Zaměstnavatelé
Monitorování služebních vozidel při pracovních cestách pomocí GPS v rozsahu a způsobem potřebným pro ochranu a správu majetku je oprávněným zájmem zaměstnavatele, tedy zpracováním osobních údajů dle GDPR.
Umožní-li zaměstnavatel využívat služební vozidlo zaměstnanci i k soukromým účelům, jde o určitý druh benefitu. Úprava vzájemných práv a povinností se bude řídit dohodou o použití vozidla. Zaměstnanec by měl být na použití GPS sledování upozorněn, a to v rozsahu informace podle čl. 13 GDPR. Využije-li zaměstnanec vozidlo i v rámci svých soukromých aktivit, je nadále oprávněným zájmem zaměstnavatele chránit svůj majetek prostřednictvím GPS. Pokud podmínku zaměstnavatele ohledně GPS zaměstnanec neakceptuje, nedojde k uzavření smlouvy o použití vozidla, a nebude tak oprávněn předmětný benefit čerpat.
Je důležité však zdůraznit, že zaměstnavatel je oprávněn dále zpracovávat osobní údaje v rámci účelu, pro který byly shromážděny. Tedy zejména za účelem ochrany a správy majetku, vedení evidence jízd (knihy jízd), kterou je zaměstnavatel povinen vést k prokázání daňové uznatelnosti výdajů na pohonné hmoty, oprávněnosti odpisů auta či pro prokázání bezpečnostních přestávek zaměstnanců. Nikoliv však k intenzivní či stálé kontrole (zaměstnanců), která by byla v rozporu s § 316 odst. 2 a 3 zákoníku práce.
Zpracování osobních údajů zaměstnance vychází z dohody se zaměstnavatelem o poskytnutí benefitu, v rámci které se zaměstnavatel zaváže k poskytnutí benefitu. Pokud zaměstnanec projeví o benefit zájem, dochází k účelnému zpracování osobních údajů v souvislosti s poskytovaným benefitem, tj. i k předání osobních údajů zaměstnance dalšímu příjemci, poskytovateli služby, pokud je jím benefit zajišťován. Právním důvodem pro předmětné zpracování je článek 6 odst. 1 písm. b) GDPR, tedy plnění smlouvy, a to i případě, že k poskytnutí benefitu se zaměstnavatel zavázal v kolektivní smlouvě či právo na benefity stanovil v rámci vnitřního předpisu zaměstnavatele. V závislosti na různých druzích benefitů je nutné podle čl. 13 GDPR poskytnout zaměstnancům adekvátní informaci o nutném předání osobních údajů poskytovateli benefitu a též i o rozsahu, v jakém budou předány.
Dle článku 10 GDPR se zpracování osobních údajů týkajících se rozsudků v trestních věcech a trestných činů může mimo jiné provádět, pokud je oprávněné dle členského státu poskytujícího vhodné záruky, pokud jde o práva a svobody subjektu údajů.
Údaje z evidence Rejstříku trestů slouží dle zákona č. 269/1994 Sb., pro potřebu trestního, občanskoprávního nebo správního řízení a k prokazování bezúhonnosti.
Ve smyslu ustanovení § 316 odst. 4 zákona č. 262/2006 Sb., jestliže je pro to dán věcný důvod spočívající v povaze práce, která má být vykonávána, a je-li tento požadavek přiměřený, nebo v případech, kdy to stanoví tento zákon nebo zvláštní právní předpis, je zaměstnavatel oprávněn vyžadovat od zaměstnance informace o trestněprávní bezúhonnosti.
Vzhledem k výše uvedenému je zaměstnavatel v některých případech při splnění předmětných podmínek oprávněn vyžadovat výpis z rejstříku trestů a po účelem zpracování odůvodněnou dobu jej uchovávat. To samé platí i o poznámkách, které si na základě předloženého výpisu z Rejstříku trestů zaměstnavatel pořídí. Z výše uvedené dikce zákoníku práce současně vyplývá, že potřebnost výpisu ve vztahu k určité pracovní pozici si musí zaměstnavatel řádně (věcně) ujasnit.
Dle ustanovení § 30 odst. 2 zákona č. 262/2006 Sb., smí zaměstnavatel vyžadovat v souvislosti s jednáním před vznikem pracovního poměru od fyzické osoby, která se u něj uchází o práci, nebo od jiných osob jen údaje, které bezprostředně souvisejí s uzavřením pracovní smlouvy. Údaje, které jsou pro zaměstnavatele relevantní, jsou informace vztahující se ke kvalifikaci, pracovní praxi, dovednostem a znalostem dotyčného uchazeče o zaměstnání. Obdobné ustanovení obsahuje i § 12 odst. 2 zákona č. 435/2004 Sb., který stanovuje, že zaměstnavatel nesmí při výběru zaměstnanců vyžadovat informace týkající se národnosti, rasového nebo etnického původu, politických postojů, členství v odborových organizacích, náboženství, filozofického přesvědčení, sexuální orientace, není-li jejich vyžadování v souladu se zvláštním právním předpisem, dále informace, které odporují dobrým mravům, a osobní údaje, které neslouží k plnění povinností zaměstnavatele stanovených zvláštním právním předpisem. Na žádost uchazeče o zaměstnání je zaměstnavatel povinen prokázat potřebnost požadovaného osobního údaje.
Dle ustanovení § 316 zákona č. 262/2006 Sb., zaměstnanci nesmějí bez souhlasu zaměstnavatele užívat pro svou osobní potřebu výrobní a pracovní prostředky zaměstnavatele včetně výpočetní techniky ani jeho telekomunikační zařízení. Dodržování zákazu podle věty první je zaměstnavatel oprávněn přiměřeným způsobem kontrolovat. Za přiměřené lze považovat např. to, když zaměstnavatel sleduje množství a velikost odeslané a přijaté pošty zaměstnancem nebo domény navštívených internetových stránek. V případě zavedení sledovacích nástrojů je však zaměstnavatel povinen o tom zaměstnance přímo informovat.
Vzhledem k tomu, že jsou v uvedeném případě osobní údaje bývalého zaměstnance i po skončení pracovního poměru dále zpracovávány, můžete pro získání informace využít práva subjektu údajů na přístup k osobním údajům podle obecného nařízení o ochraně osobních údajů. Součástí tohoto práva je i právo na poskytnutí kopie zpracovávaných osobních údajů, tedy kopie údajů, které jsou o Vás v evidenci docházky vedeny. Právo na poskytnutí kopie zpracovávaných osobních údajů však nezakládá právo nahlížet do spisů nebo evidencí, tedy např. do evidence docházky nebo osobního spisu, které v případě současných zaměstnanců výslovně upravuje zákoník práce.
Předně je důležité si uvědomit, že pokud by zaměstnavatel na pracovní nástěnku umístil například tabulku s uvedením jmen všech zaměstnanců zařazených na danou směnu a ke každému z nich poté doplňoval údaje o jejich pracovních výkonech (kupř. počty vyrobených kusů) v průběhu času, prováděl by zpracování podle GDPR a nacházel by se v postavení správce.
Pro takové zpracování by však bylo jen velmi obtížné jeho provedení v souladu se zásadami zpracování podle čl. 5 GDPR, neboť se nejeví být účelné a ani není zřejmá nezbytnost jeho provedení. V souvislosti s tím lze uvést, že hodnocení pracovních výkonů zaměstnanců je obecně v pravomoci jejich vedoucích osob, a nikoliv pracovního kolektivu. V případě, že by za takovým postupem zaměstnavatele navíc stál skrytý účel v podobě „veřejného pranýřování“ zaměstnanců s nižšími pracovními výsledky, jednalo by se podle názoru Úřadu o nepřípustné zpracování.