V minulém článku jsme popsali některé praktické problémy vyplývající z implementace GDPR v obchodní společnosti. Tentokrát se zaměříme na problematiku získávání souhlasu se zpracováním osobních údajů ze strany zaměstnanců.

Význam souhlasu jako právního titulu zpracování osobních údajů se s přijetím GDPR mírně posunul. Předchozí právní úpravou byl souhlas vnímán jako základní titul zpracování. Avšak po účinnosti GDPR je již souhlas toliko podpůrným právním základem a lze ho použít pouze v případě, že není možné pro zpracování osobních údajů využít jiného právního důvodu.

A jak by měl takový souhlas se zpracováním vypadat? Souhlas by měl být svobodný, konkrétní a informovaný projev vůle, a správce osobních údajů by měl být navíc vždy schopen doložit, že byl souhlas řádně udělen. Zejména z hlediska prokazatelnosti tak můžeme jednoznačně doporučit písemnou formu souhlasu, popř. využití zaškrtávacího políčka na webových stránkách.

Háček ohledně poskytnutí souhlasu se zpracováním osobních údajů ze strany zaměstnance spočívá právě v jeho svobodném udělení. GDPR totiž výslovně uvádí, že souhlas nemůže být platným právním titulem v případě, že je mezi správcem a subjektem údajů jasná nerovnováha. O takový vztah se jedná právě v případě zaměstnavatele a zaměstnance. Ve většině případů zpracování osobních údajů tak souhlas zaměstnance nebudeme moci využít. Někdy se však bez jeho souhlasu neobejdeme. A o jaké případy se jedná zejména?

Zveřejnění fotografií z firemních večírků

Stejně jako za předchozí právní úpravy i po účinnosti GDPR platí, že zveřejňovat fotografie z firemních večírků či teambuildingů je možné i bez souhlasu zaměstnance. Tento způsob zpracování osobních údajů však má své limity. Předně je možné přiřadit k fotografii pouze stručné doprovodné údaje. Dle našeho názoru je možné k fotografii přiřadit ještě jméno a příjmení. V případě zveřejnění většího množství osobních údajů by již mohl být vyžadován souhlas ze strany zaměstnance. Taktéž bude souhlas ze strany zaměstnance nutný při zveřejnění fotografie na sociálních sítích, a to v případě označení osoby na fotografii. Z profilu konkrétní osoby na sociální síti totiž lze získat velké množství osobních údajů a není proto možné označit zaměstnance bez jeho souhlasu.

Důležité je také posuzovat zveřejňování fotografie z pohledu účelu zveřejnění. Pokud je fotografie zveřejněna za účelem pouhé dokumentace firemní akce, nebude souhlas zaměstnance třeba. Pokud však budou předmětné fotografie používány k marketingovým účelům, bez zaměstnancova souhlasu se zpravidla neobejdeme.

Biometrické údaje

Další specifickou situací je zpracování biometrických údajů zaměstnance. K jejich zpracování dochází zpravidla v provozech s vyššími nároky na bezpečnost, kde zaměstnavatelé používají například čtečky otisků prstů ke kontrole vstupu do objektu. Jen těžko v tomto případě nalezneme jiný právní titul pro zpracování biometrických údajů zaměstnance než právě jeho souhlas. V takovýchto případech bychom ale mohli narazit na již zmíněnou svobodu v udělení souhlasu. Pokud by totiž zaměstnanec odmítl udělit souhlas ke zpracování svých biometrických údajů, zaměstnavatel by mu nemohl umožnit výkon práce, což by nutně vedlo k ukončení pracovního poměru. Z tohoto důvodu vždy doporučujeme dát zaměstnanci alternativní možnost ověření totožnosti, jako je například čipová karta. Jen tak lze zajistit, že souhlas lze považovat za svobodně udělený. Nadto je třeba uvést, že GDPR považuje biometrické údaje za zvláštní kategorii osobních údajů, a proto je třeba nakládat s těmito údaji obzvlášť obezřetně. Zejména lze doporučit zvýšení zabezpečení společně s omezením přístupu k těmto údajům.

Služební automobil

Další problematickou oblastí se v praxi ukázalo být sledování služebních vozidel prostřednictvím GPS. Pokud je vozidlo poskytnuté zaměstnanci využíváno pouze ke služebním účelům, je situace poměrně jednoznačná. V takovém případě je zaměstnavatel oprávněn sledovat pohyb vozidla prostřednictvím GPS za účelem ochrany svých oprávněných zájmů. Oprávněný zájem zaměstnavatele zde spočívá v ochraně majetku a v kontrole nakládání s prostředky poskytnutými zaměstnanci.

Problém však nastává ve chvíli, kdy je zaměstnanci umožněno užívat služební vozidlo i k soukromým účelům. Při implementaci GDPR jsme se často setkávali s názory, že k monitorování soukromých aktivit zaměstnance je třeba jeho písemný souhlas. Pokud by takový souhlas nebyl udělen, zaměstnanci by nebylo umožněno užívat služební vozidlo k soukromým účelům. Jasno do problému nakonec vnesl Úřad pro ochranu osobních údajů se svým stanoviskem, že sledování zaměstnance pomocí GPS ve služebním vozidle je možné provádět z důvodu ochrany oprávněných zájmů i mimo pracovní dobu, a ani v tomto případě tak nebude třeba jeho souhlas.

Je však třeba upozornit na to, že účel ochrany majetku nesmí být ze strany zaměstnavatele překračován a sloužit tak k nadměrnému sledování aktivit zaměstnanců.

Příště bychom se zaměřili na další specifické situace související se zpracováním osobních údajů zaměstnanců, a to zejména na užívání ICT technologií a sledování zaměstnanců na pracovišti.

Jan Suchý

Associate | Accace Legal s.r.o., advokátní kancelář

E-mail : 

Telefon : 

+420 222 753 480

Napište nám