Darbdaviai vis dažniau pažeidžia darbuotojų teisę į asmens duomenų apaugą

Lietuvoje darbdaviai neretai pažeidžia darbuotojų teisę į asmens duomenų apsaugą. Tokias tendencijas pastebi Valstybinė duomenų apsaugos inspekcija (toliau – VDAI), sulaukianti vis daugiau visuomenės signalų dėl žmogaus teisių pažeidimų darbovietėse.

Ar darbdaviai piktnaudžiauja darbuotojų pasitikėjimu?

Reprezentatyvių Lietuvos gyventojų apklausų duomenys rodo, kad žmonių pasitikėjimas darbdaviais, kaip duomenų valdytojais, didėja: 2006 m. – 48 proc., 2008 m. – 50 proc., 2010 m. – 54 proc., 2014 m. – 70 proc. („Vilmorus“ ir „Spinter tyrimai“ duomenys). Iš apklausų matyti, kad darbuotojai norėtų kliautis darbdaviais, kaip tinkamais duomenų valdytojais. Nepaisant to, neretai darbdaviai šį darbuotojų pasitikėjimą pamina slapta filmuodami, slapta stebėdami darbuotojų elektroninę komunikaciją, be pagrindo įdiegdami įrangą, tvarkančią biometrinius duomenis, išbandydami ją su darbuotojais tiesiog sekdami naujausių technologijų madomis.

Darbuotojams sunku apginti savo teises, nes bijo prarasti darbą

Darbuotojas turi teisę pateikti VDAI skundą dėl darbdavio veiksmų, kuriais yra pažeidžiamos duomenų subjekto teisės ar asmens duomenys yra tvarkomi netinkamai. Tačiau VDAI gauna vos vieną kitą oficialų skundą dėl asmens duomenų apsaugos ir darbinių santykių, nes tiriant tokį skundą turi būti žinoma jį pateikusiojo tapatybė. Nėra galimybės tirti anoniminį skundą dėl asmens duomenų pažeidimų. VDAI susirūpinusi, kad skundą dėl darbo santykių asmenys ryžtasi pateikti ir taip ieškoti pagalbos ginant savo teises tik tuomet, kai gresia atleidimas ar jau yra atleidžiami iš darbo.

Darbuotojo asmens duomenys turi būti tvarkomi laikantis įstatymų

Darbdavys darbuotojo asmens duomenis privalo tvarkyti vadovaudamasis Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu (toliau – ADTAĮ). Darbdavys turi užtikrinti tvarkomų asmens duomenų saugumą nuo neteisėto atskleidimo ar bet kokio kito neteisėto tvarkymo, o darbuotojų asmens duomenų tvarkymas (tvarkymo tikslai, baigtinis tvarkomų asmens duomenų sąrašas kiekvienam asmens duomenų tvarkymo tikslui, asmens duomenų saugojimo terminai ir veiksmai, kurie atliekami pasibaigus šiam terminui, asmens duomenų gavimo ir teikimo tvarka, duomenų subjektų teisių įgyvendinimas ir kt.) turi būti reglamentuotas darbdavio patvirtintame vidaus teisės akte (asmens duomenų tvarkymo taisyklėse ar kt.). ADTAĮ nuostatomis darbdavys vadovaujasi tvarkydamas darbuotojo duomenis vidaus administravimo tikslais nepranešęs VDAI, tačiau, jeigu darbuotojo duomenys tvarkomi kitu tikslu, darbdavys apie tai privalo pranešti VDAI ir registruotis Asmens duomenų valdytojų valstybės registre.

Vaizdo stebėjimas darbo vietoje

Registruotis privalu norint vykdyti vaizdo stebėjimą, tačiau reikėtų atkreipti dėmesį, kad darbo vietoje vaizdo stebėjimas gali būti vykdomas tik tuomet, kai dėl darbo specifikos būtina užtikrinti asmenų, turto ar visuomenės saugumą. Apie vaizdo stebėjimą darbuotojai turi būti informuoti pasirašytinai, pateikiant informaciją apie duomenų valdytojo tapatybę, vaizdo stebėjimo tikslus, duomenų subjekto teisę susipažinti su vaizdo duomenimis. Darbdavys turi pareigą įgyvendinti darbuotojo teisę susipažinti su savo vaizdo duomenimis (peržiūrėti vaizdo įrašą, gauti jo kopiją išorinėje laikmenoje). Darbuotojo neturi būti klausiama apie tokio prašymo tikslus ar motyvus.

Vaizdo stebėjimas negali būti vykdomas patalpose, kur asmuo tikisi didesnės privatumo apsaugos, pvz., tualetai, persirengimo patalpos ir kabinos, taip pat laisvalaikiui, poilsiui, pietavimui skirtos erdvės.

Elektroninės komunikacijos stebėjimas

Pastaruoju metu vis daugiau darbdavių tvarko elektroninės komunikacijos darbo vietoje duomenis – darbuotojo naršymo internete istoriją, elektroninio pašto, įskaitant pranešimų turinį, duomenis. Tokiam duomenų tvarkymui taikomi ADATAĮ įtvirtinti reikalavimai. Darbdaviui privalu apibrėžti tokio asmens duomenų tvarkymo tikslus ir įvertinti, ar tokių duomenų tvarkymas yra būtina priemonė, t. y., ar tikrai nepakanka mažiau privatumą varžančių prevencinių priemonių, pvz., galimybės naršyti internete ribojimas. Jei vis dėlto tokia priemonė būtina, darbdavys turi nuspręsti, ar jis apskritai leidžia darbdavio suteiktas priemones (kompiuterį, telefono aparatą ir pan.) naudoti asmeniniais tikslais, ir tai įtvirtinti įmonės vidaus teisės akte. Tuo atveju, jei minėtas priemones leidžiama naudoti asmeniniais tikslais, asmeninio susirašinėjimo turinio ir su tuo susijusių duomenų darbdavys neturi teisės perimti. Darbuotojo susirašinėjimas ir kiti duomenys, susiję su jo darbinių funkcijų vykdymu, galėtų būti peržiūrimi, tačiau ši procedūra turi būti aiškiai reglamentuota įmonės vidaus teisės akte – nustatytas aiškus ir apibrėžtas tikslas, tvarkomų asmens duomenų apimtis, kas, kokiais atvejais ir kokia tvarka galės prieiti prie saugomų duomenų, darbuotojo, kaip duomenų subjekto, teisių įgyvendinimas ir kt., o darbuotojai turi būti supažindinti su šiuo teisės aktu.

Štai 2016 m. sausio 12 d. Europos Žmogaus Teisių Teismas, išnagrinėjęs bylą Bărbulescu v. Romania, nusprendė, kad darbuotojo veikla internete buvo stebima teisėtai ir jis iš darbo atleistas pagrįstai, nes naudodamas darbdavio, privačios bendrovės, internetą asmeniniais tikslais darbo metu pažeidė vidaus taisykles. Tačiau reikėtų atkreipti dėmesį, kad šiuo atveju buvo fiksuojamas pats faktas, jog vyksta asmeninis susirašinėjimas, tačiau turinys nebuvo peržiūrimas.

Slaptas asmens duomenų rinkimas iš elektroninės komunikacijos priemonių neatitinka ADTAĮ reikalavimų. Apie elektroninės komunikacijos darbo vietoje duomenų tvarkymą būtina pranešti VDAI. Tokius atvejus VDAI labai atidžiai vertina ir atsižvelgia, kad bendrovių nurodyti tikslai būtų tesėti, svarbūs, pagrįsti ir proporcingi., pvz., darbuotojas dirba su didelėmis duomenų bazėmis, labai svarbia, konfidencialia informacija ir pan.

Asmens duomenų tvarkymas negali būti grindžiamas darbuotojo sutikimu

VDAI, atlikdama duomenų valdytojų tikrinimus, konsultuodama, atkreipė dėmesį, kad darbuotojo asmens duomenų tvarkymo teisėtumą darbdaviai dažnai grindžia darbuotojo sutikimu. Tačiau juk daugeliu atvejų darbuotojo asmens duomenų tvarkymas atliekamas remiantis įstatymų reikalavimais, siekiant teisėtų darbdavio, o ne darbuotojo, interesų, todėl darbuotojo sutikimo negali būti prašoma. Net ir tais atvejais, kai galėtų būti pagrįsta remtis darbuotojo sutikimu, reikia įvertinti, ar sutikimas tikrai bus duotas laisva valia, t. y., ar darbuotojo apsisprendimui neturi įtakos kokios nors jam nepalankios aplinkybės, pasekmės, pvz., atleidimas iš darbo, nes darbuotojas yra silpnesnioji darbo santykių šalis.