Osobní údaje zpracovávané zaměstnavatelem a GDPR

Nahradí tedy zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů (dále jen „ZOOÚ“), respektive očekává se novela ZOOÚ, který by napříště měl upravovat jen některé aspekty týkající se činností a fungování Úřadu pro ochranu osobních údajů a některé dílčí záležitosti, které nejsou v GDPR upraveny, nebo je poskytnut prostor českému zákonodárci je upravit na vnitrostátní úrovni.

Nařízení se dotýká těch, kteří systematicky zpracovávají do evidencí údaje o fyzických osobách, s výjimkou osobního nebo domácího užití (mj. údaje zaměstnanců, zákazníků, dodavatelů zboží nebo služeb, pacientů). Prakticky bez výjimky se nařízení bude vztahovat ve větší či menší míře na každého, kdo zaměstnává zaměstnance, a tedy zpracovává jejich osobní údaje. Tento článek je prvním ze série textů, které zaměstnavatele seznámí s povinnostmi, které jim GDPR ukládá ve vztahu k ochraně osobních údajů zaměstnanců.

GDPR nepředstavuje revoluci v právní úpravě ochrany osobních údajů. Je do značné míry postaveno na principech, které fungovaly již za stávající regulace. Hlavním přínosem má být unifikace právní úpravy ve všech státech EU přinášející zjednodušení postupů správců, kteří zpracovávají údaje ve více státech. Hlavním rizikem pro správce může být zavedení možnosti národních dozorových úřadů ukládat velmi vysoké pokuty. Obecně lze říci, že každý zaměstnavatel by měl ještě předtím, než bude GDPR přímo použitelné:

1. provést audit stávajícího zpracování osobních údajů a uvést procesy, předpisy a zabezpečení ochrany dat do souladu s GDPR (zejména z pohledu toho, jaké osobní údaje jsou zpracovávány, pro jaký účel a na základě jakého zákonného titulu ve smyslu čl. 6 GDPR);
2. odpovědět si na otázku, zda musí mít pověřence pro ochranu osobních údajů, a pokud ano, ustanovit jej a nastavit pravidla jeho fungování v souladu s GDPR;
3. odpovědět si na otázku, zda musí vést záznamy o činnostech zpracování, a pokud ano, zajistit jejich vedení;
4. nastavení zabezpečení (technické řešení) práce se stávajícími údaji;
5. nastavení pravidel pro předávání osobních údajů jiným subjektům (jiným zpracovatelům - tj. například externí mzdové účetní; osobám, které tvoří se správcem koncern).

V tomto článku se budeme zabývat tím, co je to osobní údaj, za jakým účelem a za jakých podmínek je zaměstnavatel oprávněn osobní údaje zpracovávat. Navazovat budou články, které čtenáře seznámí s dalšími povinnostmi zaměstnavatele a s osobou pověřence pro ochranu osobních údajů.

Co je osobním údajem?

Osobním údajem jsou ve smyslu čl. 4 odst. 1 GDPR veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen „subjekt údajů“); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby. Jakýkoliv údaj, který umožňuje identifikovat konkrétní osobu, je tedy osobním údajem. To, co je u jedné fyzické osoby osobním údajem, protože ji to jasně identifikuje, ještě nemusí být osobním údajem pro další fyzickou osobu. Proto jméno samo o sobě nebo dokonce e-mail ve spojení se jménem nebude osobním údajem, pokud podle něj není možné určitou osobu označit. Osobním údajem může být jeden nebo i více údajů dohromady. Správce přitom může mít tyto údaje v jedné databázi nebo ve více oddělených databázích či seznamech. Níže poskytujeme seznam nejčastějších údajů, které mohou být osobními údaji podle zákona o ochraně osobních údajů.

Nařízení dále rozlišuje tzv. zvláštní kategorie osobních údajů, což jsou podle čl. 9 GDPR takové, „které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.“

Osobní údaje zpracovávané zaměstnavateli

Zaměstnavatelé typicky zpracovávají následující obecné osobní údaje svých zaměstnanců: jméno a příjmení, adresa (trvalé bydliště, doručovací adresa), pohlaví, věk, datum narození, místo narození, rodné číslo, osobní stav, zdravotní znevýhodnění, fotografie, video záznam, audio záznam, e-mailová adresa (zvláště pokud obsahuje například jméno a firmu), telefonní číslo - soukromé i pracovní, různé identifikační údaje vydané státem (číslo občanského průkazu, číslo řidičského průkazu, číslo cestovního pasu apod.), vzdělání, kvalifikace, příjem ze zaměstnání (mzda, plat), příjem z důchodu, pracovní výkon, informace o porušení povinností zaměstnance plynoucích z pracovněprávních předpisů, číslo bankovního účtu, informace o důchodovém připojištění, zdravotní pojištění apod.

Mezi osobní údaje spadající do zvláštní kategorie osobních údajů, které mohou zaměstnavatelé častěji zpracovávat, patří národnost, členství v odborech (zprostředkovaně skrze srážky členských příspěvků), zdravotním stavu - údaje o tělesném nebo duševním zdraví (například při pracovních úrazech, nemocech z povolání, těhotenství), trestní delikty, pravomocná odsouzení, krevní skupina, Rh faktor krve nebo biometrické údaje (zejména to mohou být biometrický snímek obličeje, otisk prstu nebo biometrický podpis).

S ohledem na právní definici pojmu osobní údaj nemůže být tento výčet úplný a mohou existovat zaměstnavatelé, kteří zpracovávají další osobní údaje.

Za jakých podmínek může zaměstnavatel osobní údaje zpracovávat

GDPR, podobně jako ZOOÚ, poskytuje pouze omezený výčet důvodů, pro které lze osobní údaje zpracovávat zákonně (čl. 7 GDPR):

1. subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů (musí se jednat o odvolatelný, svobodný, výslovný, vědomý a jednoznačný projev vůle, daný prostřednictvím prohlášení nebo jasnou souhlasnou akcí);
2. zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů;
3. zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje;
4. zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby;
5. zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce;
6. zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.

Zakázáno je pak zpracování zvláštních kategorií osobních údajů (čl. 9 GDPR) s následujícími výjimkami:

1. subjekt údajů udělil výslovný souhlas se zpracováním těchto osobních údajů pro jeden nebo více stanovených účelů;
2. zpracování je nezbytné pro účely plnění povinností a výkon zvláštních práv správce nebo subjektu údajů v oblasti pracovního práva a práva v oblasti sociálního zabezpečení a sociální ochrany;
3. zpracování je nutné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby v případě, že subjekt údajů není fyzicky nebo právně způsobilý udělit souhlas;
4. zpracování provádí v rámci svých oprávněných činností a s vhodnými zárukami zvláštní subjekty (např. odborová organizace) za podmínky, že se zpracování vztahuje pouze na současné nebo bývalé členy tohoto subjektu nebo na osoby, které s ním udržují pravidelné styky související s jeho cíli;
5. zpracování se týká osobních údajů zjevně zveřejněných subjektem údajů;
6. zpracování je nezbytné pro určení, výkon nebo obhajobu právních nároků nebo pokud soudy jednají v rámci svých soudních pravomocí;
7. zpracování je nezbytné z důvodu významného veřejného zájmu na základě práva Unie nebo členského státu, které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů;
8. zpracování je nezbytné pro účely preventivního nebo pracovního lékařství, pro posouzení pracovní schopnosti zaměstnance, lékařské diagnostiky, poskytování zdravotní nebo sociální péče či léčby nebo řízení systémů a služeb zdravotní nebo sociální péče;
9. zpracování je nezbytné z důvodů veřejného zájmu v oblasti veřejného zdraví;
10. zpracování je nezbytné pro účely archivace ve veřejném zájmu.

Zaměstnavatel je před zpracováním osobních údajů jakékoliv kategorie povinen stanovit účel zpracování, informovat zaměstnance o zpracování a době uložení osobních údajů (čl. 13 GDPR) a nesmí, až na výjimky, zpracovávat osobní údaje za jiným než stanoveným účelem. Vhodným způsobem, jak zaměstnance o těchto záležitostech informovat, je cestou vnitřního předpisu nebo informační brožury, se kterými by byl zaměstnanec seznámen při nástupu do zaměstnání.

Níže poskytujeme základní, a nikoliv vyčerpávající přehled účelů, pro které může zaměstnavatel osobní údaje zpracovávat, spolu s informací o tom, o jaký důvod bude své zpracování opírat, a také době, po jakou může údaj v takovém případě zpracovávat. Je třeba však mít na paměti, že v některých specifických situacích konkrétních zaměstnavatelů, jdoucích nad rámec tohoto textu, se může zákonný důvod nebo doba uložení lišit.