Obecné nařízení EU nepřináší zaměstnavatelům zcela nové povinnosti, často jen zpřesňuje a prohlubuje dosavadní pravidla.
Pravidla zavedená stávajícím zákonem o ochraně osobních údajů. Ten 25. května 2018 nahradí zmiňované nařízení GDPR. Zásadně platí, že zpracovávat osobní údaje je možné pouze se souhlasem zaměstnance. Bez souhlasu lze zpracovávat údaje, pokud:
- je zpracování nezbytné pro plnění smlouvy (nejčastěji pracovní smlouvy),
- je zpracování nezbytné pro dodržení právní povinnosti zaměstnavatele – zpracování mezd, odvody atd.,
- je to nezbytné pro ochranu práv a právem chráněných zájmů zaměstnavatele – např. uchovávané údaje po skončení pracovního poměru zaměstnance – soudní spor, uplatnění nároků zaměstnance apod.
Údaje pro plnění pracovní smlouvy
Jestliže hodlá zaměstnavatel uzavřít se zaměstnancem pracovní smlouvu, bude vždy zpracovávat osobní údaje uchazeče o zaměstnání. Jedná se o právní důvod – plnění smlouvy. Ovšem pouze údaje, které jsou nezbytné k sepsání pracovní smlouvy. Je třeba pamatovat na zásadu minimalizace zpracovávaných údajů. Jedná se o údaje, které většinou již má k dispozici z předcházejícího výběrového řízení.
Pracovní smlouva musí obsahovat identifikační údaje zaměstnance a zaměstnavatele a náležitosti uvedené v § 34 zákoníku práce. Velmi často se zde uvádí i rodné číslo. Rodné číslo není obligatorní náležitostí pracovní smlouvy. Zákon ale nezakazuje, aby zde rodné číslo uvedeno bylo, a pokud již ve smlouvě uvedeno je, rozhodně není třeba je ze stávajících pracovních smluv mazat. Čtěte také: Ochrana osobních údajů se týká všech zaměstnavatelů
Zpracování nezbytné pro plnění právní povinnosti
Dalším účelem zpracování osobních údajů je plnění právních povinností zaměstnavatele. Vždy je třeba vyhodnotit, které údaje je zaměstnavatel povinen zpracovávat, tj. jejich zpracování je v souladu s příslušnými zákony. Zpracovávání musí být adekvátní a přiměřené. Například uchovávání kopií maturitních vysvědčení či vysokoškolských diplomů bude ve většině případů po uzavření pracovního poměru nadbytečné. Uchazeč do zaměstnání již byl přijat na základě předložení těchto dokladů. Zaměstnavatel pouze ověří skutečnosti z originálu, případně si provede opis – číslo vysvědčení, škola apod. a originál zaměstnanci vrátí. Naopak zpracování různých osvědčení nezbytných pro řádný výkon práce se zaměstnavatel nevyhne. Například osvědčení pro manipulaci s vysokozdvižnými vozíky, kterým zaměstnavatel prokazuje kvalifikovanost přijatého zaměstnance.
Čtěte také: Musíte kvůli GDPR chránit osobní data v ocelové skříni? Odborník radí v poradně
Kopírování dokladů musí být adekvátní
Nepřiměřené a v praxi bohužel časté je kopírování občanských průkazů zaměstnavatelem. Zde dokonce zaměstnavatelé postupují v rozporu se zákonem o občanských průkazech. Píše se tu, že je zakázáno jakýmikoliv prostředky pořizovat kopie občanského průkazu bez prokazatelného souhlasu občana, kterému byl průkaz vydán. Existují však určité výjimky. Kopírování občanských průkazů zákon umožňuje například bankám, investičním společnostem, pojišťovnám, auditorům a daňovým poradcům. Zaměstnavatel mezi tyto výjimky nepatří. Teoreticky by bylo možné vyhotovit kopii na základě prokazatelného souhlasu zaměstnance, ale z pohledu GDPR by toto zpracování bylo nepřiměřené. Jestliže zaměstnavatel vysloveně potřebuje údaje z občanského průkazu a nespokojí se s pouhým opisem, lze provést kopii pomocí šablony, kdy dojde pouze k částečnému okopírování údajů. Údajů, na které má zaměstnavatel ze zákona nárok. Obdobně lze postupovat v případě zpracování údajů z cestovního pasu u zaměstnaných cizinců.
Naopak kopírování zdravotní kartičky nebo řidičského průkazu zákony nezakazují. Ovšem i v případě kopie řidičského průkazu by měl být zaměstnavatel obezřetný a kopírovat pouze v odůvodnitelných případech, například u řidičů z povolání. Zaměstnavatel vyhodnotí, zda je ke zpracování originálů či kopií určitých dokladů právní důvod. Jestliže právní důvod není, lze pouze ověřit dle předložených originálů (např. s poznámkou: ověřeno dle originálu dne ….) nebo provést opis.
Ukázkovým příkladem zde může být výpis z rejstříku trestů. Zaměstnavatel může v případě přijetí do pracovního poměru vyžadovat výpis z rejstříku trestů, pokud mu to ukládá zákon (například policisté, hasiči, pedagogičtí a sociální pracovníci atd.). V opačném případě výpis z trestního rejstříku v personální složce uchovávat nesmí. Jestliže je tato informace pro zaměstnavatele důležitá, je možné situaci řešit nahlédnutím do výpisu, zaznamenáním zprávy o bezúhonnosti uchazeče do příslušného spisu a okamžitým navrácením výpisu uchazeči.
S blížící se účinností GDPR by měli zaměstnavatelé vyhodnotit účely zpracování osobních dokladů zaměstnanců. Ty doklady, které zpracovávají nepřiměřeně, by měly být z personálních složek vyřazeny. A to nejen u stávajících zaměstnanců, ale také z personálních složek zaměstnanců již propuštěných. Zde se může objevit celá řada dokladů, pro které nebude po ukončení pracovního poměru splněn právní důvod. Například životopisy, osobní dotazníky, osvědčení o absolvování školení apod. Podrobněji v článku: GDPR a výmaz osobních údajů po skončení pracovního poměru
V následujícím článku se zaměříme na doklady, které zpracovává zaměstnavatel pro účely uplatnění daňových slev a nezdanitelných částí základu daně zaměstnanců.
ČLÁNKY DO MAILU