Zpracování osobních údajů ve vztahu k antigennímu testování zaměstnanců

2.6

Zpracování osobních údajů ve vztahu k antigennímu testování zaměstnanců

Mgr. Adriana Kvítková

Zpracování osobních údajů při preventivním testování zaměstnanců na stanovení přítomnosti antigenu viru SARS-Cov-2 ze strany SVJ je zpracování nezbytné pro splnění právní povinnosti, která se na správce (osobních údajů) vztahuje, zvláštní souhlas pro zpracování osobních údajů ze strany subjektů údajů (zaměstnanců SVJ) proto zapotřebí není. Právní základ zpracování osobních údajů zde tvoří mimořádné nařízení Ministerstva zdravotnictví č. j. MZDR 47828/2020-25/MIN/KAN ze dne 22. března 2021, ust. § 101 a násl. zákona č. 262/2006 Sb., zákoník práce, ve znění pozdějších předpisů, a čl. 6 odst. 1 písm. c) GDPR.

Osobní údaje se zpracovávají za účelem možné přítomnosti zaměstnance na pracovišti a rovněž za účelem přeložení výkazu zdravotním pojišťovnám jako podklad ke zpětnému částečnému proplacení zakoupených testů k testování zaměstnanců. Osobní údaje se zpracovávají v následujícím rozsahu: jméno a příjmení, číslo pojištěnce, zdravotní pojišťovna, údaj o přesném čase provedení testu, výsledek provedeného testu, případný záznam o prodělaném onemocnění COVID-19 (laboratorně potvrzeném) či potvrzení o provedeném očkování proti onemocnění COVID-19 (vystavený certifikát Ministerstva zdravotnictví ČR).

Co se týče doby uchování evidence provedených testů zaměstnanců, jak se již vyjádřil ÚOOÚ, ta nebyla v mimořádném opatření stanovena, přičemž lze dovodit, že zaměstnavatelé mají povinnost vést evidenci provedených testů zaměstnanců nejméně do zrušení mimořádného opatření k provádění povinného testování zaměstnanců a k nezbytné kontrole zpracování plateb a nároků, které mohou v důsledku testování vzniknout. Dále ÚOOÚ ve svém vyjádření k povinnému testování zaměstnanců mimo jiné uvedl, že záznamy o zpracování osobních údajů zaměstnanců za účelem testování jsou vedeny jako součásti záznamů o činnostech zpracování.

Zákon č. 110/2019 Sb., o zpracování osobních údajů, spolu se zákonem č. 111/2019 Sb., kterým se mění některé zákony v souvislosti s přijetím zákona o zpracování osobních údajů, nabyl účinnosti vyhlášením ve sbírce zákonů dne 24. dubna 2019.

Nařízení Evropského parlamentu a Rady (EU), tzv. GDPR, spolu se zákonem č. 110/2019 Sb., o zpracování osobních údajů, v platném znění, tvoří základní právní rámec pro zpracování osobních údajů. Zmíněné právní předpisy tak nahrazují dosavadní právní úpravu, kterou v České republice představoval zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších. S ohledem na účinnost GDPR a nedávné nabytí účinnosti zákona o zpracování osobních údajů je nezbytné, aby subjekty, které zpracovávají osobní údaje, zkontrolovaly své procesy při zpracování osobních údajů a přizpůsobily je novým (nebo spíše podrobnějším) pravidlům v této oblasti.

Zákon o zpracování osobních údajů navazuje na GDPR a upravuje některé otázky, které GDPR ponechává členským státům k dořešení, resp. k samostatné úpravě, a také implementuje pravidla obsažená v nové směrnici Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV. Tento zákon přináší několik výjimek z GDPR, a to zejména v oblasti vědeckého, historického výzkumu a pro statistické účely a dále v oblasti zpracování osobních údajů prováděného pro novinářské účely. Ulehčení od některých povinností dle GDPR přináší zákon o zpracování osobních údajů i ve vztahu k činnosti subjektů vymáhajících pohledávky, resp. svůj nárok, vůči dlužníkům. Zákon o zpracování osobních údajů oproti GDPR snižuje peněžité sankce pro některé subjekty, a to až na hranici 15 tisíc, či dokonce 5 tisíc korun českých, pokud se porušení vymezených pravidel stanovených GDPR dopustí malé obce, které nevykonávají přenesenou působnost v rozsahu obecního úřadu obce s rozšířenou působností, jejich dobrovolné svazky, příspěvkové organizace a školská zařízení zřizovaná takovou obcí.

Na rozdíl od některých jiných členských států Evropské unie pak zákon o zpracování osobních údajů zakotvuje pro způsobilost dítěte udělit souhlas se zpracováním osobních údajů v souvislosti s nabídkou služeb informační společnosti přímo jemu věk patnácti let (GDPR operuje s věkem nejméně 13 let). Zákon o zpracování osobních údajů rovněž…