Monitorovanie zamestnancov, kamery a GPS: čo dovoľuje GDPR

Firma sa rozhodne nainštalovať kamery, sledovať služobné vozidlá cez GPS alebo kontrolovať pracovné e-maily. A urobí jednu z dvoch chýb. Buď si od zamestnancov dá podpísať „súhlas s monitorovaním“ v domnení, že tým je vec vybavená. Alebo monitoruje potichu, bez toho, aby niekomu niečo povedala, lebo „je to predsa naša firma a naše kamery“.

Obe cesty sú v rozpore s pravidlami. Monitorovanie zamestnancov je jedna z mála oblastí, kde sa GDPR a slovenský Zákonník práce prelínajú a spoločne kladú dosť prísne podmienky. Súhlas tu nefunguje a potichu to nejde. Funguje jedine transparentné, primerané a vopred prerokované monitorovanie z vážneho dôvodu.

Na akom základe smiete monitorovať zamestnancov?

Začnime tým, čo základom nie je: súhlas. Ako sme rozobrali v článku o súhlase, medzi zamestnancom a zamestnávateľom je nerovnováha, a preto sa súhlas zamestnanca len zriedka považuje za skutočne slobodný. Podpísaný „súhlas s kamerami“ vám teda pri kontrole nepomôže, práve naopak, signalizuje, že ste si zvolili nesprávny základ.

Správnym základom je kombinácia dvoch predpisov. Slovenský Zákonník práce v § 13 ods. 4 upravuje, za akých podmienok smie zamestnávateľ narúšať súkromie zamestnanca monitorovaním, a GDPR k tomu pridáva oprávnený záujem zamestnávateľa, napríklad ochranu majetku, ako právny základ spracúvania. Tieto dva predpisy fungujú spolu: Zákonník práce hovorí, kedy a ako smiete monitorovať, GDPR hovorí, na akom základe a s akými zárukami.

Aké podmienky žiada Zákonník práce?

Toto je časť, ktorú firmy najčastejšie prehliadnu, lebo sa sústredia len na GDPR. Zákonník práce hovorí jasne, že zamestnávateľ nesmie bez vážnych dôvodov spočívajúcich v osobitnej povahe jeho činností narúšať súkromie zamestnanca na pracovisku tým, že ho monitoruje, nahráva jeho hovory alebo kontroluje pracovnú poštu, bez toho, aby ho na to vopred upozornil.

Z toho vyplývajú tri povinnosti, ktoré treba splniť ešte pred zapnutím akéhokoľvek monitorovania. Musíte mať vážny dôvod, ktorý vychádza z povahy vašej činnosti, napríklad ochranu majetku pred krádežami, nie len všeobecnú nedôveru. Ak u vás pôsobia zástupcovia zamestnancov, musíte s nimi vopred prerokovať rozsah kontroly, spôsob jej vykonania a dobu jej trvania. A zamestnancov musíte o monitorovaní vopred a preukázateľne informovať. Ak tieto kroky preskočíte, porušujete Zákonník práce bez ohľadu na to, ako dobre máte spravené GDPR.

Čo platí pri kamerách?

Kamery sú najčastejší prípad a majú svoje osobitné pravidlá. Platí prísna primeranosť: kamery smú byť len tam, kde je to na daný účel nevyhnutné, a nikdy nesmú snímať priestory, kde má zamestnanec oprávnené očakávanie súkromia, teda toalety, šatne či miestnosti na odpočinok. Zamestnancov aj návštevníkov treba na monitorovanie upozorniť, typicky informačnou tabuľkou.

Dôležitá je aj doba uchovávania. Podľa stanoviska Úradu na ochranu osobných údajov by sa kamerové záznamy mali spravidla uchovávať najviac 72 hodín, teda tri dni, a dlhšie len v odôvodnených prípadoch, napríklad ak práve prebieha vyšetrovanie incidentu. Uchovávať záznamy „pre istotu“ mesiace je typická chyba. A ešte jedna vec: ak kamera sníma aj iné osoby než zamestnancov, napríklad zákazníkov v predajni, ich súhlas nepotrebujete, ich záznam spracúvate na základe oprávneného záujmu, ktorým je ochrana majetku.

Čo platí pri kontrole e-mailov a GPS?

Hranica medzi legitímnym dohľadom a zásahom do súkromia je pri pracovných e-mailoch tenká a ľahko prekročiteľná. Zamestnávateľ smie kontrolovať pracovný e-mail, ale len ak o tom zamestnanca vopred informoval a len primerane, teda nie systematicky čítať všetku komunikáciu. Ak ste zamestnancom povolili aj súkromné používanie pracovnej schránky, do súkromných správ nahliadať nesmiete. Súkromná komunikácia je chránená, aj keď prebieha na služobnom zariadení.

Pri GPS v služobných vozidlách platí tá istá logika primeranosti. Sledovanie polohy vozidla na základe oprávneného záujmu je legitímne na účely ako organizácia prepravy či ochrana majetku, ale nesmie zachádzať do sledovania zamestnanca mimo pracovného času alebo počas povolených súkromných jázd. Nástroj má slúžiť účelu, nie sa stať trvalým dohľadom nad človekom.

Kedy treba posúdenie vplyvu?

Tu sa monitorovanie napája na zvyšok GDPR. Rozsiahle a systematické monitorovanie osôb je typický príklad spracúvania, ktoré môže predstavovať vysoké riziko pre práva ľudí, a preto pri ňom spravidla treba vykonať posúdenie vplyvu na ochranu údajov ešte pred spustením. Zároveň, ak je rozsiahle systematické monitorovanie vašou hlavnou činnosťou, môže vám vzniknúť aj povinnosť určiť zodpovednú osobu. Monitorovanie teda nie je izolovaná téma, ťahá za sebou ďalšie povinnosti.

Ako na to správne

Nezačínajte objednávkou kamier, ale otázkou, čo presne chcete dosiahnuť a či sa to nedá dosiahnuť menej invazívne. Keď máte jasný a vážny účel, prejdite si poradie krokov: prerokovanie so zástupcami zamestnancov, ak u vás pôsobia, informovanie zamestnancov, pri rizikovejšom monitorovaní posúdenie vplyvu, a až potom samotné zapnutie systému s primeranou dobou uchovávania. Zvyčajne sa ukáže, že cieľ splní skromnejšie riešenie, než firma pôvodne zamýšľala.

Zvyčajne tu zaznie námietka: „veď je to naša firma, môžeme si monitorovať, ako chceme“. Lenže súkromie zamestnanca je chránené Zákonníkom práce aj ústavou a vlastníctvo priestorov na tom nič nemení. Monitorovanie zavedené bez prerokovania, bez informovania alebo bez vážneho dôvodu je nezákonné, aj keď kamery visia na vašich stenách.

Ak zavádzate kamery, GPS alebo kontrolu e-mailov a chcete to spraviť tak, aby obstálo pred úradom aj pred zamestnancami, a nechcete to riešiť sami, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.