General Data Protection Regulation, tedy obecné nařízení o ochraně osobních údajů se netýká pouze zaměstnanců a firem, s kterými právnická či fyzická osoba spolupracuje. GDPR se také promítne do ukončení pracovního poměru.
Účel zpracování osobních údajů
Každý zaměstnavatel musí pro provoz své firmy uchovávat určitá data o svých zaměstnancích. A právě i pro zaměstnavatele platí nové nařízení o ochraně osobních údajů, známé jako GDPR. Pro mzdové plnění, účetnictví, komunikaci a jiné. Tato data tedy slouží k plnění pracovní smlouvy a právních povinností. Pokud ale tato smlouva zanikne, je třeba osobní údaje zaměstnance neodkladně smazat, nebo zvážit, zda v rámci práce existuje nějaký důvod, pro které se tyto údaje mohou nadále uchovávat. Je tedy potřeba sepsat, jaké údaje a proč o svých zaměstnancích uchováváme.
GDPR se dotýká nejen zaměstnanců a zaměstnavatelů, ale i podnikatelů nebo zákazníků nějakého eshopu.
V minulosti tomu bylo tak, že pokud si bývalý zaměstnanec přímo nepodal žádost o výmaz osobních údajů, nemusel zaměstnavatel tento problém řešit. Od 25. května se ale toto vše změní. Zaměstnavatel tak bude muset sám dohlédnout na to, aby veškeré údaje o bývalém podřízeném byly smazány ze všech záznamů. Výmaz se přitom týká jak dokumentů v papírové podobě, tak i elektronické materiály a systémy společnosti. Stejně tak je důležité si uvědomit, že jde jak o dokumenty zaměstnanců pracujících na hlavní pracovní poměr, tak i o dokumenty brigádníků, kteří jsou ve firmě například na dohodu o provedení práce.
Je nutné probrat každý dokument bývalého pracovníka.
Smazaná data na základě výpovědi nelze obnovit
Osobní údaje musejí být odstraněné tak, aby nebyla možná budoucí obnova. Pokud ale používáte systémy, které automaticky archivují i neaktivní účty, můžete se alespoň dočasně pokusit o skrytí těchto dat třetím osobám. Další komplikací je pak zákonná archivační doba, po kterou musejí být určité dokumenty přístupné. Tento problém ale prozatím nemá žádné konkrétní předpisy a řešení. Je možné, že se v budoucnu z archivačního zákona vyjmou osobní složky zaměstnanců, prozatím je ale tento zákon nadřazen GDPR, tudíž počítejte s tím, že některé vaše údaje budou i po vaší výpovědi z pracovního poměru uchovány v rámci archivovaných dokumentů.
Mzdové listy nebo účetní doklady je nutné podle archivačního zákona uchovávat.
Jaké údaje a kdy mohu o svém bývalém zaměstnanci uchovávat?
Jedním z účelů, proč uchovávat osobní údaje po výpovědi z pracovního poměru, je možnost průkaznosti při možném budoucím sporu se svým zaměstnancem. Jedná se například o dokazování náhrady újmy, kdy může zaměstnavatel potřebné spisy uchovávat až po dobu 4 let.
Promlčecí lhůta jsou tři roky, proto je lepší důkazní dokumenty uchovávat po dobu 4 let.
GDPR a archivační doby
Nejdříve je důležité odstranit všechny dokumenty, které se nemusejí archivovat. Přesný výčet těchto dokumentů ale bohužel prozatím neexistuje. Pracovněprávní dokumenty a jejich uchovávání jsou upraveny v několika předpisech. Například účetní záznamy se uchovávají po dobu pěti let. Dokumenty o sociálním pojištění 3 roky, důchodové pojištění 10 let, evidenční listy 3 roky, nemocenské pojištění 10 let, daňové doklady 10 let a papíry o srážkách ze mzdy 30 let.
Dokumenty, které není nutné archivovat, je potřeba ihned po odchodu zaměstnance odstranit.
Díky archivačnímu zákonu ale můžeme uchovávat i výplatní lístky (30 let), dovolenky (10 let), vnitřní předpisy (10 let), docházka (3 roky), pracovní výkazy (3 roky).
Existuje mnoho dokumentů, které ze zákona musí zaměstnavatel uchovávat i po ukončení pracovněprávního vztahu.
Lékařské záznamy bývalého zaměstnance
V GDPR není doba uchování pracovnělékařských posudků upravena. Může se však vycházet ze zákona o účetnictví, tedy doba uchování je možná po dobu 5 až 10 let. Je totiž možné, že vznikne nárok zaměstnance na náhradu škody. Je tedy dobré tyto dokumenty uchovávat po dobu 10 let ukončení pracovního poměru. Jedná se v podstatě o obdobný příklad, který jsme zmiňovali již v předchozích odstavcích.
Je nutné si předem sepsat všechna možná rizika, která mohou v budoucnu nastat a podle toho pak upravit účel uchovávání dat.
Příklad z praxe
Pan Novák má svůj e-shop s vlastními výrobky. K tomu zaměstnává 3 zaměstnance. Nyní chce ukončit pracovní poměr s paní Pokornou. Pan Novák si předem udělal tabulku, ve které vypsal všechny dokumenty, ve kterých uchovává její osobní údaje. Protože nyní již bývalá zaměstnankyně pracovala s balíky ve skladu, je možné, že by v budoucnu mohla žádat o náhradu újmy. Proto pan Novák skartuje všechny papíry, kromě předem stanovených dokumentů, které podléhají archivačním zákonům. Ihned také vymaže všechny údaje v systému e-shopu.
Údaje nezbytné pro zákonné plnění či plnění smluvních závazků, nepodléhají GDPR.
Je důležité také počítat s tím, že zaměstnanec má právo vědět od bývalého zaměstnavatele, jaký je rozsah ponechaných osobních údajů a za jakým účelem je bude zaměstnavatel nadále uchovávat. Může si také zažádat o přesný seznam zlikvidovaných dokumentů.
Pokuty můžete zaplatit i za bývalého zaměstnance
Za nedodržení pravidel GDPR bude následovat vysoká pokuta až do 20 milionů eur. O uplatnění GDPR v praxi se bude starat pověřenec pro ochranu osobních údajů. Na tohoto pověřence se pak mohou všichni zaměstnanci, kteří se cítí být poškození v rámci GDPR obrátit.
Nedodržení pravidel GDPR a pochybení v uchovávání osobních údajů bývalého zaměstnance může vést k několikamiliónové pokutě.
Do května je tedy potřeba nejenom analyzovat všechny své dokumenty pro práci společnosti, ale i sepsat jaké osobní údaje zaměstnanců a za jakých okolností je potřeba uchovávat v případě propuštění zaměstnance. Dalším důležitým bodem je nutnost prověřit, jaké třetí osoby ve firmě mají o tomto člověku záznamy. Je třeba důkladného zabezpečení a výmazu všech podstatných materiálů, které by v budoucnu mohly vést k případnému sporu, a to platí i v případě elektronických dokumentů, které jsou nejvíce manipulovány.
