Může ode mě zaměstnavatel požadovat užití docházkového systému na otisk prstu?
Zaměstnavatel na našem úřadě (pracovišti) naistaloval nové terminály docházkového systému na otisk prstu, aniž by to s někým projednal, odborovou organizaci nevyjímaje. V online přístupných právních názorech se uvádí, že je k tomu potřeba minimálně písemný souhlas každého zaměstnance či zaměstnankyně. Jak se k této situaci máme na pracovišti postavit?
Váš dotaz se dotýká dvou různých aspektů: 1) práva na projednání s odborovou organizací, a 2) problematiky evidence docházky za pomoci sběru biometrických údajů.
Co se týká projednání, zde je nutno zdůraznit, že opatření zaměstnavatele, týkající se většího počtu zaměstnanců a zaměstnankyň je zaměstnavatel povinen předem projednat s odborovou organizací (§ 280 odst. 2 písm. g) zákoníku práce). Neexistence předběžného projednání sice nezakládá neplatnost postupu zaměstnavatele, je však porušením výslovného ustanovení zákona, což by mohlo být sankcionováno inspektorátem práce.
K podstatě vašeho dotazu na nový docházkový systém, zde je garantem ochrany osobních údajů Úřad pro ochranu osobních údajů (ÚOOÚ). Předně doporučujeme se s relevantními stanovisky ÚOOÚ seznámit a současně požádat úřad o oficiální stanovisko ve vašem konkrétním případě.
ÚOOÚ zastává názor, že zpracování biometrických údajů v docházkových systémech lze posuzovat jako nepřiměřené ve vztahu k rozsahu a účelu zpracovávání, a to i v případě existence výslovného souhlasu zaměstnance či zaměstnankyně. Vyžadování souhlasu zaměstnance či zaměstnankyně je nepřijatelné, neboť takovýto souhlas by nebyl svobodný vzhledem k problematické možnosti odvolatelnosti souhlasu.
„(…) Technologie založené na biometrické autentizaci, jejíž nedílnou součástí je identifikace nositele biometrického údaje, jsou zaměstnavateli v České republice hojně používány. Zaměstnavatelé přitom zakládají zpracování některých biometrických údajů zaměstnanců a zaměstnankyň pro účely kontroly vstupu, přítomnosti a přístupů na souhlasech zaměstnanců a zaměstnankyň. Takové používání souhlasu ve vztahu zaměstnavatel-zaměstnanec je však nepřijatelné, a to s ohledem na článek 4 bod 11 a článek 7 GDPR, který mj. stanoví jako podmínku sine qua non odvolatelnost souhlasu zaměstnance či zaměstnance. (…)“ (zdroj)
Evropský sbor pro ochranu osobních údajů na svém plenárním zasedání schválil vydání dokumentu „Pokyny 3/2019 o zpracování osobních údajů prostřednictvím videozařízení“. V příkladu v bodu 77. předmětného pokynu se pak výslovně uvádí: K zajištění zákonnosti zpracování musí správce vždy nabídnout alternativní způsob přístupu do budovy bez biometrického zpracování, jako jsou průkazky nebo klíče.
Alternativní možnost je základní podmínkou skutečně svobodného souhlasu. Otázkou tak je, zda by byl souhlas dle GDPR k uchovávání biometrických údajů platný a akceptovatelný v případě, kdyby zaměstnavatel umožnil zaměstnancům a zaměstnankyním i jiné způsoby evidence docházky, které by nezahrnovaly zpracování zvláštní kategorie osobních údajů – např. pin kód, RFID čip/kartu. V případě, že by zaměstnanec či zaměstnankyně chtěli svůj souhlas odvolat, pak by mohl jednoduše přejít na druhý, méně invazivní způsob zaznamenávání docházky.