GDPR a osobní údaje zaměstnance u zahraničního zaměstnavatele - může je uchovávat a předat jiným osobám bez souhlasu zaměstnance?

ODPOVĚĎ:
V dotazu zmiňujete zahraniční firmu, není však zřejmé, zda jste pracovala pro zahraniční firmu, ovšem na území ČR (a tedy dle českého právního řádu), nebo zda jste pracovala v zahraničí (a tedy dle právního řádu jiného státu). Ve své odpovědi budu vycházet z prvního scénáře (tzn. že jste pracovala na území ČR a tedy dle českého právního řádu).
Osobní údaje zaměstnanců jsou zaměstnavateli nejčastěji soustřeďovány v osobních spisech zaměstnanců (§ 312 zákoníku práce).
Ve své odpovědi se budu postupně zabývat všemi způsoby nakládání s osobními údaji, které v dotazu zmiňujete (tedy uchování, předávání/zpřístupnění a výmaz osobních údajů). Všechny tři uvedené způsoby dispozice s osobními údaji spadají do kategorie zpracování osobních údajů, jak to vyplývá z čl. 4/2 GDPR. Dle tohoto ustanovení totiž platí, že zpracováním osobních údajů je:
„jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je uložení ... zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění ... výmaz nebo zničení“

Ve Vašem případě je tak nutné vyřešit otázku, zda je zpracování osobních údajů Vaším bývalým zaměstnavatelem zákonné či nikoli. I zde dává odpověď GDPR, dle jehož čl. 6/1 písm. a), c) a f) je zpracování osobních údajů zákonné, pokud:
a/ subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů,
b/ zpracování osobních údajů je nezbytné pro splnění právní povinnosti, která se na správce vztahuje,
c/ zpracování osobních údajů je nezbytné pro účely oprávněných zájmů příslušného správce,
přičemž pro zákonnost zpracování osobních údajů samozřejmě postačí, je-li splněna pouze jedna z těchto podmínek.

Co se týče uchování Vašich osobních údajů Vaším bývalým zaměstnavatelem, je podstatné, jaké osobní údaje a v jakém rozsahu jsou uchovávány. Je nicméně pravdou, že existuje několik právních předpisů, které ukládají zaměstnavateli povinnost uchovávat některé informace o jeho zaměstnancích, a to po vymezenou dobu (například po dobu 10 let). Těmito právními předpisy jsou například zákon o důchodovém pojištění, zákon o nemocenském pojištění či zákon o daních z příjmů.
Pakliže Váš bývalý zaměstnavatel uchovává Vaše osobní údaje v mezích některého z těchto právních předpisů, jedná na základě právní povinnosti a tedy oprávněně (jak s tím počítá GDPR, a to v odrážce ad b/ výše).

Je rovněž možné, že Váš bývalý zaměstnavatel uchovává některé dokumenty (typicky dokumenty o založení a rozvázání Vašeho pracovního poměru) pro své vlastní potřeby, a to například pro možnost prokázat rozhodné skutečnosti v eventuálním budoucím soudním sporu (v takovém případě je uchování osobních údajů zákonné dle odrážky ad c/ výše).
Co se týče předávání Vašich osobních údajů jiným osobám, je podstatné, o jaké jiné osoby (příjemce Vašich osobních údajů) by se mělo jednat a na jakém právním základě tak Váš bývalý zaměstnavatel činí.

Pakliže by Váš bývalý zaměstnavatel předával Vaše osobní údaje některému veřejnoprávnímu orgánu (například finančnímu úřadu, orgánu důchodového či nemocenského pojištění apod.), a to kupříkladu v rámci prováděné kontroly, jednalo by se bezesporu o zákonné zpracování Vašich osobních údajů (dle odrážky ad b/ výše).
Pokud by Váš bývalý zaměstnavatel předával Vaše osobní údaje jiným osobám (tedy nikoli pouze orgánům veřejné moci), byl by k tomu v zásadě oprávněn pouze v případě, pokud by předem získal Váš výslovný souhlas (odrážka ad a/ výše).

Pro učinění konkrétnějšího závěru o ne/oprávněnosti předávání Vašich osobních údajů Vaším bývalým zaměstnavatelem by nicméně bylo nutné znát více podrobností, a to zejména identifikaci subjektů, kterým jsou osobní údaje předávány a právní titul, na jehož základě tak Váš bývalý zaměstnavatel činí.

Každá fyzická osoba má právo požadovat výmaz svých osobních údajů po správci (zde bývalém zaměstnavateli), který je zpracovává. Jak vyplývá z čl. 17 GDPR, může být požadavek na výmaz osobních údajů oprávněně vznesen pouze tehdy, je-li splněna některá z tam uvedených podmínek. Pokud Váš bývalý zaměstnavatel uchovává Vaše osobní údaje z důvodu plnění jeho zákonných povinností, nejste oprávněna po něm požadovat jejich výmaz (neboť byste mu tím znemožnila plnit jeho právní povinnost), resp. můžete svůj požadavek na výmaz osobních údajů omezit pouze na ty osobní údaje, které Váš bývalý zaměstnavatel k plnění svých právních povinností nepotřebuje.

_______________________
Právní předpisy zmiňované v odpovědi:
zákon č. 262/2006 Sb. , zákoník práce
nařízení Evropského parlamentu a Rady č. (EU) 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
zákon č. 155/1995 Sb. , o důchodovém pojištění
zákon č. 187/2006 Sb. , o nemocenském pojištění
zákon č. 586/1992 Sb. , o daních z příjmů

► Stránka obsahuje odpověď na tato témata:

• Zpracování osobních údajů zaměstnance zahraničním zaměstnavatelem a předání osobních údajů cizímu subjektu - vliv GDPR