Ochrana osobných údajov v pracovnom prostredí

Ochrana osobných údajov v rámci pracovnoprávnych vzťahov predstavuje jednu z najkomplexnejších a najcitlivejších oblastí uplatňovania všeobecného nariadenia o ochrane údajov, známeho pod skratkou GDPR. Zamestnávateľ v rámci svojej činnosti spracúva o svojich zamestnancoch obrovské množstvo informácií, ktoré siahajú od základných identifikačných údajov až po vysoko citlivé informácie o zdravotnom stave, bankových účtoch, rodinných pomeroch či pohybe na pracovisku. S narastajúcim digitálnym povedomím zamestnancov sa však čoraz častejšie objavuje legitímna otázka: Čo sa stane, ak zamestnávateľ tieto prísne pravidlá poruší? Tento článok sa podrobne zaoberá situáciami, kedy sa spracúvanie údajov vymkne spod kontroly a kedy vzniká zamestnancovi zákonné právo žiadať finančné odškodnenie za spôsobenú ujmu. Preskúmame nielen teoretické východiská európskej legislatívy, ale aj praktické dopady rozhodnutí súdov, ktoré definujú hranicu medzi drobným administratívnym pochybením a závažným zásahom do ľudskej dôstojnosti, ktorý si vyžaduje spravodlivú nápravu vo forme finančnej satisfakcie.

Zákonné mantinely spracúvania údajov zamestnancov

Vzťah medzi zamestnancom a zamestnávateľom je z hľadiska GDPR špecifický najmä pre nerovnovážne postavenie zmluvných strán. Zamestnanec je považovaný za slabšiu stranu, čo znamená, že jeho súhlas so spracovaním údajov je v mnohých prípadoch právne irelevantný, pretože sa predpokladá, že nebol udelený slobodne. Zamestnávatelia sa preto musia spoliehať na iné právne základy, ako sú:

• Plnenie zákonnej povinnosti: Napríklad prihlasovanie do sociálnej a zdravotnej poisťovne.
• Plnenie zmluvy: Údaje potrebné na vyplatenie mzdy alebo poskytnutie pracovných benefitov.
• Oprávnený záujem: Napríklad bezpečnosť majetku prostredníctvom kamerového systému (tu však musí prebehnúť prísny test proporcionality).

Ak zamestnávateľ prekročí tieto mantinely – napríklad spracúva údaje nad rámec nevyhnutnosti alebo ich poskytuje tretím stranám bez právneho dôvodu – dochádza k porušeniu nariadenia. Práve v tomto momente sa otvára cesta k uplatneniu nárokov na náhradu škody podľa článku 82 GDPR.

1. Kedy dochádza k najčastejším porušeniam?

V praxi sa stretávame s niekoľkými typickými scenármi, ktoré môžu vyústiť do žiadosti o odškodné. Ide najmä o nezákonné monitorovanie zamestnancov. Inštalácia skrytých kamier, sledovanie súkromnej e-mailovej komunikácie alebo neprimerané monitorovanie GPS polohy služobných vozidiel bez predchádzajúceho upozornenia sú jasným zásahom do súkromia. Ďalším problematickým bodom je únik osobných údajov, kedy nedbalosťou zamestnávateľa (napríklad nezašifrovaný notebook alebo stratený personálny spis) dôjde k zverejneniu citlivých informácií o plate či zdravotných diagnózach zamestnanca.

Právo na náhradu škody: Materiálna vs. nemateriálna ujma

Článok 82 GDPR jasne stanovuje, že každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu škody od prevádzkovateľa (zamestnávateľa). Toto ustanovenie je prelomové najmä v definícii nemateriálnej ujmy.

Materiálna škoda je pomerne jasne definovateľná – ide o priamu finančnú stratu. Ak napríklad v dôsledku úniku bankových údajov zo strany zamestnávateľa dôjde k odčerpaniu peňazí z účtu zamestnanca, ide o majetkovú škodu, ktorú je možné presne vyčísliť.

Oveľa zložitejšia a v súčasnosti diskutovanejšia je nemateriálna ujma. Sem zaraďujeme:

• Stres, úzkosť a psychické nepohodlie spôsobené neistotou po úniku údajov.
• Poškodenie dobrej povesti alebo sociálnu stigmatizáciu (napríklad pri zverejnení informácie o ochorení).
• Pocit straty kontroly nad vlastnými údajmi.

V minulosti slovenské súdy pristupovali k priznávaniu náhrady za nemateriálnu ujmu veľmi opatrne. Trend sa však pod vplyvom judikatúry Súdneho dvora Európskej únie (SDEÚ) mení.

Musí byť ujma závažná, aby vznikol nárok na peniaze?

Dlhú dobu sa viedli právne spory o to, či každé, aj drobné porušenie GDPR, zakladá nárok na odškodné. Prelomové rozhodnutia SDEÚ (napríklad vo veci UI v. Österreichische Post AG) potvrdili, že neexistuje žiadna minimálna prahová hodnota závažnosti ujmy. To znamená, že aj menej intenzívny zásah do súkromia môže teoreticky viesť k odškodnému, ak zamestnanec dokáže, že mu tento zásah skutočne spôsobil negatívne pocity alebo komplikácie. Na druhej strane, samotné porušenie nariadenia (napríklad neskoré vymazanie údajov) bez reálneho negatívneho dopadu na zamestnanca automaticky k finančnej kompenzácii viesť nemusí.

Ako postupovať pri vymáhaní odškodného

Ak má zamestnanec podozrenie, že jeho práva boli porušené, cesta k odškodnému vedie cez niekoľko fáz. Prvým krokom by mala byť interná sťažnosť u zodpovednej osoby (DPO) alebo priamo u vedenia firmy. Často sa stáva, že zamestnávateľ si chybu prizná a ponúkne mimosúdne vyrovnanie, aby predišiel reputačnému riziku alebo pokute od dozorného orgánu.

Ak k dohode nedôjde, zamestnanec má dve hlavné možnosti:

1. Podanie podnetu na Úrad na ochranu osobných údajov (ÚOOÚ). Úrad môže zamestnávateľovi uložiť pokutu, avšak nemá kompetenciu priznať zamestnancovi odškodné. Rozhodnutie úradu o porušení zákona je však kľúčovým dôkazom v následnom súdnom spore.

2. Podanie žaloby na súd. Iba civilný súd môže nariadiť zamestnávateľovi vyplatiť konkrétnu sumu ako náhradu škody. V tomto procese musí zamestnanec preukázať tri veci: porušenie GDPR zamestnávateľom, vznik ujmy a príčinnú súvislosť medzi nimi.

Záver a zhrnutie problematiky

Problematika odškodného v pracovnoprávnych vzťahoch v súvislosti s GDPR je dynamicky sa vyvíjajúcou oblasťou práva, ktorá už dávno nie je len teoretickou hrozbou pre firmy. Moderná legislatíva a čerstvá európska judikatúra jasne ukazujú, že súkromie zamestnanca nie je „vlastníctvom“ firmy výmenou za mzdu. Zamestnávatelia si musia uvedomiť, že každé pochybenie pri nakladaní s osobnými údajmi – či už ide o nadmerné monitorovanie, neoprávnené sprístupnenie personálnej zložky alebo nedostatočné zabezpečenie systémov – môže viesť k priamym finančným nárokom zo strany zamestnancov. Hoci súdne spory o nemateriálnu ujmu bývajú dôkazne náročné, prelom v judikatúre, ktorý odmieta potrebu dosiahnutia „vysokej úrovne závažnosti“ ujmy, otvára dvere k spravodlivejšiemu postaveniu pracovníkov.

Na záver možno konštatovať, že prevencia je pre zamestnávateľa vždy lacnejšia než následné súdne spory a reputačné škody. Jasne nastavené interné pravidlá, transparentné informovanie zamestnancov o spôsobe spracúvania ich údajov a pravidelné audity sú nevyhnutnosťou. Pre zamestnancov je zasa kľúčové poznať svoje práva a nebáť sa ozvať v prípadoch, kedy dochádza k prekračovaniu hraníc ich súkromia. GDPR nie je len súborom byrokratických povinností, ale účinným nástrojom na ochranu ľudskej dôstojnosti v čoraz viac digitalizovanom pracovnom svete. Odškodné tak slúži nielen ako kompenzácia pre jednotlivca, ale aj ako dôležitý výchovný prvok, ktorý núti firmy pristupovať k osobným údajom s náležitým rešpektom a zodpovednosťou.