advokát ju zastupuje voči jej klientom (omeškanie s úhradou poistného, splátok úveru a pod.)
Začnime legislatívnymi faktami.
Od 1. júla 2013 je účinný nový zákon o ochrane osobných údajov (publikovaný v Zbierke zákonov pod 122/2013), ktorý spracovaním osobných údajov poveruje dve kategórie subjektov a to prevádzkovateľa (spracúva osobné údaje vo vlastnom mene) a sprostredkovateľa (je poverený spracovaním osobných údajov zo strany prevádzkovateľa na základe písomnej zmluvy).
Ak teda prevádzkovateľ chce poveriť spracovaním osobných údajov poveriť niekoho iného - sprostredkovateľa, musí uzavrieť písomnú zmluvu podľa § 8 zákona o ochrane osobných údajov, v ktorom sú definované jej náležitosti. Sprostredkovateľ samozrejme musí byť spôsobilý plniť všetky povinnosti podľa zákona o ochrane osobných údajov.
Z celého radu povinností, ktoré zákon ukladá prevádzkovateľovi aj sprostredkovateľovi je na účely nášho rozboru dôležitý § 8 odsek 7 zákona o ochrane osobných údajov, podľa ktorého „Sprostredkovateľ je vždy povinný pri prvom kontakte s dotknutou osobou oznámiť, že spracúva jej osobné údaje v mene prevádzkovateľa na vymedzený alebo ustanovený účel, ak tento zákon neustanovuje inak.“ Z dôvodovky možno vyčítať len to, že „odsek 7 odzrkadľuje aplikačnú prax a početné oznámenia (resp. návrhy na začatie konania podľa navrhovanej úpravy) dotknutých osôb adresované úradu na prekontrolovanie osoby spracúvajúcej osobné údaje, ktorej dotknutá osoba svoje osobné údaje neposkytla.“ Zákonodarca tak pravdepodobne s cieľom minimalizovať počet situácií, kedy sú spracované osobné údaje fyzických osôb bez toho, aby tieto osoby vedeli, kto ich spracúva, preniesol oznamovaciu povinnosť na sprostredkovateľov.
Osobitnú právnu úpravu pre spracovanie osobných údajov advokátmi predstavuje § 18 odsek 6 a 7 zákona o advokácii, podľa ktorého advokát spracúva osobné údaje klientov a iných fyzických osôb v rozsahu nevyhnutnom na účely výkonu povolania v súlade s osobitným predpisom (zákonom o ochrane osobných údajov) a advokát je oprávnený získavať a spracúvať osobné údaje nevyhnutné na účely výkonu povolania kopírovaním, skenovaním alebo iným zaznamenávaním úradných dokladov na nosič informácií bez súhlasu dotknutej osoby – ide teda o ďalší prípad zákonnej licencie pre spracovanie osobných údajov.
Uvedené ustanovenia boli do zákona o advokácii začlenené jeho novelou účinnou od 1. októbra 2013 (publikovanou v Zbierke zákonov pod 339/2013) – v podkladoch (išlo o zmenu iniciovanú poslaneckým návrhom v rámci novely, ktorá sa dotýkala iných ustanovení zákona o advokácii) z legislatívneho procesu (k nahliadnutiu TU) sa nenachádza žiadne bližšie vysvetlenie a odôvodnenie tejto zmeny.
V našom prípade je prevádzkovateľom poisťovňa/banka/inkasná spoločnosť, dotknutou osobou klient (jeho osobné údaje sú spracované prevádzkovateľom) a advokát, ktorý takejto spoločnosti poskytuje právne služby je sprostredkovateľom.
Skúsme nechať stranou polemiku nad tým, či advokát musí v obdobných prípadoch uzavierať so svojim klientom (bankou) zmluvu podľa § 8 zákona o ochrane osobných údajov, na základe ktorej je oprávnený spracovať osobné údaje – podľa poznatkov z praxe advokáti neraz vychádzajú z toho, že vyššie citované ustanovenia zákona o advokácii (§ 18 odsek 6 predpokladá aj spracovanie osobných údajov tretích osôb, nie len klientov advokáta) nahrádzajú takúto zmluvu.
Otázka, ktorá nás zaujíma v tomto príspevku, znie: je advokát povinný postupovať podľa § 8 odsek 7 zákona o ochrane osobných údajov a informovať dotknutú osobu o tom, že začal spracúvať jej osobné údaje?
Nemusíme pripomínať, ako bizarne takáto situácia môže vyzerať – spravidla bude dotknutá osoba protistranou, voči ktorej klient advokáta (prevádzkovateľ) uplatňuje určitý nárok prípadne sa bráni voči nároku zo strany tohto klienta (dotknutej osoby).
Pojem prvý kontakt nie je v zákone o ochrane osobných údajov definovaný, za najprirodzenejší považujeme výklad, podľa ktorého sa bude jednať o prvý úkon smerujúci voči dotknutej osobe – najčastejšie teda výzvu, odpoveď na výzvu či prvé podanie v súdnom konaní, ktoré bude doručované aj protistrane. Zákon síce počíta s tým, že takéto oznámenie sa má uskutočniť pri prvom kontakte, určite však nič nebráni tomu, aby tak advokát uskutočnil osobitne samostatným oznámením (prvým kontaktom bude takto oznámenie).
Áno, z toho čo sme v právnej úprave našli nám vychádza – nech to sa javí akokoľvek čudne – že advokát takúto oznamovaciu povinnosť má. Ustanovenia § 18 odsek 6 a 7 zákona o advokácii síce majú povahu špeciálnej úpravy ochrany osobných údajov pre oblasť poskytovania právnych služieb, rozhodne z nich však nemožno vyčítať vylúčenie aplikácie § 8 odsek 7 zákona o ochrane osobných údajov – úprava v zákone o advokácii len veľmi všeobecne upravuje zákonnú licenciu pre oblasť poskytovania právnych služieb, sama však odkazuje na to, že za pri spracovaní osobných údajov aplikuje zákon o ochrane osobných údajov.
„Únikovou cestou“ by mohol byť ešte § 8 odsek 6 zákona o ochrane osobných údajov, ktorý ukladá prevádzkovateľovi povinnosť oznámiť dotknutej osobe (svojmu klientovi), že spracovaním jej osobných údajov poveril sprostredkovateľa a to do 3 mesiacov od takéhoto poverenia a to v prípadoch, kedy došlo k povereniu až po získaní osobných údajov. Túto povinnosť prevádzkovateľ nemá, ak spracovanie osobných údajov sprostredkovateľ oznámi dotknutej osobe postupom podľa § 8 odsek 7 zákona o ochrane osobných údajov.
Ak bolo motívom zakotvenia oznamovacej povinnosti (viď vyššie) to, aby dotknutá osoba bola informovaná o tom, kto spracúva jej osobné údaje malo by postačovať oznámenie zo strany prevádzkovateľa a oznámenie samotným sprostredkovateľom by potom bolo duplicitné - pri tomto závere, by advokát bol oslobodený od nezmyselnej povinnosti a informáciu o tom, že spracúva osobné údaje, by dotknuté osoby dostávali od subjektu, s ktorým boli v zmluvnom vzťahu od počiatku. Hoci takéto rozuzlenie považujeme za logické, chýba mu legislatívne vyjadrenie a ide skôr len o argument či riešenie de lege ferenda.
Nateraz vychádzame z toho, že advokáti analyzovanú povinnosť majú - téme sa ešte budeme venovať a pokúsime sa získať stanovisko Slovenskej advokátskej komory a Úradu na ochranu osobných údajov.
Šaňo Bröstl ml.
