Ano, v rozsahu osobních údajů, které o něm zpracováváte. Důvod žádosti včetně chystaného sporu neposuzujete. Celou e-mailovou schránku předávat nemusíte, dostane však věrnou a srozumitelnou kopii svých údajů a tam, kde je to pro jejich pochopení nezbytné, i výpisy nebo celé dokumenty. Údaje kolegů, klientů a obchodní tajemství můžete chránit začerněním. Pro odmítnutí celé žádosti dává GDPR jen úzký prostor. Odpovědět je třeba bez zbytečného odkladu a do měsíce od doručení žádosti. U složité žádosti lze lhůtu s oznámením prodloužit.
Pracovní poměr skončil a o několik týdnů později přijde od bývalého zaměstnance žádost o „všechny osobní údaje včetně e-mailů“. Ze žádosti vyplývá, že shromažďuje podklady pro žalobu, například na neplatnost výpovědi. Právo na přístup podle čl. 15 nařízení (EU) 2016/679 (dále GDPR) však na důvodu žádosti nezávisí, proto je třeba ji vyřídit. Rozsah odpovědi se přitom řídí tím, jaké osobní údaje o něm firma zpracovává.
Motiv žádosti neposuzujete
Soudní dvůr EU v rozsudku ze dne 26. října 2023 ve věci C-307/22 (FT proti DW) rozhodl, že GDPR nepodmiňuje poskytnutí první kopie uvedením důvodu a správce jej nemůže vyžadovat. Žádost nelze odmítnout ani proto, že sleduje jiný cíl než kontrolu zákonnosti zpracování. Pacient v této věci žádal kopii zdravotnické dokumentace, aby mohl uplatnit nárok vůči zubní lékařce. Evropský sbor pro ochranu osobních údajů v pokynech 01/2022 k právu na přístup uvádí přímo příklad propuštěného zaměstnance, který shromažďuje důkazy pro žalobu, a dodává, že zaměstnavatel jeho úmysl neposuzuje.
První kopie je bezplatná. Kromě poplatku za další kopie dovoluje GDPR žádost zpoplatnit nebo odmítnout jen tehdy, je-li zjevně nedůvodná nebo nepřiměřená, zejména kvůli jejímu opakování, a tuto povahu musí prokázat správce (čl. 12 odst. 5). Podle sboru je u žádosti o přístup prostor pro námitku zjevné nedůvodnosti velmi úzký.
Co musí odpověď obsahovat
Zaměstnanec má právo na potvrzení, zda jeho údaje zpracováváte, na přístup k nim a na informace o účelech, kategoriích údajů, příjemcích, době uchovávání, zdroji, o svých právech a o případném automatizovaném rozhodování (čl. 15 odst. 1). Pokud žádost přišla elektronicky, odpovídáte v běžně používané elektronické podobě, pokud zaměstnanec nepožádal o jiný způsob (čl. 15 odst. 3). Součástí odpovědi je i kopie údajů:
Citace v původním znění:
Prevádzkovateľ poskytne kópiu osobných údajov, ktoré sa spracúvajú.
Pojem kopie se podle Soudního dvora vztahuje na osobní údaje, které dokumenty obsahují. Kopie musí být úplná, věrná a srozumitelná. Je-li pro pochopení údajů nezbytný kontext, patří do ní i výpisy z dokumentů nebo celé dokumenty (C-307/22, body 72 až 75, s odkazem na rozsudek C-487/21 ze dne 4. května 2023). U e-mailů to znamená osobní údaje zaměstnance ve zprávách, které psal, dostal nebo ve kterých se o něm hovoří, nikoli automaticky celý obsah pracovní schránky. Sbor v pokynech přijatých před rozsudkem připouští, že e-maily není třeba vždy přeposílat v původní podobě a korespondenci s údaji zaměstnance lze sestavit do jednoho souboru, pokud se její obsah nezmění. Tam, kde by bez kontextu nebyla srozumitelná, poskytněte výpisy nebo celé zprávy.
Pokud o zaměstnanci zpracováváte velké množství informací, můžete jej požádat, aby upřesnil, kterých údajů nebo činností se žádost týká (bod odůvodnění 63 GDPR). Sbor upozorňuje, že upřesnění nesmí sloužit k zúžení odpovědi. Pokud zaměstnanec potvrdí, že žádá všechny údaje, je třeba mu je poskytnout v plném rozsahu. Se žádostí o upřesnění mu proto popište, ve kterých systémech a agendách se jeho údaje nacházejí.
Co můžete chránit
Právo na kopii nesmí nepříznivě zasáhnout do práv a svobod jiných (čl. 15 odst. 4). Bod odůvodnění 63 výslovně zmiňuje obchodní tajemství a duševní vlastnictví, sbor k nim přidává osobní údaje jiných lidí, například kolegů a klientů, a důvěrnost korespondence. Podle sboru obecná obava nestačí. Firma musí být schopna prokázat konkrétní zásah. Ochrana jiných má vést k začernění, nikoli k odmítnutí celé odpovědi. Samotný ekonomický zájem firmy údaje neposkytnout důvodem není.
Lhůty a rozdíl mezi Slovenskem a Českem
Informace o vyřízení žádosti poskytnete bez zbytečného odkladu, nejpozději do 1 měsíce od jejího doručení. U složité žádosti nebo při větším počtu žádostí lze lhůtu prodloužit o další 2 měsíce. O prodloužení a jeho důvodech však musíte zaměstnance informovat do 1 měsíce (čl. 12 odst. 3). Pokud žádosti nevyhovíte, oznámíte mu ve stejné lhůtě důvody a možnost podat stížnost úřadu a obrátit se na soud (čl. 12 odst. 4).
Slovenský zákon č. 18/2018 Z. z. běžné firmě další omezení práva na přístup nedává. Jeho § 30 o omezení práv subjektu údajů je ve druhé části, která se na zpracování podle GDPR nevztahuje (§ 3 odst. 2 zákona č. 18/2018 Z. z.). Český zákon č. 110/2019 Sb. umožňuje práva podle čl. 12 až 22 GDPR uplatnit přiměřeně nebo jejich splnění odložit, je-li to nezbytné a přiměřené k zajištění chráněného zájmu. Mezi takové zájmy řadí i ochranu práv a svobod osob a vymáhání soukromoprávních nároků (§ 11 odst. 1 a § 6 odst. 2 zákona č. 110/2019 Sb.) a omezení je třeba bez zbytečného odkladu oznámit úřadu (§ 11 odst. 2). Zda se na tuto výjimku může firma odvolat při žádosti zaměstnance, který chystá žalobu, je věcí výkladu konkrétního případu.
Žádost s vámi projdeme, pomůžeme zmapovat, kde jsou údaje zaměstnance uloženy, připravíme odpověď se všemi povinnými informacemi a navrhneme, co a proč začernit. Postup vyřizování žádostí subjektů údajů nastavíme v rámci služby GDPR a ochrana osobních údajů. Pokud chcete, aby žádosti průběžně přijímal a vyřizoval externí odborník, podívejte se na službu pověřenec pro ochranu osobních údajů (DPO).
Odpověď je obecnou informací k právnímu stavu k 3. 10. 2026 — nejde o právní službu ani náhradu posouzení konkrétního případu. Vaše situace se může v detailech lišit; pokud si chcete být jistí, projděme ji společně při konzultaci.
