Odpovede advokáta JUDr. Milan Ficeka na otázky Hospodárskych novín
Problematiku spracúvania osobných údajov upravuje najmä zákon č. 122/2013 Z. z. o ochrane osobných údajov v účinnom znení (ďalej len „ZoOÚ“). Ochrana osobných údajov prešla v posledných rokoch výraznejšími zmenami, zameranými najmä na zvýšenie ochrany osobných údajov, a to obzvlášť biometrických údajov. Biometrické údaje sú tie, ktoré zabezpečujú jednoznačnosť a nezameniteľnosť jednotlivca. Z uvedeného dôvodu sú biometrické údaje obzvlášť citlivé pre každého človeka. Vzhľadom na špecifiká spracúvania biometrických údajov bude článok rozdelený na dve časti. V prvej časti bude uvedená všeobecná úprava spracúvania osobných údajov zamestnancov (s výnimkou biometrických údajov) a v druhej bude uvedená úprava problematiky spracúvania biometrických údajov.
I. Všeobecná úprava spracúvania osobných údajov
Základné pravidlo pri akomkoľvek spracovaní osobných údajov je obsiahnuté v § 9 ZoOÚ podľa ktorého môže prevádzkovateľ (pričom prevádzkovateľom je každý, kto sám alebo spoločne s inými vymedzí účel spracúvania osobných údajov, určí podmienky ich spracúvania a spracúva osobné údaje – tedaprevádzkovateľom je aj každý zamestnávateľ spracúvajúci minimálne osobné údaje svojich zamestnancov; na účely tohto článku budú pojmy zamestnávateľ a prevdázkovateľ ďalej používané synonymicky) spracúvať osobné údaje len na základe a) priamo vykonateľného právne záväzného aktu Európskej únie, b) medzinárodnej zmluvy, ktorou je Slovenská republika viazaná, c) ustanovení ZoOÚ, d) ustanovení osobitného zákona – teda ak tak ustanoví iný zákon ako ZoOÚ, e) súhlasu dotknutej osoby.
Zamestnávateľ nemôže spracúvať osobné údaje svojich zamestnancov zo žiadnych iných, okrem vyššie uvedených 5 právnych dôvodov. V prípade zamestnávateľov prichádzajú v praxi do úvahy najčastejšie 2 z vyššie uvedených dôvodov, ktoré ich oprávňujú spracúvať osobné údaje svojich zamestnancov. Sú nimi ustanovenia ZoOÚ a súhlas dotknutej osoby.
ZoOÚ rešpektuje potrebu zamestnávateľov spracúvať určitými spôsobmi vybrané osobné údaje o svojich zamestnancov na účely uzavretého pracovného pomeru alebo dohôd o výkone prác vykonávaných mimo pracovného pomeru aj bez súhlasu zamestnancov. ZoOÚ v ustanovení § 12 ods. 3 oprávňuje zamestnávateľa sprístupňovať, poskytovať, zverejňovať osobné údaje svojich zamestnancov v nasledovnom rozsahu osobných údajov: titul, meno, priezvisko, pracovné, služobné alebo funkčné zaradenie, odborný útvar, miesto výkonu práce, telefónne číslo, faxové číslo alebo elektronická pošta na pracovisko a identifikačné údaje zamestnávateľa, za predpokladu, že je to potrebné v súvislosti s plnením pracovných, služobných alebo funkčných povinností zamestnanca. ZoOÚ však akcentuje to, že sprístupnenie, poskytovanie alebo zverejnenie týchto údajov nemôže narušiť vážnosť, dôstojnosť a bezpečnosť zamestnanca.
Vo vzťahu k iným osobným údajom zamestnanca, na iné účely, či iné operácie spracúvania osobných údajov, na ktoré neoprávňuje zamestnávateľa niektorý z právnych predpisov uvedených vyššie pod písm. a) až d), môže zamestnávateľ spracúvať osobné údaje zamestnancov výlučne na základe súhlasu zamestnanca. Zamestnávateľ je ale aj pri takomto spracúvaní osobných údajov zamestnanca povinný rešpektovať obmedzenie vyplývajúce mu z čl. 11 Zákonníka práce, podľa ktorého zamestnávateľ môže o zamestnancovi zhromažďovať len (1.) osobné údaje súvisiace s kvalifikáciou a profesionálnymi skúsenosťami zamestnanca a (2.) údaje, ktoré môžu byť významné z hľadiska práce, ktorú zamestnanec má vykonávať, vykonáva alebo vykonával.
Z uvedeného článku Zákonníka práce vyplývajú zamestnávateľovi limity, v rámci ktorých je povinný postupovať pri získavaní súhlasu zamestnancov so spracúvaním osobných údajov podľa ZoOÚ, pričom získanie tohto súhlasu je nevyhnutným predpokladom na získavanie a spracúvanie osobných údajov zamestnancov. Musí ísť teda primárne len o osobné údaje súvisiace s kvalifikáciou, profesionálnymi skúsenosťami a zamestnanca a údaje, ktoré môžu byť významné z hľadiska práce.
Keďže Zákonník práce v tejto súvislosti používa pomerne neurčité pojmy, to, o ktoré konkrétne osobné údaje v konkrétnom prípade pôjde, bude vždy závisieť od špecifických okolností toho ktorého prípadu – najmä od charakteru pracovnej pozície. Z uvedeného dôvodu konkrétny rozsah údajov žiadny právny predpis bližšie nešpecifikuje. V prípade, ak by sa zamestnanec domnieval, že zamestnávateľ od neho vyžaduje a spracúva jeho osobné údaje nad uvedený rámec, môže sa domáhať (postupom uvedeným v bode III.) preskúmania postupu zamestnávateľa Úradom na ochranu osobných údajov.
ZoOÚ súčasne pomerne detailne v § 11 až 12 upravuje požiadavky súhlasu so spracovaním osobných údajov. Podľa uvedených ustanovení musí súhlas so spracúvaním osobných údajov obsahovať to, kto súhlas poskytol (teda identifikačné údaje zamestnanca), komu sa tento súhlas dáva (identifikačné údaje zamestnávateľa), na aký účel, zoznam alebo rozsah osobných údajov a čas platnosti súhlasu. Súhlas daný v písomnej podobe musí byť vlastnoručne podpísaný zamestnancom, inak je neplatný.
II. Spracúvanie biometrických údajov zamestnanca (napr. na účely vedenia evidencie dochádzky)
ZoOÚ zaraďuje všetky biometrické údaje v § 13 medzi osobitné kategórie osobných údajov, ktoré sa vo všeobecnosti považujú za obzvlášť citlivé pre každého človeka, a to najmä z dôvodu, že ich zneužitie či neoprávnené zverejnenie predstavuje významný zásah do práva na súkromie a do osobnostných práv.
Biometrickým údajom je podľa § 4 ods. 3 písm. f) ZoOÚ osobný údaj fyzickej osoby označujúci jej biologickú alebo fyziologickú vlastnosť alebo charakteristiku, na základe ktorej je jednoznačne a nezameniteľne určiteľná. Následne ZoOÚ demonštratívne uvádza niektoré, v praxi najčastejšie používané biometrické údaje, a to odtlačok prsta, odtlačok dlane či analýzu deoxyribonukleovej kyseliny (DNA).
ZoOÚ stanovuje prísnejšie podmienky oprávňujúce prevádzkovateľa na spracúvanie biometrických údajov v porovnaní so spracúvaním iných ako biometrických osobných údajov. ZoOÚ ustanovuje presné podmienky, výlučne za splnenia ktorých môže prevádzkovateľ (ktorým môže byť aj zamestnávateľ) spracúvať biometrické údaje.
Tieto podmienky sú ustanovené v § 13 ods. 5 ZoOÚ. Podľa uvedeného ustanovenia môže zamestnávateľ ako prevádzkovateľ spracúvať biometrické údaje len vtedy, ak (1.) je to primerané účelu spracúvania, (2.) nevyhnutné na jeho dosiahnutie a ak (3.):
a) to prevádzkovateľovi vyplýva výslovne zo zákona,
b) dotknutá osoba (v tomto prípade zamestnanec) dala na spracúvanie písomný alebo inak hodnoverne preukázateľný súhlas,
c) spracúvanie osobných údajov je nevyhnutné na plnenie zmluvy alebo
d) spracúvanie osobných údajov je nevyhnutné na ochranu práv a právom chránených záujmov prevádzkovateľa (zamestnávateľa) alebo tretej strany.
Všetky vyššie uvedené tri podmienky musia byť pritom splnené kumulatívne (súčasne).
Zamestnávateľ nemôže spracúvať biometrické údaje skôr, ako prihlásil príslušný informačný systém na osobitnú registráciu na Úrade na ochranu osobných údajov. Úrad na ochranu osobných údajov v konaní, ktoré sa začína prihlásením informačného systému preveruje, či sú splnené všetky vyššie uvedené podmienky na to, aby mohol zamestnávateľ spracúvať biometrické údaje. Ak úrad v konaní zistí, že tieto podmienky splnené nie sú alebo nie je dostatočne zabezpečená ich ochrana, či ich spracúvanie predstavuje vysoké riziko neoprávneného zásahu do práva na ochranu súkromia, úrad osobitnú registráciu neudelí, čo znemožňuje zamestnávateľovi spracúvať biometrické údaje.
Ak by aj zamestnanec poskytol súhlas so spracúvaním svojich biometrických údajov zamestnávateľovi (napr. na účely evidencie dochádzky), avšak zamestnávateľ by nepostupoval vyššie uvedeným spôsobom (teda ak by nesplnil všetky podmienky na spracovanie biometrických údajov alebo ich splnil ale nepožiadal o osobitnú registráciu informačného systému) súhlas zamestnanca by nebol vôbec právne významný a zamestnávateľ by spracovaním biometrických údajov porušoval ZoOÚ.
Osobitne sa možno zamerať na v praxi stále častejšie sa objavujúce zámery zamestnávateľov využívať biometrické údaje na evidenciu dochádzky.
Pre zodpovedanie otázky, či je zamestnávateľ oprávnený spracúvať biometrické údaje na uvedené účely je potrebné posúdiť, či sú v danom prípade splnené vyššie uvedené, pomerne prísne podmienky, s ktorými je spojený vznik oprávnenia zamestnávateľa spracúvať biometrické údaje.
Z konštatntnej rozhodovacej činnosti ako aj stanovísk a metodických pokynov Úradu na ochranu osobných údajov vyplýva, že uvedené podmienky spracúvania biometrických údajov na účely evidencie dochádzky spravidla nebudú naplnené, a to ani v prípade, ak by informačné systémy (napr. zariadenia snímajúce odtlačok prsta) neumožňovali biometrický údaj (obrázok odtlačku prsta) spätne získať, a to z dôvodu, že tieto zariadenia uchovávajú vo svojej pamäti číselný vektor charakterizujúci odtlačok.
V danom prípade spravidla nebudú naplnené základné podmienky primeranosti a nevyhnutnosti takéhoto spracúvania osobných údajov (príklad, kedy zamestnávateľ podmienky splní, sú uvedené v predposlednom odseku v rámci tejto časti). Zásada nevyhnutnosti spracúvania biometrických údajov totiž podľa metodického pokynu Úradu na ochranu osobných údajov znamená takú potrebu a nutnosť spracúvania biometrických údajov, bez ktorých by nemohol byť naplnený účel spracúvania. Keďže ale napríklad pri evidencii dochádzky spravidla možno zamýšľaný účel dosiahnuť aj iným efektívnym, menej rušivým zásahom, nebude splnená podmienka nevyhnutnosti. Podmienka primeranosti zasa vyžaduje, aby výsledná strata súkromia bola primeraná očakávanému prínosu.
Vo všeobecnosti nie je vylúčené, že zamestnávateľ splní podmienky na to, aby mu Úrad na ochranu osobných údajov povolil spracúvanie biometrických údajov svojich zamestnancov. Vzhľadom na vyššie uvedené podmienky pôjde ale v praxi len o výnimočné prípady, medzi ktoré nemožno zaradiť evidenciu dochádzky zamestnancov samú osebe ako takú. Ako príklad, kedy by zamestnávateľ mohol splniť podmienky na vznik oprávnenia spracúvať biometrické údaje svojich zamestnancov možno uviesť situáciu, keď zamestnávateľ bude spracúvať biometrické údaje na účely evidencie vstupu svojich zamestnancov do určitých vyhradených, citlivých, osobitne chránených objektov s vysokou mierou rizika, či prístupu do obdobných technických zariadení - napríklad jadrových elektrární a pod.
Ak v predchádzajúcom odseku popísanom prípade je zamestnávateľ poskytovať náležitú ochranu všetkým získaným biometrickým údajom (tak ako aj všetkým získaným osobným, nebiometrickým, údajom). Úrad na ochranu osobných údajov v konaní o osobitnej registrácii preto okrem iného skúma aj všetky hrozby vyplývajúce z konkrétneho spôsobu spracúvania jednotlivých druhov biometrických údajov. Ak by nebola zabezpečená prevádzkovateľom náležitá ochrana práv fyzických osôb (teda aj zamestnancov) pred neoprávneným zasahovaním do ich súkromného života pri spracúvaní biometrických údajov, Úrad by takýto informačný systém nezaregistroval.
III. Ochranu zamestnanca pred neoprávneným spracúvaním osobných údajov
Ak má zamestnanec podozrenie z porušovania povinností, ktoré jeho zamestnávateľovi vyplývajú zo ZoOÚ, má právo podať návrh alebo podnet Úradu na ochranu osobných údajov týkajúci sa podozrenia z porušovania povinností ustanovených ZoOÚ pri spracúvaní jeho osobných údajov. Úrad takéto podozrenie následne preveruje v rámci výkonu dohľadu nad dodržiavaním ZoOÚ. Úrad na ochranu osobných údajov pri výkone týchto kompetencií disponuje pomerne širokým okruhom oprávnení – je oprávnený napr. predvolať prevdázkovateľa (zamestnávateľa), vykonať uňho kontrolu či uložiť sankcie za porušenie povinností alebo uložiť opatrenia na nápravu. Tieto oprávnenia patria zamestnancovi tak v prípade spracúvania osobných údajov (iných ako biometrických), ako aj v prípade, ak zamestnávateľ spracúva jeho biometrické údaje.
Autor
JUDr. Milan Ficek, advokát
