GDPR

Jak platná legislativa upravuje zasílání potvrzení o zdanitelných příjmech zaměstnancům e-mailem. Zasíláme scan dokumentu s razítkem, zaheslovaný a zaslaný na e-mailovou adresu zaměstnance. Je takto dokument platný? Musí zaměstnanec udělit souhlas se zasíláním dokumentu na jeho soukromý e-mail? 

Dobrý den, chtěla bych se zeptat, jak dlouho je zaměstnavatel povinen archivovat předložené docházky od zaměstnanců (evidenci odpracované doby). Na mzdovém semináři lektorka řekla, že na základě GDPR je to pouze 3roky a pak je musíme skartovat. Je to tak správně? A jak je to se skartací exekučních příkazů na zaměstnance, které jsou již zastavené (bylo splněno oddlužením). Můžeme již skartovat? Děkuji za odpověď.

Jsme zaměstnavatel ze soukromého sektoru s 230 zaměstnanci. Naši zaměstnanci mají podepsán souhlas se zpracování osobních a citlivých údajů, který obsahuje souhlas mj. „s pořízením a použitím fotografií z pracoviště pro reklamní a propagační účely na firemním webu a v tištěných či elektronických propagačních materiálech firmy, včetně fotografií z pracoviště“. V rámci celofiremní akce jsme pro zaměstnance (z dílen i kanceláří) pořádali setkání s fyzioterapeutem, který přijel do naší firmy a v zasedací místnosti zaměstnancům ukazoval techniky správného sezení/stání na pracovišti, jak se v průběhu práce protáhnout apod. Z této aktivity byly pořízeny fotografie, z nichž bylo několik vystaveno na firemním profilu společnosti na jedné ze sociálních sítí. Někteří zaměstnanci uvedení na jedné z fotografií se ohradili a požadovali stažení této fotografie ze sociální sítě. Tito zaměstnanci mají podepsán výše uvedený souhlas. 1) Měli bychom zaměstnancům vyjít vstříc a tuto fotografii stáhnout (pokud ano, na základě čeho), nebo jsme oprávněni ji na základě podepsaného souhlasu ponechat vystavenu na sociální síti (opět zdůvodnit)? 2) Můžeme do budoucna při podobných akcích dát na dveře místnosti, ve které se bude aktivita odehrávat, ceduli s upozorněním, že „Svou účastí zaměstnanci vyjadřují souhlas s pořízením a zveřejněním fotografií a videozáznamů pro firemní účely.“? Bude to opravdu znamenat, že vstupem do místnosti dávají zaměstnanci souhlas, nebo je k vyjádření souhlasu s citlivými/osobnímu údaji pořád prioritní jimi daný písemný souhlas? Souhlas se zpracováním osobních a citlivých údajů budeme zaměstnancům samozřejmě dávat k podpisu i nadále. 

Vzhledem k současné epidemiologické situaci (zvyšování počtů nakažených) celá řada zaměstnavatelů zvažuje opět zavedení testování zaměstnanců; někteří vlastně testování zaměstnanců ani nikdy nezrušili. V souvislosti s testováním pak bude pravidelně docházet ke zpracování osobních údajů, zejména pokud zaměstnavatel o testovaných nebo případně očkovaných (kteří se zpravidla testovat nemusí) zaměstnancích povede nějakou evidenci. Nabízí se tak otázka, zda je zpracování údajů zaměstnanců o testování nebo očkování v souladu s „GDPR“, tedy s nařízením (EU) 2016/679 (Obecné nařízení o ochraně osobních údajů).

Je nějaká opora v zákoně či možnost dát do vnitřního předpisu, že může zaměstnavatel vyžadovat jako podmínku pro vstup do kanceláře na pracoviště pouze očkovaným či negativně testovaným zaměstnancům? A druhá část dotazu, zda je vůbec možné, aby zaměstnanci na žádost zaměstnavatele podávali informaci o tom, zda byli očkováni proti covid-19 a případně kdy?

Jsme IT telco společnost a někteří naši zákazníci požadují osobní údaje našich zaměstnanců (dat. nar., číslo pasu apod.), aby jim umožnili přístup do jejich systémů a mohli dělat podporu našim produktům přímo v systémech u zákazníka (zákazníci jsou ze zahraničí - Norsko, Německo atd.). Je možné něco takového poskytnout z hlediska GDPR apod.?

Mnoho zaměstnavatelů pravděpodobně řešilo otázku, jak z hlediska zpracování osobních údajů přistupovat ke zpracování fotografií jejich zaměstnanců pořízených a používaných v souvislosti s výkonem práce (např. používání a šíření fotografií zaměstnanců na vstupních kartách, na intranetu zaměstnavatele či internetu), k pořizování fotografií z firemních akcí a jejich případnému sdílení na sociálních sítích. Od účinnosti nové evropské legislativy upravující ochranu osobních údajů (GDPR) uplynul více než rok a půl, a za tuto dobu se již značně vyvinula praxe jak Evropského sboru pro ochranu osobních údajů („EDPB“), tak národních úřadů dohlížejících na ochranu osobních údajů na území členských států a potažmo celé Evropské unie. Nicméně i přes posun v interpretaci GDPR kompetentními orgány stále není zcela jasné, jaký právní důvod zpracování osobních údajů pro pořizování a zveřejňování fotografií zaměstnanců mohou zaměstnavatelé v jednotlivých případech legitimně použít.

Zaměstnavatelé vnímají kontrolu plnění pracovních povinností zaměstnanci, včetně kontroly řádného hospodaření s majetkem zaměstnavatele, jako jedno ze svých stěžejních práv. Vskutku, dle zdravého rozumu je legitimní, aby zaměstnavatel zaměstnance při užívání svěřeného majetku určeného k plnění pracovních úkolů kontroloval. Tato kontrola a jiné sledování jsou ovšem zaměstnavatelem velice často vykonávány, ač nevědomky a možná i s dobrým úmyslem, v rozporu se zákonem. Rozsah práva zaměstnavatele kontrolovat totiž není bezbřehý, jelikož právo zaměstnavatele na kontrole zaměstnanců je ve střetu s právem zaměstnance na ochranu jeho osobnosti a soukromí.

Zaměstnavatel plánuje zřídit na pracovišti (zámečnická dílna) kamerový systém ke sledování zaměstnanců, zejména ke sledování dodržování pracovní doby, přestávek v práci a nakládání se zpracovávaným materiálem. Jak by se to dalo co nejjednodušeji ošetřit z pohledu GDPR? Dodatky k pracovním smlouvám nebo informované souhlasy zaměstnanců? Existuje někde jednoduchý vzor? 

Jako fyzická osoba (OSVČ) zpracovávám mzdy firmám. Zaměstnavatelem je OSVČ i právní subjekt. Od 1. 1. 2020 se zavádí eNeschopenka. Jak postupovat jako externí firma vůči svým klientům? Mám s klienty sepsány mandatní smlouvy a informace ohledně GDPR. Personalistika a mzdová agenda se nachází v mé kanceláři. Jak postupovat ohledně zavedení eNeschopenky? 

Dokumentaci u zaměstnanců vedeme následovně: 10 let – doklady ke srážkám ze mzdy, doklady k pracovní neschopnosti, přehledy zdravotní pojišťovny a PSSZ, vyúčtování daní z příjmů, potvrzení o zdanitelných příjmech, potvrzení o příjmech pro bankovní účely, přihlášky/odhláš­ky/změny PSSZ/ZP, oznámení o plnění povinného podílu OZP, měsíční mzdové výstupy, osobní spisy ukončených DPP/DPČ 3 roky - ELDP 4 roky – podklady pro výpočet mezd (prémie, dovolenkové lístky, rekapitulace docházky apod.) 30 let – mzdové listy, docházkové listy, osobní spisy ukončených HPP. Je takto v pořádku nebo máme něco změnit? 

Prosím o vyjádření k článku z časopisu Mzdová praxe - díl 20 "Archivace dokladů" se rozumně doporučuje vzhledem k prodlužování věku odchodu do důchodu archivovat doklady o druhu či vzniku pracovního poměru, mzdové listy (30 let) a ELDP (3 roky) mnohem dél,e než je povinnost. Nebude to však v rozporu s GDPR? Některé právnické firmy radí zajistit podpis se souhlasem delšího uchování, než je předepsáno. V případě mzdových listů a ELDP je to však nemožné, protože spousta zaměstnanců již pracovní poměr ukončila, ale delší uchování je vlastně v jejich zájmu. Dále bych prosila o informaci ohledně srážek ze mzdy (exekuce a srážky na stravenky, výuku anglického jazyka). Doklady ohledně srážek mají být také archivovány 30 let po roce kdy byla naposledy srážka ze mzdy provedena. Stačí v této lhůtě uchovat exekuční příkazy, žádosti zaměstnanců o srážky na stravenky a výuku Aj? Nebo je nutno také 30 let uchovávat například výplatní pásky se srážkami. Jednotlivé částky měsíčních srážek máme uvedeny na mzdovém listu, který se také archivuje 30 let. 

Podle průzkumů společnosti Lendedu 34 % lidí neuvádí na svém profilu LinkedIn pravdu. K „přikrášlování“ či „zušlechťování“ pracovních zkušeností, vzdělání, schopností či jazykových znalostí se v internetovém průzkumu OnlinePrace.cz přiznalo dokonce téměř 50 % všech respondentů. Není proto divu, že zaměstnavatelé často nepovažují informace uváděné uchazeči v jejich životopisech za důvěryhodné a přistupují k jejich ověřování. Tento proces se v praxi označuje anglickým názvem pre-employment background screening nebo pre-employment background check (dále jen „PBS“) – volně přeloženo do češtiny prověrka životopisu nebo šířeji prověrka minulosti uchazeče o zaměstnání.

Je možné archivovat pracovní smlouvy elektronicky, tzn. naskenované v počítači bez uchování papírových podob? Dále jsem se chtěla zeptat, které dokumenty máme archivovat z pohledu GDPR v pracovních a osobních složkách současných i bývalých zaměstnanců? Vím, že mzdové listy 30 let, ale nevím co pracovní smlouvy, prohlášení, podklady k výpočtu daně apod. 

Které kopie dokladů musíme v personální složce u zaměstnance držet, abychom neporušili GDPR? Jedná se mi např. o potvrzení o zaplaceném životním pojištění, smlouva o životním pojištění, rodný list dětí, rozhodnutí o svěření dítěte do péče apod. Musíme mít tyto doklady v papírové podobě anebo nám stačí elektronická verze (pdf v počítači)? 

Vedení mzdové agendy v souvislosti s GDPR Generální finanční ředitelství vydalo sdělení pro plátce daně z příjmů fyzických osob ze závislé činnosti, kterým blíže specifikuje aplikaci Nařízení Evropského parlamentu...

V pátek 25. května 2018 nabyla účinnosti nová právní úprava ochrany osobních údajů - Nařízení Evropského parlamentu a Rady 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES, zkráceně nazývané GDPR (obecné nařízení o ochraně osobních údajů). Toto nařízení se dotýká i zajišťování BOZP a PO. V BOZP dokonce dochází ke zpracování zvláštní kategorie osobních údajů (dříve „citlivých údajů“).

V souvislosti s přijetím evropského nařízení GDPR se ochrana osobních údajů momentálně stává velmi frekventovaným tématem diskuzí nejen ryze odborných. Ve svém článku se však nehodlám věnovat předmětné směrnici, ale tématu souvisejícímu, totiž ochraně osobních práv zaměstnanců v zákoníku práce, lépe řečeno rolí inspekce práce při jejich ochraně.

Obecné nařízení o ochraně osobních údajů známé pod zkratkou GDPR je reakce na tlak na ochranu osobních údajů v dnešním digitálním světě. V současnosti je poměrně málo pravděpodobné, že někdo odcizí kartotéku se složkami zaměstnanců v papírové podobě, ale daleko větší riziko je, že někdo odcizí digitální záznamy s osobními údaji zaměstnanců či klientů, a to třeba i v několikanásobném rozsahu oproti „papírové“ krádeži. Rovněž se nyní klade větší důraz na právo fyzických osob vědět, jaké o nich jejich zaměstnavatel či jakákoliv jiná společnost eviduje osobní údaje a jak s těmito daty nakládá. Právě vedení osobních údajů v elektronické podobě vedlo k přijetí zmíněného obecného nařízení EU.

Jednou z hlavních novinek, kterou přináší Nařízení, je zavedení funkce tzv. pověřence pro ochranu osobních údajů (Data Protection Officer - DPO). Tuto funkci budou povinni zřídit ti správci a zpracovatelé osobních údajů, u kterých to nařízení vyžaduje. Správci a zpracovatelé, kteří chtějí proklamovat soulad své činnosti s GDPR, mohou však pověřence ustanovit i tehdy, jestliže se jich tato povinnost netýká.