Každý zaměstnavatel v rámci své agendy zpracovává mzdy svých zaměstnanců. Z hlediska ochrany osobních údajů je účelem zpracování mezd jako osobních údajů o zaměstnancích splnění zákonné povinnosti zaměstnavatele, a to povinnosti vyplácet zaměstnancům mzdy za vykonanou práci.
Ve smyslu § 130 odst. 5 zákona č. 311/2001 Sb., Zákoník práce, ve znění pozdějších předpisů (dále jen „zákon č. 311 Sb., Zákoník práce“) se stanoví, že „při vyúčtování mzdy je zaměstnavatel povinen vydat zaměstnanci doklad obsahující zejména údaje o jednotlivých složkách mzdy, ...“ – tzv. výplatní pásku. Výplatní páska se poskytuje v písemné formě, pokud se zaměstnavatel se zaměstnancem nedohodnou na jejím poskytování elektronickými prostředky. Právě zasílání výplat e-mailem (elektronickými prostředky) bylo předmětem nedávného rozhodnutí Úřadu pro ochranu osobních údajů Slovenské republiky (dále jen „Úřad“).
Ve svém nedávném rozhodnutí Úřad konstatoval, že za osobní údaj zaměstnance se pro účely pracovněprávních vztahů považuje i mzda zaměstnance a její jednotlivé složky (pevná, případně variabilní – odměny). Jedná se o osobní údaj, pomocí kterého je možné identifikovat ekonomickou identitu zaměstnance. Úřad se zabýval předmětným zpracováním i povahou údajů na základě návrhu zaměstnance (dále jen „navrhovatel“) proti správci.
Navrhovateli, který byl zaměstnancem správce – církevní právnické osoby, byly na jeho soukromou e-mailovou adresu zaslány výplatní pásky za měsíce duben, květen a červen 2020. Provozovatel zaslal výplatní pásky způsobem, který nezajišťoval diskrétnost zaslaných příloh obsahujících osobní údaje navrhovatele. Jinými slovy, provozovatel nezabezpečil e-mailové přílohy heslem ani jiným způsobem ochrany tak, aby se s obsahem příloh seznámila výlučně oprávněná osoba, tj. navrhovatel, jemuž byly přílohy určeny. Tímto jednáním provozovatel porušil jednu ze základních povinností provozovatele vyplývajících ze zásady důvěrnosti ve smyslu čl. 5 odst. 1 písm. f) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, kterým se zrušuje směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen „nařízení GDPR“), a to povinnost zajistit, aby osobní údaje byly zpracovávány způsobem, který zaručuje jejich přiměřenou bezpečnost, včetně ochrany před neoprávněným nebo protiprávním zpracováním a náhodnou ztrátou, zničením nebo poškozením, a to prostřednictvím přiměřených technických nebo organizačních opatření. Provozovatel sice měl tato opatření řádně zakotvena v rámci interních směrnic, avšak postupoval v rozporu s nimi.
Úřad v souvislosti s výše uvedeným rovněž poukázal na skutečnost, že provozovatel měl možnost zvolit i jiný bezpečný způsob komunikace, a to konkrétně využití poštovní zásilky doručené do vlastních rukou adresáta, jelikož provozovatel disponoval korespondenční adresou navrhovatele. Využitím této možnosti by provozovatel splnil svou zákonnou povinnost vyplývající ze zákona č. 311 Z.z. – Zákoník práce, jakož i povinnost ve smyslu čl. 39 nařízení GDPR, který stanoví, že osobní údaje by měly být zpracovávány tak, aby byla zajištěna přiměřená bezpečnost a důvěrnost osobních údajů, včetně zabránění neoprávněnému přístupu k osobním údajům a zařízením používaným ke zpracování nebo neoprávněnému využití těchto údajů a zařízení.
Navrhovatel ve svém návrhu rovněž namítal, že nebyl ze strany správce nikdy poučen o svých právech ve smyslu článků 12 až 23 nařízení GDPR, což samotný správce nedokázal vyvrátit. Žalobci byl zaslán dokument s názvem „Souhlas se zpracováním osobních údajů“, který žalobce odmítl podepsat a na jehož základě provozovatel argumentoval splněním své povinnosti ve smyslu čl. 13 nařízení GDPR. Splnění povinnosti ve smyslu čl. 13 nařízení GDPR provozovatel neprokázal ani tvrzením, že každý zaměstnanec je před přijetím do zaměstnání seznámen v souladu s nařízením GDPR, ani odkazem na zveřejněné informace o zpracování osobních údajů na webových stránkách provozovatele (jelikož odkaz na webových stránkách neodkazoval na přiměřenou informační povinnost, jakou vyžaduje nařízení GDPR). Úřad ve svém rozhodnutí zdůraznil, že právě provozovatel je ten, kdo by se měl proaktivně snažit o splnění této povinnosti v souladu s nařízením GDPR, a to bez ohledu na to, zda dotčená osoba o tyto informace projevila zájem či nikoli. Včasné poskytnutí informací i snadný přístup k nim je důležitým prvkem pro prokázání transparentního zpracování osobních údajů.
Při uložení pokuty bylo za závažnější porušení ochrany osobních údajů ze strany provozovatele posouzeno porušení zásady důvěrnosti ve smyslu čl. 5 odst. 1 písm. f) nařízení GDPR. Povaha a závažnost porušení, při kterém bylo zjištěno porušení základní zásady zpracování, a to zásady důvěrnosti, byla posouzena jako přitěžující okolnost. Přitěžující okolností byl rovněž způsob, jakým se Úřad o porušení dozvěděl – na základě podaného návrhu. Byly zohledněny také polehčující okolnosti, a to konkrétně skutečnost, že ve vztahu k provozovateli dosud nebyla zaznamenána žádná porušení nařízení GDPR, že se dané porušení týkalo výlučně osoby navrhovatele a že nebyly zjištěny žádné škodlivé důsledky, které by přímo zasáhly navrhovatele nebo ohrozily jeho soukromý či rodinný život. Polehčující okolností byla také skutečnost, že provozovatel porušením nezískal žádný finanční ani nefinanční prospěch. V daném případě Úřad uložil správci pokutu ve výši 200 €.
