Source: https://tablet.epravo.cz/epm-4-17/strana-42
Timestamp: 2019-04-22 04:38:14+00:00

Document:
Strana 42 | EPM 4/17 | EPRAVO.CZ Reader
Nařízení GDPR a zaměstnavatelé Do účinnosti nového nařízení Evropské unie upravujícího oblast ochrany osobních údajů[1] dne 25. května 2018 ještě stále zbývá několik měsíců. Správci a zpracovatelé tak stále mají prostor přizpůsobovat své postupy a prostředky zpracování osobních údajů nové právní úpravě. Záměrem tohoto článku je proto shrnout základní změny, které nařízení GDPR do oblasti zpracování osobních údajů přináší, a to s akcentem na vybrané aspekty specificky se týkající zaměstnavatelů, když tito z povahy věci tvoří významnou skupinu subjektů zpracovávajících osobní údaje.
vodem nutno předeslat, že základní principy, kterými se zpracování osobních údajů bude řídit, zůstávají víceméně stejné. Správci a zpracovatelé, včetně zaměstnavatelů, by tedy nadále měli dbát toho, aby úkony a operace, které s osobními údaji provádějí, byly (i) zákonné, korektní a transparentní, (ii) omezené na konkrétní výslovně vyjádřené a legitimní účely, s nezbytně minimálním rozsahem zpracovávaných osobních údajů, a zejména (iii) k těmto účelům přiměřené a zajišťující náležité zabezpečení osobních údajů. V případě jakékoliv nejasnosti pak zásady zpracování osobních údajů představují vodítko a výkladový korektiv.
Souhlas se zpracováním osobních údajů Podstata institutu souhlasu subjektu údajů se zpracováním osobních údajů se nemění, nicméně právní úprava souhlasu a jeho získání (viz zejména čl. 4 odst. 11, čl. 7 a čl. 8 nařízení GDPR) byla zpřesněna a doplněna. Nařízení GDPR v této oblasti přináší vysoké nároky s tím, že důraz se klade na to, aby souhlas subjektu údajů se zpracováním osobních údajů, ať už se jedná o zaměstnance nebo klienta, byl: • svobodný a aktivní; • souhlas nesmí být předpokládán např. před-zaškrtnutým políčkem v elektronickém dokumentu – subjekt údajů musí souhlas udělit aktivně sám; • plnění smlouvy nesmí být podmíněno udělením souhlasu v případě, že by dané zpracování nebylo pro plnění smlouvy nutné (tzv. zákaz „take it or leave it“) – zaměstnavatel by tedy neměl nutit zaměstnance k udělení souhlasu pro nestandardní a nikoli nezbytné zpracování osobních údajů, např. ke zveřejnění jeho fotografií na různých sociálních sítích v rámci prezentace zaměstnanců, zaměstnavatele či jeho aktivit; • jednoznačný a konkrétní; • souhlas musí být velmi jasně a konkrétně vyjádřen; • britský Information Commissioner's Office, který je obdobou českého Úřadu pro ochranu osobních údajů, dokonce dopo40 I EPRAVO.CZ Magazine I 4/2017 I www.epravo.cz
ručuje, aby souhlas byl získán samostatně pro jednotlivé účely či jednotlivé úkony zpracování – dle názoru autorek se může jednat o jeden dokument, ve kterém bude vyjádřen souhlas jednotlivě pro určité účely či úkony zpracování např. samostatnými políčky; • ve své formulaci srozumitelný a subjektům údajů jazykově přístupný; • vyžaduje se použití jasných a jednoduchých jazykových prostředků, což může působit potíže při současném uplatňování dalších požadavků nařízení (jednoznačnost souhlasu, informační povinnost vůči subjektům údajů); • zřetelně oddělen v případě, že je součástí jiného dokumentu; • pokud souhlas není udělován na samostatném dokumentu, měl by být dostatečně graficky oddělen od zbytku textu (např. od pracovní smlouvy); • snadno odvolatelný; • subjekt údajů může svůj souhlas kdykoliv odvolat, aniž by tím byla dotčena zákonnost zpracování provedeného před odvoláním souhlasu, o čemž musí být subjekt údajů poučen; • odvolání souhlasu by mělo být stejně snadné, jako jeho udělení – je-li souhlas získáván např. písemným formulářem, lze doporučit vytvoření písemného formuláře na odvolání souhlasu, který bude snadno dostupný. Je vcelku běžné, že zaměstnavatelé automaticky žádají o souhlasy svých zaměstnanců se zpracováním osobních údajů. Autorky článku proto doplňují, že se nedoporučuje získávat souhlas od subjektu údajů v případech, kdy správci nebo zpracovateli svědčí jiný právní titul pro zpracování osobních údajů, než je souhlas (viz ust. § 5 odst. 2 zákona o ochraně osobních údajů, resp. čl. 6 či čl. 9 nařízení GDPR). Nejenom že se tím správce či zpracovatel vyhne komplikacím se získáváním souhlasu, ale zároveň se nejedná o postup matoucí subjekty údajů, které by se mohly domnívat, že po odvolání uděleného souhlasu již příslušný správce či zpracovatel nebude jejich osobní údaje zpracovávat. Zaměstnavatelé nepotřebují a nadále nebudou potřebovat souhlas například se zpracováním osobních údajů, které provádějí za účelem plnění svých zákonných

References: čl. 4
 čl. 7
 čl. 8
 § 5
 čl. 6
 čl. 9