Od začátku účinnosti Obecného nařízení o ochraně osobních údajů (onoho známého GDPR) letos v květnu uběhnou dva roky. Přesto zaměstnavatelé stále při nakládání s osobními údaji svých zaměstnanců chybují. S jakými nejčastějšími problémy se lze v praxi setkat?

Pravidla o ochraně osobních údajů zakotvená v GDPR jsou často vnímána jako nepotřebná byrokracie. Druhým extrémem je naopak přehánění ochrany, kdy dochází k hromadné skartaci shromážděných osobních údajů, jejichž evidence by byla zcela legitimní. Souhlas v pracovněprávních vztazích až v poslední řadě Řada zaměstnavatelů se domnívá, že získání souhlasu se zpracováním osobních údajů postačuje pro naplnění podmínek GDPR. Opak je pravdou.

Právní tituly ke zpracování osobních údajů upravuje článek 6 GDPR. V personální oblasti se bude typicky jednat o plnění smlouvy, jejíž smluvní stranou je zaměstnanec, nebo plnění právní povinnosti zaměstnavatele. Další právní tituly jsou uvedeny v článku 6 GDPR. „V pracovněprávních vztazích je zpracování osobních údajů na základě souhlasu okrajovou záležitostí,“ doplňuje advokátka Lucie Demeterová z advokátní kanceláře Demeter Legal.

Příkladem nesprávně použitého souhlasu je klauzule na konci pracovní smlouvy nebo dotazníku, ve které je uvedeno, že zaměstnanec souhlasí se zpracováním osobních údajů například pro mzdové účely. „Podle Úřadu pro ochranu osobních údajů je vyžadování souhlasu ve chvíli, kdy jej správce nepotřebuje, chybným informováním subjektu údajů,“ upozorňuje Lucie Demeterová. Pro získávání osobních údajů zaměstnanců je však třeba nejen právní titul, ale také účel. Jinými slovy, zaměstnavatel musí mít nějaký ospravedlnitelný důvod, proč osobní údaje shromažďuje.

Kromě GDPR shromažďování informací o zaměstnancích a uchazečích o zaměstnání upravuje náš zákoník práce. Podle zákoníku práce je možné od uchazeče o zaměstnání požadovat pouze informace, které bezprostředně souvisí s uzavřením pracovní smlouvy. Po uzavření pracovní smlouvy zakotvuje zákon zákaz vyžadovat od zaměstnance takové informace, které nesouvisí bezprostředně s výkonem práce. Vyžaduje-li zaměstnavatel více údajů, než je nutné, dostává se do rozporu se zákoníkem práce. Zároveň porušuje tzv. zásadu minimalizace zakotvenou v GDPR. Tento nesprávný postup pak v žádném případě nelze překrýt souhlasem, neboť i udělení souhlasu tam, kde chybí účel, je v rozporu s principy evropského nařízení.

Kdy může zaměstnavatel požadovat výpis z trestního rejstříku

Mezi informace, které nesmí zaměstnavatel od zaměstnance chtít, patří i informace o jeho trestněprávní bezúhonnosti. Samozřejmě jako z každého zákazu, i zde ale existují výjimky. V některých případech je čistý trestní rejstřík zákonem stanoveným požadavkem, v takovém případě dokonce zaměstnavatel výpis požadovat musí. Týká se to učitelů, advokátů, soudců, hasičů, zdravotních sester a dalších. V ostatních případech je možné vyžadovat výpis z trestního rejstříku jen tam, kde je dán věcný důvod spočívající v povaze práce a zároveň jde o přiměřený požadavek. Požadavek nebude přiměřený, pokud je možné dosáhnout zamýšleného účelu jiným způsobem. Co se povahy práce týče, bude se jednat zejména o pracovní pozice, kde zaměstnanec přichází do styku s větším obnosem finančních prostředků, například prodejce šperků nebo pracovník v bance. V dalších případech se bude posuzovat, zda je spáchána trestná činnost zásadní pro daný obor. Praxe zaměstnavatelů, kdy je požadován výpis z rejstříku trestů po všech uchazečích, je v rozporu se zákoníkem práce. Uchazeč o zaměstnání, který pochybuje o oprávněnosti požadavku na výpis z rejstříku, může chtít po zaměstnavateli, aby potřebnost tohoto podkladu odůvodnil. Nabude-li uchazeč dojmu, že vyžadování informací o trestní bezúhonnosti je v rozporu s právními předpisy, může podat stížnost na příslušný inspektorát práce.

Zaměstnancům nejvíc vadí monitoring

Podle informací Úřadu pro ochranu osobních údajů míří mnoho podnětů proti kamerovým systémům, monitorování přístupu na webové stránky nebo vstup do e-mailové schránky. „Opakovaně si lidé stěžují také na zpracování osobních údajů bývalých zaměstnanců po skončení pracovněprávního vztahu, aniž by k tomu měl bývalý zaměstnavatel právní důvod,“ říká Vojtěch Marcín z Úřadu pro ochranu osobních údajů. „Evidujeme i stížnosti na neposkytnutí informace o zpracování údajů na žádost zaměstnance anebo zpracování biometrických údajů zaměstnanců (například otisků prstů) za účelem evidence docházky nebo kontroly přítomnosti a pohybu zaměstnanců na pracovišti,“ dodává. Součástí monitoringu zaměstnanců na pracovišti jsou i kamerové systémy, které podle advokátky Lucie Demeterové zůstávají jednou z nejproblematičtějších oblastí a jsou také častým předmětem kontrol ze strany úřadu. „Fakticky sledovat zaměstnance může zaměstnavatel prostřednictvím kamerového systému jen ze závažného důvodu spočívajícího ve zvláštní povaze jeho činnosti.

Pokud takový důvod existuje, je nutno zaměstnance informovat o rozsahu kontroly a způsobu provedení a vypracovat podrobnou dokumentaci,“ říká Demeterová. Při nesprávném provozování kamerových systémů hrozí zaměstnavateli pokuta, a to jak ze strany Úřadu pro ochranu osobních údajů, tak od inspektorátu práce.

„Povědomí o náležitostech ochrany osobních údajů se i díky osvětě, kterou s sebou začátek účinnosti GDPR přinesl, určitě velmi zvýšilo. Ale samozřejmě je pořád na čem pracovat,“ uzavírá Vojtěch Marcín z Úřadu pro ochranu osobních údajů.

Zdroj: Čeští zaměstnavatelé při nakládání s osobními údaji zaměstnanců stále chybují | E15.cz