Zamestnávateľ môže kontrolovať používanie firemného počítača a pracovnej e-mailovej schránky, no iba za podmienok stanovených Zákonníkom práce a pravidlami ochrany osobných údajov. Kontrola musí súvisieť s oprávneným záujmom firmy, napríklad s ochranou firemných dát, bezpečnosťou siete alebo preverovaním porušenia pracovných povinností.
Slovenský Zákonník práce v § 13 zakazuje zamestnávateľovi bez vážnych dôvodov sledovať zamestnanca, kontrolovať jeho elektronickú poštu odoslanú a prijatú z pracovného počítača alebo čítať obsah listových zásielok adresovaných zamestnancovi. Ak firma kontrolu zavedie, musí zamestnancov vopred informovať o jej rozsahu, spôsobe a trvaní.
Čo smie firma sledovať
V praxi firma sleduje najmä prihlásenia do systému, používanie firemnej siete, návštevy internetových stránok, sťahovanie súborov alebo odosielanie veľkých objemov dát. Bezpečnostné systémy môžu zaznamenať aj pokusy o prístup k zakázaným stránkam či pripojenie neautorizovaného zariadenia.
Samotný fakt, že počítač patrí firme, však neznamená, že zamestnávateľ smie bez obmedzení čítať všetko, čo sa na ňom nachádza. Iné pravidlá sa týkajú technických záznamov o prevádzke siete a iné obsahu konkrétnej správy. Čítanie e-mailov je zásah do súkromia, preto musí mať konkrétny dôvod a nesmie slúžiť iba na zvedavosť nadriadeného.
Firma má zamestnancov oboznámiť s internými pravidlami. V nich by malo byť uvedené, či je povolené súkromné používanie firemnej techniky, aké stránky a služby sú zakázané, kto má k záznamom prístup a ako dlho sa údaje uchovávajú. Ak pravidlá hovoria iba všeobecne o „kontrole činnosti“, osobne by som si vypýtala presnejšie vysvetlenie.
Znám prípad z pracovného prostredia, kde vedúci otvoril schránku kolegyne po jej odchode z firmy a prečítal si aj správy označené ako súkromné. Firma tvrdila, že schránka bola pracovná, no problém vznikol práve preto, že nemala jasne nastavený postup pri odovzdávaní agendy a rozlíšení súkromnej komunikácie. Technický prístup ešte automaticky neznamená právo čítať každý obsah.
Kedy už kontrola prekračuje hranicu
Rizikové je nepretržité sledovanie obrazovky, tajné nahrávanie stlačení klávesov, kopírovanie obsahu súkromných správ alebo monitorovanie mimo pracovného času. Takéto nástroje zasahujú do súkromia oveľa výraznejšie než záznam o tom, že sa zariadenie pripojilo do firemnej siete.
Zamestnávateľ musí zvoliť najmenej invazívny spôsob kontroly. Ak mu na ochranu systému stačí zablokovať škodlivé stránky a evidovať bezpečnostné incidenty, nemal by ukladať kompletnú históriu každej navštívenej stránky ani čítať všetku komunikáciu. Pri rozsiahlejšom monitorovaní prichádza do úvahy aj posúdenie vplyvu na ochranu osobných údajov.
GDPR pritom neudeľuje firme univerzálnu licenciu na sledovanie zamestnancov. Zamestnávateľ musí mať právny základ, jasný účel a primeraný rozsah spracúvania. Súhlas zamestnanca býva v pracovnom vzťahu problematický, pretože zamestnanec nemusí byť voči zamestnávateľovi v rovnocennom postavení.
Pri pracovnej e-mailovej schránke treba rozlišovať medzi adresou a obsahom správ. Firma môže nastaviť automatickú antivírusovú kontrolu, filtrovanie príloh alebo archiváciu pracovnej komunikácie, ak o tom zamestnancov informovala. Neriskovala by som však odosielanie osobných údajov, zdravotných správ či súkromnej korešpondencie cez firemnú schránku, aj keď to interné pravidlá výslovne nezakazujú.
Ak zamestnanec zistí neohlásené monitorovanie, môže si najskôr vyžiadať informácie od zamestnávateľa, zástupcov zamestnancov alebo odborovej organizácie. Pri podozrení na porušenie pravidiel ochrany osobných údajov prichádza do úvahy aj podnet na Úrad na ochranu osobných údajov Slovenskej republiky. Pracovnoprávny spor sa môže riešiť cez inšpektorát práce alebo súd, podľa toho, čo presne firma urobila.
Tu si nie som istá pri každom technickom nástroji, pretože rozhoduje jeho konkrétne nastavenie: inak vyzerá anonymizovaný súhrn o vyťažení siete a inak program, ktorý ukladá každé stlačenie klávesu. Pri posudzovaní by som sa nepozerala iba na názov aplikácie, ale na to, aké údaje zbiera, kto ich vidí a ako dlho zostávajú uložené.
Čo si skontrolovať ako zamestnanec
Prvým miestom je pracovná zmluva, interná smernica o používaní informačných technológií a dokument o ochrane osobných údajov. Zamestnanec má právo vedieť, či firma zaznamenáva webovú aktivitu, používa kameru, kontroluje USB zariadenia alebo archivuje e-mailovú komunikáciu.
Ak firma monitorovanie oznámila, ale jeho rozsah je nejasný, otázky treba položiť písomne. Zamestnanec si tým vytvorí záznam o tom, že sa o pravidlá zaujímal. Mazanie pracovných súborov, obchádzanie bezpečnostných systémov alebo inštalovanie súkromných programov by som na firemnom počítači neriskovala, najmä ak interná smernica také konanie zakazuje.
Najväčší problém býva vtedy, keď firma formálne povie, že kontroluje iba bezpečnosť, ale v skutočnosti sleduje každú minútu práce a číta osobnú komunikáciu. V takom prípade nejde len o technickú otázku, ale aj o spôsob, akým zamestnávateľ zaobchádza s ľuďmi.
Na pracovnom počítači by som si preto nechávala iba to, čo súvisí s prácou, a súkromné správy by som písala zo svojho zariadenia.