Zákonník práce ukladá zamestnávateľovi viesť evidenciu pracovného času, práce nadčas, nočnej práce, aktívnej časti a neaktívnej časti pracovnej pohotovosti zamestnanca tak, aby bol zaznamenaný začiatok a koniec časového úseku, v ktorom zamestnanec vykonával prácu alebo mal nariadenú alebo dohodnutú pracovnú pohotovosť. Pri evidencii dochádzky teda ide o spracúvanie osobných údajov na základe osobitného predpisu a právny základ spracúvania osobných údajov bude čl. 6 ods. 1 písm. c) GDPR. Zákonník už však ďalej nevymenúva spôsob evidencie ani typ zariadení, ktoré majú na tento účel poslúžiť. Treba však dbať na to, aby zamestnávateľ spracúval iba také osobné údaje, ktoré sa budú riadiť princípom minimalizácie (čokoľvek navyše by bolo v rozpore s GDPR).

Tu by sme radi upriamili pozornosť na rozlišovanie „evidencie“ a „kontroly“ dochádzky. Ide totiž o dva rozdielne účely spracúvania osobných údajov. V niektorých prípadoch môžeme povedať, že sa spracúvajú osobné údaje iba v rozsahu § 99 Zákonníka práce (napríklad priloženie čipovej kartičky zamestnancom do čítačky). Niektorí zamestnávatelia však potrebujú zároveň pri priložení kartičky do čítačky zistiť, či ju prikladá naozaj ten zamestnanec, ktorý má a používajú ešte napríklad vyhotovenie fotografie, odtlačok prsta a pod. (biometrické údaje). Tu už sa bavíme o inom účele spracúvania osobných údajov, pretože jedna vec je evidencia dochádzky a druhá kontrola identifikácie osoby vykonávajúcej dochádzku. Z vyššie uvedenej zásady minimalizácie údajov totiž vyplýva, že ak u niektorých zamestnancov stačí kontrola dochádzky prostredníctvom čipov alebo kartičiek, nie je nevyhnutné na dosiahnutie účelu spracúvania osobných údajov spracúvať osobitnú kategóriu osobných údajov (biometriu a pod.), a teda by prípadná kontrola zo strany úradu konštatovala spracúvanie v rozpore s GDPR.

V prípade, ak sa zamestnávateľ rozhodne, že bude kontrolovať dochádzku zamestnanca, tzn. chce si overiť, či osoba, ktorá dochádzku vykonala, je tá, ktorej sa dochádzka týka (napr. z dôvodu zabránenia falšovaniu evidencie dochádzky, zaznamenávania evidencie dochádzky zamestnancami za iných zamestnancov a podobne), je potrebné overiť oprávnenosť takejto kontroly z pohľadu GDPR. Obhájenie súladu kontroly dochádzky prostredníctvom biometrie s GDPR v nadväznosti na vyššie uvedené výkladové stanoviská je problematické. Oprávnený záujem prevádzkovateľa podporený zákonnou právnou úpravou nie je automatický, ale je potrebné, aby mal prevádzkovateľ vypracované príslušné dokumenty obsahujúce napríklad záznam z prerokovania so zástupcami zamestnancov, analýzu na obhájenie vážnych dôvodov spočívajúcich v osobitnej povahe činností zamestnávateľa, informovanie zamestnancov a mnohé iné.