Prověřování zaměstnanců: Co dnes platí pro HR, kyberbezpečnost a kontroly

Kyberzákon a kritická infrastruktura nejsou totéž

Zákon o kybernetické bezpečnosti je účinný od 1. listopadu 2025. Dopadá na poskytovatele regulovaných služeb, kteří splňují zákonná kritéria, a stanoví jim organizační a technická bezpečnostní opatření. Mezi ně patří také bezpečnost lidských zdrojů.

Vedle něj platí zákon o kritické infrastruktuře. Právě tento předpis a jeho prováděcí úprava řeší konkrétně také ověřování spolehlivosti některých pracovníků.

👉 Samotné působení firmy například v energetice, dopravě nebo digitálních službách neznamená, že na ni automaticky dopadají všechny tyto povinnosti.

👉 Rozhoduje konkrétní činnost, poskytovaná služba, splnění zákonných kritérií a zařazení firmy do příslušného režimu.

Co řeší kybernetická bezpečnost v HR

U poskytovatelů regulovaných služeb je práce s lidmi součástí bezpečnostního systému.

HR společně s IT a bezpečností řeší:
 

• bezpečnostní školení a povědomí zaměstnanců
• odpovědnosti jednotlivých pracovníků
• nastavení přístupových oprávnění
• změnu a odebrání přístupů při změně pozice nebo odchodu zaměstnance
• dodržování interních bezpečnostních pravidel
   

👉 Kybernetický zákon tedy sám o sobě neznamená plošnou kontrolu trestní minulosti zaměstnanců.

👉 U některých digitálních služeb jsou požadavky konkrétnější. Evropské prováděcí nařízení 2024/2690 počítá za stanovených podmínek také s prověřováním minulosti pracovníků podle jejich role, oprávnění a bezpečnostního rizika.

Ani zde nejde automaticky o všechny zaměstnance.
 

Kritická infrastruktura: tady se spolehlivost skutečně prověřuje

U subjektů kritické infrastruktury platí podrobnější pravidla pro bezpečnost pracovníků.

Aktuálně účinná vyhláška č. 122/2026 Sb. ukládá subjektu kritické infrastruktury určit kritické pracovníky a nastavit postup pro ověřování spolehlivosti.

👉 Firma stanoví pozice nebo kategorie pracovníků, kterých se kontrola týká, způsob a četnost kontroly dokladů a osobu odpovědnou za její provedení.

Prověřování se tedy nenastavuje plošně jen proto, že firma chce zvýšit bezpečnost. Musí odpovídat konkrétním pozicím, přístupovým oprávněním a rizikům.
 

Výpis z rejstříku trestů nelze chtít automaticky

Také při bezpečnostním prověřování platí omezení pracovního práva a ochrany osobních údajů.

👉 Zaměstnavatel nemůže požadovat informace o trestněprávní bezúhonnosti pouze „pro jistotu“.

Musí pro to existovat odpovídající důvod vyplývající z povahy práce nebo zvláštního právního předpisu.

U kritické infrastruktury právní úprava výslovně počítá s kontrolou dokladů k prokázání totožnosti a bezúhonnosti u určených pracovníků.

HR by proto mělo mít jasno:
 

1. proč se konkrétní pracovník prověřuje
2. podle jakého právního pravidla
3. jaké údaje jsou skutečně potřebné
4. kdo k nim má přístup
5. jak dlouho se uchovávají

GDPR platí i při zákonném prověřování

Ani zákonný důvod ke kontrole neznamená neomezené zpracování osobních údajů.

👉 Firma má pracovat pouze s údaji potřebnými pro stanovený účel, správně je zabezpečit a nastavit jejich uchovávání a přístupy.

👉 U zpracování, které může představovat vysoké riziko pro práva zaměstnanců, je nutné posoudit také povinnost provést DPIA – posouzení vlivu na ochranu osobních údajů.

Monitoring zaměstnanců je jiná oblast

Prověřování spolehlivosti pracovníka není totéž jako jeho sledování při práci.

👉 Kamery, kontrola firemního e-mailu, internetu nebo GPS podléhají zejména pravidlům § 316 zákoníku práce a GDPR.

Kybernetická bezpečnost sama o sobě nedává zaměstnavateli neomezené právo zaměstnance monitorovat.

Inspekce práce může pořizovat záznamy bez upozornění

Inspektor práce může při kontrole nebo při úkonech, které jí předcházejí, pořizovat zvukové, obrazové a zvukově-obrazové záznamy bez vědomí kontrolovaných osob, pokud nelze účelu kontroly dosáhnout jinak.

Současně musí být respektováno právo fyzických osob na ochranu soukromého a osobního života.

👉 Toto oprávnění není omezené pouze na kontroly nelegální práce nebo švarcsystému.
 

Co z toho plyne pro HR

Neexistuje jeden univerzální „screening zaměstnanců“.

HR musí nejdříve vědět, pod jaký právní režim firma spadá a které pracovní pozice jsou z hlediska bezpečnosti skutečně relevantní.

Teprve podle toho se nastavuje školení, řízení přístupů, prověřování pracovníků i práce s jejich osobními údaji.

📖 Často se ptáte

Musí firmy podle kybernetického zákona prověřovat všechny zaměstnance?

Ne. Kybernetický zákon sám o sobě neznamená plošné prověřování všech zaměstnanců.

U regulovaných firem se HR povinnosti týkají zejména školení, bezpečnostních pravidel, odpovědností a řízení přístupových oprávnění.

Může zaměstnavatel požadovat výpis z rejstříku trestů?

Ano, ale ne automaticky. Musí pro to existovat důvod odpovídající povaze práce nebo zvláštní právní předpis.

U některých pracovníků kritické infrastruktury právní úprava s ověřováním bezúhonnosti výslovně počítá.

Kdo se prověřuje u subjektů kritické infrastruktury?

Prověřování se týká určených pracovníků podle jejich pozice, přístupu a bezpečnostního rizika.

Nejde tedy automaticky o všechny zaměstnance firmy.

Může inspektor práce při kontrole pořizovat nahrávky bez upozornění?

Ano. Inspektor práce může pořizovat zvukové, obrazové nebo zvukově-obrazové záznamy bez vědomí kontrolovaných osob, pokud nelze účelu kontroly dosáhnout jinak.

Musí přitom respektovat ochranu soukromého a osobního života.