Pohled GDPR: Můžete testovat zaměstnance na alkohol?

Můžete svým zaměstnancům provádět testy střízlivosti, a zpracovávat tak jejich osobní údaje? V některých oblastech, jako je veřejná doprava, může být toto opatření opodstatněné. Musíte však správně nastavit dobu uchování a zabezpečení.

Každé léto se objeví nový případ, který opět ukáže, že bezpečnost v dopravě nelze brát na lehkou váhu. Ostatně i drobný výpadek pozornosti může ohrozit lidské životy a ve veřejné dopravě to platí dvojnásob. Obzvláště od řidičů veřejných prostředků, od autobusů až po lodě, se očekává, že budou nejen kvalifikovaní pro svou práci, ale také maximálně střízliví. Alkohol za volant zkrátka nepatří, a proto jsou testy střízlivosti ve veřejné dopravě běžnou praxí. Jak se ale na testy střízlivosti dívá GDPR?

Problematiku testů střízlivosti z pohledu GDPR řešil v letošním roce švédský dozorový úřad, který udělil pokutu za porušení GDPR v souvislosti s testy střízlivosti hned dvěma společnostem provozujícím veřejnou lodní dopravu. Tyto společnosti sice správně prováděly testy střízlivosti lodních kapitánů, avšak výsledky testů uchovávaly tak dlouho, až se dostaly do problémů s dodržováním pravidel na ochranu soukromí.

Pozadí případu

Celý případ začal dvěma stížnostmi od zaměstnanců – konkrétně kapitánů lodí veřejné dopravy pracujících ve společnostech Aktiebolaget Storstockholms Lokaltrafik (SL) a Waxholms Ångfartygs AB (WÅAB), které jsou obě součástí skupiny SL. Tito kapitáni během výkonu svého povolání podstoupili testy střízlivosti, což nebylo nic neobvyklého. Problém tedy nebyl v samotném provedení testů, ale v tom, že společnosti si jejich výsledky uložily a ponechaly celé měsíce.

Zaměstnavatel sice mohl mít oprávněný zájem na tom, aby podrobil své zaměstnance testům střízlivosti pro zajištění bezpečnosti ve veřejné dopravě, ale otázkou v tomto případě bylo, zda s osobními údaji získanými z testů bylo nakládáno v souladu s GDPR. Případ se tak skrze stížnosti dostal do hledáčku švédského dozorového úřadu, který následně zahájil vyšetřování.

Klíčová zjištění

Během vyšetřování švédský dozorový úřad vyslovil, že není nutné shromažďovat a uchovávat testy střízlivosti zaměstnanců v takovém rozsahu, jak to učinily společnosti SL a WÅAB. Z vyšetřování vyplynulo, že z důvodu nedostatečných interních procesů ve společnostech byly údaje z testů uchovávány po dobu několika měsíců, a to bez relevantního právního důvodu a v rozsahu, který nebyl nezbytný pro daný účel zpracování.

Švédský dozorový úřad zdůraznil i to, že je důležité vzít v úvahu závislé postavení zaměstnance. Zaměstnavatel musí zajistit, aby zpracování osobních údajů bylo v souladu s GDPR a aby nezasahovalo do soukromí fyzické osoby více, než je nutné.

Zaměstnavatel, který zvažuje testy střízlivosti pro své zaměstnance, si také musí být vědom toho, že výsledky testů mohou naznačovat, že osoba je závislá na alkoholu. A tady to začíná být zajímavé, neboť tyto informace klasifikoval švédský dozorový úřad jako údaje o zdravotním stavu, jež podléhají silnější právní ochraně dle GDPR. Jde totiž o tzv. citlivé osobní údaje (správně zvláštní kategorie osobních údajů dle čl. 9 GDPR), které požívají zvýšené ochrany kvůli tomu, že jejich nezákonným zpracováním může být dotčeno nejen soukromí subjektů údajů, ale i jejich důstojnost či dokonce lidská integrita.

Závislost na alkoholu = citlivý osobní údaj

Jednotlivá porušení

Na základě provedeného šetření švédský dozorový úřad konstatoval, že došlo k porušení čl. 6 a čl. 9 GDPR. Porušení čl. 6 GDPR shledal švédský dozorový úřad v tom, že zpracování proběhlo bez dostatečného právního základu. Neexistovala totiž právně relevantní nezbytnost zpracování v daném rozsahu, tedy v uchovávání údajů z testů střízlivosti po dobu několika měsíců.

K porušení čl. 9 GDPR došlo tím, že údaje z testů byly klasifikovány jako citlivé osobní údaje, jejichž zpracování je zásadně zakázáno, pokud nejsou splněny některé z výjimek uvedených v čl. 9 odst. 2 GDPR. Jde například o případy, kdy subjekt údajů udělí výslovný souhlas se zpracováním či kdy je zpracování nezbytné pro ochranu života či zdraví subjektu údajů. V daném případě však tyto výjimky dle švédského dozorového úřadu naplněny nebyly.

Uložená sankce

Za uvedená porušení udělil švédský dozorový úřad pokutu ve výši 75 tisíc švédských korun (téměř 163 tisíc korun českých) oběma společnostem. Při ukládání správní pokuty vzal švédský dozorový úřad v potaz charakter jednotlivých porušení, jakož i další okolnosti případu. Ačkoliv došlo k porušení ochrany zpracování citlivých osobních údajů, týkalo se toto porušení pouze dvou zaměstnanců a také rozsah zpracovávaných údajů byl omezený. Nejedná se tedy o pokutu v maximální výši, ale švédský dozorový úřad považoval tuto částku za přiměřenou vzhledem k okolnostem případu.

Poučení pro správce

Tento případ poukazuje na to, že ochrana osobních údajů se netýká jen e-mailů či kamerových záznamů, ale i oblastí, kde bychom ji možná nečekali – například testů střízlivosti či jiných bezpečnostních opatření na pracovišti – tedy oblastí, které zpravidla nemají široký záběr a v nichž se většinou správci cítí silní v kramflecích. Ani v sektorech, kde je bezpečnost a ochrana zdraví na prvním místě, bychom neměli zapomínat na ochranu osobních údajů a GDPR. Opatření na ochranu zdraví a života lidí totiž nesmí automaticky znamenat oslabení práva na soukromí. Testy střízlivosti mohly mít v tomto případě své opodstatnění z hlediska bezpečnosti provozu. Jakmile však byly výsledky těchto testů uchovávány měsíce bez jasného účelu, bez právního důvodu a bez zavedeného systému pro jejich mazání, staly se problémem z hlediska ochrany soukromí.

Důležité je myslet i na to, že údaje o zdravotním stavu, rasovém či etnickém původu, politických názorech či náboženském vyznání spadají pod kategorii citlivých osobních údajů, jež podléhají přísnější ochraně a jejichž zpracování je, až na přesně vymezené výjimky, zakázáno. V pracovněprávních vztazích je navíc potřeba myslet i na to, že zaměstnanci jsou vůči zaměstnavatelům v nerovném postavení. O to větší je odpovědnost zaměstnavatele, aby s osobními údaji svých zaměstnanců nakládal zákonně, citlivě a transparentně.

Článek byl publikován v Elektronickém zpravodaji pro pověřence