Kopírování dokladů zaměstnanců - jak je to správně podle GDPR

V případě občanských průkazů je základní pravidlo nepřekvapivě zakotveno v zákoně o občanských průkazech: Je zakázáno pořizovat jakýmikoliv prostředky kopie občanského průkazu bez prokazatelného souhlasu občana. Kopírování dokladů podepřené o souhlas je tedy obecně možné, avšak situace zaměstnance a zaměstnavatele je specifická tím, že zaměstnanci jsou vůči zaměstnavateli chápáni jako osoby ve slabším postavení. V obavě ze ztráty zaměstnání podepíšou prakticky vše, co jim zaměstnavatel předloží. Na souhlasy udělované zaměstnanci se proto Úřad pro ochranu osobních údajů dívá skepticky a nevidí je rád.

Z toho důvodu je rozumnější se procesu získávání souhlasu zaměstnanců zcela vyhnout prostě tím, že zaměstnavatel občanský průkaz kopírovat nebude. To samozřejmě zaměstnavateli nebrání, aby například při nástupu nového zaměstnance ověřil jeho totožnost z originálu občanského průkazu a učinil o tomto ověření poznámku v osobní složce zaměstnance. Kopie občanského průkazu by se však v osobní složce objevit neměla.

Kopírování dalších dokladů

Kopírování řidičských průkazů a průkazů zdravotní pojišťovny zákony výslovně nezakazují. Je ovšem třeba v souladu s GDPR stanovit, na základě jakého zákonného titulu a pro jaký účel je případná kopie pořizována. Protože souhlas ‑ jak je uvedeno výše ‑ je problematický, potřeba kopírovat tyto doklady se zpravidla opírá o tzv. oprávněný zájem zaměstnavatele. Zaměstnavatel však musí být schopen jednoznačně vysvětlit, v čem tento svůj oprávněný zájem spatřuje, tedy za jakým konkrétním účelem kopii dokladu potřebuje. Pokud to vysvětlit nedokáže, neměl by ani v případě řidičského průkazu nebo průkazu zdravotní pojišťovny kopii pořizovat.

U cizinců je vše jinak

Podle zákona o zaměstnanosti platí, že zaměstnavatel je naopak povinen uchovávat kopie dokladů prokazujících oprávněnost pobytu cizince na území České republiky, a to ještě 3 roky po skončení zaměstnávání tohoto cizince. Tato povinnost se týká cizinců, kteří jsou občany zemí mimo evropskou oblast volného pohybu osob, například z Ukrajiny. Zaměstnavatelé by tedy naopak měli okopírovat a archivovat povolení k zaměstnání, zaměstnaneckou kartu, kartu vnitropodnikově převedeného zaměstnance nebo modrou kartu každého takového cizince, kterého zaměstnávají.

Na tuto povinnost zaměstnavatelé často zapomínají, stejně jako na povinnost vést evidenci cizinců podle § 102 odst. 2 zákona o zaměstnanosti. Zběsilé mazání údajů vyvolané panikou související s GDPR tak není vždy na místě, právě v případě cizinců by zaměstnavatelé měli některé údaje naopak doplnit.