Áno, v rozsahu osobných údajov, ktoré o ňom spracúvate. Dôvod žiadosti vrátane chystaného sporu neposudzujete. Celú e-mailovú schránku odovzdávať nemusíte, dostane však vernú a zrozumiteľnú kópiu svojich údajov a tam, kde je to na ich pochopenie nevyhnutné, aj výpisy alebo celé dokumenty. Údaje kolegov, klientov a obchodné tajomstvo môžete chrániť začiernením. Na odmietnutie celej žiadosti dáva GDPR len úzky priestor. Odpovedať treba bez zbytočného odkladu a do mesiaca od doručenia žiadosti. Pri zložitej žiadosti možno lehotu s oznámením predĺžiť.
Pracovný pomer sa skončil a o niekoľko týždňov príde od bývalého zamestnanca žiadosť o „všetky osobné údaje vrátane e-mailov“. Zo žiadosti vyplýva, že zbiera podklady na žalobu, napríklad o neplatnosť výpovede. Právo na prístup podľa čl. 15 nariadenia (EÚ) 2016/679 (ďalej GDPR) však od dôvodu žiadosti nezávisí, preto ju treba vybaviť. Rozsah odpovede sa pritom riadi tým, aké osobné údaje o ňom firma spracúva.
Motív žiadosti neposudzujete
Súdny dvor EÚ v rozsudku z 26. októbra 2023 vo veci C-307/22 (FT proti DW) rozhodol, že GDPR nepodmieňuje poskytnutie prvej kópie uvedením dôvodu a prevádzkovateľ ho nemôže vyžadovať. Žiadosť nemožno odmietnuť ani preto, že sleduje iný cieľ než kontrolu zákonnosti spracúvania. Pacient v tej veci žiadal kópiu zdravotnej dokumentácie, aby mohol uplatniť nárok voči zubnej lekárke. Európsky výbor pre ochranu údajov v usmerneniach 01/2022 k právu na prístup uvádza priamo príklad prepusteného zamestnanca, ktorý zbiera dôkazy na žalobu, a dodáva, že zamestnávateľ jeho úmysel neposudzuje.
Prvá kópia je bezplatná. Okrem poplatku za ďalšie kópie dovoľuje GDPR žiadosť spoplatniť alebo odmietnuť len vtedy, ak je zjavne neopodstatnená alebo neprimeraná, najmä pre jej opakovanie, a túto povahu musí preukázať prevádzkovateľ (čl. 12 ods. 5). Podľa výboru je pri žiadosti o prístup priestor na námietku zjavnej neopodstatnenosti veľmi úzky.
Čo musí odpoveď obsahovať
Zamestnanec má právo na potvrdenie, či jeho údaje spracúvate, na prístup k nim a na informácie o účeloch, kategóriách údajov, príjemcoch, dobe uchovávania, zdroji, o svojich právach a o prípadnom automatizovanom rozhodovaní (čl. 15 ods. 1). Ak žiadosť prišla elektronicky, odpovedáte v bežne používanej elektronickej podobe, ak zamestnanec nepožiadal o iný spôsob (čl. 15 ods. 3). Súčasťou odpovede je aj kópia údajov:
Prevádzkovateľ poskytne kópiu osobných údajov, ktoré sa spracúvajú.
Pojem kópia sa podľa Súdneho dvora vzťahuje na osobné údaje, ktoré dokumenty obsahujú. Kópia musí byť úplná, verná a zrozumiteľná. Ak je na pochopenie údajov nevyhnutný kontext, patria do nej aj výpisy z dokumentov alebo celé dokumenty (C-307/22, body 72 až 75, s odkazom na rozsudok C-487/21 zo 4. mája 2023). Pri e-mailoch to znamená osobné údaje zamestnanca v správach, ktoré písal, dostal alebo v ktorých sa o ňom hovorí, nie automaticky celý obsah pracovnej schránky. Výbor v usmerneniach prijatých pred rozsudkom pripúšťa, že e-maily netreba vždy preposielať v pôvodnej podobe a korešpondenciu s údajmi zamestnanca možno zostaviť do jedného súboru, ak sa jej obsah nezmení. Kde by bez kontextu nebola zrozumiteľná, poskytnite výpisy alebo celé správy.
Ak o zamestnancovi spracúvate veľké množstvo informácií, môžete ho požiadať, aby spresnil, ktorých údajov alebo činností sa žiadosť týka (odôvodnenie 63 GDPR). Výbor upozorňuje, že spresnenie nesmie slúžiť na zúženie odpovede. Ak zamestnanec potvrdí, že žiada všetky údaje, treba mu ich poskytnúť v plnom rozsahu. So žiadosťou o spresnenie mu preto opíšte, v ktorých systémoch a agendách sa jeho údaje nachádzajú.
Čo môžete chrániť
Právo na kópiu nesmie mať nepriaznivé dôsledky na práva a slobody iných (čl. 15 ods. 4). Odôvodnenie 63 výslovne spomína obchodné tajomstvo a duševné vlastníctvo, výbor k nim pridáva osobné údaje iných ľudí, napríklad kolegov a klientov, a dôvernosť korešpondencie. Podľa výboru všeobecná obava nestačí. Firma musí vedieť preukázať konkrétny zásah. Ochrana iných má viesť k začierneniu, nie k odmietnutiu celej odpovede. Samotný ekonomický záujem firmy údaje neposkytnúť dôvodom nie je.
Lehoty a rozdiel medzi Slovenskom a Českom
Informácie o vybavení žiadosti poskytnete bez zbytočného odkladu, najneskôr do 1 mesiaca od jej doručenia. Pri zložitej žiadosti alebo pri väčšom počte žiadostí možno lehotu predĺžiť o ďalšie 2 mesiace. O predĺžení a jeho dôvodoch však musíte zamestnanca informovať do 1 mesiaca (čl. 12 ods. 3). Ak žiadosti nevyhoviete, oznámite mu v rovnakej lehote dôvody a možnosť podať sťažnosť úradu a obrátiť sa na súd (čl. 12 ods. 4).
Slovenský zákon č. 18/2018 Z. z. bežnej firme ďalšie obmedzenie práva na prístup nedáva. Jeho § 30 o obmedzení práv dotknutej osoby je v druhej časti, ktorá sa na spracúvanie podľa GDPR nevzťahuje (§ 3 ods. 2 zákona č. 18/2018 Z. z.). Český zákon č. 110/2019 Sb. umožňuje práva podľa čl. 12 až 22 GDPR uplatniť primerane alebo ich splnenie odložiť, ak je to nevyhnutné a primerané na zabezpečenie chráneného záujmu. Medzi také záujmy radí aj ochranu práv a slobôd osôb a vymáhanie súkromnoprávnych nárokov (§ 11 ods. 1 a § 6 ods. 2 zákona č. 110/2019 Sb.) a obmedzenie treba bez zbytočného odkladu oznámiť úradu (§ 11 ods. 2). Či sa na túto výnimku môže firma odvolať pri žiadosti zamestnanca, ktorý chystá žalobu, je vecou výkladu konkrétneho prípadu.
Žiadosť s vami prejdeme, pomôžeme zmapovať, kde sú údaje zamestnanca uložené, pripravíme odpoveď so všetkými povinnými informáciami a navrhneme, čo a prečo začierniť. Postup vybavovania žiadostí dotknutých osôb nastavíme v rámci služby GDPR a ochrana osobných údajov. Ak chcete, aby žiadosti priebežne prijímal a vybavoval externý odborník, pozrite si službu zodpovedná osoba (DPO).
Odpoveď je všeobecná informácia k právnemu stavu k 3. 10. 2026 — nie je právnou službou ani nenahrádza posúdenie konkrétneho prípadu. Vaša situácia sa môže v detailoch líšiť; ak si chcete byť istí, prejdime ju spolu na konzultácii.
