Колишній працівник вимагає від нас усі свої персональні дані, включно з електронними листами. Схоже, він готується судитися. Чи зобов’язані ми їх надати?

Трудові відносини припинилися, і через кілька тижнів від колишнього працівника надходить запит про надання «всіх персональних даних, включно з електронними листами». Із запиту випливає, що він збирає матеріали для позову, наприклад про недійсність звільнення. Однак право на доступ за ст. 15 Регламенту (ЄС) 2016/679 (далі — GDPR) не залежить від причини запиту, тому його потрібно опрацювати. Обсяг відповіді визначається тим, які персональні дані про нього обробляє компанія.

Ви не оцінюєте мотив запиту

Суд ЄС у рішенні від 26 жовтня 2023 року у справі C-307/22 (FT проти DW) постановив, що GDPR не ставить надання першої копії в залежність від зазначення причини, а контролер не може вимагати її повідомлення. У задоволенні запиту не можна відмовити й через те, що він має іншу мету, ніж перевірка законності обробки. Пацієнт у цій справі просив копію медичної документації, щоб пред’явити вимогу до лікарки-стоматолога. Європейська рада із захисту даних у настановах 01/2022 щодо права на доступ прямо наводить приклад звільненого працівника, який збирає докази для позову, і додає, що роботодавець не оцінює його намір.

Перша копія є безоплатною. Крім плати за додаткові копії, GDPR дозволяє стягувати плату за опрацювання запиту або відмовити в його задоволенні лише тоді, коли він є явно необґрунтованим або надмірним, зокрема через повторюваність, і довести це має контролер (ст. 12 ч. 5). За позицією Ради, у випадку запиту на доступ можливості посилатися на явну необґрунтованість є дуже вузькими.

Що має містити відповідь

Працівник має право отримати підтвердження того, чи обробляєте ви його дані, доступ до них та інформацію про цілі, категорії даних, одержувачів, строк зберігання, джерело, свої права й можливе автоматизоване ухвалення рішень (ст. 15 ч. 1). Якщо запит надійшов в електронній формі, ви відповідаєте в загальновживаній електронній формі, якщо працівник не попросив про інший спосіб (ст. 15 ч. 3). Відповідь також має містити копію даних:

Нижче наведено цитату мовою оригіналу — словацькою.

Prevádzkovateľ poskytne kópiu osobných údajov, ktoré sa spracúvajú.

čl. 15 ods. 3 nariadenia (EÚ) 2016/679 (GDPR)

За позицією Суду ЄС, поняття копії стосується персональних даних, які містяться в документах. Копія має бути повною, точною та зрозумілою. Якщо для розуміння даних необхідний контекст, вона має включати також витяги з документів або повні документи (C-307/22, пункти 72–75, з посиланням на рішення C-487/21 від 4 травня 2023 року). Щодо електронних листів це означає персональні дані працівника в повідомленнях, які він писав, отримував або в яких про нього йдеться, а не автоматично весь вміст робочої поштової скриньки. Рада в настановах, ухвалених до цього рішення, допускає, що електронні листи не завжди потрібно пересилати в первісному вигляді, а листування з даними працівника можна зібрати в один файл, якщо його зміст не зміниться. Там, де без контексту воно було б незрозумілим, надайте витяги або повні повідомлення.

Якщо ви обробляєте великий обсяг інформації про працівника, можна попросити його уточнити, яких даних або видів діяльності стосується запит (пункт 63 преамбули GDPR). Рада наголошує, що уточнення не повинно використовуватися для звуження обсягу відповіді. Якщо працівник підтвердить, що просить усі дані, їх потрібно надати в повному обсязі. Тому разом із проханням про уточнення опишіть, у яких системах і напрямах роботи містяться його дані.

Що можна захистити

Право на копію не повинно негативно впливати на права та свободи інших осіб (ст. 15 ч. 4). Пункт 63 преамбули прямо згадує комерційну таємницю та інтелектуальну власність, а Рада додає до них персональні дані інших людей, наприклад колег і клієнтів, та конфіденційність листування. За позицією Ради, загальних побоювань недостатньо. Компанія повинна бути здатною довести конкретне втручання в ці права. Захист інших осіб має забезпечуватися зачорненням, а не відмовою в наданні всієї відповіді. Сам по собі економічний інтерес компанії в ненаданні даних не є підставою для цього.

Строки та відмінності між Словаччиною й Чехією

Інформацію про результати розгляду запиту потрібно надати без невиправданої затримки, не пізніше ніж протягом 1 місяця від його отримання. У разі складного запиту або великої кількості запитів строк можна продовжити ще на 2 місяці. Однак про продовження та його причини ви повинні повідомити працівника протягом 1 місяця (ст. 12 ч. 3). Якщо ви не задовольните запит, у той самий строк повідомте йому причини та можливість подати скаргу до наглядового органу й звернутися до суду (ст. 12 ч. 4).

Словацький Закон № 18/2018 Z. z. не надає звичайній компанії додаткової можливості обмежувати право на доступ. Його § 30 про обмеження прав суб’єкта даних міститься у другій частині, яка не застосовується до обробки за GDPR (§ 3 ч. 2 Закону № 18/2018 Z. z.). Чеський Закон № 110/2019 Sb. дозволяє застосовувати права за ст. 12–22 GDPR відповідною мірою або відкласти їх забезпечення, якщо це необхідно та пропорційно для захисту охоронюваного інтересу. До таких інтересів він відносить також захист прав і свобод осіб та примусове задоволення приватноправових вимог (§ 11 ч. 1 і § 6 ч. 2 Закону № 110/2019 Sb.), а про обмеження потрібно без невиправданої затримки повідомити наглядовий орган (§ 11 ч. 2). Чи може компанія послатися на цей виняток у разі запиту працівника, який готує позов, залежить від тлумачення обставин конкретної справи.

Ми розглянемо запит разом із вами, допоможемо визначити, де зберігаються дані працівника, підготуємо відповідь з усією обов’язковою інформацією та запропонуємо, що і чому слід зачорнити. Порядок опрацювання запитів суб’єктів даних налаштуємо в межах послуги GDPR і захист персональних даних. Якщо ви хочете, щоб запити постійно приймав і опрацьовував зовнішній фахівець, ознайомтеся з послугою відповідальна особа із захисту даних (DPO).