Osobní údaje v personalistice a monitoring zaměstnanců po zavedení GDPR a s důrazem na aktuální přístup ÚOOÚ

Cílem semináře je poskytnutí přehledu o právní úpravě nakládání s osobními údaji v každodenní personalistické praxi, zejména s ohledem na časté chyby zaměstnavatelů a možné sankce za nedodržení povinností stanovených zákonem o ochraně osobních údajů. Účastníci semináře získají přehled, jak mají při nakládání s osobními údaji postupovat, a to jak vůči samotným zaměstnancům (respektive zájemcům o práci a bývalým zaměstnancům), tak i Úřadu pro ochranu osobních údajů.

Vedle výkladu právní úpravy ochrany osobních údajů přijaté v rámci Evropské unie, tedy obecného nařízení o ochraně osobních údajů (GDPR) účinného od 25. 5. 2018 bude rovněž zmíněn i tzv. adaptační zákon GDPR (zákon o zpracování osobních údajů č. 110/2019 Sb. účinný od 24. 4. 2019), který má nicméně zejména pro zaměstnavatele soukromé sféry minimální dopad.

V rámci výkladu budou vysvětleny hlavní principy právní úpravy nakládání s osobními údaji zaměstnanců a kandidátů (zájemců o práci). V rámci semináře budou zmíněna doporučení ohledně interní dokumentace, a to zejména směrnice o nakládání s údaji zaměstnanců a kandidátů, informace o zpracování a případných souhlasů s dílčím zpracováváním údajů ze strany zaměstnanců a kandidátů, na které klade nová úprava vyšší požadavky, zejména pokud jde o jejich obsah a srozumitelnost. Rovněž je nutné mít pod kontrolou (a smluvně ošetřit) i předávání údajů externím obchodním partnerům, zejména poskytovatelům služeb (např. externí mzdové účtárně, benefitním společnostem apod.). Nutné je pochopitelně rovněž zabezpečit osobní údaje, ať se jedná o listinné osobní spisy, tak především o údaje zpracovávané automatizovaně (zejm. v rámci HR informačních systémů). Výklad se bude věnovat i aktualitám ze strany Úřadu pro ochranu osobních údajů (ÚOOÚ), který se v poslední době vyjádřil (a to bohužel i ve formě uložení pokuty) k řadě otázek, jako například používání docházkových/vstupních systémů založených na otisku prstu zaměstnanců, používání biometrických podpisů nebo ukládání zbytných kopií dokumentů v osobních spisech zaměstnanců.

Významná část semináře bude věnovaná i monitoringu zaměstnanců, respektive narušování soukromí zaměstnanců, které od roku 2017 mohou kontrolovat a sankcionovat také inspektoráty práce. Ty přitom mohou mít i jiný – striktnější – přístup než doposud zastával Úřad pro ochranu osobních údajů. Zejména nelze vyloučit, že třeba i několik let řádně zaregistrovaný kamerový systém bude přesto inspekcí práce posouzen jako nepřiměřené narušení soukromí zaměstnanců. Současně bude zmíněna i změna v přístupu ke kamerovým systémům bez uchovávání obrazového záznamu (která nově spadají rovněž pod zpracování osobních údajů).

Seminář je určen zaměstnavatelům zaměstnávajícím zaměstnance podle zákoníku práce, nikoliv státních zaměstnanců (zaměstnaných na základě zákona o státní službě a dalších zvláštních předpisů).

Seminář se zaměří zejména na následující okruhy:

• 1. Úvod do problematiky nakládání s osobními údaji zaměstnanců
  • zhodnocení právní úpravy v ČR
  • vysvětlení hlavních změn, které přinesla nová právní úprava v rámci EU – GDPR
• 2. Výklad jednotlivých okruhů GDPR
  • základní principy zpracování osobních údajů
  • informační povinnost vůči zaměstnancům
  • vysvětlení případů, kdy je nutné mít souhlas zaměstnanců (kandidátů) a kdy má zaměstnavatel jiný titul ke zpracování, zejména plnění zákonných či smluvních povinností nebo existence oprávněných zájmů
  • vysvětlení práv zaměstnanců (kandidátů či dalších subjektů údajů), například právo na přenositelnost údajů nebo právo být zapomenut
  • povinnost zabezpečit ochranu osobních údajů
  • podmínky spolupráce se zpracovateli údajů, například externími mzdovými účtárnami, dodavateli software, závodními lékaři apod.
• 3. Praktické případy nakládání s osobními údaji zaměstnanců
  • nakládání s životopisy zájemců o práci (v průběhu výběrového řízení a po jeho skončení)
  • vedení osobního spisu a další nezbytné zpracování údajů zaměstnanců pro vedení personálně-mzdové agendy, zejména v návaznosti na uložení pokuty ze strany ÚOOÚ zaměstnavateli, který do spisů zakládal nadbytečné dokumenty (kopie občanských průkazů, kartiček zdravotních pojišťoven, rodné či oddací listy apod.)
  • použití fotografií zaměstnanců mimo osobní spis (zejm. na intranetu, internetu a PR materiálech zaměstnavatele)
  • použití docházkových systémů založených na otisku prstu či scanu obličeje, které nově Úřad pro ochranu osobních údajů nepřipouští
  • předávání osobních údajů do zahraničí, zejména mateřské společnosti zaměstnavatele
  • uchovávání osobních údajů po ukončení pracovněprávního vztahu
  • monitoring zaměstnanců – monitoring emailů, použití internetu, kamerové systémy, nahrávání telefonních hovorů, GPS či kamery ve služebních autech
• 4. Závěr a diskuse