GDPR v pracovnoprávnych vzťahoch - kde sú hranice medzi právom zamestnávateľa a ochranou súkromia zamestnanca?

Ochrana osobných údajov v pracovnoprávnych vzťahoch sa stala imanentnou súčasťou každého zamestnávateľa, ktorý vystupuje v pozícii prevádzkovateľa podľa GDPR. Zamestnávateľ spracúva osobné údaje o svojich zamestnancov bez ohľadu na to, či mu tieto osobné údaje poskytli samotní zamestnanci z dôvodu uzatvorenia pracovnoprávneho vzťahu, alebo ich zamestnávateľ vytvoril v rámci plnenia pracovných úloh zamestnancov. V ére digitalizácie a dátovej spoločnosti hodnota osobných údajov ako obchodného aktíva neustále rastie, čo si musia uvedomiť aj zamestnávatelia a zaistiť ich precíznu bezpečnosť pred zneužitím, odcudzením alebo ich stratou.

Za posledné mesiace sa zvýšilo povedomie o ochrane osobných údajov z dôvodu pripravovanej novej legislatívy v tejto oblasti, t. j. nový zákon o zabezpečení ochrany fyzických osôb pri spracúvaní osobných údajov a o zmene a doplnení niektorých zákonov, ktorý by mal nadobudnúť účinnosť od 1. januára 2026. Zamestnávatelia by mali zostať v strehu, a aktualizovať svoju GDPR a pracovnoprávnu dokumentáciu, ak vo svojich interných predpisoch odkazujú na zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov.[1]

Povinnosti zamestnávateľa pri spracúvaní osobných údajov zamestnancov

Zákonník práce neustanovuje rozsah osobných údajov, ktoré je zamestnávateľ povinný spracúvať, ba dokonca neuvádza ani dobu uchovávania týchto osobných údajov. V čl. 11 Základných zásad Zákonníka práce sa len vágne uvádza, že zamestnávateľ môže o zamestnancovi zhromažďovať len osobné údaje súvisiace s kvalifikáciou a profesionálnymi skúsenosťami zamestnanca. Ďalej uvádza, že môže spracúvať osobné údaje, ktoré sú významné z hľadiska práce, ktorú má zamestnanec vykonávať, vykonáva alebo vykonával pre zamestnávateľa. Zákonník práce nezakotvuje legálne definície, čo sa rozumie pod pojmami kvalifikácia a profesionálne skúsenosti, čiže ich rozsah môže byť v tomto široký. Z uvedeného možno tvrdiť, že nie je jednoznačné o aké konkrétne osobné údaje ide a ani v akom rozsahu môžu byť zo strany zamestnávateľa spracúvané.

V Zákonníku práce sa ďalej spomínajú osobné údaje v § 58a Zákonníka práce, kde sa iba neurčito uvádza, že zamestnávateľ alebo agentúra dočasného zamestnávania sú povinní poskytnúť také osobné údaje na žiadosť od užívateľského zamestnávateľa, aby mohol skontrolovať dodržiavanie povinnosti mzdových podmienok dočasne prideleným zamestnancom. V § 130a Zákonníka práce možno nájsť obdobu predchádzajúcej vety, keď subdodávateľ je povinný na základe žiadosti poskytnúť dodávateľovi služby údaje vrátane osobných údajov zamestnanca v rozsahu nevyhnutnom na overenie skutočností rozhodujúcich pre vyplatenie mzdy.

Nesmieme opomenúť, že Zákonník práce zakotvuje, aké obligatórne náležitosti musí obsahovať dohoda o dočasnom pridelení podľa § 58a ods. 2 Zákonníka práce, a to v rozsahu osobných údajov, keď možno identifikovať osobu zamestnanca: meno a priezvisko, dátum a miesto narodenia, miesto trvalého pobytu dočasne prideleného zamestnanca. Po nedávnym novelách Zákonníka práce sa zakotvilo, že v prípade príspevku na športovú činnosť dieťaťa musí byť na daňovom doklade uvedené meno a priezvisko dieťaťa, čiže zamestnávateľom vznikol nový účel spracúvania osobných údajov, za ktorých môžu spracúvať osobné údaje detí svojich zamestnancov. Obdobne sa táto situácia premietla aj v prípade poskytovania rekreačných poukazov alebo príspevok na rekreáciu, keď sa okruh dotknutých osôb rozšíril aj na rodičov zamestnanca. Tieto osobné údaje doteraz zamestnanec vo svojich interných systémoch nemusel spracúvať, čím sa mu rozšírili účely spracúvania o nové účely a kategórie dotknutých osôb.

Paragrafové znenie § 43 Zákonníka práce definuje podstatné náležitosti pracovnej zmluvy, ktorá musí nevyhnutne obsahovať identifikačné údaje na zamestnávateľa a zamestnanca, hoci jednoznačne neuvádza o aké konkrétne osobné údaje má ísť. Z aplikačnej praxe vyplynulo, že na uzatvorenie pracovného pomeru postačuje tento rozsah osobných údajov na strane zamestnanca: meno a priezvisko, titul, adresa trvalého pobytu, prípadne adresa prechodného pobytu, dátum narodenia, číslo bankového účtu. Ak by existovali zamestnanci s rovna