Společnost, která zaměstnává i cizí státní příslušníky

Kontrola byla zaměřena na zpracování osobních údajů nejen zaměstnanců, ale i uchazečů o zaměstnání ve společnosti, která zaměstnává 3 500 pracovníků, mezi kterými je 2 800 občanů České republiky, 120 agenturních zaměstnanců a asi 30 osob, které sice působí v závodě společnosti, ale jsou zaměstnanci mateřských firem.

O práci ve společnosti lze požádat jednak prostřednictvím internetu, kde na webových stránkách společnosti v sekci Volná místa je možné vyplnit příslušný dotazník či lze zaslat životopis elektronickou poštou na e-mailovou adresu společnosti, případně je též možné se písemně nebo telefonicky obrátit na náborové centrum společnosti. Výběrové řízení je obsahově diferencováno pro uchazeče o místa ve výrobě a pro uchazeče o pozice specialistů a inženýrů. Při získávání nových pracovníků společnost používá tři typy souborů písemností. Dva z nich odpovídají výše zmíněným kategoriím uchazečů o práci, třetí soubor písemností je společný pro obě skupiny uchazečů. Tyto dokumenty společnost používá ve vztahu ke kandidátům před nástupem do zaměstnání a v době nástupu do zaměstnání. Pokud je uchazeč přijat, dokumenty určené pro výběrové řízení společnost dále uchovává, jestliže však uchazeč přijat není, jsou tyto dokumenty skartovány, neboť se dále nepoužívají. V případě, že uchazeč požádá o vydání dokumentů opatřených v průběhu výběrového řízení, je mu vyhověno. Uchazeči o práci, kteří společnost kontaktují prostřednictvím jejích webových stránek, poskytují souhlas s tím, aby společnost zpracovávala jimi poskytnuté osobní údaje pro účely výběrového řízení a personální potřeby, a to až do odvolání. Některé nové zaměstnance společnost získává prostřednictvím personálních agentur. Těm sdělí příslušné požadavky a nezbytnou inzerci poté zajišťují zmíněné agentury, které také provádějí prvotní výběr z řad uchazečů a doporučují společnosti vhodné kandidáty. Navržené osoby jsou posléze podrobeny stejnému výběru jako ti uchazeči, jež společnost oslovila vlastní náborovou kampaní. Další personál poskytují společnosti agentury práce. O osobách poskytnutých agenturami práce společnost nevede žádné dokumenty, neboť agenturní pracovníci nejsou zaměstnanci společnosti. Ohledně nich společnost nezakládá žádné spisy, pouze je eviduje ve svém docházkovém systému, aby byla schopna vysílající agentuře prokázat, kolik hodin pracovníci agentury ve společnosti odpracovali, což je dokladem pro fakturaci. Společnost se snaží, aby o těchto osobách neměla žádné údaje, které mít nemusí.

Kontrolující se zaměřili zejména na rozsah zpracovávaných údajů v osobních spisech zaměstnanců, na právní titul opravňující společnost ke zpracování osobních údajů, dobu uchování a naplnění informační povinnosti společnosti jako správce.

Kontrolou bylo zjištěno, že v osobních spisech některých zaměstnanců je písemně zpracováván údaj o tom, zda jsou vojáky, přičemž se jedná o údaj, jenž není nezbytný pro výkon práce v pracovněprávním vztahu a toto zpracování je v rozporu s ustanovením věty druhé § 312 odst. 1 zákona č. 262/2006 Sb., zákoník práce, ve znění pozdějších předpisů (dále jen „zákoník práce“) a jedná se o zpracování osobního údaje v rozsahu větším než nezbytném pro naplnění stanoveného účelu. Stejně tak při zpracování osobních údajů manželky v rozsahu jméno, příjmení i rodné, rodné číslo v osobním spisu zaměstnance (přičemž se nejedná o vyživovanou osobu dle zvláštního právního předpisu) jde o zpracování osobních údajů ve větším rozsahu než nezbytném pro naplnění stanoveného účelu. Uvedené zpracování osobních údajů bylo v rozporu s § 5 odst. 1 písm. d) zákona o ochraně osobních údajů, podle kterého je společnost jako správce povinna shromažďovat osobní údaje v rozsahu nezbytném pro naplnění stanoveného účelu. Jestliže společnost zpracovává u svých zaměstnanců informace o jejich členství v odborové organizaci, porušuje zákaz stanovený v § 316 odst. 4 písm. e) zákoníku práce. Protože zmíněná informace je podle uvedeného ustanovení nepřípustná, její opatřování nemůže být nezbytné ani ve smyslu zákona a taktéž odporuje § 5 odst. 1 písm. d) zákona o ochraně osobních údajů.

Zpracování jména a příjmení kontaktní osoby včetně čísla jejího telefonu v osobním spisu zaměstnance, jehož pracovní poměr ke společnosti skončil, je uchováváním osobních údajů nejen po dobu, která je nezbytná k účelu jejich zpracování, a tudíž neodpovídá ustanovení § 5 odst. 1 písm. e) zákona o ochraně osobních údajů.

Ustanovení § 5 odst. 2 zákona společnost porušila, když v osobních spisech zaměstnanců v průběhu jejich zaměstnávání ve společnosti drží listiny s přijímacími testy a jejich vyhodnocením pořízenými při přijímání do pracovního poměru ve společnosti za situace, kdy tito zaměstnanci souhlasili se zpracováním těchto osobních údajů pouze pro účely výběrových řízení.

Když společnost ve spisech zaměstnanců evidovala údaj o jejich národnosti, přičemž k dispozici není jejich souhlasné stanovisko s tímto opatřením ani není naplněna žádná z dalších zákonných podmínek, jedná se o zpracování citlivých údajů, aniž by subjekty údajů daly ke zpracování výslovný souhlas, a tedy o nerespektování příkazu stanoveného v § 9 zákona o ochraně osobních údajů. Stejně tak dochází k porušení uvedeného ustanovení zákona, když společnost zpracovává osobní údaj týkající se členství v odborové organizaci, aniž by disponovala výslovným souhlasem s tímto zpracováním.

Vzhledem k tomu, že společnost jako správce nepoučuje uchazeče o zaměstnání ani zaměstnance o tom, zda je poskytnutí požadovaných osobních údajů povinné či dobrovolné a dále poučení o skutečnosti, kdy je subjekt údajů povinen podle zvláštního zákona osobní údaje pro zpracování poskytnout, jakož i o následcích odmítnutí poskytnutí osobních údajů správci údajů, neplní tak povinnost dle hlavy II zákona o ochraně osobních údajů a porušuje ustanovení § 11 odst. 2 zákona o ochraně osobních údajů.

Společnost (správce) při zpracování osobních údajů uchazečů o zaměstnání ve společnosti a zaměstnanců společnosti postupovala v rozporu se zákonem o ochraně osobních údajů, protože jako správce shromažďovala osobní údaje v rozsahu větším než nezbytném pro naplnění stanoveného účelu, neuchovávala osobní údaje pouze po dobu, která je nezbytná k účelu jejich zpracování, dále zpracovávala osobní údaje bez souhlasu subjektů údajů, aniž by byla splněna kterákoliv z podmínek umožňujících zpracovávání osobních údajů bez souhlasu těchto subjektů, dále zpracovávala citlivé údaje bez splnění kterékoliv z podmínek, jež toto zpracování umožňují, a dále nepoučila subjekt údajů o tom, zda je poskytnutí osobního údaje povinné, či dobrovolné, a o následcích odmítnutí poskytnutí osobních údajů. Za prokázané porušení zákona o ochraně osobních údajů byla společnosti uložena pokuta.