TEST PROPORCIONALITY

Posouzení oprávněného zájmu jako zákonného titulu zpracování osobních údajů podle čl. 6 odst. 1 písm. f) GDPR

Správce: Jobiflow s. r. o., IČO: 57 430 501, Dlhé Nivy 420/90, 019 01 Ilava

Datum vypracování: 24.4.2026

Verze: 1.2

Zodpovídá: Bc. Matúš Jackulík, MBA

Účel dokumentu

Tento dokument dokumentuje posouzení oprávněného zájmu (legitimate interest assessment, LIA) podle čl. 6 odst. 1 písm. f) Nařízení (EU) 2016/679 (dále jen „GDPR“) jako zákonného titulu pro zpracování osobních údajů správcem Jobiflow s. r. o. Dokument slouží k prokázání souladu s požadavky GDPR v případě žádosti subjektu údajů podle čl. 21 GDPR (námitka) nebo kontroly Úřadu pro ochranu osobních údajů Slovenské republiky.

Dokument je interním dokumentem Jobiflow. Zveřejňuje se pouze v rozsahu, v jakém je to nezbytné k vyřízení žádosti subjektu údajů nebo na žádost dozorového orgánu. Dokument podléhá pravidelné revizi minimálně jednou ročně a při každé změně zpracovatelské činnosti.

Metodika testu

Test proporcionality se v souladu s pokyny Evropského výboru pro ochranu údajů (EDPB) a pracovní skupiny WP29 (stanovisko č. 06/2014) provádí pro každou zpracovatelskou činnost založenou na oprávněném zájmu ve třech krocích:

• Krok 1 – Test účelu (purpose test): Je zájem Jobiflow skutečně oprávněný? Je konkrétně vyjádřený, zákonný a reálný?
• Krok 2 – Test nezbytnosti (necessity test): Je zpracování k dosažení účelu nezbytné? Neexistuje méně invazivní způsob?
• Krok 3 – Test vyvážení (balancing test): Převažuje oprávněný zájem Jobiflow nad zájmy, právy a svobodami subjektů údajů?

Pokud test projde všemi třemi kroky, oprávněný zájem je platným zákonným titulem zpracování. Pokud selže kterýkoli krok, musí být zvolen jiný zákonný titul (zejména souhlas) nebo se od zpracování upustí.

Seznam posuzovaných zpracovatelských činností

Na základě čl. 5 Zásad zpracování osobních údajů Jobiflow se test proporcionality provádí pro následující zpracovatelské činnosti, u nichž je zákonným titulem oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR:

• Test č. 1 – Zpřístupnění profilu Uchazeče Klientovi a správa reakcí na Inzeráty
• Test č. 2 – Provoz, bezpečnost a ochrana elektronického systému před útoky
• Test č. 3 – Statistika a analýza používání (agregovaná data)
• Test č. 4 – Marketingová komunikace vůči Klientům (soft opt-in)
• Test č. 5 – Uplatňování a obhajoba právních nároků.

AI Avatar Pohovor není předmětem tohoto testu, protože není založen na oprávněném zájmu podle čl. 6 odst. 1 písm. f) GDPR, ale na výslovném souhlasu uchazeče podle čl. 6 odst. 1 písm. a) a čl. 22 odst. 2 písm. c) GDPR. K AI Avatar Pohovoru bylo provedeno samostatné posouzení vlivu na ochranu osobních údajů (DPIA) podle čl. 35 GDPR, které tvoří samostatný dokument Jobiflow

Test č. 1 – Zpřístupnění profilu Uchazeče Klientovi

KROK 1: Test účelu

Co je zájmem Jobiflow a Klienta? Zájmem je umožnit Klientovi jako potenciálnímu zaměstnavateli posoudit reakci Uchazeče na konkrétní Inzerát a rozhodnout o dalším postupu ve výběrovém řízení. Bez zpřístupnění profilu by Klient nemohl zvážit reakci Uchazeče a celý nábor by byl znemožněn.

Je zájem zákonný? Ano. Zprostředkování pracovních nabídek je legitimní ekonomická činnost regulovaná zejména zákonem č. 5/2004 Z. z. o službách zaměstnanosti. Zároveň jde o realizaci svobody podnikání podle čl. 16 Charty základních práv EU.

Je zájem konkrétní a reálný? Ano. Jde o identifikovatelnou činnost vykonávanou při každé reakci Uchazeče na Inzerát. Není to hypotetický ani spekulativní zájem.

Závěr kroku 1: Test účelu je splněn.

KROK 2: Test nezbytnosti

Je zpřístupnění profilu nezbytné k dosažení účelu? Ano. Bez zpřístupnění alespoň základních údajů z profilu a životopisu nemůže Klient vyhodnotit vhodnost Uchazeče. Jde o minimálně nezbytný rozsah údajů pro plnění funkce platformy jako zprostředkovatele pracovních nabídek.

Existuje méně invazivní alternativa? Ne prakticky. Alternativou by bylo žádat od Uchazeče při každé reakci zvlášť souhlas. Tento přístup však: (a) neodpovídá očekáváním Uchazeče, který si profil vytvořil právě s cílem ucházet se o práci, (b) byl by zbytečně komplikovaný a vytvářel by zbytečné třecí plochy v procesu náboru, (c) nezískal by nic navíc z hlediska ochrany údajů — stejné údaje by byly i tak zpřístupněny.

Minimalizace údajů: Klientovi se zpřístupňují pouze ty údaje, které Uchazeč dobrovolně uvedl ve svém profilu nebo životopise. Uchazeč má plnou kontrolu nad tím, které údaje v profilu zveřejní.

Závěr kroku 2: Test nezbytnosti je splněn.

KROK 3: Test vyvážení

Povaha údajů

Běžné osobní údaje (kontaktní a identifikační údaje, životopis). Nezahrnuje zvláštní kategorie podle čl. 9 GDPR (pokud je Uchazeč sám neuvede v profilu/životopise, což činí dobrovolně a na vlastní odpovědnost podle čl. 4.7 Zásad zpracování).

Rozumná očekávání dotčené osoby

Vysoká. Uchazeč se na platformě registruje s výslovným cílem ucházet se o práci a ví, že při reakci na Inzerát bude jeho profil zpřístupněn zaměstnavateli. Tato skutečnost je transparentně uvedena v Zásadách zpracování, při registraci a při samotném odeslání reakce. Zpracování plně odpovídá očekáváním přiměřené informovanosti.

Potenciální dopad na dotčené osoby

Pozitivní nebo neutrální. Uchazeč získává možnost ucházet se o nabízené pracovní místo, což je jeho primární cíl na platformě. Negativní dopad (např. zveřejnění údajů, které Uchazeč nechtěl sdílet) je minimalizován tím, že Uchazeč má plnou kontrolu nad obsahem svého profilu.

Záruky zavedené Jobiflow

• Přístup k profilu Uchazeče má výlučně Klient, který je vlastníkem Inzerátu, na který Uchazeč reagoval (ne všichni Klienti).
• Uchazeč může kdykoli svůj profil upravit, deaktivovat nebo smazat.
• Uchazeč má právo vznést námitku podle čl. 21 GDPR — v takovém případě Jobiflow bez zbytečného odkladu posoudí důvody námitky a zpracování ukončí, pokud neprokáže závažné oprávněné důvody.
• Klienti jsou smluvně zavázáni (prostřednictvím VOP a Podmínek zpracování OÚ) ke stejné úrovni ochrany.
• Pseudonymizace a šifrování údajů v souladu s čl. 32 GDPR.
• Doba uchovávání je omezena na 3 roky od poslední aktivity Uchazeče.

VÝSLEDEK TESTU 1: Oprávněný zájem Jobiflow a Klienta převažuje nad zájmy, právy a svobodami dotčených osob. Zpracování je na základě oprávněného zájmu podle čl. 6 odst. 1 písm. f) GDPR přípustné.

Test č. 2 – Provoz, bezpečnost a ochrana systému

KROK 1: Test účelu

Zájem Jobiflow: Zajistit síťovou a informační bezpečnost Elektronického systému, chránit údaje všech uživatelů před útoky, zajistit nepřetržitou dostupnost Služby a plnit povinnosti podle čl. 32 GDPR („bezpečnost zpracování“). Zpracování údajů pro tyto účely je v recitálu 49 GDPR výslovně označeno jako oprávněný zájem.

Závěr kroku 1: Test účelu je splněn.

KROK 2: Test nezbytnosti

Bez zpracování těchto údajů nelze: (a) identifikovat zdroj útoků a zablokovat je, (b) reagovat na bezpečnostní incidenty v reálném čase, (c) splnit povinnost oznamovat porušení ochrany OÚ dozorovému orgánu do 72 hodin podle čl. 33 GDPR, (d) vyšetřit podezřelou aktivitu na účtech. Alternativa — nezpracovávat tyto údaje vůbec — by znemožnila ochranu samotných dotčených osob.

Závěr kroku 2: Test nezbytnosti je splněn.

KROK 3: Test vyvážení

Rozumná očekávání

Vysoká. Každý informovaný uživatel očekává, že platforma implementuje základní bezpečnostní opatření včetně logování a monitoringu.

Záruky

• Přístup k logům je omezen na vybrané zaměstnance IT / bezpečnostního týmu.
• Doba uchovávání maximálně 12 měsíců.
• Logy se nepoužívají k jiným účelům (marketing, profilování) — pouze pro bezpečnost a provoz.
• Pseudonymizace, šifrování v klidu a při přenosu.

VÝSLEDEK TESTU 3: Oprávněný zájem na bezpečnosti jednoznačně převažuje. Zpracování je přípustné.

Test č.3 – Statistika a analýza používání

KROK 1: Test účelu

Zájem Jobiflow: Zlepšovat produkt na základě dat, činit informovaná rozhodnutí o vývoji a odstraňovat problémy s uživatelskou zkušeností.

Závěr kroku 1: Splněn.

KROK 2: Test nezbytnosti

Nezbytnost: Pro agregované statistiky je zpracování nezbytné, ale s důrazem na minimalizaci. Kde je to možné, používá se anonymizace (maskování IP, zkracování identifikátorů).

Závěr kroku 2: Splněn s důrazem na anonymizaci.

KROK 3: Test vyvážení

Dopad na dotčené osoby: Minimální. Údaje se zpracovávají v agregované podobě, jednotlivé osoby nejsou identifikovatelné.

Záruky

• IP maskování / anonymizace, kde je to možné.
• U analytických cookies (Google Analytics, Microsoft Clarity) — zpracování pouze se souhlasem uživatele.
• Doba uchovávání do 13 měsíců v souladu s průmyslovými standardy.

VÝSLEDEK TESTU 4: Pro interní agregované statistiky převažuje oprávněný zájem. Pro cookies třetích stran se používá souhlas.

Test č.4 – Marketingová komunikace vůči Klientům (soft opt-in)

KROK 1: Test účelu

Zájem Jobiflow: Udržovat obchodní vztah s existujícími Klienty, informovat je o nových funkcích a zlepšeních platformy, které mohou využít ve svém HR procesu, a zvyšovat jejich angažovanost a loajalitu (upselling a cross-selling).

Zákonnost: § 116 odst. 16 zákona č. 452/2021 Z. z. výslovně umožňuje „soft opt-in“ přímý marketing vůči existujícím zákazníkům bez jejich souhlasu, pokud jsou splněny zákonné podmínky. Recitál 47 GDPR výslovně označuje přímý marketing za oprávněný zájem.

Závěr kroku 1: Splněn.

KROK 2: Test nezbytnosti

Alternativa: Alternativou je výslovný opt-in souhlas. Režim soft opt-in je důvodný proto, že: (a) Klient měl při uzavření smlouvy rozumné očekávání, že bude informován o svém produktu, (b) jde o přímou extenzi plnění smlouvy, (c) jednoduché odhlášení v každém e-mailu zajišťuje kontrolu subjektu údajů.

Závěr kroku 2: Splněn.

KROK 3: Test vyvážení

Kumulativní podmínky soft opt-in, které Jobiflow musí plnit

• E-mail byl získán v souvislosti s prodejem Služby Klientovi.
• Marketingová komunikace se týká výlučně vlastních podobných produktů/služeb Jobiflow.
• Při získání e-mailu byl Klient informován o marketingovém použití a byla mu dána možnost odmítnout.
• V každé jednotlivé zprávě je jednoduchá a bezplatná možnost odhlášení (unsubscribe link).

Dopad na dotčené osoby

Nízký. Jde o B2B komunikaci vůči osobám, které už s Jobiflow mají aktivní obchodní vztah. Nepřichází do styku s citlivými údaji ani citlivými aspekty soukromého života.

Záruky

• Unsubscribe link v každém e-mailu.
• Vedení suppression listu — po odhlášení se Klient již neoslovuje.
• Segmentace podle typu Klienta — newsletter se týká relevantních témat.
• Žádný marketing vůči Klientům, kteří při registraci výslovně odmítli marketingovou komunikaci.
• Maximální frekvence — 2 e-mailová oznámení měsíčně.

VÝSLEDEK TESTU 5: Za podmínky dodržení všech kumulativních podmínek soft opt-in oprávněný zájem převažuje. Upozornění: vůči Uchazečům (fyzickým osobám nemajícím s Jobiflow smlouvu) se soft opt-in neuplatňuje — pro jejich marketingové oslovování je nutný výslovný souhlas podle čl. 6 odst. 1 písm. a) GDPR.

Test č. 5 – Uplatňování a obhajoba právních nároků

KROK 1: Test účelu

Zájem: Schopnost bránit se před neoprávněnými nároky třetích stran a vymáhat vlastní nároky. Bez možnosti uchovávat důkazní materiály by Jobiflow nemohl efektivně chránit svá práva ani práva svých zákazníků.

Závěr kroku 1: Splněn.

KROK 2: Test nezbytnosti

Nezbytnost: Bez uchovávání relevantních údajů by Jobiflow nemohl v případě sporu prokázat svou pozici. Alternativou by bylo okamžité mazání údajů po skončení smlouvy, což by však znemožnilo obhajobu v rámci promlčecí lhůty.

Závěr kroku 2: Splněn.

KROK 3: Test vyvážení

Rozumná očekávání: Středně vysoké. Informovaný uživatel očekává, že smluvní údaje a komunikace se uchovávají určitou dobu i po skončení smlouvy.

Záruky

• Údaje v tomto režimu se zpracovávají omezeně — jen pro uplatnění/obhajobu, ne pro jiné účely (ne marketing, ne profilování).
• Doba uchovávání se omezuje na promlčecí lhůtu konkrétních nároků (u obchodních vztahů zpravidla 4 roky podle § 397 Obchodního zákoníku; u obecných nároků 3 roky podle § 101 Občanského zákoníku).
• Po pravomocném ukončení sporu a uplynutí promlčecí lhůty se údaje bezpečně likvidují.
• Přístup k údajům v tomto režimu má omezený okruh osob (právní oddělení, vedení, pověření právní poradci).

VÝSLEDEK TESTU 6: Oprávněný zájem na obhajobě právních nároků převažuje. Zpracování je přípustné v rozsahu promlčecí lhůty konkrétních nároků.

Souhrnný závěr testu proporcionality

Na základě provedených testů proporcionality se konstatuje, že oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR je platným a přiměřeným právním titulem pro následující zpracovatelské činnosti Jobiflow:

• Test 1 – zpřístupnění profilu Uchazeče Klientovi — PROŠEL
• Test 2 – provoz a bezpečnost systému — PROŠEL
• Test 3 – statistika a analýza — PROŠEL pro interní metriky; pro cookies třetích stran souhlas
• Test 4 – marketing vůči Klientům (soft opt-in) — PROŠEL za podmínky dodržení kumulativních podmínek
• Test 5 – obhajoba právních nároků — PROŠEL

Povinnosti Jobiflow v souvislosti s tímto testem

• Zveřejnit v Zásadách zpracování OÚ všechny relevantní informace o zpracování na základě oprávněného zájmu včetně možnosti namítat podle čl. 21 GDPR. Splněno (čl. 11.6 Zásad).
• Umožnit dotčeným osobám jednoduše namítat proti zpracování. Splněno přes kontaktní e-maily.
• Uchovávat tento dokument a zpřístupnit jej na žádost dozorového orgánu nebo dotčené osoby (v relevantním rozsahu).
• Revidovat tento dokument minimálně jednou ročně a při každé změně zpracovatelské činnosti, při rozšíření AI funkcí, při změně legislativy nebo při rozhodnutí EDPB/ÚOOÚ relevantním pro některý z testů.
• Při žádosti o námitku podle čl. 21 GDPR bez zbytečného odkladu posoudit důvody námitky a buď zpracování ukončit, nebo písemně prokázat závažné oprávněné důvody, které převažují nad zájmy dotčené osoby.

Historie revizí

Jobiflow s. r. o.