TEST PROPORCIONALITY

Posúdenie oprávneného záujmu ako zákonného titulu spracúvania osobných údajov podľa čl. 6 ods. 1 písm. f) GDPR

Prevádzkovateľ: Jobiflow s. r. o., IČO: 57 430 501, Dlhé Nivy 420/90, 019 01 Ilava

Dátum vypracovania: 24.4.2026

Verzia: 1.2

Zodpovedá: Bc. Matúš Jackulík, MBA

Účel dokumentu

Tento dokument dokumentuje posúdenie oprávneného záujmu (legitimate interest assessment, LIA) podľa čl. 6 ods. 1 písm. f) Nariadenia (EÚ) 2016/679 (ďalej len „GDPR“) ako zákonného titulu pre spracúvanie osobných údajov prevádzkovateľom Jobiflow s. r. o. Dokument slúži na preukázanie súladu s požiadavkami GDPR v prípade žiadosti dotknutej osoby podľa čl. 21 GDPR (namietanie) alebo kontroly Úradu na ochranu osobných údajov Slovenskej republiky.

Dokument je interným dokumentom Jobiflow. Zverejňuje sa len v rozsahu, v akom je to nevyhnutné na vybavenie žiadosti dotknutej osoby alebo na žiadosť dozorného orgánu. Dokument podlieha pravidelnej revízii minimálne raz ročne a pri každej zmene spracovateľskej činnosti.

Metodika testu

Test proporcionality sa v súlade s usmerneniami Európskeho výboru pre ochranu údajov (EDPB) a pracovnej skupiny WP29 (stanovisko č. 06/2014) vykonáva pre každú spracovateľskú činnosť založenú na oprávnenom záujme v troch krokoch:

• Krok 1 – Test účelu (purpose test): Je záujem Jobiflow skutočne oprávnený? Je konkrétne vyjadrený, zákonný a reálny?
• Krok 2 – Test nevyhnutnosti (necessity test): Je spracúvanie na dosiahnutie účelu nevyhnutné? Neexistuje menej invazívny spôsob?
• Krok 3 – Test vyváženia (balancing test): Prevažuje oprávnený záujem Jobiflow nad záujmami, právami a slobodami dotknutých osôb?

Ak test prejde všetkými tromi krokmi, oprávnený záujem je platným zákonným titulom spracúvania. Ak zlyhá ktorýkoľvek krok, musí sa zvoliť iný zákonný titul (najmä súhlas) alebo sa od spracúvania upustiť.

Zoznam posudzovaných spracovateľských činností

Na základe čl. 5 Zásad spracúvania osobných údajov Jobiflow sa test proporcionality vykonáva pre nasledujúce spracovateľské činnosti, pri ktorých je zákonným titulom oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR:

• Test č. 1 – Sprístupnenie profilu Uchádzača Klientovi a správa reakcií na Inzeráty
• Test č. 2 – Prevádzka, bezpečnosť a ochrana elektronického systému pred útokmi
• Test č. 3 – Štatistika a analýza používania (agregované údaje)
• Test č. 4 – Marketingová komunikácia voči Klientom (soft opt-in)
• Test č. 5 – Uplatňovanie a obhajoba právnych nárokov.

AI Avatar Pohovor nie je predmetom tohto testu, pretože nie je založený na oprávnenom záujme podľa čl. 6 ods. 1 písm. f) GDPR, ale na výslovnom súhlase uchádzača podľa čl. 6 ods. 1 písm. a) a čl. 22 ods. 2 písm. c) GDPR. K AI Avatar Pohovoru bolo vykonané samostatné posúdenie vplyvu na ochranu osobných údajov (DPIA) podľa čl. 35 GDPR, ktoré tvorí samostatný dokument Jobiflow

Test č. 1 – Sprístupnenie profilu Uchádzača Klientovi

KROK 1: Test účelu

Čo je záujmom Jobiflow a Klienta? Záujmom je umožniť Klientovi ako potenciálnemu zamestnávateľovi posúdiť reakciu Uchádzača na konkrétny Inzerát a rozhodnúť o ďalšom postupe vo výberovom konaní. Bez sprístupnenia profilu by Klient nemohol zvážiť reakciu Uchádzača a celý nábor by bol znemožnený.

Je záujem zákonný? Áno. Sprostredkovanie pracovných ponúk je legitímna ekonomická činnosť regulovaná najmä zákonom č. 5/2004 Z. z. o službách zamestnanosti. Zároveň ide o realizáciu slobody podnikania podľa čl. 16 Charty základných práv EÚ.

Je záujem konkrétny a reálny? Áno. Ide o identifikovateľnú činnosť vykonávanú pri každej reakcii Uchádzača na Inzerát. Nie je to hypotetický ani špekulatívny záujem.

Záver kroku 1: Test účelu je splnený.

KROK 2: Test nevyhnutnosti

Je sprístupnenie profilu nevyhnutné na dosiahnutie účelu? Áno. Bez sprístupnenia aspoň základných údajov z profilu a životopisu nemôže Klient vyhodnotiť vhodnosť Uchádzača. Ide o minimálne nevyhnutný rozsah údajov na plnenie funkcie platformy ako sprostredkovateľa pracovných ponúk.

Existuje menej invazívna alternatíva? Nie prakticky. Alternatívou by bolo žiadať od Uchádzača pri každej reakcii zvlášť súhlas. Tento prístup však: (a) nezodpovedá očakávaniam Uchádzača, ktorý si profil vytvoril práve s cieľom uchádzať sa o prácu, (b) bol by zbytočne komplikovaný a vytváral by zbytočné trecie plochy v procese náboru, (c) nezískal by nič navyše z pohľadu ochrany údajov — rovnaké údaje by boli aj tak sprístupnené.

Minimalizácia údajov: Klientovi sa sprístupňujú len tie údaje, ktoré Uchádzač dobrovoľne uviedol vo svojom profile alebo životopise. Uchádzač má plnú kontrolu nad tým, ktoré údaje v profile zverejní.

Záver kroku 2: Test nevyhnutnosti je splnený.

KROK 3: Test vyváženia

Povaha údajov

Bežné osobné údaje (kontaktné a identifikačné údaje, životopis). Nezahŕňa osobitné kategórie podľa čl. 9 GDPR (ak ich Uchádzač sám neuvedie v profile/životopise, čo robí dobrovoľne a na vlastnú zodpovednosť podľa čl. 4.7 Zásad spracúvania).

Rozumné očakávania dotknutej osoby

Vysoké. Uchádzač sa na platforme registruje s výslovným cieľom uchádzať sa o prácu a vie, že pri reakcii na Inzerát bude jeho profil sprístupnený zamestnávateľovi. Táto skutočnosť je transparentne uvedená v Zásadách spracúvania, pri registrácii a pri samotnom odoslaní reakcie. Spracúvanie plne zodpovedá očakávaniam primeranej informovanosti.

Potenciálny dopad na dotknuté osoby

Pozitívny alebo neutrálny. Uchádzač získava možnosť uchádzať sa o ponúkané pracovné miesto, čo je jeho primárny cieľ na platforme. Negatívny dopad (napr. zverejnenie údajov, ktoré Uchádzač nechcel zdieľať) je minimalizovaný tým, že Uchádzač má plnú kontrolu nad obsahom svojho profilu.

Záruky zavedené Jobiflow

• Prístup k profilu Uchádzača má výlučne Klient, ktorý je vlastníkom Inzerátu, na ktorý Uchádzač reagoval (nie všetci Klienti).
• Uchádzač môže kedykoľvek svoj profil upraviť, deaktivovať alebo zmazať.
• Uchádzač má právo namietať podľa čl. 21 GDPR — v takom prípade Jobiflow bez zbytočného odkladu posúdi dôvody namietania a spracúvanie ukončí, ak nepreukáže závažné oprávnené dôvody.
• Klienti sú zmluvne zaviazaní (cez VOP a Podmienky spracúvania OÚ) k rovnakej úrovni ochrany.
• Pseudonymizácia a šifrovanie údajov v súlade s čl. 32 GDPR.
• Doba uchovávania je obmedzená na 3 roky od poslednej aktivity Uchádzača.

VÝSLEDOK TESTU 1: Oprávnený záujem Jobiflow a Klienta prevažuje nad záujmami, právami a slobodami dotknutých osôb. Spracúvanie je na základe oprávneného záujmu podľa čl. 6 ods. 1 písm. f) GDPR prípustné.

Test č. 2 – Prevádzka, bezpečnosť a ochrana systému

KROK 1: Test účelu

Záujem Jobiflow: Zabezpečiť sieťovú a informačnú bezpečnosť Elektronického systému, chrániť údaje všetkých používateľov pred útokmi, zabezpečiť nepretržitú dostupnosť Služby a plniť povinnosti podľa čl. 32 GDPR („bezpečnosť spracúvania“). Spracúvanie údajov na tieto účely je v recitále 49 GDPR výslovne označené ako oprávnený záujem.

Záver kroku 1: Test účelu je splnený.

KROK 2: Test nevyhnutnosti

Bez spracúvania týchto údajov nemožno: (a) identifikovať zdroj útokov a zablokovať ich, (b) reagovať na bezpečnostné incidenty v reálnom čase, (c) splniť povinnosť oznamovať porušenia ochrany OÚ dozornému orgánu do 72 hodín podľa čl. 33 GDPR, (d) vyšetriť podozrivú aktivitu na účtoch. Alternatíva — nespracúvať tieto údaje vôbec — by znemožnila ochranu samotných dotknutých osôb.

Záver kroku 2: Test nevyhnutnosti je splnený.

KROK 3: Test vyváženia

Rozumné očakávania

Vysoké. Každý informovaný používateľ očakáva, že platforma implementuje základné bezpečnostné opatrenia vrátane logovania a monitoringu.

Záruky

• Prístup k logom je obmedzený na vybraných zamestnancov IT / bezpečnostného tímu.
• Doba uchovávania maximálne 12 mesiacov.
• Logy sa nepoužívajú na iné účely (marketing, profilovanie) — len na bezpečnosť a prevádzku.
• Pseudonymizácia, šifrovanie v kľude a pri prenose.

VÝSLEDOK TESTU 3: Oprávnený záujem na bezpečnosti jednoznačne prevažuje. Spracúvanie je prípustné.

Test č.3 – Štatistika a analýza používania

KROK 1: Test účelu

Záujem Jobiflow: Zlepšovať produkt na základe dát, robiť informované rozhodnutia o vývoji a odstraňovať problémy s používateľskou skúsenosťou.

Záver kroku 1: Splnený.

KROK 2: Test nevyhnutnosti

Nevyhnutnosť: Pre agregované štatistiky je spracúvanie nevyhnutné, ale s dôrazom na minimalizáciu. Kde je to možné, používa sa anonymizácia (IP maskovanie, skracovanie identifikátorov).

Záver kroku 2: Splnený s dôrazom na anonymizáciu.

KROK 3: Test vyváženia

Dopad na dotknuté osoby: Minimálny. Údaje sa spracúvajú v agregovanej forme, jednotlivé osoby nie sú identifikovateľné.

Záruky

• IP masking / anonymizácia, kde je to možné.
• Pri analytických cookies (Google Analytics, Microsoft Clarity) — spracúvanie len so súhlasom používateľa.
• Doba uchovávania do 13 mesiacov v súlade s priemyselnými štandardmi.

VÝSLEDOK TESTU 4: Pre interné agregované štatistiky oprávnený záujem prevažuje. Pre cookies tretích strán sa používa súhlas.

Test č.4 – Marketingová komunikácia voči Klientom (soft opt-in)

KROK 1: Test účelu

Záujem Jobiflow: Udržiavať obchodný vzťah s existujúcimi Klientmi, informovať ich o nových funkciách a zlepšeniach platformy, ktoré môžu využiť vo svojom HR procese, a zvyšovať ich angažovanosť a lojalitu (upselling a cross-selling).

Zákonnosť: § 116 ods. 16 zákona č. 452/2021 Z. z. výslovne umožňuje „soft opt-in“ priamy marketing voči existujúcim zákazníkom bez ich súhlasu, ak sú splnené zákonné podmienky. Recitál 47 GDPR výslovne označuje priamy marketing za oprávnený záujem.

Záver kroku 1: Splnený.

KROK 2: Test nevyhnutnosti

Alternatíva: Alternatívou je výslovný opt-in súhlas. Režim soft opt-in je dôvodný preto, lebo: (a) Klient mal pri uzavretí zmluvy rozumné očakávanie, že bude informovaný o svojom produkte, (b) ide o priamu extenziu plnenia zmluvy, (c) jednoduché odhlásenie v každom e-maile zabezpečuje kontrolu dotknutej osoby.

Záver kroku 2: Splnený.

KROK 3: Test vyváženia

Kumulatívne podmienky soft opt-in, ktoré Jobiflow musí plniť

• E-mail bol získaný v súvislosti s predajom Služby Klientovi.
• Marketingová komunikácia sa týka výlučne vlastných podobných produktov/služieb Jobiflow.
• Pri získaní e-mailu bol Klient informovaný o marketingovom použití a bola mu daná možnosť odmietnuť.
• V každej jednotlivej správe je jednoduchá a bezplatná možnosť odhlásenia (unsubscribe link).

Dopad na dotknuté osoby

Nízky. Ide o B2B komunikáciu voči osobám, ktoré už s Jobiflow majú aktívny obchodný vzťah. Neprichádza do styku s citlivými údajmi ani citlivými aspektmi súkromného života.

Záruky

• Unsubscribe link v každom e-maile.
• Vedenie suppression listu — po odhlásení sa Klient už neoslovuje.
• Segmentácia podľa typu Klienta — newsletter sa týka relevantných tém.
• Žiadny marketing voči Klientom, ktorí pri registrácii výslovne odmietli marketingovú komunikáciu.
• Maximálna frekvencia — 2 e-mialové oznámenia mesačne.

VÝSLEDOK TESTU 5: Za podmienky dodržania všetkých kumulatívnych podmienok soft opt-in oprávnený záujem prevažuje. Upozornenie: voči Uchádzačom (fyzickým osobám nemajúcim s Jobiflow zmluvu) sa soft opt-in neuplatňuje — pre ich marketingové oslovovanie je nutný výslovný súhlas podľa čl. 6 ods. 1 písm. a) GDPR.

Test č. 5 – Uplatňovanie a obhajoba právnych nárokov

KROK 1: Test účelu

Záujem: Schopnosť brániť sa pred neoprávnenými nárokmi tretích strán a vymáhať vlastné nároky. Bez možnosti uchovávať dôkazné materiály by Jobiflow nemohol efektívne chrániť svoje práva ani práva svojich zákazníkov.

Záver kroku 1: Splnený.

KROK 2: Test nevyhnutnosti

Nevyhnutnosť: Bez uchovávania relevantných údajov by Jobiflow nemohol v prípade sporu preukázať svoju pozíciu. Alternatívou by bolo okamžité mazanie údajov po skončení zmluvy, čo by však znemožnilo obhajobu v rámci premlčacej lehoty.

Záver kroku 2: Splnený.

KROK 3: Test vyváženia

Rozumné očakávania: Stredne vysoké. Informovaný používateľ očakáva, že zmluvné údaje a komunikácia sa uchovávajú určitý čas aj po skončení zmluvy.

Záruky

• Údaje v tomto režime sa spracúvajú obmedzene — len na uplatnenie/obhajobu, nie na iné účely (nie marketing, nie profilovanie).
• Doba uchovávania sa obmedzuje na premlčaciu lehotu konkrétnych nárokov (pri obchodných vzťahoch zvyčajne 4 roky podľa § 397 Obchodného zákonníka; pri všeobecných nárokoch 3 roky podľa § 101 Občianskeho zákonníka).
• Po právoplatnom ukončení sporu a uplynutí premlčacej lehoty sa údaje bezpečne likvidujú.
• Prístup k údajom v tomto režime má obmedzený okruh osôb (právne oddelenie, vedenie, poverení právni poradcovia).

VÝSLEDOK TESTU 6: Oprávnený záujem na obhajobe právnych nárokov prevažuje. Spracúvanie je prípustné v rozsahu premlčacej lehoty konkrétnych nárokov.

Súhrnný záver testu proporcionality

Na základe vykonaných testov proporcionality sa konštatuje, že oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR je platným a primeraným zákonným titulom pre nasledujúce spracovateľské činnosti Jobiflow:

• Test 1 – sprístupnenie profilu Uchádzača Klientovi — PREŠIEL
• Test 2 – prevádzka a bezpečnosť systému — PREŠIEL
• Test 3 – štatistika a analýza — PREŠIEL pre interné metriky; pre cookies tretích strán súhlas
• Test 4 – marketing voči Klientom (soft opt-in) — PREŠIEL za podmienky dodržania kumulatívnych podmienok
• Test 5 – obhajoba právnych nárokov — PREŠIEL

Povinnosti Jobiflow v súvislosti s týmto testom

• Zverejniť v Zásadách spracúvania OÚ všetky relevantné informácie o spracúvaní na základe oprávneného záujmu vrátane možnosti namietania podľa čl. 21 GDPR. Splnené (čl. 11.6 Zásad).
• Umožniť dotknutým osobám jednoducho namietať proti spracúvaniu. Splnené cez kontaktné e-maily.
• Uchovávať tento dokument a sprístupniť ho na žiadosť dozorného orgánu alebo dotknutej osoby (v relevantnom rozsahu).
• Revidovať tento dokument minimálne raz ročne a pri každej zmene spracovateľskej činnosti, pri rozšírení AI funkcií, pri zmene legislatívy alebo pri rozhodnutí EDPB/ÚOOÚ relevantnom pre niektorý z testov.
• Pri žiadosti o namietanie podľa čl. 21 GDPR bez zbytočného odkladu posúdiť dôvody námietky a buď spracúvanie ukončiť, alebo písomne preukázať závažné oprávnené dôvody, ktoré prevažujú nad záujmami dotknutej osoby.

História revízií

Jobiflow s. r. o.