6a01b7c82cd82f970b0240a51a36eb200b

Zpracování osobních údajů zaměstnavateli v době pandemie COVID-19

COVID-19 | PwC Česká republika

Stále se vyskytují otázky týkající se zpracování osobních údajů v souvislosti s prevencí COVID-19. Na toto již reagoval jak český Úřad pro ochranu osobních údajů, tak Evropský sbor pro ochranu osobních údajů. Následující text přináší shrnutí a rozvedení některý informací uvedených v těchto textech.

Zpracování osobních údajů je obecně možné pouze na základě některého z právních důvodů uvedených v GDPR. Jedním z nich je i případ, kdy je zpracování osobních údajů nezbytné pro splnění právní povinnosti, která se na správce vztahuje (čl. 6 odst. 1 písm. c)). Na tomto místě je třeba upozornit, že se jedná o právní důvod pro zpracování tzv. „běžných“ osobních údajů, tedy těch nespadajících do zvláštních kategorií (tam spadají např. údaje o zdravotním stavu). Taková právní povinnost zaměstnavatele plyne ze zákoníku práce.

Dle zákoníku práce je zaměstnavatel mimo jiné povinen vytvářet bezpečné a zdraví neohrožující pracovní prostředí a pracovní podmínky vhodnou organizací bezpečnosti a ochrany zdraví při práci a přijímáním opatření k předcházení rizikům. Zpracovávaným osobním údajem v tomto případě může být např. informace o tom, zda a kdy se zaměstnanec vrátil ze zahraničí nebo to, který ze zaměstnanců se daný den viděl s externím dodavatelem, případně který z nich se do práce dopravuje MHD. V tomto kontextu je však třeba zdůraznit i zásadu minimalizace osobních údajů, tedy požadavek, aby osobní údaje byly zpracovávány v co nejnižší možné míře a pouze po nezbytnou dobu tak, aby bylo dosaženo legitimního účelu, pro který jsou zpracovávány. Zaměstnanec o zpracování osobních údajů musí být i v této situaci řádně informován.

Obdobná možnost je v GDPR v návaznosti na právní úpravu členských států zaměstnavateli v určitých případech dána i pro zpracování údajů o zdravotním stavu, tedy údajů, které se řadí mezi tzv. zvláštní kategorie (čl 9 odst. 2 pism. h)); v úvahu však teoreticky přicházejí i další právní důvody/výjimky. K tomuto Úřad pro ochranu osobních údajů v sekci často kladené otázky uvádí následující: „Je přirozeně vhodné postupovat v součinnosti s orgány ochrany veřejného zdraví, kterým je také zaměstnavatel v některých situacích povinen ohlásit skutečnosti stanovené právní úpravou.”

V souvislosti se zpracováním osobních údajů zvláštních kategorií je pak více než kde jinde třeba pečlivě vážit oprávněnost jejich zpracování v každém jednotlivém případě, stejně jako zajistit i další povinnosti s tímto zpracováním spojené.

Výše zmíněná minimalizace osobních údajů lze demonstrovat následovně: Informuje-li zaměstnavatel své zaměstnance např. o tom, že je některý z jejich kolegů nakažen virovým onemocněním, udělá to, pokud je to možné, v anonymizované podobě, a to způsobem, aby bylo co nejméně (resp. i s co nejnižší pravděpodobností) zasaženo do soukromí daného jedince a přitom bylo dosaženo cíle tohoto informování. Ideální je, pokud je možné zpracovávat právě anonymizovaná data a informace, neboť je obecně není možné považovat za osobní údaje.***

Radek Buršík, Jan Svoboda
PwC Legal