GDPR u zamestnávateľa

– vplyv na zamestnanca

Aké údaje a akým spôsobom môžu zamestnávatelia údaje svojich zamestnancov spracúvať a aké povinnosti sa ich týkajú v súvislosti s ochranou osobných údajov? Došlo pri ochrane osobných údajov po účinnosti nového zákona o ochrane osobných údajov k zmenám?

V Európskej únii sa uplatňuje jednotný režim ochrany osobných údajov – nariadenie GDPR. Zároveň v SR platí nový zákon o ochrane osobných údajov, ktorý priniesol veľké množstvo zmien a noviniek týkajúcich sa okrem iného aj citlivých údajov.

Biometrické údaje

V praxi sa v pracovnoprávnych vzťahoch využívajú systémy, ktoré umožňujú spoľahlivé určenie zamestnanca na základe unikátnych biometrických znakov. Biometrické znaky alebo údaje patria medzi obzvlášť citlivé údaje.

Medzi biometrické údaje patria

•    odtlačky prstov a dlaní,

•    geometria ruky, geometria štruktúry žíl ruky alebo dlane (štruktúra rúk),

•    biometrický snímok sietnice oka (sken sietnice oka),

•    tvar tváre a vzdialenosti jednotlivých orgánov na nej (štruktúra tváre),

•    hlas (zafarbenie hlasu),

•    chôdza.

Medzi biometrické údaje zamestnanca môžu okrem vyššie uvedených údajov patriť aj ďalšie údaje, a to napríklad podpis.

Definícia biometrických údajov

Biometrickými údajmi sú osobné údaje, ktoré sú výsledkom osobitného technického spracúvania osobných údajov týkajúcich sa fyzických charakteristických znakov fyzickej osoby, fyziologických charakteristických znakov fyzickej osoby alebo behaviorálnych charakteristických znakov fyzickej osoby a ktoré umožňujú jedinečnú identifikáciu alebo potvrdzujú jedinečnú identifikáciu tejto fyzickej osoby, ako najmä vyobrazenie tváre alebo daktyloskopické údaje. Ide o definíciu podľa zákona č. 18/2018 Z. z. o ochrane osobných údajov.

Ide o údaje, ktorých spracúvanie môže pre dotknutú osobu predstavovať vyššie riziko ohrozenia práv a právom chránených záujmov. Dotknutou osobou môže byť napríklad zamestnanec.

Biometrickými údajmi sú teda osobné údaje každej fyzickej osoby, na základe ktorých je osobu možné jednoznačne a nezameniteľne určiť. Sú to najmä biologické vlastnosti, fyziologické črty alebo opakované činnosti, v prípade ktorých sú tieto pre konkrétnu osobu špecifické.

Spracúvanie biometrických údajov zamestnanca podľa GDPR

Podľa predchádzajúceho znenia zákona o ochrane osobných údajov bolo zlegalizovanie akýchkoľvek technológii postavených na báze biometrickej identifikácie zamestnanca podmienené rozhodnutím Úradu na ochranu osobných údajov SR.

Nariadenie k ochrane osobných údajov však obmedzuje spracúvanie biometrických údajov na individuálnu identifikáciu fyzickej osoby: „Zakazuje sa spracúvanie, biometrických údajov na individuálnu identifikáciu fyzickej osoby.“

Uvedené sa však neuplatňuje, ak platí niektorá z týchto podmienok:

•    dotknutá osoba vyjadrila výslovný súhlas so spracúvaním týchto osobných údajov na jeden alebo viacero určených účelov, s výnimkou prípadov, keď sa v práve Únie alebo v práve členského štátu stanovuje, že zákaz nemôže dotknutá osoba zrušiť,

•    spracúvanie je nevyhnutné na účely plnenia povinností a výkonu osobitných práv prevádzkovateľa alebo dotknutej osoby v oblasti pracovného práva a práva sociálneho zabezpečenia a sociálnej ochrany, pokiaľ je to povolené právom Únie alebo právom členského štátu alebo kolektívnou zmluvou podľa práva členského štátu poskytujúcimi primerané záruky ochrany základných práv a záujmov dotknutej osoby;

•    spracúvanie je nevyhnutné na ochranu životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby v prípade, že dotknutá osoba nie je fyzicky alebo právne spôsobilá vyjadriť svoj súhlas;

•    spracúvanie vykonáva v rámci svojej zákonnej činnosti s primeranými zárukami nadácia, združenie alebo akýkoľvek iný neziskový subjekt s politickým, filozofickým, náboženským alebo odborárskym zameraním a pod podmienkou, že spracúvanie sa týka výlučne členov alebo bývalých členov subjektu alebo osôb, ktoré majú pravidelný kontakt s ním v súvislosti s jeho cieľmi, a že bez súhlasu dotknutej osoby sa osobné údaje neposkytnú mimo tohto subjektu;

•    spracúvanie sa týka osobných údajov, ktoré dotknutá osoba preukázateľne zverejnila;

•    spracúvanie je nevyhnutné na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov, alebo kedykoľvek, keď súdy vykonávajú svoju súdnu právomoc;

•    spracúvanie je nevyhnutné z dôvodov významného verejného záujmu na základe práva Únie alebo práva členského štátu, ktoré sú primerané vzhľadom na sledovaný cieľ, rešpektujú podstatu práva na ochranu údajov a stanovujú vhodné a konkrétne opatrenia na zabezpečenie základných práv a záujmov dotknutej osoby;

•    spracúvanie je nevyhnutné na účely preventívneho alebo pracovného lekárstva, posúdenia pracovnej spôsobilosti zamestnanca, lekárskej diagnózy, poskytovania zdravotnej alebo sociálnej starostlivosti alebo liečby, alebo riadenia systémov a služieb zdravotnej alebo sociálnej starostlivosti na základe práva Únie alebo práva členského štátu alebo podľa zmluvy so zdravotníckym pracovníkom, a podlieha podmienkam a zárukám;

•    spracúvanie je nevyhnutné z dôvodov verejného záujmu v oblasti verejného zdravia, ako je ochrana proti závažným cezhraničným ohrozeniam zdravia alebo zabezpečenie vysokej úrovne kvality a bezpečnosti zdravotnej starostlivosti a liekov alebo zdravotníckych pomôcok, na základe práva Únie alebo práva členského štátu, ktorým sa stanovujú vhodné a konkrétne opatrenia na ochranu práv a slobôd dotknutej osoby, najmä profesijné tajomstvo;

•    spracúvanie je nevyhnutné na účely archivácie vo verejnom záujme, alebo na účely vedeckého alebo historického výskumu či na štatistické účely podľa článku 89 ods. 1 na základe práva Únie alebo práva členského štátu, ktoré sú primerané vzhľadom na sledovaný cieľ, rešpektujú podstatu práva na ochranu údajov a určujú vhodné a konkrétne opatrenia na zabezpečenie základných práv a záujmov dotknutej osoby.

Z takto vymedzených výnimiek vyplýva, že biometrické údaje je možné v pracovnoprávnych vzťahoch využívať len vo výnimočných prípadoch. Zamestnávateľ ich môže spracúvať len v nevyhnutnom prípade na splnenie jeho pracovnoprávnej povinnosti alebo na posúdenie pracovnej spôsobilosti zamestnanca. Taktiež ich môže zamestnávateľ spracúvať len v takom prípade, že zamestnanec so spracúvaním biometrických údajov výslovne súhlasí. Každý súhlas osoby musí obsahovať náležitosti vymedzené zákonom o ochrane osobných údajov alebo v súlade s nariadením.

Všetky biometrické údaje sú údaje, ktoré sa zásadne spracúvajú prostredníctvom technických prostriedkov, na základe ktorých dochádza k identifikovaniu konkrétnej fyzickej osoby, napríklad odtlačky prstov. Takými technickými prostriedkami u zamestnávateľa môže byť napríklad dochádzkový systém. V zásade ide o údaje, ktoré sa dajú týmto spôsobom merať.

Účely, na ktoré sa spracúvajú biometrické údaje zamestnanca

Účelom využívania biometrických údajov je účel, ktoré je priamo viazaný na konkrétnu činnosť. U zamestnávateľa musí byť vždy presne stanovený a jednoznačne určený, a práve pre vzhľadom na tento účel musí byť u zamestnávateľa zriadený aj systém, prostredníctvom ktorého sú biometrické údaje spracúvané. Zároveň musí mať stanovené riziká, ktoré môžu vzniknúť.

Účely spracúvania biometrických údajov zamestnancov:

•    vstup do vyhradených priestorov alebo objektov z dôvodu bezpečnosti a ochrany majetku zamestnávateľa,

•    bezpečnosť a ochrana zdravia pri práci z dôvodu zamedzenia vstupu nepovolaným osobám do objektov zamestnávateľa, v ktorých sú uchovávané napríklad nebezpečné látky,

•    evidencia dochádzky a pracovného času zamestnanca.

Najviac v praxi dochádza k spracúvaniu biometrických údajov zamestnancov, ktorí majú oprávnenie vstupovať do osobitne chránených objektov alebo vyhradených objektov. Ako príklad môžeme uviesť banky a vstup zamestnancov do priestorov, kde sa nachádza trezor.

Aj v prípade biometrických údajov platí zásada, že tak ako iné údaje, aj tieto môžu byť spracúvane iba počas doby, na ktorú bol zamestnancom udelený súhlas na ich spracúvanie a na účel, na ktorý bol súhlas udelený.

Posúdenie vplyvu spracúvania biometrických údajov na ochranu osobných údajov

V prípade, že má dochádzať k spracúvania biometrických údajov u zamestnancov, tak vzniká dôvod na vypracovanie posúdenia vplyvu na ochranu osobných údajov. Zásadne musí byť vypracované ešte pred samotným spracovaním týchto údajov. K vypracovaniu posúdenia dochádza predovšetkým z dôvodu, že existuje reálne riziko ohrozenia práv zamestnancov vzhľadom na účel takto spracúvaných údajov.

Prijímanie nových zamestnancov

Ide o základné pravidlá, ktoré musia byť zamestnávateľom splnené v rámci pracovnoprávnych vzťahov.

Za spracúvanie osobných údajov v rámci pracovnoprávnych vzťahov zodpovedá prevádzkovateľ, čiže osoba, ktorá spracúva osobné údaje dotknutých osôb vo vlastnom mene. V tomto prípade ide o zamestnávateľa, ktorý spracúva nielen osobné údaje svojich zamestnancov, ale i v rámci výberového konania, na účely prijatia fyzickej osoby do zamestnania, spracúva aj osobné údaje uchádzačov o zamestnanie ako dotknutých osôb.

Zamestnávateľ však spracúvaním osobných údajov môže poveriť aj inú osobu, v ktorej kompetencii je vykonávať mzdovú agendu, účtovníctvo atď. Ide teda o osobu, ktorá spracúva osobné údaje v mene prevádzkovateľa – zamestnávateľa.

Vo vzťahu k uchádzačom o zamestnanie si musí zamestnávateľ splniť informačnú povinnosť týkajúcu sa osobných údajov.

•    údaje o totožnosti a kontaktné údaje o zamestnávateľovi,

•    kontaktné údaje zodpovednej osoby,

•    vymedzenie účelu, na ktorý sa údaje poskytujú – výberové konanie,

•    príjemca osobných údajov, ak ide o viacerých, tak vymedzenie všetkých,

•    oprávnený záujem zamestnávateľa,

•    v prípade, ak ide o cezhraničný prenos, tak informácia o tomto prenose,

•    obdobie a dĺžka uchovávania poskytnutých osobných údajov,

•    právo na prístup k osobným údajom, na opravu, vymazanie, obmedzenie,

•    právo namietať spracúvanie osobných údajov,

•    právo podať sťažnosť dozornému orgánu.

Pracovná zmluva u zamestnávateľa

V pracovných zmluvách musia mať zamestnávatelia zakomponované informácie o spracovaní osobných údajov zamestnancov. Zamestnávateľ poskytuje informáciu o rozsahu týchto osobných údajov a účel, na aký sú osobné údaje spracované, tiež kto a akým spôsobom s nimi pracuje a komu sú údaje sprístupnené. Okrem tohto informuje o dĺžke obdobia, počas ktorého budú údaje uchovávané. Každý zamestnanec má právo na informáciu o jeho právach - prístup k osobným údajom, právo na opravu osobných údajov a právo na vysvetlenie spracovania osobných údajov.

§ 2 zákona č. 18/2018 Z. z.

o ochrane osobných údajov

citácia na str. 62

Osobnými údajmi sú údaje týkajúce sa identifikovanej fyzickej osoby alebo identifikovateľnej fyzickej osoby, ktorú možno identifikovať priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora, iného identifikátora, ako je napríklad meno, priezvisko, identifikačné číslo, lokalizačné údaje, alebo online identifikátor, alebo na základe jednej alebo viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú identitu, fyziologickú identitu, genetickú identitu, psychickú identitu, mentálnu identitu, ekonomickú identitu, kultúrnu identitu alebo sociálnu identitu.

§ 3 zákona č. 18/2018 Z. z.
o ochrane osobných údajov

citácia na str. 62

Pôsobnosť

(1) Tento zákon sa vzťahuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie osobných údajov inými než automatizovanými prostriedkami, ak ide o osobné údaje, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému.

(2) Tento zákon, okrem § 2, § 5, druhej a tretej časti zákona, sa vzťahuje na spracúvanie osobných údajov, na ktoré sa vzťahuje osobitný predpis o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov.

(3) Tento zákon sa vzťahuje na spracúvanie osobných údajov Policajným zborom, Vojenskou políciou, Zborom väzenskej a justičnej stráže, Finančnou správou, prokuratúrou a súdmi (ďalej len „príslušný orgán“) na účely predchádzania a odhaľovania trestnej činnosti, zisťovania páchateľov trestných činov, stíhania trestných činov alebo na účely výkonu rozhodnutí v trestnom konaní vrátane ochrany pred ohrozením verejného poriadku a predchádzania takémuto ohrozeniu (ďalej len „plnenie úloh na účely trestného konania“); z druhej časti tohto zákona sa na spracúvanie osobných údajov podľa predchádzajúcej časti vety vzťahujú len ustanovenia uvedené v § 52, § 59, § 67 a § 73.

(4) Tento zákon sa vzťahuje na spracúvanie osobných údajov

a)  v rámci činnosti prevádzkovateľa alebo sprostredkovateľa, ktorého sídlo, miesto podnikania, organizačná zložka, prevádzkareň alebo trvalý pobyt je na území Slovenskej republiky, a to bez ...