Всяко обработване има нужда от правно основание. Чл. 6, пар. 1 от GDPR посочва шест. Работодателят (администраторът) трябва да избере онова, което пасва на конкретното обработване, и да информира за това.
Шест правни основания
- Съгласие на субекта на данните.
- Договор: обработването е необходимо за изпълнение на договор или за стъпки преди сключването му. Например трудовият договор и изплащането на заплата.
- Правно задължение: законът задължава администратора да обработва данни. Например плащане на осигуровки или водене на ведомости за заплати.
- Жизненоважни интереси на човек, например спасяване на живот.
- Обществен интерес или упражняване на публична власт.
- Законен интерес на администратора или на трето лице, ако не преобладават правата и интересите на човека. Администраторът трябва внимателно да преценява интересите. Публичните органи не могат да го използват при изпълнението на задачите си.
Съгласие: само когато е наистина свободно
Съгласието трябва да е свободно, конкретно, информирано и недвусмислено и да може да се оттегли по всяко време също толкова лесно (чл. 7). Мълчанието или предварително отметнатото квадратче не са съгласие.
В трудовото правоотношение съгласието е проблематично. Служителят зависи от работодателя, затова съгласието му може да не е наистина свободно. Работодателят не бива да се опира на съгласие за неща, които му трябват, за да функционира трудовото правоотношение. Там трябва да използва договор, закон или законен интерес. Съгласието е подходящо за доброволни неща, например публикуване на снимка на служител на уебсайта на фирмата.
Възраст на детето за съгласие
Чл. 8 от GDPR се отнася до услуги на информационното общество, предлагани пряко на дете. Регламентът определя възраст 16 години, държавите членки могат да я намалят. Чехия я е намалила на 15 години (§ 7 от закон № 110/2019 Sb.). Дете под 15 години има нужда от съгласие на законния си представител.
Специални категории данни
Чл. 9 от GDPR защитава особено чувствителните данни. Обработването им по принцип е забранено, освен ако не е налице изключение. Става дума за данни за:
- расов или етнически произход
- политически възгледи
- религиозни или философски убеждения
- членство в синдикат
- здравословно състояние
- сексуален живот или ориентация
- генетични и биометрични данни, които служат за еднозначно идентифициране
Изключенията са тесни. За работодателя най-важно е изключението, когато обработването е необходимо за изпълнение на задължения и упражняване на права в областта на трудовото право и социалното осигуряване. Възможни са още изрично съгласие или защита на жизненоважни интереси.
Пример: работодателят може да обработва данни за временната неработоспособност на служител, защото му трябват за изплащане на обезщетение и за задълженията по осигуряването за болест. Диагнозата за това не му трябва и не бива да я иска от служителя, освен ако законът го изисква.
Данни за престъпления
Данните за осъждания и престъпления (чл. 10 от GDPR) се обработват само когато правото го позволява. В трудовото правоотношение това важи и в Кодекса на труда: информация за съдимост работодателят може да изисква само при обективна причина в естеството на работата, ако искането е пропорционално, или когато законът го предвижда (§ 316, ал. 4).
Какво да запомните
- Без правно основание данни не бива да се обработват.
- Съгласието в трудовото правоотношение често е слабо основание и трябва да може да се оттегли по всяко време.
- В Чехия възрастта за съгласие на дете е 15 години.
- Здравните и другите специални категории изискват специално изключение.