Osobní údaje v personalistice a monitoring zaměstnanců po zavedení GDPR a s důrazem na aktuální přístup ÚOOÚ

Cílem semináře je poskytnutí přehledu o právní úpravě nakládání s osobními údaji v každodenní personalistické praxi, zejména s ohledem na časté chyby zaměstnavatelů a možné sankce za nedodržení zákonných povinností. Účastníci semináře získají přehled, jak mají při nakládání s osobními údaji postupovat, a to jak vůči samotným zaměstnancům (respektive zájemcům o práci a bývalým zaměstnancům), tak i Úřadu pro ochranu osobních údajů (ÚOOÚ). Ačkoliv zejména pandemická situace otázku nakládání s osobními údaji poněkud upozadila (pokud jde o standardní zpracování údajů zaměstnanců), stále se jedná o aktuální téma, kdy zaměstnavatelům hrozí vysoké sankce.

Výklad bude zaměřen na obecné nařízení o ochraně osobních údajů (GDPR) a také na české předpisy (především pracovněprávní, a to zejména zákoník práce), které dávají právní rámec, kdy dochází k nakládání s údaji zaměstnanců (jde o jakési mantinely, ve kterých se uplatňují principy GDPR).

V rámci výkladu budou vysvětleny hlavní principy právní úpravy nakládání s osobními údaji zaměstnanců, kandidátů (zájemců o práci) a stručně i bývalých zaměstnanců. Budou zmíněna doporučení ohledně interní dokumentace, a to zejména směrnice o nakládání s údaji zaměstnanců a kandidátů, informace o zpracování údajů a případných souhlasů s dílčím zpracováváním údajů ze strany zaměstnanců a kandidátů, na které klade právní úprava (GDPR) vysoké požadavky, zejména pokud jde o jejich obsah a srozumitelnost. Rovněž je nutné mít pod kontrolou (a smluvně ošetřit) i předávání údajů externím obchodním partnerům, zejména poskytovatelům služeb (např. externí mzdové účtárně, benefitním společnostem apod.). Nutné je pochopitelně rovněž zabezpečit osobní údaje, ať se jedná o listinné osobní spisy, tak především o údaje zpracovávané automatizovaně (zejm. v rámci HR informačních systémů). Výklad se bude věnovat i rozhodnutím ÚOOÚ, který se v nedávné době vyjádřil (a to bohužel i ve formě uložení pokuty) k několika otázkám, jako například používání docházkových/vstupních systémů založených na otisku prstu zaměstnanců, používání biometrických podpisů nebo ukládání zbytných kopií dokumentů v osobních spisech zaměstnanců.

Významná část semináře bude věnovaná i monitoringu zaměstnanců, respektive narušování soukromí zaměstnanců, které od roku 2017 mohou kontrolovat a sankcionovat také inspektoráty práce. Ty přitom mohou mít i jiný – striktnější – přístup než doposud zastával ÚOOÚ. Zejména nelze vyloučit, že třeba i několik let provozovaný kamerový systém (navíc před účinností GDPR řádně registrovaný u ÚOOÚ) bude inspekcí práce posouzen jako nepřiměřeně narušující soukromí zaměstnanců.

Seminář je určen zaměstnavatelům zaměstnávajícím zaměstnance podle zákoníku práce, nikoliv státních zaměstnanců (zaměstnaných na základě zákona o státní službě a dalších zvláštních předpisů).

Seminář se zaměří zejména na následující okruhy:

• 1. Úvod do problematiky nakládání s osobními údaji zaměstnanců
  • zhodnocení právní úpravy v ČR
  • vysvětlení hlavních změn, které přinesla nová právní úprava v rámci EU – GDPR
• 2. Výklad jednotlivých okruhů GDPR
  • základní principy zpracování osobních údajů
  • informační povinnost vůči zaměstnancům
  • vysvětlení případů, kdy je nutné mít souhlas zaměstnanců (kandidátů) a kdy má zaměstnavatel jiný titul ke zpracování, zejména plnění zákonných či smluvních povinností nebo existence oprávněných zájmů
  • vysvětlení práv zaměstnanců (kandidátů či dalších subjektů údajů), například právo na přenositelnost údajů nebo právo být zapomenut
  • povinnost zabezpečit ochranu osobních údajů
  • podmínky spolupráce se zpracovateli údajů a dalšími osobami zapojenými do zpracování, například externími mzdovými účtárnami, dodavateli software, závodními lékaři apod.
• 3. Praktické případy nakládání s osobními údaji zaměstnanců
  • nakládání s životopisy zájemců o práci (v průběhu výběrového řízení a po jeho skončení)
  • vedení osobního spisu a další nezbytné zpracování údajů zaměstnanců pro vedení personálně-mzdové agendy, zejména v návaznosti na uložení pokuty ze strany ÚOOÚ zaměstnavatelům, kteří do spisů zakládali nadbytečné dokumenty (kopie občanských průkazů, kartiček zdravotních pojišťoven, rodné či oddací listy apod.)
  • použití fotografií zaměstnanců mimo osobní spis (zejm. na intranetu, internetu a PR materiálech zaměstnavatele)
  • použití docházkových systémů založených na otisku prstu či scanu obličeje, které ÚOOÚ nedávno zpochybnil
  • předávání osobních údajů do zahraničí, zejména mateřské společnosti zaměstnavatele
  • uchovávání osobních údajů po ukončení pracovněprávního vztahu
  • monitoring zaměstnanců – monitoring emailů, použití internetu, kamerové systémy, nahrávání telefonních hovorů, GPS či kamery ve služebních autech
• 4. Závěr a diskuse