XVI.2 Ochrana osobních údajů zaměstnance v osobním spisu

Materiály vedené v osobním spisu zaměstnance slouží výhradně pro interní potřebu zaměstnavatele a pro řádný výkon práv a povinností v rámci pracovněprávního vztahu. Zaměstnavatel je povinen zajistit ochranu osobních údajů zaměstnance před neoprávněným přístupem nepovolaných osob nebo zneužitím.

Zaměstnavatel musí mít na paměti, že při zpracování osobních údajů zaměstnance v osobním spisu má postavení správce a zpracovatele osobních údajů podle zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (zákon o ochraně osobních údajů).

Zaměstnavatel proto smí zpracovávat osobní údaje bez souhlasu zaměstnance jedině v případech vypočtených v § 5 odst. 2 zákona o ochraně osobních údajů. Spadají sem zejména případy, kdy zaměstnavatel provádí zpracování nezbytné pro dodržení jeho právních povinností (například aby mohl provést řádně odvody daně z příjmů a pojistného na zdravotní pojištění a sociální zabezpečení) a kdy je zpracování osobních údajů nezbytné pro plnění smlouvy, jejíž smluvní stranou je zaměstnanec (například aby mohl zaměstnavatel zaměstnanci zaslat mzdu, přidělovat práci apod.).

Zaměstnavatel musí mít na paměti, že při zpracování osobních údajů bez souhlasu zaměstnance je povinen zaměstnance prokazatelně informovat přinejmenším o:

  • tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány;
  • tom, kdo a jakým způsobem bude osobní údaje zpracovávat;
  • o tom, komu mohou být osobní údaje zpřístupněny;
  • právu přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších právech stanovených v § 21 zákona o ochraně osobních údajů.

Zpracování osobních údajů nad rámec zákonných výjimek je možné zásadně a jedině s informovaným souhlasem zaměstnance. Při udělení souhlasu musí být zaměstnanec informován o tom:

  • pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván;
  • jakému správci je souhlas dáván; a
  • na jaké období je souhlas dáván.

Zaměstnavatel musí dále jako správce osobních údajů tuto skutečnost písemně oznámit Úřadu před zpracováváním osobních údajů. Náležitosti oznámení stanoví § 16 odst. 2 zákona o ochraně osobních údajů. Výjimky z oznamovací povinnosti upravuje § 18 zákona o ochraně osobních údajů.