Ochrana osobných údajov je v súčasnom právnom prostredí kľúčovým aspektom, najmä v kontexte pracovnoprávnych vzťahov. Nariadenie GDPR (General Data Protection Regulation) prinieslo nové pravidlá a povinnosti pre zamestnávateľov pri spracúvaní osobných údajov svojich zamestnancov. V tomto článku sa zameriavame na špecifickú oblasť, ktorou je spracúvanie dátumov narodenia zamestnancov v pracovných zmluvách a súvisiacich dokumentoch, pričom využijeme informácie poskytnuté v zadaní.
Základné princípy spracúvania osobných údajov v pracovnom pomere
Základným pilierom ochrany osobných údajov je princíp minimalizácie. To znamená, že zamestnávateľ by mal spracúvať len tie osobné údaje, ktoré sú nevyhnutné na dosiahnutie konkrétneho účelu. V kontexte pracovnej zmluvy sú osobné údaje, ktoré identifikujú zamestnanca, obmedzené. Zákonník práce priamo neustanovuje presný zoznam osobných údajov, ktoré musia byť uvedené v pracovnej zmluve. Pre účely identifikácie zamestnanca sú postačujúce základné údaje ako meno a priezvisko, trvalý pobyt a dátum narodenia. Prípadne môže byť uvedené aj osobné číslo pridelené zamestnávateľom. Tento rozsah osobných údajov je zvyčajne dostačujúci pre účely uzatvorenia pracovnej zmluvy a plnenia povinností z nej vyplývajúcich.
Je však dôležité poznamenať, že existujú aj osobitné predpisy, ktoré môžu vyžadovať dodatočné údaje. Napríklad katastrálny zákon môže pre identifikáciu zmluvnej strany vyžadovať aj rodné priezvisko a rodné číslo zmluvnej strany. Implementácia týchto ustanovení do zmluvy závisí od konkrétneho nastavenia GDPR u každého zamestnávateľa. Napriek tomu, nie je chybou, ak tieto údaje nie sú v pracovnej zmluve uvedené, ak nie sú nevyhnutné pre účel spracúvania.
Informačná povinnosť zamestnávateľa
Zamestnávateľ má podľa GDPR dôležitú informačnú povinnosť voči zamestnancom. Musí preukázať, že zamestnanec bol oboznámený so spracúvaním jeho osobných údajov pred ich získaním a začatím spracúvania. Táto povinnosť môže byť splnená aj prostredníctvom ustanovení v pracovnej zmluve. Napríklad, v zmluve môže byť uvedené: „zamestnanec vyhlasuje, že bol oboznámený so spracúvaním osobných údajov v zmysle čl. 13 a čl. GDPR.“
Udelenie pokynov oprávneným osobám
Okrem informačnej povinnosti voči zamestnancom má zamestnávateľ aj povinnosť udeliť pokyny oprávneným osobám, ktoré spracúvajú osobné údaje. Tieto pokyny by mali špecifikovať, ako majú byť osobné údaje pri ich činnosti spracúvané. Ustanovenia pracovnej zmluvy môžu byť prepojené so všetkými dokumentmi, ktoré sa zamestnancov týkajú, vrátane tých, ktoré upravujú informačnú povinnosť a udelenie pokynov.
Mlčanlivosť zamestnancov
Mlčanlivosť je jednou zo základných povinností zamestnanca, ktorá je definovaná v Zákonníku práce. Vzťahuje sa na skutočnosti, o ktorých sa zamestnanec dozvedel pri výkone práce a nadväzuje na povinnosť chrániť majetok zamestnávateľa. Táto povinnosť platí počas trvania pracovného pomeru. Ak má zamestnávateľ záujem o vyššiu ochranu, môže mlčanlivosť špecifikovať osobitne, či už v pracovnej zmluve alebo v interných predpisoch. Odporúča sa to aj vo vzťahu k ochrane osobných údajov, kde je zaviazanie povinnosťou mlčanlivosti zamestnancov ako tzv. oprávnených osôb dokonca povinnosťou zamestnávateľa.
Bežné chyby pri spracúvaní osobných údajov
Najčastejšou chybou, na ktorú sa upozorňuje, je "nepotrebná" identifikácia zamestnancov v záhlaví pracovnej zmluvy. Ďalšou opakujúcou sa chybou je nesprávne určenie právneho základu v pracovnej zmluve. Často sa uvádza, že „Zamestnanec súhlasí so spracovaním osobných údajov zamestnávateľom pre plnenie zmluvy“. V takýchto prípadoch ide o povinnosti, ktoré zamestnávateľovi vyplývajú z uzatvorenej pracovnej zmluvy alebo z príslušných právnych predpisov. Preto nie je vhodné určiť ako právny základ súhlas, ale plnenie zmluvných alebo zákonných povinností.
Implementácia GDPR do pracovných zmlúv
Pracovné zmluvy sa podľa GDPR nezmenili drasticky. Prostredníctvom zmluvy zamestnávateľ realizuje najmä povinnosti ako poverovanie oprávnených osôb na spracúvanie osobných údajov a oboznamovanie zamestnancov. Je však dôležité riešiť GDPR a ochranu osobných údajov aj mimo rámca pracovnej zmluvy.
Dátum narodenia ako osobný údaj
Dátum narodenia je považovaný za osobný údaj, ktorý spadá pod ochranu GDPR. Jeho spracúvanie musí byť v súlade so zásadami ochrany osobných údajov, najmä so zásadou minimalizácie a účelového obmedzenia. Zamestnávateľ musí mať jasne definovaný účel, na ktorý dátum narodenia spracúva.
Právne základy spracúvania osobných údajov zamestnancov
Podľa GDPR existuje niekoľko právnych základov pre spracúvanie osobných údajov. V kontexte pracovného pomeru sú najčastejšie relevantné:
- Plnenie zákonnej povinnosti: Zamestnávateľ má zákonné povinnosti vyplývajúce z rôznych predpisov (napr. Zákonník práce, daňové zákony, zákony o sociálnom a zdravotnom poistení). Spracúvanie osobných údajov, vrátane dátumu narodenia, je často nevyhnutné na splnenie týchto povinností.
- Plnenie zmluvy: Pracovná zmluva alebo dohoda o práci vykonávanej mimo pracovného pomeru predstavuje zmluvu medzi zamestnávateľom a zamestnancom. Spracúvanie údajov potrebných na plnenie tejto zmluvy je oprávnené.
- Oprávnený záujem: Zamestnávateľ môže spracúvať osobné údaje na základe svojho oprávneného záujmu, pokiaľ tento záujem neprevažuje nad právami a slobodami dotknutej osoby. Príkladom môže byť ochrana majetku alebo zabezpečenie bezpečnosti.
- Súhlas: V niektorých prípadoch, najmä ak spracúvanie nie je nevyhnutné na plnenie zákonnej povinnosti alebo zmluvy, môže byť právnym základom súhlas zamestnanca. Súhlas však musí byť slobodne daný, konkrétny, informovaný a jednoznačný.
V prípade spracúvania údajov v systémoch ako "Personalistika a mzdy" ide primárne o plnenie zákonných povinností zamestnávateľa.
Informačný systém "Personalistika a mzdy"
Informačný systém "Personalistika a mzdy" je kľúčovým nástrojom pre zamestnávateľov pri spracúvaní osobných údajov zamestnancov. Názov tohto systému nie je zákonom stanovený a závisí od prevádzkovateľa (napr. IS Ľudské zdroje, IS PAM). Tento systém nepodlieha oznamovacej povinnosti, ale vyžaduje si vedenie evidencie (evidenčný list).
Kto sú dotknuté osoby a oprávnené osoby?
Dotknutou osobou je fyzická osoba, ktorej osobné údaje sú spracúvané. V kontexte zamestnávateľa to sú uchádzači o zamestnanie, zamestnanci, osoby blízke zamestnancom, bývalí zamestnanci a podobne. Nejde o právnické osoby ani fyzické osoby - podnikateľov.
Oprávnenou osobou je každá fyzická osoba, ktorá prichádza do styku s osobnými údajmi v rámci svojho pracovného vzťahu a spracúva ich podľa pokynov prevádzkovateľa. V systéme "Personalistika a mzdy" to môžu byť napríklad personalistka, mzdárka, vedúci oddelení a podobne. Tieto osoby sú povinné zachovávať mlčanlivosť o spracúvaných údajoch.
Ukladanie a kopírovanie úradných dokladov
Zákon o ochrane osobných údajov v § 15 ods. 6 umožňuje získavať osobné údaje kopírovaním, skenovaním alebo iným zaznamenávaním úradných dokladov na nosič informácií len vtedy, ak s tým dotknutá osoba písomne súhlasí alebo ak to osobitný zákon výslovne umožňuje bez súhlasu. Novela zákona účinná od 15. apríla 2014 pridala možnosť získavať osobné údaje na účely uzatvorenia pracovnoprávneho alebo obdobného vzťahu.
Zákon o dani z príjmov (§ 37 ods. 5) umožňuje zamestnávateľovi, správcovi dane a ministerstvu získavať osobné údaje kopírovaním úradných dokladov v nevyhnutnom rozsahu (napr. sobášny list, rodný list) na účely preukázania nároku podľa § 37 ods. 5 tohto zákona, a to aj bez súhlasu dotknutej osoby. Tieto údaje sú potrebné na účely vyplácania zamestnaneckých benefitov a na účely uplatnenia daňových odpočtov.
Poskytovanie osobných údajov tretím stranám
Osobné údaje môžu byť poskytované tretím stranám, ktorými sú subjekty iné ako dotknutá osoba, prevádzkovateľ, jeho zástupca, sprostredkovateľ alebo oprávnená osoba. V kontexte zamestnávateľa to môžu byť napríklad orgány štátnej správy na účely kontroly a dozoru, súdy, orgány činné v trestnom konaní, poisťovne, dodávatelia alebo externí poskytovatelia služieb. Vždy je potrebné identifikovať, či ide o iného prevádzkovateľa, ktorému sa údaje poskytujú na ďalšie spracovanie, alebo o príjemcu, ktorému sa údaje sprístupňujú.
Zverejňovanie osobných údajov zamestnancov
Zamestnávateľ je oprávnený sprístupniť alebo zverejniť osobné údaje zamestnanca, ako je titul, meno, priezvisko, pracovné zaradenie, miesto výkonu práce, kontaktné údaje, ak je to potrebné v súvislosti s plnením jeho pracovných povinností. Zverejnenie nesmie narušiť vážnosť, dôstojnosť a bezpečnosť zamestnanca.
Poučenie oprávnených osôb
Prevádzkovateľ je povinný poučiť oprávnené osoby o ich právach a povinnostiach súvisiacich so spracúvaním osobných údajov. Od 15. apríla 2014 sa nevyžadujú písomné náležitosti, ale je potrebné vyhotoviť záznam o poučení, ktorý je prevádzkovateľ povinný na požiadanie úradu preukázať. Súčasťou poučenia môže byť aj poučenie o mlčanlivosti.
Zmluva so sprostredkovateľom
Pri poverení externých firiem spracúvaním osobných údajov v mene zamestnávateľa je nevyhnutné uzavrieť zmluvu so sprostredkovateľom. Sprostredkovateľ je oprávnený spracúvať osobné údaje len v rozsahu a za podmienok dojednaných v písomnej zmluve. Dôležitou otázkou pri identifikácii sprostredkovateľa je, v mene koho uvedený subjekt spracúva osobné údaje.
Účely spracúvania osobných údajov v praxi
Zamestnávatelia spracúvajú osobné údaje zamestnancov na rôzne účely, ktoré sú často ustanovené osobitnými zákonmi alebo vyplývajú z pracovnej zmluvy. Medzi bežné účely patria:
- Plnenie pracovnoprávnych vzťahov: Spracúvanie údajov na účely uzatvorenia a plnenia pracovnej zmluvy, vrátane evidencie dochádzky, výplaty mzdy, odvodov, vzdelávania a podobne.
- Účtovníctvo a daňová agenda: Spracúvanie údajov na plnenie zákonných povinností vyplývajúcich z predpisov o účtovníctve a daniach.
- Bezpečnosť a ochrana zdravia pri práci (BOZP): Spracúvanie údajov na účely plnenia povinností zamestnávateľa v oblasti BOZP, vrátane evidencie pracovných úrazov a lekárskych prehliadok.
- Správa registratúry: Spracúvanie údajov na účely archivácie a vedenia registratúry v súlade so zákonnými povinnosťami.
- Výberové konanie: Spracúvanie osobných údajov uchádzačov o zamestnanie na účely výberu vhodného kandidáta.
Dátum narodenia a jeho spracúvanie v špecifických kontextoch
- V pracovnej zmluve: Ako už bolo spomenuté, dátum narodenia je bežným identifikačným údajom v pracovnej zmluve.
- V mzdovej agende: Dátum narodenia je potrebný na správne spracovanie miezd, výpočet odvodov a dane z príjmov.
- V systémoch dochádzky: Môže byť využitý na identifikáciu zamestnanca.
- V sociálnom a zdravotnom poistení: Údaje o dátume narodenia sú nevyhnutné pre komunikáciu s príslušnými poisťovňami.
- V rámci interných smerníc: Napríklad pri organizovaní firemných akcií alebo pri poskytovaní benefitov, kde môže byť relevantný vek zamestnanca.
Ochrana osobných údajov a GDPR - časté nejasnosti
Napriek dlhšej dobe účinnosti GDPR sa stále objavujú nejasnosti a nesprávne interpretácie. Napríklad:
- Zdravotníctvo: GDPR nebráni sestričke volať pacienta celým menom na vyšetrenie. Ide o ochranu osobných údajov pred zverejnením a zneužitím.
- Školy: Prezentácia činností školy s uvedením mena dieťaťa môže spadať pod oprávnený záujem školy, ak je v súlade s jej poslaním.
- Zodpovedná osoba: Vymenovanie zodpovednej osoby je jedným z nástrojov ochrany, ale nie vždy je povinné pre každú prevádzku.
- Konkrétne opatrenia: GDPR neurčuje konkrétne technické alebo organizačné opatrenia, ale odvoláva sa na stav techniky, náklady a organizačné opatrenia implementované v praxi.
- Projektové riadenie: Implementácia GDPR je komplexný proces, ktorý si vyžaduje prístup projektového riadenia a spoluprácu viacerých oddelení.
- Právo na výmaz: Firma je povinná odstrániť osobné údaje na žiadosť zákazníka len vtedy, ak boli spracúvané na základe súhlasu a nie sú povinné uchovávať sa podľa zákonných predpisov.
- Veľkosť firmy: GDPR sa vzťahuje na všetky firmy, ktoré spracúvajú osobné údaje, bez ohľadu na ich veľkosť.
- Databázy kontaktov: Ak zákazníci slobodne udelili súhlas na spracúvanie svojich údajov v databáze kontaktov, firma ju môže naďalej používať.
Práva dotknutých osôb
Zamestnanci, ako dotknuté osoby, majú právo na prístup k svojim osobným údajom, právo na ich opravu, výmaz, obmedzenie spracúvania, prenosnosť údajov a právo namietať proti spracúvaniu. V prípade, ak sú osobné údaje spracúvané na základe súhlasu, majú právo súhlas kedykoľvek odvolať.
Záver
Správne spracúvanie osobných údajov zamestnancov, vrátane dátumov narodenia, je nevyhnutné pre súlad s GDPR a ochranu práv zamestnancov. Zamestnávatelia by mali venovať náležitú pozornosť definovaniu účelov spracúvania, výberu vhodného právneho základu a zabezpečeniu transparentnosti voči svojim zamestnancom. Dátum narodenia zamestnanca je dôležitým osobným údajom, ktorého spracúvanie musí byť vždy v súlade s platnou legislatívou a princípmi ochrany osobných údajov.