0550910

JUDr. Jiří Žůrek

GDPR

v personalistice

• včetně příkladů z dozorové praxe Úřadu pro ochranu osobních údajů • výklad GDPR s důrazem na personální oblast • jak pracovat s osobními údaji uchazečů o zaměstnání, zaměstnanců a bývalých zaměstnanců • více než 50 samostatných otázek a odpovědí

2. doplněné vydání

EDICE PRÁCE | MZDY | POJIŠTĚNÍ

Případné zásadní legislativní změny, k nimž dojde v období mezi jednotlivými vydáními, budou ošetřeny formou vkládané aktualizace, která bude po dobu prodejnosti publikace volně ke stažení na www.anag.cz. Nutnost aktualizace posuzuje na základě legislativních změn výhradně autor ve spolupráci s nakladatelstvím. Aktualizace však v žádném případě nemohou nahradit nová vydání knihy. Aktualizaci zašleme zdarma na vyžádání

anag@anag.cz, tel.: 585 757 411

© JUDr. Jiří Žůrek, 2022 © Nakladatelství ANAG, 2022 ISBN 978-80-7554-365-3

Obsah

OBSAH Předmluva ......................................................................................................9 O autorovi..................................................................................................... 11 Použité zkratky ............................................................................................ 12

PRVNÍ ČÁST VÝKLAD GDPR S DŮRAZEM NA PERSONÁLNÍ OBLAST 1. Základní informace o GDPR .................................................................. 14 1.1

Nejdůležitější základní pojmy a jejich význam v personální oblasti.............. 20 1.1.1 1.1.2 1.1.3 1.1.4 1.1.5 1.1.6

Osobní údaj a subjekt údajů................................................................21 Zpracování ......................................................................................... 24 Pseudonymizace ................................................................................ 27 Správce a zpracovatel ......................................................................... 28 Profilování ......................................................................................... 30 Porušení zabezpečení osobních údajů ................................................31

2. Zásady zpracování osobních údajů .......................................................33 2.1

Zákonnost zpracování aneb právní důvody zpracování ................................ 34

2.2 2.3 2.4 2.5 2.6 2.7

2.1.1 Souhlas se zpracováním osobních údajů ............................................ 36 2.1.2 Plnění smlouvy (zaměstnavatelem) ................................................... 40 2.1.3 Splnění právní povinnosti (zaměstnavatelem).....................................41 2.1.4 Životně důležité zájmy subjektu údajů nebo jiné fyzické osoby ......... 42 2.1.5 Splnění úkolu ve veřejném zájmu nebo při výkonu veřejné moci ....... 42 2.1.6 Oprávněné zájmy správce či třetí strany ............................................. 43 2.1.7 K podmínkám zpracování zvláštní kategorie osobních údajů ............. 46 Transparentnost a korektnost ....................................................................... 50 Účelové omezení ...........................................................................................51 Minimalizace ............................................................................................... 52 Přesnost ....................................................................................................... 54 Omezení uložení .......................................................................................... 54 Integrita a důvěrnost (zabezpečení osobních údajů) .................................... 55

3. Vztah správce a zpracovatele (externí mzdová účtárna) ......................65 4. Další povinnosti v GDPR ve vazbě na personalistiku............................69 4.1

Záznamy o činnostech zpracování (včetně vzoru) ........................................ 70

3

Obsah 4.2

Povinnosti při porušení zabezpečení osobních údajů ....................................74

4.3 4.4

4.2.1 Ohlašování porušení zabezpečení osobních údajů dozorovému úřadu... 77 4.2.2 Oznamování případů porušení zabezpečení osobních údajů zaměstnancům......................................................................... 78 Pověřenec pro ochranu osobních údajů........................................................ 79 Posouzení vlivu na ochranu osobních údajů a předchozí konzultace ............81

5. Práva zaměstnanců podle GDPR ...........................................................86 5.1

Informace poskytované zaměstnancům ....................................................... 87

5.2 5.3 5.4 5.5 5.6 5.7 5.8

5.1.1 Informace pro uchazeče..................................................................... 88 5.1.2 Informace pro zaměstnance ............................................................... 90 Právo zaměstnance na přístup k osobním údajům ....................................... 93 Právo na opravu ........................................................................................... 94 Právo na výmaz............................................................................................ 95 Právo na omezení zpracování ....................................................................... 98 Právo na přenositelnost údajů ...................................................................... 99 Právo vznést námitku................................................................................... 99 Právo nebýt předmětem automatizovaného individuálního rozhodování.....101

6. Předávání osobních údajů zaměstnanců do třetích zemí (mateřské společnosti) ........................................................................ 104 6.1 6.2

Předávání v rámci Evropské unie.................................................................106 Předávání do zemí mimo Evropskou unii (a EHP) .......................................106 6.2.1 Rozhodnutí o odpovídající ochraně...................................................107 6.2.2 Předávání založené na vhodných zárukách.......................................108 6.2.3 Výjimky pro specifické situace podle článku 49 GDPR ......................109

7. Kamerový systém zaměstnavatele z pohledu GDPR ........................... 112 7.1 7.2

Východiska při úvahách o kamerovém systému ..........................................113 Aspekty kamerového systému.....................................................................115 7.2.1 7.2.2 7.2.3 7.2.4

7.3

Právní důvody pro provozování kamerového systému....................... 116 Zabezpečení kamerového systému a směrnice o jeho používání .......120 Informační povinnost........................................................................123 Vzor záznamu o činnostech zpracování – kamerový systém zaměstnavatele ...................................................125 Nakládání se záznamy a doba jejich uchování .............................................126

8. Doba uchování dokumentů v personální oblasti ................................ 128

4

Obsah

DRUHÁ ČÁST OTÁZKY A ODPOVĚDI 1. Před vznikem základního pracovněprávního vztahu ......................... 134 1.1 1.2

1.3 1.4 1.5 1.6 1.7

1.8 1.9 1.10 1.11 1.12 1.13 1.14

1.15 1.16

Jaké údaje může zaměstnavatel zjišťovat prostřednictvím osobního dotazníku pro uchazeče? .............................................................135 Může zaměstnavatel požadovat předložení výpisu z Rejstříku trestů? Může si jej u vybraného uchazeče založit do osobního spisu? ..........................................................................139 Může zaměstnavatel zjišťovat, zda se uchazeč nachází v exekuci? .................142 Může zaměstnavatel využívat sociální sítě ke zjišťování informací o uchazečích?..............................................................................144 Musí být z obdrženého životopisu smazáno např. rodné číslo či jiné nepotřebné údaje (fotografie, koníčky apod.)? ..................................146 Kdo se smí seznamovat s životopisy/dotazníky uchazečů?..........................147 Jak dlouho může zaměstnavatel uchovávat životopisy/dotazníky neúspěšných uchazečů v souvislosti s konkrétním výběrovým řízením? ..............................................................148 Jakým způsobem lze docílit ponechání si životopisů/dotazníků neúspěšných uchazečů pro účely nabídek práce v budoucnu? ....................149 Jak naložit s obdrženým nevyžádaným životopisem? ..................................150 Jaký je vztah mezi zaměstnavatelem a personální agenturou (agenturou práce) z pohledu GDPR? ...........................................................151 Lze pořídit kopii celého občanského průkazu vybraného uchazeče a založit ji do osobního spisu? .....................................................152 Lze pořídit kopii řidičského průkazu vybraného uchazeče a založit ji do osobního spisu? .....................................................................153 Lze pořídit kopii kartičky zdravotní pojišťovny vybraného uchazeče a založit ji do osobního spisu? .....................................................154 Lze pořídit kopie dokumentů dokládajících způsobilost vybraného uchazeče, např. na obsluhu vysokozdvižného vozíku, a založit je do osobního spisu? .......................................................155 Lze pořídit kopii cestovního pasu vybraného uchazeče – cizince a založit ji do osobního spisu? ......................................................156 Musí být uchazečům po skončení výběrového řízení vráceny jimi poskytnuté dokumenty?..........................................................157

5

Obsah

2. V průběhu základního pracovněprávního vztahu .............................. 157 2.1 2.2 2.3 2.4 2.5 2.6 2.7 2.8 2.9 2.10 2.11 2.12 2.13 2.14 2.15 2.16 2.17 2.18 2.19 2.20

2.21

6

Může být rodné číslo uvedeno na pracovní smlouvě? ..................................158 Jaké dokumenty může obsahovat osobní spis zaměstnance? ......................160 Lze uložit v osobním spise kopii rodného listu dítěte zaměstnance, který uplatňuje daňové zvýhodnění na vyživované dítě? .............................160 Je možné uchovávat telefonický kontakt na blízké příbuzné zaměstnance bez jejich souhlasu se zpracováním osobních údajů? ................162 Kdo smí nahlížet do osobního spisu? ..........................................................163 Lze předložit písemnosti z osobního spisu vnějšímu kontrolnímu orgánu? Co když chce předložit kompletní osobní spis? ..............................164 Může provoz personálního informačního systému zajišťovat externí subjekt?...........................................................................................165 Musí mít zaměstnanci podepsanou mlčenlivost o osobních údajích? ..............166 Je možné potvrdit finanční instituci správnost údajů na potvrzení o výši příjmů telefonicky? .............................................168 Jak postupovat při obdržení výzvy od exekutora či soudu o poskytnutí součinnosti (informací o zaměstnanci)?..................................169 Lze odmítnout poskytnutí informací o zaměstnancích orgánům činným v trestním řízení s poukazem na GDPR? .........................................170 Může zaměstnavatel zasílat výplatní pásku na pracovní e-mail? ..................171 Může nadřízený roznášet nezalepené nebo jinak „nechráněné“ výplatní pásky podřízeným zaměstnancům? ...............................................173 Je poskytovatel benefitu, jsou-li mu poskytovány osobní údaje zaměstnanců, považován za správce či zpracovatele? .................................. 174 Musí mít zaměstnavatel souhlas zaměstnance se zpracováním osobních údajů pro účely jejich předání poskytovateli benefitu? ................. 174 Musí mít zaměstnavatel souhlas zaměstnanců k předání kvalifikačních údajů zadavateli zakázky, o niž se uchází? ...........................175 Jak je to s fotografiemi zaměstnanců z pohledu GDPR? ...............................176 Jaké jsou podmínky pro zpřístupnění osobních údajů zaměstnanců na webových stránkách organizace? ......................................179 Může zaměstnavatel vyžadovat viditelné umístění jména a příjmení na pracovním oděvu při styku s veřejností? ................................179 Musí být mezi zaměstnavatelem a poskytovatelem pracovnělékařské služby (prohlídky) uzavřena smlouva o zpracování osobních údajů? .....................................................................180 Může zaměstnavatel zasílat firemní časopis zaměstnancům na adresu jejich bydliště či pracovní e-mail? ................................................182

Obsah 2.22 Musí zaměstnavatel na požádání sdělit mzdu manželce/manželovi? .............183 2.23 Může být v interním systému zobrazena přítomnost/nepřítomnost zaměstnance na pracovišti? ................................184 2.24 Lze monitorovat služební vozidla pomocí GPS?...........................................186

3. Po skončení základního pracovněprávního vztahu ............................ 187 3.1 3.2

3.3 3.4

3.5

3.6 3.7 3.8

Musí zaměstnavatel po skončení pracovního poměru na žádost bývalého zaměstnance zlikvidovat jeho osobní spis? ...................187 Lze uchovat některé osobní údaje (dokumenty) pro případ sporu s bývalým zaměstnancem či kontroly ze strany Státního úřadu inspekce práce? ....................................................188 Musí zaměstnavatel vést kvůli GDPR protokol o skartování dokumentů z osobního spisu? .................................................190 Musí zaměstnavatel vydat bývalému zaměstnanci po ukončení pracovního poměru všechny nebo některé dokumenty z osobního spisu? .....................................................................190 Může bývalý zaměstnanec využít článek 15 GDPR, tj. právo na přístup k osobním údajům, k nahlížení do dokumentů, které o něm zaměstnavatele vede?...............................................................192 Po jakou dobu může zaměstnavatel ponechat aktivní e-mailovou schránku bývalého zaměstnance? .............................................193 Jak je to s fotografiemi bývalých zaměstnanců po skončení pracovního poměru?................................................................194 Lze poskytnout referenci o bývalém zaměstnanci (telefonicky)? .................196

4. Nezařazené .......................................................................................... 197 4.1 4.2 4.3 4.4 4.5 4.6 4.7 4.8

Je poskytovatel IT služeb zpracovatelem?....................................................198 Musí zaměstnavatel jmenovat pověřence pro ochranu osobních údajů? ..........................................................................................199 Kdy může přijít Úřad pro ochranu osobních údajů na kontrolu? ................ 200 Jaká výše pokuty hrozí zaměstnavateli za porušení GDPR? .........................201 Jaká výše pokuty hrozí zaměstnavateli za porušení § 316 zákoníku práce? ................................................................................ 203 Platí stále oznamovací povinnosti vůči Úřadu pro ochranu osobních údajů? ......................................................................................... 204 Může zaměstnanec požadovat náhradu za újmu způsobenou zpracováním osobních údajů? .................................................................... 204 Jak zaměstnavatel prokáže soulad zpracování s GDPR? .............................. 205

7

3ĜHGPOXYD

2Ą'&/.78# Zpracování osobních údajů zaznamenalo v důsledku rozvoje společnosti v posledních letech rapidní vývoj, co se týká rozsahu i prostředků k němu využívaných, což se samozřejmě dotklo i pracovněprávní oblasti, v níž je přirozenou a zároveň nedílnou součástí vztahů vznikajících mezi zaměstnavateli a zaměstnanci při výkonu závislé práce. V nedávné minulosti, ještě ani ne před pár desítkami let, bylo zpracování osobních údajů zaměstnanců vcelku jednoznačně ohraničeno, jelikož se jejich osobní údaje zpracovávaly prakticky výhradně ke mzdovým a úzce souvisejícím účelům, a to navíc výhradně v manuální evidenci, u níž nehrozila rizika, která se vyskytují v dnešním digitálním globalizovaném světě. Zpracování osobních údajů zaměstnanců pro mzdové a související účely přetrvává samozřejmě i dnes, ovšem jak pro tyto, tak i pro nové účely, které se objevily vývojem společnosti, jsou v pracovněprávní oblasti využívány moderní prostředky, jež s sebou nesou zvýšené riziko zásahu do soukromí zaměstnanců při zpracování osobních údajů, ať už se jedná např. o samotnou výpočetní techniku nahrazující manuální personální evidenci, anebo třeba i o GPS lokátory, kamerové systémy, identifikační systémy pracující na bázi otisku prstu atd. Mezi nové účely zpracování osobních údajů zaměstnanců patří např. zpracování osobních údajů pro poskytování benefitů a zapojení třetích subjektů do jejich poskytování, využívání fotografií zaměstnanců, např. v informačním systému či na internetových stránkách zaměstnavatele, nebo jednotná personální politika mateřské společnosti projevující se předáváním osobních údajů zaměstnanců do zahraničí, kdy mnozí personalisté často stojí před neúměrnými požadavky mateřských společností předat veškerou personální evidenci, nejčastěji ve formě zpřístupnění celého personálního systému, či naopak povinně využívat personální systém poskytovaný mateřskou zahraniční společností. Nejnověji ochrana osobních údajů zaměstnanců nabyla na důležitosti také v souvislosti se zpracováváním jejich osobních údajů pro účely předcházení pandemie covidu-19. Zpracování osobních údajů zaměstnanců je tak v současné době daleko komplexnější a s nutností aplikovat Obecné nařízení o ochraně osobních údajů (GDPR), které představuje aktualizovaný rámec pravidel pro zpracování osobních údajů, logicky vyvolává mnohé otázky či obavy ze strany

9

GDPR V PERSONALISTICE

personalistů nebo osob, které mají na starosti zajištění souladu zpracování osobních údajů (nejen) zaměstnanců. Zajištění souladu zpracování osobních údajů zaměstnanců ze strany zaměstnavatele s příslušnými právními předpisy, tedy jak (především) se zákoníkem práce a dalšími předpisy z oblasti pracovního práva, tak od 25. května 2018 s GDPR, je o to důležitější, že jde o zpracování osobních údajů prováděné subjektem, který je v daném vztahu tradičně považován za silnější stranu, což se odráží i v některých přístupech při zpracování osobních údajů, jimž se věnuje tato publikace. V současné době je nezbytné, aby i v menších či středních organizacích existovala osoba, která bude dbát na soulad zpracování osobních údajů zaměstnanců, nebo i zároveň zákazníků – fyzických osob a dalšího prováděného zpracování osobních údajů. V těchto organizacích, které nemají právní tým nebo pověřence pro ochranu osobních údajů, jsou většinou za soulad, především co se týká zpracování osobních údajů zaměstnanců, organizačně odpovědní personalisté či účetní. Ti musí aplikovat jak obecný předpis, kterým GDPR je, tak i další právní předpisy na konkrétní zpracování, což nemusí být vždy jednoduché. Zajištění bezproblémového a transparentního zpracování osobních údajů zaměstnanců je neopomenutelnou částí při získávání jejich důvěry. Tato publikace si proto klade za cíl poskytnout personalistům a účetním, ale i dalším osobám, které přicházejí do styku s osobními údaji zaměstnanců, nezbytné znalosti o zpracování osobních údajů podle GDPR (První část – výklad GDPR s důrazem na personální oblast, poskytující nezbytný, základní, vhled do zpracování osobních údajů) a také jim poskytnout odpovědi na otázky vyplývající z různých životních situací, se kterými se během své činnosti setkávají (Otázky a odpovědi – druhá část), a to i ve vztahu k zákonům primárně upravujícím vztah mezi zaměstnavateli a zaměstnanci tak, aby mohli při zajišťování personální činnosti a s ní souvisejícího nezbytného zpracování osobních údajů zaměstnanců vykonávat tuto činnost bez obav z postihu zaměstnavatele nebo Úřadu pro ochranu osobních údajů či stížností zaměstnanců. Pro řádné nastavení zpracování osobních údajů je důležité znát i dozorovou praxi Úřadu pro ochranu osobních údajů jakožto dozorového úřadu, proto druhé, aktualizované, vydání této publikace přináší navíc i příklady z této praxe ve vztahu k pracovněprávní oblasti, což ještě více

10

2 DXWRURYL

napomůže odpovědným zaměstnancům správně nastavit zpracování osobních údajů zaměstnanců. Přeji Vám, aby pro Vás byla tato publikace cenným zdrojem informací o GDPR. Při jeho aplikaci mějte vždy na paměti základní pravidlo, že zpracování osobních údajů má sloužit lidem, nikoliv naopak. 2QF÷MQX¾PÊ Děkuji Michálkovi, Simonce a rodičům za radost a podporu v životě.

1 CWVQTQXK JUDr. Jiří Žůrek vystudoval Právnickou fakultu Univerzity Karlovy v Praze. Od května 2010 do března 2021 působil na Úřadu pro ochranu osobních údajů, z toho mimo jiné šest let jako ředitel Odboru konzultačních agend a rok a půl jako ředitel Odboru dozoru. Od počátku svého působení na Úřadu se zabýval stížnostní a konzultační agendou, včetně jejího přímého výkonu ve formě posuzování a vyhodnocování přijatých podnětů a poskytování stanovisek správcům, subjektům údajů a dalším zainteresovaným osobám v oblasti zpracování osobních údajů, a posléze se věnoval koordinaci a metodickému vedení dozorové činnosti Úřadu v prvním stupni a rozhodoval ve správních řízeních vedených v prvním stupni s odpovědnými subjekty. Od dubna 2018 je držitelem certifikátu CIPP/E Mezinárodní asociace profesionálů v oblasti ochrany soukromí.

11

9é./$' *'35 6 'ģ5$=(0 1$ 3(5621È/1Ë 2%/$67

< -.#&0ª +0(14/#%' 1 )&24

Tato a následující kapitoly této části obsahují nejdůležitější informace o GDPR, které byste měli znát, abyste mohli tento předpis úspěšně aplikovat nejen v personální praxi, ale analogicky i na jiná zpracování, která zaměstnavatel, jakožto správce osobních údajů, provádí, přičemž při výkladu je důraz maximálně kladen na jejich vazbu k pracovněprávní oblasti. Byť otázky a odpovědi v druhé části této publikace přinášejí okamžité odpovědi na konkrétní otázky využitelné pro rychlé vyřešení problému, doporučuji pro úplné pochopení GDPR a jeho smyslu přečíst i tuto výkladovou část, jelikož i ta již obsahuje velmi mnoho cenných informací k personální oblasti, na základě kterých si vytvoříte celkový obrázek o řešené problematice, což vám rovněž pomůže v tom, abyste sami nalézali odpovědi na vámi či zaměstnanci kladené otázky a řešené problémy. Ostatně zajištění souladu zpracování osobních údajů zaměstnanců není otázkou získání jedné odpovědi (byť v určitém okamžiku získání rychlé odpovědi může být žádoucí), ale představuje soustavnou a cílevědomou činnost, k níž je nutné znát i širší souvislosti. Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), jak zní celý název (dále jen „GDPR“), představuje aktualizovaný obecný právní rámec zpracování osobních údajů v Evropské unii. GDPR není revolucí, jak se mnohdy o tomto předpise hovořilo, ale v základech kontinuálně navázalo na jeho předchůdkyni – směrnici 95/46/ES1), která byla v českém prostředí provedena zákonem č. 101/2000 Sb., o ochraně osobních údajů. Protože se dá přeneseně říci, že GDPR je v základech kontinuitní i se zákonem o ochraně osobních údajů (již zrušeným), lze tudíž konstatovat, že pro toho, kdo dodržoval pravidla zakotvená v zákoně o ochraně osobních údajů, nemohlo GDPR představovat revoluci, ale spíše jen evoluci reagující na současný stav společnosti a techniky. 1)

14

Celým názvem směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. Byla přijata v roce 1995, proto její text nemohl být poplatný současné době a muselo dojít k revizi pravidel zpracování osobních údajů v Evropské unii. Výsledkem revize je GDPR, které tuto směrnici nahradilo.

9é./$' *'35 6 'ģ5$=(0 1$ 3(5621È/1Ë 2%/$67

Chytrý personalista ✓ ÇòµÀ¾Æ»¶ ĺʁ ş¶ ÀÄÀ³¿ă¾ łµ²»¶¾ ¿¶¿ă ÁÀÆ˶ »¾ì¿À ² ÁĴă»¾¶¿ăʁ ²µÃ¶Ä² ² ÃÀµ¿ì æăĽÀʁ ²½¶ ş¶ ÅÀ »ÄÀÆ Ç¶ĸ¼¶Ãì º¿·Àþ²´¶ʁ ¼Å¶Ãì Ķ ÇËŲ¹Æ»ă ¼ ºµ¶¿Åºȱ¼ÀDz¿ì æº ºµ¶¿Åºȱ¼ÀDzŶ½¿ì ÀÄÀ³òʁ ² ¿¶ÁĴ¶¼Ç²Áă ¹À ÃňË¿ì ¾Àş¿ÀÄź ºµ¶¿Åºȱ¼ÀDzŶ½¿ÀÄź ·Ê˺´¼ì ÀÄÀ³Êʇ ÄÀÆ ÅÀ ˶»¾ì¿² łµ²»¶ Ç Á¶ÃÄÀ¿Í½¿ă´¹ ÄÁºÄ¶´¹ ˲¾òÄÅ¿²¿´ň ʯ²Ľ Æş ·Ê˺´¼Êʁ æº ¶½¶¼ÅÃÀ¿º´¼Ê Ƕµ¶¿Ř´¹ʰʁ łµ²»¶ Ç Á¶ÃÄÀ¿Í½¿ă¾ ÄÊÄÅì¾Æ ²ÁÀµʇ ăʁ ş¶ ÀÄÀ³¿ă¾º łµ²»º ¿¶»ÄÀÆ ²¿À¿Ê¾¿ă æº ÄŲźÄź´¼ì łµ²»¶ʁ ² ÅÆµăş Ä¶ ¿² ¿ò ¿¶ÇËŲ¹Æ»¶ʇ ✓ ¿Íʁ »²¼ì ÀÄÀ³¿ă łµ²»¶ Á²ÅĴă µÀ ËǽÍĸÅ¿ă ¼²Å¶¸Àú¶ ÀÄÀ³¿ă´¹ łµ²»ň ʯ´ºÅ½ºÇì łµ²»¶ʰʇ ✓ ăʁ ş¶ ÃÀµ¿ì æăĽÀ ²¿º IJ¾ÀÅ¿Í ·ÀÅÀ¸Ã²ȱ¶ʁ ÁÀ¼Æµ Ë ¿ă ¿¶»ÄÀÆ Ë»ºĸĽÀÇÍ¿Ê ¿²ÁĴʇ łµ²»¶ À ˵òÇÀÅ¿ă¾ ÄŲÇÆ ·Ê˺´¼ì ÀÄÀ³Êʁ ¿¶³À ¿¶¿ă ÇÊÆşăÇÍ¿² ËǽÍĸÅ¿ă¾º Ŷ´¹¿º´¼Ř¾º ÁÃÀÄÅĴ¶µ¼Ê ÁÃÀ »¶µº¿¶æ¿ÀÆ ºµ¶¿Åºȱ¼²´ºʁ ¿¶»ÄÀÆ ´ºÅ½ºÇŘ¾º łµ²»ºʇ ✓ ÇòµÀ¾Æ»¶ ĺʁ ş¶ ´¹ÃÍ¿ă ÁÀÆ˶ ÀÄÀ³¿ă łµ²»¶ ÁĴº »¶»º´¹ ËÁò´ÀÇÍ¿ăʇ Relevantní ustanovení æ½ʇ Ђ ÀµÄÅʇ Ͽ ʦ µ¶ȱ¿º´¶ ÀÄÀ³¿ă¹À łµ²»¶ ʯѿ ö´ºÅͽ ЀЄʰ æ½ʇ Ї ʦ ÇŘæ¶Å ´ºÅ½ºÇŘ´¹ łµ²»ň ² ÄÀÆǺĶ»ă´ă ÁÀµ¾ă¿¼Ê »¶»º´¹ ËÁò´ÀÇÍ¿ă ʯѿ ö´ºÅͽ ЃϿʰ

<RTCEQX¾PÊ

Po výkladu pojmu osobního údaje je nutné pochopit i pojem zpracování, aby bylo možné správně aplikovat GDPR z hlediska jeho věcné působnosti, protože to se vztahuje na zpracování osobních údajů. Na zpracování informací, které nejsou osobními údaji, se GDPR nevztahuje. GDPR se nevztahuje ani na nakládání s osobními údaji jiným způsobem, než je jejich zpracování. Podle definice GDPR se zpracováním osobních údajů rozumí jakákoliv operace nebo soubor operací, která je prováděna s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako jsou shromáždění, zaznamenání, uložení, vyhledání, zpřístupnění přenosem atd. Aby se jednalo o zpracování, musí být přítomna systematičnost operací zpracování, tj. na nahodile shromážděné osobní údaje, nejsou-li dále předmětem zpracování, se GDPR nevztahuje15).

15)

24

Například nevyžádaný životopis – viz otázka 1.9.

9é./$' *'35 6 'ģ5$=(0 1$ 3(5621È/1Ë 2%/$67

Ĵă¼½²µ Ë µÀËÀÃÀÇì Áòɶ

Ĵ²µ ÁÃÀ À´¹Ã²¿Æ ÀÄÀ³¿ă´¹ łµ²»ň ˲¹Í»º½ ¼À¿ÅÃÀ½Æ ¿² Ëͼ½²µò ÄÅăş¿ÀÄźʁ »¶ş ľòĴÀDz½² ÁÃÀź ÁÀÄÅÆÁÆ ÄÅÍÅ¿ă ÁĴăÄÁòǼÀÇì Àø²¿ºË²´¶ʁ ¼À¿¼ÃìÅ¿ò ÁÃÀź ËǶĴ¶»¿ò¿ă ·ÀÅÀ¸Ã²ȱ¶ ÄÅòşÀDzŶ½¼Ê ¿² º¿Å¶Ã¿¶ÅÀÇŘ´¹ ÄÅÃÍ¿¼Í´¹ ˲¾òÄÅ¿²Ç²Å¶½¶ ʦ ¼À¿ÅÃÀ½ÀDz¿ì ÀÄÀ³Êʇ ˲¹Í»¶¿ă ¼À¿ÅÃÀ½Ê Ĵ²µ ÁÃÀ À´¹Ã²¿Æ ÀÄÀ³¿ă´¹ łµ²»ň ÃÀ˹Àµ½ Åìş ¿² Ëͼ½²µò ĹÃÀ¾Íşµò¿Ř´¹ ÁÀµ¼½²µňʁ ¼Å¶Ãì ¾Æ ³Ê½Ê ÄÅòşÀDzŶ½¼ÀÆ ÁÀÄÅÆÁ¿ò ÁĴ¶µÍ¿Êʇ Ĵ¶µ¾òŶ¾ ¼À¿ÅÃÀ½Ê ³Ê½À µÀµÃşÀÇÍ¿ă ÁÀǺ¿¿ÀÄÅă ÄŲ¿ÀǶ¿Ř´¹ ¼À¿ÅÃÀ½ÀDz¿ì ÀÄÀ³ò ² ËͼÀ¿¶¾ æʇ ϿϿϾʤЀϾϿЇ ³ʇ Ç ÄÀÆǺĽÀÄź Ķ ËǶĴ¶»ėÀÇÍ¿ă¾ ·ÀÅÀ¸Ã²ȱă ˲¾òÄÅ¿²¿´ň ÄÅÍÅ¿ă ÁĴăÄÁòǼÀÇì Àø²¿ºË²´¶ʁ Çæ¶Å¿ò ö²½ºË²´¶ ÁÃÍÇ ÄƳ»¶¼Åň łµ²»ňʇ À¿ÅÃÀ½ÀÆ ³Ê½À Ë»ºĸÅò¿Àʁ ş¶ ¼À¿ÅÃÀ½ÀDz¿Í ÀÄÀ³² ÁňÇÀµ¿ò ËǶĴ¶»ėÀDz½² ·ÀÅÀ¸Ã²ȱ¶ ˲¾òÄÅ¿²¿´ň ʯËÍÄÅÆÁ´ň ö¸ºÀ¿Í½¿ă´¹ ÁÀ³À涼ʰ ¿² Ëͼ½²µò łµ²»¿ò Ƶò½¶¿ì¹À ÄÀƹ½²ÄÆʇ ÃÀź ÅÀ¾ÆÅÀ Ķ Çĸ²¼ Çʹòµº½² ÄÅòşÀDzŶ½¼² ² ÁÀş²µÀDz½² ÇŘ¾²Ë ·ÀÅÀ¸Ã²ȱ¶ Ë º¿Å¶Ã¿¶ÅÀÇŘ´¹ ÄÅÃÍ¿¶¼ʇ ² Ëͼ½²µò ÅìÅÀ ļÆŶæ¿ÀÄź ¼À¿ÅÃÀ½ÀDz¿Í ÀÄÀ³² ÁĴ¶¹Àµ¿Àź½² ÁÃÍÇ¿ă Ëͼ½²µ ÁÃÀ µ²¿ì ËÁò´ÀÇÍ¿ă ² ÄÅòşÀDzŶ½¼Æ º¿·ÀþÀDz½²ʁ ş¶ ·ÀÅÀ¸Ã²ȱ¶ »¶ ËǶĴ¶»¿ò¿² ¿² Ëͼ½²µò ÀÁÃÍÇ¿ò¿ì¹À ËÍ»¾Æ ¼À¿ÅÃÀ½ÀDz¿ì ÀÄÀ³Ê Ƕ ľÊÄ½Æ æ½ʇ Є ÀµÄÅʇ Ͽ Áăľʇ ·ʰ ʇ ÅòşÀDzŶ½´¶ ¿ÍĽ¶µ¿ò ÁĴ¶µ½Àşº½² ¿² ÇÊşÍµÍ¿ă ÁÃÀǶµ¶¿Ř ³²½²¿æ¿ă ŶÄÅʇ Ã;´º ¼À¿ÅÃÀ½Ê ³Ê½À Ç À³¶´¿ì ÃÀǺ¿ò ¼À¿ÄŲÅÀÇÍ¿Àʁ ş¶ ÁÃÍÇ¿ă¾ Ëͼ½²µ¶¾ ÁÃÀ ËǶĴ¶»¿ò¿ă ·ÀÅÀ¸Ã²ȱ¶ ˲¾òÄÅ¿²¿´¶ ³Ê ¾À¹½ ³ŘÅ ÀÁÃÍÇ¿ò¿Ř ËÍ»¶¾ ÄÁÃÍÇ´¶ Ƕ ľÊÄ½Æ æ½ʇ Є ÀµÄÅʇ Ͽ Áăľʇ ·ʰ ʁ ²Çĸ²¼ ³²½²¿æ¿ă ŶÄÅʁ ÁĴ¶µ½Àş¶¿Ř ¼À¿ÅÃÀ½ÀDz¿ÀÆ ÀÄÀ³ÀÆ Ç Ã;´º ¼À¿ÅÃÀ½Êʁ ÄÇŘ¾ À³Ä²¹¶¾ ¿¶ÁÃÀ¼Í˲½ ÀÁÃÍÇ¿ò¿ì ËÍ»¾Ê ÁÃÀ ËÁò´ÀÇÍ¿ăʁ ¼Å¶Ãì ³Ê ÁĴ¶ÇÍşº½Ê ¿²µ ËÍ»¾Ê ¿¶³À Ëͼ½²µ¿ă¾º ÁÃÍÇÊ ² ÄÇÀ³Àµ²¾º ÄƳ»¶¼Åň łµ²»ňʇ À¿ÅÃÀ½ÀDz¿Í ÀÄÀ³² Ų¼ ¿¶ÁÃÀ¼Í˲½²ʁ ş¶ ³Ê »ă ÁÃÀ ËǶĴ¶»ėÀÇÍ¿ă ·ÀÅÀ¸Ã²ȱă ˲¾òÄÅ¿²¿´ň ÄÇòµæº½ ÆǶµ¶¿Ř ÁÃÍÇ¿ă Ëͼ½²µʁ ² ÁĴ¶µ¾òÅ¿ì ËÁò´ÀÇÍ¿ă ¼À¿ÅÃÀ½Æ»ă´ă ÇʹÀµ¿Àź½º »²¼À ¿¶ËͼÀ¿¿ìʇ À¿ÅÃÀ½ÀÆ ³Ê½À µÍ½¶ ¼À¿ÄŲÅÀÇÍ¿Àʁ ş¶ ¼À¿ÅÃÀ½ÀDz¿Í ÀÄÀ³² ÁÀļÊÅÆ»¶ ÄƳ»¶¼Åň¾ łµ²»ň º¿·Àþ²´¶ Ç ÃÀËIJ¹Æ ² ËÁňÄÀ³¶¾ ÀµÁÀÇăµ²»ă´ă¾ ÁÀş²µ²Ç¼ň¾ ÆǶµ¶¿Ř¾ Ç æ½ʇ ϿЀ ÀµÄÅʇ Ͽ ² æ½ʇ ϿЁ ʁ Å»ʇ ÅÊÅÀ ÄÇì ÁÀǺ¿¿ÀÄź ¿¶ÁÀÃÆĸº½²ʁ ÇÊ»¾² ¿¶ÁĴ¶Ä¿ì º¿·Àþ²´¶ Ƕ ÇËŲ¹Æ ¼ ÁĴ¶µ¾òÅ¿ì¾Æ ËǶĴ¶»ėÀÇÍ¿ă ·ÀÅÀ¸Ã²ȱăʇ À¹½¶µ¶¾ ¿² ËÁňÄÀ³ʁ ¼Å¶ÃŘ¾ ¼À¿ÅÃÀ½ÀDz¿Í ÀÄÀ³² Ĵ¶ĸº½² ö²½ºË²´º ÁÃÍÇ ÄƳ»¶¼Åň łµ²»ňʁ öÄÁʇ şÍµÀÄÅ À ÇŘ¾²Ë ÄÅòşÀDzŶ½¼Êʁ ¼À¿ÅÃÀ½Æ»ă´ă µÀÄÁò½º ¼ ËÍÇòÃÆʁ ş¶ ¼À¿ÅÃÀ½ÀDz¿Í ÀÄÀ³² ÁÀÃÆĸº½² Ëͼ½²µ¿ă ËÍIJµÆ ËÁò´ÀÇÍ¿ă ÀÄÀ³¿ă´¹ łµ²»ň ÁÀµ½¶ æ½ʇ Ѓ ÀµÄÅʇ Ͽ Áăľʇ ²ʰ ʁ ¿¶³ÀĽ Ƕ ÇËŲ¹Æ ¼ ÄƳ»¶¼ÅÆ łµ²»ň ¿¶³Ê½Ê ÀÄÀ³¿ă łµ²»¶ ËÁò´ÀÇÍÇÍ¿Ê ¼Àö¼Å¿ò ² ËͼÀ¿¿Ř¾ ² Åò¿ÄÁ²Ã¶¿Å¿ă¾ ËÁňÄÀ³¶¾ʇ ş ÁÀ Çʻ͵Ĵ¶¿ă ¿¶ÄÀƹ½²ÄÆ ÄÅòşÀDzŶ½¼Ê Ķ ËǶĴ¶»¿ò¿ă¾ »¶»ă ·ÀÅÀ¸Ã²ȱ¶ ¿² º¿Å¶Ã¿¶ÅÀÇŘ´¹ ÄÅÃÍ¿¼Í´¹ ¼À¿ÅÃÀ½ÀDz¿Í ÀÄÀ³² ÁĴ¶¹Àµ¿Àź½² ÁÃÍÇ¿ă Ëͼ½²µʁ ¿² Ëͼ½²µò ¼Å¶Ãì¹À 44

9]WDK VSUiYFH D ]SUDFRYDWHOH H[WHUQt P]GRYi ~þWiUQD

8<6#* 524 8%' # <24#%18#6'.' ':6'40ª /<&18 ·è6 40#

Osobní údaje zaměstnanců zpracovává zaměstnavatel zpravidla sám prostřednictvím vlastních zaměstnanců (kteří, jak jsme si již vysvětlili, nejsou ani správci, ani zpracovatelé) a vlastními prostředky. V mnoha případech však zaměstnavatel nemusí disponovat dostatečnými personálními ani dalšími prostředky ke zpracování osobních údajů a v takovém případě, aby mohl zpracování provádět, si musí najmout externí subjekt, aby pro něj osobní údaje na základě jeho pokynů zpracovával. Stejně tak může jakýkoliv správce dojít k názoru, že externí subjekt pro něj provede zpracování levněji, než pokud by jej prováděl vlastními silami. V takových případech jde o vztah správce a zpracovatele. Jeho podstatou je, že zpracovatel na pokyn správce provádí s osobními údaji správcem stanovené operace zpracování, které mu za tím účelem poskytl. Za učebnicový případ vztahu správce a zpracovatele v personální oblasti se považuje využití externí mzdové účtárny ke zpracování mezd zaměstnavatelem. Ta, na základě pokynů zaměstnavatele, zpracovává osobní údaje pro zaměstnavatele, jejichž zpracování by si jinak musel provádět vlastními zaměstnanci a prostředky. Externí mzdová účtárna je tudíž vůči zaměstnavateli, který si ji najal, zpracovatelem. Musíme mít však stále na paměti, že externí mzdová účtárna bude mít zpravidla také vlastní zaměstnance, přičemž vůči těmto vlastním zaměstnancům je v pozici správce. Externí mzdová účtárna Nejlepší výtahy, s. r. o. (správce) osobních údajů vlastních zaměstnanců

Zpracovatel osobních údajů zaměstnanců správce Nejlepší výtahy, s. r. o.

Správce osobních údajů vlastních zaměstnanců

V jiných případech se může jednat v pozici zpracovatele o IT poskytovatele služeb (cloudu apod.), který na základě pokynů správce provádí s osobními údaji cílené operace (zálohuje na vlastních úložištích nebo úložištích zaměstnavatele, či provádí jiné operace s osobními údaji). Zpracovatelem však není pouhý poskytovatel (prodejce) účetního či personálního

65

9é./$' *'35 6 'ģ5$=(0 1$ 3(5621È/1Ë 2%/$67

pokud zpracování pravděpodobně představuje riziko pro práva a svobody subjektů údajů, zpracování není příležitostné nebo zahrnuje zpracování zvláštních kategorií osobních údajů či osobních údajů týkajících se rozsudků v trestních věcech. Jelikož zpracování osobních údajů v rámci personální agendy ze své povahy není nikdy příležitostné, nelze výjimku z povinnosti vést záznamy o činnostech zpracování pro organizace s méně než 250 zaměstnanci uplatnit. Záznamy musí být v případě potřeby aktualizovány. VZOR možného základního záznamu o činnostech zpracování pro personální agendu u správce: Záznam o činnostech zpracování – PERSONÁLNÍ AGENDA Verze záznamu

1.1

Tento záznam je účinný od 1. 4. 2022. Nahrazuje verzi 1.0 ze dne 25. 5. 2018. Správce

Nejlepší výtahy, s. r. o. Pracovní 2019 110 00 Praha 1 IČ: 12345678 kontaktní osoba: JUDr. Jiří Pracant

Účel zpracování

Nábor zaměstnanců, včetně nabídek vhodných pracovních pozic v budoucnu, vedení mzdové, personální a související agendy s uskutečňováním základního pracovněprávního vztahu, uskutečňování jednotné personální politiky s mateřskou společností, poskytování benefitů zaměstnancům, účast zaměstnavatele ve veřejných soutěžích, ochrana majetku kamerovým systémem (pro ten existuje samostatný záznam).

Právní důvody zpracování

Článek 6 odst. 1 písm. a), b), c), f) GDPR*)

72

*)

V záznamech je vhodné podrobněji rozlišit, jaké právní důvody jsou využívány pro konkrétní účely. Například článek 6 písm. a) GDPR pro vyslovení souhlasu uchazečů pro uchování životopisu na 2 roky pro další možné nabídky v budoucnu.

9é./$' *'35 6 'ģ5$=(0 1$ 3(5621È/1Ë 2%/$67

Vznesení námitky neznamená automaticky povinnost přestat osobní údaje pro daný účel zpracovávat. Správce však musí pro další zpracování prokázat závažné důvody pro zpracování, které převažují nad zájmy nebo právy subjektu údajů. Musí se tedy námitkou řádně zabývat a pro další zpracování dostatečně zdůvodnit závažné důvody pro zpracování. V případě, že jsou osobní údaje výlučně zpracovávány na základě „oprávněných zájmů správce“ a subjekt údajů úspěšně vznese námitku proti zpracování, vzniká právo na výmaz a v souladu s článkem 17 odst. 1 písm. c) GDPR je povinností osobní údaje zlikvidovat, resp. je pro tento účel přestat zpracovávat, pokud jsou tytéž osobní údaje využívány i pro další účely (např. pro plnění zákonem stanovených povinností). Příklad Zaměstnanec vznese námitku proti rozsahu předávaných osobních údajů zaměstnanců mateřské společnosti. Nelíbí se mu, že jsou mateřské společnosti předávány veškeré osobní údaje, které zaměstnavatel o zaměstnanci zpracovává. Na základě vznesené námitky se zaměstnavatel zaměří i na rozsah předávaných osobních údajů a zjistí, že takto široký rozsah předávaných osobních údajů nesplňuje požadavky zásady minimalizace, tj. předávat osobní údaje pouze v nezbytném rozsahu pro splnění účelu. Proto učiní kroky k tomu, aby byl rozsah předávaných osobních údajů mateřské společnosti omezen pouze na nezbytnou míru, a to nejen u zaměstnance, který vznesl námitku, ale i u ostatních. Zredukovaný rozsah již bude adekvátní pro naplnění závažných oprávněných důvodů pro předání osobních údajů mateřské společnosti (jméno, příjmení, kontaktní údaje, pracovní zařazení, mzdové náklady apod.). Poznámka: Příklad se týká případu, kdy jsou osobní údaje mateřské společnosti předávány jako dalšímu správci, nikoliv jako zpracovateli. Proti zpracovateli, resp. využití zpracovatele, vznést námitku tak, jak je v článku 21 GDPR koncipována, nelze.

Vznést námitku lze i proti přímému marketingu, tj. pokud správce šíří, typicky vůči svým zákazníkům, obchodní sdělení (po e-mailu či poštou), může adresát vznést námitku proti takovému přímému marketingu a správce je povinen s přímým marketingem vůči adresátovi přestat, což GDPR i výslovně zmiňuje. Viz také otázka 2.21 týkající se zasílání firemního časopisu zaměstnancům.

100

9é./$' *'35 6 'ģ5$=(0 1$ 3(5621È/1Ë 2%/$67

V případě předávání osobních údajů do třetích zemí ale navíc přistupuje specifická okolnost, která musí být splněna, ať už se jedná o předávání správce–zpracovatel, nebo správce–správce. Je to požadavek na institucionální zabezpečení osobních údajů v zemi, do které mají být předávány. Jednoduše řečeno, zájem je, aby osobní údaje nebyly předávány z vysoce chráněné oblasti (místní působnost GDPR) do oblasti, ve které by osobní údaje nebyly vůbec chráněny, resp. právní řád by jim nepřisuzoval adekvátní ochranu. Proto GDPR stanoví podmínky, za kterých mohou být osobní údaje předávány do třetích zemích, aby byl zajištěn požadavek na jejich institucionální ochranu. Tyto podmínky tedy musí být před předáním osobních údajů do třetích zemí splněny, ať už jde o předání zpracovateli, nebo dalšímu správci. Těmto aspektům, které se týkají jak předávání správce (dceřiná společnost) – správce (mateřská společnost)55), tak i předávání ve vztahu správce (dceřiná společnost) – zpracovatel (mateřská společnost)56), se budou věnovat další části této kapitoly.

2ąGF¾X¾PÊ X T¾OEK 'XTQRUMÆ WPKG

Nejjednodušší situace panuje u předávání osobních údajů v rámci zemí, které jsou členy Evropské unie, resp. zemí z Evropského hospodářského prostoru (EHP)57). GDPR v článku 1 odst. 3 stanoví, že volný pohyb osobních údajů v Evropské unii není z důvodu ochrany fyzických osob v souvislosti se zpracováním osobních údajů omezen ani zakázán. Takové ustanovení je logické, jelikož tam, kde platí stejný právní rámec (GDPR), existuje i stejná ochrana, a proto není nutné klást z důvodu institucionální bezpečnosti osobních údajů omezení.

2ąGF¾X¾PÊ FQ \GOÊ OKOQ 'XTQRUMQW WPKK C '*2

Složitější situace nastává u předávání osobních údajů do států mimo Evropskou unii (resp. EHP), tj. do třetích zemí. Zatímco u členských zemí Evropské unie si můžeme být jisti, že každá tato země poskytuje osobním údajům adekvátní ochranu, a proto není nutné ochranu „dozajišťovat“, 55)

56)

57)

Například pokud dceřiná společnost předává adekvátní rozsah zaměstnanců mateřské společnosti pro výkon jednotné personální politiky. Například pokud je mateřská společnost využívána jako zpracovatel osobních údajů zaměstnanců dceřiné společnosti. Kromě států Evropské unie je možné bez dalšího předávat osobní údaje i do Norska, Lichtenštejnska a na Island.

106

9é./$' *'35 6 'ģ5$=(0 1$ 3(5621È/1Ë 2%/$67

Příklad informace ohledně kamerového systému formou piktogramu v prostorách zaměstnavatele: PROSTOR JE STŘEŽEN KAMEROVÝM SYSTÉMEM SE ZÁZNAMEM Správce: Nejlepší výtahy, s. r. o., IČ: 12345678 Získat podrobnější informace o kamerovém sytému a uplatnit práva je možné na e-mailu kamery@nejlepsivytahysro.cz nebo intranetu68), případně u bezpečnostního technika (tel., e-mail).

Samolepky s piktogramy lze koupit v papírnictví či na internetu. Neexistuje jejich přesně stanovená podoba, měly by pouze obsahovat základní nezbytné náležitosti, tj. informaci o monitorování, kdo je provozovatel a kde lze získat podrobnější informace a uplatnit práva. Ĵă¼½²µ Ë µÀËÀÃÀÇì Áòɶ

À¿ÅÃÀ½ÀDz¿Í ÀÄÀ³² ÁĴ¶µ½Àşº½² µÀ¼Æ¾¶¿Å ʛ ¶Ë¿Í¾¶¿ă ˲¾òÄÅ¿²¿´ň Ä ÁÃÀÇÀËÀÇÍ¿ă¾ ¼²¾¶ÃÀÇì¹À ÄÊÄÅì¾Æʖʁ ¼Å¶Ãì »¶ ÇÊÇòĸ¶¿À Æ ÇÄÅÆÁň Æ »¶µ¿ÀŽºÇŘ´¹ ÁÃÀÇÀËÀǶ¿ ¼À¿ÅÃÀ½ÀDz¿ì ÀÄÀ³Êʇ µ¶ ¼À¿ÅÃÀ½ÀDz¿Í ÀÄÀ³² Ķ˿²¾Æ»¶ ˲¾òÄÅ¿²¿´¶ Ä Åă¾ʁ ş¶ »¶ Ç ²Ã¶Í½¶´¹ ¼À¿ÅÃÀ½ÀDz¿ì ÀÄÀ³Ê ˲³ÆµÀÇÍ¿ ¼²¾¶ÃÀÇŘ ÄÊÄÅì¾ Ä¶ ËÍË¿²¾¶¾ ² Ŷ¿ÅÀ ËÍË¿²¾ »¶ Æ´¹ÀÇÍÇÍ¿ ÁÀ µÀ³Æ ϿЂ µ¿ňʇ Ã;´º ¾ăÄÅ¿ă¹À ĸ¶ÅĴ¶¿ă ³Ê½² ÁÃÀǶµ¶¿² ¼À¿ÅÃÀ½² ¼²¾¶ÃÀÇŘ´¹ ÄÊÄÅì¾ň ¿² Çʳò¿Ř´¹ ÁÃÀÇÀËÀÇ¿Í´¹ʇ À³ÀÆ ÁĴăÁ²µ¶´¹ ³Ê½À ¼À¿ÅÃÀ½ÀÆ ¿² ¾ăÄÅò Ë»ºĸÅò¿Àʁ ş¶ »ÄÀÆ ÁÃÀÇÀËÀÇ¿Ê ÀË¿²æ¶¿Ê Áº¼ÅÀ¸Ã²¾Ê ² ÆÁÀËÀÿò¿ă¾º ¿² ¼²¾¶ÃÀÇì ÄÊÄÅì¾Ê Ç µ²¿Ř´¹ À³»¶¼Å¶´¹ʇ ĸ¶´¹¿Ê ÀÄÀ³Ê ÁÀ¹Ê³Æ»ă´ă Ķ ÁÀ ²Ã¶Í½Æ ¼À¿ÅÃÀ½ÀDz¿ì ÀÄÀ³Ê »ÄÀÆ Å²¼ ÁÃÀ¼²Ë²Å¶½¿ò Ķ˿;¶¿Ê Ä Åă¾ʁ ş¶ »¶ µ²¿Ř ²Ã¶Í½ ¹½ăµÍ¿ ¼²¾¶ÃÀÇŘ¾ ÄÊÄÅ쾶¾ʇ Jak vidno z výše uvedeného výňatku kontrolního protokolu Úřadu pro ochranu osobních údajů, kontrolující se při kontrole kamerového systému zaměřují i na řádné označení monitorovaných prostor. Správné označení takových prostor tak předejde možnému konstatování porušení GDPR ze strany správce. 68)

Pokud by se jednalo o označení prostor, kam má přístup i veřejnost, je nutné rozšířit kontaktní údaje na zdroj informací např. o hlavní vrátnici nebo webové stránky, a naopak odstranit informaci o intranetu.

124

27È=.< $ 2'329ċ',

Ve shora uvedeném výňatku z kontroly vyhodnotili kontrolující získané informace tak, že kontrolovaná osoba neporušila podmínky GDPR ve vztahu ke zpracování osobních údajů v rámci uchovávání výpisů z Rejstříku trestů u konkrétních profesí.

/čåG \CO÷UVPCXCVGN \LKwċQXCV \FC UG WEJC\Gé PCEJ¾\Ê X GZGMWEK"

Rychlá odpověď Taková informace by měla být od uchazečů zjišťována jen v případě, kdy to odůvodňuje povaha vykonávané práce a je-li takový požadavek přiměřený. Pokud je již uchazeč vybrán, tj. je již fakticky přijímán do zaměstnání, je zaměstnavatel naopak povinen zjistit, zda se nový zaměstnanec nenachází v exekuci. Tato povinnost vyplývá z § 294 zákona č. 99/1963 Sb., občanský soudní řád.

2QFTQDPQUVK

Někteří zaměstnavatelé mají tendenci od uchazečů plošně zjišťovat, zdali se nachází v exekuci. Důvodem je zejména snaha předejít administrativnímu zatížení, ke kterému v souvislosti se zaměstnancem v exekuci dochází, zvláště pokud se u zaměstnavatele vyskytne takových zaměstnanců více. Při odpovídání na položenou otázku, tedy zda může zaměstnavatel od uchazečů zjišťovat, nenachází-li se v exekuci, musíme vycházet z § 30 odst. 2 zákoníku práce, který stanoví, že zaměstnavatel smí vyžadovat v souvislosti s jednáním před vznikem pracovního poměru od fyzické osoby, která se u něj uchází o práci, nebo od jiných osob jen údaje, které bezprostředně souvisejí s uzavřením pracovní smlouvy. A dále vzít v úvahu § 316 odst. 4 písm. b) zákoníku práce, který umožňuje požadovat informace o majetkových poměrech, pouze je-li pro to dán věcný důvod spočívající v povaze práce, která má být vykonávána, a je-li tento požadavek přiměřený, nebo v případech, kdy to stanoví tento zákon nebo zvláštní právní předpis. Údaj o exekuci bezprostředně nesouvisí s uzavřením pracovní smlouvy, jelikož pro zaměstnavatele jsou pro uzavření smlouvy s uchazečem primárně podstatné informace mající vztah k předpokládané pracovní činnosti (zejména dostatečné vzdělání, praxe, kvalifikace). Pouze v případě, kdy by byl u zaměstnavatele dán věcný důvod spočívající v povaze práce, která má být vykonávána, a tento požadavek by byl přiměřený, by bylo možné tento údaj zjišťovat. Důvodem však nemůže být „předcházení administrativním nárokům“. 142

27È=.< $ 2'329ċ',

zaměstnancům, resp. aby si nepočínal tak, že svým neopatrným jednáním zpřístupní informace jiným podřízeným, kteří by mohli spatřit výplatní pásky jiných.

,G RQUM[VQXCVGN DGPGHKVW LUQW NK OW RQUM[VQX¾P[ QUQDPÊ ×FCLG \CO÷UVPCPEč RQXCåQX¾P \C URT¾XEG éK \RTCEQXCVGNG"

Rychlá odpověď Pokud je pro poskytování benefitu nezbytné předat osobní údaje zaměstnanců, jde o dva rozdílné správce, kteří osobní údaje využívají pro jimi stanovené účely. Poskytovatel benefitu není v pozici zpracovatele.

2QFTQDPQUVK

Zaměstnavatel může zaměstnancům zajišťovat různé druhy benefitů. Některé benefity však z povahy věci předpokládají předání osobních údajů zaměstnanců poskytovateli, a to kvůli prokázání zaměstnaneckého vztahu, který opravňuje k čerpání benefitu, jenž zaměstnavatel u jeho poskytovatele platí. Nejčastěji jde o předávání seznamu zaměstnanců, kteří jsou oprávněni benefit čerpat. Na základě tohoto seznamu poskytovatel benefitu na místě ověří, zda jde o osobu, které má umožnit vstup zdarma či se slevou. Údaje tak využívá pro vlastní účely, a je proto v pozici správce osobních údajů. Poskytovatel benefitu je tedy dalším správcem osobních údajů, nikoliv zpracovatelem pro zaměstnavatele. Předávání osobních údajů se bude dít na základě uzavřené smlouvy o poskytování služby (benefitu) zaměstnancům zaměstnavatele.

/WUÊ OÊV \CO÷UVPCXCVGN UQWJNCU \CO÷UVPCPEG UG \RTCEQX¾PÊO QUQDPÊEJ ×FCLč RTQ ×éGN[ LGLKEJ RąGF¾PÊ RQUM[VQXCVGNK DGPGHKVW"

Nikoliv, jde o nezbytné zpracování osobních údajů pro splnění smlouvy či právní povinnosti správce. Rychlá odpověď

2QFTQDPQUVK

S rozmachem různých benefitních programů, které nejsou poskytovány samotným zaměstnavatelem, vzniká otázka, zdali zaměstnavatel potřebuje souhlas zaměstnanců se zpracováním osobních údajů pro účely předání nezbytných osobních údajů poskytovateli benefitu. 174

3R VNRQþHQt ]iNODGQtKR SUDFRYQČSUiYQtKR Y]WDKX

2Q UMQPéGPÊ \¾MNCFPÊJQ RTCEQXP÷RT¾XPÊJQ X\VCJW

Skončením základního pracovněprávního vztahu dochází k útlumu účelů, pro které byly osobní údaje zaměstnavatelem zpracovávány, a vesměs jsou dále využívány pouze pro vypořádání práv a povinností a pro povinné uchování dokumentů po stanovenou dobu98). Relevantní dokumenty s osobními údaji budou také uchovávány k hájení práv zaměstnavatele, resp. k případnému doložení, že dostál v průběhu či po skončení základního pracovněprávního vztahu svým povinnostem (pracovní smlouva, výpověď). Zpravidla dochází k pozbytí právního důvodu „plnění smlouvy“, ledaže by i po skončení základního pracovněprávního vztahu vyplývaly např. z pracovní smlouvy určité povinnosti (např. konkurenční doložka). Ty dokumenty, které je nutné po skončení základního pracovněprávního vztahu uchovávat, či je bude zaměstnavatel uchovávat z vlastního rozhodnutí pro ochranu svých práv, je nutné bezpečně uložit, tj. z hlediska jejich ochrany nadále udržovat adekvátní standard zabezpečení.

/WUÊ \CO÷UVPCXCVGN RQ UMQPéGPÊ RTCEQXPÊJQ RQO÷TW PC å¾FQUV DÚXCNÆJQ \CO÷UVPCPEG \NKMXKFQXCV LGJQ QUQDPÊ URKU"

Rychlá odpověď Ne, osobní spis obsahuje i relevantní dokumenty (osobní údaje), které je zaměstnavatel ze zákona povinen či oprávněn z důvodu ochrany svých práv uchovávat i po skončení základního pracovněprávního vztahu. Nepotřebné dokumenty/osobní údaje je však nutné v přiměřené době po ukončení pracovního poměru zlikvidovat.

2QFTQDPQUVK

Osobní spis zaměstnance obsahuje podle § 312 odst. 1 zákoníku práce jen písemnosti (osobní údaje), které jsou nezbytné pro výkon práce v pracovním poměru či na základě dohod o pracích konaných mimo pracovní poměr. Skončením pracovního poměru pozbývají některé dokumenty v osobním spise relevanci a již nejsou z pohledu zaměstnavatele potřebné. Nepotřebné dokumenty by tak měly být po skončení základního pracovněprávního vztahu zlikvidovány. Naopak některé dokumenty jsou i po skončení pracovního vztahu nadále relevantní, resp. jejich uchování přímo nařizují zákony, a lze je zlikvidovat až po uplynutí stanovené doby. K likvidaci povinně uchovávaných dokumentů po skončení základního pracovněprávního 98)

Viz kapitola 8.

187

Doporučená cena 389 Kč

DVOUMĚSÍČNÍK D M S MĚS K PRAKTICKÁ P TICK K PERSONALISTIKA RS SO O ON STIIKA I

EDICE PRÁCE | MZDY | POJIŠTĚNÍ

MĚSÍČNÍK MĚ MĚS NÍK ÚČETNÍ Ú ČET Í A DANĚ DANĚ

EDICE PRÁCE | MZDY | POJIŠTĚNÍ

EDICE PRÁCE | MZDY | POJIŠTĚNÍ

MĚSÍČNÍK ĚSÍ SÍČ ČN MZDOVÁ ZDO OVÁ ÚČETNÍ ČET TNÍ T

ANAG, spol. s r. o. | Kollárovo nám. 698/7 | 779 00 Olomouc tel.: 585 757 411 | fax: 585 418 867 | e-mail: obchod@anag.cz www.anag.cz