GDPR trochu jinak

2019.9.3

GDPR trochu jinak

MVDr. Milan Vodička, daňový poradce

VYŠLO V ČÍSLE 9/2019

Motto: "Pro matematika je daňové přiznání příliš složitá otázka. Na to je potřeba filozof. Pochopit daň z příjmů je nejtěžší věc na světě." Albert Einstein

Během loňského roku došlo v několika případech k situaci, kdy správce daně požadoval předložení potvrzení zaměstnavatele druhého z rodičů a následně i rozvodového rozsudku. Týkalo se to klientů, kteří uplatňovali daňové zvýhodnění na vyživované dítě z rozvedeného manželství žijící s ním ve společně hospodařící domácnosti. Protože u některých osob byla výsledkem daňového přiznání žádost o poukázání přeplatku na dani, případně daňového bonusu, mohla by se jako logická jevit reakce jednat v zájmu klienta a požadované písemnosti správci daně poskytnout. Proč k tomu nedošlo?

Připomeňme, že Nařízení GDPR vyžaduje striktní ochranu osobních údajů žijících fyzických osob (nazývaných "subjekty údajů"). Odpovědnost leží vždy primárně na tzv. správci osobních údajů, což je typicky např. zaměstnavatel ve vztahu ke svým zaměstnancům anebo daňový poradce vůči svým klientům.

Jednou ze základních povinnosti, které klade Nařízení GDPR na správce údajů, je dodržení zákonnosti zpracování. Principem je, že pro zpracování osobních údajů musí existovat důvod, který spočívá v:

• (s)plnění právní povinnosti nebo

• plnění ze smlouvy se subjektem údajů nebo

• ochraně životně důležitých zájmů subjektu údajů, případně oprávněných zájmů správce osobních údajů nebo

• plnění úkolů ve veřejném zájmu anebo

• souhlasu poskytnutém subjektem údajů.

V případě, že by neexistoval právní důvod pro zpracování některého osobního údaje, vystavuje se správce údajů riziku sankcí, které mohou být i velmi citelné. V návrhu nového českého zákona, který nyní prochází Parlamentem¹, jsou sice pokuty sníženy oproti maximálním sazbám uvedeným v Nařízení GDPR, ale přesto mohou dosahovat i milionové výše.

V praxi daňových poradců a účetních je v drtivé většině zpracování osobních údajů klientů založeno na plnění právních povinností, omezeně pak na plnění ze smlouvy. Jak do tohoto rámce zapadají dokumenty, jejichž předložení požadovali správci daně?

Meritem věci, které bude dále popsáno, bylo daňové zvýhodnění na vyživované dítě žijící ve společně hospodařící domácnosti s poplatníkem podávajícím přiznání k dani z příjmů fyzických osob. Na toto zvýhodnění je při splnění podmínek nárok dle § 35c odst. 1 zákona č. 586/1992 Sb., o daních z příjmů (dále jen ZDP). Tento nárok musí být v daném případě uplatněn v daňovém přiznání poplatníka v dle § 38g odst. 3 ZDP. Z tohoto pohledu je v souladu s ochranou osobních údajů shromáždění a zpracování údajů o dětech ve společné domácnosti, tedy jméno, příjmení, rodné číslo, informace o tom, zda studují, eventuálně stupeň zdravotního postižení atd.

Běžnou praxí se nicméně stalo, že je současně s podáním daňového přiznání vyžadováno potvrzení zaměstnavatele matky / otce osvědčující, že on / ona daňové zvýhodnění na dítě neuplatňuje, případně, ve kterých kalendářních měsících ano a ve kterých nikoli. Již tento požadavek ovšem nemá žádnou oporu v zákoně. ZDP upravuje prokazování výše uvedených skutečností v § 38l odst. 3 vůči plátci daně, tedy zaměstnavateli, nikoli správci daně. To má svou logiku, neboť zaměstnavatel provádí výpočet a odvod daně ze závislé činnosti pod svou odpovědností a nemá jinou možnost, jak zjistit, zda k uplatnění daňového zvýhodnění na dítě nedochází i u druhého z rodičů.

Správce daně takové možnosti má a v případě pochybností o oprávněnosti uplatnění daňového zvýhodnění je může využít. Jednou z cest je, že si vyžádá potvrzení zaměstnavatele druhého z rodičů, např. na formulářích MFin 5556, resp. MFin 5558, na kterých je ovšem jasně uvedena informace, že se jedná o nepovinné tiskopisy.

Plošné vyžadování takových potvrzení zaměstnavatele, a dokonce zadržování případného bonusu nebo přeplatku na dani, je ovšem v rozporu se zákonnou úpravou správy daní a z pohledu ochrany osobních údajů v příkrém protikladu k jedné ze základních zásad zpracování osobních údajů dle Nařízení GDPR a tou je minimalizace.

Omezení množství osobních údajů ve vztahu k účelu, pro který jsou zpracovávány, patří mezi základní zásady definované Nařízením GDPR v článku 5 odst. 1 písm. c). Tato zásada se dá stručně shrnout jako požadavek, aby byly zpracovány pouze relevantní osobní údaje v nezbytném rozsahu. Pro orgány veřejné moci pak platí, že právní základ pro zpracování osobních údajů má upravit zákonodárce právním předpisem.²

Pro oblast daní je relevantní znění zákona č. 280/2009 Sb., daňový řád (dále jen daňový řád), které v § 9 odst. 3 stanoví, že:

"Správce daně může shromažďovat osobní údaje a jiné údaje, jsou-li potřebné pro správu daní, a to jen v rozsahu, který je nezbytný pro dosažení cíle správy daní."

Cílem správy daní je správné zjištění a stanovení daně, včetně zabezpečení její úhrady. Obdobné ustanovení lze nalézt v § 72 odst. 3 daňového řádu, ve kterém jsou údaje požadované v tiskopisech a v nich vyznačených přílohách omezeny na nezbytné pro správu daní.

Jedná se o formulaci velmi obecnou a je otázkou, jak široce může být aplikována. Vodítkem by mohlo být stanovisko Ústavního soudu, které argumentačně předestřel ve svém nálezu Pl. ÚS 32/15 z 6. prosince 2016, kdy se zabýval formulací zákona o dani z přidané hodnoty ohledně údajů požadovaných v kontrolním hlášení. Jako neústavní shledal znění, které stanovilo, že v kontrolním hlášení je "plátce povinen uvést předepsané údaje potřebné pro správu daně". K tomu v odůvodnění ÚS konstatoval:

"(z)ákon musí blíže vymezit alespoň okruh údajů, které musí plátce sdělovat. To nevylučuje případné zákonné zmocnění (čl. 79 odst. 3 Ústavy) ke stanovení konkrétních jednotlivých údajů Ministerstvem financí. Avšak muselo by se tak stát formou právního předpisu. Jen tak je možno zajistit pro plátce předvídatelnost údajů, které po nich bude stát požadovat. Bez významu pak jistě není ani možnost případné abstraktní kontroly ústavnosti ze strany Ústavního soudu, která je v případě pouhého formuláře vyloučena".

Napadené ustanovení zákona o dani z přidané hodnoty pak bylo nahrazeno konkrétnějším zněním § 101d odst. 1 ZDPH. A jak je to s vyžadovanou přílohou k přiznání k dani z příjmů, tedy potvrzením zaměstnavatele druhého z rodičů? V zákoně o ní není ani zmínka, nalézt můžeme pouze krátkou poznámku psanou drobným písmem v poučení k vyplnění papírového formuláře přiznání k dani z příjmů. K tomu nelze než podotknout, že Nejvyšší správní soud deklaroval skutečnost, že poučení nebo pokyny k vyplnění nemohou být brány za právně závazné.³

Nezbývá tedy než konstatovat, že žádný právní předpis nestanoví ústavně konformním způsobem, aby povinnou součástí přiznání k dani z příjmů fyzické osoby bylo i předmětné potvrzení zaměstnavatele druhého z rodičů. Tím pádem zpracování takových osobních údajů nemůže být odůvodňováno plněním právní povinnosti z jednoduchého důvodu, žádná taková právně založená povinnost neexistuje.

V praxi přitom bývá vyžadováno, aby na potvrzení zaměstnavatele byly uvedeny nejen údaje dětí, na které daňové zvýhodnění poplatník uplatňuje, ale dokonce i ty, na které daňové zvýhodnění nepožaduje. Což by ale vedlo k tomu, že…