Chystáte sa hľadať nového zamestnanca a obsadzovať pracovnú pozíciu? Prinášame stručný prehľad, čo všetko si ako zamestnávateľ musíte v súvislosti novými pravidlami ochrany osobných údajov - GDPR od 25. 5. 2018 splniť.
Od 25. 5. 2018 je účinný nový zákon o ochrane osobných údajov č. 18/2018 a nariadenie č. 2016/679, známe ako GDPR (General Data Protection Regulation), ktoré prinieslo viaceré zmeny dotýkajúce sa aj pracovnoprávnych vzťahov.
Vo všeobecnosti sa osobné údaje považujú za akúsi vstupnú bránu do súkromia každej fyzickej osoby. Sú súčasťou každodennej reality v oblasti rôznych spoločenských vzťahov vrátane tých pracovnoprávnych. Čo sú podľa GDPR osobné údaje a čo sa rozumie ich spracúvaním sa dočítate v tomto článku (môže sa prelinkovať na môj predchádzajúci článok - súhlas).
Kto v pracovnoprávnych vzťahoch spracúva osobné údaje?
Za spracúvanie osobných údajov nesie podľa GDPR zodpovednosť prevádzkovateľ, t. j. osoba, ktorá spracúva osobné údaje dotknutých osôb vo vlastnom mene.
V pracovnoprávnych vzťahoch je prevádzkovateľom zamestnávateľ, teda je osobou spracúvajúcou osobné údaje svojich zamestnancov. Okrem toho však zamestnávateľ v rámci výberového konania, na účely prijatia fyzickej osoby do zamestnania, spracúva aj osobné údaje uchádzačov o zamestnanie ako dotknutých osôb.
Zamestnávateľ ako prevádzkovateľ môže spracúvaním osobných údajov poveriť aj inú osobu (napr. externú firmu, ktorá vykonáva účtovníctvo). Ide o sprostredkovateľa, ktorý na základe zmluvy spracúva osobné údaje zamestnancov v mene zamestnávateľa. Viac o sprostredkovateľovi a sprostredkovateľskej zmluve sa dočítate v článku (môže sa prelinkovať na môj predchádzajúci článok – zmluva).
Informačná povinnosť zamestnávateľa pri získavaní osobných údajov uchádzačov o zamestnanie
Pre budúceho zamestnávateľa majú podstatný význam osobné údaje uchádzačov o zamestnanie, t. j. potenciálnych zamestnancov. Na základe nich si z viacerých prihlásených uchádzačov dokáže adekvátne vybrať toho najvhodnejšieho na obsadzovanú pracovnú pozíciu.
Zamestnávateľ zvyčajne získava osobné údaje priamo od uchádzača o zamestnanie (napr. zaslanie životopisu na e-mailovú adresu zamestnávateľa alebo prostredníctvom formulára umiestneného na webovej stránke zamestnávateľa). V praxi však existujú aj prípady, kedy zamestnávateľ získava osobné údaje z iného zdroja než priamo od uchádzača o zamestnanie (napr. prostredníctvom pracovného portálu).
Ešte pred samotným získavaním osobných údajov má však zamestnávateľ vo vzťahu k uchádzačom o zamestnanie podľa GDPR informačnú povinnosť. Ide o zoznam informácií, ktoré musí zamestnávateľ poskytnúť každej dotknutej osobe pri získavaní jej osobných údajov. GDPR rozlišuje informačnú povinnosť z hľadiska získavania osobných údajov priamo od dotknutej osoby (čl. 13) alebo z iného zdroja (čl. 14).
Informačná povinnosť podľa GDPR zahŕňa poskytnutie napríklad týchto informácií:
- totožnosť a kontaktné údaje zamestnávateľa (napr. obchodné meno, sídlo, IČO, e-mail a pod.),
- kontaktné údaje zodpovednej osoby,
- účely spracúvania, na ktoré sú osobné údaje určené, ako aj právny základ spracúvania (napr. účelom môže byť realizácia výberového konania, právnym základom je žiadosť uchádzača o zamestnanie na vykonanie opatrení pred uzatvorením zmluvy),
- príjemcovia alebo kategórie príjemcov osobných údajov, ak existujú,
- oprávnené záujmy, ktoré sleduje zamestnávateľ (napr. presun osobných údajov medzi pobočkami zamestnávateľa),
- informácia o tom, že zamestnávateľ zamýšľa preniesť osobné údaje do tretej krajiny alebo medzinárodnej organizácii,
- doba uchovávania osobných údajov,
- právo požadovať prístup k osobným údajom a právo na ich opravu alebo vymazanie alebo obmedzenie spracúvania, alebo práva namietať proti spracúvaniu, ako aj práva na prenosnosť údajov,
- právo podať sťažnosť dozornému orgánu a ďalšie.
Má zamestnávateľ povinnosť plniť si informačnú povinnosť voči uchádzačom o zamestnanie pri inzerovaní cez portály ako Profesia.sk
Väčšina zamestnávateľov inzeruje svoje ponuky zamestnania na najväčšom pracovnom portály Profesia.sk. Nakoľko pri odosielaní žiadostí o zamestnanie a odkrývaní životopisov dochádza k spracúvaniu osobných údajov uchádzačov, podľa GDPR je potrebné splniť si voči nim informačnú povinnosť a poskytnúť im informácie o totožnosti zamestnávateľa, o účele a dobe spracúvania údajov, o právach dotknutej osoby atď.
Na postup, ktorý má zamestnávateľ zvoliť pri plnení informačnej povinnosti voči uchádzačom o zamestnanie pri inzerovaní cez pracovné portály ako je napríklad Profesia.sk existujú rôzne právne názory.
Podľa názoru prevádzkovateľa portálu Profesia.sk platí, že informačnú povinnosť voči uchádzačom o zamestnanie si musí splniť vždy sám zamestnávateľ, napríklad tak, že priamo v pracovnom inzeráte uvedie odkaz na jeho webovú stránku, kde má zverejnenú informačnú listinu (označenú napr. ako Pravidlá ochrany osobných údajov pre uchádzačov o zamestnanie) alebo po doručení životopisu uchádzača o zamestnanie mu spätne (bezodkladne) zašle e-mail s informačnou listinou o spracúvaní osobných údajov. Účelom týchto pravidiel by malo byť čo najjednoduchšie poskytnúť uchádzačom o zamestnanie informácie o spracúvaní ich osobných údajov v rámci výberového konania, vrátane posúdenia ich životopisov, osobných pohovorov a procesov pred vznikom pracovného pomeru.
Zamestnávateľ si tiež musí splniť informačnú povinnosť voči uchádzačom o zamestnanie vedeným v databáze Profesia.sk, s ktorých osobnými údajmi narábal, najneskôr do 30 dní od získania osobných údajov.
Podľa iného názoru platí, že informačnú povinnosť si zamestnávateľ plniť nemusí (t. j. do textu inzerátu nemusí uvádzať nič navyše a nemusí zasielať ani email s informačnou listinou), ak uchádzač o zamestnanie povinne oznamované informácie už má (čl. 13 ods. 4 alebo čl. 14 ods. 5 GDPR) od prevádzkovateľa pracovného portálu. Ak teda uchádzač o zamestnanie zaklikne informovaný súhlas, v rámci ktorého sú mu dané informácie poskytnuté zo strany prevádzkovateľa portálu v pozícii tzv. sprostredkovateľa, zamestnávateľ si informačnú povinnosť už nemusí plniť.
Je podľa GDPR potrebný na spracúvanie osobných údajov uchádzačov o zamestnanie ich súhlas?
Zamestnávateľ môže získavať osobné údaje len na vopred ním definovaný alebo zákonom stanovený účel. Účelom spracúvania osobných údajov uchádzačov o zamestnanie je spravidla plnenie povinností zamestnávateľa ako prevádzkovateľa v rámci predzmluvných vzťahov, napríklad spracovanie personálnych podkladov pre výberové konanie, realizácia potrebných opatrení pred uzatvorením pracovnej zmluvy, vedenie databázy uchádzačov o zamestnanie, ktorí zaslali žiadosť o prijatie do zamestnania.
V štádiu pred vznikom pracovného pomeru spravidla sám uchádzač o zamestnanie poskytuje zamestnávateľovi svoje osobné údaje uvedené v životopise, motivačnom liste či dokladoch o dosiahnutom vzdelaní. Poskytnutím takýchto osobných údajov musí uchádzač o zamestnanie brať na vedomie, že ide o jeho žiadosť na zavedenie predzmluvných vzťahov na konkrétnu obsadzovanú pracovnú pozíciu a že jeho osobné údaje budú použité k spracovaniu personálnych podkladov za účelom vykonania výberového konania. V zmysle GDPR je takéto spracúvanie osobných údajov nevyhnutné, aby sa na základe žiadosti dotknutej osoby (uchádzača o zamestnanie) vykonali opatrenia pred uzatvorením zmluvy (pracovného pomeru). Preto na spracúvanie osobných údajov (životopisov) uchádzačov o zamestnanie nepotrebuje zamestnávateľ pre účely výberového konania, resp. pre účely prijatia do zamestnania ich súhlas. Inak povedané, uchádzač o zamestnanie pri hľadaní práce nemusí zamestnávateľovi udeliť súhlas so spracovaním jeho osobných údajov.
Súhlas uchádzača o zamestnanie so spracúvaním jeho osobných údajov však bude zamestnávateľ alebo personálna agentúra potrebovať v prípade, ak vedie databázu uchádzačov o zamestnanie, ktorí doručili žiadosť o prijatie do zamestnania, t. j. súhlas na účel uchovávania osobných údajov napríklad pre prípad budúceho výberového konania.
Čo s osobnými údajmi uchádzačov o zamestnanie po skončení výberového konania?
Zamestnávateľ alebo personálna agentúra môže spracúvať alebo evidovať osobné údaje (životopisy) uchádzačov o zamestnanie len pre potreby daného výberového konania a na nevyhnutný čas.
Po splnení účelu, na ktorý boli osobné údaje uchádzača o zamestnanie získané (t. j. po ukončení výberového konania u neúspešných kandidátov a po podpise pracovnej zmluvy u úspešného kandidáta), je potrebné, aby osobné údaje zamestnávateľ bezodkladne zlikvidoval (vymazal), a to aj v písomnej aj elektronickej forme. To znamená, že po ukončení výberového konania nemôže zamestnávateľ životopis úspešného kandidáta založiť do jeho osobnej zložky, ale musí ho zlikvidovať, pretože účel spracúvania týchto údajov sa už naplnil.
Po ukončení výberového konania musí zamestnávateľ životopisy kandidátov zlikvidovať.
Rovnako musí zlikvidovať aj životopisy neúspešných kandidátov. Ak má však neúspešný uchádzač o zamestnanie záujem, aby bol jeho životopis uchovávaný v databáze zamestnávateľa, musí zamestnávateľovi nanovo životopis poslať aj spolu s udelením súhlasu na účel uchovávania životopisu v databáze. Životopis sa zlikviduje až po uplynutí určenej doby uchovávania - uchádzač však môže o jeho výmaz požiadať aj skôr než uplynie určená doba.
Prehľad povinností zamestnávateľa pri získavaní a spracúvaní osobných údajov uchádzačov o zamestnanie
| Zamestnávateľ neuchováva životopisy uchádzačov v databáze | Zamestnávateľ uchováva životopisy uchádzačov v databáze | |
| Informačná povinnosť | áno | áno |
| Povinnosť získať súhlas uchádzača | nie | áno |
| Splnenie povinností | Musí byť splnená len informačná povinnosť, napr.: uvedenie zoznamu informácii priamo v pracovnom inzeráte zamestnávateľa uvedenie zoznamu informácii na webovej stránke zamestnávateľa (na viditeľnom mieste) zaslanie zoznamu informácii individuálne na e-mail každého uchádzača | Okrem informačnej povinnosti musí byť splnená aj povinnosť získania súhlasu, napr.: uchádzač zaškrtne/zaklikne políčko, že súhlasí so spracúvaním osobných údajov uchádzač zašle súhlas so spracúvaním osobných údajov priamo zamestnávateľovi (napr. na e-mail) |
Ktoré osobné údaje uchádzačov o zamestnanie nesmie zamestnávateľ vyžadovať?
V predzmluvných pracovných vzťahoch nemôže zamestnávateľ od uchádzača o zamestnanie požadovať také informácie, ktoré nie sú potrebné a dôležité pre jeho rozhodnutie, či s ním uzatvorí pracovnú zmluvu alebo nie (napr. informácie súvisiace s ochranou dôstojnosti).
Aj Zákonník práce myslí na ochranu osobných údajov v predzmluvných vzťahoch, pretože ustanovuje, že zamestnávateľ nesmie od uchádzača o zamestnanie vyžadovať informácie o:
- tehotenstve,
- rodinných pomeroch,
- bezúhonnosti (okrem prípadu, ak ide o prácu, ktorá si vyžaduje bezúhonnosť, alebo ju vyžaduje osobitný zákon - napr. pri SBS službách),
- politickej príslušnosti, odborovej príslušnosti a náboženskej príslušnosti.
Ktoré osobné údaje uchádzača o zamestnanie môže zamestnávateľ spracúvať?
S prihliadnutím na nevyhnutnosť zabezpečovania personálnej agendy môže zamestnávateľ spracúvať nasledujúce osobné údaje uchádzačov o zamestnanie:
- titul, meno, priezvisko,
- číslo občianskeho preukazu, dátum narodenia, rodné číslo,
- bydlisko (trvalé aj prechodné),
- štátna príslušnosť, rodinný stav,
- kontaktné údaje (telefónne číslo a e-mail),
- údaje o dosiahnutom vzdelaní a kvalifikácii, odbornej praxi, posúdenie zdravotnej spôsobilosti na výkon práce,
- pracovný posudok z predchádzajúceho zamestnania,
- podpis a iné.
V prípade uzavretia pracovnej zmluvy s úspešným kandidátom sa súhlas nového zamestnanca so spracúvaním jeho osobných údajov nevyžaduje, pretože zamestnávateľ ako prevádzkovateľ spracúva tieto osobné údaje na účely plnenia zmluvy (uzavretej pracovnej zmluvy). Nový zamestnanec tak nemusí dať zamestnávateľovi svoj súhlas na spracúvanie jeho osobných údajov napríklad za účelom vedenia účtovníctva zamestnávateľa alebo vedenia evidencie zamestnancov či iné prevádzkové účely zamestnávateľa.
Ktoré osobné údaje nového zamestnanca môže zamestnávateľ poskytovať alebo zverejňovať?
Nový zákon o ochrane osobných údajov účinný od 25. 5. 2018 v § 78 ods. 3 ustanovuje, že zamestnávateľ ako prevádzkovateľ môže poskytovať osobné údaje zamestnanca tretím osobám alebo zverejniť jeho osobné údaje iba v nasledovnom rozsahu:
- titul, meno, priezvisko,
- pracovné zaradenie, služobné zaradenie, funkčné zaradenie,
- osobné číslo zamestnanca alebo zamestnanecké číslo zamestnanca,
- odborný útvar,
- miesto výkonu práce,
- telefónne číslo, faxové číslo, adresa elektronickej pošty na pracovisko a
- identifikačné údaje zamestnávateľa.
To však platí, len ak je to potrebné v súvislosti s plnením pracovných povinností, služobných povinností alebo funkčných povinností zamestnanca.
Zamestnávateľ je teda oprávnený zverejniť vyššie uvedené údaje o novom zamestnancovi bez potreby získania jeho súhlasu, a to priamo na základe zákona o ochrane osobných údajov.
Na záver dávame do pozornosti, že podľa GDPR (čl. 88) môžu zamestnávatelia v členských štátoch EÚ (vrátane SR) prostredníctvom kolektívnych zmlúv ustanoviť konkrétnejšie pravidlá na zabezpečenie ochrany práv a slobôd pri spracúvaní osobných údajov svojich zamestnancov v súvislosti so zamestnaním, najmä na účely prijatia do zamestnania či plnenia pracovnej zmluvy.
Viac o GDPR nájdete v diskusnej relácii Poďme k veci na tému GDPR - nový nový míľnik v ochrane súkromia alebo zbytočná byrokracia
