Monitorovanie zamestnancov, kamery a GPS: čo dovoľuje GDPR

Firma sa rozhodne nainštalovať kamery, sledovať služobné vozidlá cez GPS alebo kontrolovať pracovné e-maily. A urobí jednu z dvoch chýb. Buď si od zamestnancov dá podpísať „súhlas s monitorovaním“ v domnení, že tým je vec vybavená. Alebo monitoruje potichu, bez toho, aby niekomu niečo povedala, lebo „je to predsa naša firma a naše kamery“.

Obe cesty sú v rozpore s pravidlami. Monitorovanie zamestnancov je jedna z mála oblastí, kde sa GDPR a slovenský Zákonník práce prelínajú a spoločne kladú dosť prísne podmienky. Súhlas tu nefunguje a potichu to nejde. Funguje jedine transparentné, primerané a vopred prerokované monitorovanie z vážneho dôvodu.

Na akom základe smiete monitorovať zamestnancov?

Začnime tým, čo základom nie je: súhlas. Ako sme rozobrali v článku o súhlase, medzi zamestnancom a zamestnávateľom je nerovnováha, a preto sa súhlas zamestnanca len zriedka považuje za skutočne slobodný. Podpísaný „súhlas s kamerami“ vám teda pri kontrole nepomôže, práve naopak, signalizuje, že ste si zvolili nesprávny základ.

Správnym základom je kombinácia dvoch predpisov. Slovenský Zákonník práce v § 13 ods. 4 upravuje, za akých podmienok smie zamestnávateľ narúšať súkromie zamestnanca monitorovaním, a GDPR k tomu pridáva oprávnený záujem zamestnávateľa, napríklad ochranu majetku, ako právny základ spracúvania.

Že sa tieto dva predpisy neprebíjajú, má oporu priamo v nariadení. Článok 88 GDPR výslovne umožňuje členským štátom prijať podrobnejšie pravidlá pre spracúvanie v súvislosti so zamestnaním, a práve preto § 13 ods. 4 Zákonníka práce popri GDPR obstojí. Zákonník práce hovorí, kedy a ako smiete monitorovať, GDPR hovorí, na akom základe a s akými zárukami.

Aké podmienky žiada Zákonník práce?

Toto je časť, ktorú firmy najčastejšie prehliadnu, lebo sa sústredia len na GDPR. Zákonník práce hovorí, že zamestnávateľ nesmie bez vážnych dôvodov spočívajúcich v osobitnej povahe jeho činností narúšať súkromie zamestnanca na pracovisku a v spoločných priestoroch zamestnávateľa tým, že ho monitoruje, vykonáva záznam telefonických hovorov uskutočňovaných technickými pracovnými zariadeniami zamestnávateľa alebo kontroluje elektronickú poštu odoslanú z pracovnej elektronickej adresy a doručenú na túto adresu, bez toho, aby ho na to vopred upozornil.

Slovné spojenie o spoločných priestoroch sa prehliada, hoci je praktickejšie než samotné pracovisko. Chodby, šatne, jedáleň či parkovisko sú typicky spoločné priestory zamestnávateľa a práve tam sa kamery umiestňujú najčastejšie.

Z ustanovenia vyplývajú tri povinnosti, ktoré treba splniť ešte pred zapnutím akéhokoľvek monitorovania. Musíte mať vážny dôvod, ktorý vychádza z povahy vašej činnosti, napríklad ochranu majetku pred krádežami, nie len všeobecnú nedôveru. Ak u vás pôsobia zástupcovia zamestnancov, musíte s nimi vopred prerokovať rozsah kontroly, spôsob jej uskutočnenia a dobu jej trvania. A zamestnancov musíte o rovnakých náležitostiach informovať. Ak tieto kroky preskočíte, porušujete Zákonník práce bez ohľadu na to, ako dobre máte spravené GDPR.

Čo k tomu pridáva GDPR

Splnená pracovnoprávna vrstva nestačí. Na strane ochrany údajov pribúdajú dve povinnosti, na ktoré sa v praxi zabúda najčastejšie.

Prvou je test vyváženosti (proporcionality). Oprávnený záujem nie je základ, ktorý stačí pomenovať. Platí len vtedy, keď obstojí v teste, ktorý sa vykoná a zapíše pred spustením monitorovania, nie až keď sa niekto sťažuje. Ako sa robí, rozoberáme v článku o právnych základoch. Pri monitorovaní zamestnancov ide o najvážnejšiu aplikáciu tohto testu, lebo na druhej strane váhy stoja práva ľudí v podriadenom postavení. Prakticky ho tvorí porovnanie sledovaného účelu s mierou zásahu a preukázanie, že menej invazívne riešenie účel nesplní.

Druhou je informačná povinnosť podľa čl. 13. Informovanie podľa Zákonníka práce ju nenahrádza, sú to dve rôzne veci. Zákonník práce žiada upozornenie a prerokovanie rozsahu, spôsobu a doby kontroly. Článok 13 GDPR má vlastný predpísaný obsah: totožnosť prevádzkovateľa, kontakt na zodpovednú osobu, účel, právny základ vrátane pomenovania konkrétneho oprávneného záujmu, príjemcovia, doba uchovávania, práva dotknutej osoby vrátane práva namietať a možnosť podať sťažnosť úradu. Tabuľka pri vstupe ani veta v pracovnom poriadku túto povinnosť nesplnia.

Zamestnávateľ, ktorý splní len pracovnoprávnu časť, má pri kontrole chýbajúci dokument podľa čl. 13.

Čo platí pri kamerách?

Kamery sú najčastejší prípad a majú svoje osobitné pravidlá. Platí prísna primeranosť: kamery smú byť len tam, kde je to na daný účel nevyhnutné, a nikdy nesmú snímať priestory, kde má zamestnanec oprávnené očakávanie súkromia, teda toalety, šatne či miestnosti na odpočinok.

Pri informovaní sa osvedčil dvojstupňový model. Na mieste stačí stručné upozornenie na tabuľke s piktogramom, účelom, totožnosťou prevádzkovateľa a odkazom, kde nájsť viac. Úplné informácie podľa čl. 13 potom sprístupníte na webe alebo na vyžiadanie. Samotná tabuľka informačnú povinnosť nesplní, ale ako prvý stupeň je namieste.

Dôležitá je aj doba uchovávania. Zákon konkrétnu lehotu neurčuje. Ako orientačný bod sa uvádza 72 hodín, teda tri dni, ide však o pravidlo z usmernenia Európskeho výboru pre ochranu údajov ku kamerovým zariadeniam a z rozhodovacej praxe úradu, nie o zákonný limit. Podstata je, že záznamy uchovávate len tak dlho, ako je to na účel nevyhnutné, a dlhšie uchovávanie musíte vedieť odôvodniť, napríklad prebiehajúcim vyšetrovaním incidentu. Uchovávať záznamy „pre istotu“ mesiace je typická chyba.

A ešte jedna vec: ak kamera sníma aj iné osoby než zamestnancov, napríklad zákazníkov v predajni, ich súhlas nepotrebujete, ich záznam spracúvate na základe oprávneného záujmu, ktorým je ochrana majetku.

Čo platí pri kontrole e-mailov a GPS?

Hranica medzi legitímnym dohľadom a zásahom do súkromia je pri pracovných e-mailoch tenká a ľahko prekročiteľná. Zamestnávateľ smie kontrolovať pracovný e-mail, ale len ak o tom zamestnanca vopred informoval a len primerane, teda nie systematicky čítať všetku komunikáciu.

Rozšírená predstava je, že sa problém vyrieši zákazom súkromného používania schránky. Nevyrieši. Veľká komora Európskeho súdu pre ľudské práva v rozsudku z 5. septembra 2017 vo veci Bărbulescu proti Rumunsku (sťažnosť č. 61496/08) uzavrela, že zamestnanec má primerané očakávanie súkromia aj tam, kde zamestnávateľ súkromné používanie zakázal, a samotný zákaz v internom predpise prístup k obsahu komunikácie neodôvodňuje. Pozor na staršie komentáre: skoršie rozhodnutie komory z januára 2016 dospelo k opačnému záveru a Veľká komora ho zvrátila.

Súd zároveň vymedzil, podľa čoho sa primeranosť kontroly posudzuje: či bol zamestnanec vopred informovaný o možnosti monitorovania a o jeho zavedení, aký bol rozsah zásahu, či mal zamestnávateľ dostatočné dôvody na prístup k samotnému obsahu komunikácie, či sa dal účel dosiahnuť menej invazívne, aké následky kontrola pre zamestnanca mala a aké záruky mu boli poskytnuté.

Kontrolovať prevádzkové údaje, teda kto komu a kedy písal alebo aký bol objem prenesených dát, je podstatne menší zásah než čítanie obsahu. Cielené overenie konkrétnej komunikácie pri odôvodnenom podozrení obstojí skôr než plošné čítanie schránky.

Pri GPS v služobných vozidlách platí tá istá logika primeranosti. Sledovanie polohy vozidla na základe oprávneného záujmu je legitímne na účely ako organizácia prepravy či ochrana majetku, ale nesmie zachádzať do sledovania zamestnanca mimo pracovného času alebo počas povolených súkromných jázd.

Pri oboch platí to isté, čo pri kamerách: musíte mať určenú dobu uchovávania. Pri údajoch o polohe je to častý nedostatok, lebo systém od dodávateľa býva prednastavený na roky a nikto to nezmení. A každé z týchto monitorovaní je samostatnou spracovateľskou činnosťou, ktorá patrí do záznamu o spracovateľských činnostiach s vlastným účelom, právnym základom a lehotou uchovávania.

Kedy treba posúdenie vplyvu?

Tu sa monitorovanie napája na zvyšok GDPR a nejde o odhad. Úrad na ochranu osobných údajov zverejňuje podľa čl. 35 ods. 4 GDPR zoznam spracovateľských operácií, pri ktorých je posúdenie vplyvu na ochranu údajov povinné, a monitoring práce zamestnanca vykonávaný na základe vážnych dôvodov vyplývajúcich z osobitnej povahy činnosti zamestnávateľa je na ňom uvedený. Ak teda monitorujete podľa § 13 ods. 4 Zákonníka práce, posúdenie vplyvu sa vás týka a robí sa pred spustením. Postup upravuje vyhláška č. 158/2018 Z. z.

Zároveň, ak vaše hlavné činnosti spočívajú v operáciách vyžadujúcich pravidelné a systematické monitorovanie osôb vo veľkom rozsahu, môže vám vzniknúť aj povinnosť určiť zodpovednú osobu. Tu treba rozlišovať. Bežný zamestnávateľ s kamerami na chodbe túto podmienku nespĺňa, lebo monitorovanie nie je jeho hlavnou činnosťou.

Čo môže urobiť zamestnanec

Ak spracúvanie stojí na oprávnenom záujme, dotknutá osoba má právo proti nemu namietať z dôvodov týkajúcich sa jej konkrétnej situácie. Prevádzkovateľ musí spracúvanie ukončiť, ak nepreukáže nevyhnutné oprávnené dôvody, ktoré prevažujú nad záujmami a právami dotknutej osoby. Pri monitorovaní zamestnancov je to nástroj, ktorý má zamestnanec priamo v ruke.

Prakticky to znamená, že námietku musíte vedieť prijať, posúdiť a odpovedať na ňu v lehote, nie ju odložiť. Práve tu využijete test vyváženosti, lebo bez neho nemáte čím prevahu svojich dôvodov preukázať. Ako sa žiadosti dotknutých osôb vybavujú, rozoberáme v článku o právach dotknutých osôb.

Zákonník práce k tomu pridáva vlastný nástroj. Zamestnanec, ktorý sa domnieva, že podmienky monitorovania neboli dodržané, môže podať sťažnosť a domáhať sa súdnej ochrany.

Ako na to správne

Nezačínajte objednávkou kamier, ale otázkou, čo presne chcete dosiahnuť a či sa to nedá dosiahnuť menej invazívne. Keď máte jasný a vážny účel, prejdite si poradie krokov:

1. Vykonajte a zdokumentujte test vyváženosti oprávneného záujmu, vrátane zdôvodnenia, prečo menej invazívne riešenie účel nesplní.
2. Prerokujte rozsah, spôsob a dobu kontroly so zástupcami zamestnancov, ak u vás pôsobia.
3. Informujte zamestnancov podľa Zákonníka práce a popritom splňte informačnú povinnosť podľa čl. 13.
4. Vykonajte posúdenie vplyvu, ak ide o monitoring práce zamestnanca podľa § 13 ods. 4.
5. Až potom systém spustite, s určenou dobou uchovávania a zápisom do záznamu o spracovateľských činnostiach.

Zvyčajne sa ukáže, že cieľ splní skromnejšie riešenie, než firma pôvodne zamýšľala.

Zvyčajne zaznie námietka: „veď je to naša firma, môžeme si monitorovať, ako chceme“. Lenže súkromie zamestnanca je chránené Zákonníkom práce aj ústavou a vlastníctvo priestorov na tom nič nemení. Monitorovanie zavedené bez prerokovania, bez informovania alebo bez vážneho dôvodu je nezákonné, aj keď kamery visia na vašich stenách.

Ak zavádzate kamery, GPS alebo kontrolu e-mailov a chcete to spraviť tak, aby obstálo pred úradom aj pred zamestnancami, a nechcete to riešiť sami, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Ako externá zodpovedná osoba pritom pôsobíme nezávisle a bez konfliktu záujmov, ako to vyžaduje čl. 38 GDPR. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.