21 6 ods. 2 písm. a) zákona o ochrane osobných údajov, ktorý upravuje podmienky vymedzenia účelu spracúvania osobných údajov.

Transkript

1 TRETIA KAPITOLA 35 SPRACOVANIE OSOBNÝCH ÚDAJOV V PRACOVNOPRÁVNYCH VZŤAHOCH Oprávnenie a podmienky spracúvania osobných údajov v pracovnoprávnych vzťahoch upravujú osobitné zákony, primárne ZP, ktorý prostredníctvom úpravy pracovnoprávnych vzťahov stanovuje podmienky spracúvania osobných údajov. V rámci aplikačnej praxe sa možno stretnúť s viacerými účelmi spracovania osobných údajov v pracovnoprávnych vzťahoch, pričom v zásade možno rozlišovať dva právne základy vymedzenia takéhoto účelu: na základe ZP alebo iného osobitného zákona; na základe individuálneho vymedzenia zo strany zamestnávateľa. Zamestnávateľ je na účely práv a povinností, ktoré mu vyplývajú zo ZP a iných osobitných zákonov, oprávnený spracúvať osobné údaje o zamestnancoch v rozsahu a spôsobom podľa týchto osobitných zákonov. Právna úprava pracovnoprávnych vzťahov v právnom prostredí Slovenskej republiky zohľadňuje povinnosti a práva zamestnávateľa, ako aj zamestnancov pri spracúvaní osobných údajov. Pre potreby pracovnoprávnych vzťahov vrátane uplatňovania súvisiacich práv a povinností (napr. sociálne poistenie, zdravotné poistenie, výpočet cestovných náhrad, výpočet mzdy, zodpovednosť zamestnávateľa za poškodenie zdravia zamestnanca v podobe pracovného úrazu alebo choroby z povolania a pod.) je spracúvanie osobných údajov upravené buď v ZP, alebo iných osobitných zákonoch (napr. zákon o bezpečnosti a ochrane zdravia pri práci, zákon o ochrane verejného zdravia). Zamestnávateľ môže vymedziť aj iný účel spracúvania osobných údajov (ktorý nie je upravený v osobitných zákonoch), ktorý musí byť jasný, vymedzený jednoznačne a konkrétne, a musí byť v súlade so všeobecne záväznými právnymi predpismi 21. Základným vymedzením takéhoto úče ods. 2 písm. a) zákona o ochrane osobných údajov, ktorý upravuje podmienky vymedzenia účelu spracúvania osobných údajov.

2 36 Ochrana osobných údajov v pracovnoprávnych vzťahoch lu rozhodnutím zamestnávateľa je pritom dosiahnutie predpokladaného výsledku, ktorý sleduje takýmto osobitným určením účelu v rámci rozsahu právnej regulácie konkrétnych právnych vzťahov (t. j. za rozporný účel so všeobecne záväznými právnymi predpismi možno pokladať taký, ktorý úplne míňa podstatu regulovaných spoločenských a právnych vzťahov napr. vymedzenie účelu spracovania mimo rámca pracovnoprávnych vzťahov na základe osobitných pracovnoprávnych vzťahov). Právnym základom pre spracúvanie osobných údajov je spravidla súhlas samotnej dotknutej osoby, teda zamestnanca. 3.1 Spracovanie osobných údajov bez súhlasu zamestnanca Bez súhlasu zamestnanca je zamestnávateľ oprávnený spracúvať osobné údaje za podmienok a v rozsahu upravených v osobitných zákonoch, generálne Zákonníka práce v zmysle čl. 11 ZP vo väzbe na 13 ods. 4 ZP. Súčasne platí, že pri spracúvaní osobných údajov podľa osobitného zákona musia byť vždy dodržané zásady spracúvania osobných údajov upravené v 6 ods. 2 zákona o ochrane osobných údajov. Zamestnávateľ pri spracovaní osobných údajov bez súhlasu zamestnanca musí dodržať pod hrozbou sankcie oba právne režimy súčasne, t. j. podľa osobitných zákonov (napr. Zákonníka práce) i podľa zákona o ochrane osobných údajov. Na ilustráciu možno uviesť, že ZP v tomto ohľade vymedzuje najmä charakter údajov (súvisiace s kvalifikáciou a profesionálnymi skúsenosťami zamestnanca, resp. údaje významné z hľadiska práce, ktorú zamestnanec má vykonávať, vykonáva alebo vykonával), účel ich spracovania (vážny dôvod), prostriedky spracovania týchto údajov (monitorovacie zariadenia) i vlastnú procesnú stránku zavedenia kontrolného mechanizmu (prerokovanie so zástupcami zamestnancov). Zákon o ochrane osobných údajov následne sekundárne upravuje ďalšie procesnoprávne otázky spracovania osobných údajov. Zamestnávateľ pri spracúvaní osobných údajov podľa osobitných zákonov musí dbať, aby spracúval len také osobné údaje, ktoré sú nevyhnutné na dosiahnutie účelu spracúvania. Nie je teda prípustné, aby zoznam alebo rozsah osobných údajov spracúvaných na účel vymedzený osobitným zákonom (napr. ZP, zákonom

3 3. SPRACOVANIE OSOBNÝCH ÚDAJOV V PRACOVNOPRÁVNYCH VZŤAHOCH o ochrane verejného zdravia, zákonom o bezpečnosti a ochrany zdravia pri práci) bol tzv. rozs i reny o súhlas na základe rozhodnutia zamestnávateľa. Právna úprava teda upravuje účel spracúvania osobných údajov vo vzťahu najmä k ich rozsahu. Príklad č. 3: Zamestnávateľ je podľa 15 ods. 6 zákona o ochrane osobných údajov oprávnený bez súhlasu dotknutej osoby spracúvať osobné údaje na účel uzatvorenia pracovnoprávneho vzťahu alebo obdobného vzťahu ich získavaním, kopírovaním, skenovaním alebo iným zaznamenávaním úradných dokladov na nosič informácií. Uvedené oprávňuje zamestnávateľa vyhotoviť kópie takých dokladov, ktoré je povinný mať k dispozícii napr. pre prípadnú kontrolu oprávneného štátneho orgánu. Najčastejšie je takým dokladom rodný list dieťaťa na účel preukazovania oprávnenia zamestnanca uplatniť daňový bonus. Práve vyhotovovanie kópií úradných dokladov na predmetný účel kladie na zamestnávateľa zvýšené nároky na posudzovanie nevyhnutnosti spracúvania takého dokladu, t. j. či preukázanie relevantnej skutočnosti nie je možné dosiahnuť aj iným prostriedkom, ktorý v menšej miere zasahuje do súkromia zamestnanca, resp. obsahuje aj ďalšie relevantné údaje o dieťati, ktoré zamestnávateľ na tento účel nepotrebuje, no napriek tomu ich spracúva. Zároveň je potrebné poukázať na skutočnosť, že zamestnávateľ nie je oprávnený spracúvať kópie úradných dokladov na účel uzatvorenia pracovnoprávneho vzťahu na základe súhlasu dotknutej osoby (zamestnanca). Príklad č. 4: Zamestnávateľ sa rozhodne zverejniť informácie o svojich zamestnancoch na svojej internetovej stránke s cieľom zjednodušiť a zabezpečiť efektívnu komunikáciu s klientom. Relevantným právnym základom na zverejnenie osobných údajov zamestnanca bude ustanovenie 12 ods. 3 zákona o ochrane osobných

4 50 Ochrana osobných údajov v pracovnoprávnych vzťahoch Príklad č. 10: Zamestnávateľ má vo svojich podmienkach zavedený systém evidencie príchodu a odchodu zamestnancov do/zo zamestnania. Využíva štandardný systém evidencie dochádzky napr. pomocou identifikácie PIN kódom, bezkontaktnou RFID kartou alebo QR kódom. ZP na tento účel neupravuje konkrétny druh osobných údajov, ktoré má zamestnávateľ spracúvať, aby bol schopný zaznamenať začiatok a koniec časového úseku (pracovného času, prestávky v práci a pod.). V zásade platí, že na účel evidencie dochádzky môže zamestnávateľ využiť tie osobné údaje zamestnanca, ktorými disponuje na základe osobitných zákonov a existujúceho pracovnoprávneho vzťahu, a zároveň v rozsahu, ktorý je pre vedenie dochádzky nevyhnutný. Požiadavkou zamestnávateľa na zvýšenie miery istoty pri evidencii dochádzky je vyhotovovanie fotografie zamestnanca vždy pri príchode do zamestnania alebo pri odchode zo zamestnania, po zadaní PIN alebo priložení RFID karty alebo QR kódu. Automaticky príde k spojeniu fotografie s ostatnými osobnými údajmi, ktoré prevádzkovateľ spracúva na evidenciu dochádzky. Keďže však fotografia nepatrí k osobným údajom, ktoré môže zamestnávateľ spracúvať na účely pracovnoprávneho vzťahu na základe ZP, je povinný získať súhlas dotknutých osôb (zamestnancov). Zamestnávateľ je povinný zabezpečiť zamestnancovi evidenciu dochádzky aj v prípade, že zamestnanec odmietne udeliť súhlas na spracúvanie jeho fotografie na tento účel, a nesmie podmieňovať napr. uzatvorenie pracovnoprávneho vzťahu udelením súhlasu dotknutej osoby. Zároveň v tomto prípade môžeme o fotografii zamestnanca spracúvanej na účel evidencie dochádzky hovoriť ako o súčasti už existujúceho informačného systému osobných údajov, ktorým je spravidla informačný systém personálna a mzdová agenda (ďalej len PAM ). Zamestnávateľ preto nie je povinný vytvoriť nový informačný systém. Ak je evidencia dochádzky súčasťou informačného systému osobných údajov PAM, fotografia môže byť jeho súčasťou.

5 82 Ochrana osobných údajov v pracovnoprávnych vzťahoch Povinnosti zamestnávateľa pri spracúvaní osobných údajov Každý zamestnávateľ je pri spracúvaní osobných údajov povinný postupovať v súlade so zákonom o ochrane osobných údajov a v súlade s osobitnými predpismi upravujúcimi ich spracúvanie. Primárnou povinnosťou zamestnávateľa pri spracúvaní osobných údajov je chrániť spracúvané osobné údaje pred ich poškodením, zničením, stratou, zmenou, neoprávneným prístupom a sprístupnením, poskytnutím, zverejnením, ako aj pred inými neprípustnými spôsobmi spracúvania osobných údajov. K zabezpečeniu ochrany spracúvaných osobných údajov je zamestnávateľ povinný prijať primerané bezpečnostné opatrenia, spočívajúce najmä v technických, organizačných a personálnych opatreniach, ktoré musia zodpovedať podmienkam a spôsobu spracúvania osobných údajov. Prijatie primeraných bezpečnostných opatrení spočíva najmä v prijatí mechanizmov v podmienkach zamestnávateľa, ktoré zaručia, že k osobným údajom budú mať prístup len oprávnené osoby, že osobné údaje budú dostatočne chránené v priebehu všetkých procesov ich spracúvania v elektronickej i v písomnej podobe. 40 Podmienkou na prijatie primeraných bezpečnostných opatrení je vhodný spôsob informovania zamestnancov o bezpečnostných mechanizmoch v rozsahu nevyhnutnom na plnenie ich povinností prijatých v podmienkach zamestnávateľa. Zamestnávateľ, ktorý spracúva osobitnú kategóriu osobných údajov v informačnom systéme prepojenom s verejne prístupnou počítačovou sieťou, je povinný prijaté bezpečnostné opatrenia zdokumentovať v bezpečnostnom projekte 41. Zároveň je prevádzkovateľ povinný zabezpečovať bez zbytočného odkladu aktualizáciu bezpečnostných opatrení tak, aby bezpečnostný projekt zodpovedal prijatým zmenám pri spracúvaní osobných údajov. 40 Podrobnosti a podmienky prijatia primeraných bezpečnostných opatrení upravuje vyhláška úradu č. 164/2013 Z. z. 41 Podmienky dokumentovania prijatých primeraných bezpečnostných opatrení upravuje 19 ods. 2 zákona o ochrane osobných údajov.

6 5. SPRACOVANIE OSOBNÝCH ÚDAJOV V PRACOVNOPRÁVNYCH VZŤAHOCH 89 Poskytnutie, sprístupnenie a zverejnenie osobných údajov o zamestnancoch Na účel uplatnenia práv a povinností vyplývajúcich z pracovnoprávneho vzťahu je možné osobné údaje sprístupniť, poskytnúť alebo zverejniť len ak to priamo upravuje osobitný zákon (podrobnejší výklad o jednotlivých spracovateľských operáciách je uvedený v kapitole 2.2). V 12 ods. 3 zákon o ochrane osobných údajov umožňuje zamestnávateľovi sprístupniť, poskytnúť alebo zverejniť osobné údaje o zamestnancovi v rozsahu titul, meno, priezvisko, pracovné, služobné alebo funkčné zaradenie, odborný útvar, miesto výkonu práce, telefónne číslo, faxové číslo alebo elektronická pošta na pracovisko a identifikačné údaje zamestná vateľa. Podmienkou na sprístupnenie, poskytnutie alebo zverejnenie týchto osobných údajov je potreba v súvislosti s plnením pracovných, služobných alebo funkčných povinností zamestnanca. Zamestnávateľ by mal zvážiť reálnu potrebu sprístupnenia, poskytnutia alebo zverejnenia osobných údajov zamestnanca so zreteľom na možné narušenie vážnosti, dôstojnosti a bezpečnosti zamestnanca. Zamestnávateľ môže poskytnúť osobné údaje o zamestnancovi aj na základe žiadosti zamestnanca (súhlasu zamestnanca), a to napr. na účely potvrdenia o príjme, ktoré zamestnanec dokladuje pri žiadosti o poskytnutie úveru. V prípade telefonického overovania bonity klienta u zamestnávateľa musí zamestnávateľ disponovať súhlasom zamestnanca, komu a v akom rozsahu môže osobné údaje poskytnúť. Monitorovanie komunikačných prostriedkov na pracovisku Pri plnení pracovných povinností využívajú zamestnanci rôzne komunikačné prostriedky 44, ktoré im zamestnávateľ poskytuje spravidla len na plnenie pracovných povinností (niekedy môže zamestnanec využívať tieto prostriedky aj na súkromné účely v rozsahu a spôsobom dohodnutým so zamestnávateľom). Súčasný technický a technologický pokrok umožňuje veľmi jednoduché a efektívne sledovanie činnosti zamestnanca počnúc kontrolou webovej aktivity zamestnanca, monitoringom e mailovej komunikácie, procesov a aplikácií na koncovej stanici, kontrolu zamestnanca prostredníctvom inteligentného snímania obrazovky a klávesnice, 44 Podrobnejšie o podmienkach zavedenia kontrolného mechanizmu v kapitole 1.2.

7 90 Ochrana osobných údajov v pracovnoprávnych vzťahoch zaznamenávanie telefonických hovorov až po využívanie geolokalizačných služieb. Pri všetkých zmienených spôsoboch, využívaných zamestnávateľmi často s cieľom zefektívniť a skvalitniť činnosť spoločnosti, je veľmi náročné vylúčiť spracúvanie osobných údajov. Zamestnávateľ by musel nastaviť také podmienky monitorovania, ktoré by vylúčili možnosť spojiť sledovaný výsledok s konkrétnym zamestnancom. Zamestnávatelia sa často domnievajú, že zavedenie takého monitorovania za stanovenia iného cieľa (napr. monitorovanie produktivity práce podľa definovaných kritérií), než je definovaný v 13 ods. 4 ZP, nespadá do pôsobnosti ZP, príp. sa domnievajú, že spracúvajú osobné údaje o zamestnancoch na pôvodný účel realizácie pracovnoprávnych vzťahov. Zamestnávateľ pri zavedení rôznych foriem monitorovania spravidla spracúva osobné údaje o zamestnancoch (okrem napr. monitorovania dátových tokov bez možnosti identifikácie jednotlivých pracovných staníc). Je teda povinný definovať účel ich spracúvania, pričom je povinný rešpektovať ustanovenia ZP, zákona o ochrane osobných údajov a ďalších všeobecne záväzných právnych predpisov. Pri definovaní jasného, zrozumiteľného a zákonného účelu musí zamestnávateľ zohľadniť primeranosť zásahu do práv a právom chránených záujmov zamestnanca (do jeho súkromia) vo vzťahu k sledovanému cieľu (účelu spracúvania osobných údajov), t. j. je vždy potrebné skúmať, či stanovený cieľ (záujem zamestnávateľa) prevažuje nad právom na súkromie, ochranou práv a právom chránených záujmov zamestnanca. Monitorovanie komunikačných prostriedkov na pracovisku je spravidla vykonávané na základe 13 ods. 4 ZP (zavedenie kontrolného mechanizmu zamestnávateľom) a/alebo na základe 10 ods. 3 písm. g) zákona o ochrane osobných údajov (ochrana práv a právom chránených záujmov prevádzkovateľa/zamestnávateľa). Kontrolný mechanizmus Kontrola na pracovisku by mala byť vykonávaná iba v nevyhnutnom rozsahu, aby neprišlo k zásahu do práv a právom chránených záujmov zamestnanca, mala by byť realizovaná v rámci pracovného času zamestnanca a priamo na pracovisku zamestnávateľa Právny režim zavedenia kontrolného mechanizmu vo vzťahu k participácii zástupcov zamestnancov v zmysle 13 ods. 4 ZP je predmetom výkladu v 3. kapitole.