Zaměstnavatel čte vaše zprávy na WhatsAppu: co umožňuje nizozemské právo

Váš zaměstnavatel si nesmí vaše zprávy na WhatsAppu jen tak číst, ať už na soukromém telefonu nebo na firemním telefonu. Jejich čtení je zákonné pouze výjimečně: pokud existuje konkrétní a závažné podezření, neméně rušivý způsob jeho prošetření a politika, která zaměstnancům předem sděluje, co lze kontrolovat; strukturální monitorovací opatření vyžaduje také souhlas rady zaměstnanců podle článku 27(1)(l) zákona o radách zaměstnanců (Wet op de ondernemingsraden, WOR).

Zprávy jsou osobní údaje, takže se na ně GDPR vztahuje v plném rozsahu. Níže vysvětlujeme právní rámec, rozdíl mezi soukromými a firemními zprávami, roli rady zaměstnanců a co můžete dělat, pokud byla překročena hranice.

Která pravidla chrání vaše zprávy v práci?

Platí tři úrovně práva najednou: právo na soukromý život, právo na ochranu osobních údajů a pracovní právo. Každá z nich omezuje, co může zaměstnavatel s vašimi zprávami dělat.

Článek 8 Evropské úmluvy o lidských právech (EÚLP) chrání soukromý život a korespondenci, a to i v práci, a článek 10 nizozemské ústavy (Grondwet) činí totéž. Evropský soud pro lidská práva vyžaduje, aby zaměstnavatelé předem informovali zaměstnance o povaze a rozsahu monitorování, a soudy musí zvážit důvody zaměstnavatele oproti zásahu a dostupnost méně rušivých prostředků.

Obsah zprávy, odesílatel a příjemce a čas jejího odeslání jsou osobní údaje. Jejich čtení je zpracováním podle GDPR s jeho zásadami omezení účelu, minimalizace dat a omezení úložiště. Náš přehled obecné ochrany osobních údajů stanoví tyto zásady a dohlíží na ně nizozemský Úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens, AP).

V pracovním právu se právo zaměstnavatele dávat pokyny vztahuje na způsob výkonu práce, nikoli na váš soukromý život. Zaměstnavatel, který jde ještě dál a bez povolení se vloupá do účtu nebo zařízení, se může dopustit neoprávněného přístupu k počítači (computervredebreuk) podle článku 138ab nizozemského trestního zákoníku (Sr), za což hrozí trest odnětí svobody až na dva roky.

Na jakém právním základě může zaměstnavatel číst zprávy?

Každá operace zpracování potřebuje právní základ podle článku 6 GDPR. V pracovním poměru tímto základem téměř nikdy není souhlas, takže se zaměstnavatel musí spoléhat na oprávněný zájem.

Souhlas musí být udělen svobodně a protože jste závislí na svém zaměstnavateli, odmítnutí je zřídka bez následků. AP a evropské orgány pro ochranu osobních údajů proto považují souhlas za neplatný pro téměř veškeré monitorování pracoviště; klauzule ve vaší smlouvě nebo IT zásadách to nemění.

Oprávněným zájmem může být ochrana majetku společnosti a důvěrných informací, vyšetřování konkrétního podezření z podvodu, plnění zákonné povinnosti nebo zabezpečení sítě. Zvědavost, obecná nedůvěra, kontrola produktivity nebo touha vědět, co zaměstnanci říkají o managementu, oprávněnými zájmy nejsou. Zaměstnavatel musí před zahájením monitorování zaznamenat své hodnocení. AP stanoví podmínky, které uplatňuje na monitorování zaměstnanců.

Nutnost, proporcionalita a subsidiarita

I s oprávněným zájmem musí být čtení zpráv nezbytné, přiměřené a nejméně rušivé. Pokud by na otázku odpovědělo pohovor s dotčenými osobami, kontrola systémových protokolů nebo zkoumání transakcí, čtení zpráv je nezákonné, nicméně jeho výsledek je kompromitující.

Důvodné podezření, že zaměstnanec prodává zákaznickou databázi, ospravedlňuje mnohem více než jen otázku ohledně nároků na proplacení výdajů. V praxi musí zaměstnavatel předem zúžit vyhledávání: omezené časové období, jmenovaní účastníci, definované vyhledávací výrazy a pravidlo, že se zjevně nečte soukromý obsah. V případě systematického a rozsáhlého monitorování je před jeho zahájením vyžadováno posouzení vlivu na ochranu osobních údajů (DPIA) podle článku 35 GDPR.

Transparentnost: politika je na prvním místě

Monitorování, které nebylo nikdy oznámeno, je téměř vždy nezákonné. Zaměstnavatel potřebuje písemné a přístupné zásady, které stanoví, zda je povoleno soukromé používání firemních zařízení, co se zaznamenává a po jak dlouho, kdy lze obsah kontrolovat, kdo o tom rozhoduje a kdo kontrolu provádí.

Zásada, která si pouze vyhrazuje právo „kdykoli vše monitorovat“, pravděpodobně neobstojí. Soudu signalizuje, že zaměstnavatel nikdy nezohlednil proporcionalitu.

Musí s tím souhlasit rada zaměstnanců?

Ano, pro samotné monitorovací opatření. Podle článku 27(1)(k) a (l) WOR potřebuje zaměstnavatel souhlas rady zaměstnanců (ondernemingsraad) pro jakékoli ujednání o zpracování osobních údajů zaměstnanců a pro jakýkoli systém, který je určen nebo vhodný pro monitorování docházky, chování nebo výkonu.

Zaměstnanecká rada je povinná v podniku, který obvykle zaměstnává alespoň 50 lidí (článek 2 WOR). Pokud rada odmítne udělit souhlas, může zaměstnavatel požádat okresní soud (kantonrechter) o povolení, které se udělí pouze tehdy, je-li odmítnutí nepřiměřené nebo je-li rozhodnutí vyžadováno závažnými obchodními důvody (článek 27(4) WOR).

Vynechání tohoto kroku má vážné důsledky. Podle článku 27(5) zákona o zaměstnanosti je rozhodnutí přijaté bez souhlasu neplatné, pokud se rada zaměstnanců písemně dovolá neplatnosti do jednoho měsíce od doby, kdy byla o rozhodnutí informována nebo se dozvěděla, že je uplatňováno.

Záleží na tom, čí je to telefon?

Méně, než si zaměstnavatelé myslí. Důležitá je povaha komunikace a to, co můžete rozumně očekávat, ačkoli vlastnictví ovlivňuje to, k čemu má zaměstnavatel prakticky přístup.

Soukromý telefon

Zaměstnavatel nemá právo přístupu k vašemu soukromému telefonu. Nemůže po vás požadovat, abyste mu telefon předali, odemkli nebo nainstalovali software bez vašeho souhlasu, a odmítnutí je uplatněním práva, nikoli mařením vyšetřování. Přístup k materiálům na soukromém zařízení je možný pouze na základě pravomocí pro vyšetřování trestné činnosti nebo soudního příkazu.

Firemní telefon

Pokud je soukromé použití povoleno, ať už výslovně nebo v praxi, máte rozumné očekávání soukromí v soukromých konverzacích na daném telefonu. Zprávy WhatsApp jsou šifrovány end-to-end, takže si je zaměstnavatel nemůže přečíst v podnikové síti nebo Wi-Fi, ale na spravovaném telefonu může IT oddělení vidět nainstalované aplikace, zálohy nebo s telefonem v ruce historii chatu. Z právního hlediska se zaměstnavatel může dívat pouze na to, co potřebuje pro definovaný a legitimní účel.

Přineste si vlastní zařízení a WhatsApp Web

Pokud používáte v práci svůj vlastní telefon, měl by být přístup zaměstnavatele omezen na samostatné spravované pracovní prostředí, jako je firemní e-mailový účet a pracovní aplikace. Před instalací softwaru pro správu mobilních zařízení se písemně zeptejte, co software vidí, zda vzdálené mazání ovlivňuje soukromá data a co se stane, když odejdete. Na pracovním počítači může být WhatsApp Web viditelný prostřednictvím monitorování obrazovky nebo jiných IT nástrojů.

Je obchodní chat zacházeno jinak?

Ano. Zpráva ve firemní skupině WhatsApp o klientovi nebo v chatovacím nástroji na pracovišti je obchodní komunikací v systémech, které zaměstnavatel kontroluje, a v některých odvětvích musí být z regulačních důvodů uchovávána.

Stále platí stejné principy GDPR: definovaný účel, ne více dat, než je potřeba, transparentnost ohledně toho, co se zaznamenává, a pravidlo pro soukromé záležitosti, které se objevují v pracovních kanálech. Kolegové, kteří v pracovní skupině diskutují o narozeninovém dárku, se svého soukromého života nevzdali, ale udržení soukromých rozhovorů mimo pracovní kanály posiluje vaši pozici.

Kdy si může zaměstnavatel prohlížet zprávy?

Teprve po konkrétním podezření ze závažného pochybení, po zahájení vyšetřování, které začíná nejméně rušivým krokem, a po úzkém, zdokumentovaném prohledávání. Skryté sledování bez předchozího upozornění je možné pouze ve výjimečných případech, po omezenou dobu, a musíte být následně informováni.

Příklad pro ilustraci: zaměstnavatel má podezření, že zaměstnanec předává klientské soubory konkurenci. Právní vyšetřování nejprve zkoumá, které soubory byly staženy, kdy a z jakého účtu. Pouze pokud to neodpoví na otázku, může zaměstnavatel definovat omezené období a kanál na svém vlastním zařízení, nechat malou skupinu provést prohledání a zaznamenat její zdůvodnění a poté vyslechnout zaměstnance. Instalace monitorovacího softwaru na telefony celého oddělení a čtení měsíců konverzací selhává v každém testu, i když nalezne důkazy.

Když kolega předá zprávy

Zaměstnavatel obvykle vůbec nic nevyhledává: kolega přepošle snímek obrazovky. Zaměstnavatel pak informace obdržel, nikoli k nim měl přístup, ale od tohoto okamžiku zpracovává osobní údaje a musí mít stále oprávněný zájem a omezit jejich použití na to, co tento zájem vyžaduje.

Příjemce má obecně právo zprávu předat dál, takže argument, že ji zaměstnavatel získal nezákonně, jen zřídka obstojí. Co můžete argumentovat, je kontext: čtyři zprávy z dlouhé výměny poskytují jen částečný obraz. Zaměstnavatel, který reaguje na snímek obrazovky, aniž by si vyžádal celý rozhovor a vyslechl vás, neprovedl řádné prošetření.

Situace, které se často pokazí

• Nemoc: kontrola zpráv nebo sociálních médií za účelem ověření, zda jste skutečně nemocní, znamená zpracování zdravotních údajů, což zaměstnavatel dělat nesmí; otázky týkající se nemoci patří firemnímu lékaři.
• Podezřelé vedlejší aktivity: čtení zpráv téměř nikdy není nejméně rušivým způsobem, jak zjistit, co někdo dělá ve svém volném čase.
• Eskalovaný konflikt nebo reorganizace: prohledávání komunikací kvůli munici bude soudem považováno za vytváření spisu, nikoli za vyšetřování incidentu.

Mohou být nezákonně získané zprávy použity proti vám?

Často ano. V nizozemských občanskoprávních řízeních, včetně pracovních sporů, jsou důkazy získané v rozporu s pravidly ochrany soukromí vyloučeny pouze za výjimečných okolností, protože obvykle převažuje zájem na zjištění pravdy.

Porušení stále hraje roli. Může podpořit samostatný nárok na náhradu škody, ovlivňuje, jak soud vnímá zaměstnavatele, a v případě propuštění se může započítat do závažného zavinění (ernstig verwijtbaar handelen) ze strany zaměstnavatele, což může vést ke spravedlivému odškodnění (billijke vergoeding). Náš článek o zkráceném propuštění na základě zpráv WhatsApp vysvětluje, jak to probíhá.

Co můžete dělat, když si váš zaměstnavatel přečetl vaše zprávy?

Nic nemažte a nejprve zjistěte, co se přesně stalo. Smazání zpráv po vzniku sporu se jeví jako zatajování a může být použito proti vám.

Zeptejte se písemně svého zaměstnavatele, na jakém základě byly zprávy zpřístupněny, k čemu byly zpřístupněny, kým, kdy a za jakým účelem. Podejte žádost o přístup podle článku 15 GDPR; zaměstnavatel musí odpovědět do jednoho měsíce, v případě složitých žádostí lze tuto lhůtu prodloužit o dva měsíce (článek 12(3) GDPR).

Pak si zvolte cestu. Nejrychlejší je interní stížnost zaměstnavateli nebo pověřenci pro ochranu osobních údajů. Pokud problém spočívá v samotném monitorovacím systému, je tím správným orgánem rada zaměstnanců. Stížnost u pověřence pro ochranu osobních údajů je zdarma, ale pověřenec pro ochranu osobních údajů sám rozhodne, zda bude případ vyšetřovat, a nepřizná odškodnění. Chcete-li získat odškodnění nebo příkaz k zastavení činnosti, obraťte se na občanskoprávní soud; článek 82 GDPR dává právo na odškodnění, ale nizozemské soudy přiznávají zablokované částky za nemajetkovou újmu a vyžadují, abyste svou ztrátu doložili. Náš přehled práv zaměstnanců v Nizozemsku představuje širší situaci.

Co byste si jako zaměstnanec měli ověřit?

• Přečtěte si zásady IT a monitorování nyní, než nastane problém.
• Veďte soukromé konverzace ve svém vlastním telefonu, mimo firemní zařízení a sítě.
• Zkontrolujte, zda se pracovní chaty nezálohují do vašeho osobního cloudu nebo zda se pracovní aplikace nesynchronizují častěji, než je plánováno.
• Pokud budete požádáni o odemčení telefonu, zeptejte se, na jakém základě, co bude kontrolováno a kým, a odpověď písemně potvrďte.
• Než si nainstalujete software pro správu do svého telefonu, zeptejte se, co telefon vidí a co se stane, když odejdete.
• Pokud si vaše zprávy někdo přečetl, odešlete žádost o přístup dle článku 15 GDPR a uschovejte si veškerou korespondenci.

Co byste si jako zaměstnavatel měli ověřit?

• Mějte písemné zásady, které uvádějí, co je monitorováno, proč, kým a jak dlouho jsou data uchovávána.
• Před zavedením monitorování si zajistěte a zaznamenejte souhlas rady zaměstnanců podle článku 27(1)(k) a (l) WOR.
• Provést posouzení vlivu na ochranu osobních údajů (DPIA) podle článku 35 GDPR, pokud je monitorování systematické nebo rozsáhlé.
• Pokud dojde k incidentu, nejprve vyčerpejte objektivní zdroje a písemně definujte rozsah vyhledávání zpráv.
• Než vyvodíte závěry, vyslechněte si zaměstnance a materiál smažte, jakmile splní svůj účel.
• Neberte vlastnictví zařízení jako oprávnění číst vše, co je na něm uloženo. Náš průvodce Nizozemský zákon o ochraně osobních údajů pokrývá související závazky.

Co pro vás můžeme udělat s monitorováním pracoviště?

Naši právníci v oblasti pracovního práva radí zaměstnancům i zaměstnavatelům ohledně čtení zpráv v práci:

• Posuzujeme, zda byl přístup vašeho zaměstnavatele k vašim zprávám zákonný podle GDPR a článku 8 EÚLP.
• Vypracujeme vaši žádost o přístup dle článku 15 GDPR a následně ji vyřídíme do uplynutí jednoměsíční lhůty.
• Vypracujeme nebo zkontrolujeme politiku monitorování a IT a připravíme žádost o souhlas pro radu zaměstnanců.
• Provedli jsme podrobné a zdokumentované interní vyšetřování, které respektuje nezbytnost a přiměřenost.
• Pokud monitorování vedlo k propuštění, řešíme případ propuštění a stížnost na porušení soukromí společně.
• Podáme stížnost u AP nebo zahájíme řízení o příkaz k zastavení činnosti a odškodnění.

Shrnutí

• Zaměstnavatel si může číst zprávy WhatsApp pouze s oprávněným zájmem, pokud je to nezbytné a přiměřené, a poté, co to oznámí v zásadách.
• Souhlas zaměstnance téměř nikdy není platným základem pro monitorování.
• Monitorovací opatření vyžadují souhlas rady zaměstnanců podle článku 27(1)(k) a (l) WOR; bez něj mohou být neplatná.
• Nikdy nemusíte odemykat svůj soukromý telefon; na firemním telefonu je povolena pouze definovaná, omezená kontrola.
• Nezákonně získané zprávy mohou být stále použity u soudu, ale porušení může vést k náhradě škody nebo být započítáno proti zaměstnavateli.

Často kladené otázky