S blížícím se druhým výročím účinnosti Nařízení GDPR by se dalo vcelku očekávat, že drtivá většina zaměstnavatelů bude mít nakládání s osobními údaji svých zaměstnanců dostatečně ošetřené. Podle Úřadu pro ochranu osobních údajů a našich zkušeností z praxe tomu tak ovšem není. V následujících řádcích se Vám pokusíme ta nejčastější pochybení přiblížit tak, abyste se jich mohli co nejlépe vyvarovat.
Asi nejčastěji opakující se chybou tuzemských zaměstnavatelů je nadbytečné vyžadování souhlasu se zpracováním osobních dat zaměstnanců. Ve skutečnosti by tento právní titul neměl být u zaměstnanců až na výjimky využíván. Hlavním důvodem je především ta skutečnost, že o svobodě zaměstnancova projevu vůle by se dalo velmi často pochybovat a souhlas tak není legitimní. Zaměstnavatel si navíc u většiny případů zpracování bohatě postačí s právním titulem plnění smlouvy či zákonných povinnosti.
Na problematiku nesprávného využívání souhlasu se navíc váže i účel daného zpracování. Ten totiž musí být v souladu jak s Nařízením GDPR a v něm obsaženým principem minimalizace, tak i se zákoníkem práce, který jasně hovoří o tom, že zaměstnavatel může po zaměstnanci požadovat pouze informace, které bezprostředně souvisí s uzavřením pracovní smlouvy. A tato ustanovení nejde obejít získáním souhlasu subjektu údajů, jak si mnozí zaměstnavatelé, kteří takto shromažďují nadbytečné informace o svých zaměstnancích, myslí.
Typickým příkladem nadbytečné informace, na kterou zaměstnavatel nemá nárok, je výpis z trestního rejstříku. Ten může být požadován pouze u takových profesí, u kterých to předpokládá zákon (př. učitel, soudce, advokát) nebo u kterých převládá oprávněný zájem zaměstnavatele. Tím jsou zejména pracovní pozice, ve kterých zaměstnanec přijde pravidelně do styku s velkým objemem peněz, drahých šperků apod. V ostatních případech je požadování takovéto informace v rozporu s legislativou.
Zaměstnavatel by si také měl dát pozor na monitoring zaměstnanců. Ten by měl být opět založen na převládajícím zájmu zaměstnavatele nad případným narušením soukromí zaměstnance. Zaměstnanec musí být navíc o sledování předem dostatečně srozuměn. Vedle toho musí zaměstnavatel vypracovat příslušné dokumenty, které svědčí o jeho oprávněném zájmu (př. posouzení vlivu na ochranu osobních údajů, balanční test).
Typickým příkladem monitoringu zaměstnance může být kamerové snímání, kontrola navštívených webových stránek při práci na počítači nebo dálkové sledování přístupu zaměstnance do jeho emailové schránky.
Sdílení fotografií na sociálních sítích neznamená možnost jejich volného šíření
Nejvyšší soud ČR nedávno rozhodl v jedné z prvních kauz u nás, která se týkala sdílení fotografie na sociální síti Facebook a jejího následného využití třetí stranou. Případ se týkal jednoho z bulvárních médií.
Poškozená si stěžovala na zneužití její fotografie, kterou sdílela na sociální síti Facebook. Fotografii totiž bez jejího souhlasu použil bulvární internetový portál v článku, který se věnoval úmrtí kamarádky poškozené. Zmíněná fotografie zobrazovala poškozenou v pokročilé fázi těhotenství, čehož autor článku zneužil a mj. pochyboval o otcovství nenarozeného dítěte, což s původním motivem textu nijak nesouviselo. Poškozená se domáhala stažení fotky, omluvy a náhrady nemajetkové újmy.
Soudy první i druhé instance daly za pravdu bulvárnímu portálu s tím, že se jednalo o použití fotografie z nezabezpečeného, volně dostupného zdroje. S tím se ovšem neztotožnil Nejvyšší soud a rozhodl ve prospěch poškozené.
Ve svém odůvodnění Nejvyšší soud poukázal na ustanovení občanského zákoníku, která chrání osobnost člověka. Dále konstatoval, že sdílení své fotografie na sociální síti automaticky neznamená udělení souhlasu třetím stranám pro další volné šíření této fotografie pro jakékoliv účely. Nejvyšší soud také uvedl, že v tomto případě nelze uplatnit tzv. zpravodajskou licenci, neboť užití fotky a následná fabulace ohledně otcovství dítěte poškozené nijak nesouvisela s původním informováním veřejnosti o výše zmíněném úmrtí kamarádky poškozené. Poškozená pak nebyla veřejně exponovanou osobou (celebrita, politička apod.) a nebylo tak ve veřejném zájmu danou fotografii dále šířit.
Verdikt Nejvyššího soudu může znamenat přelom v ochraně sdílených osobních údajů na sociálních sítích a internetu obecně, neboť doposud se tímto tématem žádný rozsudek takto podrobně nezabýval.
Víte že…
V případě, kdy se cestující při přepravní kontrole na výzvu pověřené osoby neprokáže platným jízdním dokladem, je povinen zaplatit jízdné a přirážku k jízdnému, nebo se prokázat osobním dokladem a sdělit osobní údaje potřebné pro vymáhání zaplacení jízdného a přirážky k jízdnému? Těmito osobními údaji se rozumí jméno, příjmení, datum a místo narození, adresa pro doručování a číslo osobního dokladu.
Pokud si nevíte s problematikou GDPR rady, neváhejte se obrátit na naši obchodní společnost