Úrad na ochranu osobných údajov SR (Úrad) sa v roku 2024 zaoberal sťažnosťou navrhovateľky, ktorá sa týkala i) spracúvania jej osobných údajov (poskytnutých v rámci výberového konania) v čase po ukončení výberového konania, a ii) nevyhovenia jej žiadosti, ktorým si uplatnila právo namietať spracúvanie údajov a právo na vymazanie časti kamerového záznamu, ktorý obsahoval jej údaje.

Konanie sa vyznačovalo svojou komplexnosťou. Zamestnávateľ používal širokú obranu, vrátane odkazov na právne predpisy z rozličných právnych odvetví. Kandidátka konštantne trvala na porušení jej práv. V článku sa preto obmedzujeme len na (z nášho pohľadu) najpodstatnejšie časti konania. 

Čo konkrétne teda namietala kandidátka?

Kandidátka sa uchádzala o funkciu hlavného kontrolóra obce (v súkromnom sektore by to bolo zamestnanie). Zamestnávateľ si od nej vyžiadal súhlas so spracúvaním osobných údajov za účelom volieb do funkcie, podľa ktorého mohol jej údaje spracúvať a uchovávať od podania prihlášky, životopisu a ostatných príloh do času ukončenia volieb (v súkromnom sektore, do skončenia výberového konania). Kandidátka súhlas poskytla.

Kandidátka mala za to, že súhlas poskytla len do času ukončenia volieb. Preto po voľbách žiadala zamestnávateľa, aby jej údaje zo svojich systémov vymazal. Zároveň, aby zo záznamu zo zasadnutia obecného zastupiteľstva vymazal jej prezentáciu. Zamestnávateľ jej žiadosti nevyhovel.

Ako sa k veci postavil zamestnávateľ?

Zamestnávateľ okrem iného uviedol, že:

• Kandidátka mu na spracúvanie údajov do ukončenia voľby poskytla svoj súhlas;
• priebeh rokovaní zaznamenával audiovizuálnymi prostriedkami, pričom aj samotní uchádzači na voľbu hlavného kontrolóra súhlasili s predmetným nahrávaním;
• Žiadosť o vymazanie osobných údajov zamietol, keďže obec tieto potrebuje na preukazovanie svojich práv v prípade protestu prokurátora voči uzneseniu orgánu územnej samosprávy. Zároveň ide o verejný záujem.

Úrad zamestnávateľa ďalej vyzval k súčinnosti, žiadal hlavne aby Úradu i) poskytol znenia súhlasov, ii) informačnú povinnosť, iii) poskytol záznamy o spracovateľskej činnosti, iv) špecifikoval zákonné ustanovenia, na ktoré odkazuje. Ten na žiadosť Úradu riadne reagoval. Reagovala aj kandidátka.

Ako vec posúdil Úrad?

Otázku spracúvania osobných údajov po ukončení volieb posúdil nasledovne:

• údaje uvedené v prihláške a ostatných podkladoch po ukončení voľby zamestnávateľ spracúval bez právneho základu. Súhlas podľa jeho znenia platil len do ukončenia voľby;
• zamestnávateľ údaje vôbec nemal spracúvať na základe súhlasu, nakoľko bol na to riadny iný právny základ, ktorým je plnenie (pred) zmluvných vzťahov. Vyžadovanie súhlasu, tam kde to nie je potrebné je pre dotknutú osobu zmätočné a v rozpore so zásadou transparentnosti;
• v záznamoch o spracovateľskej činnosti absentuje spracovateľská operácia, týkajúca sa volieb do funkcie. Záznamy obsahujú len všeobecný účel – výkon kontrolnej činnosti hospodárenia obce, prešetrovanie sťažností a prešetrovanie petícií. Účel však musí byť dostatočne konkrétny na to, aby mohli dotknuté osoby, aj dozorný orgán určiť, aké spracúvanie pod daný účel spadá a aké nie;
• obrana zamestnávateľa, že údaje potrebuje pre prípad prešetrovania voľby hlavného kontrolóra prokurátorom neobstála. Podľa Úradu totiž ide o iný (ďalší) účel, akým je účel výberového konania. Tento účel zároveň absentuje v informačnej povinnosti. Platí pritom, že osobné údaje možno začať spracúvať až po tom, ako o spracúvaní informujem dotknutú osobu, čo v tomto prípade splnené nebolo;
• informačná povinnosť má byť natoľko transparentná, aby bol v nej vopred komunikovaný aj účel spracúvania osobných údajov. Dotknuté osoby by nemalo prekvapiť, akým spôsobom boli ich osobné údaje spracúvané.

Vo vzťahu k zverejňovaniu videozáznamu a žiadosti o výmaz:

• súhlas s vyhotovením kamerového záznamu nebol potrebný, nakoľko na spracúvanie osobných údajov mala obec iný právny základ – zákonnú povinnosť takýto záznam zverejniť do 48 hodín na svojom webovom sídle, ak ho má zriadené. Zamestnávateľ i) jednak Úradu nepreukázal, že súhlasy získal, a zároveň ii) súhlasy ani žiadať nemal, preto porušil zásadu transparentnosti voči dotknutým osobám;
• zamestnávateľ mal ako dôvod nevyhovenia žiadosti o výmaz uviesť čl. 17 ods. 3 písm. b) GDPR (plnenie zákonnej povinnosti), nie preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov, teda 17 ods. 3 písm. e) GDPR ;
• zamestnávateľ mal na žiadosť (doručená 22.2.2023) reagovať včas, a nie až po lehote (odpoveď odoslaná 4.4.2023), kde sa treba vyjadriť bez zbytočného odkladu, no najviac do jedného mesiaca od doručenia žiadosti (ibaže by bola predĺžená, čo v tomto prípade nebola).

Aká bola výška pokuty a ako Úrad odôvodnil jej primeranosť?

Pokuta bola uložená vo výške 1 000 EUR, keď Úrad uplatnil absorpčnú zásadu, kde za najzávažnejšie porušenie považoval netransparentné poskytovanie informácií dotknutej osobe. Úrad pri rozhodovaní do úvahy zobral i) počet dotknutých osôb (kandidátka), ii) charakter porušenia (nedbanlivosť), iii) trvanie porušenia (dlhší čas), iv) kategórie osobných údajov (bežné) a v) obrat zamestnávateľa (v roku 2022 dosiahol rozdiel medzi výnosmi a nákladmi cca 36 000 EUR).

A čo si z rozhodnutia odniesť?

Súhlas so spracúvaním osobných údajov nie je všeliek. Žiadame ho až vtedy, keď nemáme iný právny základ. Súhlas je v pracovnom práve zároveň „posledná” možnosť, nakoľko podriadený zamestnanec/kandidát v záujme vyhovieť zamestnávateľovi, tento súhlas nemusí poskytnúť slobodne. Neslobodne poskytnutý súhlas = neplatný súhlas.

Ako sa vyhnúť takejto pokute? V súkromnom sektore jednoducho. V HR oblasti si nastavte účely pre celý HR proces (od inzerátu, až po skončenie PP, resp. po zánik poslednej zodpovednosti v pracovnoprávnej oblasti). V tomto prípade zamestnávateľ nemusel dostať pokutu, ak by i) mal riadnu informačnú povinnosť, a túto by kandidátovi poskytol pred spracúvaním osobných údajov, ii) nežiadal súhlasy, ktoré nepotreboval. Pred pohovorom totiž osobné údaje mohol spracúvať na právnom základe plnenia (pred) zmluvných vzťahov. Po pohovore zas na základe plnenia zákonnej povinnosti (platí pre kamerový záznam) a na základe oprávneného záujmu na ochranu svojich práv v prípadnom konaní pred prokurátorom (platí pre ostatné osobné údaje, ktoré na tento účel - po internom vyhodnotení - mohol potrebovať).

Rozhodnutie sme získali na základe infožiadosti a nadobudlo právoplatnosť dňa 26.2.2024