Nejčastější dotazy z praxe škol v oblasti GDPR - personální agenda, 2. část

Kvůli jednoznačnému chápání uvedeného právního základu zpracování autorky dodávají, že v čl. 6 odst. 1 písm. b) GDPR jsou vyjádřeny dva případy legálního zpracování osobních údajů:

V průběhu výběrového řízení není uzavřena pracovní smlouva, jejíž smluvní stranou je subjekt údajů, a správce nezpracovává osobní údaje z toho důvodu, že plní vzniklé smluvní závazky. Avšak organizace, průběh a vyhodnocení výběrového řízení (do kterého se uchazeč dobrovolně přihlásil a dobrovolně správci zaslal osobní údaje) je provedení opatření přijatých před uzavřením smlouvy na žádost subjektu údajů.

Z logiky věci plyne, že uvedený právní základ zpracování se vztahuje na zpracování osobních údajů všech uchazečů o zaměstnání v průběhu vlastního výběrového řízení. Pokud však výběrové řízení skončí a s uchazečem není uzavřena pracovní smlouva,

V případě uchazečů o zaměstnání, se kterými nebyla uzavřena pracovní smlouva, je správce povinen životopis a motivační dopis, případně další přílohy, uchazeči vrátit nebo je zničit. Pokud by správce chtěl i po skončení výběrového řízení využívat osobní údaje obsažené v uvedených dokumentech, musí získat souhlas daného uchazeče se zpracováním osobních údajů pro účely vedení evidence možných zaměstnanců. I tento souhlas se zpracováním osobních údajů musí být svobodný, konkrétní, informovaný a jednoznačný (viz čl. 4 odst. 11 GDPR) a podmínky vyjádření souhlasu musejí odpovídat pravidlům stanoveným čl. 7 GDPR.

Pro řešení této otázky je třeba nejprve si uvědomit, proč dotyčná osoba zaslala škole životopis a motivační dopis. Lze předpokládat následující důvody:

Předpokládejme, že daná osoba chce být v budoucnu oslovena při vypsání volné pracovní pozice. Pokud bude správce zpracovávat osobní údaje za tímto , pak není nutné, aby po obdržení e-mailu s připojeným životopisem a motivačním dopisem ještě speciálně získával souhlas se zpracováním osobních údajů. Podle čl. 4 odst. 11 GDPR může subjekt údajů dát souhlas se zpracováním osobních údajů nejen prohlášením, ale i jiným zjevným potvrzením. Uvedeným zjevným potvrzením je i „vyjádření vůle zasláním e-mailu“¹⁾, tj. i e-mailu, kterým určitá osoba kontaktovala potenciálního zaměstnavatele. Jednoduše řečeno, již tímto svým jednáním daná osoba udělila souhlas se zpracováním osobních údajů. Správce zpracovává takto a za tímto účelem sdělené osobní údaje na právním základě zpracování, kterým je udělení souhlasu [čl. 6 odst. 1 písm. a) GDPR].

Nicméně na tomto místě autorky upozorňují, že doba uchování motivačního dopisu a životopisu a na něj navazující případné oslovení s nabídkou volné pracovní pozice musí být přiměřené situaci. Není možné např. oslovit uchazeče po 10 letech poté, co se na správce obrátila daná osoba. Lze předpokládat, že jeho situace se v průběhu dané doby změnila a jeho oslovení ze strany správce již nebude odpovídat účelu zpracování osobních údajů. Dle právního názoru autorek je vhodnou dobou pro zpracování uvedené e-mailové zprávy, přiloženého životopisu a motivačního dopisu doba jednoho roku. Po uplynutí této doby správce e-mail a připojené dokumenty zničí.

Jiná situace nastává, jestliže chce být daná osoba pomocí zaslaného e-mailu s připojeným životopisem a motivačním dopisem u správce zaměstnána nyní, resp. v blízké době, nemá zájem být správcem oslovena v budoucnu a správce ji nezaměstná. Právním důvodem zpracování osobních údajů, ze kterého vychází daná osoba, je provedení opatření přijatých před uzavřením smlouvy na žádost subjektu údajů [čl. 6 odst. 1 písm. b) GDPR]. Protože tento právní základ zpracování reálně nenastal, správce nemůže zpracovávat sdělené osobní údaje. E-mail s připojenými dokumenty obsahujícími osobní údaje musí zničit.

Podle § 312 odst. 1 zákoníku práce je zaměstnavatel oprávněn vést osobní spis zaměstnance. Osobní dotazník je logicky jedním z prvních dokumentů vložených do osobního spisu. Pokud připomeneme další pravidlo stanovené § 312 odst. 1 zákoníku práce, a to pravidlo, podle kterého osobní spis smí obsahovat jen písemnosti, které jsou nezbytné pro výkon práce v základním pracovněprávním vztahu, nepřekvapí, že převažujícím právním titulem zpracování osobních údajů obsažených v osobním dotazníku je zpracování nezbytné pro splnění právní povinnosti, která se na správce vztahuje [čl. 6 odst. 1 písm. c) GDPR], nebo zpracování, které je nutné pro splnění smlouvy, a to pracovní smlouvy [čl. 6 odst. 1 písm. b) GDPR].

Osobní údaje, resp. kategorie osobních údajů, zaměstnance obsažené v osobním dotazníku a právní základ jejich zpracování jsou shrnuty v následující tabulce.

I-----------------------------------I-----------------------I---------------------------------I 
I osobní údaje, resp. kategorie     I osoba                 I právní důvod zpracování         I 
I osobních údajů                    I                       I                                 I 
I-----------------------------------I-----------------------I---------------------------------I 
I jméno a příjmení, titul, datum    I jakýkoli zaměstnanec  I - plnění právní povinnosti,     I 
I narození, místo trvalého pobytu   I                       I   která se na správce vztahuje, I 
I                                   I                       I   a to povinnosti vyplývající   I 
I                                   I                       I   ze zákona č. 262/2006 Sb.,    I 
I                                   I                       I   zákoník práce, v platném      I 
I                                   I                       I   znění                         I 
I                                   I                       I - zpracování je nezbytné pro    I 
I                                   I                       I   splnění smlouvy, a to         I 
I                                   I                       I   pracovní smlouvy              I 
I-----------------------------------I-----------------------I---------------------------------I 
I jméno a příjmení, datum a místo   I jakýkoli zaměstnanec  I - plnění právní povinnosti,     I 
I narození, rodné číslo, místo      I                       I   která se na správce vztahuje, I 
I trvalého pobytu, datum vzniku a   I                       I   a to povinnosti vyplývající   I 
I skončení pracovního poměru,       I                       I   ze zákona č. 582/1991 Sb., o  I 
I pohlaví, státní občanství,        I                       I   organizaci a provádění        I 
I vyměřovací základ pojištěnce,     I                       I   důchodového pojištění, v      I 
I doba pracovní neschopnosti, doba  I                       I   platném znění                 I 
I pracovního volna bez náhrady      I                       I                                 I 
I mzdy, doba vojenské služby, údaje I                       I                                 I 
I o starobním důchodu, příp. údaje  I                       I                                 I 
I o pojištění v cizině              I                       I                                 I 
I-----------------------------------I-----------------------I---------------------------------I 
I zdravotní pojišťovna              I jakýkoli zaměstnanec  I - plnění právní povinnosti,     I 
I                                   I                       I   která se na správce vztahuje, I 
I                                   I                       I   a to povinnosti vyplývající   I 
I                                   I                       I   ze zákona č. 48/1997 Sb., o   I 
I                                   I                       I   veřejném zdravotním           I 
I                                   I                       I   pojištění, v platném znění    I 
I-----------------------------------I-----------------------I---------------------------------I 
I jméno a příjmení manžela/manželky I jakýkoli zaměstnanec  I - plnění právní povinnosti,     I 
I a jeho/jejího zaměstnavatele,     I                       I   která se na správce vztahuje, I 
I jméno, příjmení a rodné číslo     I                       I   a to povinnosti vyplývající   I 
I dětí, pokud zaměstnanec uplatňuje I                       I   ze zákona č. 586/1992 Sb., o  I 
I daňové zvýhodnění, druh           I                       I   daních z příjmů, v platném    I 
I pobíraného důchodu                I                       I   znění                         I 
I-----------------------------------I-----------------------I---------------------------------I 
I zdravotní postižení               I jakýkoli zaměstnanec  I - plnění právní povinnosti,     I 
I                                   I                       I   která se na správce vztahuje, I 
I                                   I                       I   a to povinnosti vyplývající   I 
I                                   I                       I   ze zákona č. 435/2004 Sb., o  I 
I                                   I                       I   zaměstnanosti, v platném      I 
I                                   I                       I   znění                         I 
I-----------------------------------I-----------------------I---------------------------------I 
I údaje nutné k výpočtu a výplatě   I jakýkoli zaměstnanec  I - zpracování je nezbytné pro    I 
I mzdy/platu                        I                       I   splnění pracovní smlouvy      I 
I                                   I                       I - plnění právní povinnosti,     I 
I                                   I                       I   která se na správce vztahuje, I 
I                                   I                       I   a to povinnosti vyplývající   I 
I                                   I                       I   ze zákona č. 262/2006 Sb., v  I 
I                                   I                       I   platném znění, a z nařízení   I 
I                                   I                       I   vlády č. 341/2017 Sb., o      I 
I                                   I                       I   platových poměrech            I 
I                                   I                       I   zaměstnanců ve veřejných      I 
I                                   I                       I   službách a správě             I 
I-----------------------------------I-----------------------I---------------------------------I 
I údaj o vzdělání                   I pedagogický pracovník I - plnění právní povinnosti,     I 
I                                   I                       I   která se na správce vztahuje, I 
I                                   I                       I   a to povinnosti vyplývající   I 
I                                   I                       I   ze zákona č. 563/2004 Sb., o  I 
I                                   I                       I   pedagogických pracovnících a  I 
I                                   I                       I   o změně některých zákonů, v   I 
I                                   I                       I   platném znění                 I 
I-----------------------------------I-----------------------I---------------------------------I 

Typickými údaji, které by neměl zaměstnavatel zjišťovat pomocí osobního dotazníku, jsou

Údaj o národnosti je z hlediska GDPR pro zaměstnavatele (správce) nadbytečný, a z hlediska zákoníku práce dokonce diskriminační. Proto nelze údaj o národnosti zpracovávat (shromažďovat, uchovávat) ani se souhlasem zaměstnance. Důvod pro takový postup správce vyplývá z rozdílu mezi národností a státním občanstvím:

Zpracování osobních údajů spojených se sexuální orientací zaměstnance, jeho politickým smýšlením či s plánovaným otěhotněním zaměstnankyně v blízké budoucnosti lze označit jako naprosté „tabu“. V žádném případě je nelze pomocí osobního dotazníku zjišťovat.

Žádný právní předpis nestanoví povinnost zaměstnavatele evidovat číslo občanského průkazu zaměstnance. Zaměstnavatel by si měl být zejména vědom toho, pro jaký účel chce zpracovávat číslo občanského průkazu a zda je tento účel při vedení personální agendy důvodný. Proto může zaměstnavatel (správce) zpracovávat tento osobní údaj pouze tehdy, pokud k tomu zaměstnanec udělí , případně pokud je uvedené pole v osobním dotazníku označeno jako nepovinné.

Dle názoru autorek lze ve většině případů zpracovávat soukromé telefonní číslo nebo soukromou e-mailovou adresu zaměstnance na základě souhlasu zaměstnance. Pouze ve výjimečných případech lze tyto osobní údaje zpracovávat pro účely pracovní komunikace za mimořádných situací na základě oprávněného zájmu správce (tj. bez udělení souhlasu zaměstnance).

Podle § 143 odst. 1 zákoníku práce na základě dohody se zaměstnancem je zaměstnavatel povinen při výplatě mzdy nebo platu, popřípadě jiných peněžitých plnění ve prospěch zaměstnance, po provedení případných srážek ze mzdy nebo z platu podle tohoto zákona nebo zvláštního právního předpisu, zaplatit částku určenou zaměstnancem na svůj náklad a nebezpečí na jeden platební účet určený zaměstnancem, a to nejpozději v pravidelném termínu výplaty mzdy nebo platu, pokud se zaměstnancem písemně nesjedná pozdější termín.

Jestliže zaměstnavatel zpracovává osobní údaj - číslo účtu zaměstnance - pro účely zasílání platu, zpracovává tento osobní údaj, protože je to nutné pro splnění smlouvy [čl. 6 odst. 1 písm. b) GDPR].

Při kopírování jakýchkoli dokumentů, které mají být následně vloženy do osobního spisu zaměstnance, je nutné dodržovat určitou obezřetnost.

Autorky jsou toho názoru, že v případě dokladu o vzdělání a výpisu z evidence Rejstříku trestů mají kopie dokumentů v osobním spisu zaměstnance své místo. Důvodem je skutečnost, že umožňují rychlou kontrolu splnění předpokladu odborné kvalifikace a předpokladu bezúhonnosti pedagogického pracovníka (dle zákona č. 563/2004 Sb., o pedagogických pracovnících a o změně některých zákonů, v platném znění) a splnění předpokladu požadovaného vzdělání při zařazení zaměstnance do platové třídy (dle nařízení vlády č. 341/2017 Sb., o platových poměrech zaměstnanců ve veřejných službách a správě).

V případě ostatních dokladů obsahujících osobní údaje bylo kopírování a uchovávání kopií bez zdůvodnění a jednoznačného souhlasu subjektů údaje v rozporu již se zákonem č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, a tím spíše je v rozporu s GDPR. Je však bohužel běžnou praxí, že mzdová účetní požaduje po zaměstnancích kopii rodného listu dítěte, pokud zaměstnanec hodlá na dítě uplatňovat slevu na dani. Tento požadavek je protiprávní, jelikož pro něj neexistuje zákonný podklad²⁾.

Pro ujasnění vhodného postupu autorky doplňují, že při uplatňování slevy na dani na vyživované dítě postačuje, pokud zaměstnanec vyplní tzv. růžové prohlášení zaměstnance. V tomto dokumentu prohlašuje správnost uvedených údajů, tzn. odpovědnost za správnost údajů nese zaměstnanec. Zaměstnanci, kteří nevyplňují tzv. růžové prohlášení, nemohou uplatňovat slevu na dani na vyživované dítě.

Pořizování kopie občanského průkazu bez souhlasu subjektu údajů odporuje nejen GDPR, ale především § 15a odst. 2 zákona č. 328/1999 Sb., o občanských průkazech, v platném znění: Je zakázáno pořizovat jakýmikoliv prostředky kopie občanského průkazu bez prokazatelného souhlasu občana, kterému byl občanský průkaz vydán, pokud zvláštní zákon nebo mezinárodní smlouva, kterou je Česká republika vázána, nestanoví jinak.

Doba uložení dokumentu u zaměstnavatele (správce) je standardně upravena ve spisovém a skartačním řádu. Zákonná úprava se vztahuje na povinnost zaměstnavatele uchovávat mzdové listy a evidenční listy. Pro přehlednost uvádíme text zákona.

Tato problematika je částečně upravena zákonem č. 262/2006 Sb., zákoník práce, v platném znění, a částečně GDPR.

Jednoznačně lze konstatovat, že zaměstnavatel má povinnost vydat zaměstnanci písemnou „výplatní pásku“. V terminologii zákoníku práce je uvedená povinnost vyjádřena v § 142 odst. 5 zákoníku práce takto: Při měsíčním vyúčtování mzdy nebo platu je zaměstnavatel povinen vydat zaměstnanci písemný doklad obsahující údaje o jednotlivých složkách mzdy nebo platu a o provedených srážkách.

Z úhlu pohledu písemné formy výplatní pásky nepředstavuje zaslání výplatní pásky e-mailem komplikaci. Z dikce § 562 odst. 1 občanského zákoníku vyplývá, že písemná forma je splněna i v případě, že je výplatní páska zaslána e-mailem.

Je však nutné ujasnit, zda k vlastnímu zaslání výplatní pásky e-mailem je nutné získat souhlas zaměstnance, případně reagovat na jeho žádost. Podle názoru autorek je nutné vycházet z § 335 odst. 1 zákoníku práce: Prostřednictvím sítě nebo služby elektronických komunikací může zaměstnavatel písemnost doručit výlučně tehdy, jestliže zaměstnanec s tímto způsobem doručování vyslovil písemný souhlas a poskytl zaměstnavateli elektronickou adresu pro doručování. Proto mají autorky za to, že zaměstnanci lze zasílat výplatní pásku e-mailem pouze tehdy, když s tímto způsobem doručení výplatní pásky zaměstnanec vysloví souhlas.

Z hlediska GDPR je nutné dále připomenout, že správce je povinen přijmout taková bezpečnostní a organizační opatření, která zajistí, aby se výplatní páska nedostala k neoprávněným osobám, typicky ostatním zaměstnancům. Proto lze za standardní postup považovat zaslání souboru, který je „zaheslován“ jedinečným heslem pro každého zaměstnance.

Obecné nařízení o ochraně osobních údajů se významně dotkne též personální agendy, ke které v současnosti existuje mnohem více rozhodnutí Úřadu pro ochranu osobních údajů než k agendě poskytování vzdělávání. Školy jakožto zaměstnavatelé by měly prověřit, zda údaje, které evidují o svých zaměstnancích, jsou přesné a zda nejsou evidovány nadbytečné, či dokonce diskriminační údaje. Důraz by měly klást na výmaz osobních údajů (ovšem v kontextu zákona o archivnictví a neprovedení výmazu v případě archiválií).