Povinnost mlčenlivosti zaměstnance ve vztahu k osobním údajům

Dne 25. 5. 2018 nabylo účinnosti nařízení Evropského parlamentu a rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně osobních údajů, angl. General Data Protection Regulation) (dále též „GDPR“).

Advokátní kancelář Kříž a partneři s.r.o.

GDPR klade na zaměstnavatele, které vystupují v pozici správce nebo zpracovatele údajů řadu povinností, a to zejména povinnost chránit spravovaná nebo zpracovávaná osobní data subjektu údajů před jejich neoprávněným zpřístupněním třetím osobám. Samotným zaměstnancům správce nebo zpracovatele údajů však GDPR přímo žádné takové konkrétní povinnosti nestanovuje.

V souvislosti s tím vyvstává otázka, zda a případně jakým způsobem má zaměstnavatel za účelem splnění zmiňované zavázat zaměstnance k mlčenlivosti ohledně veškerých osobních údajů, se kterými v rámci výkonu své práce přijde do styku.

Ze zákona č. 262/2006 Sb., zákoník práce ve znění pozdějších předpisů (dále též „ZP“), explicitně povinnost mlčenlivosti zaměstnanců zakotvena není. Zákoník práce v ust. § 303 odst. 2 písm. b) počítá s povinností zachovávat mlčenlivost o skutečnostech, o nichž se dozvěděli při výkonu zaměstnání a které v zájmu zaměstnavatele nelze sdělovat jiným osobám pouze v případě zaměstnanců taxativně vyjmenovaných v § 303 odst. 1 ZP.

Na ostatní zaměstnance tak lze vztáhnout pouze obecnou povinnost nejednat v rozporu s oprávněnými zájmy zaměstnavatele zakotvenou v § 301 písm. d) ZP. Dosavadní rozhodovací praxe však zatím zcela jednoznačně neurčila, zda lze uvedenou povinnost zaměstnance zachovávat určitou míru loajality vůči zaměstnavateli vztáhnout též na povinnost mlčenlivosti ohledně skutečností, které se zaměstnanec dozví v souvislosti s výkonem práce, a je proto v rámci předběžné opatrnosti vhodné nějakým nástrojem tuto povinnost zaměstnanci stanovit.

Nebude tak však možné učinit jednostranně. Podle § 305 odst. 1 ZP se nepřihlíží k ustanovením vnitřního předpisu, kterým je zaměstnanci ukládána povinnost, nebo jsou zkracována jeho práva stanovená zákoníkem práce. Ani pracovní řád, jakožto svého druhu vnitřní předpis, který rozvádí práva a povinnosti zaměstnanců stanovená zákoníkem práce a dalšími předpisy, nemůže s odkazem na § 306 odst. 2 ZP povinnost mlčenlivosti zaměstnanců sám zakotvovat.

Zaměstnavateli tedy nezbývá než uzavřít s každým příslušným zaměstnancem zvláštní dohodu, ve které se zaměstnanec zaváže nezpřístupňovat osobní údaje, s nimiž se při výkonu své práce seznámí, třetím osobám. V případě nově nastupujících zaměstnanců lze jistě doporučit toto ustanovení vtělit přímo do uzavírané pracovní smlouvy.

Taková dohoda ovšem pochopitelně nemůže obsahovat žádná sankční ustanovení, neboť § 346b ZP zakazuje jakákoliv ujednání o smluvní pokutě. Zaměstnavatel se tedy v případě, že zaměstnanec tuto svou smluvní povinnost poruší, bude po něm moci domáhat pouze náhrady škody, přičemž ho však v případném sporu bude tížit břemeno důkazní.

Závěrem tedy lze konstatovat, že ačkoliv povinnost zachovávat mlčenlivost o veškerých osobních údajích, se kterým zaměstnanec v rámci výkonu své práce přijde do styku, může teoreticky vyplývat i přímo z § 301 písm. d) zákoníku práce, lze zaměstnavatelům jistě doporučit uzavření zvláštní dohody, ve které se zaměstnanec k dodržování této mlčenlivosti zaváže.