Dochádzka a GDPR: Ako chrániť údaje zamestnancov a zároveň mať pracovný čas pod kontrolou?
Dochádzka a GDPR spolu úzko súvisia. Každý zamestnávateľ, ktorý eviduje pracovný čas zamestnancov, musí dodržiavať pravidlá ochrany osobných úda...
Dochádzka a GDPR spolu úzko súvisia. Každý zamestnávateľ, ktorý eviduje pracovný čas zamestnancov, musí dodržiavať pravidlá ochrany osobných údajov. Dôležité je vedieť, aké údaje môže spracúvať, ako ich musí chrániť a za akých podmienok môže používať biometrickú dochádzku.
Dochádzkový systém má pomáhať firme evidovať pracovný čas. Nemá zamestnancov neustále sledovať, zbytočne obmedzovať ani vystavovať riziku zneužitia osobných údajov.
Keď sa povie dochádzkový systém a GDPR, mnohým zamestnávateľom napadne administratíva, súhlasy, právne predpisy a obava, či je vôbec možné elektronicky evidovať príchody a odchody zamestnancov.
Zamestnanci sa zase môžu pýtať:
Kto vidí moje údaje? Sú niekde uložené moje odtlačky prstov? Ako sú uložené moje biometrické dáta? Môže zamestnávateľ sledovať, kde sa pohybujem? A čo ak niekto získa prístup do systému?
Tieto otázky sú úplne legitímne.
Dobrou správou je, že GDPR nezakazuje elektronickú evidenciu dochádzky. Vyžaduje však jasný účel, správny právny základ, primeraný rozsah údajov a ich ochranu. Iné pravidlá sa uplatnia pri bežnej čipovej karte a prísnejšie pri biometrii používanej na jednoznačnú identifikáciu.
V tomto článku si vysvetlíme, čo musí zamestnávateľ na Slovensku dodržiavať, aký je rozdiel medzi bežnou evidenciou dochádzky a biometriou a ako má vyzerať systém, ktorý rešpektuje práva zamestnancov aj potreby firmy.
Článok vychádza z GDPR, zákona č. 18/2018 Z. z. o ochrane osobných údajov a Zákonníka práce v znení účinnom v čase prípravy. Je informačným materiálom, nie individuálnym právnym stanoviskom. Konkrétne nasadenie biometrie si vyžaduje posúdenie konkrétnych okolností.
GDPR je európske nariadenie, ktoré upravuje ochranu osobných údajov. Na Slovensku sa uplatňuje spolu s vnútroštátnou právnou úpravou, najmä zákonom č. 18/2018 Z. z. o ochrane osobných údajov.
Pri dochádzke sa spracúvajú údaje, ktoré sa týkajú konkrétneho zamestnanca. Môže ísť napríklad o:
Takéto informácie sú osobnými údajmi, pretože sa vzťahujú na identifikovanú alebo identifikovateľnú osobu.
To však neznamená, že ich zamestnávateľ nesmie spracúvať.
Ak zamestnávateľ potrebuje viesť evidenciu pracovného času, môže osobné údaje spracúvať v rozsahu, ktorý je na tento účel potrebný a ktorý umožňuje príslušný právny základ.
GDPR od neho zároveň vyžaduje, aby údaje používal na určený účel, nezhromažďoval ich zbytočne veľa, primerane ich chránil a vedel preukázať, že postupuje v súlade s pravidlami.
Oficiálne znenie: Nariadenie GDPR – najmä články 5, 6 a 32.
Zákonník práce nerieši iba povinnosti zamestnanca. Stanovuje aj hranice, ktoré musí rešpektovať zamestnávateľ.
Evidencia pracovného času
Podľa § 99 zákona č. 311/2001 Z. z. (Zákonník práce) je zamestnávateľ povinný viesť evidenciu pracovného času v rozsahu stanovenom zákonom, vrátane evidencie relevantných údajov o práci nadčas, nočnej práci a ďalších zákonom vymedzených skutočnostiach.
Zákon však neznamená, že každý zamestnávateľ musí používať konkrétny typ terminálu alebo biometrickú identifikáciu.
Povinnosť viesť evidenciu pracovného času nie je automaticky povinnosťou zbierať biometrické údaje.
Ochrana súkromia zamestnanca
Dôležitý je aj § 13 Zákonníka práce. Ten upravuje ochranu zamestnanca pred neoprávneným zásahom do jeho súkromia a stanovuje podmienky monitorovania na pracovisku.
Ak zamestnávateľ zavádza kontrolný mechanizmus, ktorý zasahuje do súkromia zamestnancov, musí posúdiť, či má na taký zásah vážne dôvody vyplývajúce z osobitnej povahy jeho činnosti. Zákon zároveň upravuje povinnosť zamestnancov vopred informovať o rozsahu kontroly, spôsobe jej uskutočňovania a jej trvaní a v zákonom stanovených prípadoch prerokovať kontrolný mechanizmus so zástupcami zamestnancov.
To je dôležité aj pri elektronických systémoch. Technológia sama o sebe nedáva zamestnávateľovi neobmedzené právo kontrolovať zamestnanca.
Oficiálny predpis: Zákonník práce č. 311/2001 Z. z. – Slov-Lex.
Nie. Toto je jeden z najčastejších omylov.
GDPR pozná viacero právnych základov spracúvania osobných údajov. V pracovnoprávnom prostredí môže byť pri bežnej evidencii dochádzky relevantná napríklad zákonná povinnosť zamestnávateľa alebo iný právny základ, ktorý zodpovedá konkrétnemu účelu a okolnostiam.
Ak zamestnávateľ spracúva údaje preto, že mu to ukladá zákon, nemá automaticky žiadať súhlas ako jediný právny základ.
Pri biometrických údajoch je situácia odlišná, pretože ide o osobitnú kategóriu údajov. Okrem právneho základu podľa článku 6 GDPR musí existovať aj niektorá z výnimiek podľa článku 9 ods. 2 GDPR a musia byť splnené príslušné podmienky.
Prečo je súhlas zamestnanca citlivá téma?
Medzi zamestnávateľom a zamestnancom existuje nerovnováha. Zamestnanec môže mať pocit, že ak súhlas nepodpíše, ohrozí svoje pracovné miesto alebo vzťahy na pracovisku.
Preto sa nemožno automaticky spoliehať na to, že podpis zamestnanca vyrieši zákonnosť biometrického systému. Súhlas musí byť skutočne slobodný, informovaný, konkrétny a jednoznačný a pri biometrických údajoch musí byť výslovný. V pracovnom prostredí môže byť pre nerovnováhu medzi stranami jeho slobodnosť problematická.
Podpis na formulári sám osebe ešte neznamená, že spracúvanie biometrických údajov je zákonné.
Právne pravidlá: GDPR – články 6 a 9 a zákon č. 18/2018 Z. z. – § 13 a § 16.
Predstavme si dve firmy.
Prvá používa kartu. Pri príchode zamestnanec priloží kartu k terminálu a systém zaznamená čas.
Druhá používa odtlačok prsta, ktorý systém spracúva na účely jednoznačnej identifikácie zamestnanca.
Oba systémy môžu zaznamenať rovnakú informáciu: príchod o 6:02.
Rozdiel je v tom, aké ďalšie údaje systém spracúva na to, aby tento záznam vytvoril.
Pri karte sa spravidla pracuje s identifikátorom karty a dochádzkovým záznamom. Pri biometrickom systéme môže dochádzať aj k spracúvaniu biometrických údajov, ktoré slúžia na jedinečnú identifikáciu osoby.
Podľa článku 9 GDPR a § 16 zákona č. 18/2018 Z. z. patria biometrické údaje používané na jednoznačnú identifikáciu medzi osobitné kategórie osobných údajov.
To neznamená, že každý obrázok odtlačku prsta automaticky spĺňa definíciu biometrického údaja podľa GDPR. Rozhodujúci je spôsob technického spracovania a účel identifikácie.
Prečo na tom záleží?
Pretože zamestnávateľ nemôže povedať:
„Potrebujeme evidovať dochádzku, preto budeme automaticky zbierať aj odtlačky prstov.“
Musí posúdiť, či je konkrétne spracúvanie biometrických údajov vôbec prípustné a či spĺňa všetky podmienky právnej úpravy.
Ak sa rovnaký účel dá dosiahnuť menej invazívnym riešením, napríklad kartou alebo iným vhodným spôsobom evidencie, je to pri posudzovaní nevyhnutnosti a primeranosti významná okolnosť.
Biometria preto nie je automaticky zakázaná vo všetkých situáciách, ale ani automaticky povolená len preto, že ju ponúka dodávateľ dochádzkového systému.
Tu sa dostávame k otázke, ktorá zamestnancov často zaujíma najviac:
„Ukladá si systém niekde fotografiu môjho odtlačku prsta?“
Odpoveď závisí od konkrétnej technológie.
Niektoré biometrické systémy vytvárajú z nasnímaného biometrického znaku biometrickú šablónu – súbor charakteristických údajov, ktoré sa používajú na porovnanie pri ďalšom overení identity. Iné systémy môžu používať odlišné technické postupy.
Šablóna nie je automaticky to isté ako fotografia alebo úplný obraz odtlačku. Zároveň však nemožno bez technickej dokumentácie tvrdiť, že každý takýto kód je za každých okolností matematicky nemožné spätne rekonštruovať alebo zneužiť.
Preto treba rozlišovať tri veci:
Tieto pojmy nie sú zameniteľné.
Čo to znamená v praxi?
Pri výbere biometrického systému by sa mala firma dodávateľa konkrétne opýtať:
Zodpovedný dodávateľ musí vedieť vysvetliť, čo jeho konkrétny systém uchováva a ako je to chránené.
Nie je správne automaticky predpokladať, že každý dochádzkový systém ukladá údaje rovnakým spôsobom.
Nie je správne predpokladať, že osobné údaje v riadne navrhnutom systéme sú voľne dostupné každému, kto sa dostane na server.
Zároveň však nemožno tvrdiť, že každý systém je bezpečný len preto, že sa nazýva moderným alebo cloudovým.
GDPR v článku 32 vyžaduje primerané technické a organizačné opatrenia na zabezpečenie úrovne bezpečnosti zodpovedajúcej riziku. Podľa konkrétneho systému môžu tieto opatrenia zahŕňať napríklad:
Nie každé opatrenie je povinné v rovnakej podobe pri každom systéme. Výber závisí od rizika, rozsahu spracúvania a technického riešenia.
Kto má mať prístup k dochádzke?
Nie každý zamestnanec firmy potrebuje vidieť dochádzku všetkých kolegov.
Prístup má byť nastavený podľa pracovnej úlohy a nevyhnutnej potreby. Personalista môže potrebovať širší prehľad než bežný zamestnanec. Vedúci prevádzky môže potrebovať údaje o svojom tíme, nie však automaticky o celej spoločnosti.
Zamestnanec by mal mať zrozumiteľnú informáciu o tom, kto jeho údaje spracúva, na aký účel a komu sa poskytujú.
Osobné údaje nemajú byť voľne dostupné. Prístup k nim musí byť riadený a primerane zabezpečený.
Oficiálny zdroj: GDPR – články 5, 25 a 32.
Evidencia dochádzky a nepretržité monitorovanie sú dve rozdielne veci.
Dochádzkový systém môže zaznamenávať príchod, odchod, prestávku alebo ďalšiu udalosť potrebnú na evidenciu pracovného času. Pri mobilnej dochádzke môže byť účelné overiť miesto konkrétneho príchodu alebo pracovného úkonu.
To samo osebe neznamená, že má zamestnávateľ oprávnenie nepretržite sledovať polohu zamestnanca, jeho pohyb alebo správanie.
Ak systém používa GPS alebo inú lokalizáciu, treba osobitne posúdiť účel, rozsah, nevyhnutnosť, právny základ a primeranosť takéhoto spracúvania. Rovnako treba zamestnancov riadne informovať o tom, čo systém robí.
Napríklad pri terénnom pracovníkovi môže byť v určitých okolnostiach relevantné zaznamenať miesto konkrétneho pracovného úkonu. Z toho však automaticky nevyplýva oprávnenie sledovať jeho polohu počas celého dňa alebo mimo pracovného času.
Dochádzkový systém má evidovať pracovný čas v potrebnom rozsahu. Nemá sa bez primeraného dôvodu meniť na nástroj neustáleho dohľadu.
Zamestnanec nie je iba osobou, ktorej údaje sa evidujú. GDPR mu priznáva práva, ktoré môže za príslušných podmienok uplatniť.
Patrí medzi ne napríklad:
Tieto práva nie sú absolútne. Napríklad právo na vymazanie neznamená, že zamestnávateľ musí odstrániť údaje, ktoré je naďalej povinný uchovávať podľa zákona.
Ak zamestnanec požiada o informácie o svojej dochádzke, zamestnávateľ by mal vedieť určiť, aké údaje o ňom spracúva, na aký účel, komu ich poskytuje a ako dlho ich uchováva.
Pri biometrických údajoch treba navyše osobitne posúdiť zákonnosť samotného spracúvania.
Podrobnosti: GDPR – články 12 až 22.
Neexistuje jedno univerzálne pravidlo, podľa ktorého by sa všetky údaje v každom dochádzkovom systéme museli uchovávať rovnaký počet dní alebo rokov.
Doba uchovávania sa určuje podľa účelu spracúvania, príslušných právnych povinností a konkrétneho typu dokumentácie.
Zamestnávateľ musí rozlišovať napríklad medzi:
Pre každý typ údajov musí byť určená primeraná doba uchovávania alebo kritériá na jej určenie.
To, že firma potrebuje uchovávať určitý záznam o pracovnom čase, ešte neznamená, že musí rovnako dlho uchovávať aj biometrickú šablónu použitú pri identifikácii.
Ak už biometrické údaje nie sú potrebné a neexistuje iný zákonný dôvod na ich uchovávanie, treba posúdiť ich vymazanie.
Podľa článku 35 GDPR sa DPIA vyžaduje pri spracúvaní, ktoré pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb.
Pri systematickom monitorovaní, rozsiahlej lokalizácii alebo biometrii je potrebné túto povinnosť osobitne vyhodnotiť aj podľa príslušných zoznamov a usmernení dozorného orgánu. Neplatí, že DPIA je automaticky povinné pri každej elektronickej dochádzke, ani že pri každom nasadení biometrie postačí jednoduchý interný súhlas.
Zodpovedný prístup k GDPR sa nezačína až vtedy, keď systém začne fungovať. Začína sa už pri jeho výbere.
Praktický kontrolný zoznam
1. Určiť účel spracúvania
Čo presne potrebujeme evidovať? Príchody a odchody, pracovný čas, nadčasy alebo aj ďalšie udalosti?
2. Určiť právny základ
Na akom právnom základe budeme jednotlivé údaje spracúvať? Pri osobitných kategóriách údajov treba posúdiť aj príslušnú výnimku podľa článku 9 GDPR a vnútroštátneho práva.
3. Zvoliť primeraný spôsob evidencie
Je nevyhnutná biometria, alebo účel rovnako dobre dosiahne karta, čip, PIN či iný menej invazívny spôsob?
4. Informovať zamestnancov
Zamestnanci majú dostať zrozumiteľné informácie o účele, právnom základe, rozsahu, dobe uchovávania, príjemcoch údajov a svojich právach.
5. Nastaviť prístupové oprávnenia
Prístup k údajom má mať iba osoba, ktorá ich potrebuje na plnenie pracovných úloh.
6. Overiť technické zabezpečenie
Firma má zistiť, ako sa údaje ukladajú, prenášajú, chránia a vymazávajú.
7. Vyriešiť dodávateľské vzťahy
Ak dodávateľ spracúva osobné údaje v mene zamestnávateľa, treba posúdiť jeho postavenie a splniť požiadavky GDPR na sprostredkovateľa vrátane zmluvy podľa článku 28, ak sa uplatňuje.
8. Posúdiť riziká
Pri spracúvaní, ktoré môže predstavovať vysoké riziko pre práva a slobody osôb, môže byť potrebné posúdenie vplyvu na ochranu osobných údajov podľa článku 35 GDPR.
Pri biometrickom systéme sa preto nestačí spoliehať na vetu dodávateľa: „Náš systém je v súlade s GDPR.“ Zamestnávateľ ako prevádzkovateľ musí vedieť preukázať súlad vlastného spracúvania.
Pri porovnávaní riešení sa oplatí klásť otázky, ktoré idú ďalej než cena terminálu alebo počet funkcií.
Odpovede by mali byť konkrétne, nie iba všeobecné uistenia.
Dobre navrhnutý dochádzkový systém môže firme pomôcť znížiť ručné prepisovanie údajov, zjednodušiť spracovanie pracovného času a pripraviť spoľahlivejšie podklady pre mzdy.
Zamestnancom môže priniesť väčší prehľad o vlastnej dochádzke a jasnejšie pravidlá.
Podmienkou však je, aby systém nepracoval s väčším rozsahom údajov, než je potrebné, aby bol primerane zabezpečený a aby zamestnávateľ rešpektoval práva zamestnancov.
Ochrana osobných údajov a efektívna dochádzka sa nevylučujú.
Práve naopak. Keď sú procesy správne nastavené, firma môže mať lepší prehľad a zároveň rešpektovať súkromie ľudí, ktorí v nej pracujú.
Pri výbere dochádzkového systému by sa pozornosť nemala sústrediť iba na otázku, aký terminál firma potrebuje.
Dôležité je najprv pochopiť, ako dochádzka funguje v praxi, aké údaje firma potrebuje, kto s nimi pracuje a aké procesy má systém podporovať.
V BIOMETRIC preto začíname analýzou potrieb firmy a až potom vyberáme vhodné riešenie.
Súčasťou takéhoto rozhodovania by mali byť aj otázky ochrany údajov, používateľských oprávnení, spôsobu spracúvania údajov a podmienok ich uchovávania.
Ak firma zvažuje biometrickú dochádzku, treba navyše osobitne posúdiť, či je takéto spracúvanie v jej konkrétnej situácii zákonné a primerané. Technická možnosť totiž automaticky neznamená právnu prípustnosť.
Objednajte si diagnostiku dochádzky BIOMETRIC. Spoločne sa pozrieme na Vaše procesy a pripravíme riešenie, ktoré bude zodpovedať Vašej prevádzke. Kontakt - Biometric michal.reiffers@biometric.sk
Cieľom nie je zbierať čo najviac údajov.
Cieľom je mať potrebné údaje, správne nastavené procesy a systém, ktorý rešpektuje ľudí aj pravidlá.
Najčastejšie otázky o dochádzke a GDPR
Je elektronická evidencia dochádzky podľa GDPR povolená?
Áno. GDPR elektronickú evidenciu dochádzky všeobecne nezakazuje. Zamestnávateľ však musí určiť vhodný právny základ, dodržať zásady spracúvania a zabezpečiť údaje.
Je biometrická dochádzka na Slovensku automaticky legálna?
Nie. Biometrické údaje používané na jednoznačnú identifikáciu patria medzi osobitné kategórie údajov. Okrem právneho základu podľa článku 6 GDPR musí byť splnená aj niektorá z výnimiek podľa článku 9 ods. 2 a príslušné podmienky slovenského práva. Samotná povinnosť evidovať pracovný čas nestačí.
Musí zamestnanec podpísať súhlas s dochádzkovým systémom?
Nie vždy. Pri bežnej evidencii dochádzky môže byť právnym základom napríklad zákonná povinnosť zamestnávateľa. Súhlas nie je univerzálnym riešením a v pracovnom prostredí sa musí posudzovať, či je skutočne slobodný.
Sú údaje v dochádzkovom systéme zašifrované?
Závisí to od konkrétneho riešenia. Zamestnávateľ by si mal overiť, aké údaje systém uchováva, aké ochranné opatrenia používa a ako sa riadi prístup k údajom. Šifrovanie je dôležité bezpečnostné opatrenie, ale samo osebe nezaručuje súlad so všetkými požiadavkami GDPR.
Je biometrická šablóna to isté ako fotografia odtlačku?
Nie nevyhnutne. Mnohé systémy používajú na porovnávanie biometrickú šablónu alebo inú technickú reprezentáciu. Konkrétny spôsob závisí od technológie a treba ho overiť v dokumentácii. Bez takéhoto overenia nemožno garantovať, že spätná rekonštrukcia je za každých okolností nemožná.
Je odtlačok prsta na dochádzku vždy povolený?
Nie. Pri biometrických údajoch na jednoznačnú identifikáciu treba osobitne splniť článok 6 aj článok 9 GDPR a relevantné vnútroštátne pravidlá.
Môže zamestnávateľ sledovať zamestnanca cez GPS?
Nie automaticky. Lokalizácia musí mať konkrétny účel a primeraný rozsah, zákonný právny základ a musí spĺňať pravidlá ochrany osobných údajov. Evidencia príchodu na pracovisko sama osebe neoprávňuje na nepretržité sledovanie polohy.
Kto má vidieť dochádzkové záznamy?
Len osoby s oprávnenou pracovnou potrebou a v nevyhnutnom rozsahu; prístupy sa majú pravidelne kontrolovať.
Ako dlho možno uchovávať údaje?
Podľa účelu, kategórie údajov a právnych povinností. Pre dochádzku, GPS a biometriu nemusia platiť rovnaké lehoty.
Znamená certifikácia ISO automatický súlad s GDPR?
Nie. Je relevantným bezpečnostným podkladom, ale zákonnosť konkrétneho spracúvania musí posúdiť prevádzkovateľ.
Záver
Dochádzkový systém má firme pomáhať plniť povinnosti a zjednodušovať prácu. Nemá byť zámienkou na neprimerané sledovanie zamestnancov ani na zhromažďovanie údajov, ktoré firma nepotrebuje.
GDPR stanovuje pravidlá, ktoré chránia súkromie a dôstojnosť ľudí. Zákonník práce zároveň upravuje povinnosti zamestnávateľa pri evidencii pracovného času a hranice zásahov do súkromia na pracovisku.
Pri bežnej elektronickej dochádzke je preto kľúčové správne určiť účel, právny základ, rozsah údajov a bezpečnostné opatrenia. Pri biometrii treba urobiť ešte dôkladnejšie posúdenie, pretože ide o osobitnú kategóriu osobných údajov.
Dobrá dochádzka nie je o tom, že firma vie o zamestnancovi všetko. Je o tom, že vie presne to, čo potrebuje – a s údajmi zaobchádza zodpovedne.
Dôležité upozornenie:
Článok poskytuje všeobecné informácie, nie individuálne právne stanovisko. Konkrétne používanie biometrie, monitorovania a prípadné DPIA je potrebné posúdiť podľa okolností a aktuálne účinného práva.
Súvisiace články
VEĽKÉ POROVNANIE - DOCHÁDZKOVÉ SYSTÉMY 2026: ceny, funkcie a skúsenosti s 13 riešeniami / Kybernetická bezpečnosť dochádzkových systémov: Ako chrániť údaje zamestnancov
Napíšte nám
AI Asistent
