GDPR na pracovišti v roce 2026: údaje a soukromí zaměstnance

Rychlý přehled

• Zaměstnavatel potřebuje pro každý účel zpracování osobních údajů odpovídající právní důvod.
• Pro nezbytnou personální a mzdovou agendu zpravidla nepotřebuje souhlas zaměstnance.
• Zaměstnanec musí dostat srozumitelné informace o využívání svých údajů.
• Kamerové sledování a kontrola komunikace podléhají také přísným podmínkám zákoníku práce.
• Podepsaný souhlas zaměstnance sám o sobě nezákonné sledování nenapraví.

Potřebujete nastavit GDPR na pracovišti? V rámci GDPR auditu prověříme nakládání s údaji zaměstnanců a navrhneme potřebné úpravy dokumentů a postupů.

Zpracování osobních údajů zaměstnance: kdy je možné bez souhlasu

Zpracování osobních údajů zaměstnance se řídí především obecným nařízením o ochraně osobních údajů, známým jako GDPR. Českou úpravu doplňuje zákon o zpracování osobních údajů. Soukromí na pracovišti chrání také zákoník práce.

Zaměstnavatel běžně zpracovává údaje nezbytné pro plnění pracovní smlouvy a zákonných povinností. Typicky jde o vedení personální agendy, výpočet mzdy nebo odvody pojistného. Pro tyto účely zpravidla nepotřebuje souhlas zaměstnance.

Souhlas má v pracovním vztahu omezené využití. Kvůli nerovnému postavení zaměstnance a zaměstnavatele nemusí být skutečně svobodný. Nelze jím nahrazovat správně určený právní důvod ani ospravedlnit nepřiměřený zásah do soukromí.

Mýtem je naopak to, že by už nebylo vůbec možné bez nového výslovného souhlasu podle GDPR rozesílat marketingová sdělení (např. ve formě newsletterů zasílaných na email) na dlouhodobě pracně vytvořené databáze klientů a že není možné např. shromažďovat rodná čísla zaměstnanců. Marketingová sdělení totiž zasílat lze v případě, že podnikatel získal kontaktní informace na základě minulé objednávky. V tomto případě musí mít ale zákazníci možnost jednoduše a bezplatně odmítnou příjem dalších marketingových sdělení. Stejně tak lze také shromažďovat rodná čísla zaměstnanců, a to i bez jejich souhlasu. Rodné číslo totiž zaměstnavatel potřebuje ke splnění oznamovací povinnosti vůči zdravotní pojišťovně zaměstnance.

Ochrana osobních údajů zaměstnance v každodenním provozu

Ochrana osobních údajů zaměstnance začíná tím, že zaměstnavatel určí, které údaje potřebuje a proč. Má shromažďovat jen přiměřený rozsah údajů, používat je pro stanovené účely a uchovávat je jen po potřebnou dobu.

Zaměstnanec má dostat informace zejména o účelech a právních důvodech zpracování, příjemcích údajů, době uchování a svých právech. Obecná věta v pracovní smlouvě, že „zaměstnanec souhlasí s GDPR“, tyto povinnosti nenahrazuje.

K personálním údajům mají přistupovat pouze osoby, které je potřebují pro své pracovní úkoly. Papírové spisy je vhodné ukládat do uzamykatelných skříní, v elektronických systémech nastavit přístupová oprávnění a pravidelně je kontrolovat.

Součástí zabezpečení může být také zaznamenávání přístupů a změn v systému. Potřebný rozsah těchto záznamů závisí na povaze údajů a rizicích zpracování. U rozsáhlých personálních systémů může být logování nezbytné; není však přesné tvrdit, že GDPR bez výjimky ukládá evidovat každé nahlédnutí do jakéhokoli údaje.

Je možné zaměstnance na pracovišti sledovat?

To co je však pro zaměstnace ještě podstatnější než ochrana dle GDPR, která se obecně spíše přeceňuje, je fakt, že zákon stanoví, že zaměstnavatel nesmí bez závažného důvodu spočívajícího ve zvláštní povaze jeho činnosti narušovat soukromí zaměstnance, a to nejen na pracovišti, ale i ve veřejných prostorách. Například i tím, že podrobuje pracovníka otevřenému či skrytému sledování.

Ani ochrana majetku není automaticky důvodem opravňujícím sledování. Pokud by však šlo o pracoviště, kde by docházelo k např. k častým krádežím nebo kde je třeba kontrola dodržování technologického postupu, je možné určité prostory sledovat. Musí však k tomu být skutečně závažné důvody. Např. v chemičce je bezpečnost důležitější než soukromí a postup zaměstnance v laboratoři musí být monitorován. Zde je možné použít i záznam. To samé však neplatí v kanceláři či v tělocvičně. Sledování by ale v každém případě rozhodně nemělo být tajné.

Z kontrolní praxe: kamery v kanceláři a kuchyňce

V jednom ze zveřejněných kontrolních zjištění inspekce práce zaměstnavatel snímal obraz i zvuk v kanceláři a kuchyni pro zaměstnance. Inspekce neshledala dostatečné důvody pro takový zásah a upozornila i na možnost méně invazivního zabezpečení prostor. Obecné zdůvodnění bezpečností tedy samo o sobě nestačilo.

Pokud zaměstnanec nesouhlasí s monitorováním na pracovišti, je třeba aby své výhrady zaměstnavateli oznámil. Pakliže by zaměstnavatel výhrady neakceptoval a v monitorování pokračoval, bylo by možné se obrátit na Státní úřad inspekce práce, případně i na Úřad pro ochranu osobních údajů. Za takové neoprávněné nakládání s osobními údaji hrozí až statisícové pokuty. Navíc, pokud má zaměstnavatel na zaměstnance nějaký důkaz pořízený takto nelegálně nemůže obstát např. ani ve sporu o platnost výpovědi zaměstnance „načapaného“ takovou kamerou.

Může zaměstnavatel kontrolovat pracovní e-mail?

Zaměstnavatel může přiměřeně kontrolovat, zda zaměstnanec nepoužívá pracovní prostředky k nepovoleným soukromým účelům. To mu ale nedává automatické právo číst obsah komunikace.

Kontrola elektronické pošty zasahující do soukromí podléhá přísnějším podmínkám zákoníku práce. Samotné podezření na porušení pracovních povinností není univerzálním oprávněním otevřít celou schránku. Stejně tak neplatí jednoduché pravidlo, že předmět zprávy lze kontrolovat vždy, zatímco její obsah nikdy. Rozhoduje účel, nezbytnost a rozsah zásahu.

Je tu však zajímavý případ, kdy Evropský soud pro lidská práva řešil výpověď rumunského zaměstnance, kterou dostal za enormní soukromé chatování v pracovní době. Měl na starost zákaznickou podporu a zaměstnavatel jej požádal o vytvoření oficiálního účtu Yahoo! Messenger, kde měl za úkol reagovat na dotazy zákazníků. Zaměstnanec ji však využíval pro osobní účely a ne zrovna v malé míře.

Zaměstnavatel později začal tušit, že něco není v pořádku, ale zaměstnanec vše písemně odmítl. Načež pak zaměstnavatel předložil přepis velmi osobních erotických rozhovorů. Na tomto základě dostal pracovník výpověď, proti které se pak snažil soudně bránit. Ovšem v tomto případě neuspěl. Soud uznal, že osobní práva byla sice zasažena, ale dal v tomto případě přednost ochraně zaměstnavatele. Ovšem zde je důležité zdůraznit slovo tentokrát, protože ne vždy tomu tak musí být.

Zaměstnavatel má právo kontrolovat využívání svých pracovních prostředků, ale nemůže svévolně zasahovat do soukromí svých zaměstnanců. Je to poměrně tenký led ne vždy by soud mohl rozhodnout ve prospěch zaměstnavatele. Obzvláště v době mobilních zařízení je prakticky nemožné hlídat zaměstnance, aby v pracovní době nechatovali, proto se dnes i většina zaměstnavatelů od striktních zákazů odklání.

Shrnutí

GDPR na pracovišti vyžaduje, aby zaměstnavatel zpracovával údaje pro konkrétní účely, měl odpovídající právní důvod a chránil je před neoprávněným přístupem. Nezbytnou personální a mzdovou agendu zpravidla vede bez souhlasu zaměstnance. Kamery a kontrola komunikace navíc podléhají zákoníku práce: potřebují řádné odůvodnění, přiměřený rozsah a informování zaměstnanců. Podezření na porušování pravidel mohou podle povahy věci řešit inspekce práce a Úřad pro ochranu osobních údajů.