Docházka na otisk prstu a GDPR: co zjistily kontroly ÚOOÚ v letech 2024 a 2025

Stručná odpověď: Evidovat docházku pomocí otisků prstů je podle Úřadu pro ochranu osobních údajů (ÚOOÚ) v běžném provozu nepřiměřené. Otisky jsou zvláštní kategorie osobních údajů podle čl. 9 GDPR a souhlas zaměstnance je v pracovním vztahu jen výjimečně platný. Úřad v kontrolách za roky 2024 a 2025 doporučuje čipové karty nebo jiné méně invazivní prostředky.

Článek vychází z výročních zpráv ÚOOÚ, stanoviska evropských dozorových úřadů ke zpracování údajů na pracovišti a ze zákoníku práce. Odkazy na všechny zdroje najdete na konci.

Proč jsou otisky prstů při docházce problém?

Otisk prstu je biometrický údaj. Pokud slouží k jednoznačné identifikaci člověka, patří podle čl. 9 GDPR mezi zvláštní kategorie osobních údajů se zvýšenou ochranou. ÚOOÚ k tomu ve výroční zprávě za rok 2024 uvádí:

„Otisky prstů jsou biometrické údaje v daném kontextu využívané k identifikaci, čímž na základě čl. 9 GDPR podléhají zvýšené ochraně.“

Docházkový systém vždy potřebuje vědět, kdo přesně přišel a odešel. Proto u docházky jde o identifikaci téměř vždy. Jiná situace je u systému, který člověka jen pustí do prostor a dál ho neidentifikuje. Tam podle úřadu „ve většině případů nebude jednat o zpracování biometrických údajů za účelem jedinečné identifikace“.

Druhým důvodem je nevratnost. Heslo nebo čip lze vyměnit, otisk prstu ne. Úřad upozorňuje: „Pokud tedy dojde jednou k úniku takovýchto údajů, jedná se o nevratný problém.“ Riziko podle něj roste, když biometrická data spravuje externí dodavatel mimo dosah zaměstnavatele.

Co zjistily kontroly ÚOOÚ?

Rok	Co zaměstnavatel dělal	Co úřad zjistil
2024	Zpracovával hashe otisků prstů nejméně 57 zaměstnanců na základě jejich souhlasu, jako alternativu nabízel RFID čip	Porušení zásady minimalizace (čl. 5 odst. 1 písm. c) GDPR), otisky nebyly pro evidenci docházky nezbytné
2025	Hashe otisků zdůvodňoval oprávněným zájmem: hygienou a prokazatelností docházky	Porušení čl. 6 odst. 1 GDPR, úřad argument odmítl jako nerelevantní, „neboť k monitorování odpracovaného času lze využít i jiné prostředky“
2025	Ukládal šablony otisků, i když už měl čipové karty a záznam příchodů na recepci	Porušení minimalizace, biometrie nebyla nezbytná
2025	Nedoložil podklady k souladu zpracování	Porušení odpovědnosti správce (čl. 5 odst. 2 GDPR)

Závěr úřadu ve výroční zprávě za rok 2025 je jednoznačný. Zaměstnavatelé mají před zavedením biometrického systému „důsledně posoudit nezbytnost a proporcionalitu“, zvolit správný právní základ a „upřednostňovat méně invazivní prostředky“.

Výjimku úřad uznal v roce 2019 u stavební společnosti, která používala rozpoznávání obličeje. Šlo o zcela specifický případ, kde předchozí méně invazivní opatření prokazatelně nefungovala. Úřad zároveň dodal, že „za běžných okolností se zaměstnavatelé při zpracování biometrických údajů nemohou tohoto právního titulu dovolávat“.

Nestačí, když zaměstnanec podepíše souhlas?

Většinou ne. Zaměstnanec je na zaměstnavateli závislý, a proto jeho souhlas nebývá svobodný. Evropský sbor pro ochranu osobních údajů (EDPB) v pokynech k souhlasu píše, že pro většinu zpracování na pracovišti právním základem souhlas zaměstnanců „být nemůže a neměl by“. Platný je jen ve výjimečných situacích, kdy odmítnutí nemá pro zaměstnance žádné nepříznivé důsledky.

ÚOOÚ to už v roce 2019 formuloval ostřeji: používání souhlasu ve vztahu zaměstnavatel a zaměstnanec je podle něj „nepřijatelné“. Úřad tehdy navrhoval upravit biometrii zaměstnanců v zákoníku práce. Aktuální znění zákoníku práce ale biometrii zvlášť neupravuje, takže platí obecná pravidla GDPR.

Na jakém právním základě stojí běžná docházka?

Zaměstnavatel musí podle § 96 odst. 1 zákoníku práce vést u jednotlivých zaměstnanců evidenci se začátkem a koncem odpracované směny, práce přesčas a noční práce. Docházka na čipovou kartu, NFC štítek nebo v mobilní aplikaci proto stojí na plnění právní povinnosti podle čl. 6 odst. 1 písm. c) GDPR. Souhlas zaměstnance k ní není potřeba.

Zaměstnavatel ale musí zaměstnance o způsobu kontroly přímo informovat. Zákoník práce v § 316 odst. 3 ukládá informovat zaměstnance o rozsahu kontroly a o způsobech jejího provádění.

Smí docházková aplikace zaznamenávat polohu (GPS)?

Ano, ale jen přiměřeně. Samostatné stanovisko ÚOOÚ ke GPS v docházce jsme nenašli. Evropští dozoroví úřadi ve stanovisku 2/2017, které ÚOOÚ zveřejňuje česky, požadují, aby sledování polohy bylo nezbytné a přiměřené. Podle stanoviska je „nepravděpodobné, že by existoval právní základ“ pro monitorování polohy mimo pracovní dobu.

Z toho pro docházkovou aplikaci plyne rozumné nastavení:

1. Ukládat polohu jen v okamžiku příchodu a odchodu, ne průběžně.
2. Nikdy nesledovat polohu mimo pracovní dobu.
3. Zaměstnance předem informovat, kdy a proč se poloha ukládá.

Musím pro docházkový systém zpracovat posouzení vlivu (DPIA)?

Pro běžnou docházku na karty nebo NFC ne. ÚOOÚ ve svém seznamu operací uvádí docházkové systémy mezi nejméně rizikovými. Personální agendu zaměstnanců v ČR zařadil na negativní seznam, tedy mezi zpracování bez povinné DPIA. Výjimkou jsou případy, kdy agenda obsahuje biometrii nebo systematické monitorování.

Způsob docházky	DPIA
Čipová karta, NFC štítek, PIN, mobilní aplikace bez sledování polohy	Není povinná
Otisky prstů nebo obličej k identifikaci	Je třeba posoudit, biometrie je podle ÚOOÚ kritická charakteristika
Biometrie a zároveň průběžné sledování polohy	Povinná, dvě kritické charakteristiky

Pozor na zveřejňování přítomnosti úředníků

Obce by měly zpozornět u jednoho případu z výroční zprávy ÚOOÚ za rok 2025. Městský úřad automaticky zveřejňoval na webu z docházkového systému, kdo z úředníků je právě přítomen. Úřad to vyhodnotil jako nedůvodný zásah do práv zaměstnanců v rozporu s čl. 5 GDPR. Pro informování veřejnosti stačí uvést, které oddělení věc vyřizuje.

Na co se ptát dodavatele cloudové docházky?

Dodavatel cloudového systému je zpracovatel osobních údajů podle čl. 28 GDPR. ÚOOÚ doporučuje k poskytovateli cloudu přistupovat jako ke zpracovateli a využívat služby na území EU. Před podpisem si ověřte:

1. Je uzavřena smlouva o zpracování osobních údajů podle čl. 28 GDPR?
2. Kde jsou data fyzicky uložena (ČR, EU)?
3. Kdo jsou další zpracovatelé a potřebují váš souhlas?
4. Jak jsou data zabezpečena a kdo k nim má přístup?
5. Co se s daty stane po skončení smlouvy?

Časté otázky

Je docházka na otisk prstu zakázaná?

Výslovně zakázaná není, ale podle kontrol ÚOOÚ z let 2024 a 2025 je v běžném provozu nepřiměřená. Zaměstnavatel musí prokázat, že méně invazivní prostředek, například čipová karta, nestačí. To se podle úřadu podaří jen výjimečně.

Potřebuji souhlas zaměstnanců s docházkovým systémem na čipy?

Ne. Evidence pracovní doby je zákonná povinnost podle § 96 zákoníku práce, takže zpracování stojí na plnění právní povinnosti. Zaměstnance je ale potřeba informovat o rozsahu a způsobu kontroly.

Může obec zveřejňovat na webu, kdo je na úřadě?

Automatické zveřejňování přítomnosti konkrétních úředníků z docházkového systému ÚOOÚ v roce 2025 vyhodnotil jako rozporné s GDPR. Stačí zveřejnit, které oddělení agendu vyřizuje.

Jak dlouho smím docházková data uchovávat?

Podle GDPR jen po nezbytně nutnou dobu. Konkrétní lhůtu pro docházku ÚOOÚ nestanovil. Povinnou dobu archivace určují pracovněprávní a mzdové předpisy.

Zdroje

• ÚOOÚ: Výroční zpráva 2024, s. 9–10 a 25.
• ÚOOÚ: Výroční zpráva 2025, s. 12–13 a 31.
• ÚOOÚ: Kontrola zaměstnavatele s biometrickým docházkovým systémem (UOOU-04332/23).
• ÚOOÚ: Kontrola společnosti Metrostav (2019).
• ÚOOÚ: Návrh změn ve zpracování biometrických údajů zaměstnanců (30. 7. 2019).
• Pracovní skupina WP29: Stanovisko 2/2017 ke zpracování údajů na pracovišti.
• EDPB: Pokyny 05/2020 k souhlasu, body 21–22.
• ÚOOÚ: Seznam druhů operací zpracování (ne)podléhajících DPIA.
• ÚOOÚ: Otázky a odpovědi pro zaměstnavatele a Poradna: zpracovatel.
• Zákoník práce, § 96 a § 316.

Ověřeno 12. 10. 2026.