Vývoj nových technologií přináší zaměstnavatelům širokou škálu nových způsobů, jak získat o zaměstnancích velké množství údajů při relativně malém úsilí i nízkých nákladech. Systematické zpracovávání osobních údajů v rámci pracovních vztahů ale podléhá řadě právních omezení vyplývajících již ze současné výkladové a rozhodovací praxe a do budoucna také z výkladových stanovisek k Obecnému nařízení o ochraně osobních údajů (GDPR).

1. 24 COMPUTERWORLD 5 | 2018
IT V PRAXI | GDPR
Monitorování zaměstnanců
a vliv GDPR
JANA PATTYNOVÁ, MICHAELA MILATOVÁ
Vývoj nových technologií přináší zaměstnavatelům širokou škálu
nových způsobů, jak získat o zaměstnancích velké množství
údajů při relativně malém úsilí i nízkých nákladech. Systematické
zpracovávání osobních údajů v rámci pracovních vztahů ale
podléhá řadě právních omezení vyplývajících již ze současné
výkladové a rozhodovací praxe a do budoucna také z výkladových
stanovisek k Obecnému nařízení o ochraně osobních údajů (GDPR).
N
a úvod je potřeba říci, že ochrana soukromí za-
městnance není žádnou novotou, jak by se mohlo
zdát ve světle horlivé debaty o zavedení GDPR.
Právo na soukromý život už mnoho let garantují jak
Evropská úmluva o ochraně lidských práv a svobod,
tak Listina základních práv a svobod.
I podle zákoníku práce už dávno platí, že zaměstna-
vatel nesmí bez závažného důvodu narušovat soukromí
zaměstnance tím, že by jej podroboval otevřenému
nebo skrytému sledování, odposlechu či kontrole elek-
tronické nebo papírové pošty určené pracovníkovi.
Ochrana osobních údajů (nejen zaměstnanců) však
v souvislosti s novou úpravou nabývá konkrétnějších
obrysů. Kromě povinností podle GDPR je také vhodné
vzít na vědomí, že v nedávné době bylo vydáno několik
stanovisek a soudních rozhodnutí, která se ochrany
soukromí zaměstnanců přímo dotýkají.
Mezi nejdůležitější patří rozhodnutí Evropského
soudu pro lidská práva ve věci Barbulescu vs. Rumun-
Účelemmonito-
ringubynemělabýt
kontrolazaměstnan-
ce,aleochrana
majetkuzaměstna-
vatelea zajištění
bezpečnostiosob,
případnědat,přede-
všímpakosobních.
sko ze dne 5. 9. 2017 či Názor pracovní skupiny WP29
č. 2/2017 o zpracování osobních údajů na pracovišti
(„Stanovisko WP29“).
Uvedené dokumenty mají významný vliv na práva
a povinnosti zaměstnavatelů při nasazování technolo-
gií, jejichž primárním účelem či vedlejším efektem je
shromažďování informací o chování zaměstnanců
v pracovní době, případně i v době osobního volna.
Mezi nejčastější technologické nástroje, na které se
uplatní právní omezení, patří monitorování času strá-
veného na aplikacích, monitorování komunikace s ur-
čitým obsahem (DLP nebo TLS technologie), monito-
rování tisku, GPS ve služebních vozidlech nebo např.
lokalizace mobilních zařízení či jiného hardwaru po-
užívaného zaměstnanci.
1Proporční zásahy a zásada minimalizace
Monitorování využití IT prostředků zaměstnanci
není přímo nezákonné, avšak podléhá právním
omezením podle účelu takového monitoringu a míry
zásahu do soukromí zaměstnance. Primárním účelem
monitoringu by ale neměla být kontrola plnění pracov-
ních povinností zaměstnance či jeho výkonnosti.
Jako legitimní účel sledování využití IT prostředků
se připouští zejména ochrana majetku zaměstnavatele
a zajištění bezpečnosti osob, případně bezpečnosti dat,
především pak osobních údajů (např. údajů
zákazníků).
V některých případech bude zavedení daného opat-
ření také nutné z důvodu plnění zákonné povinnosti
(např. v oblasti kybernetické bezpečnosti ve vztahu ke
hlášení incidentů či povinnosti zajistit bezpečnost za-
městnanců), případně povinnosti smluvní (např. záva-
zek zpracovatele osobních údajů vůči správci, že pří-
stupy zaměstnanců k určitým datovým souborům bu-
dou logované).
Zároveň využití nástrojů monitorujících koncová
zařízení zaměstnanců podléhá přísnému testu propor-
cionality (přiměřenosti) – tedy zhodnocení přínosů
a nezbytnosti opatření pro zaměstnavatele v porovnání
se zásahem do soukromí zaměstnance. Je třeba vždy
zvážit taková řešení, která umožňují minimální zásah
do soukromí zaměstnanců.
Jakkoli se tyto zásady mohou zdát obecné a v praxi
neuplatnitelné, dozorové orgány a soudní rozhodnutí
z nich dovozují konkrétní pravidla pro jednotlivé typy
technologií. Některá z těchto pravidel uvádíme níže.
2Monitoring e-mailu a webu
Z výše uvedené zásady minimalizace v praxi Sta-
novisko WP29 dovozuje ve vztahu k monitoringu
elektronické pošty zaměstnanců (který je jinak plošně
zakázán), že by zaměstnavatel měl zavést takové ře-
šení, které umožní monitoring limitovat pouze na
e-maily, které se zaměstnanec pokusí odeslat, ačkoliv
CW5-24-25.indd 24CW5-24-25.indd 24 4/20/18 14:36 PM4/20/18 14:36 PM

2. COMPUTERWORLD.CZ 25
GDPR | IT V PRAXI
byl při prvním pokusu systémem upozorněn na citli-
vost údajů v e-mailu obsažených.
U monitorování komunikace zaměstnanců WP29
obecně doporučuje využívat technologie DLP (Data
Loss Prevention) spíše než TLS (Protokol Transport
Layer Security), přičemž zaměstnanci by měli být do-
předu transparentně seznámeni s klíčovými slovy či
typy údajů, které tyto technologie vyhledávají (např.
čísla kreditních karet, rodná čísla apod.).
V případě ochrany majetku zaměstnavatele před in-
ternetovými viry se považuje za legitimní např. plošně
blokovat přístup na konkrétní weby namísto plošného
sledování přístupu zaměstnancům k veškerým interne-
tovým stránkám.
Obecně by se nástroje prevence (blokování určitých
stránek či automatické upozorňování zaměstnanců, že
odesílají citlivý obsah) měly preferovat před soustav-
ným monitorováním činnosti pracovníků (tedy kon-
trole, jaké stránky navštěvují či jaký obsah odesílají).
3Monitoring elektronických zařízení
Vzhledem k technologickým možnostem sledo-
vání využívání technologií se doporučuje, aby za-
městnanci měli možnost mít v elektronických zaříze-
ních svou soukromou sféru, do které zaměstnavatel
nemá přístup. Jako příklad WP29 uvádí kalendář, ve
kterém by schůzky označené jako „soukromé“ neměli
zaměstnavatel ani kolegové vidět.
Pokud zaměstnavatel umožňuje užití soukromých
zařízení zaměstnancem (tzv. BYOD), měl by tuto sou-
kromou sféru ještě více posílit a chránit. V testu pro-
porcionality aplikovaném v případě BYOD představuje
soukromí zaměstnance silnější zájem oproti zájmům
zaměstnavatele vzhledem k tomu, že se zařízení vy-
užívá i pro soukromé účely.
Doporučují se v tomto ohledu tzv. sandboxing ná-
stroje, které uchovávají data v určité aplikaci odděleně.
Problematické je ve vztahu k BYOD také zejména jaké-
koli monitorování polohy zařízení (zejm. MAC adresy).
Prostřednictvím správy mobilních zařízení (MDM)
je také technicky možné sledovat na dálku polohu zaří-
zení (tedy i zaměstnance), dělat specifické konfigurace
či instalovat aplikace. Při využití MDM vždy musí za-
městnavatel zvažovat, zda nelze dosáhnout oprávně-
ného zájmu zaměstnavatele (zpravidla ochrany majet-
ku) jinou, méně invazivní cestou.
Jako příklad takového opatření lze uvést nastavení
sledování polohy, které umožní, aby údaje o poloze
nebyly dostupné zaměstnavateli nepřetržitě, ale např.
jen v případě ztráty zařízení nahlášené zaměstnancem.
4Proces zavádění monitorovacích
opatření a jeho transparentnost
Zaměstnavatelé často mylně předpokládají, že
pro zavedení určitého monitorovacího opatření postačí
souhlas pracovníka. Zde je nutné upozornit, že zaměst-
nanci v pracovněprávních vztazích vystupují jako slabší
strana, které právo poskytuje zvláštní ochranu. Je tomu
tak zejména s ohledem na finanční a existenční závis-
lost zaměstnanců na zaměstnavateli.
Pracovníci mohou udělit svobodný souhlas jen za
výjimečných okolností, kdy odmítnutí souhlasu nebude
mít pro ně žádné negativní následky. V důsledku toho
je zpravidla nutné monitorovací opatření nezakládat
na souhlasu zaměstnanců, ale na jiných právních titu-
lech (nejčastěji na oprávněném zájmu).
Je také nutné zmínit, že proces sledování zaměst-
nanců musí být co nejvíce transparentní. Pracovníci by
měli být vždy jasně a plně informovaní o zavedených
monitorovacích opatřeních, jakož i o možnostech, jak
mohou uplatňovat svá práva a povinnosti související
s těmito opatřeními, například prostřednictvím vnitř-
ního předpisu (často zvaného také „Privacy Policy“).
To potvrdil i Evropský soud pro lidská práva v již
zmiňovaném rozhodnutí Barbulescu vs. Rumunsko.
Jako jedno z hodnoticích hledisek oprávněnosti moni-
toringu elektronické korespondence uvedl to, zda byl
zaměstnanec jasně dopředu upozorněn na možnost
svého sledování a na rozsah a charakter přijatých
opatření.
5Posouzení vlivu zamýšlených operací
zpracování na ochranu osobních údajů
(DPIA)
Podle GDPR platí, že pokud je pravděpodobné, že ur-
čitý druh zpracování, zejména při využití nových tech-
nologií, s přihlédnutím k povaze, rozsahu, kontextu
a účelům zpracování, bude mít za následek vysoké ri-
ziko pro práva a svobody subjektů údajů, je společnost
povinna před zpracováním vykonat DPIA.
Podle výše zmiňovaného stanoviska je v případě mo-
nitoringu využívání IT prostředků zaměstnanci vždy
nutné před rozhodnutím, že se takové zpracování bude
realizovat, DPIA vykonat.
Obezřetnost především
K využití opatření pro monitoring zaměstnanců je tedy
potřeba přistupovat opatrně, důkladně zvážit veškeré
možnosti, které se pro dosažení daného účelu nabízejí,
a vybrat tu možnost, jež představuje nejmenší zásah do
soukromí zaměstnance.
Pokud je zásah do soukromí za některých okolností
skutečně nezbytný, je nutné, aby zaměstnanci byli
o možnostech, okolnostech a případných následcích
takového zásahu předem jasně informovaní. ■
Autorky pracují v advokátní kanceláři Pierstone
Zaměstnavatelé
častomylněpřed-
pokládají,žepro
zavedeníurčitého
monitorovacího
opatřenípostačísou-
hlaspracovníka.
Základní pravidla při monitoringu
využití IT zaměstnanci
1. Plošný monitoring elektronické pošty zaměstnanců je zakázaný. Doporučuje se např. takové řešení,
které umožní monitoring pouze těch e-mailů, které se zaměstnanec pokusí odeslat, ačkoliv byl při prv-
ním pokusu systémem upozorněn na citlivost údajů v e-mailu obsažených.
2. DLP technologie mají přednost před TLS řešeními. Zaměstnanci by měli být dopředu transparentně se-
známeni s klíčovými slovy či typy údajů, které tyto technologie vyhledávají.
3. Nástroje prevence (blokování určitých stránek, automatické upozorňování na odesílání citlivého obsahu)
se preferují před soustavným monitorováním činnosti zaměstnanců (kontrolou navštěvovaných stránek
či odesílaného obsahu).
4.Je vhodné umožnit zaměstnancům mít v elektronických zařízeních soukromou sféru, do které zaměstna-
vatel nemá přístup (např. soukromý kalendář).
5. Údaje o poloze by neměly být dostupné zaměstnavateli nepřetržitě, ale např. jen v případě ztráty zaří-
zení nahlášené zaměstnancem.
6. Monitorovací opatření nelze zakládat na souhlasu zaměstnanců se zpracováním osobních údajů, ale na
jiných právních titulech (nejčastěji na oprávněném zájmu).
7. Před rozhodnutím zaměstnavatele, že bude uskutečňovat monitoring, je vždy nutné vykonat DPIA (po-
souzení vlivu zamýšlených operací zpracování na ochranu osobních údajů).
Zaujal vás tento příspěvek? Čtěte související
články s příbuznou tematikou on line.
CW5-24-25.indd 25CW5-24-25.indd 25 4/20/18 14:36 PM4/20/18 14:36 PM