Zaměstnavatel je povinen chránit osobní údaje zaměstnance nejen po dobu trvání pracovního poměru, ale i po jeho skončení a určité povinnosti má i před vznikem pracovního poměru vůči uchazeči.

Povinnost ochrany osobních údajů platí už dnes a ne až od května 2018, kdy nabude účinnosti nařízení GDPR.

Ochrana osobních údajů je upravena zákonem č. 101/2000 Sb., o ochraně osobních údajů,  a ve vztahu k zaměstnancům především zákonem č. 262/2006 Sb.,  zákoníkem práce, který přesně stanoví, které údaje zaměstnavatel potřebuje a které ne, takže s jejich případným shromažďováním a zpracováním potřebuje souhlas.

Pokud jde o uchazeče o zaměstnání, tak ten standardně předkládá životopis, který obsahuje osobní údaje -  jméno, příjmení, datum narození, telefonní číslo, adresu. Po skončení výběrového řízení, pokud není uchazeč přijat do pracovněprávního vztahu, je nutno tento životopis zlikvidovat, a to nejen vytištěný exemplář, ale i příslušný mail s přílohou. V některých případech si zaměstnavatelé uchovávají osobní údaje uchazečů v databázi vhodných zaměstnanců. V takovém případě, ale k tomu musí mít písemný souhlas uchazeče.

Další otázkou je výpis z rejstříku trestů. Zaměstnavatelé ho stále vyžadují, i když zákon to zakazuje. Výpis z rejstříku trestů je možno požadovat pouze v případě, kdy to je pro danou práci nutné – např. zaměstnanec v pozici pokladníka, pracovník v bance, řidič (zde však je nutno posoudit, zda případné odsouzení souvisí s povahou práce), učitel zdravotní sestra atd.

Rovněž kopie občanského průkazu nebo pasu smí zaměstnavatel pořizovat jen s výslovným souhlasem uchazeče.

A už vůbec se během vstupního pohovoru nesmí zjišťovat rodinné a majetkové poměry – tedy stav, počet a stáří dětí, existence hlídací babičky, případné těhotenství, sexuální orientace, náboženské přesvědčení, členství v politických stranách či odborech.

Pokud jde o zaměstnance, zde už zaměstnavatel osobní údaje zpracovává ze zákona pro potřeby mezd, daní, sociálního a zdravotního pojištění. Rovněž tím, že vysílá zaměstnance na pracovnělékařské prohlídky, je ze zákona informován o způsobilosti zaměstnance vykonávat přidělenou práci. O zdravotním stavu, který se netýká vykonávané práce, však informace mít nemá. Nadále ovšem nesmí sbírat a zpracovávat žádné informace o sexuální orientaci, původu, členství v odborové organizaci, členství v politických stranách, příslušnosti k církvi. Pokud to souvisí v povaze vykonávané práce je oprávněn vyžadovat informace o těhotenství (např. zakázané práce) a rodinných poměrech (např. úprava pracovního úvazku či směn z důvodu péče o děti).

Vzhledem k tomu, že má zaměstnavatel právo zjistit, zda je přidělený pracovní prostředek používán k výkonu práce, je oprávněn v případě, že má podezření, že tomu tak není, sledovat počet doručených a odeslaných mailů a adresáty a odesílatele. Nikdy však nesmí maily číst ani na pracovním mailu.  Další problémem je monitoring aktivit zaměstnance na internetu. Ten je přípustný jen v případě, že je zaměstnanec na možnost monitoringu upozorněn.

Pokud jde o kamery na pracovišti, tak ty lze instalovat pouze v případě, že to nařizuje právní předpis nebo pro to existuje oprávněný důvod (ochrana majetku, zajištění bezpečí, ochrana života a zdraví). Zaměstnavatel musí zaměstnance informovat, že je prostor sledován. Ani v případě oprávněné instalace kamer však nesmí být sledována soukromá sféra zaměstnance (toalety, sprchy, šatny).

Další častou otázkou je oprávněnost instalace GPS ve služebních vozidlech. A opět i zde platí pravidlo, že to lze jen v odůvodněných případech (ochrana majetku). Pokud je služební vozidlo přiděleno i k soukromým účelům, nemůže být zaměstnance v mimopracovní době monitorován.

Po skončení pracovního poměru může zaměstnavatel zpracovávat osobní údaje pouze omezeně v rozsahu, který stanoví právní předpisy – tedy pro účely sociálního důchodového pojištění – i bez souhlasu bývalého zaměstnance. Rovněž mohou být uchovány všechny údaje potřebné pro případný soudní spor (např. o neplatnost rozvázání pracovního poměru), a to po dobu nezbytně nutnou.

Nařízení GDPR přinese některá zpřísnění při zacházení s osobními údaji, neboť osobním údajem bude např. nově i pracovní mail a pracovní telefonní číslo. Rovněž se rozšíří informační povinnost zaměstnavatele, který bude muset informovat, kdo a jaké osobní údaje zpracovává, k jakému účelu a kdo k nim má přístup. Dále bude muset přesně uvést, jaké oprávněné zájmy chrání instalací kamerového systému na pracovišti a zda a jak dlouho je záznam uchováván.

Na závěr ještě jedna novinka. Novelou zákona o inspekci práce č. 251/2005 Sb., byla s účinností od 1. srpna 2017 kontrola na úseku ochrany soukromí a osobnostních práv zaměstnanců zařazena do pravomoci inspektorátů práce. Inspektoráty práce tak mohou zjišťovat, zda zaměstnavatelů dodržují povinnosti při monitorování pracoviště kamerovým systémem, při sledování služebních vozidel GPS, při monitorování emailů a aktivit zaměstnance na internetu a udělovat pokutu až do výše 1,000.000 Kč.