Praktický průvodce zákonným zpracováním údajů, citlivými záznamy o zaměstnancích, žádostmi o údaje, dobou uchovávání a výběrem poskytovatelů služeb v oblasti lidských zdrojů.
Záznamy o zaměstnancích vyžadují jasná pravidla: co shromažďujete, kdo k nim má přístup a kdy by měly být vymazány. Začněte s účelem každého záznamu, nikoli se seznamem informací, které by se mohly někdy v budoucnu hodit.
Informace ověřeny dne 21. září 2026. Důležitou roli hrají také vnitrostátní předpisy v oblasti zaměstnanosti a okolnosti zpracování.
Kontaktní údaje, informace o mzdách, pracovní doba a záznamy o výkonu slouží k různým účelům. U každé kategorie zaznamenejte účel, osoby, které k ní potřebují přístup, a příslušná pravidla pro uchovávání údajů. Personální systém by vám měl pomoci tyto rozdíly jasně oddělit.
Nařízení GDPR vyžaduje minimalizaci údajů. Skutečnost, že jste zaměstnavatelem, neznamená obecné oprávnění ke shromažďování soukromých údajů zaměstnanců. Údaje o trestních odsouzeních a přestupcích se řídí článkem 10, odděleně od zvláštních kategorií uvedených v článku 9. GDPR, články 5, 9 a 10
Zvláštní pozornost je třeba věnovat zdravotním informacím, členství v odborech a biometrickým údajům používaným k jednoznačné identifikaci. U zpracování údajů zvláštní kategorie je třeba určit jak právní základ podle článku 6, tak i příslušnou podmínku podle článku 9. Nutnost z hlediska pracovního práva podle čl. 9 odst. 2 písm. b) závisí na oprávnění stanoveném v právu EU nebo vnitrostátním právu, případně v příslušné kolektivní smlouvě, která obsahuje záruky. EDPB: zákonné zpracování a citlivé údaje
Smluvní nezbytnost, zákonná povinnost a oprávněné zájmy jsou v pracovněprávních vztazích běžné, avšak vhodný právní základ závisí na dané činnosti. Pouhá existence smluvní doložky ještě neznamená, že každé související použití údajů je nezbytné. Oprávněné zájmy vyžadují posouzení nezbytnosti a vyváženosti; na monitorování se mohou vztahovat další vnitrostátní předpisy.
Souhlas je často nevhodný v případech, kdy pracovní poměr brání svobodné volbě. Pokud je použit, musí být možné jej odmítnout nebo odvolat bez jakýchkoli negativních důsledků. Před zahájením zpracování zdokumentujte právní základ. EDPB: právní základy
U informací shromážděných přímo od zaměstnance článek 13 obvykle vyžaduje poskytnutí informací o ochraně osobních údajů v okamžiku získání těchto údajů. Údaje získané z jiných zdrojů spadají pod článek 14, který stanoví vlastní lhůty a výjimky. Uveďte účely, právní základy, příjemce, dobu uchovávání, případné předávání a příslušná práva. Potvrzení o seznámení se s oznámením neznamená souhlas se všemi činnostmi, které jsou v něm popsány. GDPR, články 13 a 14
Zajistěte, aby bylo oznámení po nástupu snadno k nalezení. Pokud se zaměstnanec zeptá na konkrétní způsob využití svých údajů, měl by mu někdo být schopen vysvětlit, jaký proces se za daným zněním skrývá.
Zaměstnanci mohou požádat o přístup k údajům a jejich opravu a v závislosti na okolnostech mohou mít právo na výmaz, omezení zpracování, přenositelnost údajů nebo vznesení námitky. Výmaz není bezpodmínečný: zákonné povinnosti uchovávání údajů a právní nároky mohou odůvodnit uchování některých záznamů. Omezení zpracování rovněž neznamená absolutní zákaz jakéhokoli použití uchovávaných informací.
Přenositelnost se týká údajů poskytnutých fyzickou osobou, které jsou zpracovávány automatizovanými prostředky na základě souhlasu nebo smlouvy. Nevztahuje se na všechny personální záznamy. Žádosti je obvykle třeba vyřídit do jednoho měsíce; případné prodloužení lhůty je nutné odůvodnit v průběhu tohoto prvního měsíce. O opravách, výmazech a omezeních může být nutné informovat příjemce, s výhradou výjimek podle článku 19. EDPB: práva fyzických osob
Užitečný interní pracovní postup je následující:
Neexistuje žádná jednotná tabulka EU pro lhůty uchovávání všech údajů o zaměstnancích. Na mzdové podklady, spisy uchazečů o zaměstnání a záznamy o pracovním lékařství se mohou vztahovat odlišné požadavky. Zaznamenejte důvod pro každou lhůtu, kdy začíná běžet, případnou fázi omezeného archivování a co se stane po uplynutí lhůty.
Francouzský úřad CNIL zveřejnil pokyny k uchovávání údajů v oblasti lidských zdrojů, avšak lhůty specifické pro danou zemi by neměly být prezentovány jako pravidla platná v celé EU. Právní povinnosti uchovávání a zákonné lhůty uchovávání se mohou změnit, pokud je vhodné údaje smazat. CNIL: lhůty uchovávání
Výchozí nastavení softwaru slouží k posouzení, nikoli jako důkaz, že zvolené období je v souladu se zákonem. Do svého procesu zahrňte exporty, propojené služby a nakládání se zálohami.
Záznam o činnostech zpracování popisuje operace, jako je výplata mezd nebo nábor zaměstnanců. Nejedná se o samostatný záznam pro každého nového zaměstnance. Nepředpokládejte, že pokud máte méně než 250 zaměstnanců, tato povinnost pro vás neplatí: výjimka je omezená a průběžné zpracování osobních údajů v rámci personální agendy není příležitostné. EDPB: záznamy a odpovědnost
Pokud dodavatel zpracovává údaje vaším jménem, je nutná smlouva o zpracování údajů podle článku 28. Ostatní příjemci mohou vystupovat jako samostatní nebo společní správci a vyžadují odlišné posouzení; ne každé sdělení údajů představuje vztah se zpracovatelem. GDPR, články 26 a 28
V případě předávání údajů mimo EHP zkontrolujte příslušné rozhodnutí o přiměřenosti nebo záruky, jakož i smlouvu o poskytování služeb. Založení společnosti v EU a umístění serveru samy o sobě nestanovují kompletní tok údajů. EDPB: mezinárodní předávání údajů
PersoHR poskytuje exporty dat, pracovní postupy pro mazání údajů a auditní záznamy na podporu těchto procesů. Vaše organizace se však stále musí rozhodnout, která pravidla se uplatní, odpovídajícím způsobem nakonfigurovat službu a žádosti posoudit, než na ně zareaguje.
Vyzkoušejte PersoHR zdarma po dobu 30 dnů. Není vyžadována žádná kreditní karta.
Zahájit 30denní bezplatnou zkušební verzi