Praktická príručka k zákonnému spracovaniu údajov, citlivým záznamom o zamestnancoch, žiadostiam o údaje, uchovávaniu údajov a výberu poskytovateľov služieb v oblasti ľudských zdrojov.
Záznamy o zamestnancoch si vyžadujú jasné pravidlá: čo zbierate, kto k nim má prístup a kedy by mali byť vymazané. Začnite s účelom každého záznamu, nie so zoznamom informácií, ktoré by sa mohli niekedy zísť.
Informácie overené 21. septembra 2026. Dôležité sú aj vnútroštátne pracovnoprávne predpisy a okolnosti spracúvania údajov.
Kontaktné údaje, informácie o mzdách, pracovný čas a záznamy o výkone slúžia na rôzne účely. Pre každú kategóriu zaznamenajte účel, osoby, ktoré potrebujú prístup, a príslušné pravidlo uchovávania údajov. Personálny systém by vám mal pomôcť udržiavať tieto rozdiely jasné.
Nariadenie GDPR vyžaduje minimalizáciu údajov. Skutočnosť, že ste zamestnávateľom, neznamená všeobecné oprávnenie na zhromažďovanie súkromných informácií o zamestnancoch. Údaje o trestných rozsudkoch a priestupkoch sa riadia článkom 10, oddelene od osobitných kategórií uvedených v článku 9. GDPR, články 5, 9 a 10
Zdravotné informácie, členstvo v odborových zväzoch a biometrické údaje používané na jednoznačnú identifikáciu si vyžadujú osobitnú pozornosť. Pri spracúvaní osobných údajov osobitnej kategórie je potrebné určiť ako právny základ podľa článku 6, tak aj príslušnú podmienku podľa článku 9. Nutnosť z hľadiska pracovného práva podľa článku 9 ods. 2 písm. b) závisí od oprávnenia podľa práva EÚ alebo vnútroštátneho práva, prípadne od príslušnej kolektívnej zmluvy, ktorá obsahuje náležité záruky. EDPB: zákonné spracúvanie a citlivé údaje
Zmluvná nevyhnutnosť, zákonná povinnosť a oprávnené záujmy sú v oblasti zamestnanosti bežné, avšak vhodný právny základ závisí od konkrétnej činnosti. Ustanovenie v zmluve ešte neznamená, že každé súvisiace použitie údajov je nevyhnutné. Oprávnené záujmy si vyžadujú posúdenie nevyhnutnosti a vyváženosti; na monitorovanie sa môžu vzťahovať ďalšie vnútroštátne predpisy.
Súhlas je často nevhodný v prípadoch, keď pracovný pomer bráni slobodnej voľbe. Ak sa používa, musí byť možné ho odmietnuť alebo odvolať bez negatívnych dôsledkov. Pred začatím spracúvania zdokumentujte právny základ. EDPB: právne základy
V prípade informácií získaných priamo od zamestnanca článok 13 zvyčajne vyžaduje poskytnutie informácií o ochrane osobných údajov v čase získania údajov. Údaje získané z iných zdrojov spadajú pod článok 14, ktorý stanovuje vlastné lehoty a výnimky. Uveďte účely, právne základy, príjemcov, dobu uchovávania, prípadné prenosy a uplatniteľné práva. Potvrdenie o prijatí oznámenia neznamená súhlas so všetkými činnosťami, ktoré v ňom sú uvedené. GDPR, články 13 a 14
Zabezpečte, aby bolo oznámenie po nástupe do zamestnania ľahko nájditeľné. Ak sa zamestnanec opýta na konkrétne použitie svojich údajov, mal by mu niekto vedieť vysvetliť skutočný proces, ktorý sa za daným znením skrýva.
Zamestnanci môžu požiadať o prístup k údajom a ich opravu a v závislosti od okolností môžu mať právo na vymazanie, obmedzenie spracovania, prenosnosť údajov alebo právo na vznesenie námietky. Vymazanie nie je bezpodmienečné: zákonné povinnosti uchovávania údajov a právne nároky môžu odôvodňovať uchovávanie niektorých záznamov. Obmedzenie spracovania tiež neznamená absolútny zákaz akéhokoľvek použitia uchovávaných informácií.
Prenosnosť sa týka údajov poskytnutých fyzickou osobou, ktoré sa spracúvajú automatizovanými prostriedkami na základe súhlasu alebo zmluvy. Nevzťahuje sa na všetky personálne záznamy. Na žiadosti sa zvyčajne musí odpovedať do jedného mesiaca; prípadné povolené predĺženie lehoty sa musí odôvodniť v priebehu tohto prvého mesiaca. O opravách, vymazaní a obmedzeniach môže byť potrebné informovať príjemcov, s výnimkou prípadov uvedených v článku 19. EDPB: práva jednotlivcov
Užitočný interný pracovný postup je nasledovný:
V EÚ neexistuje jednotná tabuľka uchovávania údajov pre všetky údaje o zamestnancoch. Pre mzdové doklady, spisy uchádzačov o zamestnanie a záznamy o pracovnom lekárstve môžu platiť odlišné požiadavky. Zaznamenajte dôvod pre každé obdobie, kedy začína plynieť lehota, prípadnú fázu obmedzeného archivovania a čo sa stane po uplynutí lehoty.
Francúzska CNIL zverejnila usmernenia týkajúce sa uchovávania údajov v oblasti ľudských zdrojov, avšak lehoty platné pre túto krajinu by sa nemali prezentovať ako pravidlá platné v celej EÚ. Právne povinnosti uchovávania a zákonné lehoty uchovávania sa môžu zmeniť, ak je vhodné údaje vymazať. CNIL: lehoty uchovávania
Predvolené nastavenie softvéru slúži na posúdenie, nie ako dôkaz, že zvolené obdobie je v súlade so zákonom. Do svojho postupu zahrňte exporty, prepojené služby a správu záloh.
Záznam o spracovateľských činnostiach opisuje operácie, ako je spracovanie miezd alebo nábor zamestnancov. Nejedná sa o samostatný riadok pre každého nového zamestnanca. Nepredpokladajte, že ak máte menej ako 250 zamestnancov, táto povinnosť sa na vás nevzťahuje: výnimka je obmedzená a priebežné spracovanie údajov v oblasti ľudských zdrojov nie je príležitostné. EDPB: záznamy a zodpovednosť
Ak dodávateľ spracúva údaje v vašom mene, je potrebná zmluva o spracovaní údajov podľa článku 28. Iní príjemcovia môžu pôsobiť ako nezávislí alebo spoloční prevádzkovatelia a vyžadujú si odlišné posúdenie; nie každé poskytnutie údajov predstavuje vzťah so spracovateľom. GDPR, články 26 a 28
V prípade prenosov mimo EHP skontrolujte príslušné rozhodnutie o primeranosti alebo záruky, ako aj zmluvu o poskytovaní služieb. Založenie spoločnosti v EÚ a umiestnenie servera samy o sebe neurčujú kompletný tok údajov. EDPB: medzinárodné prenosy
PersoHR poskytuje export údajov, pracovné postupy na vymazanie údajov a audítorské záznamy na podporu týchto procesov. Vaša organizácia sa však stále musí rozhodnúť, ktoré pravidlá sa uplatňujú, príslušne nakonfigurovať službu a skontrolovať žiadosti predtým, ako na ne zareaguje.
Vyskúšajte PersoHR zadarmo na 30 dní. Nevyžaduje sa kreditná karta.
Začnite 30-dňovú bezplatnú skúšku