Poslali jste životopis a napadne vás, jestli si teď personalistka zadá vaše jméno do vyhledávače a projde Facebook, Instagram nebo LinkedIn. Žádný zákon to výslovně nezakazuje ani nepovoluje. Pravidla pro to ale existují a dají se shrnout do několika otázek: co firma smí zjišťovat, co po vás nesmí chtít, jestli vám to musí říct a jak se dozvíte, co si o vás uložila.
Krátká odpověď: Že je profil veřejný, ještě neznamená, že ho firma smí pro nábor libovolně použít. Smí zpracovávat jen údaje potřebné pro práci, o kterou se ucházíte, a musí vás o tom informovat. Podle výkladu evropských úřadů pro ochranu údajů nemá právní základ chtít po vás heslo, přidání do přátel ani jiný přístup k neveřejnému obsahu. Zákon pak firmě zakazuje vybírat podle víry, původu, sexuální orientace nebo rodinné situace. Co si o vás zjistila a odkud, se můžete zeptat žádostí o přístup podle GDPR. Odpověď má přijít zpravidla do měsíce a je zdarma.
V článku oddělujeme tři věci: co říká zákon (s odkazem u věty), jak ho vykládají úřady pro ochranu osobních údajů (výklad, ne zákon) a redakční doporučení Sedne. Stav práva je ověřený k 6. 11. 2026.
Co říká zákon
Vyhledání člověka na internetu a uložení toho, co o něm firma najde, je zpracování osobních údajů. Na nábor se proto vztahuje obecné nařízení o ochraně osobních údajů (GDPR) a k tomu české pracovní předpisy.
Jen pro určitý účel a jen v nezbytném rozsahu. Osobní údaje se smějí shromažďovat pro určité a legitimní účely a musí být omezené na nezbytný rozsah ve vztahu k tomuto účelu. GDPR, čl. 5 odst. 1 písm. b) a c) U náboru je účelem posoudit, zda se hodíte na konkrétní práci. Fotky z dovolené k tomu obvykle potřeba nejsou.
Oprávněný zájem. Pro kontrolu na internetu připadá v úvahu hlavně oprávněný zájem firmy (jako příklad ho uvádí i výklad WP29 níže). Ten obstojí jen tehdy, pokud před ním nemají přednost vaše zájmy a základní práva. GDPR, čl. 6 odst. 1 písm. f) Firma tedy musí umět vysvětlit, proč kontrolu potřebuje a proč nejde příliš daleko.
Jen údaje, které souvisejí se smlouvou. Zaměstnavatel smí od uchazeče nebo od jiných osob vyžadovat jen údaje, které bezprostředně souvisejí s uzavřením pracovní smlouvy. Zákoník práce, § 30 odst. 2 Úřad pro ochranu osobních údajů (ÚOOÚ) k tomu uvádí, že relevantní jsou informace o kvalifikaci, pracovní praxi, dovednostech a znalostech uchazeče. ÚOOÚ: otázky a odpovědi pro zaměstnavatele
Výslovně vyjmenovaná soukromá témata. Při výběru zaměstnanců nesmí zaměstnavatel vyžadovat informace o národnosti, rasovém nebo etnickém původu, politických postojích, členství v odborech, náboženství, filozofickém přesvědčení a sexuální orientaci, pokud to nedovoluje zvláštní předpis. Nesmí chtít ani informace odporující dobrým mravům a osobní údaje, které neslouží k plnění jeho zákonných povinností. Na vaši žádost musí prokázat, proč požadovaný údaj potřebuje. Zákon o zaměstnanosti, § 12 odst. 2
Zákaz diskriminace. Právo na zaměstnání nelze odepřít mimo jiné kvůli pohlaví, věku, zdravotnímu stavu, náboženství či víře, manželskému a rodinnému stavu nebo povinnostem k rodině, politickému smýšlení či členství v odborech. Zákon o zaměstnanosti, § 4 odst. 2 Antidiskriminační zákon se výslovně vztahuje i na přístup k zaměstnání. Zákon č. 198/2009 Sb., § 1 odst. 1 písm. a) a § 2 odst. 3
Citlivé údaje. Údaje o víře, politických názorech, zdraví nebo sexuální orientaci patří mezi zvláštní kategorie, jejichž zpracování je v zásadě zakázané. GDPR, čl. 9 odst. 1 GDPR sice zná výjimku pro údaje, které člověk sám zjevně zveřejnil GDPR, čl. 9 odst. 2 písm. e), ale ta neruší zákaz diskriminace výše. Podle toho, co o vás firma najde na sítích k víře nebo rodině, vybírat nesmí.
Podobný seznam v zákoníku práce (včetně zákazu získávat tyto informace přes třetí osoby) je formulovaný pro zaměstnance, ne pro uchazeče. Zákoník práce, § 316 odst. 4 Od 1. 1. 2027 do něj přibude záznam v evidenci skutečností důležitých pro práci s dětmi. Zákoník práce ve znění od 1. 1. 2027, § 316 odst. 4 písm. i) Pro uchazeče platí § 30 odst. 2 zákoníku práce a § 12 zákona o zaměstnanosti, který se k 1. 1. 2027 nemění.
Konkrétně na otázky typu, zda máte děti nebo jakou máte víru, a jak na ně u pohovoru reagovat, se zaměřuje článek Zakázané otázky u pracovního pohovoru.
Jak to vykládají úřady pro ochranu údajů
Nejkonkrétnější evropský text k tématu, který jsme našli, je stanovisko č. 2/2017 Pracovní skupiny podle článku 29 (WP29, sdružení evropských úřadů pro ochranu údajů, které dnes nahradil Evropský sbor pro ochranu osobních údajů). Český překlad má na webu ÚOOÚ. WP29: Stanovisko 2/2017 (WP 249), oddíl 5.1
Dvě výhrady k jeho váze: jde o výklad, ne o zákon, a vznikl v roce 2017 ještě k předchozí směrnici. Evropský sbor ho do seznamu dokumentů, které 25. 5. 2018 převzal za své, nezařadil. EDPB: Endorsement 1/2018 Směr ale odpovídá zásadám GDPR popsaným výše. Stanovisko říká (převyprávěno):
- Veřejně dostupný profil sám o sobě neopravňuje firmu, aby údaje z něj zpracovávala pro své účely. Potřebuje právní základ, například oprávněný zájem.
- Před kontrolou má firma zvážit, zda jde o profil pracovní, nebo soukromý. To je podle stanoviska důležité vodítko, zda je kontrola přípustná.
- Firma smí shromažďovat jen údaje nezbytné a důležité pro výkon práce, o kterou se ucházíte.
- Prohlížet veřejné informace o uchazeči na sociálních sítích může jen tehdy, když je to pro danou práci nezbytné, například kvůli posouzení konkrétních rizik u určité funkce, a když o tom uchazeče řádně informuje, třeba přímo v inzerátu.
- O takovém zpracování má být uchazeč informován ještě předtím, než se do náboru zapojí.
- Neexistuje právní základ pro to, aby firma po uchazeči chtěla přidání do přátel nebo jiný přístup k obsahu jeho profilu.
- Údaje z náboru se mají obecně smazat, jakmile je jasné, že nabídku nedostanete nebo ji nepřijmete. Pokud si je firma chce nechat pro budoucí pozice, má vám to říct a dát vám možnost vznést námitku.
Samostatné vodítko ÚOOÚ přímo ke kontrole sociálních sítí uchazečů jsme na webu úřadu nenašli. Jeho odpověď k výběrovým řízením se drží obecného pravidla o kvalifikaci, praxi, dovednostech a znalostech. ÚOOÚ
Co po vás firma chtít nesmí
Kde jde o náš závěr, a ne o doslovné pravidlo, to uvádíme.
- Heslo k účtu nebo přihlášení u pohovoru, aby si náborář prošel váš profil. Zákon heslo výslovně nezmiňuje, jde ale o přístup k neveřejnému obsahu, pro který podle WP29 není právní základ. (Náš výklad z § 30 odst. 2 zákoníku práce a WP29, oddíl 5.1.)
- Žádost o přátelství nebo sledování soukromého účtu jako podmínku náboru. Podle WP29 pro to není právní základ.
- Informace o víře, národnosti, původu, politických postojích, odborech a sexuální orientaci, ať už se ptá přímo, nebo je hledá jinde. Zákon o zaměstnanosti, § 12 odst. 2
- Rozhodnutí podle rodinné situace, například proto, že na sítích vidí malé děti. Zákon o zaměstnanosti, § 4 odst. 2
Méně sporné je podle nás, když se firma podívá na to, co jste sami zveřejnili jako profesní prezentaci a co souvisí s prací: pracovní profil, portfolio nebo odkazy, které jste dali do životopisu. I tady ale platí pravidla o informování a přiměřenosti. Jak profesní odkazy vybrat, popisuje článek Portfolio a profesní odkazy v životopisu.
Musí vám to firma říct?
Ano, obecně musí. Když firma získá vaše údaje jinde než od vás (z internetu, od bývalého zaměstnavatele, z agentury), má vám sdělit mimo jiné, kdo je správce, k jakému účelu a na jakém právním základě údaje zpracovává, jaké kategorie údajů to jsou a z jakého zdroje pocházejí, včetně toho, zda jde o veřejně dostupné zdroje. GDPR, čl. 14 odst. 1 a 2
Kdy. V přiměřené lhůtě, nejpozději do jednoho měsíce od získání údajů. Pokud je firma použije ke komunikaci s vámi, tak nejpozději při prvním kontaktu. GDPR, čl. 14 odst. 3 Povinnost odpadá mimo jiné tehdy, když už tyto informace máte. GDPR, čl. 14 odst. 5 písm. a)
Doporučení Sedne: Informace o zpracování údajů hledejte u inzerátu nebo u formuláře pro odeslání životopisu. Pokud tam o kontrole veřejných profilů nic není a firma ji přesto dělá, je to důvod se zeptat.
Jak zjistit, co si o vás firma uložila
Žádost o přístup. Máte právo zjistit, zda firma vaše údaje zpracovává, a pokud ano, dostat k nim přístup a informace o účelu, kategoriích údajů, příjemcích, době uložení a o všem, co je dostupné o jejich zdroji. Máte také právo na kopii. GDPR, čl. 15 odst. 1 a 3
Lhůta a cena. Firma má odpovědět bez zbytečného odkladu, nejpozději do jednoho měsíce. U složitých nebo početných žádostí může lhůtu prodloužit o další dva měsíce, ale musí vám to do měsíce oznámit i s důvodem. GDPR, čl. 12 odst. 3 Odpověď je zdarma, s výjimkou zjevně nedůvodných nebo opakovaných žádostí. GDPR, čl. 12 odst. 5
Námitka. Pokud firma kontrolu opírá o oprávněný zájem, můžete proti ní vznést námitku. Firma pak údaje dál zpracovávat nesmí, pokud neprokáže závažné oprávněné důvody, které převažují nad vašimi zájmy, nebo je nepotřebuje k právním nárokům. GDPR, čl. 21 odst. 1
Výmaz a stížnost. Údaje, které už firma pro svůj účel nepotřebuje, má na vaši žádost vymazat. GDPR, čl. 17 odst. 1 písm. a) Pokud máte za to, že zpracování porušuje GDPR, můžete podat stížnost u dozorového úřadu, v Česku u ÚOOÚ. GDPR, čl. 77 odst. 1, uoou.gov.cz
Doporučení Sedne: Žádost pošlete písemně (e-mailem stačí) na kontakt pro ochranu osobních údajů uvedený v informacích o zpracování, případně na personální oddělení. Napište, o jaké výběrové řízení šlo a kdy jste se hlásili, a požádejte konkrétně o kopii údajů a o informaci o jejich zdroji. Pokud nábor vede personální agentura, pošlete žádost agentuře i firmě, pro kterou nabírá: z inzerátu často není poznat, kdo údaje fakticky zpracovává. Do žádosti nepřikládejte víc osobních údajů, než je nutné k tomu, aby vás firma dohledala.
Příklad (ilustrační): „Dobrý den, 2. 10. 2026 jsem se ucházel(a) o pozici skladníka ve vaší firmě. Podle čl. 15 GDPR žádám o potvrzení, zda zpracováváte mé osobní údaje, a pokud ano, o jejich kopii a informaci, odkud pocházejí, k jakému účelu je zpracováváte a jak dlouho je uchováte.“
Co si upravit sami (redakční doporučení)
Následující body nejsou zákonná povinnost. Jde o praktické kroky, které doporučujeme, protože nevíte, jak pečlivě konkrétní firma pravidla dodržuje.
- Vyhledejte se sami. Zadejte své jméno (a jméno s městem nebo oborem) do vyhledávače v anonymním okně prohlížeče, kde nejste přihlášení. Uvidíte zhruba to, co uvidí cizí člověk.
- Zkontrolujte, co je veřejné. U soukromých účtů projděte nastavení soukromí: kdo vidí příspěvky, fotky, seznam přátel a starší obsah. Pokud nechcete, aby soukromý profil byl dohledatelný podle jména, podívejte se na nastavení vyhledávání v dané síti.
- Oddělte pracovní a soukromé. Pracovní profil má sloužit práci: aktuální pozice a období mají odpovídat životopisu. Rozpory v datech budí víc otázek než fotka z oslavy.
- Nemažte všechno najednou. Úplně prázdná nebo právě založená stopa může vypadat zvláštně. Lepší je skrýt soukromé a nechat viditelné to, co o vás jako o pracovníkovi vypovídá dobře.
- Nic nevymýšlejte. Profil s vymyšlenými zkušenostmi nebo funkcemi se dá snadno porovnat s životopisem a referencemi.
Co do samotného životopisu patří a co ne (fotka, datum narození, rodinný stav), rozebírá článek Jaké osobní údaje dát do životopisu.
Časté otázky
U pohovoru po mně chtěli ukázat Facebook v telefonu. Musím?
Nemusíte. Podle výkladu WP29 není právní základ pro to, aby firma po uchazeči chtěla přístup k obsahu jeho profilu. Můžete klidně odpovědět, že soukromý profil nesdílíte, a nabídnout pracovní profil nebo portfolio. Jak u pohovoru odmítnout nevhodný dotaz bez konfliktu, popisuje článek Zakázané otázky u pracovního pohovoru.
Firma mě odmítla a myslím si, že kvůli něčemu ze sítí. Co můžu udělat?
Podejte žádost o přístup podle čl. 15 GDPR. Dozvíte se, jaké údaje o vás firma má a odkud. GDPR, čl. 15 Pokud z odpovědi plyne, že vás vyřadila kvůli víře, původu nebo rodinné situaci, může jít o diskriminaci. Pak se obraťte na odborníka. Bezplatné základní poradenství k ochraně pracovněprávních vztahů a zaměstnanosti poskytují oblastní inspektoráty práce. SÚIP: Poskytování poradenství Výsledek sporu záleží na důkazech a nelze ho předem slíbit.
Platí to i pro personální agenturu?
GDPR platí pro každého, kdo vaše údaje zpracovává, tedy i pro agenturu. Agentura práce vás zaměstnává a přiděluje k práci u jiné firmy (uživatele) Zákon o zaměstnanosti, § 14 odst. 1 písm. b), takže je vaším zaměstnavatelem a vztahují se na ni i pravidla pro zaměstnavatele popsaná výše. Jestli agentura po vás smí chtít poplatek, rozebírá článek Smí agentura práce chtít poplatek.
Kam dál
Pokud teprve hledáte, kam se přihlásit, nabídky najdete bez registrace na stránce Nabídky práce. U každého inzerátu se vyplatí otevřít i informace o zpracování osobních údajů: dozvíte se z nich, co firma o uchazečích zjišťuje.
Článek je obecná informace, ne individuální právní poradenství. U některých profesí (například s bezpečnostní prověrkou nebo prací s dětmi) stanoví zvláštní zákony další pravidla prověřování.
Zdroje
- Nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR), čl. 5 odst. 1 písm. b) a c), čl. 6 odst. 1 písm. f), čl. 9 odst. 1 a 2 písm. e), čl. 12 odst. 3 a 5, čl. 14 odst. 1, 2, 3 a 5, čl. 15 odst. 1 a 3, čl. 17 odst. 1 písm. a), čl. 21 odst. 1, čl. 77 odst. 1; české znění Úř. věst. L 119, 4. 5. 2016; otevřeno 6. 11. 2026.
- Zákon č. 262/2006 Sb., zákoník práce, § 30 odst. 2, § 316 odst. 4; znění verze 64 (1. 11. až 31. 12. 2026); ve verzi 65 (od 1. 1. 2027) se § 30 nemění a § 316 odst. 4 se doplňuje o písm. i); otevřeno 6. 11. 2026.
- Zákon č. 435/2004 Sb., o zaměstnanosti, § 4 odst. 2, § 12 odst. 2, § 14 odst. 1 písm. b); znění verze 87 (1. 7. až 31. 12. 2026); ve verzi 88 (od 1. 1. 2027) je § 12 beze změny; otevřeno 6. 11. 2026.
- Zákon č. 198/2009 Sb., antidiskriminační zákon, § 1 odst. 1 písm. a), § 2 odst. 3; znění verze 5 (od 1. 1. 2018); otevřeno 6. 11. 2026.
- Pracovní skupina WP29: Stanovisko 2/2017 ke zpracování údajů na pracovišti (WP 249), přijato 8. 6. 2017, oddíly 5.1 a 5.2, český překlad na webu ÚOOÚ; anglický originál; otevřeno 6. 11. 2026.
- EDPB: Endorsement 1/2018, 25. 5. 2018; otevřeno 6. 11. 2026.
- ÚOOÚ: Otázky a odpovědi, zaměstnavatelé; otevřeno 6. 11. 2026.
- SÚIP: Poskytování poradenství; otevřeno 6. 11. 2026.