Správce, či zpracovatel osobních údajů?

Není žádnou novinkou, že obecné nařízení pracuje s pojmy správce a zpracovatel, jejich definice je obdobná platné právní úpravě. Správcem chápe subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; zpracovatelem poté subjekt, který zpracovává osobní údaje pro správce (viz čl. 4 a 24 a násl. nařízení). Za dodržování pravidel zpracování osobních údajů je zásadně odpovědný správce, pozice zpracovatele je poté vymezena smluvním vztahem se správcem.

Kdy je tedy pojišťovací zprostředkovatel správce a kdy zpracovatel osobních údajů? Částečnou odpověď můžeme nalézt ve stanovisku Úřadu na ochranu osobních údajů č. 1/2005, které i přes značný časový odstup od svého vydání a několikeré aktualizace stále nabízí jakési vodítko.

Mohlo by vás zajímat: Talanx 2017: Uspokojivý zisk a zvýšení dividendy

Jako základní východisko pro argumentaci Úřadu je definice zprostředkovatelské činnosti v pojišťovnictví ve smyslu § 3 písm. a) zákona č. 38/2004 Sb., kterou se rozumí odborná činnost spočívající v:

• předkládání návrhů na uzavření pojistných smluv nebo zajišťovacích smluv
• v provádění přípravných prací směřujících k uzavření pojistných nebo zajišťovacích smluv
• uzavírání pojistných nebo zajišťovacích smluv jménem a na účet pojišťovny nebo zajišťovny, pro kterou je tato činnost vykonávána
• pomoci při správě pojištění a vyřizování nároků z pojistných nebo zajišťovacích smluv

Pojišťovací zprostředkovatel může mít z hlediska pravidel ochrany osobních údajů s ohledem na uvedenou definici dvojí postavení, a to jednak správce osobních údajů a jednak zpracovatele osobních údajů.

Pro zpracování osobních údajů v rámci smluvního vztahu s pojišťovnou, kdy pojišťovací zprostředkovatel jedná jménem pojišťovny, má postavení zpracovatele osobních údajů – tj. při výkonu výše uvedené činnosti v rámci definice uvedené pod bodem č. 3.

Mohlo by vás zajímat: Fincentrum dostalo od ČNB pokutu 1,5 milionu korun

Činností, kterou vykonává pojišťovací zprostředkovatel v postavení zpracovatele osobních údajů, je dále zejména pomoc při správě pojištění a vyřizování nároků z pojistných smluv, kdy je zprostředkovatel vázán již existující smlouvou mezi klientem a pojišťovnou – tj. činnost uvedená výše v rámci definice pod bodem č. 4. Kromě obchodněprávního kontraktu mezi pojišťovnou a pojišťovacím zprostředkovatelem pro tyto případy musí být uzavřena i smlouva o zpracování osobních údajů.

Vedle výše uvedeného však pojišťovací zprostředkovatel zároveň vystupuje a jedná navenek vůči třetím osobám jako samostatný podnikatel, předmětem jehož podnikání (neboli účelem zpracování osobních údajů) je zprostředkovatelská činnost, kdy o své vůli vybírá potencionální zájemce o uzavření pojistné smlouvy a zpracovává jejich osobní údaje – jedná se o činnosti výše podřazené pod body č. 1 a 2. Pro tento účel a při této činnosti je pojišťovací zprostředkovatel v postavení správce osobních údajů – k tomuto závěru dospěl NSS v odůvodnění svého rozhodnutí 9 As 34/2008-68, a to mimo jiné s ohledem na možné použití shromážděných údajů i pro jiné podnikatelské účely s pojistnými produkty pojišťovny nesouvisejícími.

Uvedené však neplatí, pokud pojišťovací zprostředkovatel provádí činnosti dle bodu č. 1 a 2 na základě pokynu a s osobními údaji, které mu za tímto účelem poskytla v souladu s příslušnou smlouvou pojišťovna anebo tehdy, kdy v souladu s takovou smlouvou zpracovává osobní údaje pro pojišťovnu. V takovém případě je v postavení zpracovatele osobních údajů a platí, co je uvedeno v předešlém odstavci.

Mohlo by vás zajímat: Daňová reforma v USA a její vliv na evropské pojistitele

Konečně pak podřízený pojišťovací zprostředkovatel, který je ve své činnosti vázán pokyny pojišťovacího zprostředkovatele, jehož jménem a na jehož účet jedná, je v postavení zpracovatele osobních údajů.

Z citovaného stanoviska Úřadu je zřejmé, že postavení pojišťovacího zprostředkovatele z pozice správce či zpracovatele osobních údajů determinuje jednak jeho postavení, v jakém je registrován u ČNB (PM, PA, VPA, PPZ), jednak konkrétní obsah právě realizované zprostředkovatelské činnosti a obsah smluvního vztahu s pojišťovnou nebo klientem.

Je zřejmé, že výhledově bude nezbytné opětovně promýšlet uvedenou problematiku s ohledem na připravovaný zákon o distribuci pojištění transponující směrnici IDD, který může s ohledem na novou definici pozic pojišťovacích zprostředkovatelů a pojmu zprostředkování pojištění přinést další změny. Není jistě vyloučeno, že se dočkáme i aktuálního stanoviska Úřadu. Hlavně však nezapomínejme, že v květnu tohoto roku problematika ochrany osobních údajů a nastavení příslušných procesů jistě nekončí.

JUDr. Pavel Škrvna
ředitel úseku právní, vnitřní kontroly a compliance
společnost OK GROUP a.s.