Prověřování osob a GDPR – co smíte zjišťovat a co už ne
„Není prověřování osob v rozporu s GDPR?“ je otázka, která padne skoro pokaždé, když firma nebo pronajímatel začne prověřování zvažovat. Krátká odpověď zní ne – GDPR prověřování nezakazuje. Určuje ale podmínky, a právě v nich se dělají chyby, které dokážou z rozumného opatření udělat problém. Tenhle text ukazuje, kde přesně vede hranice mezi oprávněným zájmem a nezákonným zasahováním do soukromí, co konkrétně smí zaměstnavatel i pronajímatel zjišťovat a jak celý postup zdokumentovat tak, aby obstál při kontrole.
Je prověřování osob vůbec legální?
Ano. GDPR není zákaz zpracování osobních údajů – je to pravidlo, jak je zpracovávat. Prověření uchazeče o zaměstnání nebo zájemce o pronájem je legitimní činnost za předpokladu, že splníte tři podmínky současně:
- Máte právní titul pro zpracování podle čl. 6 GDPR.
- Držíte se zásady minimalizace – zpracováváte jen údaje nezbytné pro daný účel, ne všechno, co jde zjistit.
- Splnili jste informační povinnost vůči prověřované osobě.
Tento článek je informační přehled, ne právní poradenství. Konkrétní nastavení – zejména rozsah prověření u konkrétní pozice – je vhodné konzultovat s právníkem nebo pověřencem pro ochranu osobních údajů.
Právní titul: oprávněný zájem, ne souhlas
Nejčastější omyl je snaha vyřešit všechno souhlasem. Zní to bezpečně, ale je to nejslabší možná volba.
Souhlas musí být svobodný. Uchazeč o práci nebo o byt je ale v nerovném postavení – ví, že bez podpisu skončí. Takový souhlas se za svobodný nepovažuje, a proto může být neplatný. Navíc je kdykoli odvolatelný: stačí, aby ho uchazeč po měsíci vzal zpět, a vaše zpracování ztratí základ.
Správnou cestou je proto obvykle oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR. Ten je stabilní, nelze ho odvolat a dobře odpovídá realitě: zaměstnavatel má legitimní zájem nesvěřit peníze člověku v exekuci, pronajímatel má legitimní zájem nesvěřit byt za tři miliony někomu, kdo neplatí.
Balanční test v pěti otázkách
Oprávněný zájem se neobhájí tvrzením, ale posouzením. Projděte si před zavedením prověřování těchto pět bodů a odpovědi si zapište:
- Jaký konkrétní zájem sledujete? („Ochrana majetku před škodou z neplacení nájmu.“)
- Je prověření k dosažení tohoto zájmu skutečně nezbytné, nebo existuje mírnější cesta?
- Jaký je rozsah zásahu do soukromí prověřované osoby?
- Mohla osoba takové zpracování rozumně očekávat?
- Převažuje váš zájem nad jejím právem na soukromí – a proč?
Písemný záznam tohoto posouzení je první dokument, po kterém dozorový úřad sáhne. Bez něj se soulad dokazuje těžko.
Co smí zjišťovat pronajímatel
U pronájmu je pozice zadavatele o něco jednodušší, protože tu nepůsobí omezení zákoníku práce. Pronajímatel svěřuje cizímu člověku majetek v hodnotě milionů a jeho zájem na ověření platební spolehlivosti je zjevný a rozumně očekávatelný.
Obvykle obhajitelné: ověření totožnosti, existence exekucí, insolvence, solventnosti a bonity, případně sankčních seznamů u cizinců.
Za hranou: zjišťování zdravotního stavu, těhotenství, náboženského vyznání, politických názorů nebo sexuální orientace. Tohle jsou zvláštní kategorie údajů podle čl. 9 GDPR a oprávněný zájem na ně nestačí. Stejně tak nemá oporu požadavek na výpisy z bankovního účtu za poslední rok, když existuje mírnější cesta ke stejnému zjištění.
Druhá častá chyba: prověřovat všechny zájemce, kteří se ozvou na inzerát. Prověřovat má smysl a oporu až u užšího výběru, se kterým reálně jednáte o smlouvě. Jak to vypadá v praxi, popisuje článek prověření nájemníka.
Trestní záznamy a citlivé údaje
Údaje o odsouzeních v trestních věcech mají v GDPR vlastní režim podle čl. 10. Nespadají mezi zvláštní kategorie podle čl. 9, ale zpracovávat je lze jen pod dozorem orgánu veřejné moci, nebo pokud to povoluje právo členského státu s odpovídajícími zárukami.
V praxi to znamená, že si zaměstnavatel nevede vlastní evidenci trestní minulosti uchazečů. Tam, kde zákon bezúhonnost vyžaduje, se postupuje předepsanou cestou – výpisem z rejstříku trestů, který předkládá sám uchazeč, a zaznamená se zpravidla jen skutečnost, že podmínka byla splněna, ne obsah výpisu.
Podobně opatrně je potřeba zacházet s databázemi hledaných a pohřešovaných osob nebo se sankčními seznamy. Jsou to legitimní zdroje, ale nález sám o sobě není závěr – musí se ověřit, zda skutečně jde o tutéž osobu, a teprve pak se s ním pracuje.
Informační povinnost a práva prověřovaného
Oprávněný zájem vás nezbavuje povinnosti říct, že prověření probíhá. Podle čl. 13 a 14 GDPR musí prověřovaná osoba vědět:
- kdo je správcem údajů a jak ho kontaktovat
- za jakým účelem a na jakém právním titulu zpracování probíhá
- jaké kategorie údajů a z jakých zdrojů se zpracovávají
- komu mohou být údaje předány a jak dlouho se uchovávají
- jaká má práva a že si může stěžovat u ÚOOÚ
Nejjednodušší řešení je krátký informační dokument, který předáte spolu s pozvánkou na pohovor nebo s návrhem nájemní smlouvy. Prověřovaný má dál právo na přístup ke svým údajům podle čl. 15 a právo vznést námitku podle čl. 21. Počítejte s tím, že report budete muset umět poskytnout a vysvětlit.
Tip z praxe: transparentnost paradoxně prověřování usnadňuje. Uchazeč, který o prověření ví dopředu, sám zmíní starou exekuci a vysvětlí kontext – a vy se vyhnete situaci, kdy nález vypadá hůř, než ve skutečnosti je. Někteří uchazeči dnes dokonce přinášejí vlastní report rovnou s sebou.
Jak dlouho smíte report uchovávat
Platí zásada omezení uložení: údaje se uchovávají jen po dobu nezbytnou pro daný účel. Účelem bylo rozhodnout o smlouvě – jakmile je rozhodnuto, důvod k uchovávání většinou pomine.
- Neúspěšný uchazeč: zpravidla do skončení výběrového řízení a krátkou dobu poté pro obranu proti případným nárokům. Delší archivace potřebuje samostatný důvod a uchazeč o ní musí vědět.
- Přijatý zaměstnanec: po dobu, po kterou je informace relevantní pro výkon práce, nebo po dobu stanovenou zvláštním předpisem.
- Nájemník: po dobu trvání nájmu a následně po dobu promlčecí lhůty případných nároků ze smlouvy.
Lhůty si stanovte předem a zapište je. „Necháme si to pro jistotu“ není přípustný důvod. O tom, jak s daty nakládáme my, informujeme na stránce zabezpečení dat.
Jaké sankce hrozí
GDPR umožňuje za porušení základních zásad zpracování a práv subjektů údajů pokutu až do 20 milionů eur nebo 4 % celosvětového ročního obratu podle toho, která částka je vyšší. Skutečné sankce ÚOOÚ se u českých firem pohybují řádově níž, pokuta ale není jediný dopad:
- žaloba prověřované osoby na náhradu majetkové i nemajetkové újmy
- u zaměstnavatele navíc spor o nerovné zacházení nebo diskriminaci
- reputační dopad, který bývá dražší než samotná pokuta
Dobrá zpráva: naprostou většinu těchto rizik odstraní pár formalit udělaných předem.
Checklist pro obhajitelné prověření
- Sepište účel prověření jednou větou.
- Určete rozsah podle konkrétní pozice či smlouvy, ne plošně.
- Proveďte a zapište balanční test.
- Předejte prověřovanému informaci o zpracování ještě před prověřením.
- Prověřujte až užší výběr, se kterým reálně jednáte.
- Ověřte shodu nálezu s osobou, nespoléhejte na shodu jména.
- Stanovte a dodržujte lhůty pro výmaz.
- Uzavřete zpracovatelskou smlouvu s poskytovatelem prověření.
- Mějte připravený postup pro žádost o přístup a pro námitku.
Často kladené otázky
Je prověřování osob podle GDPR legální?
Ano. GDPR prověřování nezakazuje, jen určuje podmínky. Potřebujete právní titul (u zaměstnavatele a pronajímatele typicky oprávněný zájem podle čl. 6 odst. 1 písm. f), musíte dodržet zásadu minimalizace údajů a splnit informační povinnost vůči prověřované osobě.
Potřebuji k prověření souhlas prověřované osoby?
Zpravidla ne, a často by ani nebyl platný. Souhlas musí být svobodný – a uchazeč o práci nebo o byt ho v nerovném postavení svobodně neposkytuje. Proto se v těchto situacích vychází z oprávněného zájmu, který je stabilnější právní titul, protože ho nelze kdykoli odvolat.
Co je balanční test a musím ho mít písemně?
Balanční test je posouzení, zda váš zájem na prověření převažuje nad právem na soukromí prověřované osoby. GDPR výslovně nepředepisuje formu, ale správce musí umět soulad doložit. Písemný záznam je proto v praxi standardem a při kontrole ÚOOÚ prvním dokumentem, po kterém se sáhne.
Smí zaměstnavatel požadovat výpis z rejstříku trestů?
Jen tehdy, když to stanoví zákon, nebo když existuje věcný důvod spočívající v povaze vykonávané práce a požadavek je přiměřený. Zákoník práce v § 316 odst. 4 řadí trestněprávní bezúhonnost mezi informace, které zaměstnavatel bez takového důvodu vyžadovat nesmí. Plošný požadavek u všech pozic tedy neobstojí.
Může pronajímatel požadovat prověření nájemníka?
Ano. Ověření solventnosti a existence exekucí u osoby, které svěřujete nemovitost v hodnotě milionů, je učebnicový příklad oprávněného zájmu. Rozsah ale musí být přiměřený – ověření platební spolehlivosti obstojí, zjišťování zdravotního stavu nebo politických názorů ne.
Jak dlouho můžu uchovávat report o neúspěšném uchazeči?
Jen po dobu nezbytnou pro účel, pro který vznikl. U neúspěšného uchazeče to bývá do skončení výběrového řízení plus krátká doba na obranu proti případným nárokům. Delší archivace vyžaduje samostatný právní titul a uchazeč o ní musí vědět.
Jaká pokuta hrozí za nezákonné prověřování?
GDPR umožňuje za porušení základních zásad a práv subjektů údajů pokutu až do 20 milionů eur nebo 4 % celosvětového ročního obratu, podle toho, co je vyšší. V praxi bývají sankce ÚOOÚ nižší, ale vedle pokuty hrozí i žaloba na náhradu újmy a reputační dopad.
Má prověřovaná osoba právo vidět, co jste o ní zjistili?
Ano. Podle čl. 15 GDPR má právo na přístup ke svým osobním údajům, které zpracováváte, a podle čl. 21 může proti zpracování založenému na oprávněném zájmu podat námitku. Připravte se na to, že report budete muset umět poskytnout a postup vysvětlit.
GDPR není překážka, ale návod
Prověřování osob se nestalo nelegálním – stalo se formalizovaným. Rozdíl mezi firmou, která nemá s prověřováním problém, a firmou, která ho má, nespočívá v tom, kolik toho zjišťuje. Spočívá v tom, že první z nich ví proč, v jakém rozsahu a umí to doložit.
V 321GoCheck pracujeme výhradně s veřejnými a licencovanými zdroji a výstupem je report, který v dokumentaci obstojí. Rozsah prověření si přitom určujete vy – tak, aby odpovídal konkrétní pozici nebo smlouvě.