Každé zpracování potřebuje právní základ. Čl. 6 odst. 1 GDPR jich uvádí šest. Zaměstnavatel (správce) musí vybrat ten, který na konkrétní zpracování sedí, a musí o tom informovat.
Šest právních základů
- Souhlas subjektu údajů.
- Smlouva: zpracování je nutné pro plnění smlouvy nebo pro kroky před jejím uzavřením. Například pracovní smlouva a výplata mzdy.
- Právní povinnost: zákon správci ukládá údaje zpracovat. Například odvody pojistného nebo vedení mzdových listů.
- Životně důležité zájmy člověka, například záchrana života.
- Veřejný zájem nebo výkon veřejné moci.
- Oprávněný zájem správce nebo třetí strany, pokud nepřevažují práva a zájmy člověka. Správce musí zájmy pečlivě poměřit. Orgány veřejné moci ho nemohou použít při plnění svých úkolů.
Souhlas: jen když je opravdu svobodný
Souhlas musí být svobodný, konkrétní, informovaný a jednoznačný a dát se kdykoli stejně snadno odvolat (čl. 7). Mlčení ani předem zaškrtnuté políčko souhlasem není.
V pracovním vztahu je souhlas problematický. Zaměstnanec je závislý na zaměstnavateli, a proto jeho souhlas nemusí být opravdu svobodný. Zaměstnavatel by se na souhlas neměl spoléhat u věcí, které potřebuje k fungování pracovního poměru. Tam má použít smlouvu, zákon nebo oprávněný zájem. Souhlas se hodí pro dobrovolné věci, například zveřejnění fotografie zaměstnance na webu firmy.
Věk dítěte pro souhlas
Čl. 8 GDPR se týká služeb informační společnosti nabízených přímo dítěti. Nařízení stanoví věk 16 let, členské státy ho mohou snížit. Česko ho snížilo na 15 let (§ 7 zákona č. 110/2019 Sb.). Dítě mladší 15 let potřebuje souhlas zákonného zástupce.
Zvláštní kategorie údajů
Čl. 9 GDPR chrání zvlášť citlivé údaje. Jejich zpracování je v zásadě zakázáno, pokud nenastane výjimka. Jde o údaje o:
- rasovém nebo etnickém původu
- politických názorech
- náboženském nebo filozofickém přesvědčení
- členství v odborech
- zdravotním stavu
- sexuálním životě nebo orientaci
- genetické a biometrické údaje, které slouží k jednoznačné identifikaci
Výjimky jsou úzké. Pro zaměstnavatele je nejdůležitější výjimka, kdy je zpracování nutné pro plnění povinností a výkon práv v oblasti pracovního práva a sociálního zabezpečení. Dále je možný výslovný souhlas nebo ochrana životně důležitých zájmů.
Příklad: zaměstnavatel smí zpracovat údaje o pracovní neschopnosti zaměstnance, protože je potřebuje k náhradě mzdy a k povinnostem v nemocenském pojištění. Diagnózu k tomu nepotřebuje a nesmí ji od zaměstnance chtít, ledaže to vyžaduje zákon.
Údaje o trestních činech
Údaje o odsouzeních a trestných činech (čl. 10 GDPR) se zpracovávají jen tehdy, když to dovoluje právo. V pracovním vztahu to platí i v zákoníku práce: informace o trestněprávní bezúhonnosti smí zaměstnavatel požadovat jen při věcném důvodu v povaze práce, je-li požadavek přiměřený, nebo když to stanoví zákon (§ 316 odst. 4).
Co si zapamatovat
- Bez právního základu se údaje zpracovat nesmějí.
- Souhlas v zaměstnání bývá slabý základ a musí jít kdykoli odvolat.
- V Česku je věk pro souhlas dítěte 15 let.
- Zdravotní a další zvláštní kategorie vyžadují zvláštní výjimku.