Guide • Compliance • 16 min. čtení
GDPR pro HR: správné zacházení s údaji zaměstnanců
Jak zákonně zpracovávat osobní údaje zaměstnanců podle GDPR — právní základy, uchovávání, práva, zabezpečení a mezinárodní přenosy.
HR data jsou riziková data
Personální funkce nakládají s některými z nejcitlivějších osobních údajů v jakékoli organizaci: kontaktní údaje, mzda, bankovní informace, záznamy o výkonu, zdravotní informace a někdy i prověrky trestní minulosti. Podle obecného nařízení o ochraně osobních údajů (GDPR) a jeho vnitrostátních provedení — irského Data Protection Act 2018 a UK GDPR / Data Protection Act 2018 — musí být tyto údaje zpracovávány zákonně, spravedlivě a transparentně.
Správné zvládnutí je jak právní povinností, tak otázkou důvěry. Zaměstnanci jsou subjekty údajů s vymahatelnými právy a Komise pro ochranu údajů v Irsku (nebo ICO ve Spojeném království) může vyšetřovat stížnosti a ukládat významné pokuty. Zacházejte s údaji zaměstnanců se stejnou přísností jako s údaji zákazníků.
Volba právního základu
Každá činnost zpracování potřebuje právní základ. Častou chybou je opírat se o souhlas v pracovněprávním vztahu. Kvůli nerovnováze moci mezi zaměstnavatelem a zaměstnancem je souhlas zřídka dán svobodně, a proto obvykle není správným základem pro klíčové HR zpracování. Vhodnějšími základy bývají plnění pracovní smlouvy, dodržování právní povinnosti (například daňové a finanční výkaznictví) a oprávněné zájmy.
Údaje spadající do zvláštní kategorie — včetně zdravotních informací používaných pro nemocenskou nebo pracovnělékařské účely — vyžadují podle Article 9 další podmínku, často související se zaměstnaneckým, sociálním zabezpečením a právem sociální ochrany. Každý typ zpracování HR údajů přiřaďte ke svému základu a podmínce a zdokumentujte odůvodnění.
Transparentnost a práva subjektů údajů
Zaměstnanci musí být jasným jazykem informováni, jaké údaje uchováváte, proč, jak dlouho je ponecháváte a s kým je sdílíte. To se obvykle poskytuje prostřednictvím oznámení o ochraně soukromí zaměstnanců, odlišného od vašeho soukromostního oznámení pro zákazníky. Poskytněte jej při náboru a udržujte aktuální.
Subjekty údajů mohou uplatňovat práva, včetně přístupu (žádost o přístup k údajům), opravy, výmazu v některých případech, omezení a námitky. Mějte zdokumentovaný postup pro odpověď ve lhůtě stanovené zákonem (obvykle jeden měsíc). HR je častým příjemcem žádostí o přístup, proto naplánujte, jak budete vyhledávat a anonymizovat údaje uložené napříč systémy.
Uchovávání, minimalizace a zabezpečení
Neuchovávejte údaje déle, než je nezbytné. Vytvořte retenční plán, který odráží jak právní požadavky (mzdy a daňové záznamy, záznamy o pracovní době, dokumentace BOZP), tak skutečnou obchodní potřebu, a po uplynutí těchto období údaje smažte nebo anonymizujte. Shromažďujte pouze to, co skutečně používáte — minimalizace údajů je zásada, nikoli detail.
Bezpečnost je právní požadavek, nikoli jen dobrá praxe. Uplatňujte přístup založený na rolích, aby manažeři viděli pouze to, co potřebují, šifrujte data při přenosu i v rest a veďte auditní stopu toho, kdo k čemu přistoupil. Renomovaný HRIS vám poskytne jemně nastavitelná oprávnění a protokolování přístupů již v základu, což je mnohem bezpečnější než rozptylovat údaje zaměstnanců do tabulek a sdílených disků.
Mezinárodní přenosy a dodavatelé
Pokud vaše HR software nebo poskytovatel mezd ukládá údaje mimo Evropský hospodářský prostor, musíte zajistit odpovídající mechanismus přenosu — rozhodnutí o odpovídající ochraně, standardní smluvní doložky nebo rovnocenná ochranná opatření. Od brexitu jsou přenosy mezi EU a Spojeným královstvím pokryty rozhodnutím o odpovídající ochraně Spojeného království, ale mělo by se to sledovat, protože podléhá přezkumu.
Kdykoli využíváte třetí stranu ke zpracování údajů zaměstnanců, potřebujete písemnou smlouvu o zpracování údajů, která stanoví její povinnosti, a měli byste provést prověrku její bezpečnostní úrovně. Veďte záznam o svých zpracovatelích a o tom, kde jsou data hostována, abyste mohli rychle odpovídat na dotazy a reagovat na incidenty.
