Může být pověřenec školy také příslušnou osobou podle zákona o ochraně oznamovatelů?

Podle § 11 tohoto zákona je úkolem příslušné osoby především přijímat a posuzovat důvodnost oznámení podaného prostřednictvím vnitřního oznamovacího systému, navrhovat opatření k nápravě nebo předejití protiprávnímu stavu v návaznosti na podané oznámení.

Oznámením ve smyslu zákona o ochraně oznamovatelů je oznámení, které obsahuje informace o možném protiprávním jednání, které má znaky trestného činu, znaky přestupku, za který zákon stanoví sazbu pokuty, jejíž horní hranice je alespoň 100 000 Kč, porušuje tento zákon, nebo porušuje jiný právní předpis nebo předpis Evropské unie v oblastech, které zákon vyjmenovává.

Z výše uvedeného tedy vyplývá, že příslušnou osobou by měl být někdo, kdo je schopen rozeznat nejen to, zda lze podané oznámení kvalifikovat jako trestný čin nebo přestupek, ale i musí být také schopen kvalifikovat přestupek a rozhodnout, jaká je možná horní hranice pokuty, která za něj může být uložena. Ideálně by to tedy měla být osoba s právním vzděláním.

A to přestože základními kvalifikačními předpoklady podle § 10 zákona o ochraně oznamovatelů je pouze bezúhonnost, zletilost a plná svéprávnost.

Školy obvykle nemají k dispozici osoby, které by se dobře orientovaly v právních předpisech. Častým dotazem proto je, zda příslušnou osobou podle zákona o ochraně oznamovatelů může být pověřenec pro ochranu osobních údajů, které již škola má jmenovaného a který by měl podle Obecného nařízení (GDPR) splňovat kvalifikační požadavky, jež poměrně dobře odpovídají požadavkům na příslušnou osobu.

K této otázce se také ve své metodice vyjádřilo ministerstvo spravedlnosti, když uvedlo, že „výběr vhodné osoby bude záviset vždy na rozhodnutí povinného subjektu, přičemž určena může být jakákoliv osoba bez ohledu na formu právního vztahu, v rámci něhož u povinného subjektu působí. Vztah mezi povinným subjektem a příslušnou osobou tedy bude definován nejčastěji smluvně (půjde-li o vztah zaměstnance a zaměstnavatele či vztah poskytovatele služeb a osoby, které jsou služby poskytovány) nebo např. individuálním správním aktem (půjde-li o státního zaměstnance ve služebním poměru). Zákon nicméně nestanoví právní formu pověření příslušné osoby a je tak na povinném subjektu a jeho vnitřní organizaci, jakým způsobem tak učiní.

Jak je z uvedeného zřejmé, příslušnou osobou nemusí být nutně zaměstnanec příslušného povinného subjektu, ale i „externí“ subjekt, například pověřenec pro ochranu osobních údajů, advokát či obchodní společnost.“[1]

Několik háčků

Výše uvedený závěr ministerstva spravedlnosti má však několik háčků.

Jak vyplývá z § 21 zákona o ochraně oznamovatelů, příslušná osoba vede evidenci údajů o přijatých oznámeních, a to v rozsahu:

1. datum přijetí oznámení,
2. jméno, příjmení, datum narození a kontaktní adresa oznamovatele, nebo jiné údaje, z nichž je možné dovodit totožnost oznamovatele, jsou-li jim tyto údaje známy,
3. shrnutí obsahu oznámení a identifikace osoby, proti které oznámení směřovalo, je-li jim její totožnost známa,
4. datum ukončení posouzení důvodnosti oznámení příslušnou osobou nebo pověřeným zaměstnancem a jejich výsledek.

Jedná se tedy o zpracování osobních údajů ve velkém rozsahu, a to včetně údajů zvláštní kategorie.

Pověřenec by měl na zpracování osobních údajů dohlížet, sám by osobní údaje zpracovávat neměl, mohlo by se totiž jednat o střet zájmů, když by v rámci vedení evidence oznámení měl kontrolovat sám sebe.

Oznámení může směřovat i proti pověřenci jako takovému, resp. proti způsobu zpracování osobních údajů v dané organizaci. Pověřenec, byť v danou chvíli v roli příslušné osoby, samozřejmě nemůže vyšetřovat sám sebe.

Tuto mezeru lze řešit například tak, že oznámení týkající se zpracování osobních údajů, u kterých by takováto osoba byla zjevně ve střetu zájmů, vyšetřovat nebude ona, ale někdo jiný, její nadřízený či zaměstnanec z jiného útvaru. Případně lze potencionální oznamovatele o této skutečnosti a hrozícím riziku informovat a odkázat je rovnou na Úřad pro ochranu osobních údajů.

Vzhledem k tomu, že školy mají nouzi o osoby, které by splňovaly kvalifikační předpoklady na příslušnou osobu, ať už ty zákonem výslovně zmíněné, nebo ty které vyplývají z požadavků na výkon činnosti příslušné osoby, mohou příslušnou osobou jmenovat i pověřence pro ochranu osobních údajů. Je však třeba, aby tato osoba měla dostatečně kvalifikovaný zástup pro výše zmíněné případy a aby si škola byla vědoma možných úskalí.

[1] Metodika k aplikaci zákona č. 171/2023 Sb., o ochraně oznamovatelů, https://view.officeapps.live.com/op/view.aspx?src=https%3A%2F%2Foznamovatel.justice.cz%2Fwp-content%2Fuploads%2F2023%2F07%2Fmetodika-ZOO.docx&wdOrigin=BROWSELINK