Seznam akcionářů a GDPR

Přečtěte si přepis článku našeho odborníka na korporátní právo, Mgr. Vladimíra Janoška, který byl publikován dne 8. 10. 2018 na serveru EPRAVO.CZ.

Údaje zapsané v seznamu akcionářů je tak i nadále třeba považovat za údaje osobní[1] (čl. 4 odst. 1 GDPR). Předmětné nařízení tedy dopadá toliko na ochranu osobních údajů akcionářů (fyzických osob[2] neboli subjektů údajů, viz čl. 4 odst. 1 GDPR). Akcionářům (právnickým osobám) je pak možné (za určitých podmínek) poskytnout ochranu v režimu § 135 odst. 2 o. z.

Vzhledem k tomu, že vedení seznamu akcionářů odpovídá definici zpracování osobních údajů, jak je vymezena v čl. 4 odst. 2 GDPR, je akciová společnost jejich správcem ve smyslu legislativní zkratky uvedené v čl. 4 odst. 7 GDPR, čili na akciovou společnost dopadají příslušná ustanovení nařízení, která hovoří o správci osobních údajů (srov. zejména povinnost správce zavést vhodná technická a organizační opatření za účelem zajištění ochrany osobních údajů včetně jejich revize a aktualizací – čl. 24 odst. 1 GDPR). 

Zpracovávat osobní údaje akcionářů v souvislosti s vedením seznamu akcionářů (včetně vydávání opisů z něj) je možné bez souhlasu akcionářů, neboť zpracování je v tomto případě nezbytné pro splnění právní povinnosti, která se na akciovou společnost coby správce vztahuje [čl. 6 odst. 1 písm. c) GDPR ve spojení s § 264 a násl. z. o. k.]. Zpracování těchto osobních údajů není třeba (jak tomu bylo i za předchozí úpravy) nikomu oznamovat.

Fyzická nebo právnická osoba (typicky ostatní akcionáři), orgán veřejné moci nebo jiný subjekt, kterým budou akciovou společnosti poskytnuty osobní údaje ze seznamu akcionářů (např. dle § 266 z. o. k.), budou jejich příjemcem (čl. 4 odst. 9 GDPR). Jestliže příjemce začne zpracovávat osobní údaje ze seznamu akcionářů, stane se správcem se všemi důsledky z tohoto vyplývajícími. Pokud by příjemce již jako správce následně zpracovával osobní údaje akcionářů v rozporu se zákonem, nejedná se o porušení zákona na straně akciové společnosti, která poskytla údaje při plnění své právní povinnosti.

Soudím však, že pokud akcionář použije údaje z opisu seznamu akcionářů např. za účelem kontaktování ostatních akcionářů ohledně odkupu jejich akcií, zvolení strategie hlasování na nadcházející valné hromadě apod., byť půjde o zpracování osobních údajů ve formě použití těchto údajů, nebude k takovému použití souhlasu ostatních akcionářů třeba, jelikož zpracování je v tomto případě nezbytné pro účely oprávněných zájmů příslušného správce (akcionáře), přičemž před těmito zájmy nemají přednost zájmy nebo základní práva a svobody subjektů údajů (ostatních akcionářů) [čl. 6 odst. 1 písm. f) GDPR].

O jinou situaci by šlo však již tehdy, pokud by akcionář chtěl tyto údaje použít např. za účelem nabízení zboží a služeb ostatním akcionářům či zpřístupnit je třetí osobě za stejným účelem. K takovému zpracování osobních údajů akcionářů by již souhlas ve smyslu čl. 6 odst. 1 písm. a) GDPR nutný byl (srov. § 266 odst. 2 z. o. k.). To platí také pro použití údajů ze seznamu akcionářů akciovou společností k jiným účelům než pro její potřeby ve vztahu k akcionářům, tj. k účelům které nijak nesouvisí se statusem dané osoby coby akcionáře společnosti (§ 267 odst. 1 z. o. k.).  

Sporné je, zdali se souhlas ostatních akcionářů se zpřístupněním jejich osobních údajů uvedených v seznamu akcionářů vyžaduje i v případě jejich poskytnutí potencionálnímu kupujícímu akcií v rámci kontraktačního procesu (§ 266 odst. 2 z. o. k.). Mám za to, že v těchto případech postačí ke zpracování osobních údajů prodávajícímu titul uvedený v čl. 6 odst. 1 písm. f) GDPR. Je totiž jistě legitimním zájmem kupujícího být při prodeji akcií seznámen prodávajícím rovněž s akcionářskou strukturou dané společnosti, která dotváří obraz o kvalitě a kvantitě akcionářských práv a povinností spojených s převáděnými akciemi. Bez těchto informací by např. prodávající nevěděl, jestli zcizovaný 40% balík akcií je vskutku ovládacím balíkem ve smyslu § 75 odst. 2 z. o. k. atd. Soudím proto, že zpřístupnit tyto údaje půjde i bez souhlasu subjektů údajů. 

Za zamyšlení rovněž stojí, jestli akciová společnost může (bez souhlasu subjektů údajů) sdělit údaje o akcionářích uvedené v seznamu akcionářů osobě, která činí veřejný návrh smlouvy na odkoupení nebo směnu účastnických cenných papírů. Podle § 323 odst. 1 z. o. k. totiž platí, že navrhovatel (jímž může být právě osoba, která není akcionářem) uveřejní veřejný návrh smlouvy způsobem stanoveným zákonem o obchodních korporacích a stanovami společnosti, jejíž účastnické cenné papíry hodlá nabýt, pro svolání valné hromady. Vzhledem k tomu, že tyto údaje (zejména jméno a bydliště nebo sídlo akcionářů) mít navrhovatel k dispozici nemůže, musela by mu je akciová společnost vydat. V takovém případě by však šlo § 266 odst. 2 z. o. k. jednoduše obcházet. Stačilo by totiž, aby se navrhovatel (extraneus) obrátil na cílovou společnost se žádostí o sdělení těchto údajů pod záminkou, že veřejný návrh později spolu se stanoviskem cílové společnosti uveřejní. Takovou povinnost mu však zákon neukládá. Nakonec by navrhovatel mohl od záměru uveřejnění veřejného návrhu upustit a jednotlivé akcionáře kontaktovat v rozporu se zákonem individuálně. Otázkou tedy je, zdali by neměl být upřednostněn výklad, podle něhož by veřejný návrh měla uveřejňovat sama akciová společnost (pochopitelně na náklady navrhovatele). Zdá se však, že zákonodárce implicitně počítá s tím, že společnost navrhovateli tyto údaje poskytne i bez souhlasu akcionářů.

Akcionáři mají právo žádat akciovou společnost o opravu nepřesných osobních údajů zapsaných v seznamu akcionářů, které se jich týkají, resp. o doplnění neúplných osobních údajů evidovaných v tomto seznamu (čl. 16 GDPR). Akcionářům náleží také (pokud jde o jejich osobní údaje zapsané v seznamu akcionářů) ostatní práva uvedená v kapitole III GDPR, jako je např. právo na poskytnutí informace o tom, jakým příjemcům[3] byly zpřístupněny jejich osobní údaje [čl. 15 odst. 1 písm. c) GDPR] včetně kupř. práva na náhradu újmy zakotveného v čl. 82 GDPR kapitola VIII či jiných práv nacházejících se na ostatních místech nařízení, pokud nařízení nestanoví výslovně jinak či pokud to nevylučuje povaha věci či zvláštní právní úprava (kupř. právě zákon o obchodních korporacích). Soudím např. že § 266 odst. 1 z. o. k. je lex specialis k čl. 15 odst. 3 a 4 GDPR.

Hovoří-li § 266 a § 267 odst. 1 z. o. k. o souhlasu akcionářů s poskytnutím údajů ze seznamu akcionářů, rozumí se jím souhlas ve smyslu čl. 4 odst. 11 GDPR, tj. jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů (akcionář) dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů. Podmínky vyjádření souhlasu (včetně možnosti jeho odvolání) jsou pak upraveny v čl. 7 GDPR.

______________________________

[1] Nikoliv však za osobní údaje citlivé (čl. 9 GDPR).

[2] Srov. recitál č. 14 GDPR.

[3] Akciová společnost by proto měla vést evidenci o tom, komu všemu poskytla např. opis seznamu akcionářů dle § 266 odst. 1 z. o. k. či údaje ze seznamu akcionářů podle § 266 odst. 2 z. o. k.