Zaměstnanec je v oblasti ochrany osobních údajů jednak takovou prodlouženou rukou zaměstnavatele jakožto správce osobních údajů, a jednak je také subjektem údajů (tedy žijící fyzickou osobou, jejíž osobní údaje správce – zaměstnavatel zpracovává). Musí ale zaměstnanec udělovat zaměstnavateli souhlas se zpracováním osobních údajů?
Většinou bývají obecné osobní údaje (tzn. nikoli údaje zvláštní kategorie – dříve citlivé osobní údaje) zpracovávány na základě pracovní smlouvy nebo některé z dohod konaných mimo pracovní poměr. Jedná se tak o právní důvod podle ustanovení článku 6 odst. 1 písm. b) GDPR. Zaměstnavatelé by se tedy neměli dopouštět časté chyby a uvádět do závěrečných ustanovení pracovní (nebo jiné obdobné) smlouvy, že: „Zaměstnanec podpisem této pracovní smlouvy uděluje zaměstnanci souhlas se zpracováním osobních údajů …“ nebo variace na tuto větu. Právním důvodem zpracování podle GDPR je totiž právě pracovní smlouva. Toto samozřejmě platí i pro i pro předsmluvní fázi, tedy dobu před uzavřením pracovní nebo jiné obdobné smlouvy, po kterou zaměstnavatel zpracovává zaměstnancovi osobní údaje. Není tedy potřeba hledat jiný právní důvod a už vůbec ne souhlas se zpracováním osobních údajů.
K nadbytečně vyžadovaným souhlasům se zpracováním osobních údajů se vyjadřoval Úřad pro ochranu osobních údajů tak, že vyžadování souhlasu se zpracováním osobních údajů tam, kde toto je toto zpracování např. přímo uloženo zákonem, je z právního hlediska jednak nadbytečné, jednak zavádějící a pro dotčené osoby matoucí, protože ze skutečnosti, že je pro zpracování jejich údajů vymáhán jejich souhlas, mohou vyvozovat nesprávné závěry týkající se tohoto zásahu do jejich soukromí.
Případy zpracování osobních údajů zaměstnanců, které by „nepokryla“ pracovní smlouva, případně oprávněný zájem správce, a byl by tak potřeba souhlas se zpracováním osobních údajů zaměstnanců (právní důvod dle článku 6 odst. 1 písm. a) GDPR) by mohly být tyto:
- Zaměstnavatel chce/potřebuje zveřejnit fotografii zaměstnance na svých webových stránkách, případně na profilu na sociální síti.
- Zaměstnavatel ve svých služebních vozidlech využívá zařízení pro GPS tracking vozidel, které nelze vypnout. Zde je třeba uvést, že v pracovní době jsou údaje o poloze zaměstnance řídícího služební vozidlo zpracovávány na základě právního titulu dle čl. 6 odst. 1 písm. f) GDPR – oprávněný zájem příslušného správce. Po pracovní době je však třeba získat souhlas zaměstnance s takovým zpracováním, případně zajistit vypínatelné zařízení. Tedy souhlas se jeví vhodný, pokud je služební vozidlo zaměstnancem používáno i pro soukromé účely.
- Zaměstnavatel po ukončení pracovního poměru nadále zůstává v kontaktu s bývalým zaměstnancem, kdy mu pravidelně zasílá nejnovější informace o dění v organizaci, to vše v rámci programu tzv. alumni.
Zásady pro udělení souhlasu:
- Souhlas musí být svobodný – musí být dána svoboda zaměstnance v tom, zda ho chce, případně nechce udělit. Za neudělení nesmí být zaměstnanec jakkoli sankcionován.
- Souhlas musí být určitý.
- Souhlas musí být informovaný – zaměstnanec musí vědět, k čemu dává svůj souhlas.
- Souhlas musí být odvolatelný – odvolání souhlasu má být stejně složité/jednoduché jako bylo jeho udělení.
