Pravidla GDPR a vybrané praktické problémy při jejich implementaci - část I.

GDPR definuje několik důvodů opravňujících zaměstnavatele zpracovávat OÚ zaměstnance (obvykle zákonná povinnost, plnění smlouvy, oprávněný zájem správce nebo třetí osoby, opatření v souvislosti s uzavřením smlouvy…) a udělený souhlas by měl být pouze krajním řešením v případech, kdy je nezbytně nutné OÚ zpracovávat a nelze obhájit jejich zpracování jiným právním titulem, případně rozsah zpracování omezit.

Zkusme si níže identifikovat některé oblasti zpracování osobních údajů a odpovídající právní titul (důvod) jejich zpracování:

Mzdová agenda

Zpracování mzdové agendy vyplývá ze zákonných povinností zaměstnavatele, který je tak oprávněn obdržet informace o zdravotním stavu zaměstnance či partnera, rodných číslech dětí, čerpaném úvěru pro bydlení, účasti v odborech, sexuální orientaci, občanství, trvalém bydlišti apod. Zaměstnavatel zpracovává též zvláštní kategorie osobních údajů, aniž by potřeboval souhlas zaměstnance. Udělený souhlas zaměstnance by byl v tomto případě neplatný, neboť zaměstnavatel zpracovává osobní údaje zaměstnance na základě jiného právního důvodu, a to plnění svých zákonných povinností.

Plnění pracovních povinností a pracovní náplň

V souvislosti s pracovní pozicí a plněním pracovněprávních povinností bude zaměstnavatel zpracovávat OÚ o kvalifikačních předpokladech zaměstnance, dosaženém vzdělání, předchozí praxi, jazykových znalostech apod. OÚ bude obvykle předávat externím zpracovatelům poskytovaných služeb (společnostem zajišťujícím odborné školení, hotelům za účelem ubytování apod.). Ve vybraných případech bude zaměstnavatel požadovat (např. i v pravidelných intervalech) doložení informací o trestní bezúhonnosti, o podnikatelské činnosti nebo bezdlužnosti. Pozor u těchto zmíněných případů, požadavek na zpracovávání takovýchto OÚ musí buď vyplývat přímo ze zákona (např. zákon o advokacii jako podmínku výkonu práce advokátního koncipienta vyžaduje jeho trestní bezúhonnost), nebo musí vyplývat z obsahu práce samotné, a zaměstnavatel musí umět dostatečně zdůvodnit zpracování těchto OÚ. Rozsah požadovaných OÚ v souvislosti s plněním pracovních povinností a pracovní náplní bude obvykle podobný těm OÚ, které předkládá budoucímu zaměstnavateli uchazeč o zaměstnání. Zpracování OÚ bude v těchto případech odůvodněno buď plněním pracovních povinností nebo oprávněným zájmem správce (zaměstnavatele).

Zaměstnanecké benefity

Poskytuje-li zaměstnavatel různé benefity, typicky stravenky, služby vybraného lékaře, příspěvek na sportovní aktivity apod., nelze zpracování a případné poskytování OÚ zdůvodnit pracovní povinností zaměstnance nebo zaměstnavatele. Domníváme se, že zákonnost zpracování OÚ dodavateli těchto benefitů lze podpořit čl. 6 odst. 1 písm. b) GDPR, tj. plněním smlouvy, jejíž smluvní stranou je zaměstnanec. Zaměstnanec obvykle nepodepisuje smlouvu s poskytovatelem benefitů, to činí zaměstnavatel, ale tím, že přijímá plnění a je povinen respektovat určité závazky, se stává stranou smlouvy. Ani v tomto případě tak souhlas zaměstnance nebude důvodem zpracování OÚ.

Sdílení OÚ v holdingu

Holdingová společnost, resp. jejich vedoucí zaměstnanci, často více či méně systematicky sdílí OÚ zaměstnanců ostatních společností (zaměstnavatelů) ve skupině. V souladu se základními zásadami GDPR (zejména minimalizace údajů, zákonnost, transparentnost, účelové omezení) by takové zpracování ve větším rozsahu nemělo být všeobecným pravidlem. Sdílení OÚ v holdingu musí být odůvodněno pracovní náplní zaměstnance holdingové společnosti a rozsah zpřístupněných OÚ by neměl překročit účel zpracování. Považujeme za důvodné, aby finanční ředitel měl přístup k informacím o výši mzdy a jejím výpočtu každého zaměstnance ve skupině. Na druhou stranu obchodní ředitel informace o výši mzdy zaměstnanců ve skupině (kromě svých podřízených, o jejichž mzdě rozhoduje) pro plnění svých povinností nezbytně nepotřebuje. Naopak sdílení základních informací (jméno, příjmení, fotografie) o zaměstnancích skupiny podniků typicky prostřednictvím intranetu považujeme za obvyklé a v souladu s pravidly GDPR. Takové zpracování OÚ bude založeno na oprávněném zájmu společnosti, jímž bude řízení lidských zdrojů a organizace práce.

V další části probereme typické případy, kdy souhlas zaměstnance se zpracováním OÚ považujeme v určitých situacích za jediný možný titul zpracování OÚ.