Issuu

JUDr. Jiří Žůrek

GDPR

V PERSONALISTICE

• výklad GDPR s důrazem na personální oblast • jak pracovat s osobními údaji uchazečů o zaměstnání, zaměstnanců a bývalých zaměstnanců • více než 50 samostatných otázek a odpovědí

1. vydání EDICE PRÁCE | MZDY | POJIŠTĚNÍ

Případné zásadní legislativní změny, k nimž dojde v období mezi jednotlivými vydáními, budou ošetřeny formou vkládané aktualizace, která bude po dobu prodejnosti publikace volně ke stažení na www.anag.cz. Nutnost aktualizace posuzuje na základě legislativních změn výhradně autor ve spolupráci s nakladatelstvím. Aktualizace však v žádném případě nemohou nahradit nová vydání knihy. Aktualizaci zašleme zdarma na vyžádání

anag@anag.cz, tel.: 585 757 411

Všechny právní předpisy, na které se v komentářích publikace odkazuje, jsou míněny ve znění pozdějších předpisů, pokud není výslovně uvedeno jinak.

Obsah

OBSAH Předmluva ................................................................................................... 9

PRVNÍ ČÁST VÝKLAD GDPR S DŮRAZEM NA PERSONÁLNÍ OBLAST 1. Základní informace o GDPR ............................................................... 14 1.1

Nejdůležitější základní pojmy a jejich význam v personální oblasti........... 20 1.1.1 1.1.2 1.1.3 1.1.4 1.1.5 1.1.6

Osobní údaj .................................................................................... 20 Zpracování ...................................................................................... 23 Pseudonymizace ............................................................................. 26 Správce a zpracovatel ...................................................................... 27 Profilování ...................................................................................... 29 Porušení zabezpečení osobních údajů ............................................ 30

2. Zásady zpracování osobních údajů .................................................... 32 2.1

Zákonnost zpracování aneb právní důvody zpracování ............................. 33

2.2 2.3 2.4 2.5 2.6 2.7

2.1.1 Souhlas se zpracováním osobních údajů ......................................... 34 2.1.2 Plnění smlouvy (zaměstnavatelem) .................................................37 2.1.3 Splnění právní povinnosti (zaměstnavatelem)................................. 38 2.1.4 Životně důležité zájmy subjektu údajů nebo jiné fyzické osoby ...... 40 2.1.5 Splnění úkolu ve veřejném zájmu nebo při výkonu veřejné moci .... 40 2.1.6 Oprávněné zájmy správce či třetí strany .......................................... 40 2.1.7 K podmínkám zpracování zvláštní kategorie osobních údajů .......... 42 Transparentnost a korektnost .................................................................... 43 Účelové omezení ....................................................................................... 44 Minimalizace ............................................................................................ 45 Přesnost .................................................................................................... 47 Omezení uložení ....................................................................................... 47 Integrita a důvěrnost (zabezpečení osobních údajů) ................................. 48

3. Vztah správce a zpracovatele (externí mzdová účtárna) ................... 54 4. Nové povinnosti v GDPR ve vazbě na personalistiku ......................... 58 4.1 4.2

Záznamy o činnostech zpracování (včetně vzoru) ..................................... 59 Povinnosti při porušení zabezpečení osobních údajů ................................ 63

Obsah

4.3 4.4

4.2.1 Ohlašování porušení zabezpečení osobních údajů dozorovému úřadu ......................................................................... 65 4.2.2 Oznamování případů porušení zabezpečení osobních údajů zaměstnancům...................................................................... 67 Pověřenec pro ochranu osobních údajů..................................................... 68 Posouzení vlivu na ochranu osobních údajů a předchozí konzultace ........ 70

5. Práva zaměstnanců podle GDPR ........................................................ 74 5.1

5.2 5.3 5.4 5.5 5.6 5.7 5.8

Informace poskytované zaměstnancům .....................................................74 5.1.1 Informace pro uchazeče...................................................................76 5.1.2 Informace pro zaměstnance ............................................................ 77 Právo zaměstnance na přístup k osobním údajům .................................... 78 Právo na opravu ........................................................................................ 79 Právo na výmaz......................................................................................... 80 Právo na omezení zpracování .....................................................................81 Právo na přenositelnost údajů ................................................................... 82 Právo vznést námitku................................................................................ 82 Právo nebýt předmětem automatizovaného individuálního rozhodování ..................................................................... 83

6. Předávání osobních údajů zaměstnanců do třetích zemí (mateřské společnosti) ....................................................................... 86 6.1 6.2

Předávání v rámci Evropské unie............................................................... 88 Předávání do zemí mimo Evropskou unii (a EHP) ..................................... 88 6.2.1 Rozhodnutí o odpovídající ochraně................................................. 89 6.2.2 Předávání založené na vhodných zárukách..................................... 90 6.2.3 Výjimky pro specifické situace podle článku 49 GDPR .....................91

7. Kamerový systém zaměstnavatele z pohledu GDPR .......................... 93 7.1 7.2

Východiska při úvahách o kamerovém systému ........................................ 94 Aspekty kamerového systému................................................................... 95 7.2.1 7.2.2 7.2.3 7.2.4

7.3

Právní důvody pro provozování kamerového systému..................... 95 Zabezpečení kamerového systému a záznamů ................................ 96 Informační povinnost...................................................................... 97 Vzor záznamu o činnostech zpracování – kamerový systém zaměstnavatele ............................................................................... 98 Nakládání se záznamy a doba jejich uchování ..........................................100

8. Doba uchování dokumentů v personální oblasti ............................. 102

Obsah

DRUHÁ ČÁST OTÁZKY A ODPOVĚDI 1. Před vznikem základního pracovněprávního vztahu ...................... 108 1.1 1.2

1.3 1.4 1.5 1.6 1.7

1.8

1.9 1.10 1.11 1.12 1.13 1.14

1.15 1.16

Jaké údaje může zaměstnavatel zjišťovat prostřednictvím osobního dotazníku pro uchazeče? ..........................................................109 Může zaměstnavatel požadovat předložení výpisu z trestního rejstříku? Může si jej u vybraného uchazeče založit do osobního spisu? .......................................................................113 Může zaměstnavatel zjišťovat, zda se uchazeč nachází v exekuci? ................................................................................................ 114 Může zaměstnavatel využívat sociální sítě ke zjišťování informací o uchazečích?........................................................................... 116 Musí být z obdrženého životopisu smazáno např. rodné číslo či jiné nepotřebné údaje (fotografie, koníčky apod.)? ...............................118 Kdo se smí seznamovat s životopisy/dotazníky uchazečů?.......................119 Jak dlouho může zaměstnavatel uchovávat životopisy / dotazníky neúspěšných uchazečů v souvislosti s konkrétním výběrovým řízením? .......................................120 Jakým způsobem lze docílit ponechání si životopisů / dotazníků neúspěšných uchazečů pro účely nabídek práce v budoucnu? ......................................................121 Jak naložit s obdrženým nevyžádaným životopisem? ...............................122 Jaký je vztah mezi zaměstnavatelem a personální agenturou (agenturou práce)? ...................................................................................123 Lze pořídit kopii celého občanského průkazu vybraného uchazeče a založit ji do osobního spisu? ..................................................124 Lze pořídit kopii řidičského průkazu vybraného uchazeče a založit ji do osobního spisu? ..................................................................125 Lze pořídit kopii kartičky zdravotní pojišťovny vybraného uchazeče a založit ji do osobního spisu? ..................................................126 Lze pořídit kopie dokumentů dokládajících způsobilost vybraného uchazeče, např. na obsluhu vysokozdvižného vozíku, a založit je do osobního spisu? ....................................................127 Lze pořídit kopii cestovního pasu vybraného uchazeče – cizince a založit ji do osobního spisu? ...................................................128 Musí být uchazečům po skončení výběrového řízení vráceny jimi poskytnuté dokumenty?.......................................................129

Obsah

2. V průběhu základního pracovněprávního vztahu ........................... 129 2.1 2.2 2.3 2.4 2.5 2.6 2.7 2.8 2.9 2.10 2.11 2.12 2.13 2.14 2.15

2.16 2.17 2.18 2.19 2.20

2.21

Může být rodné číslo uvedeno na pracovní smlouvě? ...............................130 Jaké dokumenty může obsahovat osobní spis zaměstnance? ...................132 Lze uložit v osobním spise kopii rodného listu dítěte zaměstnance, který uplatňuje daňové zvýhodnění na vyživované dítě? ..........................132 Je možné uchovávat telefonický kontakt na blízké příbuzné zaměstnance bez jejich souhlasu se zpracováním osobních údajů? ..........134 Kdo smí nahlížet do osobního spisu? .......................................................135 Lze předložit písemnosti z osobního spisu vnějšímu kontrolnímu orgánu? Co když chce předložit kompletní osobní spis?.......136 Může provoz personálního informačního systému zajišťovat externí subjekt? ........................................................................137 Musí mít zaměstnanci podepsanou mlčenlivost o osobních údajích? .......138 Je možné potvrdit finanční instituci správnost údajů na potvrzení o výši příjmů telefonicky? ..........................................140 Jak postupovat při obdržení výzvy od exekutora či soudu o poskytnutí součinnosti (informací o zaměstnanci)?...............................141 Lze odmítnout poskytnutí informací o zaměstnancích orgánům činným v trestním řízení s poukazem na GDPR? ......................................142 Může zaměstnavatel zasílat výplatní pásku na pracovní e-mail? ...............144 Může nadřízený roznášet nezalepené nebo jinak „nechráněné“ výplatní pásky podřízeným zaměstnancům? ............................................145 Je poskytovatel benefitu, pokud mu jsou poskytovány osobní údaje zaměstnanců, považován za správce či zpracovatele? ...............................146 Musí mít zaměstnavatel souhlas zaměstnance se zpracováním osobních údajů pro účely jejich předání poskytovateli benefitu? ............................................................................147 Musí mít zaměstnavatel souhlas zaměstnanců k předání kvalifikačních údajů zadavateli zakázky, o niž se uchází? ........................147 Jak je to s fotografiemi zaměstnanců z pohledu GDPR? ............................149 Jaké jsou podmínky pro zpřístupnění osobních údajů zaměstnanců na webových stránkách organizace?.........................................................151 Může zaměstnavatel vyžadovat viditelné umístění jména a příjmení na pracovním oděvu při styku s veřejností? .............................151 Musí být mezi zaměstnavatelem a poskytovatelem pracovnělékařské služby (prohlídky) uzavřena smlouva o zpracování osobních údajů? ..................................................................152 Může zaměstnavatel zasílat firemní časopis zaměstnancům na adresu jejich bydliště či pracovní e-mail? .............................................154

Obsah 2.22 Musí zaměstnavatel na požádání sdělit mzdu manželce/manželovi? ........155 2.23 Může být v interním systému zobrazena přítomnost / nepřítomnost zaměstnance na pracovišti? ............................156

3. Po skončení základního pracovněprávního vztahu ..........................157 3.1 3.2

3.3 3.4

3.5

3.6 3.7 3.8

Musí zaměstnavatel po skončení pracovního poměru na žádost bývalého zaměstnance zlikvidovat jeho osobní spis? ................157 Lze uchovat některé osobní údaje (dokumenty) pro případ sporu s bývalým zaměstnancem či kontroly ze strany Státního úřadu inspekce práce? .................................................158 Musí zaměstnavatel vést kvůli GDPR protokol o skartování dokumentů z osobního spisu? ..............................................160 Musí zaměstnavatel vydat bývalému zaměstnanci po ukončení pracovního poměru všechny nebo některé dokumenty z osobního spisu? .....................................................161 Může bývalý zaměstnanec využít článek 15 GDPR, tj. právo na přístup k osobním údajům, k nahlížení do dokumentů, které o něm zaměstnavatele vede?............................................................162 Po jakou dobu může zaměstnavatel ponechat aktivní e-mailovou schránku bývalého zaměstnance? ..........................................163 Jak je to s fotografiemi bývalých zaměstnanců po skončení pracovního poměru?.............................................................164 Lze poskytnout referenci o bývalém zaměstnanci (telefonicky)? ..............165

4. Nezařazené ....................................................................................... 166 4.1 4.2 4.3 4.4 4.5 4.6 4.7 4.8

Je poskytovatel IT služeb zpracovatelem?.................................................166 Musí zaměstnavatel jmenovat pověřence pro ochranu osobních údajů? ......................................................................................168 Jak může přijít Úřad pro ochranu osobních údajů na kontrolu? ...............169 Jaká výše pokuty hrozí zaměstnavateli za porušení GDPR? ......................170 Jaká výše pokuty hrozí zaměstnavateli za porušení § 316 zákoníku práce? ...........................................................172 Platí stále oznamovací povinnosti vůči Úřadu pro ochranu osobních údajů? .......................................................................................173 Může zaměstnanec požadovat náhradu za újmu způsobenou zpracováním osobních údajů? ..............................................173 Jak zaměstnavatel prokáže soulad zpracování s GDPR? ............................ 174

PĜedmluva

PĄEDMLUVA Zpracování osobních údajů zaznamenalo v důsledku rozvoje společnosti v posledních letech rapidní vývoj, co se týká rozsahu i prostředků k němu využívaných, což se samozřejmě dotklo i pracovněprávní oblasti, kde je přirozenou a zároveň nedílnou součástí vztahů vznikajících mezi zaměstnavateli a zaměstnanci při výkonu závislé práce. V nedávné minulosti, ještě ani ne před pár desítkami let, bylo zpracování osobních údajů zaměstnanců vcelku jednoznačně ohraničeno, jelikož se osobní údaje zpracovávaly prakticky výhradně ke mzdovým a úzce souvisejícím účelům, a to navíc výhradně v manuální evidenci, u níž nehrozila rizika, která se vyskytují v dnešním elektronickém světě. Zpracování osobních údajů zaměstnanců pro mzdové účely přetrvává samozřejmě i dnes, ovšem jak pro tento, tak i pro nové účely, které se objevily vývojem společnosti, jsou v pracovněprávní oblasti využívány moderní prostředky, jež s sebou nesou zvýšené riziko zásahu do soukromí zaměstnanců při zpracování osobních údajů, ať už se jedná např. o samotnou výpočetní techniku nahrazující manuální personální evidenci, ale třeba i GPS lokátory, kamerové systémy, identifikační systémy pracující na bázi otisku prstu atd. Mezi nové účely zpracování osobních údajů zaměstnanců patří např. zapojení třetích subjektů do poskytování benefitů, využívání fotografií zaměstnanců, např. v informačním systému, nebo jednotná personální politika mateřské společnosti projevující se předáváním osobních údajů do zahraničí, kdy mnozí personalisté často stojí před požadavky mateřských společností předat veškerou personální evidenci, nejčastěji ve formě zpřístupnění celého personálního systému, či naopak povinně využívat personální systém poskytovaný mateřskou zahraniční společností. Zpracování osobních údajů zaměstnanců je tak v současné době daleko komplexnější a logicky vyvolává mnohé otázky, jejichž četnost se ještě zvýšila v souvislosti s nabytím účinnosti Obecného nařízení o ochraně osobních údajů (GDPR), které představuje aktualizovaný rámec pravidel pro zpracování osobních údajů. Zajištění souladu zpracování osobních údajů zaměstnanců ze strany zaměstnavatele s příslušnými právními předpisy, tedy jak (především) se zákoníkem práce a dalšími předpisy z oblasti pracovního práva, tak od 25. května 2018 s GDPR, je o to důležitější, že jde o zpracování osobních údajů

GDPR V PERSONALISTICE

prováděné subjektem, který je v daném vztahu tradičně považován za silnější stranu, což se odráží i v některých přístupech při zpracování osobních údajů, jimž se věnuje tato publikace. Současná doba si vynutila, aby i v menších či středních organizacích existovala osoba, která bude dbát na soulad zpracování osobních údajů zaměstnanců, nebo i zároveň zákazníků – fyzických osob či jiného prováděného zpracování osobních údajů. V těchto organizacích, které nemají právní tým nebo pověřence pro ochranu osobních údajů, budou většinou za soulad, především co se týká zpracování osobních údajů zaměstnanců, organizačně odpovědní personalisté či účetní. Ti musí aplikovat jak obecný předpis, kterým GDPR je, tak i další právní předpisy na konkrétní zpracování, což nemusí být vždy jednoduché. Zajištění bezproblémového a transparentního zpracování osobních údajů zaměstnanců je neopomenutelnou částí při získávání jejich důvěry. Tato publikace si proto klade za cíl poskytnout personalistům a účetním, ale nejen jim, nezbytné znalosti o zpracování osobních údajů podle GDPR (První část – výklad GDPR s důrazem na personální oblast poskytující nezbytný vhled do zpracování osobních údajů) a také poskytnout jim odpovědi na otázky vyplývající z různých životních situací, se kterými se během své činnosti setkávají (Otázky a odpovědi – druhá část), a to i ve vztahu k zákonům primárně upravujícím vztah mezi zaměstnavateli a zaměstnanci, tak aby mohli při zajišťování personální činnosti a s ní souvisejícího nezbytného zpracování osobních údajů zaměstnanců vykonávat tuto činnost bez obav z postihu zaměstnavatele nebo Úřadu pro ochranu osobních údajů či stížností zaměstnanců. Přeji Vám, aby pro Vás byla tato publikace cenným zdrojem informací o GDPR. Při jeho aplikaci mějte vždy na paměti základní pravidlo, že zpracování osobních údajů má sloužit lidem, nikdy naopak.

Pod÷kování Děkuji Michálkovi, Simonce a rodičům za trpělivost, bez nich by tato publikace nevznikla. Zvláštní poděkování patří kolegyni PhDr. Miroslavě Matoušové a advokátovi Mgr. Tomáši Liškutínovi za revizi rukopisu této publikace a praktické postřehy.

VÝKLAD GDPR S DģRAZEM NA PERSONÁLNÍ OBLAST

nanců nebo zákazníků do třetích zemí (mimo EHP), musí být splněny dodatečné podmínky (viz kapitola 6). Samotný text GDPR je rozdělen na dvě části. První část tvoří tzv. preambule, což je fakticky obsahově důvodová zpráva, členěna do očíslovaných odstavců 1 až 173, které se nazývají recitály. Preambule je významná, co do pochopení smyslu celého GDPR a jeho jednotlivých institutů, není však právně závazná. Z hlediska personální oblasti představuje nejdůležitější pasáž recitál 48, který konstatuje, že oprávněným zájmem může být předávání osobních údajů zaměstnanců pro vnitřní administrativní účely v rámci skupiny podniků (tj. jednotná personální politika). Pokud je v této knize odkazováno na „recitál“, myslí se tím konkrétní očíslovaný odstavec v Preambuli GDPR. Po preambuli následuje vlastní text nařízení, který má již formu nám známou ze zákonů, jen s tím rozdílem, že jednotlivá ustanovení jsou nazývána články, nikoliv paragrafy. Tato část je v GDPR nejdůležitější, protože adresátům přímo stanoví povinnosti a práva. Výklad jednotlivých článků by však měl být prováděn v souladu s ustanoveními Preambule, a proto v následujícím textu naleznete nejen odkazy na relevantní články, ale rovněž i na jednotlivé recitály (očíslované odstavce Preambule).

1.1

Nejdčležit÷jší základní pojmy a jejich význam v personální oblasti

Pro správnou aplikaci jakéhokoliv předpisu je nutné nejprve porozumět pojmům, se kterými pracuje, a jejich významu. GDPR obsahuje celkem 26 definic pojmů, jejichž úplný výčet by byl pro účely této publikace nadbytečný, proto se tato kapitola zabývá těmi nejdůležitějšími, které jsou v personální oblasti nejčastěji aplikované a jež by měl každý personalista znát. Úplný výčet definic naleznete v článku 4 GDPR.

1.1.1

Osobní údaj

Pro aplikaci GDPR musí být splněny dvě základní podmínky: informace musí mít podobu osobních údajů a zároveň musí docházet k jejich zcela či částečně automatizovanému zpracování či musí být strukturovány v evidenci11). 11)

Evidencí se rozumí jakýkoliv strukturovaný soubor osobních údajů přístupných podle zvláštních kritérií.

VÝKLAD GDPR S DģRAZEM NA PERSONÁLNÍ OBLAST

tak možné ponechat určité informace za předpokladu, že bude odstraněna vazba těchto informací s konkrétní fyzickou osobou, tj. tyto ponechané informace již nebudou moci být vztaženy ke konkrétní fyzické osobě. Příklad Zaměstnavatel průběžně likviduje dokumenty bývalých zaměstnanců, přičemž např. 30 let uchovává mzdové listy nebo účetní záznamy o údajích potřebných pro účely důchodového pojištění (doklady o druhu, vzniku a skončení pracovního vztahu, záznamy o pracovních úrazech a o nemocech z povolání a záznamy o evidenci pracovní doby včetně doby pracovního volna bez náhrady příjmu). Likvidací těchto dokumentů dojde již k úplnému zlikvidování informací (osobních údajů) o bývalém zaměstnanci. Zaměstnavatel si však může, pro účely statistiky, ponechat informaci o mzdě toho zaměstnance, např. v podobě: závozník 1 měl v roce 1988 mzdu XXX Kčs atd. Tento údaj není osobním údajem, jelikož jej zaměstnavatel již nemá jak spojit s konkrétní fyzickou osobu (všechny dokumenty s ní spojené již zlikvidoval).

Takto lze přistupovat k anonymizování i jiných osobních údajů a ponechávat si statisticky zajímavá data (nejen v personální oblasti). Rovněž lze již v průběhu pracovního poměru vytvářet obdobné statistické informace, které nemají vazbu na konkrétního zaměstnance. Zvláštní kategorie osobních údajč a rodné éíslo Některé osobní údaje mohou být svým charakterem způsobilé samy o sobě poškodit subjekt údajů více než jiné. Proto se v rámci osobních údajů rozlišuje ještě jedna skupina, tzv. zvláštní kategorie osobních údajů, které lze nazývat jako citlivé údaje, což bude pro mnoho lidí výstižnější, neboť pojem citlivé údaje lépe vystihuje jejich podstatu zranitelnosti pro subjekt údajů. Zvláštní kategorií osobních údajů jsou osobní údaje vypovídající o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech. Dále to jsou údaje o zdravotním stavu či sexuálním životě nebo sexuální orientaci fyzické osoby. Za zvláštní kategorii osobních údajů jsou považovány genetické a biometrické údaje, slouží-li pro účely jedinečné identifikace fyzické osoby. Žádné další osobní údaje, než které byly vyjmenovány v předchozím odstavci, nejsou považovány za zvláštní kategorie údajů (citlivé údaje). Laická veřejnost velmi často považuje za citlivý údaj rodné číslo. To však není citlivým údajem, byť má také své specifikum, a sice že podmínky jeho

VÝKLAD GDPR S DģRAZEM NA PERSONÁLNÍ OBLAST

Chytrý personalista Uvòdomuje si, že zamòstnavatel, u kterého pňsobí, zpracovává osobní údaje zamòstnancň pro personální a mzdové úæely, pĴípadnò dalších kategorií fyzických osob, napĴ. zákazníkň, aĽ už v manuální evidenci æi v informaæním systému, a je si vòdom, že v dňsledku toho se na takové zpracování vztahují pravidla GDPR, která musí splėovat. Proto se této problematice vònuje i z hlediska pravidelného vzdòlávání, zná relevantní ustanovení zákoníku práce, souvisejících pĴedpisň a GDPR. Uvòdomuje si, že žádné zpracování se nedòje bezúæelnò, ale pro každé zpracování musí být stanoven úæel. Ví, že vňæi osobním údajňm, které jsou pĴedmòtem zpracování, musí dodržovat mlæenlivost, tj. nesdòluje je neoprávnòným osobám. Tato mlæenlivost vyplývá bué ze zvláštních zákonň, æi je stanovena smluvnò v pracovní smlouvò nebo rozvedena ve vnitĴním pĴedpise zamòstnavatele (viz otázka 2.8). Relevantní ustanovení æl. 4 odst. 2 – deȱnice zpracování (+ recitál 15)

1.1.3

Pseudonymizace

Pseudonymizací se rozumí zpracování osobních údajů tak, že již nemohou být přiřazeny konkrétnímu subjektu údajů bez použití dodatečných informací, pokud jsou tyto dodatečné informace uchovávány odděleně a vztahují se na ně technická a organizační opatření, aby bylo zajištěno, že nebudou přiřazeny identifikované či identifikovatelné fyzické osobě. Pozor – pseudonymizace neznamená úplnou anonymizaci, ale jak vyplývá z názvu, jde o „falešnou“ anonymizaci. V případě pseudonymizace je na dané informace nutné stále nahlížet jako na osobní údaje, jelikož stále existuje vazba mezi informacemi a fyzickou osobou. Teprve v případě nevratného odstranění vazby mezi fyzickou osobou a informací dojde k anonymizaci informací. Pseudonymizace může přicházet v úvahu v případech, kdy není nutné pracovat s běžnými identifikátory a správce namísto nich zvolí jiné identifikátory (číslo, kód). Samotné zpracování je pak prováděno ve vazbě na tyto identifikátory, což snižuje riziko zpracování, zejména v případě posuzování porušení zabezpečení osobních údajů spočívající např. v úniku dat. 26

2. Zásady zpracování osobních údajĤ

Přísnější režim pro zpracování citlivých údajů se projevuje především v zákazu je zpracovávat, ledaže je tento zákaz prolomen některým z bodů v článku 9 odst. 2 GDPR. Pro zaměstnavatele je podstatné, že pro nezbytná zpracování citlivých údajů, je zákaz prolomen především ustanovením článku 9 odst. 2 písm. b) GDPR. Podle tohoto ustanovení zákaz neplatí, pokud je zpracování nezbytné pro účely plnění povinností a výkon zvláštních práv správce nebo subjektu údajů v oblasti pracovního práva a práva v oblasti sociálního zabezpečení a sociální ochrany, pokud je povoleno právem EU nebo členského státu nebo kolektivní smlouvou podle práva členského státu, v němž se stanoví vhodné záruky týkající se základních práv a zájmů subjektu údajů. Prolomení zákazu nalezne uplatnění i v případě, že je zpracování nezbytné pro určení, výkon nebo obhajobu právních nároků (článek 9 odst. 2 písm. f) GDPR), či pokud je zpracování nezbytné pro účely preventivního nebo pracovního lékařství, pro posouzení pracovní schopnosti zaměstnance, lékařské diagnostiky, poskytování zdravotní nebo sociální péče… (viz článek 9 odst. 2 písm. h) GDPR). I po prolomení zákazu zpracovávat citlivé údaje nadále platí, že správci musí svědčit k jejich zpracování některý z právních důvodů podle článku 6 odst. 1 GDPR, tj. zákonnost, o kterých byla řeč v této kapitole. Zpravidla se v těchto případech bude jednat o plnění smlouvy či právní povinnosti zaměstnavatele. Jako příklad si vezměme povinnost vést evidenci úrazů, kterou stanoví § 105 odst. 2 zákoníku práce. Z povahy věci se v knize úrazů vede i popis úrazu, což lze brát jako údaj o zdravotním stavu, a to je citlivý údaj. Jedná se však o zpracování nezbytné pro účely plnění povinnosti v oblasti pracovního práva, a proto se nevyužije ustanovení a priori zakazující zpracování zvláštních kategorií osobních údajů, jelikož jej ruší článek 9 odst. 2 písm. b) GDPR. A v rámci zásady zákonnosti půjde o zpracování podle článku 6 odst. 1 písm. c) GDPR, tedy plnění právní povinnosti vztahující se na správce.

2.2

Transparentnost a korektnost

Transparentnost zpracování osobních údajů je jedním z pilířů celého GDPR. Projevem zásady transparentnosti jsou práva subjektu údajů (a tudíž zároveň i povinnost správce tato práva vykonávat), která mají za cíl vybalancovat

VÝKLAD GDPR S DģRAZEM NA PERSONÁLNÍ OBLAST

VZTAH SPRÁVCE A ZPRACOVATELE (EXTERNÍ MZDOVÁ ÚèTÁRNA)

Osobní údaje zaměstnanců zpracovává zaměstnavatel zpravidla sám prostřednictvím vlastních zaměstnanců (kteří, jak jsme si již vysvětlili, nejsou ani správci, ani zpracovatelé) a vlastními prostředky. V mnoha případech však zaměstnavatel nemusí disponovat dostatečnými personálními ani dalšími prostředky ke zpracování osobních údajů a v takovém případě si, aby mohl zpracování provádět, musí najmout externí subjekt, aby pro něj osobní údaje na základě jeho pokynů zpracovával. Stejně tak může jakýkoliv správce dojít k názoru, že externí subjekt pro něj provede zpracování levněji, než pokud by jej prováděl vlastními silami. V takových případech jde o vztah správce a zpracovatele. Jeho podstatou je, že zpracovatel na pokyn správce provádí s osobními údaji správcem stanovené operace zpracování, které mu za tím účelem poskytl. Za učebnicový případ vztahu správce a zpracovatele v personální oblasti se považuje využití externí mzdové účtárny ke zpracování mezd zaměstnavatelem. Ta, na základě pokynů zaměstnavatele, zpracovává osobní údaje pro zaměstnavatele, jejichž zpracování by si jinak musel provádět vlastními zaměstnanci a prostředky. Externí mzdová účtárna je tudíž vůči zaměstnavateli zpracovatelem. Musíme mít však stále na paměti, že externí mzdová účtárna bude mít zpravidla také vlastní zaměstnance, přičemž vůči těmto vlastním zaměstnancům je v pozici správce. Mzdová účtárna Nejlepší výtahy s. r. o. (správce) osobních údajů vlastních zaměstnanců

osobní údaje

Zpracovatel osobních údajů zaměstnanců správce Nejlepší výtahy s. r. o.

Správce osobních údajů vlastních zaměstnanců

V jiných případech se může jednat o IT poskytovatele služeb, který na základě pokynů správce provádí s osobními údaji cílené operace (zálohuje na vlastních úložištích nebo úložištích zaměstnavatele, či provádí jiné operace s osobními údaji). Zpracovatelem však není pouhý poskytovatel (prodejce) účetního či personálního programu, ledaže by byl zapojen

3. Vztah správce a zpracovatele (externí mzdová úþtárna)

Chytrý personalista Zná rozdíl mezi správcem a zpracovatelem. Využívá-li zamòstnavatel externí mzdovou úætárnu nebo jiného poskytovatele služeb, který pro nòj pracuje s osobními údaji, jde o zpracovatele, se kterým musí mít uzavĴeno smluvní ujednání obsahující náležitosti požadavkň smlouvy o zpracování osobních údajň podle ælánku 28 GDPR. Pokud nebyla smlouva o zpracování v rámci pĴíprav na GDPR aktualizována, projde její znòní a ovòĴí, zdali obsahuje náležitosti, které má zejména mít (pĴedmòt, povaha, úæel, doba trvání, typ osobních údajň, kategorie subjektň údajň), pĴípadnò požádá právní oddòlení æi odpovòdnou osobu o revizi nebo pomoc. V pĴípadò nutnosti iniciuje uzavĴení nové zpracovatelské smlouvy nebo dodatku ke smlouvò tak, aby byl text odpovídající GDPR. K samotnému pĴedávání osobních údajň zpracovateli využívá zabezpeæený kanál a ovòĴí, zdali v informacích, které zamòstnavatel zamòstnancňm, ale i uchazeæňm o zamòstnání, poskytuje o zpracování osobních údajň, jsou uvedeny i kategorie zpracovatelň. Relevantní ustanovení æl. 4 odst. 7 – deȱnice správce æl. 4 odst. 8 – deȱnice zpracovatele æl. 28 – podmínky pro vztah správce – zpracovatel (+ recitál 81) æl. 82 – právo na úhradu újmy a odpovòdnost (+ recitál 146)

4. Nové povinnosti v GDPR ve vazbČ na personalistiku

4.2.2

Oznamování pąípadč porušení zabezpeéení osobních údajč zam÷stnancčm

Porušení zabezpečení osobních údajů se může výrazně dotknout práv a svobod subjektu údajů, resp. zaměstnance. Proto GDPR v souvislosti s porušením zabezpečení osobních údajů mající vysoké riziko pro práva svobody subjektu údajů spojuje povinnost oznámit jej subjektu údajů. Je to z toho důvodu, aby subjekt údajů mohl v závislosti na charakteru porušení zabezpečení osobních údajů sám učinit vhodné kroky k ochraně svých práv. Oproti předchozí povinnosti, tj. ohlašovat případ porušení zabezpečení osobních údajů Úřadu pro ochranu osobních údajů vzniká tato povinnost až při přítomnosti vysokého rizika vyplývajícího z porušení zabezpečení. Jednalo by se např. o ztrátu pracovních smluv či jiných podstatných dokumentů, které by zaměstnavatel navíc neměl jak nahradit. Riziko bude zvyšovat i přítomnost citlivých údajů, pokud byly předmětem porušení zabezpečení osobních údajů. Vznikne-li povinnost oznámit subjektu údajů případ porušení zabezpečení osobních údajů, je nutné subjekt údajů zpravit za použití jasných a jednoduchých jazykových prostředků (navíc bez jakýchkoliv poplatků) o pravděpodobných důsledcích porušení zabezpečení, popisu opatření, která byla přijata ke zmírnění možných nepříznivých dopadů a o kontaktních údajích na osobu či místo, které může poskytnout bližší informace. Oznamovat porušení zabezpečení osobních údajů není subjektům údajů (zaměstnancům) nutné, pokud byla u dotčených osobních údajů přijata taková technická a organizační opatření, která činí tyto údaje nesrozumitelnými pro kohokoliv, kdo není oprávněn mít k nim přístup (např. šifrování nebo pseudonymizace). Riziko v těchto případech ostatně nebude vysoké, jelikož pokud k „ostrým“ osobním údajům nemá v důsledku technických opatření nikdo přístup, nehrozí fakticky žádná újma subjektu údajů. Stejně tak není nutné oznamovat porušení zabezpečení osobních údajů, pokud správce přijal následná opatření, která zajistí, že vysoké riziko pro práva a svobody se pravděpodobně neprojeví. Správce nemusí oznamovat ani tehdy, jestliže by to vyžadovalo nepřiměřené úsilí, v takovém případě však musí být subjekty údajů zpraveny vhodným způsobem pomocí veřejného oznámení. GDPR nevylučuje, aby oznámení subjektům údajů bylo učiněno i dobrovolně, aniž by bylo splněno kritérium vysokého rizika porušení zabezpečení 67

VÝKLAD GDPR S DģRAZEM NA PERSONÁLNÍ OBLAST

Poskytované informace je nutné upravit tak, aby vyhovovaly a byly poplatné zpracování prováděné organizací. Jak vidno, není nutné vždy vypisovat všechny body, např. pokud se neuplatní pro uchazeče souhlas (zaměstnavatel si např. nezískává souhlas pro budoucí nabídky práce v případě neúspěšných uchazečů), není nutné v informacích pro uchazeče psát, že souhlas je odvolatelný, stejně tak, pokud nedochází k automatizovanému rozhodování apod.

5.1.1

Informace pro uchazeée

Pokud je využíván papírový dotazník, je vhodné přímo na něj uvést základní minimum informací o zpracování osobních údajů uchazečů. Jestliže zaměstnavatel inzeruje volné pozice na svých webových stránkách, měl by v této sekci uvést informaci o zpracování osobních údajů pro uchazeče (stejně tak, pokud používá možnost inzerce pozice na webu personální agentury). Je to možné např. formou prokliku, tzn. uchazeč klikne na hypertextový odkaz („link“) a otevře se mu malé vyskakovací okno s podrobnějšími informacemi nebo nová stránka. Pokud zaměstnavatel umožňuje reagovat přímo prostřednictvím webových stránek, je vhodné uvést základní informace před políčko odeslat. text inzerátu Pro účely výběrového řízení na tuto pracovní pozici bude společnost Nejlepší výtahy s. r. o., sídlem: Pracovní 2019, 110 00, Praha 1, IČ: 12345678, kontaktní osoba: JUDr. Jiří Pracant, zpracovávat, jakožto správce, Vámi poskytnuté osobní údaje v souladu s příslušnými právními předpisy. Účast ve výběrovém řízení, resp. poskytnutí osobních údajů pro tyto účely, je dobrovolné. Podrobnější informace zde37). Ƀ V případě, že nebudu vybrán na tuto pozici, uděluji společnosti Nejlepší výtahy s. r. o. souhlas, aby zpracovávala osobní údaje obsažené v mnou zasla-

37)

V odkazu mohou být jednak zopakovány základní informace a doplněné další body, např. že příslušný právní předpis je GDPR, případně zákon o zaměstnanosti, zákoník práce, doba uchování, účel ochrany práv zaměstnavatele, podrobnosti o souhlasu pro další uchování životopisu pro nabídku práce v budoucnu. Uchazeči mohou být rovněž ujištěni, že nedochází k automatizovanému rozhodování apod.

7. Kamerový systém zamČstnavatele z pohledu GDPR

KAMEROVÝ SYSTÉM ZAMöSTNAVATELE Z POHLEDU GDPR

Zaměstnavatelé čím dál častěji využívají kamerové systémy pro ochranu svých práv a oprávněných zájmů, které se tak stávají nedílnou součástí každodenního pracovního prostředí zaměstnanců. Kamerové systémy nejsou a priori zakázané, ale při jejich provozu musí být dodrženy určité podmínky, které jsou neoddělitelně spjaty s ochranou soukromí v širším slova smyslu, protože zaměstnanci nejsou nikdy úplně zbaveni práva na ochranu soukromí na pracovišti. Netřeba dodávat, že zaměstnavatel odpovídá za provoz kamerového systému jak z hlediska GDPR46), tak i z hlediska zákoníku práce, který v § 316 obsahuje úpravu osobnostních práv zaměstnance, přičemž orgánem dozoru plnění těchto práv je Státní úřad inspekce práce. Nelze nezmínit ani případnou odpovědnost provozovatele kamerového systému i podle příslušných ustanovení občanského zákoníku, pokud by kamery narušovaly soukromí dalších osob (např. obyvatel přilehlého domu, na který by byly namířeny kamery z areálu zaměstnavatele). Nesprávné nastavení kamerového systému často ze strany zaměstnanců vyúsťuje v podávání stížností a podnětů jak Úřadu pro ochranu osobních údajů tak i Státnímu úřadu inspekce práce. Proto je důležité nastavit kamerový systém od počátku v souladu s příslušnými normami a být ohledně kamerového systému vůči zaměstnancům transparentní a korektní. Velkou chybou mnohých zaměstnavatelů bývá právě to, že přistoupí k instalaci kamerového systému, aniž by zaměstnancům sdělili jeho základní parametry a účel, či jej využívají v nepřístojných prostorách. Ti pak mají důvodnou obavu, že je zaměstnavatel sleduje nebo že je kamerový systém využíván k „nekalým“ účelům, a hledají oporu u dozorových úřadů. Kamerový systém není a nemůže být samospasitelný. Vždy je nutné jej brát jako doplněk v rámci objektové bezpečnosti. Kamerový systém zaměstnavatele může být předmětem kontroly dvou státních úřadů. Z hlediska podmínek zpracování osobních údajů podle GDPR ze strany Úřadu pro ochranu osobních údajů a z hlediska splnění podmínek § 316 odst. 2 a 3 zákoníku práce ze strany Státního úřadu inspekce práce. 46)

Pokud je pořizován záznam.

VÝKLAD GDPR S DģRAZEM NA PERSONÁLNÍ OBLAST

Příklad informace ohledně kamerového systému formou piktogramu v prostorách zaměstnavatele: PROSTOR JE STŘEŽEN KAMEROVÝM SYSTÉMEM SE ZÁZNAMEM Provozovatel: Nejlepší výtahy s. r. o., IČ: 12345678 Získat podrobnější informace o kamerovém sytému a uplatnit práva je možné na e-mailu kamery@nejlepsivytahysro.cz nebo intranetu51), případně u bezpečnostního technika (tel., e-mail). 51)

Obdobné samolepky s piktogramy lze koupit v papírnictví či na internetu. Neexistuje jejich přesně stanovená podoba, měly by pouze obsahovat základní nezbytné náležitosti, tj. informaci o monitorování, kdo je provozovatel a kde lze získat podrobnější informace a uplatnit práva.

7.2.4

Vzor záznamu o éinnostech zpracování – kamerový systém zam÷stnavatele

V rámci provozování kamerového záznamu je vhodné mít separátní záznam o činnostech zpracování vztahující se právě ke kamerovému systému, kterým lze doplnit další záznamy o činnostech zpracování, minimálně záznam pro personální agendu, jehož možný vzor byl uveden v kapitole 4.1. VZOR možného základního záznamu o činnostech zpracování pro kamerový systém Záznam o činnostech zpracování – KAMEROVÝ SYSTÉM Verze záznamu

1.1

Tento záznam je účinný od 1. 4. 2019. Nahrazuje verzi 1.0 ze dne 25. 5. 2018.

51)

Pokud by se jednalo o označení prostor, kam má přístup i veřejnost, je nutné rozšířit kontaktní údaje na zdroj informací např. o hlavní vrátnici nebo webové stránky a naopak odstranit informaci o intranetu.

1. PĜed vznikem základního pracovnČprávního vztahu

konkrétního zaměstnavatele, který jej využívá, a pracovních pozic, pro jejichž obsazení má dotazník uchazeče sloužit.

1.2

Mčže zam÷stnavatel požadovat pąedložení výpisu z trestního rejstąíku? Mčže si jej u vybraného uchazeée založit do osobního spisu?

Rychlá odpověď Zjišťovat trestněprávní bezúhonnost uchazeče lze jen v případech, kdy to odůvodňuje povaha vykonávané práce a je-li takový požadavek přiměřený. V případě, že jde o požadavek právního předpisu („bezúhonnost“), lze tyto údaje nejen zjišťovat, ale i uchovat v osobním spisu pro budoucí ověření splnění zákonných podmínek uchazeče.

Podrobnosti

Informace o trestní bezúhonnosti patří mezi ty osobní údaje, které by měly být zjišťovány pouze v odůvodněných případech, kdy je tento požadavek přiměřený a odůvodňuje jej povaha vykonávané práce. Některých trestných činů (typicky nedbalostních) se mohou dopustit i jinak spořádaní občané, přičemž nedůvodné trvání na trestní bezúhonnosti vůči těmto uchazečům by bylo nespravedlivé a zakládalo by i nedůvodnou nerovnost mezi uchazeči58). Ustanovení § 316 odst. 4 zákoníku práce zapovídá zaměstnavateli zjišťovat mimo jiné trestněprávní bezúhonnost, ledaže je pro to dán věcný důvod spočívající v povaze práce, která má být vykonávána, a je-li tento požadavek přiměřený, nebo v případech, kdy to stanoví tento zákon nebo zvláštní právní předpis. V důvodných případech tak bude na místě, aby zaměstnavatel požadoval předložení výpisu z trestního rejstříku, pokud trvá na trestněprávní bezúhonnosti, resp. neakceptuje uchazeče s určitou trestní minulostí. Pokud zaměstnavatel obsazuje pozici pokladníka, bude pro něj v tomto ohledu rozhodující, zdali nejde o uchazeče s majetkovou trestní minulostí. V takovém případě je na místě, aby tuto okolnost od uchazečů zjišťoval (např. v dotazníku otázkou na „čistý trestní rejstřík“). Za účelem ověření může požádat i o předložení výpisu z Rejstříku trestů a nahlédnout do něj. 58)

Viz § 12 odst. 2 zákona o zaměstnanosti, který stanoví, že hlediska pro výběr zaměstnanců musí zaručovat rovné příležitosti všem fyzickým osobám ucházejícím se o zaměstnání.

113

OTÁZKY A ODPOVċDI

Podrobnosti

Řidičské průkazy nepožívají na rozdíl od občanských průkazů zákonem stanovenou „ochranu“ proti jejich kopírování, tj. nejsou stanoveny žádné podmínky, za kterých lze pořídit kopii řidičského průkazu. Je tedy třeba řídit se přiměřeností a účelností takového postupu. Zejména u profesionálních řidičů bude takový postup přiměřený pro případ nutnosti prokázat, že zaměstnavatel najal řidiče s platným řidičským průkazem (v tom spočívá rozdíl oproti částečné kopii občanského průkazu, kopie řidičského průkazu je v tomto případě v osobním spise účelná, jelikož prokazuje určitou skutečnost – oprávnění). Zaměstnavatel však nemá v žádném právním předpise oporu ve smyslu stanovení možnosti kopii řidičského průkazu po vybraném uchazeči autoritativně vyžadovat (nejde o povinnou náležitost v osobním spise, dá se však konstatovat, že v případě uložení kopie řidičského průkazu profesionálního řidiče by neměl být překročen § 312 odst. 1 zákoníku práce stanovující, že osobní spis smí obsahovat jen písemnosti, které jsou nezbytné pro výkon práce v základním pracovněprávním vztahu uvedeném v § 3). Při pořizování kopie řidičského průkazu profesionálních řidičů je vhodné zvážit potřebnost okopírování fotografie, tj. případně pořizovat kopie řidičských průkazů přes šablonu, která zakryje fotografii.

1.13

Lze poąídit kopii kartiéky zdravotní pojišċovny vybraného uchazeée a založit ji do osobního spisu?

Zpravidla nebude důvod ke kopírování průkazu pojištěnce kvůli založení do osobního spisu. Postačí poznamenat si příslušné informace. Rychlá odpověď

Podrobnosti

Na rozdíl od občanského průkazu, který slouží jako veřejná listina prokazující skutečnosti v něm zapsané a který obsahuje de facto všechny základní údaje o naší totožnosti, je okruh údajů na průkazu pojištěnce užší, přičemž většina údajů na ní uvedených koresponduje s údaji, které zaměstnavatel musí zpracovávat. Z pohledu zásady minimalizace osobních údajů by pořízením kopie průkazu zdravotní pojišťovny nedošlo k porušení GDPR (polemika by mohla být vedena pouze o čísle průkazu). Zaměstnavatel však nemá podle právních předpisů nárok požadovat po zaměstnanci umožnění

126

OTÁZKY A ODPOVċDI

2.12

Mčže zam÷stnavatel zasílat výplatní pásku na pracovní e-mail?

GDPR ani zákoník práce zasílání výplatní pásky na pracovní e-mail nebrání. Rychlá odpověď

Podrobnosti

Zasílání výplatních pásek na elektronické pracovní adresy zaměstnanců může být pro zaměstnavatele, ale i pro samotné zaměstnance, zajímavým způsobem jejich distribuce. Obecně podle § 142 odst. 5 zákoníku práce platí, že při měsíčním vyúčtování mzdy nebo platu, je zaměstnavatel povinen vydat zaměstnanci písemný doklad75) obsahující údaje o jednotlivých složkách mzdy nebo platu a o provedených srážkách. Na žádost zaměstnance předloží zaměstnavatel doklady, na jejichž základě mzdu nebo plat vypočetl. Ve vztahu k vyřčené otázce je nejdříve nutné si ujasnit, zda lze za písemný doklad považovat elektronickou variantu výplatní pásky. Zákoník práce nemá bližší ustanovení o pojmu písemný doklad, proto je nutné v souladu s § 4 zákoníku práce využít subsidiárně ustanovení občanského zákoníku, který stanoví, že písemná forma je zachována i při právním jednání učiněném elektronickými nebo jinými technickými prostředky umožňujícími zachycení jeho obsahu a určení jednající osoby. Elektronická výplatní páska tak splňuje požadavky kladené na písemný doklad ve smyslu § 142 odst. 5 zákoníku práce, jelikož je na ní zachycen obsah a je i určitelná jednající osoba (zaměstnavatel). Vydáním lze rozumět zpřístupnění („dání k dispozici“) výplatní pásky zaměstnanci, přičemž zákoník práce blíže nespecifikuje způsoby vydání výplatní pásky zaměstnanci. Pod pojem vydání výplatní pásky tak lze, i s ohledem na dnešní způsoby předávání informací, podřadit i její vydání, resp. zpřístupnění v elektronické podobě prostřednictvím e-mailu či jiným vhodným způsobem. V případě úvah o zasílání (vydávání) výplatní pásky e-mailem musí zaměstnavatel zvážit reálnou možnost zaměstnanců přistupovat k internetu, resp. zda zaměstnanec používá pracovní e-mailovou adresu, na kterou by bylo možné elektronickou výplatní pásku zaslat76). Bezproblémové bude zpravidla zasílání elektronických výplatních pásek na elektronické adresy 75) 76)

Tj. výplatní pásku. V případě soukromé e-mailové adresy by bylo, podle názoru autora, nutné získat svolení zaměstnance.

144

2. V prĤbČhu základního pracovnČprávního vztahu

jako památka. V případě využití fotografií takovým způsobem není na místě aplikovat GDPR vzhledem k tomu, že tyto fotografie jsou zveřejňovány bez vazby na konkrétní osoby zachycené na fotografii, tj. cíl je naprosto odlišný než u fotografie zaměstnance XY uložené v informačním systému.

2.18

Jaké jsou podmínky pro zpąístupn÷ní osobních údajč zam÷stnancč na webových stránkách organizace?

Rychlá odpověď Rozhodně musí platit přiměřenost a adekvátnost odpovídající povaze zaměstnavatele a činnosti vykonávané zaměstnancem. U vedoucích pozic či pozic jednající s veřejností převáží oprávněný zájem zaměstnavatele (typicky obchodní zástupce, vysoký manažer) oproti zaměstnancům, jejichž náplní není styk s veřejností (účetní, referent, řidič).

Podrobnosti

Zaměstnavatel disponuje osobními údaji zaměstnanců za účelem uspokojování základního pracovněprávního vztahu. V některých případech může být z pohledu zaměstnavatele a jeho činnosti nezbytné uvést základní kontaktní údaje na pracovníka. Nelze opomenout ani sociální rozměr této otázky, kdy k běžnému kontaktu patří i představení osoby, se kterou komunikuji, a zaměstnanec nemůže vždy při výkonu své práce a priori očekávat naprostou anonymitu. Internet již dnes patří k běžnému komunikačnímu kanálu. Běžný rozsah zveřejněných údajů zpravidla nebude nebezpečný, půjde o jméno, příjmení a pracovní kontakty (telefon, e-mail). Zaměstnavatel by vždy měl při úvahách o zveřejnění těchto základních kontaktů zvážit pracovní pozici dotčeného zaměstnance a jeho možné očekávání, a zda má zveřejnění kontaktních údajů vůbec nějaký reálný smysl. V některých případech lze namísto přímých kontaktních údajů uvažovat o zveřejnění kontaktních údajů na organizaci jako takovou či na jednotlivá oddělení spíše než na konkrétní osoby.

2.19

Mčže zam÷stnavatel vyžadovat viditelné umíst÷ní jména a pąíjmení na pracovním od÷vu pąi styku s veąejností?

Zakázané to není. Musí být zvážena povaha vykonávané práce, přiměřenost, zvyklosti v oboru apod. Rychlá odpověď

151

4. NezaĜazené

4.6

Platí stále oznamovací povinnosti včéi Úąadu pro ochranu osobních údajč?

Rychlá odpověď Oznamovací povinnost již od nabytí účinnosti GDPR neplatí. Na nezbytné zpracování osobních údajů v souvislosti s personální agendou se oznamovací povinnost navíc nikdy nevztahovala.

Podrobnosti

Smyslem oznamovací povinnosti bylo ohlásit Úřadu pro ochranu osobních údajů některá zpracování, aby mohl takové zpracování, v případě, že by identifikoval z ohlášení možné podezření na porušení zákona o ochraně osobních údajů, nezaregistrovat a správce je nemohl provádět. Zákon o ochraně osobních údajů obsahoval výjimky z oznamovací povinnosti. Nebylo povinné oznamovat zpracování, které správci ukládal zvláštní zákon, nebo byly takové osobní údaje třeba k uplatnění práv a povinností vyplývajících ze zvláštního zákona. V praxi nebyly výjimky z oznamovací povinnosti dostatečně zohledňovány a správci ohlašovali z důvodu právní jistoty i ta zpracování, na která se vztahovala výjimka. Oznamovací povinnost tak pozbyla smyslu, jelikož jejím smyslem bylo, aby jejím prostřednictvím Úřad pro ochranu osobních údajů řešil jen taková zamýšlená zpracování, která byla do jisté míry již riziková. Tento problém se vyskytl i v jiných zemích, resp. pro správce představoval zbytečnou administrativní zátěž. Z toho důvodu byla oznamovací povinnost v rámci aktualizace pravidel v Evropské unii zrušena účinností GDPR, protože ji tento předpis nepřebírá. Nástupci oznamovací povinnost v GDPR jsou povinnost vést záznamy o činnostech zpracování, které obsahují velmi obdobné informace, které se dříve u některých zpracování ohlašovaly, nyní však zůstávají pro orientaci u správce či zpracovatele, a institut předchozí konzultace, kdy správce v některých případech absolvuje povinnou konzultaci s dozorovým úřadem.

4.7

Mčže zam÷stnanec požadovat náhradu za újmu zpčsobenou zpracováním osobních údajč?

Ano, zaměstnanec může požadovat náhradu utrpěné újmy v důsledku porušení GDPR. Náhrada újmy není vyloučena ani vůči uchazeči či bývalému zaměstnanci. Rychlá odpověď

173

DVOUMĚSÍČNÍK PRAKTICKÁ PERSONALISTIKA

EDICE PRÁCE | MZDY | POJIŠTĚNÍ

MĚSÍČNÍK ÚČETNÍ A DANĚ

EDICE PRÁCE | MZDY | POJIŠTĚNÍ

Doporučená cena 329 Kč

EDICE PRÁCE | MZDY | POJIŠTĚNÍ

MĚSÍČNÍK MZDOVÁ ÚČETNÍ