Na co se zaměstnavatel (ne)smí ptát a jaké má zaměstnavatel povinnosti při zpracování osobních údajů uchazečů?, část II.

Povinnosti při výběrovém řízení z pohledu ZOOÚ

Zaměstnavatel jako správce je především povinen stanovit účel zpracování osobních údajů (např. pořádání výběrového řízení, evidence potenciálních uchazečů pro budoucí pracovní příležitosti, evidence odmítnutých uchazečů z důvodu ochrany práv zaměstnavatele) a také prostředky a způsob tohoto zpracování. Svým rozhodnutím je pak zaměstnavatel vázán po celou dobu zpracování osobních údajů, neboť je to právě účel zpracování, který předurčuje např. i rozsah a dobu zpracování.

Obecně platí, že správce může zpracovávat osobní údaje pouze se souhlasem subjektu údajů. ZOOÚ však stanoví některé určité výjimky z povinnosti získat souhlas subjektu údajů (§ 5 odst. 2 ZOOÚ).

Správce je dále povinen oznámit zamýšlené zpracování osobních údajů Úřadu pro ochranu osobních údajů („Úřad“). Také z oznamovací povinnosti ZOOÚ upravuje výjimky, jejich rozsah je však užší než v případě povinnosti získávat souhlas subjektu údajů (§ 18 odst. 1 ZOOÚ).

Při shromažďování osobních údajů je správce dle § 11 ZOOÚ povinen subjekt údajů informovat o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny, nejsou-li subjektu údajů tyto informace již známy (např. subjekt údajů byl již informován při udělení souhlasu se zpracováním osobních údajů). Správce musí dále subjekt údajů informovat o jeho právu přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších právech stanovených v § 21 ZOOÚ (např. právo subjektu údajů požádat správce o vysvětlení). V případě, kdy správce zpracovává osobní údaje získané od subjektu údajů, musí subjekt údajů poučit o tom, zda je poskytnutí osobního údaje povinné, či dobrovolné. Je-li subjekt údajů povinen podle zvláštního zákona osobní údaje pro zpracování poskytnout, poučí jej správce o této skutečnosti, jakož i o následcích odmítnutí poskytnutí osobních údajů.

V případě provádění výběrového řízení je zaměstnavatel správcem osobních údajů uchazečů o zaměstnání. Pokud se zaměstnavatel rozhodne výběrové řízení neprovádět sám, ale prostřednictvím nebo za asistence agentury práce, bude agentura práce v pozici tzv. zpracovatele, který může provádět buď celé výběrové řízení nebo jen jeho část (např. shromáždění a prvotní vyhodnocení údajů o uchazečích o zaměstnání obsažených v dotaznících nebo životopisech provede agentura práce, ale vlastní pohovory, výběr budoucích zaměstnanců a jednání o uzavření pracovní smlouvy již bude provádět sám zaměstnavatel). Pro tento případ ZOOÚ stanoví správci povinnost uzavřít se zpracovatelem písemnou smlouvu o zpracování osobních údajů, ve které musí být výslovně uvedeno, v jakém rozsahu, za jakým účelem a na jakou dobu se uzavírá, a také musí obsahovat záruky zpracovatele o technickém a organizačním zabezpečení ochrany osobních údajů.

Správce i jakýkoliv zpracovatel jsou povinni přijmout taková opatření k zabezpečení osobních údajů, aby nemohlo dojít k jejich zneužití. Tato povinnost přitom trvá nejen v době zpracování údajů, ale i po jeho ukončení. Rozsah, forma a způsob bezpečnostních opatření vždy musejí být adekvátní poměrům, za nichž dochází ke zpracování osobních údajů, zejména též s přihlédnutím k prostředkům, jimiž jsou údaje dále zpracovány. V praxi je vhodné nejprve provést analýzu rizik, na jejím základě naformulovat bezpečnostní politiku správce nebo zpracovatele a poté učinit konkrétní opatření.

Příklad

Zaměstnavatel se rozhodne uspořádat výběrové řízení na určité pracovní pozice. Za tímto účelem je zveřejněn inzerát s výzvou, aby případní uchazeči zaslali svůj životopis, a zároveň je na webových stránkách zaměstnavatele umístěn dotazník, který mohou uchazeči elektronicky vyplnit a zaslat zaměstnavateli.

Po skončení výběrového řízení zaměstnavatel hodlá nadále zpracovávat osobní údaje některých neúspěšných uchazečů, kteří by byli pro zaměstnavatele přijatelní v případě budoucích pracovních příležitostí. Za tímto účelem je vytvořena databáze potenciálních kandidátů. Zaměstnavatel však také zamýšlí vést evidenci všech odmítnutých uchazečů včetně důvodu pro jejich nepřijetí, a to z důvodu ochrany v případě soudních sporů s těmito uchazeči.

V případě zpracování osobních údajů uchazečů o zaměstnání obsažených v životopisech a dotaznících pro účely vyhlášeného výběrového řízení zaměstnavatel nepotřebuje souhlas těchto osob, jelikož se zde uplatní výjimka stanovená ZOOÚ, tj. jedná se o zpracování, které je nezbytné pro jednání o uzavření smlouvy uskutečněné na návrh subjektu údajů. Za tímto účelem může také zaměstnavatel získávat potřebné informace od jiných osob (např. od bývalých zaměstnavatelů uchazeče, pokud se jedná o informace, které mohou být obsahem pracovního posudku). Zaměstnavatel však musí pro účely výběrového řízení zpracovávat jen osobní údaje, které jsou relevantní pro uzavření pracovní smlouvy. Zpracování osobních údajů v rámci výběrového řízení není také nutné oznamovat Úřadu, jelikož se na toto zpracování uplatní výjimka vzhledem k tomu, že je takových osobních údajů třeba k uplatnění práv vyplývajících ze zvláštního zákona (tj. právo provádět výběr nových zaměstnanců dle zákoníku práce).

Pokud zaměstnavatel po skončení výběrového řízení neskartuje nebo jinak nezlikviduje životopisy a dotazníky neúspěšných uchazečů, ale uchovává je po určitou dobu ve zvláštní složce nebo databázi pro účely budoucích výběrových řízení, musí získat souhlas těchto uchazečů a také oznámit toto zpracování Úřadu. Při udělení souhlasu musí být takový uchazeč informován o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Takový souhlas musí být zaměstnavatel schopen prokázat po celou dobu zpracování, a proto lze doporučit získávat vždy písemný souhlas s podpisem subjektu údajů. Na daném dokumentu je vhodné uvést veškeré požadované informace, čímž prokáže splnění jeho další povinnosti dle § 11 ZOOÚ, tj. informovat subjekt údajů o všech aspektech zpracování jeho osobních údajů. Zaměstnavatel může text souhlasu s příslušnými informacemi zaslat uchazeči již při první odpovědi na obdržený životopis nebo ho umístit na webové stránky společně s dotazníkem. Oznamovací povinnost vůči Úřadu může být splněna prostřednictvím webových stránek Úřadu (www.uoou.cz), kde je umístěn i příslušný formulář.

V případě, že zaměstnavatel bude uchovávat i osobní údaje zcela nevhodných uchazečů v rozsahu a po dobu nezbytnou pro svou ochranu v případě možného soudního sporu (např. z důvodu domnělé diskriminace), není nutné získávat od uchazečů souhlas s tímto zpracováním, protože se jedná o další výjimku stanovenou ZOOÚ (tj. zpracování je nezbytné pro ochranu práv a právem chráněných zájmů správce). Je však nutné splnit informační povinnost vůči příslušným uchazečům tak, jak bylo uvedeno výše, a doporučuji toto zpracování oznámit i vůči Úřadu (pokud zatím k žádnému sporu nedošlo).

Jestliže by zaměstnavatel pouze provedl výběrové řízení a životopisy nebo dotazníky všech nevyhovujících uchazečů by rovnou skartoval nebo jinak zlikvidoval, musel by splnit pouze informační povinnost při shromažďování osobních údajů v rámci odpovědi na obdržené dokumenty od uchazečů nebo prostřednictvím svých webových stránek.

Ve všech uvedených příkladech musí být zajištěna dostatečná ochrana všech získaných údajů o uchazečích přijetím adekvátních technických, organizačních a personálních opatření.

Tip

Všechny informace vyžadované v rámci výběrového řízení prostřednictvím různých dotazníků či formulářů nebo získané ze životopisů uchazečů o zaměstnání by měly být zrevidovány v souladu s požadavky pracovněprávních předpisů a ZOOÚ, aby nedocházelo k neoprávněnému zpracování citlivých údajů a případným stížnostem ze strany uchazečů o zaměstnání. Zejména by měly být jasně rozlišeny informace, které zaměstnavatel potřebuje při výběrovém řízení pro posouzení jednotlivých uchazečů (např. identifikační a kontaktní údaje, informace o vzdělání, kvalifikaci, schopnostech, předchozí praxi a případné zvláštní způsobilosti, včetně pracovních posudků) a po vzniku pracovního poměru (např. rodné číslo, informace o rodinných příslušnících pro daňové účely, bankovní spojení). Podle toho by měly být také upraveny jednotlivé dotazníky a formuláře zaměstnavatele.

V rámci přípravy výběrových řízení je také důležité věnovat náležitou pozornost textu souhlasů uchazečů, pokud jsou třeba, a obsahu webové stránky věnující se nabídkám volných pracovních pozic u zaměstnavatele. Také je nutné provádět včasnou likvidaci osobních údajů, pokud uplyne doba, na kterou byl poskytnut souhlas uchazeče, nebo pomine účel, pro který byly údaje zpracovávány.