ACRESIA

Okolnosti

Německý úřad pro ochranu údajů uložil pokutu 215 000 eur společnosti, která nezákonně zpracovávala zdravotní údaje svých zaměstnanců v souvislosti s možným ukončením jejich smluv.

Správce osobních údajů - společnost - vedla databázi se zvláštními kategoriemi osobních údajů svých zaměstnanců. Databáze byla vedena za účelem výběru zaměstnanců, kteří budou propuštěni před koncem zkušební doby. Tato databáze obsahovala informace o psychickém stavu některých zaměstnanců, žádostech o psychoterapii a jejich ochotě vstoupit do odborové organizace. Subjekt údajů, jeden z dotčených zaměstnanců, podal stížnost a německý úřad pro ochranu osobních údajů v Berlíně zahájil proti společnosti šetření.

Stanovisko

Úřad pro ochranu osobních údajů zjistil, že správce údajů v rozporu s čl. 9 odst. 2 GDPR neoprávněně zpracovával zvláštní kategorie údajů, včetně údajů o zdravotním stavu.

Úřad rovněž vyloučil, že by smlouva mezi zaměstnavatelem a zaměstnanci mohla být platným právním základem pro předmětné zpracování. Je pravda, že za určitých okolností může zaměstnavatel požadovat od svých zaměstnanců poskytnutí určitých údajů, včetně těch citlivých. Nicméně předmětné činnosti zpracování v tomto případě, i když vycházely z údajů poskytnutých přímo zaměstnanci, nebyly v souvislosti se smlouvou nezbytné a porušovaly zásadu omezení účelu podle čl. 5 odst. 1 písm. b) obecného nařízení o ochraně osobních údajů.

S ohledem na výše uvedené skutečnosti uložil úřad pro ochranu údajů správci pokutu ve výši 215 000 EUR.

Při vyměřování pokut úřad přihlížel k obratu společnosti a počtu zaměstnanců, kterých se to týkalo. Rovněž bylo zohledněno, že zpracování zdravotních údajů bez právního základu je obzvláště závažným porušením. Jedním z faktorů, které byly zohledněny při snižování pokuty, byla skutečnost, že společnost s úřadem spolupracovala a z vlastní iniciativy přestala porušovat předpisy poté, co se o tom dozvěděla veřejnost.

Zdroj