Pravidla GDPR a vybrané praktické problémy při jejich implementaci - část I.
Nechceme, aby všeobecná a často účelová hysterie kolem GDPR odůvodněná vysokými finančními postihy byla důvodem, proč si (ne)přečíst tento článek. Rádi bychom s našimi klienty a čtenáři sdíleli názory na některé praktické problémy v souvislosti s přípravou dokumentů a implementací procesů v obchodní společnosti. V tomto článku (i v článcích následujících) bychom se zaměřili na určení zákonného důvodu zpracování osobních údajů („OÚ“) zaměstnanců.
smiptat-445313e0.png)
GDPR definuje několik důvodů opravňujících zaměstnavatele zpracovávat OÚ zaměstnance (obvykle zákonná povinnost, plnění smlouvy, oprávněný zájem správce nebo třetí osoby, opatření v souvislosti s uzavřením smlouvy…) a udělený souhlas by měl být pouze krajním řešením v případech, kdy je nezbytně nutné OÚ zpracovávat a nelze obhájit jejich zpracování jiným právním titulem, případně rozsah zpracování omezit.
Zkusme si níže identifikovat některé oblasti zpracování osobních údajů a odpovídající právní titul (důvod) jejich zpracování:
Mzdová agenda
Zpracování mzdové agendy vyplývá ze zákonných povinností zaměstnavatele, který je tak oprávněn obdržet informace o zdravotním stavu zaměstnance či partnera, rodných číslech dětí, čerpaném úvěru pro bydlení, účasti v odborech, sexuální orientaci, občanství, trvalém bydlišti apod. Zaměstnavatel zpracovává též zvláštní kategorie osobních údajů, aniž by potřeboval souhlas zaměstnance. Udělený souhlas zaměstnance by byl v tomto případě neplatný, neboť zaměstnavatel zpracovává osobní údaje zaměstnance na základě jiného právního důvodu, a to plnění svých zákonných povinností.
Plnění pracovních povinností a pracovní náplň
V souvislosti s pracovní pozicí a plněním pracovněprávních povinností bude zaměstnavatel zpracovávat OÚ o kvalifikačních předpokladech zaměstnance, dosaženém vzdělání, předchozí praxi, jazykových znalostech apod. OÚ bude obvykle předávat externím zpracovatelům poskytovaných služeb (společnostem zajišťujícím odborné školení, hotelům za účelem ubytování apod.). Ve vybraných případech bude zaměstnavatel požadovat (např. i v pravidelných intervalech) doložení informací o trestní bezúhonnosti, o podnikatelské činnosti nebo bezdlužnosti. Pozor u těchto zmíněných případů, požadavek na zpracovávání takovýchto OÚ musí buď vyplývat přímo ze zákona (např. zákon o advokacii jako podmínku výkonu práce advokátního koncipienta vyžaduje jeho trestní bezúhonnost), nebo musí vyplývat z obsahu práce samotné, a zaměstnavatel musí umět dostatečně zdůvodnit zpracování těchto OÚ. Rozsah požadovaných OÚ v souvislosti s plněním pracovních povinností a pracovní náplní bude obvykle podobný těm OÚ, které předkládá budoucímu zaměstnavateli uchazeč o zaměstnání. Zpracování OÚ bude v těchto případech odůvodněno buď plněním pracovních povinností nebo oprávněným zájmem správce (zaměstnavatele).
Zaměstnanecké benefity
Poskytuje-li zaměstnavatel různé benefity, typicky stravenky, služby vybraného lékaře, příspěvek na sportovní aktivity apod., nelze zpracování a případné poskytování OÚ zdůvodnit pracovní povinností zaměstnance nebo zaměstnavatele. Domníváme se, že zákonnost zpracování OÚ dodavateli těchto benefitů lze podpořit čl. 6 odst. 1 písm. b) GDPR, tj. plněním smlouvy, jejíž smluvní stranou je zaměstnanec. Zaměstnanec obvykle nepodepisuje smlouvu s poskytovatelem benefitů, to činí zaměstnavatel, ale tím, že přijímá plnění a je povinen respektovat určité závazky, se stává stranou smlouvy. Ani v tomto případě tak souhlas zaměstnance nebude důvodem zpracování OÚ.
Sdílení OÚ v holdingu
Holdingová společnost, resp. jejich vedoucí zaměstnanci, často více či méně systematicky sdílí OÚ zaměstnanců ostatních společností (zaměstnavatelů) ve skupině. V souladu se základními zásadami GDPR (zejména minimalizace údajů, zákonnost, transparentnost, účelové omezení) by takové zpracování ve větším rozsahu nemělo být všeobecným pravidlem. Sdílení OÚ v holdingu musí být odůvodněno pracovní náplní zaměstnance holdingové společnosti a rozsah zpřístupněných OÚ by neměl překročit účel zpracování. Považujeme za důvodné, aby finanční ředitel měl přístup k informacím o výši mzdy a jejím výpočtu každého zaměstnance ve skupině. Na druhou stranu obchodní ředitel informace o výši mzdy zaměstnanců ve skupině (kromě svých podřízených, o jejichž mzdě rozhoduje) pro plnění svých povinností nezbytně nepotřebuje. Naopak sdílení základních informací (jméno, příjmení, fotografie) o zaměstnancích skupiny podniků typicky prostřednictvím intranetu považujeme za obvyklé a v souladu s pravidly GDPR. Takové zpracování OÚ bude založeno na oprávněném zájmu společnosti, jímž bude řízení lidských zdrojů a organizace práce.
V další části probereme typické případy, kdy souhlas zaměstnance se zpracováním OÚ považujeme v určitých situacích za jediný možný titul zpracování OÚ.
Další články
Když je jisté, že jeden z nich je pachatel, ale odsouzen není nikdo
Představme si právně mimořádně nepříjemnou situaci. Na místě činu jsou dvě osoby. Poškozený utrpí těžkou újmu na zdraví nebo zemře. Je prakticky jisté, že rozhodující útok vedl jeden z přítomných. Oba měli možnost čin spáchat, oba se pohybovali v bezprostřední blízkosti poškozeného, oba mohou mít motiv a každý tvrdí, že pachatelem byl ten druhý.
Odklad AI Actu firmy uklidnil. Kvůli Shadow AI přitom porušují povinnosti už dnes
Od neděle 2. srpna se začala uplatňovat další důležitá část evropského AI Actu, která se týká transparentnosti. Firmy si sice po červnovém odkladu části pravidel oddechly, ale většina z nich stále podceňuje rizika takzvané Shadow AI. Fenoménu, kdy zaměstnanci potají využívají veřejné nástroje umělé inteligence a vkládají do nich firemní know-how či osobní údaje.
Veřejná podpora: Co potřebujete vědět, abyste byli v souladu se zákonem
Představte si, že město nebo stát chce finančně podpořit váš podnikatelský záměr, poskytnout vám dotaci na rozvoj společnosti nebo třeba zvýhodněný nájem prostor. Zní to skvěle, že? Ale pozor – právě jste vstoupili do světa veřejné podpory, který má svá přísná pravidla.
NIS2 v praxi: nový zákon o kybernetické bezpečnosti dopadne na tisíce firem, které to zatím netuší
Zákon č. 264/2025 Sb., o kybernetické bezpečnosti (ZoKB), který do českého práva přenáší evropskou směrnici NIS2, nabyl účinnosti 1. listopadu 2025. Pro veřejnost i pro řadu firem jde stále o právní úpravu „někde na okraji”. Čísla ale ukazují něco jiného: nový zákon zasáhne řádově patnáctkrát více subjektů než předchozí úprava a mnohé z nich zatím nevědí, že mezi ně patří.
Transparentní odměňování v Česku má zpoždění, firmám bez jasného systému přesto hrozí pokuty i doplacení mezd
Česko má podle Eurostatu jeden z nejvyšších rozdílů v odměňování žen a mužů v EU – gender pay gap dosahuje okolo 18 %. Evropská pravidla pro transparentní odměňování, jejichž cílem je narovnat informační asymetrii na pracovním trhu a dlouhodobě tak přispět i ke zmenšení rozdílu ve mzdách mužů a žen, však nabrala v České republice zpoždění.
