Směrnice o transparentnosti odměňování a GDPR: Nové regulatorní paradigma ochrany osobních údajů v pracovněprávních vztazích
Směrnice Evropského parlamentu a Rady (EU) 2023/970[1] o posílení uplatňování zásady stejné odměny mužů a žen za stejnou nebo práci nebo práce stejné hodnoty prostřednictvím transparentnosti odměňování představuje jednu z nejvýznamnějších regulatorních změn v oblasti pracovního práva a compliance posledních let. Nová úprava významně rozšiřuje informační povinnosti zaměstnavatelů a současně vytváří nový regulatorní vztah mezi pracovním právem, ochranou osobních údajů a corporate governance.
Směrnice EU 2023/970 o transparentnosti odměňování zavádí zásadní obrat v dosavadním přístupu k mzdovým údajům, když zaměstnavatelům ukládá povinnost zveřejňovat informace o průměrných úrovních odměňování a rozdílech v odměňování žen a mužů. Přestože směrnice výslovně požaduje soulad s GDPR, její praktická implementace vyvolává závažné napětí mezi právem zaměstnanců na informace a zásadou minimalizace oso... více
Směrnice sleduje legitimní cíl odstranění gender pay gap a posílení zásady stejné odměny za stejnou práci. Současně však otevírá zásadní otázky týkající se ochrany soukromí zaměstnanců, rozsahu zpracování mzdových údajů a hranic transparentnosti v pracovněprávních vztazích. Přestože směrnice explicitně stanoví povinnost souladu s GDPR[2], praktická implementace bude pro zaměstnavatele znamenat významné technologické, organizační i právní výzvy.
1. Transparentnost odměňování jako nový compliance framework
Směrnice o transparentnosti odměňování představuje posun od tradiční důvěrnosti mzdových údajů směrem k regulatorně vynucované transparentnosti. Zaměstnavatelé budou nově povinni poskytovat zaměstnancům informace o průměrných úrovních odměňování[3] v rámci srovnatelných pracovních kategorií, zveřejňovat údaje o gender pay gap a v určitých případech provádět společné posouzení odměňování se zástupci zaměstnanců.
Tato regulatorní změna zásadně mění dosavadní paradigma ochrany mzdových údajů. Zatímco historicky byly informace o odměňování považovány za vysoce důvěrné a často podléhaly interním confidentiality pravidlům, nová evropská úprava vychází z předpokladu, že právě nedostatek transparentnosti představuje jeden z hlavních strukturálních faktorů přetrvávající nerovnosti v odměňování.
2. Mzdové údaje jako osobní údaje podle GDPR
Údaje o odměňování zaměstnanců představují osobní údaje ve smyslu čl. 4 odst. 1 GDPR[4]. Přestože zpravidla nespadají mezi zvláštní kategorie osobních údajů podle čl. 9 GDPR[5], jejich citlivost z pohledu ochrany soukromí je mimořádně vysoká. Evropská i národní dozorová praxe dlouhodobě akcentuje, že neoprávněné zpřístupnění mzdových údajů může významně zasáhnout do práv a oprávněných zájmů zaměstnanců.
Specifický problém vzniká zejména v případě malých srovnávacích skupin. I agregované nebo zdánlivě anonymizované údaje mohou vést k nepřímé identifikaci konkrétní osoby.[6] Pokud například zaměstnavatel zveřejní průměrnou mzdu v kategorii, kde působí pouze jedna žena nebo jeden muž, může být individuální odměna snadno odvoditelná.
3. Napětí mezi právem na informace a zásadou minimalizace údajů
Jedním z nejvýznamnějších právních problémů implementace směrnice bude nalezení rovnováhy mezi právem zaměstnanců na informace a zásadou minimalizace údajů podle čl. 5 odst. 1 písm. c) GDPR[7]. Zaměstnavatelé budou nuceni zpracovávat rozsáhlé množství mzdových dat za účelem plnění zákonných povinností, současně však budou povinni omezit rozsah zpracování na minimum nezbytné pro dosažení regulatorního účelu.
Významnou roli zde bude hrát správné nastavení anonymizačních a pseudonymizačních mechanismů, stejně jako vhodná definice srovnávacích skupin. Lze očekávat, že národní implementační legislativa bude muset řešit otázku minimální velikosti skupin, aby bylo zabráněno nepřímé identifikaci subjektů údajů.
4. Governance, přístupová oprávnění a bezpečnost dat
Směrnice prakticky vytváří nový standard HR data governance. Zaměstnavatelé budou nuceni implementovat detailní pravidla přístupových oprávnění, auditních logů a interních kontrolních mechanismů. Přístup k raw mzdovým datům bude muset být omezen na úzký okruh osob v souladu s principem need-to-know.[8]
Z pohledu čl. 32 GDPR[9] bude nezbytné zavést adekvátní technická a organizační opatření, včetně šifrování databází, omezení exportů dat, monitoringu přístupů a retenčních politik. Únik údajů o odměňování může představovat nejen regulatorní riziko, ale rovněž závažný reputační problém s dopadem na zaměstnanecké vztahy a důvěru uvnitř organizace.
5. Dopady na corporate compliance a ESG
Problematika transparentnosti odměňování již není pouze otázkou pracovního práva. V praxi se stává součástí širší ESG a corporate governance agendy. Investoři, regulátoři i zaměstnanci stále častěji očekávají transparentní a objektivně odůvodnitelné systémy odměňování.
Lze očekávat, že implementace směrnice povede k nárůstu diskriminačních sporů, whistleblowingových oznámení a regulatorního dohledu. Organizace proto budou muset zapojit nejen HR oddělení, ale rovněž compliance, interní audit, IT security a DPO funkce.
Závěr
Směrnice o transparentnosti odměňování představuje zásadní regulatorní změnu, která významně promění způsob nakládání s mzdovými údaji v evropských podnicích. Úspěšná implementace nebude spočívat pouze v plnění nových reportingových povinností, ale především v nalezení udržitelné rovnováhy mezi transparentností a ochranou soukromí zaměstnanců.
Pro zaměstnavatele bude klíčové zahájit přípravy v dostatečném předstihu, provést detailní analýzu datových toků a nastavit robustní compliance framework odpovídající požadavkům pracovního práva, GDPR a moderní corporate governance.
JUDr. Thomas Britz
advokát
Associate Partner
RÖDL
Platnéřská 191/2
110 00 Praha 1
Tel.: +420 236 163 111
E-mail: thomas.britz@roedl.com
Literatura
VOIGT, Paul – VON DEM BUSSCHE, Axel. The EU General Data Protection Regulation (GDPR). Cham: Springer, 2017
KUN, Attila. Pay Transparency and Equal Pay in European Labour Law. European Labour Law Journal, 2024
Richtlinie (EU) 2023/970
Nařízení (EU) 2016/679 (GDPR)
[1] Směrnice Evropského parlamentu a Rady (EU) 2023/970 ze dne 10. května 2023.
[2] Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016.
[3] Srov. čl. 7 až 10 směrnice (EU) 2023/970.
[4] „Pro účely tohoto nařízení se rozumí: „osobními údaji“ veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen „subjekt údajů“); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.“
[5] Čl. 9 GDPR stanoví zákaz zpracování zvláštních kategorií osobních údajů (např. údaje o zdravotním stavu, politických názorech či etnickém původu), s výjimkou taxativně vymezených případů, zejména pokud subjekt údajů udělil výslovný souhlas, zpracování je nezbytné pro plnění povinností v pracovněprávní či sociální oblasti, ochraně životně důležitých zájmů, výkonu právních nároků nebo z důvodu významného veřejného zájmu, přičemž musí být vždy zajištěny odpovídající záruky ochrany práv subjektů údajů a zachována důvěrnost těchto údajů.
[6] K problematice nepřímé identifikace subjektu údajů srov. recitál 26 GDPR.
[7] „Osobní údaje musí být: přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány („minimalizace údajů“).“
[8] Viz odborný materiál „Entgelttransparenzrichtlinie und Datenschutz: Neue Anforderungen an Unternehmen“, 2B Advice, 2026.
[9] Čl. 32 GDPR ukládá správci a zpracovateli povinnost zavést přiměřená technická a organizační opatření k zajištění bezpečnosti zpracování odpovídající míře rizika, zejména zahrnující pseudonymizaci a šifrování osobních údajů, zajištění důvěrnosti, integrity a dostupnosti systémů, schopnost obnovy dat při incidentech a pravidelné testování účinnosti těchto opatření, přičemž je nutné zohlednit i rizika neoprávněného přístupu, ztráty či zneužití údajů a zajistit, aby k údajům přistupovaly pouze oprávněné osoby.
Časté dotazy k tématu
© EPRAVO.CZ – Sbírka zákonů, judikatura, právo | www.epravo.cz
