Italský dozorový úřad (Garante) udělil pokutu aplikaci Foodinho za krácení práv svých zaměstnanců
ve výši 2,6 miliónu euro. Konkrétně mělo dojít k nedostatečnému informování zaměstnanců,
nemožnosti uplatnit svá práva, která jim Nařízení GDPR přiznává a nezajištění dostatečných opatření,
která by zajistila řádné zpracování jejich osobních údajů.
Jde o důležité rozhodnutí jednoho z evropských dozorových úřadů, neboť se zaměřuje na
problematiku profilování zaměstnanců, především pak v rámci tzv. gig economy (zakázková
ekonomika), která je typická pro dnes značně populární sdílenou ekonomiku.
Aplikace Foodinho se věnuje rozvozu jídel. Tuto činnost mají na starost jednotliví kurýři, a právě o
jejich osobní údaje v celé věci šlo. Zakázky jim totiž byly udělovány na základě profilování (trasy na
mapě, zpětná vazba od zákazníků a odhadované a skutečné dodací lhůty, geolokační údaje
v 15sekundových intervalech aj.), čímž docházelo k významnému dotčení subjektů údajů, na které
Nařízení GDPR ve svém čl. 22 myslí.
Právě zmíněný čl. 22 se věnuje otázce automatizovaného zpracování a profilování, které ovlivňuje
subjekty údajů. V tomto případě docházelo k vlivu na udávání jednotlivých zakázek pro kurýry, což
přímo ovlivňuje jejich pracovní nasazení a tedy i míru samotného výdělku.
Podle Garante Foodinho nedostatečně informovalo kurýry o vlivu profilování na jejich práci. Dále
Foodinho nezavedlo dostatečná opatření, která by zajistila přesnost a relevanci jednotlivých osobních
údajů, na kterých bylo profilování založeno. Jako prohřešek byla shledána i nemožnost kurýru se proti
tomuto zpracování bránit, například pomocí uplatnění svých práv dle Nařízení GDPR (v tomto
případě zejména právo vznést námitku).
Rozhodnutí italského dozorového úřadu Garante by mělo zajímat všechny zaměstnavatele v rámci
Evropské unie, kteří jakýmkoliv způsobem monitorují své zaměstnance a jejich pracovní výkon.
Obzvláště tehdy, pokud je toto zpracování zčásti nebo zcela založené na automatizovaném
zpracování či profilování. Byť mohou mít zaměstnavatelé na takové zpracování právo, je třeba
nezapomenout i na související povinnosti, jejichž dodržování Nařízení GDPR předpokládá.
Nová právní úprava ochrany oznamovatelů – jak lze podat oznámení?
Existují tři varianty, jak může whistleblower podat své oznámení:
A. Vnitřní oznamovací systém (VOS) – jde o novou povinnost, kterou zákon ukládá
povinným subjektům. Jak již sám název napovídá, jde o in-house řešení možného
oznámení. Povinný subjekt, respektive jím pověřená osoba, nastaví proces, díky kterému
budou moci oznamovatelé bezpečně, a především anonymně ohlašovat svá podezření.
VOS by měl zaručovat jak možnost emailové či telefonní komunikace, tak klasické
pošty nebo osobního rozhovoru. Pro povinný subjekt je pak velmi důležité, aby jím
nastavený VOS byl oznamovatelem shledán jako důvěryhodný a bezpečný kanál, přes
který může své oznámení podat. Určitě je totiž lepší, pokud si povinný subjekt možný
protiprávní stav opraví sám, než kdyby se jimi měly zabývat orgány veřejné moci, jako
tomu může být v následujících dvou variantách, pokud by se Oznamovatel namísto VOS
rozhodl využít právě zbylé dvě možnosti. Za určitých okolností lze jeden vnitřní
oznamovací systém sdílet více povinnými subjekty.
B. Ministerstvo spravedlnosti – pověření zaměstnanci ministerstva spravedlnosti budou
vyřizovat oznámení velmi podobným způsobem, jako je tomu v případě VOS. Hlavním
rozdílem v tomto případě je, že pokud se dojde k závěru, že je dané oznámení relevantní,
předá ministerstvo celou věc příslušným orgánům veřejné moci, které se celou věcí
začnou zabývat. Možné vyústění je tak při shledání protiprávního jednání pro povinný
subjekt mnohem horší, než kdyby oznámení proběhlo přes VOS.
C. Uveřejnění – Za určitých okolností může oznamovatel zvolit možnost volného
uveřejnění jím zjištěných podezření.
Hlavní roli z uvedených možností by měl hrát chystaný vnitřní oznamovací systém. Jeho vedení,
které je pro vybrané subjekty povinné, nicméně může představovat rozsáhlou administrativní
agendu. Tou je například vedení evidence podaných oznámení nebo zajištění anonymity
oznamovatele. Ta je z pohledu VOS nejdůležitější. Mimo příslušnou osobu se v rámci vyřizování
oznámení nesmí nikdo dozvědět totožnost oznamovatele – tedy ani povinný subjekt. Další
důležitou novinkou je, že nová právní úprava (až na výjimky) prolamuje povinnost mlčenlivosti.