Je číslo účtu osobní údaj a může ho mzdová účetní předat jiné osobě na příkaz nadřízeného (ředitele firmy)?

Jelikož dle mého názoru č. účtu spadá do ochrany osobních údajů (GDPR), myslím si, že na toto nemám právo. Svůj příkaz mi nechce dát písemně. Obávám se, že v případě kontroly, bude odpovědnost za předání těchto informací neoprávněné osobě na mě. Prosím, poraďte mi, jak mám postupovat a zda jsem v právu. Moc děkuji. Věra.

ODPOVĚĎ:
Lze s Vámi souhlasit v tvrzení, že jméno a příjmení fyzické osoby jsou osobními údaji. Číslo bankovního účtu pak může být rovněž považováno za osobní údaj (a to tehdy, je-li vlastníkem tohoto účtu fyzická osoba a může-li znalost tohoto čísla vést, přímo či nepřímo, k identifikaci fyzické osoby).
Ze znění dotazu předpokládám, že doposud jste účetní předávala příkazy k úhradě pouze s uvedením čísel bankovních účtů (tedy bez připojení informace o jménech a příjmeních vlastníků předmětných účtů).
Požaduje-li po Vás ředitel, abyste zavedenou praxi změnila (tzn. abyste začala účetní předávat kromě čísel bankovních účtů i informace o jménech a příjmeních jejich vlastníků), bylo by samozřejmě vhodné, aby Vám byl tento pokyn dán písemně. Jedním dechem je nicméně nutno dodat, že ředitel k tomu není povinen. Představuje-li ředitel Vašeho nadřízeného (což předpokládám), jste povinna plnit jeho pokyny bez ohledu na to, zda byly vydány ústně či písemně.
O tom, že ředitelem Vám byl předmětný pokyn dán ústně, si můžete (pro vlastní potřeby) vyhotovit záznam, v němž vše stručně popíšete a následně podepíšete (a budete samozřejmě datovat). V ideálním případě může tento Váš záznam podepsat ten z Vašich kolegů, který bude vydání ústního pokynu přítomen.
Z Vašeho dotazu nevyplývá, zda je účetní Vaší kolegyní (tedy zaměstnankyní stejného zaměstnavatele) či zda se jedná o externistku (tedy o účetní, která provozuje svou činnost jako živnost). Ve své odpovědi budu dále vycházet z předpokladu, že účetní je Vaší kolegyní.
Obecně platí, že osobní údaje musí být zpracovávány pouze v nezbytném rozsahu. Předpokládám, že jména, příjmení a čísla bankovních účtů jsou Vaším zaměstnavatelem získávány ze smluv, které uzavírá. Takové zpracování osobních údajů je tak zcela legitimní a logické.
Je samozřejmé, že pro realizaci výplat dividend, pachtovného apod. musí být s předmětnými osobními údaji Vaším zaměstnavatelem určitým způsobem pracováno (musí být vedena evidence, musí být vydávány interní příkazy k úhradám apod.). I tento způsob zpracování osobních údajů je tak oprávněný (jelikož bez toho by nemohly být platby realizovány, čímž by došlo k porušení smluvní povinnosti).
Existuje-li pro změnu zavedené praxe logický a obhajitelný důvod, nemusí představovat předávání jmen a příjmení (spolu s čísly bankovních účtů) porušení platné právní úpravy. Tato změna může být odůvodněna například zvýšením kontroly při odesílání plateb (tzn. zajištění toho, aby mohla účetní ověřovat, že platby zasílá nejen na správné bankovní účty, nýbrž i správným osobám – tzn. zavedení jakési dvojí kontroly).
Dále je nutné si uvědomit, že tím, kdo zpracovává osobní údaje, je Váš zaměstnavatel. Váš zaměstnavatel totiž uzavírá příslušné smlouvy, z těchto smluv získává osobní údaje, vytváří evidenci těchto osobních údajů a s těmito osobními údaji dále pracuje. Budou-li pak tyto osobní údaje předávány v rámci téhož zaměstnavatele, tedy od Vás, jako mzdové účetní, k Vaší kolegyni, jako účetní (tedy de facto „z jedné kanceláře do druhé“) a bude-li k tomu existovat obhajitelný důvod (např. zvýšení kontroly správnosti odchozích plateb, jak uvádím výše), bude tento postup souladný s platnou právní úpravou.
Pakliže tedy zůstanou osobní údaje stále „mezi čtyřmi stěnami“ u Vašeho zaměstnavatele a budou nově poskytovány pouze Vaší kolegyni (a to z legitimního důvodu), není nutné se obávat porušení platné právní úpravy (a případných sankcí).