Monitoring zaměstnanců: Práva a povinnosti zaměstnavatelů při zpracování osobních údajů

Moderní technologie nabízí širokou škálu prostředků pro sledování činnosti zaměstnance. Zaměstnavatelé v zájmu ochrany vlastních oprávněných zájmů instalují kamerové systémy, GPS, nástroje pro filtrování webových stránek anebo využívají různé aplikace či jiná zařízení ke sledování, zejména za účelem prevence úniku dat.

advokátní koncipient, HAVEL & PARTNERS s.r.o., advokátní kancelář
Partner, HAVEL & PARTNERS s.r.o., advokátní kancelář
senior advokát, HAVEL & PARTNERS s.r.o., advokátní kancelář
Foto: Shutterstock

Zaměstnavatelé se převážně soustředí na bezpečnost a ochranu informací, která může kolidovat s oprávněným očekáváním zaměstnanců na ochranu jejich soukromí. Kam až může zaměstnavatel v monitorování zaměstnanců zajít a jaké a kdy může použít prostředky?

Úprava práv a povinností

V souvislosti s monitoringem[1] může docházet, a často dochází, ke střetu zákonem garantovaných práv a povinností. Na jedné straně zde stojí ústavně a nadnárodně garantované právo zaměstnance na soukromí, na ochranu osobních údajů a ochranu listovního tajemství. Na straně druhé potom stejnými prostředky garantované právo každého, nejen zaměstnavatele, chránit své majetkové zájmy.

Vedle zmíněných ústavně garantovaných práv zde figurují ještě další práva a povinnosti, zejména práva a povinnosti upravené zákonem č. 262/2006 Sb., zákoník práce („ZP“). Zásadním ustanovením, které předurčuje vztahy mezi zaměstnavatelem a zaměstnancem, je ustanovení definující závislou práci a povinnosti vyplývající z pracovního poměru.[2] Závislá práce je činnost, která je vykonávána ve vztahu nadřízenosti zaměstnavatele a podřízenosti zaměstnance, a to dle pokynů zaměstnavatele, na náklady a odpovědnost zaměstnavatele a v pracovní době na pracovišti zaměstnavatele, kdy je zaměstnanec povinen dodržovat povinnosti, které mu vyplývají z pracovního poměru.

Z povahy pracovněprávního vztahu vyplývá, že je legitimní, aby zaměstnavatel kontroloval zaměstnance při užívání svěřeného majetku určeného k plnění pracovních úkolů. Absence tohoto práva kontroly by vedla k porušení základního práva zaměstnavatele na ochranu svého majetku. Je však nutné mít na paměti, že toto právo zaměstnavatele není absolutní a je moderováno zejména výše uvedenými právy zaměstnance, v jejichž důsledku podléhá monitorování zaměstnanců relativně přísným podmínkám a požadavkům nejen na pracovišti, ale také při práci vykovávané na dálku (home office).

Zaměstnanec je povinen sdělovat, resp. umožnit sběr informací týkajících se jeho osoby, pokud se týkají vykonávané práce nebo je zaměstnavatel potřebuje ke splnění svých povinností stanovených obecně závaznými právními předpisy. Typicky se jedná o ohlašovací povinnosti zaměstnavatele - ať už vůči státním orgánům jako je Česká správa sociálního zabezpečení, anebo soukromým subjektům, kterými jsou zdravotní pojišťovny. Otázkou tedy není, zda zaměstnavatel může provádět zpracovávání údajů týkajících se osoby zaměstnance, ale v jakém rozsahu tak může v konkrétním případě činit.

Sledování, kontrola či monitoring nevyhnutelně zahrnují zpracování osobních údajů, které musí být v souladu s obecným nařízením o ochraně osobních údajů 2016/679 („Nařízení“ nebo „GDPR“). Jinými slovy, zaměstnavatel coby správce osobních údajů musí dostát všem povinnostem kladeným na něj Nařízením. Tyto povinnosti jsou především zakotveny v zásadách zpracování, které nalézáme v čl. 5 GDPR. Zaměstnavatel je proto povinen zavedení monitorovacího systému a jeho nezbytnost nejen řádně odůvodnit, mluvíme o legitimnosti těchto prostředků, ale také právně posoudit, zda jsou pro zavedení monitorovacích prostředků splněny veškeré podmínky vyžadované právním řádem. Právní základ pro zavedení monitorovacích prostředků zpracovávajících osobní údaje zaměstnanců lze nalézt v oprávněném zájmu zaměstnavatele. Oprávněný zájem může spočívat v ochraně majetku anebo prokazování důležitých skutečností, jakými je třeba dodržování výrobních či jiných pracovních postupů zaměstnavatele z důvodu bezpečnosti práce.

Nicméně ne vždy a v každém případě lze instalovat monitorovací zařízení, které by bylo odůvodněné a dozorovými úřady vyhodnoceno jako oprávněné, tj. v souladu s právními předpisy. Případy instalace monitorovacího zařízení, jakým je např. kamerový systém, mají svá pravidla. Tato pravidla se u kamerového systému odvíjejí od umístění kamery, snímaného prostoru, délky záznamu, režimu snímaní atd. Obdobně jako monitoring prováděný prostřednictvím kamer, tak jakýkoliv jiný monitoring podléhá požadavkům vyplývajícím z právních předpisů a doporučení dozorového úřadu.[3] Např. u monitoringu telefonních hovorů je nezbytné správně nastavit call script, pravidla pro pokračování hovoru bez nahrávání atd.

Důležitost zájmu zaměstnavatele provádět kontrolu lze spatřovat zejména ve výše uvedené ochraně majetku svěřeného zaměstnanci. Zaměstnanec může využívat výrobní a pracovní prostředky zaměstnavatele včetně výpočetní techniky, případně jeho telekomunikační zařízení, i pro svou osobní potřebu, avšak pouze s jeho souhlasem. Zaměstnavatel tak může souhlasit, aby byl služební telefon používán i k soukromým telefonátům nebo aby přidělená technika byla využívána pro soukromé účely. Stanovení rozsahu osobního užití je zcela na vůli zaměstnavatele. Nicméně zaměstnavatel je oprávněn dodržování pravidel přiměřeným způsobem kontrolovat. Přiměřenost bohužel ZP nedefinuje. Obecné soudy dovodily, že při jejím určení se musí přihlížet zejména k tomu, zda šlo o kontrolu průběžnou či následnou, k její délce, k rozsahu, k tomu, zda vůbec a do jaké míry zaměstnavatel omezoval zaměstnance v jeho činnosti, zda vůbec a do jaké míry zaměstnavatel zasahoval do práva na soukromí zaměstnance apod.[4]

Oproti méně invazivní kontrole dle § 316 odst. 1 ZP, kdy je zaměstnavatel oprávněn kontrolovat zaměstnance přiměřeným způsobem, stanoví ustanovení § 316 odst. 2 a 3 ZP způsoby/prostředky kontroly, které podléhají přísnějším pravidlům. Bude-li zaměstnavatel vystavovat zaměstnance otevřenému či skrytému sledování, odposlechu anebo záznamu telefonických hovorů, kontrole elektronické pošty anebo listovních zásilek adresovaných zaměstnanci, bude muset naplnit podmínku závažnosti spočívající ve zvláštní povaze činnosti a podmínku informovanosti. Jedná se o speciální úpravu k GDPR, jelikož ZP stanoví dodatečné (k podmínkám vyplývajícím z obecné úpravy v GDPR) podmínky, které zaměstnavatel musí naplnit před zavedením sledovacích opatření.

Oprávněnost a rozsah monitoringu

Kontrola zaměstnance a s ní spojený případný zásah do soukromí musí být vždy vyvážený a odpovídající zájmu zaměstnavatele. Při implementaci interního monitoringu je proto třeba zavést řešení minimalizující zásah do soukromí zaměstnanců. Zásah lze minimalizovat stanovením organizačních pravidel, které by zaměstnavateli, resp. osobám, které provádějí kontrolu za zaměstnavatele dle jeho pokynů, zakazovaly např. otevírání e-mailových zpráv, z jejichž předmětu (název zprávy, označení zprávy speciálním symbolem apod.) je zřejmé, že se jedná o soukromý a nikoli pracovní e-mail.

Zaměstnavatel by měl respektovat právo zaměstnance na jeho soukromí a provádět jakékoliv sledování pouze poté, co zájem na ochraně svého majetku poměřil s právem na soukromí svého zaměstnance. Jinými slovy provedl tzv. test proporcionality.

V rámci tohoto testu by měl zaměstnavatel zkoumat vhodnost, potřebnost a přiměřenost jím zvoleného a nastaveného monitorovacího prostředku. Test by měl být proveden před zavedením jakéhokoliv sledovacího nástroje, aby mohl zaměstnavatel zvážit, zda jsou všechna data skutečně potřebná, zda dané zpracování nezasahuje do práv zaměstnanců způsobem, který je neslučitelný s jejich základními právy, a zda jsou přijaty dostatečné záruky pro ochranu práv a svobod zaměstnanců. Zaměstnavatel by neměl zapomínat na povinnost stanovenou ZP spočívající v řádném informování a v projednání plánovaných opatření se zaměstnanci. Zaměstnavatel by při zavádění nových opatření měl obzvlášť zvážit argumenty pro jejich zavedení s důrazem na řádné zdůvodnění, jelikož se může stát, že právě nespokojený zaměstnanec bude tím anonymním stěžovatelem u příslušného úřadu.

Přijetí adekvátních technických a organizačních opatření tak, aby byla zajištěna úroveň zabezpečení odpovídající rizikům daného zpracování, je povinností zaměstnavatele jakožto správce osobních údajů vyplývající z čl. 32 GDPR. Zaměstnavatel, resp. každá organizace má totiž v souladu s GDPR povinnost zabezpečit zpracovávané osobní údaje tak, aby nedošlo k protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění zpracovávaných osobních údajů. Zabezpečení a oprávněnost využití monitorovacího systému se bude vždy odvíjet od předmětu činnosti každého zaměstnavatele a prostředku určeného ke sledování. Jiná technicko-organizační opatření by měla být přijata u zpracování údajů prostřednictvím kamerového systému a jiná opatření zase v rámci sledování elektronické pošty. Například u e-mailových zpráv zaměstnance se dle stanoviska Úřadu pro ochranu osobních údajů nesmí sledovat jeho obsah. Zaměstnavateli je zde dáno pouze právo sledovat, od koho byl e-mail přijat a komu byl odeslán, počet doručených a odeslaných e-mailů, případně jejich předmět. Soukromý e-mail zaměstnance by zaměstnavatel za žádných okolností otevřít neměl. Co se týče kamerových systémů, sledovat lze prostory, kde s vyšším rizikem dochází k protiprávnímu jednání nebo může být nutné prokazovat plnění povinností stanovených obecně závaznými právními předpisy (např. zajištění bezpečnosti a ochrany zdraví při práci). Nedostatečné nastavení pravidel může být u obou zmiňovaných případů předpokladem pro uložení pokuty až do výše 20 mil. EUR, a to bez ohledu na druh prováděného monitoringu.

Při nastavení a používání monitorovacího systému je proto nezbytné dbát především principu proporcionality tak, aby byla práva zaměstnance v rovnováze s legitimními právy a zájmy zaměstnavatele, což vychází z rozložení práv a povinností zaměstnance a zaměstnavatele v rámci pracovněprávního vztahu. Zaměstnanec očekává, že i v pracovněprávním vztahu bude přiměřeně zachováno jeho právo na soukromí, jehož součástí je i právo na ochranu osobních údajů, a že tato práva bude zaměstnavatel respektovat. Právem zaměstnavatele je pak vyžadovat efektivní výkon práce ze strany zaměstnance a chránit své aktivity před nebezpečnými incidenty, jako je například protiprávní únik dat, zpronevěra majetku či jiná trestná činnost páchaná zaměstnancem.

Princip subsidiarity

Před zahájením monitorování by měl zaměstnavatel provést důkladnou analýzu toho, jaké zájmy monitorováním zaměstnanců chránit, a zvážit, zda nelze zájmy či majetek chránit jiným způsobem než monitorováním zaměstnanců.

GDPR ve svém čl. 35 stanoví, že pokud je pravděpodobné, že určitý druh zpracování, zejména při využití nových technologií, bude s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování mít za následek vysoké riziko pro práva a svobody fyzických osob, provede správce před zpracováním posouzení vlivu zamýšlených operací zpracování na ochranu osobních údajů (tzv. „DPIA“). V případě rozsáhlého automatizovaného zpracování údajů či profilování i Pracovní skupina WP29 (nyní Evropský sbor pro ochranu osobních údajů) doporučuje posouzení vlivu provést. Posouzení vlivu zaměstnavateli poslouží jako prostředek eliminace rizika zásahu do zaručených práv zaměstnance a současně jako nástroj pro osvědčení compliance, neboť pomůže zaměstnavateli nejen splnit požadavky GDPR, ale také prokázat, že byla přijata vhodná opatření k zajištění a doložení souladu s GDPR.

Provedení DPIA lze doporučit zejména v těch případech, kdy bude docházet ke sledování zaměstnanců dle § 316 odst. 2 a 3 ZP. Sledováním lze rozumět delší dobu trvající nebo opakované systematické kontrolování zaměstnance prostřednictvím monitorovacího prostředku. Sledování je tak jedna z operací, která v sobě zahrnuje zpracování osobních údajů, neboť bez osobních údajů by monitoring neměl význam. Cílem zaměstnavatele je zde ztotožnit osobu a případně vyvodit důsledky z jednání, které bylo předmětem monitoringu.

Informační povinnost

GDPR v čl. 12 zakotvuje povinnost správce mít transparentní, srozumitelná a snadno dostupná pravidla pro zpracování osobních údajů a výkon práv subjektu údajů. Tato povinnost je promítnutím zásady transparentnosti a jejím cílem je poskytnout všem subjektům údajů, tedy i zaměstnancům, dostatek informací o tom, jaké údaje a jakým způsobem správce zpracovává.

Zaměstnavatel je povinen předem informovat zaměstnance o tom, jaké údaje budou shromažďovány, o rozsahu kontroly a o způsobu jejího provádění – kde a po jakou dobu budou údaje uchovány, kdo k nim má přístup, zda a za jakých podmínek smí během pracovní doby posílat soukromé e-maily, jaký je postup při otevírání e-mailů během delší nepřítomnosti, zda smí v pracovní době používat internet pro soukromé účely, jaká jsou bezpečnostní opatření na zabránění neoprávněného přístupu atd. Zaměstnavatel by měl tuto povinnost plnit vůči zaměstnancům v plném rozsahu a předem, tedy ještě před vznikem pracovněprávního poměru. Vhodným prostředkem, prostřednictvím kterého lze zaměstnance informovat o všech opatřeních, která zaměstnavatel přijal, je například pracovní řád či jiný vnitřní předpis.

Informační povinnost je jednou ze zásadních povinností zaměstnavatele, kterou se mimo jiné zabýval také Evropský soud pro lidská práva ve věci Barbulescu proti Rumunsku. Dle soudu, pokud chce zaměstnavatel sledovat komunikaci svých zaměstnanců, musí o takové možnosti, a také o rozsahu kontroly pracovníky předem informovat. Z rozhodnutí soudu lze dovozovat, že samotné oprávnění zaměstnavatele provádět kontrolu je nedostačující, a zaměstnavatel je tak povinen zaměstnance předem na kontrolu upozornit.

Závěrem

Internet a elektronická komunikace se staly neoddělitelnou součástí pracovního života, a proto je důležité respektovat, kde je hranice mezi soukromím a kontrolou pracovních povinností zaměstnanců. Z uvedených podmínek vyplývá, že obecně by zaměstnavatel neměl své zaměstnance monitorovat, pokud k tomu nemá závažný důvod, případně lze sledování provádět pouze namátkově. Závažné důvody musí spočívat ve zvláštní povaze činnosti zaměstnavatele. Není však možné obecně určit, kdy jsou tyto závažné důvody spočívající ve zvláštní povaze činnosti zaměstnavatele naplněny, resp. kterých všech činností se výjimka týká. Naplnění podmínek je třeba zkoumat v každém konkrétním případě a zároveň zajistit, aby opatření zaměstnavatele dopadající na soukromí zaměstnance bylo přiměřené jeho účelu.


[1] Monitoringem, příp. sledováním, lze rozumět sběr informací, tedy nejen osobních údajů, který se děje systematicky. Existují nejrůznější způsoby a typy monitoringu. Lze tak hovořit o monitoringu i) e-mailových zpráv, ii) návštěvnosti webových stránek, iii) vstupu do budovy prostřednictvím kamerového systému anebo také iv) telefonních hovorů. 

[2] Ustanovení §§ 238 zákona č. 262/2006 Sb. 

[3] 3 Kompetence jsou svěřeny jak Úřadu pro ochranu osobních údajů, tak Státnímu úřadu inspekce práce a oblastním inspektorátům práce.  

[4] Rozsudek Nejvyššího soudu ze dne 16. 8. 2012, sp. zn. 21 Cdo 1771/2011. 

Hodnocení článku
50%
Pro hodnocení článku musíte být přihlášen/a

Diskuze k článku ()

Pro přidání komentáře musíte být přihlášen/a

Související články

Další články