Niektorí zamestnávatelia pri skončení pracovného pomeru so zamestnancom zvažujú, či má odchádzajúci pracovník právo žiadať od nich vydanie získaných certifikátov, osvedčení alebo preukazov. Tie totiž nadobudol počas trvania pracovného pomeru a zamestnávateľ ich financoval. Za bežných podmienok sú na personálnom oddelení, či už v osobnom spise zamestnanca alebo v špeciálnej zložke.
Ide o dokumenty, ktoré obsahujú osobné údaje. Tie identifikačné, ktorými sú meno, priezvisko zamestnanca, ale aj ďalšie ako napríklad fotografiu, dátum narodenia, adresu, rozsah získaného oprávnenia a pod.
Pre to, aby zamestnávateľ mohol tieto osvedčenia legitímne spracúvať, nevyhnutne potrebuje účel (povinnosť určená čl. 5 ods. 1 písm. b) GDPR). A ním je napríklad preukazovanie odbornej spôsobilosti zamestnanca vykonávať prácu alebo zastávať pracovnú pozíciu s náležitou odbornosťou.
Čo však v prípade, keď zamestnanec náhle odíde, napríklad ešte počas trvania skúšobnej doby? Musí mu zamestnávateľ získané osvedčenia vydať aj napriek tomu, že do neho investoval a zamestnanec od neho predčasne odchádza?
Po línii spracúvania osobných údajov, odporúčame osvedčenia, preukazy alebo certifikáty zamestnancovi vydať. Zamestnanec si totiž o ne môže požiadať aj na základe svojich práv v zmysle pravidiel GDPR.
Podobný prípad riešil taliansky úrad na ochranu údajov. Začal konať na základe sťažnosti, ktorú podal bývalý zamestnanec a na jej konci bola pokuta vo výške 20000 eur pre jeho bývalého zamestnávateľa. Prečo? Lebo nereagoval na žiadosť o prístup k údajom, v ktorej dotknutá osoba (bývalý zamestnanec) požadovala vydanie odborných osvedčení získaných počas pracovného pomeru
Prevádzkovateľ (bývalý zamestnávateľ) sa bránil tým:
- že žiadosť o prístup k osobným údajom bola podaná zamestnancovi, ktorý nemal príslušné právomoci,
- že k uplatneniu práva nebola využitá na to určená špeciálna e-mailová adresa, s ktorou boli zamestnanci oboznámení,
- že časť osvedčení neexistuje vo vecnej podobe, keďže išlo len o interné kurzy organizované priamo zamestnávateľom a jeho výsledkom bol obyčajný interný odznak, potvrdzujúci účasť na vzdelávacej aktivite
- a že dotknutá osoba vo svojej žiadosti o poskytnutie certifikátov neuviedla priamo, že si uplatňuje svoje právo na prístup podľa čl. 15 GDPR.
Ani jeden z argumentov prevádzkovateľa však nezabránil vysokej pokute. Mal konať a v lehote najneskôr jedného mesiaca od prijatia žiadosti aspoň informovať dotknutú osobu o dôvodoch nesplnenia žiadosti a o možnosti podať sťažnosť dozornému orgánu.
Dva z kurzov totiž boli realizované osobitným certifikačným orgánom, ktorý vydáva zamestnancovi aj príslušné osvedčenie. Ak prevádzkovateľ takéto osvedčenia vo svojich podmienkach spracúva – má ich, dotknutá osoba má na ne právo. Odhliadnuc od toho, že prevádzkovateľ rozviazaním pracovného pomeru obvykle stráca zákonný dôvod ich spracúvania (napríklad uchovávania). Nedodržiavanie základných zásad spracúvania osobných údajov, medzi ktoré patrí napríklad “minimalizácia údajov” a “minimalizácia uchovávania” patrí medzi tie závažnejšie porušenia všeobecného nariadenia.
A ak príslušné dokumenty prevádzkovateľ nemá, ani vtedy nesmie zostať nečinným. Je povinný žiadateľa najneskôr do jedného mesiaca informovať, prečo jeho žiadosti nemôže vyhovieť.