Orice prelucrare are nevoie de un temei legal. Art. 6 alin. 1 GDPR enumeră șase. Angajatorul (operatorul) trebuie să aleagă temeiul care se potrivește prelucrării concrete și să informeze despre acesta.
Cele șase temeiuri legale
- Consimțământul persoanei vizate.
- Contractul: prelucrarea este necesară pentru executarea unui contract sau pentru demersuri premergătoare încheierii lui. De exemplu, contractul de muncă și plata salariului.
- Obligația legală: legea impune operatorului să prelucreze datele. De exemplu, plata contribuțiilor de asigurări sau ținerea fișelor de salarizare.
- Interesele vitale ale unei persoane, de exemplu salvarea unei vieți.
- Interesul public sau exercitarea autorității publice.
- Interesul legitim al operatorului sau al unui terț, dacă nu prevalează drepturile și interesele persoanei. Operatorul trebuie să cântărească atent interesele. Autoritățile publice nu îl pot folosi în îndeplinirea sarcinilor lor.
Consimțământul: doar când este cu adevărat liber
Consimțământul trebuie să fie liber, specific, informat și lipsit de ambiguitate și să poată fi retras oricând la fel de ușor (art. 7). Tăcerea sau o căsuță bifată în prealabil nu înseamnă consimțământ.
În raportul de muncă, consimțământul este problematic. Angajatul depinde de angajator, de aceea consimțământul său poate să nu fie cu adevărat liber. Angajatorul nu ar trebui să se bazeze pe consimțământ pentru lucrurile de care are nevoie ca să funcționeze raportul de muncă. Acolo trebuie să folosească contractul, legea sau interesul legitim. Consimțământul se potrivește pentru lucrurile voluntare, de exemplu publicarea fotografiei angajatului pe site-ul firmei.
Vârsta copilului pentru consimțământ
Art. 8 GDPR privește serviciile societății informaționale oferite direct unui copil. Regulamentul stabilește vârsta de 16 ani, iar statele membre o pot reduce. Cehia a redus-o la 15 ani (§ 7 din legea nr. 110/2019 Sb.). Un copil sub 15 ani are nevoie de consimțământul reprezentantului legal.
Categoriile speciale de date
Art. 9 GDPR protejează datele deosebit de sensibile. Prelucrarea lor este în principiu interzisă, cu excepția cazului în care se aplică o derogare. Este vorba despre date privind:
- originea rasială sau etnică
- opiniile politice
- convingerile religioase sau filozofice
- apartenența sindicală
- starea de sănătate
- viața sexuală sau orientarea sexuală
- datele genetice și biometrice care servesc la identificarea unică
Derogările sunt înguste. Pentru angajator, cea mai importantă este cea în care prelucrarea este necesară pentru îndeplinirea obligațiilor și exercitarea drepturilor din domeniul dreptului muncii și al securității sociale. Mai sunt posibile consimțământul explicit sau protecția intereselor vitale.
Exemplu: angajatorul poate prelucra datele despre incapacitatea de muncă a unui angajat, pentru că are nevoie de ele la plata indemnizației și la obligațiile din asigurarea de boală. Diagnosticul nu-i trebuie pentru asta și nu are voie să-l ceară angajatului, decât dacă legea o impune.
Datele privind infracțiunile
Datele privind condamnările și infracțiunile (art. 10 GDPR) se prelucrează doar atunci când dreptul o permite. În raportul de muncă, aceasta rezultă și din Codul muncii: informații despre integritatea penală poate cere angajatorul doar când există un motiv obiectiv în natura muncii, iar cerința este proporțională, sau când o prevede legea (§ 316 alin. 4).
Ce trebuie să rețineți
- Fără temei legal, datele nu pot fi prelucrate.
- Consimțământul la locul de muncă este adesea o bază slabă și trebuie să poată fi retras oricând.
- În Cehia, vârsta pentru consimțământul copilului este de 15 ani.
- Datele despre sănătate și celelalte categorii speciale cer o derogare specială.