Zpracovní osobních údajů při vstupu do budov

Zpracování otisků prstů zaměstnanců za účelem vstupu na pracoviště

Dotaz:

Prosím o váš názor na případ, kdy zaměstnavatel zavádí nový systém kontroly docházky, který je založen na identifikaci zaměstnance pomocí daktyloskopických otisků prstů. Zaměstnavatel požaduje na všech zaměstnancích umožnit sejmutí otisků prstů, které budou vedeny v databázi a pomocí výpočetní techniky budou vyhodnocovány informace ze vstupních bran, které umožní vstup pouze registrovaným zaměstnancům. Prosím o informaci, zda na takové zpracovávání citlivých informací má zaměstnavatel právo, jaké musí dodržet podmínky a co se stane, když subjekt údajů odmítne předat své otisky prstů zaměstnavateli.

Co se týká zpracování otisků prstů, tak jsou to osobní údaje citlivé. To znamená, že jejich ochraně je věnována zvýšená pozornost, což se projevuje v určitých zpřísněných požadavcích na to, kdy je tyto údaje možné zpracovávat bez souhlasu a jednak v možných sankcích pro toho, kdo nějaké své povinnosti poruší.

Zpracování citlivých údajů řeší především § 9 zákona o ochraně osobních údajů (dále jen „ZOOÚ“). Z hlediska zaměstnavatele je třeba najít takové ustanovení, které umožní zpracovávat otisky prstů bez souhlasu zaměstnanců, protože se může stát, že někdo ze zaměstnanců souhlas nedá a co pak?

Jako možnou výjimku z povinnosti získat souhlas od zaměstnanců je možné použít § 9 písm. h) ZOOÚ – tedy zpracování, které je „nezbytné pro zajištění a uplatnění právních nároků“.

Zaměstnavatel totiž má právo na to, aby kontroloval zaměstnance při jejich pracovní činnosti a dále má právo na ochranu majetku, které se může realizovat i tak, že do svého objektu pustí jenom své zaměstnance, což je zajištěno prostřednictvím vstupu na identifikační kartu, která obsahuje otisky prstů. Můžeme tedy připustit, že používání identifikačních karet s otisky prstů zaměstnanců pro jejich vstup do zaměstnaní představuje ono zajištění a uplatnění právních nároků.

Pro uplatněn této výjimky však nestačí, aby šlo pouze o zajištění a uplatnění právních nároků, ale aby zpracování osobních údajů (rozuměj uvádění otisků prstů na identifikačních kartách zároveň s provozováním celého elektronického systému, který bude tyto otisky porovnávat) bylo nezbytné pro toto zajištění a uplatnění právních nároků. Důležité je tedy vypořádat se s onou nezbytností. Domnívám se, že ve většině případů nebude nezbytné zpracovávat otisky prstů zaměstnanců pro to, aby se dostali do práce. Obecně to však vyloučit nelze a záleželo by na konkrétním případě (např. u zaměstnavatelů, kde hrozí průmyslová špionáž nebo krádeže vojenských nebo jinak nebezpečných materiálů).

Pro doplnění uvádím ještě povinnost správce shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanoveného účelu (§ 5 odst. 1 písm. d) ZOOU). Záleží tedy vlastně na účelu, jak si ho stanoví správce, pokud půjde o evidenci docházky zaměstnanců, tak jsou otisky prstů nad rámec takto stanoveného účelu, pokud půjde o zabránění průmyslové špionáže, pak by bylo možné připustit, že zpracování otisků prstů zaměstnanců jsou v souladu s tímto účelem.

Pokud se tedy zaměstnavatel nevejde pod výjimku uvedenou v § 9 písm. h) ZOOÚ nebo pod další výjimky uvedené v § 9 ZOOU, což nepředpokládám, bude třeba, aby zpracovával osobní údaje s výslovným souhlasem subjektu údajů (§ 9 písm. a) ZOOÚ). Tento souhlas by měl být písemný s tím, že v něm musí být přesně uvedeno pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Dále musí správce subjekt údajů předem poučit o jeho právech dle § 12 a 21 ZOOU.

Problém v tomto případě bude zejména v tom, že i když bude správce dodržovat všechny povinnosti, které má, pak subjekt údajů může svůj souhlas se zpracováním osobních údajů kdykoli odvolat. V takovém případě musí správce zpracování údajů ukončit, protože by se dopustil porušení povinnosti prokázání souhlasu po celou dobu zpracování.

Otázkou je, zda je možné zaměstnance k udělení souhlasu nějak nutit. Zde se již dostáváme na pole pracovního práva a odpověď je třeba hledat v zákoně č. 65/1965 Sb., zákoník práce, v platném znění (dále jen „ZP“).

Ještě je třeba doplnit a odlišit dvě věci. Jednak je to oprávněné zpracování osobních údajů, tedy situace, kdy již má správce osobní údaje k dispozici, a jednak je to vlastní získání osobních údajů, v tomto případě tedy sejmutí otisků prstů. Lze si totiž představit situaci, že zaměstnanec dá souhlas ke zpracování svých otisků prstů (případně není jeho souhlasu dle § 9 písm. h) ZOOÚ třeba), ale fakticky neumožní zaměstnavateli sejmout mu jeho otisky prstů. Co s takovou situací?

A) Má vůbec zaměstnavatel páku na zaměstnance k tomu, aby ho donutil k souhlasu se zpracováním jeho otisků prstů?

B) A pokud zaměstnanec souhlas zaměstnavateli udělí, případně pokud může jeho otisky zpracovávat bez jeho souhlasu, může zaměstnavatel nějak přinutit zaměstnance k vlastnímu sejmutí otisků prstů?

Pravděpodobně jedinou pákou (zákonnou) je možnost zaměstnavatele hrozit zaměstnanci výpovědí. Vzhledem k tomu, že v českém právní řádu je pracovní poměr chráněn, je zaměstnanci možno dát výpověď pouze ze zákonem stanovených důvodů. Z hlediska zaměstnavatele by tak bylo nejvhodnější dát zaměstnanci výpověď (případně jí hrozit) z výpovědního důvodu uvedeného v § 46 odst. 1 písm. e) ZP. Tedy proto, že zaměstnanec nesplňuje bez zavinění zaměstnavatele požadavky pro řádný výkon této práce. Z judikatury vyplývá, že požadavky, které jsou nezbytnou podmínkou pro řádný výkon práce, mohou vyplývat z pracovní smlouvy, organizačního řádu, vnitropodnikové směrnice, popřípadě z pracovních příkazů vedoucího pracovníka a nebo může jít o požadavky, které jsou pro výkon určité práce všeobecně známé.

Zaměstnavatel by tak mohl ve svém organizačním řádu nebo vnitropodnikové směrnici jako požadavek na výkon práce stanovit povinnost podrobit se sejmutí otisků prstů a souhlasit s jejich zpracováním za účelem vstupu na pracoviště na dobu trvání pracovního poměru. Otázka však je, jestli by takové požadavky na výkon práce byly oprávněné. Pokud bychom to totiž posoudili materiálně a nikoli formálně (to, že je požadavek obsažen ve vnitropodnikové směrnici), pak bychom pravděpodobně dospěli k závěru, že to požadavky na výkon práce nejsou.

Dalším argumentem k řešení uvedeného problému by mohl být princip proporcionality společně se zásadou rozumného uspořádání právních vztahů. Na jedné straně zde totiž stojí zájem zaměstnavatele chránit svůj majetek a umožnit k němu přístup pouze svým zaměstnancům a na druhé straně je tu zájem zaměstnanců neposkytovat nad rámec stanoveného účelu osobní údaje. Tím se dostáváme opět na začátek, že nejdůležitější je účel zpracování osobních údajů – tedy vstup zaměstnanců na pracoviště. Dále je tu otázka proporcionality, tedy to, že na realizaci tohoto účelu není nezbytně nutné zpracovávat otisky prstů, třeba by stačilo, aby každý zaměstnanec měl své klíče, případně jiný druh přístupové karty. Pokud by tedy byla situace taková, že by ji nebylo možno vyřešit jinak než identifikací otisky prstů, pak by měl mít zaměstnavatel právo zařadit tento požadavek pro výkon práce do svých vnitřních předpisů. Pokud tomu tak nebude, potom je zaměstnavatel při realizaci svého záměru identifikovat zaměstnance při vstupu do objektu pomocí otisků prstů odkázán na vstřícnost svých zaměstnanců.