GDPR definuje několik důvodů opravňujících zaměstnavatele zpracovávat OÚ zaměstnance (obvykle zákonná povinnost, plnění smlouvy, oprávněný zájem správce nebo třetí osoby, opatření v souvislosti s uzavřením smlouvy...) a udělený souhlas by měl být pouze krajním řešením v případech, kdy je nezbytně nutné OÚ zpracovávat a nelze obhájit jejich zpracování jiným právním titulem, případně rozsah zpracování omezit.

Zkusme si níže identifikovat některé oblasti zpracování osobních údajů a odpovídající právní titul (důvod) jejich zpracování:

Mzdová agenda

Zpracování mzdové agendy vyplývá ze zákonných povinností zaměstnavatele, který je tak oprávněn obdržet informace o zdravotním stavu zaměstnance či partnera, rodných číslech dětí, čerpaném úvěru pro bydlení, účasti v odborech, sexuální orientaci, občanství, trvalém bydlišti apod. Zaměstnavatel zpracovává též zvláštní kategorie osobních údajů, aniž by potřeboval souhlas zaměstnance. Udělený souhlas zaměstnance by byl v tomto případě neplatný, neboť zaměstnavatel zpracovává osobní údaje zaměstnance na základě jiného právního důvodu, a to plnění svých zákonných povinností.

Plnění pracovních povinností a pracovní náplň

V souvislosti s pracovní pozicí a plněním pracovněprávních povinností bude zaměstnavatel zpracovávat OÚ o kvalifikačních předpokladech zaměstnance, dosaženém vzdělání, předchozí praxi, jazykových znalostech apod. OÚ bude obvykle předávat externím zpracovatelům poskytovaných služeb (společnostem zajišťujícím odborné školení, hotelům za účelem ubytování apod.). Ve vybraných případech bude zaměstnavatel požadovat (např. i v pravidelných intervalech) doložení informací o trestní bezúhonnosti, o podnikatelské činnosti nebo bezdlužnosti. Pozor u těchto zmíněných případů, požadavek na zpracovávání takovýchto OÚ musí buď vyplývat přímo ze zákona (např. zákon o advokacii jako podmínku výkonu práce advokátního koncipienta vyžaduje jeho trestní bezúhonnost), nebo musí vyplývat z obsahu práce samotné a zaměstnavatel musí umět dostatečně zdůvodnit zpracování těchto OÚ. Rozsah požadovaných OÚ v souvislosti s plněním pracovních povinností a pracovní náplní bude obvykle podobný těm OÚ, které předkládá budoucímu zaměstnavateli uchazeč o zaměstnání. Zpracování OÚ bude v těchto případech odůvodněno buď plněním pracovních povinností, nebo  oprávněným zájmem správce (zaměstnavatele).

_______________________________________________________

„Zaměstnanec obvykle nepodepisuje smlouvu s poskytovatelem benefitů, to činí zaměstnavatel, ale tím, že přijímá plnění a je povinen respektovat určité závazky, se stává stranou smlouvy. Ani v tomto případě tak souhlas zaměstnance nebude důvodem zpracování OÚ.“

 _________________________________________________________________________________

Zaměstnanecké benefity

Poskytuje-li zaměstnavatel různé benefity, typicky stravenky, služby vybraného lékaře, příspěvek na sportovní aktivity apod., nelze zpracování a případné poskytování OÚ zdůvodnit pracovní povinností zaměstnance nebo zaměstnavatele. Domníváme se, že zákonnost zpracování OÚ dodavateli těchto benefitů lze podpořit čl. 6 odst. 1 písm. b) GDPR, tj. plněním smlouvy, jejíž smluvní stranou je  zaměstnanec. Zaměstnanec obvykle nepodepisuje smlouvu s poskytovatelem benefitů, to činí  zaměstnavatel, ale tím, že přijímá plnění a je povinen respektovat určité závazky, se stává stranou smlouvy. Ani v tomto případě tak souhlas zaměstnance nebude důvodem zpracování OÚ.

Sdílení OÚ v holdingu

Holdingová společnost, resp. jejich vedoucí zaměstnanci často více či méně systematicky sdílí OÚ zaměstnanců ostatních společností (zaměstnavatelů) ve skupině. V souladu se základními zásadami GDPR (zejména minimalizace údajů, zákonnost, transparentnost, účelové omezení) by takové zpracování ve větším rozsahu nemělo být všeobecným pravidlem. Sdílení OÚ v holdingu musí být odůvodněno pracovní náplní zaměstnance holdingové společnosti a rozsah zpřístupněných OÚ by neměl překročit účel zpracování. Považujeme za důvodné, aby finanční ředitel měl přístup k informacím o výši mzdy a jejím výpočtu každého zaměstnance ve skupině. Na druhou stranu obchodní ředitel informace o výši mzdy zaměstnanců ve skupině (kromě svých podřízených, o jejichž mzdě rozhoduje) pro plnění svých povinností nezbytně nepotřebuje. Naopak sdílení základních informací (jméno, příjmení, fotografie) o zaměstnancích skupiny podniků typicky prostřednictvím intranetu považujeme za obvyklé a v souladu s pravidly GDPR. Takové zpracování OÚ bude založeno na oprávněném zájmu společnosti, jímž bude řízení lidských zdrojů a organizace práce.

Mgr. Jan Roub

_________________________________________________________________________________

vystudoval Právnickou fakultu na Západočeské univerzitě a je registrovaným advokátem v České advokátní komoře. Po absolvování studia pracoval v několika pražských advokátních kancelářích. Před nástupem do Accac působil tři roky jako senior advokát v největší česko slovenské advokátní kanceláři. Jan získal zkušenosti v transakcích korporátního práva, obchodního práva, pracovního práva, transakcích s nemovitostmi, soudních sporech a finančním právu. Zaměřuje se také na právní záležitosti týkající se holdingových struktur. Jako Legal Director je ve skupině Accace zodpovědný za vedení samostatné advokátní kanceláře Accace Legal, s. r. o.