Zpracování osobních údajů zaměstnanců s přihlédnutím k možnosti sledování produktivity

O Nařízení GDPR byla napsána již celá řada publikací a příspěvků, přesto je však Nařízení GDPR, zejména jeho implementace a praktické dopady s implementací spojené, předmětem zájmu odborné i laické veřejnosti. Autor se v rámci tohoto příspěvku stručně zaměřil na zpracování osobních údajů zaměstnanců s přihlédnutím k možnosti sledování produktivity zaměstnanců.

Advokátní kancelář Kříž a partneři s.r.o.

Produktivitou je myšlen vztah mezi vstupy (zejm. v podobě materiálu, prostředků zaměstnavatele, lidských zdrojů a potřebného času) a výstupy. Hlídání produktivity tak představuje činnost spočívající ve sledování vstupů, které se transformují na výstupy. Cíl hlídání produktivity proto spočívá ve vytvoření přehledu o využívání zdrojů tak, aby tyto zdroje bylo možné efektivněji využívat. Na jedné straně zde proto máme ekonomický zájem společností na efektivním využívání zdrojů, oproti kterému je třeba postavit práva zaměstnanců vyplývající z pracovního poměru a z předpisů na ochranu osobních údajů.

Je tak vhodné začít určením účelu, za jakým se údaje zaměstnanců sbírají. Od takovéhoto účelu se odvíjí právní základ pro jejich zpracování, tj. zda jejich zpracování je zákonné. Nařízení GDPR taxativně stanovuje šest podmínek, z nichž alespoň jedna musí být splněna, aby zpracování bylo zákonné – zpracování nezbytné pro splnění smlouvy, zpracování je nezbytné pro splnění právní povinnosti, zpracování je nezbytné pro ochranu zájmů subjektů údajů, zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu či zpracování je nezbytné pro účely oprávněných zájmů správce (v našem případě zaměstnavatele). Zpracování osobních údajů však může probíhat i na základě souhlasu subjektu údajů.

V případě zpracování osobních údajů na základě souhlasu v pracovněprávních vztazích je však nutné zohlednit postavení zaměstnance a zaměstnavatele, kteří si v pracovněprávním vztahu nejsou rovni. Zde tedy vzniká problém, jestliže by mělo ke zpracování osobních údajů zaměstnanců docházet na základě souhlasu, jelikož jednou z podmínek, kterou Nařízení GDPR na souhlas klade, spočívá v jeho svobodném udělení. V případě souhlasu v rámci pracovněprávního vztahu tak podmínka svobodného udělení souhlasu může být zpochybňována, a to právě na základě podstaty samotného vztahu mezi zaměstnancem a zaměstnavatelem. Je proto na místě se pokusit opřít zpracování osobních údajů zaměstnanců o jiný ze zbývajících přípustných titulů pro zpracování.

Zpracování osobních údajů tak vždy musí být založeno na některém ze zákonných důvodů. V případě sledování produktivity zaměstnanců se nabízí zejm. zpracování osobních údajů na základě plnění ze smlouvy a zpracování osobních údajů za účelem ochrany oprávněných zájmů zaměstnavatele.

Jako příklad oprávněného zájmu zaměstnavatele je tak možné uvést zpracování osobních údajů při dohledu nad shromážděnými osobními údaji ve vztahu k podnikatelské činnosti nebo při dohledu nad ochranou majetku společnosti včetně ochrany duševního vlastnictví společnosti nebo právě při sledování možností, jak navýšit produktivitu zaměstnanců.

Při přijímání opatření z důvodu oprávněného zájmu zaměstnavatele však není možné postupovat absolutně – existuje zde limit spočívající v přiměřenosti takového zásahu vůči účelu, který se přijímaným opatřením sleduje. V případě, že tak bude přijato opatření, které je již nepřiměřené, zaměstnavatel se vystavuje riziku postihu.

I ve vztahu k výkladu přiměřenosti je třeba přistupovat na základě konkrétních okolností, např. o jaký druh zaměstnání se jedná. V případě, že se bude jednat o administrativní činnost spočívající v práci na počítači, jeví se jako problematické nasadit na pracovní stanici aplikaci, která by kontinuálně monitorovala činnost zaměstnance, či kameru, která by po celou pracovní dobu zaměstnance sledovala. Nasazení kamery by však bylo oprávněné, jestliže by se jednalo např. o práci pokladní nebo pokud by zde byla potřeba zvýšené ochrany majetku zaměstnavatele. Oproti tomu, jestliže se bude jednat o výrobní činnost, je sledování např. počtu vyrobených kusů za směnu ze strany zaměstnavatele oprávněné.

Pro zpracování osobních údajů platí dle Nařízení GDPR zásady, které musí být ve vztahu ke zpracování osobních údajů dodrženy. Mezi tyto zásady se např. řadí, že zpracování osobních údajů musí být v přiměřeném rozsahu, musí odpovídat charakteru práce a musí být omezeno pro specifický a legitimní účel. Mezi zásady se rovněž řadí zásada transparentnosti.

Aby byla zásada transparentnosti dodržena, je třeba ze strany správce osobních údajů, v našem případě zaměstnavatele, být otevřený ohledně způsobu, jakým ke zpracování osobních údajů dochází a jakým způsobem je se získanými osobními údaji naloženo. Na zásadu transparentnosti poté navazuje povinnost informovat subjekt údajů o procesu zpracování osobních údajů.

Ze strany zaměstnavatele by tak mělo dojít např. ke sdělení, jaké osobní údaje se shromažďují a za jakým účelem, kdo má k získaným osobním údajům přístup a jak dlouho budou osobní údaje uchovávány. Současně musí být zaměstnancům sdělena jejich práva ve vztahu ke zpracování osobních údajů. Jestliže by tak zaměstnavatel neučinil, vystavuje se riziku sankce.

Zaměstnavatel je rovněž povinen přijmout odpovídající organizační a technická opatření za účelem ochrany získaných osobních údajů.