Úrad na ochranu osobných údajov SR („úrad“) vo veci pod zn. 2025/1313/03116/OSK posudzoval prípad, kde zamestnávateľ na účely evidencie dochádzky zamestnancov pracujúcich na home office spracúval údaje o ich polohe.
Podľa odôvodnenia rozhodnutia malo k spracúvaniu údajov o polohe dochádzať nasledovne:
„V prípade, ak zamestnanec kontrolovanej osoby vykonáva prácu mimo jej priestorov, je povinný sa prihlásiť do systému Biometric prostredníctvom webovej aplikácie zadaním svojich prihlasovacích údajov. Na účel evidencie pracovného času je zamestnanec povinný zaznamenať začiatok a koniec výkonu práce, kde pre zaznamenanie týchto údajov je vyžadované povolenie zdieľania geolokačných údajov.“.
Úrad vo veci skúmal a zamestnávateľ bol povinný preukázať, na akom právnom základe údaje o polohe zamestnancov spracúval. Zamestnávateľ mal v podstate dve línie obrany.
Po prvé, zamestnávateľ tvrdil, že osobné údaje zamestnancov spracúva na právnom základe plnenia zákonnej povinnosti, a teda na základe čl. 6 ods. 1 písm. c) GDPR, keď je jeho zákonnou povinnosťou bolo evidovať pracovný čas podľa § 99 Zákonníka práce. Na uvedené úrad uviedol, že „Zákonník práce v § 99 stanovuje, že zamestnávateľ je povinný viesť evidenciu pracovného času, práce nadčas, nočnej práce, aktívnej časti a neaktívnej časti pracovnej pohotovosti zamestnanca tak, aby bol zaznamenaný začiatok a koniec časového úseku, v ktorom zamestnanec vykonával prácu alebo mal nariadenú alebo dohodnutú pracovnú pohotovosť. V predmetnom ustanovení právny predpis explicitne stanovuje rozsah údajov, ktoré je zamestnávateľ povinný spracúvať a uchovávať, avšak neuvádza povinnosť prevádzkovateľa na účely vedenia evidencie pracovného času spracúvať' aj údaj o polohe zamestnancov prevádzkovateľa vykonávajúcich prácu mimo priestorov prevádzkovateľa. Stanovuje iba povinnosť vedenia evidencie pracovného času. Na naplnenie účelu § 99 zákonníka práce preto nie je zaznamenávanie polohy zamestnancov stanovené ako zákonná povinnosť a nemožno na dané spracúvanie aplikovať právny základ podľa čl. 6 ods. 1 písm. c) Nariadenia.“
Po druhé, zamestnávateľ tvrdil, že zamestnanci sú o potrebe spracúvať ich polohu informovaní priamo v aplikácii, keď táto od nich so zdieľaním polohy vyžaduje ich súhlas. Na uvedené úrad uviedol, že „(...) na to, aby bolo možné súhlas s geolokalizáciou považovať za slobodný, zamestnanci musia mať reálnu možnosť odmietnuť udeliť' súhlas a zaznamenať si začiatok a koniec pracovného času aj bez zaznamenania ich polohy. (...)“.
Úrad následne doplnil, že zamestnávateľ sám nemá jasno v tom, na akom právnom základe osobné údaje zamestnancov spracúva, keď na jednej strane tvrdí, že právnym základom je plnenie zákonnej povinnosti, na strane druhej uvádza, že právnym základom je súhlas zamestnanca. Dopĺňame, že úrad vo veci identifikoval aj nedostatky v informačnej povinnosti pre zamestnancov.
Za vyššie uvedené úrad zamestnávateľovi uložil pokutu 6 000 EUR a povinnosť prijať opatrenia na odstránenie zistených nedostatkov (najmä ukončiť spracúvanie polohy zamestnancov a vymazať údaje o polohe, aktualizovať informačnú povinnosť a do 10 dní od právoplatnosti rozhodnutia informovať o splnení opatrení). Právoplatnosť rozhodnutia nastala dňa 28.3.2025.
Trh ponúka veľa riešení evidencie dochádzky. Pred zavedením nového (pri audite starého) systému si z pohľadu privacy položte štyri hlavné otázky, a to i) aké údaje spracúvam?, ii) potrebujem všetky tieto údaje?, iii) dovoľuje mi to zákon?, iv) informoval som zamestnancov o spracúvaní osobných údajov? Podľa odpovedí následne prijmite potrebné opatrenia, aby ste sa vyhli zbytočnej sankcii za porušenie predpisov.
