Skoro každá práce má co do činění s údaji o lidech. Recepční zapíše jméno návštěvníka. Prodavačka přijme adresu pro doručení. Mzdová účetní zná výplaty celé firmy. Pravidla ochrany osobních údajů se proto týkají i vás, nejen vašeho zaměstnavatele. Souhrnně se jim říká GDPR.
Které předpisy platí v Česku
- Obecné nařízení o ochraně osobních údajů (GDPR) je nařízení EU 2016/679. Platí přímo i v Česku.
- Zákon č. 110/2019 Sb., o zpracování osobních údajů, doplňuje nařízení českými pravidly. Například stanoví věk dítěte pro souhlas (§ 7) a zřizuje správní trestání.
- Zákoník práce (zákon č. 262/2006 Sb.) chrání soukromí zaměstnanců, hlavně v § 316.
- Úřad pro ochranu osobních údajů (ÚOOÚ) je dozorový úřad v Česku. Najdete ho na uoou.gov.cz.
GDPR se použije, když se osobní údaje zpracovávají automatizovaně, tedy třeba v počítači. Použije se i na papírové údaje, pokud jsou uspořádané v kartotéce nebo pořadači podle jmen či čísel. Čistě osobní činnost je vyňata, například váš telefonní seznam doma.
Co je osobní údaj
Osobní údaj je jakákoli informace o identifikované nebo identifikovatelné fyzické osobě (čl. 4 bod 1 GDPR). Patří sem:
- jméno, adresa, e-mail, telefonní číslo
- rodné číslo, číslo zaměstnance, číslo zákazníka
- fotografie a kamerový záznam, na kterém lze osobu poznat
- IP adresa a údaje o poloze
- plat, hodnocení, nemocnost, informace o rodině
Osobní údaj nemusí být tajný. Stačí, že podle něj lze člověka určit. Jméno spolu s firmou a funkcí je osobní údaj, i když ho má člověk na vizitce. Údaje o právnických osobách (firma jako taková) osobní údaje nejsou. Jméno jednatele nebo kontaktní osoby ale ano.
Co je zpracování
Zpracování je prakticky cokoli, co s údaji uděláte: sběr, zápis, uložení, prohlížení, použití, předání, zveřejnění, výmaz. Už samotné nahlédnutí do databáze je zpracování.
Kdo je kdo
- Subjekt údajů je člověk, kterého se údaje týkají.
- Správce rozhoduje, proč a jak se údaje zpracovávají. U Vás v práci je to zpravidla zaměstnavatel.
- Zpracovatel zpracovává údaje pro správce na základě smlouvy, například externí mzdová firma nebo poskytovatel cloudu.
- Pověřenec pro ochranu osobních údajů (DPO) radí správci a dohlíží na soulad. Povinný je jen v určitých případech. Podle § 14 zákona č. 110/2019 Sb. ho musí mít orgány veřejné moci a orgány zřízené zákonem, které plní zákonem stanovené úkoly ve veřejném zájmu. Soukromé firmy ho mají povinně hlavně při rozsáhlém sledování lidí nebo rozsáhlém zpracování zvláštních kategorií údajů (čl. 37 GDPR).
Vaše role jako zaměstnance
Jako zaměstnanec obvykle nejste správce. Odpovědnost za zákonné zpracování nese zaměstnavatel. Vy ale zpracováváte údaje podle jeho pokynů (čl. 29 GDPR) a podle § 301 zákoníku práce musíte plnit pokyny nadřízených a dodržovat právní předpisy vztahující se k vaší práci. Proto musíte znát základní pravidla a vědět, na koho se obrátit, když si nejste jisti.
Výjimka: když si údaje začnete zpracovávat pro vlastní účely, například zkopírujete si databázi zákazníků pro vlastní podnikání, stáváte se v této věci sám správcem a odpovídáte za to i vy.
Co si zapamatovat
- Osobní údaj je každá informace o určitelné osobě, ne jen ta tajná.
- Zpracování je i pouhé prohlížení.
- Správcem je obvykle zaměstnavatel, vy jednáte podle jeho pokynů.
- Dozor v Česku vykonává Úřad pro ochranu osobních údajů.