Oblast osobních spisů a celkově problematika oprávnění zaměstnavatele získávat a zpracovávat údaje o zaměstnancích, kteří pro něj vykonávají závislou práci, je velmi složitá, a to zejména z důvodu její roztříštěnosti v několika právních předpisech. Stěžejním právním předpisem, který každý zaměstnavatel musí mít na paměti, je zákon č. 101/2000 Sb., o ochraně osobních údajů, který reguluje zpracovávání osobních údajů.
 
Vedle tohoto obecného předpisu samozřejmě nelze opomenout ani zákon č. 262/2006 Sb., zákoník práce, který se získáváním a zpracováváním osobních údajů věnuje na několika místech, když jednak vymezuje údaje, které může, respektive nemůže zaměstnavatel požadovat od uchazečů o zaměstnání či již přímo od zaměstnanců, a následně upravuje osobní spis zaměstnance.
 
Výčet informací, které nemůže zaměstnavatel požadovat od osob ucházejících se o zaměstnání, se nachází též v zákoně č. 435/2004 Sb., o zaměstnanosti.

Údaje od osoby ucházející se o zaměstnání

V první fázi může zaměstnavatel od osoby ucházející se o zaměstnání požadovat jen takové osobní údaje, které odpovídají stanovenému účelu výběru zaměstnance a v rozsahu nezbytném pro naplnění tohoto účelu. Jedná se hlavně o údaje, které jsou nezbytné k uzavření pracovněprávního vztahu. Zdrojem těchto informací bude zpravidla životopis či motivační dopis, který předkládá osoba ucházející se o zaměstnání. Bude se tak jednat o tzv. osobní údaje, jako je jméno, příjmení, datum narození, bydliště, státní příslušnost, informace o dosaženém vzdělání, praxi apod.
 
Ve vztahu k informacím, které zaměstnavatel nemůže požadovat od osoby ucházející se o zaměstnání, obsahuje zákon o zaměstnanosti v ustanovení § 12 demonstrativní výčet „zakázaných údajů“. Jedná se o informace ve vztahu k národnosti, rasovému či etnickému původu, politickým postojům, členství v odborových organizacích, náboženství, filozofickému přesvědčení nebo sexuální orientaci. Zákaz může být prolomen v případě, že by požadování těchto výše uvedených údajů bylo v souladu se zvláštním právním předpisem.
 
Dle zákona o zaměstnanosti zaměstnavatel nemůže rovněž vyžadovat informace, které by odporovaly dobrým mravům, a informace, které by zaměstnavateli nesloužily k plnění povinnosti. Mezi informace bezesporu nesouvisející s uzavřením pracovního poměru bude třeba patřit údaj o rodinném stavu či o počtu dětí, které by pro zaměstnavatele z hlediska účelu uzavření pracovněprávního vztahu neměly být rozhodující a zaměstnavatelé by tak vůbec neměli chtít s takovými informacemi disponovat.

Osobní údaje zaměstnanců

Po uzavření pracovněprávního vztahu vzroste potřeba zaměstnavatele evidovat větší množství osobních údajů o zaměstnancích. Je to dáno nutností zaměstnavatele splnit veškeré jeho povinnosti v pracovněprávních vztazích plynoucích jak ze zákoníku práce, tak i z jiných právních předpisů (např. z oblasti zdravotního, důchodového či nemocenského pojištění). Ale vždy musí být splněna podmínka, že zaměstnavatelem požadované údaje musí souviset s výkonem práce a s pracovněprávním vztahem.
 
Demonstrativní výčet informací, které nesouvisí s pracovním poměrem a které tedy zaměstnavatel od zaměstnance nesmí vyžadovat, zakotvuje ustanovení § 316 odst. 4 zákoníku práce. Ačkoliv se v tomto ustanovení hovoří pouze o informacích získávaných zaměstnavatelem od zaměstnanců, lze bezesporu dovodit, že tento zákaz by bylo možné vztáhnout i vůči osobám ucházejícím se o práci.
 
„Zakázané informace“ ve smyslu zákoníku práce by bylo možné rozdělit do dvou skupin, z nichž první skupinu by tvořily údaje, které zaměstnavatel po zaměstnanci za žádných okolností vyžadovat nemůže, a druhou skupinu by zahrnovaly údaje, k jejímž zjišťování by byl zaměstnavatel oprávněn, pokud by nastal věcný důvod spočívající v povaze práce, která má být vykonávána, a to za předpokladu, že je tento požadavek přiměřený, nebo v případě, že tak stanoví zákoník práce nebo zvláštní právní předpis.
 
Do první skupiny spadají údaje o sexuální orientaci, původu, členství v odborové organizaci, členství v politických stranách nebo hnutích a příslušnosti k církvi nebo náboženské společnosti. Ohledně těchto informací pro zaměstnavatele platí absolutní zákaz, který by mohl být prolomen pouze v případech stanovených buď samotným zákoníkem práce, nebo jiným zvláštním právním předpisem.
 
Na uvedené informace zákon o ochraně osobních údajů nahlíží jako na tzv. citlivé údaje, se kterými je spojena větší míra ochrany. A zaměstnavateli je zakázáno opatřovat si takové údaje jakýmkoliv způsobem, tedy ať již přímo od zaměstnance, nebo prostřednictvím třetích osob.
 
Ve skupině druhé se bude jednat o údaje o těhotenství, rodinných a majetkových poměrech a trestněprávní bezúhonnosti. Obecně by je zaměstnavatel neměl od zaměstnance zjišťovat, ale mohou nastat situace, při kterých je požadavek zaměstnavatele ohledně těchto informací zcela namístě.
 
Informace o těhotenství může být relevantní v případě, má-li být vykonávána práce, která by spadala mezi práce zakázané těhotným zaměstnankyním, nebo údaj o trestněprávní bezúhonnosti u prací, při kterých například dochází k manipulaci s vysokým finančním obnosem.

Osobní spis zaměstnance

Údaje, které zaměstnavatel, v souladu s výše nastíněnými pravidly, o zaměstnanci nashromáždil, mohou být uchovávány v rámci tzv. osobního spisu zaměstnance. Zaměstnavatel má totiž právo v souladu se zákoníkem práce vést o svém zaměstnanci osobní spis, přičemž toto právo mu vyplývá z ustanovení § 312 zákoníku práce.
 
Neexistuje žádný obecně závazný právní předpis, který by stanovil naprosto jednoznačně rozsah a formu osobní evidence. Nicméně platí, že zaměstnavatel může o svých zaměstnancích shromažďovat pouze takové osobní údaje, které mají příčinný vztah k realizaci pracovněprávního vztahu se zaměstnancem, a to jen po dobu, kdy pracovněprávní vztah trvá.
 
Osobní spis by bylo možné označit jako soubor dokumentů zaznamenávajících průběh personální činnosti. Součástí osobního spisu tak mohou být například dokumenty vztahující se k:

• osobě zaměstnance, jeho vzdělání a kvalifikaci, např.:
  • životopis, osobní dotazník, potvrzení o zdravotní způsobilosti zaměstnance, výpis z rejstříku trestů,
  • doklady o dosaženém vzdělání a kvalifikaci, zápočtový list či pracovní posudek od předchozího zaměstnavatele,
• uzavřenému pracovněprávnímu vztahu, např.:
  • pracovní smlouva, dohoda o provedení práce či pracovní činnosti, náplň práce, platový/mzdový výměr, včetně dodatků a změn,
  • doklady o absolvovaných školeních,
  • dohody o odpovědnosti k ochraně hodnot svěřených zaměstnanci k vyúčtování či o srážkách ze mzdy/platu,
  • evidence pracovní doby, dohody o změnách pracovního poměru, přeložení, převedení,
  • doklad o rozvázání pracovního poměru, včetně podkladů k němu směřujících, ale také případný rozsudek soudu o neplatnosti rozvázání pracovního poměru,
• údajům pro účely zdravotního, nemocenského či důchodového pojištění.

Tyto dokumenty jsou zdrojem základních osobních údajů zaměstnance, jako je jméno, příjmení, titul, datum a místo narození, státní občanství nebo trvalý pobyt.
 
Osobní spis však může obsahovat i další údaje, které mohou sloužit nějakému konkrétnímu účelu, jako například číslo účtu pro účely zasílání mzdy či platu.

Zpracování osobních údajů

Protože osobní (personální) spis obsahuje zaměstnancovy osobní údaje, vztahuje se na jejich zpracovávání a ochranu zákon o ochraně osobních údajů, který je, jak už bylo výše řečeno, obecným právním předpisem, jenž upravuje oblast ochrany osobních údajů.
 
Ve smyslu zákona o ochraně osobních údajů se za osobní údaj považuje jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Tomu je třeba rozumět tak, že se jedná o údaje, na základě kterých lze subjekt přímo či nepřímo identifikovat, ať již dle čísla, kódu, či identity.
 
Zákon o ochraně osobních údajů rozlišuje jednak osobní údaje jako takové a dále tzv. citlivé údaje. Přičemž citlivým údajem je údaj o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě a dále sem patří také genetický údaj či biometrický údaj.
 
Citlivým údajům je věnována zvýšená ochrana oproti ostatním osobním údajům. Základní rozdíl v přístupu je spatřován zejména v rámci toho, zda je ke zpracování údajů potřeba souhlasu subjektu. Nicméně v oblasti pracovněprávních vztahů tento rozdíl nebude natolik patrný.
 
Obecně platí, že osobní údaje mohou být správcem (tedy z pohledu pracovněprávních vztahů zaměstnavatelem) zpracovávány pouze, pokud s tím vysloví souhlas subjekt údajů (tedy zaměstnanec).
 
Přičemž zákonem o ochraně osobních údajů jsou připuštěny určité výjimky, kdy souhlasu není třeba. Jedná se o případy, kdy zpracovávání údajů je nezbytné pro dodržení právní povinnosti správce, pro plnění smlouvy, jejíž smluvní stranou je subjekt údajů (zaměstnanec) nebo pro ochranu práv a právem chráněných zájmů správce (zaměstnavatele). Většina osobních údajů, které zaměstnavatel bude v osobním spise zaměstnance uchovávat, bude spadat pod tyto výjimky, takže souhlasu zaměstnanců ke zpracovávání údajů není zapotřebí. Nicméně i přesto lze jen doporučit, aby zaměstnanec souhlas se zpracováním osobních údajů vyjádřil například v pracovní smlouvě.
 
Pod zmiňovanou výjimku by však nebylo možné zařadit pořízení fotografie do osobního spisu zaměstnance. Neboť fotografie prozradí osobní údaje o rasovém a etnickém původu, které jsou považovány za citlivé údaje, a potřeba jejího zpracování by nemohla být odůvodněna dodržením právních povinností správce. Pokud by však zaměstnavatel trval na uchování fotografie v osobním spise zaměstnance, musel by získat zaměstnancův výslovný souhlas, nestačil by pouze obecný souhlas v pracovní smlouvě.

Jak dlouho může zaměstnavatel zpracovávat osobní údaje?

Jak bylo výše naznačeno, zaměstnavatel je dle zákona o ochraně osobních údajů v postavení správce, tedy toho, kdo určuje účel a prostředky zpracování osobních údajů. Zaměstnavatel jako správce tak musí dbát na to, aby se shromažďovaly pouze ty údaje, které odpovídají stanovenému účelu a stanovený účel byl respektován i při dalším zpracování osobních údajů, a aby osobní údaje byly uchovávány pouze po dobu, která je k jejich zpracování nezbytná. Za dodržení všech těchto povinností nese zaměstnavatel odpovědnost.
 
Naproti tomu zaměstnanec je tzv. subjektem údajů, tedy osobou, ke které se vztahují zpracovávané osobní údaje. Zaměstnavatel tak je jako správce oprávněn zaměstnancovy osobní údaje zpracovávat. Za zpracovávání osobních údajů se má jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Přičemž zpracováním osobních údajů je zejména shromažďování, ukládání na nosiče informací, zpřístupňování nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace.
 
Z uvedeného plyne, že zaměstnavatel má právo (příp. povinnost) zpracovávat osobní údaje zaměstnance, avšak pouze po dobu, po kterou trvá účel směřující k jejich zpracovávání. Oprávnění vést osobní spis zaměstnance je proto nerozlučně spjato s trváním pracovněprávního vztahu.
 
Počátek vedení bude navázán na vznik pracovněprávního vztahu, přičemž některé údaje o zaměstnanci bude zaměstnavatel získávat již před samotným vznikem pracovního poměru, jak bylo rozebráno výše. Vedení spisu by následně mělo být ukončeno společně s ukončením pracovněprávního vztahu, kdy by měl zaměstnavatel provést likvidaci osobních údajů (kromě písemností, které musí být archivovány na základě právních předpisů). Zaměstnavatel však nemůže přistoupit k likvidaci osobních údajů ještě po dobu, po kterou mohou být uplatňovány nároky spjaté s pracovněprávním vztahem (např. soudní spory).

Kdo má přístup k osobním údajům zaměstnanců?

Jelikož při vedení osobního spisu a zpracovávání osobních údajů je zaměstnavatel podřízen zákonu o ochraně osobních údajů, je povinen zajistit opatření k ochraně osobních údajů. Za tímto účelem zákoník práce vymezuje okruh osob, které mají právo nahlížet do osobního spisu zaměstnance, a to právě z důvodu, aby se k osobním údajům zaměstnance nedostala „neoprávněná osoba“ a nedošlo ke zneužití osobních údajů zaměstnance.
 
Přístup k osobním údajům zaměstnance prostřednictvím práva nahlížet do osobního spisu zaměstnance nepochybně náleží vedoucím pracovníkům, kteří jsou nadřízeni zaměstnanci, a dále některým státním orgánům, jako je orgán inspekce práce, Úřad práce České republiky, Úřad pro ochranu osobních údajů, soud, státní zástupce, policejní orgán, Národní bezpečnostní úřad a zpravodajské služby.
 
Kontrolním orgánům (vnějším kontrolním orgánům) není uděleno právo nahlížet do osobního spisu, nicméně mohou požadovat předložení jednotlivých písemností z osobního spisu.
 
Samozřejmostí je, že zaměstnanci nemohou být odepřeny údaje, které zaměstnavatel o něm uchovává. Zaměstnanec je oprávněn nahlížet do svého osobního spisu a provádět tak kontrolu. Nadto si může z osobního spisu udělat výpisky nebo si opatřit kopie, vše na náklady zaměstnavatele.
 
Na závěr ještě doplňme poznámku ohledně oznamovací povinnosti správce. Každý, kdo má jako správce v plánu zpracovávat osobní údaje, musí tuto skutečnost, ještě před započetím zpracování osobních údajů, písemně oznámit Úřadu pro ochranu osobních údajů. Nicméně zaměstnavatelů se tato povinnost netýká v případě osobních údajů uchovávaných za účelem splnění zákonné povinnosti.

Článek byl připravený ve spolupráci s Mgr. Ivetou Nejedlou.