FAQ

Anonymní dotazy a OSOBNÍ ÚDAJE ZAMĚSTNANCŮ V PRACOVNĚPRÁVNÍCH VZTAZÍCH

Text je určen jako praktická informační stránka nebo odpovědní materiál společnosti EVERY REGARD s.r.o. pro oblast ochrany osobních údajů zaměstnanců. Odpovědi jsou zpracovány obecně. V konkrétním případě je vždy nutné posoudit účel zpracování, právní základ, rozsah údajů, informování zaměstnance, dobu uchování a přiměřenost zásahu do soukromí.

1. Může zaměstnavatel odeslat mé osobní údaje třetí straně, která nemá s ním žádný právní důvod?

Obecně ne. Zaměstnavatel nesmí osobní údaje zaměstnance předávat třetím osobám bez jasného účelu a právního základu. Předání může být přípustné například tehdy, pokud je nezbytné pro splnění zákonné povinnosti, pro plnění pracovní smlouvy, pro poskytování sjednaného benefitu, pro ochranu oprávněných zájmů zaměstnavatele, nebo pokud jde o zpracovatele, se kterým má zaměstnavatel uzavřenou odpovídající smlouvu podle GDPR.

Jestliže třetí strana nemá ke zpracování žádný právní ani smluvní důvod a zaměstnavatel nedokáže vysvětlit účel předání, může jít o neoprávněné předání osobních údajů. Zaměstnanec se může zaměstnavatele dotázat, komu byly údaje předány, za jakým účelem, v jakém rozsahu a na základě jakého právního důvodu. Toto je součástí práva na přístup k osobním údajům podle GDPR.

2. Může zaměstnavatel požadovat rodná čísla mých dospělých dětí?

Zaměstnavatel může požadovat údaje o dětech zaměstnance pouze tehdy, pokud k tomu má konkrétní právní důvod a pokud jsou tyto údaje nezbytné pro daný účel. Typicky může jít o situaci, kdy zaměstnanec uplatňuje daňové zvýhodnění na vyživované dítě, dokládá nárok na určitou dávku, překážku v práci nebo jiný pracovněprávní či daňový nárok.

Pokud jsou děti dospělé a zaměstnanec na ně neuplatňuje žádný nárok, není obecně důvod, aby zaměstnavatel jejich rodná čísla vyžadoval. Zaměstnavatel by měl vždy vysvětlit, podle jakého právního předpisu rodná čísla požaduje, k jakému účelu je potřebuje a jak dlouho je bude uchovávat. Rodné číslo není podle GDPR zvláštní kategorií osobních údajů, ale jde o významný identifikátor, se kterým je třeba nakládat obezřetně a pouze v nezbytném rozsahu.

3. Může zaměstnavatel použít mé rodné číslo bez lomítka jako heslo k výplatní pásce zasílané e-mailem ve formě PDF?

Takový postup je velmi nevhodný a z hlediska bezpečnosti osobních údajů rizikový. Rodné číslo je osobní údaj a významný identifikátor. Pokud jej zaměstnavatel použije jako heslo k výplatní pásce, používá údaj, který může být známý dalším osobám, může být obsažen v personální dokumentaci a není vhodný jako bezpečnostní prvek.

Zaměstnavatel má povinnost zajistit přiměřené zabezpečení osobních údajů. Výplatní páska obsahuje citlivé informace o mzdě, srážkách, odvodech a dalších údajích zaměstnance. Bezpečnější je používat samostatné heslo, které není odvozeno z rodného čísla, případně bezpečný zaměstnanecký portál, šifrovaný přenos nebo jiný vhodný způsob předání. Použití rodného čísla jako hesla může být považováno za porušení zásady důvěrnosti a zabezpečení osobních údajů.

4. Jaký je právní důvod pro zpracování osobních údajů zaměstnance při poskytování benefitů?

U benefitů se právní důvod zpravidla odvíjí od dohody mezi zaměstnancem a zaměstnavatelem o poskytnutí konkrétního benefitu. Pokud zaměstnanec o benefit projeví zájem a jeho poskytnutí vyžaduje předání údajů poskytovateli služby, může být právním základem plnění smlouvy podle čl. 6 odst. 1 písm. b) GDPR.

Zaměstnavatel však musí zaměstnance předem informovat, jaké údaje budou zpracovány, komu budou předány, za jakým účelem a v jakém rozsahu. Pokud zaměstnanec benefit nechce využít, neměly by být jeho údaje pro tento benefit zpracovávány ani předávány poskytovateli služby, pokud pro to neexistuje jiný právní důvod.

5. Lze monitorovat služební vozidla pomocí GPS?

Ano, ale pouze za splnění přísných podmínek. GPS monitoring služebního vozidla může být odůvodněn například ochranou majetku zaměstnavatele, organizací dopravy, kontrolou plnění pracovních úkolů, bezpečností provozu nebo evidencí pracovních cest. Musí však být přiměřený, transparentní a nesmí se změnit v nepřiměřené sledování zaměstnance.

Zaměstnavatel musí zaměstnance předem jasně informovat, že vozidlo je vybaveno GPS, jaké údaje se zaznamenávají, za jakým účelem, kdo k nim má přístup a jak dlouho se uchovávají. Pokud je vozidlo povoleno používat i soukromě, musí být zajištěno, aby zaměstnavatel nesledoval soukromé jízdy, pokud k tomu nemá mimořádně silný a přiměřený důvod. GPS zařízení má sloužit ke sledování vozidla a legitimního provozního účelu, nikoliv k plošnému sledování soukromí zaměstnance.

6. Může zaměstnavatel požadovat a uchovávat výpis z rejstříku trestů zaměstnance?

Ano, ale jen v některých případech. Výpis z rejstříku trestů se týká údajů o trestních věcech a jeho vyžadování musí mít oporu v právním předpisu nebo musí být odůvodněno povahou konkrétní práce. Zaměstnavatel musí být schopen vysvětlit, proč je pro danou pracovní pozici bezúhonnost potřebná a proč je požadavek přiměřený.

Typicky může jít o práce s majetkem vysoké hodnoty, s dětmi, se zranitelnými osobami, ve zdravotnictví, v sociálních službách, ve školství, v bezpečnostních službách nebo tam, kde zvláštní právní předpis bezúhonnost přímo vyžaduje. Zaměstnavatel by neměl výpis požadovat plošně u všech zaměstnanců bez rozlišení pracovní pozice. Uchovávat jej může pouze po dobu odůvodněnou účelem zpracování.

7. Lze pořídit a zveřejnit fotografie zaměstnanců?

Ano, ale záleží na účelu a způsobu použití. Fotografie zaměstnance může být použita například pro zaměstnanecký průkaz, interní identifikaci, organizační strukturu nebo představení pracovních pozic na webu, pokud k tomu existuje oprávněný a přiměřený důvod. Zaměstnavatel musí zaměstnanci vysvětlit, proč fotografii potřebuje a jak ji bude používat.

Zveřejňování fotografií z firemních akcí nebo marketingové použití fotografií zaměstnanců je citlivější. Kromě GDPR se uplatní také ochrana podoby a soukromí podle občanského zákoníku. U marketingového použití, sociálních sítí nebo zveřejňování identifikovatelných fotografií je vhodné mít jasné svolení zaměstnance a umožnit mu, aby nebyl k takovému zveřejnění nucen. Souhlas v pracovněprávním vztahu musí být skutečně svobodný, což bývá kvůli nerovnému postavení zaměstnance a zaměstnavatele problematické.

8. Jaké osobní údaje může vyžadovat potenciální zaměstnavatel v rámci výběrového řízení?

Potenciální zaměstnavatel může vyžadovat pouze údaje, které bezprostředně souvisejí s uzavřením pracovní smlouvy a s posouzením vhodnosti uchazeče pro konkrétní pracovní pozici. Typicky jde o jméno, příjmení, kontaktní údaje, dosažené vzdělání, kvalifikaci, praxi, dovednosti, znalosti a údaje uvedené v životopisu, které se vztahují k nabízené práci.

Zaměstnavatel by neměl vyžadovat nadbytečné údaje, například rodné číslo, informace o rodinných poměrech, těhotenství, zdravotním stavu, náboženství, politických názorech, sexuální orientaci nebo členství v odborech, pokud pro to neexistuje výslovný právní důvod nebo přímá souvislost s pracovní pozicí. Na žádost uchazeče musí zaměstnavatel prokázat potřebnost požadovaného údaje.

9. Zaměstnavatel hodlá kontrolovat elektronickou poštu a přenos dat svých zaměstnanců. Má na to právo?

Zaměstnavatel má právo přiměřeně kontrolovat, zda zaměstnanec nevyužívá pracovní prostředky, výpočetní techniku nebo telekomunikační zařízení pro osobní potřebu v rozporu s pravidly zaměstnavatele. Taková kontrola však musí být přiměřená a nesmí bez závažného důvodu nepřiměřeně zasahovat do soukromí zaměstnance.

Za méně invazivní kontrolu lze považovat například sledování objemu přenesených dat, velikosti e-mailových zpráv nebo navštívených domén, pokud je zaměstnanec o takové kontrole předem informován. Kontrola obsahu e-mailů, otevřené nebo skryté sledování či systematické monitorování komunikace je přípustné pouze při splnění přísnějších podmínek, zejména při existenci závažného důvodu spočívajícího ve zvláštní povaze činnosti zaměstnavatele. Zaměstnavatel musí zaměstnance přímo informovat o rozsahu kontroly a o způsobech jejího provádění.

10. Mohu žádat o přístup k informacím u svého bývalého zaměstnavatele, například v evidenci docházky?

Ano. Právo na přístup k osobním údajům podle GDPR se vztahuje i na bývalé zaměstnance. Bývalý zaměstnanec může požádat zaměstnavatele o potvrzení, zda o něm zpracovává osobní údaje, a o přístup k těmto údajům. Může se to týkat například osobního spisu, mzdových údajů, evidence pracovní doby, docházky, záznamů o školení nebo jiných údajů, které se vztahují k jeho osobě.

Zaměstnavatel by měl žádost vyřídit bez zbytečného odkladu, zpravidla do jednoho měsíce. Není však povinen vydat všechny interní dokumenty v plném rozsahu, pokud obsahují také údaje jiných osob, obchodní tajemství nebo jiné chráněné informace. Musí ale poskytnout srozumitelnou informaci o zpracování a kopii osobních údajů, které se žadatele týkají, pokud tomu nebrání zákonné omezení.

DOPORUČENÝ PRAKTICKÝ POSTUP PRO ZAMĚSTNANCE

Pokud má zaměstnanec pochybnost o zpracování svých osobních údajů, měl by nejprve písemně požádat zaměstnavatele o vysvětlení. V žádosti je vhodné uvést, jaký údaj je sporný, jaké zpracování zaměstnanec namítá a čeho se domáhá. Zaměstnanec může požádat zejména o účel zpracování, právní základ, rozsah údajů, příjemce, dobu uchování a kopii zpracovávaných osobních údajů.

Pokud zaměstnavatel neodpoví nebo odpověď není dostatečná, může se zaměstnanec obrátit na pověřence pro ochranu osobních údajů, pokud jej zaměstnavatel má, případně podat podnět Úřadu pro ochranu osobních údajů.