Source: https://www.bozpprofi.cz/33/zdravotni-omezeni-pracovniku-na-firemnim-intranetu-vs-ochrana-osobnich-udaju-uniqueidgOkE4NvrWuNbYgYq82yeiJn548E7rw_WWcEWLDBR_98/
Timestamp: 2017-08-18 07:04:18+00:00
Document Index: 9652919

Matched Legal Cases: ['§ 4', 'zákona č. 101', '§ 4', '§ 4', '§ 4', '§ 5', '§ 5', '§ 13', '§ 14', '§ 15', '§ 13']

Zdravotní omezení pracovníků na firemním intranetu vs ochrana osobních údajů | Články na témata bezpečnost práce, Legislativa a komentáře, Poradna BOZP, Ochrana zdraví při práci, Prevence rizik, Technicko-bezpečnostní rozbory činností, Školení a vzdělávání BOZP, Vzorová dokumentace BOZP
12.5.2017, Ing. Milan Ševčík, Zdroj: Úřad pro ochranu osobních údajů (http://www.uoou.cz/)
Máme dvě haly, operátory převádíme v případě potřeby z jedné haly na druhou, tudíž se střídají jejich nadřízení. Toto si řídí vedoucí hal, dle potřeby. Na vnitřní síť (intranet) jsem umístila dokument, kde jsou vypsaná zdravotní omezení zaměstnanců z lékařských prohlídek. Nikde není diagnóza, je tam pouze omezení, např. nezvedat břemena nad 5 kg, nutná korekce zraku, zdravotní obuv, atd. Je tam vždy jméno a příjmení a omezení. S tímto dokumentem jsou seznámení všichni vedoucí pracovníci, ale pokud by ho někdo hledal, dostane se k němu i jako nevedoucí pracovník. Můj dotaz zní, zda je to tak správně? Nekoliduje to s ochrannou osobních dat?
Podle § 4 písm. a) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon“), se osobním údajem rozumí jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu. Podle písm. b) téhož paragrafu je citlivý údaj osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu údajů a genetický údaj subjektu údajů; citlivým údajem je také biometrický údaj, který umožňuje přímou identifikaci nebo autentizaci subjektu údajů.
Je tedy zřejmé, že v dotazu uvedené údaje o zaměstnanci jsou osobní údaje ve smyslu výše citovaného ustanovení § 4 písm. a) zákona, ba dokonce by mohly být kvalifikovány i jako citlivé podle písm. b).
Podle § 4 písm. e) zákona se zpracováním osobních údajů rozumí jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace.
V daném případě budou osobní údaje zpřístupněny, tedy dle § 4 písm. e) zákona, zpracovávány.
Podle § 5 odst. 2 zákona může správce zpracovávat osobní údaje pouze se souhlasem subjektu údajů. Bez souhlasu je může zpracovávat, je-li splněna některá z podmínek podle písm. a) až písm. g) téhož ustanovení, např. podle písm. a) jestliže provádí zpracování nezbytné pro dodržení právní povinnosti správce, případně podle písm. e) pokud je to nezbytné pro ochranu práv a právem chráněných zájmů správce, příjemce nebo jiné dotčené osoby; takové zpracování osobních údajů však nesmí být v rozporu s právem subjektu údajů na ochranu jeho soukromého a osobního života.
Je zřejmé, že zaměstnavatel v postavení správce zpracovává nezbytné osobní údaje včetně těch v otázce uvedených, bez souhlasu zaměstnanců v režimu výše citovaných ustanovení § 5 odst. 2 písm. a), písm. e) zákona.
Podle § 13*) odst. 1 zákona je správce povinen přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Tato povinnost platí i po ukončení zpracování osobních údajů. Podle § 14 zákona mohou zaměstnanci správce a jiné osoby, které zpracovávají osobní údaje na základě smlouvy s ním, zpracovávat osobní údaje pouze za podmínek a v rozsahu jím stanoveném. Ustanovení § 15 odst. 1 zákona zavazuje tyto osoby povinností mlčenlivosti, která trvá i po skončení zaměstnání nebo příslušných prací.
Z výše uvedeného vyplývá, že zpřístupnit osobní/citlivé údaje jiným osobám, než oprávněným, což v tomto případě jsou příslušní vedoucí zaměstnanci, by bylo možné pouze se souhlasem/výslovných souhlasem subjektů údajů, tj. dotčených osob. Pokud přístup na intranet není takto upraven, nelze danou komunikační cestu bez souhlasu předmětných zaměstnanců použít. Pokud tedy nebyl dán souhlas, doporučuji osobní údaje z nezabezpečeného intranetu bezodkladně stáhnout.
* § 13 zákona o ochraně osobních údajů