Ochrana osobných údajov a rodné číslo v pracovnej zmluve

V súčasnom digitálnom svete je ochrana osobných údajov čoraz dôležitejšia. Nariadenie GDPR (General Data Protection Regulation) prinieslo významné zmeny v spôsobe, akým organizácie spracúvajú osobné údaje. Tento článok sa zameriava na problematiku ochrany osobných údajov v kontexte pracovnej zmluvy, s dôrazom na používanie rodného čísla a jeho právne aspekty.

GDPR a pracovná zmluva

GDPR má významný vplyv na oblasť pracovného práva. Pracovná zmluva, ako základný dokument upravujúci vzťah medzi zamestnávateľom a zamestnancom, musí spĺňať požiadavky GDPR. Zmluvy môžu obsahovať ustanovenia na ochranu osobných údajov a prostredníctvom nich je možné plniť povinnosti, ktoré z GDPR vyplývajú. Ide najmä o informačnú povinnosť a udeľovanie pokynov oprávneným osobám.

Rozsah osobných údajov v pracovnej zmluve

Rozsah osobných údajov, ktoré identifikujú zamestnanca, musí byť v súlade so zásadou minimalizácie. To znamená, že v zmluve by mali byť uvedené len tie osobné údaje, ktoré sú nevyhnutné na dosiahnutie účelu pracovnej zmluvy. Zákonník práce priamo neustanovuje, aké osobné údaje zamestnanca majú byť uvedené v pracovnej zmluve. Na identifikáciu zamestnanca sú postačujúce meno a priezvisko, trvalý pobyt a dátum narodenia, prípadne osobné číslo pridelené zamestnávateľom. Tento rozsah osobných údajov je pre účely uzatvorenia pracovnej zmluvy a plnenia povinností z nej vyplývajúcich dostačujúci.

Existujú však aj osobitné predpisy, napríklad katastrálny zákon, ktoré vyžadujú pre identifikáciu zmluvnej strany aj rodné priezvisko a rodné číslo zmluvnej strany. Implementácia týchto ustanovení do zmluvy závisí od nastavenia GDPR u každého zamestnávateľa. Nie je chybou, ak v zmluve uvedené nie sú.

Informačná povinnosť zamestnávateľa

Zamestnávateľ má povinnosť preukázať, že zamestnanec bol oboznámený so spracúvaním jeho osobných údajov zamestnávateľom pred ich získaním a začatím spracúvania. V zmluve je možné napríklad uviesť: „Zamestnanec vyhlasuje, že bol oboznámený so spracúvaním osobných údajov v zmysle čl. 13 GDPR.“

Prečítajte si tiež: Vzor zmluvy o príspevku

Udelenie pokynov oprávnenej osobe

Zamestnávateľ má udeliť oprávneným osobám, ktoré spracúvajú osobné údaje, pokyny, ako majú byť osobné údaje pri jeho činnosti spracúvané. Ustanovenia pracovnej zmluvy možno prepojiť so všetkými dokumentami, ktoré sa zamestnancov týkajú.

Povinnosť mlčanlivosti

Mlčanlivosť je jednou zo základných povinností zamestnanca. Mlčanlivosť definovaná v Zákonníku práce sa vzťahuje na skutočnosti, o ktorých sa zamestnanec dozvedel pri výkone práce. Nadväzuje na povinnosť zamestnanca chrániť majetok a prostriedky zamestnávateľa. Mlčanlivosť špecifikovaná v Zákonníku práce platí len počas trvania pracovného pomeru. Ak má zamestnávateľ záujem o “vyššiu ochranu”, môže mlčanlivosť definovať osobitne - či už v pracovnej zmluve alebo interných predpisoch. Zaviazanie povinnosťou mlčanlivosti zamestnancov ako tzv. oprávnených osôb je dokonca povinnosťou zamestnávateľa, nie len jeho možnosťou.

Chyby v pracovných zmluvách

Najčastejšou chybou je “nepotrebná” identifikácia zamestnancov v záhlaví pracovnej zmluvy. Stále opakujúcou sa chybou je zlé určenie právneho základu v pracovnej zmluve. Býva v nej uvedené, že: „Zamestnanec súhlasí so spracovaním osobných údajov zamestnávateľom pre plnenie zmluvy“. V tomto prípade ide o povinnosti, ktoré zamestnávateľovi vyplývajú z uzatvorenej pracovnej zmluvy, resp. z príslušných právnych predpisov. Nie je preto vhodné určiť ako právny základ súhlas, ale plnenie zmluvných, resp. zákonných povinností.

Rodné číslo ako osobný údaj

Podľa zákona o rodnom čísle je rodné číslo trvalý identifikačný osobný údaj fyzickej osoby, ktorý zabezpečuje jej jednoznačnosť v informačných systémoch. Tak ako starý, aj nový zákon o ochrane osobných údajov považuje rodné číslo za všeobecne použiteľný identifikátor fyzickej osoby.

Zmeny v ochrane rodného čísla po roku 2018

S účinnosťou od 25. mája 2018 sa zmenila kategorizácia aj zverejňovanie tohto osobného údaju. Rodné číslo už viac nepatrí medzi citlivé osobné údaje. V platnosti zostalo, že spracúvať rodné číslo je možné len vtedy, ak jeho využitie je nevyhnutné na dosiahnutie daného účelu spracúvania. Nový zákon však doplnil, že pokiaľ sa rodné číslo spracúva na základe súhlasu dotknutej osoby, súhlas s jeho spracúvaním musí byť výslovný a nesmie ho vylučovať osobitný predpis. Taktiež naďalej platí zákaz zverejňovania rodného čísla dotknutej osoby. Nový zákon ale ustanovil jednu výnimku z toho zákazu, ktorou je situácia, že rodné číslo zverejní sama dotknutá osoba.

Prečítajte si tiež: Pracovná zmluva opatrovateľky v Belgicku

Je potrebné zvážiť rozsah údajov nevyhnutne potrebných na spracovanie, teda to, či je rodné číslo vôbec potrebné spracúvať, alebo nie. Pokiaľ je možné konkrétnu osobu identifikovať podľa mena, priezviska, adresy a dátumu narodenia, nie je potrebné spracúvať ešte aj rodné číslo.

Účel spracúvania rodného čísla zamestnanca

V pracovnoprávnych vzťahoch je zamestnávateľ prevádzkovateľom osobných údajov svojich zamestnancov. Zamestnávateľ môže získavať osobné údaje svojich zamestnancov len na vopred ním definovaný alebo zákonom stanovený účel. Účelom spracúvania rodného čísla zamestnanca je identifikovanie zamestnanca, ak je využitie rodného čísla nevyhnutné na dosiahnutie daného účelu spracúvania (napr. identifikácia poistenca sociálneho alebo zdravotného poistenia, identifikácia daňovníka).

Právny základ spracúvania rodného čísla zamestnanca

Pri spracúvaní rodného čísla zamestnanca môže zamestnávateľ využiť tieto právne základy:

• Spracúvanie je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je zamestnanec (čl. 6 ods. 1 písm. b/ GDPR) - spracúvanie rodného čísla zamestnanca je nevyhnutné na účely plnenia práv a povinností zamestnávateľa, ktoré mu vyplývajú z uzatvoreného pracovnoprávneho vzťahu.
• Spracúvanie je nevyhnutné na splnenie zákonnej povinnosti zamestnávateľa (čl. 6 ods. 1 písm. c/ GDPR) - spracúvanie rodného čísla zamestnanca je nevyhnutné, aby ho zamestnávateľ mohol prihlásiť do sociálnej poisťovne (zákon o sociálnom poistení), na účely vedenia mzdového listu (zákon o dani z príjmu).
• Výslovný súhlas zamestnanca (§ 79 ods. 4 nového zákona) - len vtedy, keď sledovaný účel nie je možné dosiahnuť inak (využitie tohto právneho základu pre spracúvanie rodného čísla je v pracovnoprávnych vzťahoch veľmi ojedinelé).

Nakoľko každý zamestnávateľ potrebuje spracúvať rodné číslo svojho zamestnanca, je možné považovať za nevyhnutné, keď je rodné číslo uvedené priamo v pracovnej zmluve. V rámci pracovnoprávnych vzťahov je vhodné minimalizovať používanie rodného čísla len na také spracovateľské operácie, ktoré si jeho použitie v skutočnosti vyžadujú (napr. prihlásenie zamestnanca do Sociálnej poisťovne, podanie daňového priznania). Naopak rodné číslo sa nemá používať vtedy, keď to nie je nevyhnutné (napr. v interných záznamoch, na prezenčných listinách zo školení). Zamestnávatelia by sa tak mali vyvarovať nadbytočného využívania rôznych interných formulárov alebo iných dokumentov, v ktorých sú uvedené rodné čísla zamestnancov.

Čo je osobný údaj podľa GDPR?

Osobné údaje sú podľa Článku 4 odsek 1 nariadenia GDPR akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len „dotknutá osoba“); identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby.

Prečítajte si tiež: Dôležité aspekty zmluvy o sociálnej službe

Nariadenie GDPR dopĺňa definíciu osobných údajov podľa slovenského zákona č. 122/2013 Z. z. o ochrane osobných údajov, ktoré je už v súčasnosti zrušený. Osobné údaje sú všetko, čo sme uviedli, a to jednak podľa slovenského zákona o ochrane osobných údajov, ale aj podľa nariadenia GDPR.

Medzi základné práva patrí ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov. V článku 8 ods. 1 Charty základných práv Európskej únie (ďalej len „Charta“) a v článku 16 ods. 1 Zmluvy o fungovaní Európskej únie (ZFEÚ) je stanovené, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú. Nariadenie GDPR stanovuje, že v zásadách a pravidlách ochrany fyzických osôb pri spracúvaní ich osobných údajov by sa bez ohľadu na ich štátnu príslušnosť alebo bydlisko mali rešpektovať ich základné práva a slobody, najmä ich právo na ochranu osobných údajov.

Práva dotknutých osôb

GDPR posilňuje práva dotknutých osôb, teda osôb, ktorých osobné údaje sú spracúvané. Medzi tieto práva patrí:

• Právo na prístup k osobným údajom: Dotknutá osoba má právo získať od nás potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak tomu tak je, má právo získať prístup k týmto osobným údajom.
• Právo na opravu osobných údajov: Dotknutá osoba má právo kedykoľvek požiadať o opravu či doplnenie Vašich osobných údajov, pokiaľ by boli nepresné či neúplné.
• Právo na vymazanie osobných údajov (tzv. "právo byť zabudnutý"): Dotknutá osoba má právo dosiahnuť u prevádzkovateľa bez zbytočného odkladu vymazanie osobných údajov, ktoré sa jej týkajú, a prevádzkovateľ je povinný bez zbytočného odkladu vymazať osobné údaje, ak je splnená niektorá z podmienok stanovených v článku 17 GDPR.
• Právo na obmedzenie spracúvania: Dotknutá osoba má právo na to, aby sa spracúvanie obmedzilo, pokiaľ je splnená niektorá z podmienok stanovených v článku 18 GDPR.
• Právo na prenosnosť údajov: Dotknutá osoba má právo získať od nás Vaše osobné údaje, ktoré ste nám predtým poskytli, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte a máte právo požadovať, aby sme Vaše osobné údaje preniesli ďalšiemu prevádzkovateľovi za splnenia zákonných podmienok; uplatnením tohto práva nie je dotknuté Vaše právo na výmaz osobných údajov.
• Právo namietať: Dotknutá osoba má právo kedykoľvek namietať z dôvodov týkajúcich sa konkrétnej situácie dotknutej osoby proti spracúvaniu osobných údajov, ktoré sa jej týka, ktoré je vykonávané na základe článku 6 ods. 1 písm. e) alebo f) GDPR, vrátane namietania proti profilovaniu založenému na týchto ustanoveniach.
• Právo, aby sa na dotknutú osobu nevzťahovalo rozhodnutie založené výlučne na automatizovanom spracúvaní: Dotknutá osoba má právo na to, aby sa na ňu nevzťahovalo rozhodnutie, ktoré je založené výlučne na automatizovanom spracúvaní, vrátane profilovania, a ktoré má právne účinky, ktoré sa jej týkajú alebo ju podobne významne ovplyvňujú.

tags: #zmluva #rodné #číslo #ochrana #osobných #údajov