Source: https://tablet.epravo.cz/epm-4-17/strana-29
Timestamp: 2018-09-19 05:54:32+00:00
Document Index: 26093727

Matched Legal Cases: ['čl. 25', 'čl. 35', 'soud ', 'soud ', 'čl. 35', 'čl. 88', 'čl. 88', '§ 316', 'čl. 29']

Strana 29 | EPM 4/17 | EPRAVO.CZ Reader
GDPR), v souvislosti se zaváděním prostředků záměrné ochrany osobních údajů (čl. 25 odst. 1 GDPR) nebo v případě provádění posouzení vlivu na ochranu osobních údajů (čl. 35 GDPR). V rámci posuzování oprávněnosti monitoringu zaměstnanců by se správci měli zaměřit na posouzení naplnění základních tří kritérií – vhodnosti, potřebnosti a proporcionality.[9] Uvedená kritéria rezonují i v nedávném rozhodnutí Evropského soudu pro lidská práva ve věci Barbulescu v. Rumunsko a stejně tak v aktualizovaném stanovisku pracovní skupiny WP29 ke zpracování osobních údajů v zaměstnání.[10] V uvedeném rozhodnutí, které se dotýkalo monitoringu soukromé komunikace zaměstnance za použití pracovních prostředků zaměstnavatele (jednalo se o messenger Yahoo), vytknul Evropský soud pro lidská práva (ESLP) rozhodujícím soudům, že se dostatečně nezabývaly tím, zda byl monitoring opodstatněný a zda by stejné ochrany zaměstnavatele nebylo možné dosáhnout pomocí méně invazivních metod než sledování veškeré komunikace zaměstnance (včetně jejího obsahu). Zmíněné stanovisko pracovní skupiny WP29 se zaobírá otázkami legitimity některých způsobů zpracování osobních údajů souvisejících se zaměstnáním – sledování profilů zaměstnanců nebo zájemců o zaměstnání na sociálních sítích, monitorování používání informačních a komunikačních technologií zaměstnanci na pracovišti i mimo něj, monitorování a evidence pracovní doby a docházky, kamerovými záznamy zaměstnanců a jejich vozidel, stejně tak jako jejich geolokací (GPS sledováním). Případem oprávněnosti zpracování polohy zaměstnance se zabývaly i český dozorový úřad a následně Městský soud v Praze v souvislosti s GPS monitoringem doručovatelů České pošty, při kterém docházelo ke zpracování informací o trase doručování, její délce a času doručování. Oba rozhodující orgány vyhodnotily tento monitoring jako nepřiměřený.
Povinnosti zaměstnavatele v souvislosti s monitoringem zaměstnanců I v případě, kdy k monitoringu zaměstnanců dochází oprávněně, musí správce splňovat požadavky na něj kladené právními předpisy na ochranu osobních údajů a dodržovat předepsané zásady zpracování osobních údajů (transparentnost, účelové omezení, minimalizace údajů, omezení uložení, integrita a důvěrnost zpracování). Jak akcentuje ESLP i pracovní skupina WP29 ve svých vyjádřeních – zaměstnavatel by zejména měl (a to ještě před samotným zahájením monitorování) zaměstnance dostatečně a jasně informovat o tom, že jejich chování bude monitorováno a v jakém rozsahu se tak bude dít. V některých případech bude muset zaměstnavatel ještě před zahájením monitorování splnit povinnost provést formalizované posouzení vlivu zpracování na ochranu osobních údajů, tzv. data protection impact assessement (dle čl. 35 GDPR). Taková potřeba může vyvstat dle názoru pracovní skupiny WP29 zejména v případech zavádění technologií vzdáleného sledování polohy
pracovních zařízení (mobilních telefonů, laptopů či monitoringu využívání internetu zaměstnanci). Správci odpovídají za splnění svých povinností stanovených jim nařízením GDPR a za jejich nesplnění jim hrozí nemalé sankce (za porušení ustanovení týkajících se práv subjektu údajů lze uložit správní pokuty až do výše 20 milionů eur nebo 4 % celkového celosvětového ročního obratu, podle toho, která hodnota je vyšší). Jak podle stávající právní úpravy, tak i dle Nařízení GDPR, není obecně monitorování zaměstnanců vyloučeno. Ve světle aktuálního vývoje právního rámce je však jeho zavedení možné zavést pouze na základě důkladné analýzy ve vztahu k jeho nezbytnosti, vhodnosti a přiměřenosti a provádět jej za předpokladu důkladného plnění podmínek.
.................................................................................................................... JUDr. Jaroslav Škubal, advokát Mgr. Ing. Petra Věžníková, advokátní koncipientka PRK Partners s.r.o. advokátní kancelář
Poznámky: [1] Zákon č. 251/2005 Sb., o inspekci práce, byl s účinností od 29. července 2017 novelizován zákonem č. 206/2017 Sb. [2] Rozhodnutí Velkého senátu Evropského soudu pro lidská práva ze dne 5. září 2017 v případu Bărbulescu v. Romania (žádost č. 61496/08), dostupné online z: https://hudoc.echr.coe.int/. [3] Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/EU. [4] Srov. čl. 88 GDPR. [5] Srov. čl. 88 odst. 2 GDPR. [6] Kterou bude muset Česká republika notifikovat Evropské komisi. [7] Zákon č. 262/2006 Sb., zákoník práce, ve znění pozdějších předpisů. [8] Srov. § 316 odst. 1 zákoníku práce, který upravuje obecný zákaz zaměstnancům užívat pracovní prostředky svěřené zaměstnavatelem bez jeho souhlasu. Možnosti sledování zaměstnanců k naplňování tohoto zákazu jsou však (přinejmenším v poslední době) korigovány požadavky na zachování soukromí zaměstnanců, např. v dále zmíněném stanovisku WP29 č. 249, které klade důraz i na oprávněné očekávání zaměstnanců při užívání svěřených technologií. [9] Stejná kritéria používají při svém rozhodování soudy a rovněž Úřad pro ochranu osobních údajů. Srov. např. rozhodnutí Městského soudu v Praze ze dne 5. května 2017 (sp. zn. 6A 42/2013-48) ve věci monitorovacího systému zásilek České pošty; rozhodnutí Nejvyššího správního soudu ze dne 8. června 2016 (sp. zn. 3 As 118/2005-37) ve věci e-kolo.cz; [10] Pracovní skupina pro ochranu osobních údajů (angl. The Article 29 Data Protection Working Party; dále jen „pracovní skupina WP29“) ustanovená čl. 29 Směrnice Evropského parlamentu a Rady 95/46/EC ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů funguje v současné době jako nezávislý evropský poradní orgán v oblasti ochrany dat a soukromí. Problematikou zpracování osobních údajů v zaměstnání se zabývá zejména aktualizované stanovisko č. 2/2017 vydané pracovní skupinou WP29 dne 8. června 2017 pod č. WP 249 a názvem „Opinion 2/2017 on data processing at work“; dále jen „Stanovisko WP29“).
www.epravo.cz I EPRAVO.CZ Magazine I 4/2017 I 27