Bratislava       Košice       Banská Bystrica       Vranov nad Topľou

◊  Cena online ihneď · ponuka do 24 h   ◊

   kacmar@haspo.sk

Cenová ponuka

GDPR v HR: na akom právnom základe spracúvať údaje zamestnancov a kedy netreba súhlas

Publikované Aktualizované 10 min čítaniaAutor: Redakcia HASPO

Väčšinu osobných údajov zamestnancov a uchádzačov spracúva zamestnávateľ bez ich súhlasu – na základe zákona (mzdy, odvody, dane, evidencia pracovného času), pracovnej zmluvy alebo oprávneného záujmu. Súhlas potrebujete len výnimočne, napríklad keď chcete životopis neúspešného uchádzača ponechať pre budúce výberové konania. Pre súlad s GDPR v personalistike je rozhodujúce, aby ste mali ku každej činnosti určený právny základ, splnenú informačnú povinnosť, nastavené lehoty uchovávania a pripravený postup pre žiadosti zamestnancov aj pre únik údajov.

V skratke

Ktoré predpisy v personalistike platia

Základom je nariadenie EÚ 2016/679 (GDPR), ktoré sa uplatňuje priamo. Zákon č. 18/2018 Z. z. o ochrane osobných údajov ho dopĺňa: pre firmy sú dôležité najmä ustanovenia o osobitných situáciách spracúvania (§ 78), o postavení Úradu na ochranu osobných údajov SR, o kontrole a pokutách. Všeobecné pravidlá zákona (jeho druhá a tretia časť) sa na spracúvanie, ktoré spadá pod GDPR, nevzťahujú – v bežnej firme teda vychádzate priamo z článkov nariadenia.

Tretím pilierom je Zákonník práce, ktorý určuje, čo smiete od uchádzača žiadať (§ 41), a podmienky monitorovania zamestnancov (§ 13 ods. 4).

Kedy nepotrebujete súhlas zamestnanca

Súhlas je len jeden zo šiestich právnych základov podľa čl. 6 ods. 1 GDPR a v pracovnom vzťahu je najslabší. Zamestnanec je od zamestnávateľa závislý, preto sa jeho súhlas len ťažko považuje za slobodný, a navyše ho môže kedykoľvek odvolať. Tam, kde vám spracúvanie ukladá zákon alebo ho potrebujete na plnenie pracovnej zmluvy, súhlas nežiadajte – vytvárate tým mylný dojem, že zamestnanec môže spracúvanie zastaviť.

Činnosť v personalistike Právny základ Treba súhlas?
Mzdy, odvody, daňové a poistné údaje Zákonná povinnosť – čl. 6 ods. 1 písm. c) Nie
Evidencia pracovného času, dovolenky, nadčasov Zákonná povinnosť (§ 99 Zákonníka práce) Nie
Pracovná zmluva a údaje potrebné na jej plnenie Plnenie zmluvy – čl. 6 ods. 1 písm. b) Nie
Životopis počas výberového konania Opatrenie pred uzavretím zmluvy – čl. 6 ods. 1 písm. b) Nie
Posudky o zdravotnej spôsobilosti na prácu Osobitný predpis; čl. 9 ods. 2 písm. b) a h) Nie
Kamerový systém na ochranu majetku Oprávnený záujem – čl. 6 ods. 1 písm. f) Nie, ale treba test proporcionality
Databáza uchádzačov pre budúce pozície Súhlas – čl. 6 ods. 1 písm. a) Áno
Fotografia zamestnanca v marketingových materiáloch Spravidla súhlas Spravidla áno

Pracovné kontaktné údaje zamestnanca – titul, meno, priezvisko, pracovné zaradenie, útvar, miesto výkonu práce, pracovný telefón a e-mail – smie zamestnávateľ poskytnúť alebo zverejniť bez súhlasu, ak je to potrebné v súvislosti s plnením pracovných povinností (§ 78 ods. 3 zákona č. 18/2018 Z. z.). Rodné číslo môžete na identifikáciu použiť len vtedy, ak je to nevyhnutné, a zverejňovať ho je zakázané (§ 78 ods. 4).

Pri oprávnenom záujme si písomne zdokumentujte test proporcionality: aký záujem sledujete, prečo je spracúvanie nevyhnutné a prečo neprevažujú práva zamestnancov.

Nábor: čo smiete od uchádzača žiadať

Od uchádzača o prvé zamestnanie môžete žiadať len informácie, ktoré súvisia s prácou, ktorú má vykonávať. Od toho, kto už pracoval, môžete požadovať pracovný posudok a potvrdenie o zamestnaní (§ 41 ods. 5 Zákonníka práce). Zakázané je žiadať informácie o tehotenstve, rodinných pomeroch, politickej, odborovej a náboženskej príslušnosti a o bezúhonnosti – tú len vtedy, ak ju vyžaduje osobitný predpis alebo povaha práce (§ 41 ods. 6).

Informačná povinnosť a záznamy o spracovateľských činnostiach

Zamestnanec musí pri získaní údajov vedieť, kto ich spracúva, na aký účel a na akom právnom základe, komu ich poskytujete (napríklad mzdovej účtovníčke, Sociálnej poisťovni, poskytovateľovi pracovnej zdravotnej služby), ako dlho ich uchovávate a aké má práva. Úrad na ochranu osobných údajov SR zverejňuje vzor informačnej povinnosti pre zamestnanca, ktorý môžete prispôsobiť svojim procesom.

Záznamy o spracovateľských činnostiach (čl. 30 GDPR) sú prehľadom všetkých účelov spracúvania. Výnimka pre podniky s menej ako 250 zamestnancami platí len vtedy, ak je spracúvanie príležitostné, nepredstavuje riziko a nezahŕňa osobitné kategórie údajov. Mzdová a personálna agenda je však pravidelná a často zahŕňa aj údaje o zdraví, preto záznamy pre personalistiku spravidla potrebuje aj malá firma. Úrad zverejňuje aj ich vzor.

So všetkými dodávateľmi, ktorí údaje zamestnancov spracúvajú vo vašom mene – externá mzdová účtovníčka, poskytovateľ dochádzkového či personálneho softvéru, cloudové úložisko – musíte mať uzavretú zmluvu so sprostredkovateľom podľa čl. 28 GDPR.

Monitorovanie zamestnancov a kamerový systém

Zamestnávateľ nesmie bez vážnych dôvodov spočívajúcich v osobitnej povahe svojej činnosti narúšať súkromie zamestnanca monitorovaním, nahrávaním telefonických hovorov z pracovných zariadení ani kontrolou pracovnej e-mailovej schránky bez toho, aby ho na to vopred upozornil. Ak zavádzate kontrolný mechanizmus, musíte so zástupcami zamestnancov prerokovať jeho rozsah, spôsob a dobu trvania a o tom istom informovať zamestnancov (§ 13 ods. 4 Zákonníka práce). Ak vo firme zástupcovia zamestnancov nepôsobia, konáte samostatne (§ 12 ods. 2), informačná povinnosť voči zamestnancom však ostáva.

Ako dlho uchovávať personálne dokumenty

GDPR nestanovuje konkrétne lehoty, ale zásadu minimalizácie uchovávania (čl. 5 ods. 1 písm. e): údaje uchovávate len dovtedy, kým to vyžaduje účel alebo osobitný predpis. Lehoty pre mzdové, daňové a poistné doklady vyplývajú z osobitných predpisov, preto si ich zjednoťte v jednom internom dokumente (lehoty uchovávania alebo registratúrny plán) a previažte so záznamami o spracovateľských činnostiach.

Práva zamestnancov a ako na ne reagovať

Zamestnanec aj uchádzač má právo na prístup k svojim údajom, na ich opravu, vymazanie, obmedzenie spracúvania, prenosnosť a právo namietať proti spracúvaniu na základe oprávneného záujmu (čl. 15 až 22 GDPR). Právo na vymazanie neplatí bezvýhradne – údaje, ktoré musíte uchovávať podľa zákona, nevymažete.

Na žiadosť odpovedáte bez zbytočného odkladu, najneskôr do jedného mesiaca. V odôvodnených prípadoch, napríklad pri zložitej žiadosti, možno lehotu predĺžiť o ďalšie dva mesiace; o predĺžení a jeho dôvodoch musíte zamestnanca informovať do jedného mesiaca (čl. 12 ods. 3 GDPR). Určite, kto žiadosti prijíma a eviduje, aby lehota neunikla.

Únik údajov: postup do 72 hodín

Porušením ochrany osobných údajov je napríklad stratený notebook personalistky alebo neoprávnený prístup do personálneho systému.

  1. Zastavte únik a zistite, čo sa stalo, kedy, aké údaje a koľkých ľudí sa to týka.
  2. Posúďte riziko pre dotknuté osoby – údaje o zdraví či rodné čísla predstavujú vyššie riziko než pracovné kontakty.
  3. Ak je pravdepodobné riziko pre práva ľudí, oznámte porušenie úradu do 72 hodín od zistenia (čl. 33 GDPR). Úrad na to poskytuje elektronický formulár cez portál slovensko.sk.
  4. Ak je riziko vysoké, informujte bez zbytočného odkladu aj dotknutých zamestnancov či uchádzačov (čl. 34 GDPR).
  5. Každé porušenie zdokumentujte vrátane prijatých opatrení – aj vtedy, keď ste ho úradu nehlásili.

Kontrola úradu a pokuty

Úrad na ochranu osobných údajov SR vykonáva kontrolu na základe plánu kontrol, pri podozrení z porušenia povinností alebo v rámci konania o ochrane osobných údajov, ktoré môže začať aj na návrh zamestnanca (§ 90 ods. 7 zákona č. 18/2018 Z. z.). V personalistike sa oplatí mať kedykoľvek k dispozícii: záznamy o spracovateľských činnostiach, texty informačnej povinnosti, zmluvy so sprostredkovateľmi, zdokumentované testy oprávneného záujmu, pravidlá monitorovania a evidenciu porušení ochrany údajov.

Porušenie Horná hranica pokuty
Povinnosti prevádzkovateľa a sprostredkovateľa (napr. záznamy, zabezpečenie, zmluvy so sprostredkovateľom, hlásenie porušení) – čl. 83 ods. 4 GDPR 10 mil. € alebo 2 % celosvetového ročného obratu, podľa toho, čo je vyššie
Základné zásady, právny základ, osobitné kategórie údajov, práva dotknutých osôb vrátane informačnej povinnosti – čl. 83 ods. 5 GDPR 20 mil. € alebo 4 % celosvetového ročného obratu, podľa toho, čo je vyššie
Nezabezpečenie primeraných podmienok na kontrolu – § 105 ods. 2 zákona č. 18/2018 Z. z. Poriadková pokuta do 2 000 €
Marenie kontroly – § 105 ods. 2 zákona č. 18/2018 Z. z. Poriadková pokuta do 10 000 €

Uvedené sumy sú horné hranice. Pri určení výšky pokuty úrad prihliada najmä na povahu, závažnosť a trvanie porušenia, počet dotknutých osôb a na to, ako firma s úradom spolupracovala (čl. 83 ods. 2 GDPR).

Časté otázky

Potrebujem na spracúvanie osobných údajov zamestnancov ich súhlas?

Spravidla nie. Mzdy, odvody, evidenciu pracovného času a údaje potrebné na plnenie pracovnej zmluvy spracúvate na základe zákona alebo zmluvy. Súhlas využite len na dobrovoľné veci, napríklad databázu uchádzačov alebo fotografie zamestnancov v propagačných materiáloch.

Ako dlho môžem uchovávať životopisy neúspešných uchádzačov?

Len do skončenia výberového konania. Ak ich chcete ponechať pre budúce pozície, potrebujete samostatný súhlas uchádzača s určenou dobou uchovávania a možnosťou ho kedykoľvek odvolať.

Musím zamestnancov informovať o kamerovom systéme na pracovisku?

Áno. Kamerový systém ako kontrolný mechanizmus musíte vopred prerokovať so zástupcami zamestnancov, ak vo firme pôsobia, a zamestnancov informovať o jeho rozsahu, spôsobe a dobe trvania. Monitorovaný priestor označte a sprístupnite úplné informácie o spracúvaní podľa GDPR.

Môžem si robiť kópiu občianskeho preukazu nového zamestnanca?

Bez konkrétneho dôvodu to neodporúčame. Podľa zásady minimalizácie si zaznamenajte len údaje, ktoré potrebujete, napríklad meno, dátum narodenia a adresu. Kópia celého dokladu obsahuje aj údaje, ktoré na personálnu agendu nepotrebujete.

Čo robiť, ak personalistka pošle výplatné pásky nesprávnemu adresátovi?

Ide o porušenie ochrany osobných údajov. Požiadajte príjemcu o vymazanie, posúďte riziko a ak je pravdepodobné riziko pre zamestnancov, oznámte porušenie úradu do 72 hodín. Pri vysokom riziku informujte aj dotknutých zamestnancov a celý incident zdokumentujte.

Chcete to mať vyriešené?

HASPO vám v rámci služby GDPR pomôže zmapovať spracúvanie údajov v personalistike, pripraviť informačnú povinnosť, záznamy o spracovateľských činnostiach a pravidlá monitorovania. Ak zvažujete, či potrebujete aj zodpovednú osobu, poradíme vám. Ozvite sa nám cez kontaktný formulár.

Zdroje

Cenová ponuka ihneď