Ochrana osobních údajů zaměstnanců

Sedíš nad osobním spisem a říkáš si: „Fakt musím mít tolik papírů a souhlasů?“ Jasně. Ale ne všechno a ne vždycky. Když víš proč a jak, ochrana osobních údajů zaměstnanců je zvládnutelná rutina. Bez paniky. A bez pokut.

Co přesně chráníš a proč na tom záleží

Ochrana osobních údajů zaměstnanců není volnočasovka právníků. Je to povinná výbava každé firmy s jediným člověkem na výplatnici. GDPR a zákoník práce ti říkají, jaká data sbíráš, za jakým účelem, jak dlouho je držíš a komu je smíš ukázat. Jednoduchá rovnice: méně dat = menší riziko. Přesně.

Co je osobní údaj u zaměstnanců

Identifikace: jméno, adresa, rodné číslo, e-mail, telefon.

Mzdové údaje: mzda, odměny, srážky, číslo účtu.

Personální info: pracovní smlouvy, hodnocení, docházka, školení.

Citlivější kategorie (zvláštní údaje): nemoc, úraz, těhotenství, odbory, víra – bacha, většinou jen s výjimkou dle práva, ne na „souhlas“.

Technické stopy: IP logy, přístupové karty, GPS služebního auta, záznamy kamer.

Tip: Pokud si nejsi jistý, jestli je údaj nutný, zeptej se: „Kdybych ho neměl, zvládnu vyplatit mzdu a splnit zákon?“ Když ano, pryč s ním.

Základ? Zpracovávat data zákonně, korektně, bezpečně a jen po nezbytnou dobu. A umět to vysvětlit. V praxi to znamená tři věci: správný právní základ, transparentní informování a evidence toho všeho.

Jaký je správný právní základ pro HR agendu

Souhlas zaměstnance je výjimka, ne default. V pracovních věcech jedeš hlavně na „smlouvu“, „právní povinnost“ a „oprávněný zájem“.

Účel zpracování	Právní základ	Příklady	Poznámka
Uzavření a plnění pracovní smlouvy	Plnění smlouvy	osobní údaje v pracovní smlouvě, kontakty, docházka	Souhlas netřeba
Mzdy, daně, odvody	Právní povinnost	mzdové listy, ELDP, nemocenská	Lhůty drží zákony
BOZP a školení	Právní povinnost	záznamy o školení, úrazech	Jen co vyžadují předpisy
Ochrana majetku, IT bezpečnost	Oprávněný zájem	logy přístupů, CCTV bez zvuku	Proveď test proporcionality
Nábor (talent pool)	Souhlas / oprávněný zájem	uchování CV po výběrku	Když není souhlas, striktní lhůty
Benefity (karty, multisport)	Plnění smlouvy / souhlas	předání jmenných seznamů poskytovatelům	Jasně informuj
Zvláštní údaje (zdraví)	Pracovní právo / sociální ochrana	potvrzení o dočasné pracovní neschopnosti	Drž minimální rozsah

Tip: Když používáš „oprávněný zájem“, měj krátký písemný test: účel, nezbytnost, převažující práva. Dvě stránky max. Zachrání ti záda, až přijde kontrola.

Jak a kdy zaměstnance informovat

Musíš říct co, proč, jak dlouho a komu. Ideálně formou „Informace o zpracování osobních údajů zaměstnanců“. Před podpisem smlouvy nebo nejpozději při nástupu.

Co má být v informaci:

Správce (tvoje firma) a kontakty na pověřence, pokud ho máš.

Účely a právní základy.

Kategorie příjemců (mzdy, zdravotní pojišťovny, IT dodavatelé…).

Doby uchování.

Práva zaměstnance (přístup, oprava, námitka, stížnost ÚOOÚ).

Případné předání mimo EU a záruky.

Minimalizace, přesnost a skartace: tři zásady, které tě ochrání

Největší průšvihy vznikají z přebytků. Sběru „co kdyby se hodilo“. Takhle ne.

Shromažďuj minimum a drž pořádek

Neptej se na rodinný stav, fotku do spisu ani rodné číslo uchazeče, pokud to není nutné.

Žádné kopírování občanek do šuplíku. Ověření stačí evidovat záznamem.

Hodnocení a zápisy piš věcně. Emoce patří na kafe, ne do personální složky.

Lhůty uchování — jak dlouho co držet

Neexistuje jedno kouzelné číslo. Řídíš se právními předpisy a rozumností. Tady máš orientační rozcestník (vždy zkontroluj svůj obor a aktuální zákony):

Dokument/údaj	Doporučená doba	Důvod/opora
Mzdové listy	30 let	zákony o nemocenském a důchodovém pojištění
Účetní doklady k mzdám	5–10 let	zákon o účetnictví a DPH
Pracovní smlouvy a dodatky	10 let po skončení	pro obranu nároků
Docházka	3 roky	pro inspekci práce a spory
BOZP školení	5–10 let dle typu	předpisy BOZP
Životopisy neúspěšných uchazečů	6 měsíců (bez souhlasu)	oprávněný zájem na obraně
Záznamy CCTV	3–30 dní	proporcionalita a účel

Tip: Měj „Skartační a archivační plán“ na jednu stránku. Sloupce: co, proč, kde je to uložené, kdo maže, kdy maže.

Bezpečnost: technická a organizační opatření, která dávají smysl

Bezpečnost není firewall za milion. Je to mix malých věcí, které děláš každý den.

Technická opatření

Správná přístupová práva: HR vidí HR, mzdová účetní vidí mzdy, nikdo jiný.

Dvoufaktor a silná hesla, šifrování notebooků a záloh.

Logování přístupů do mzdového systému a do personálních složek.

Oddělená úložiště pro zvláštní kategorie údajů (zdraví, odbory).

Organizační opatření

Politika clean desk a čisté obrazovky. Krabičky s personalistikou nenechávej v recepci.

Školení zaměstnanců: phishing, ztráta zařízení, jak nahlásit incident.

Dohody o mlčenlivosti v pracovních smlouvách a u dodavatelů.

Jasný postup „kdo má přístup a proč“, pravidelné revize práv.

Monitoring: kamery, GPS a e-maily — co můžeš a co už je přes čáru

Jasně, chceš chránit majetek. Ale člověk není pod mikroskopem 24/7. Hranice jsou jasné: účel, přiměřenost, informování.

Kamery (CCTV)

Bez zvuku. Zvuk je téměř vždy příliš.

Ne v šatnách, WC, odpočinkových zónách.

Viditelné piktogramy a stručná informace na místě + detail v interním dokumentu.

Krátké retenční doby (typicky 3–7 dní), delší jen s velmi dobrým důvodem.

GPS a sledování vozidel

Pro vozidla sloužící práci OK, ale ne 24/7. Mimo pracovní dobu vypnout nebo anonymizovat.

Měj interní směrnici, kdo data vidí a proč.

E-maily a IT logy

Kontroluje se provoz (metadata), ne čtení obsahu. Obsah jen při vážném důvodu a podle pravidel.

Informuj zaměstnance o pravidlech používání IT a možnostech kontroly.

Soukromé užití firemního e-mailu? Buď zakázat, nebo jasně definovat míru tolerance.

Zpracovatelé, sdílení a předávání do ciziny — na co nezapomenout

Když ti mzdy dělá účetní kancelář nebo používáš cloud, nejsi na to sám. Ale papíry musí sedět.

S kým sdílíš a proč

Povinní příjemci: finančák, ČSSZ, zdravotní pojišťovny.

Zpracovatelé: mzdové firmy, poskytovatelé benefitů, IT hosting, bezpečnostní agentury.

S každým zpracovatelem měj smlouvu o zpracování údajů (DPA): účel, bezpečnost, sub-subdodavatelé, auditní práva, výmaz/vrácení po ukončení.

Přeshraniční předání

EU/EHP? V pohodě.

Mimo EU? Standardní smluvní doložky (SCC), posouzení práva třetí země, doplňková opatření. Zní to složitě, ale je to rutina.

Dokumentace: co mít v šuplíku (a klidně jen v cloudu)

Papír snese hodně, ale ty potřebuješ přesné minimum, které tě kryje.

Záznamy o činnostech zpracování (ROPA) — stručné tabulky, žádné romány.

Informace zaměstnancům (privacy notice) — lidsky, ne paragrafy.

Směrnice: přístupy, skartace, monitoring, práce na dálku.

DPA se zpracovateli + evidence přístupů a předání.

DPIA (posouzení vlivu), když děláš něco „ostřejšího“: rozsáhlá CCTV, biometrie, systematický monitoring.

Incidenty a práva zaměstnanců: co dělat, když se něco pokazí

Únik? Ztracený notebook? Chybný adresát výplatní pásky? Stává se. Důležité je, co uděláš hned.

První pomoc při incidentu

Zastav krvácení: zablokuj účty, resetuj hesla, odpoj zařízení.

Zjisti rozsah: jaké údaje, kolik lidí, jaké riziko.

Zapiš to: co, kdy, kdo, jaké opatření.

Vyhodnoť hlášení ÚOOÚ (72 hodin, když hrozí riziko) a informování dotčených osob, pokud je riziko vysoké.

Práva zaměstnanců

Přístup k údajům a kopie.

Oprava nepřesností.

Námitka proti zpracování z oprávněného zájmu.

Výmaz tam, kde to jde (nepůjde u mzdových záznamů – právo nad povinnost).

Jak to nastavit chytře v Doklad.ai (a nezbláznit se)

Nechceš žít v exceli a poštovních krabicích. Postav si to na pár jednoduchých návycích a nástrojích.

Praktický mini‑workflow

Vytvoř si „mapu zpracování“: účel → právní základ → kde je to uložené → komu to posíláš → lhůta → odpovědný.

Nahrávej personalistiku a mzdové doklady do zabezpečeného úložiště, rozděleně podle přístupu.

Nastav retenční politiky a kvartálně projdi položky k výmazu.

Zaveď jednoduchý formulář pro hlášení incidentů a krátký postup na zdi v HR.

Jednou ročně revize: zpracovatelé, přístupy, směrnice, informování.

AI Asistent — živá ukázka

Napište zprávu...

Tip: V Doklad.ai si u citlivých složek zapni přístup jen pro roli „Mzdová/Human Resources“ a auditní logy. Když se někdo podívá tam, kam nemá, víš o tom do minuty.

Vzory a checklist: ať na nic nezapomeneš

Co máš mít připravené hned teď

Informace o zpracování pro zaměstnance (aktuální a srozumitelné).

Záznamy o činnostech (ROPA) – klidně jedna tabulka.

DPA se všemi zpracovateli (mzdy, IT, benefity, ostraha).

Skartační plán a retenční nastavení v systémech.

Směrnici k monitoringu (CCTV, IT logy, GPS), když používáš.

Postup pro incidenty a školení zaměstnanců.

Jak nastavit komunikaci se zaměstnancem

Na nástupu dej informaci o zpracování, vysvětli monitoring a kontakty.

Při změnách (nový benefit, nový zpracovatel) obnov informaci a interně ji oznám.

Když přijde žádost dle GDPR, potvrď přijetí, ověř identitu a odpověz do 30 dnů.

Nejčastější přešlapy a jak se jim vyhnout

Slepé sbírání souhlasů na všechno. Ne. Souhlas je výjimečný a snadno odvolatelný.

Nekonečná retenční doba „pro jistotu“. Zbytečně rizikové.

Kopírování občanek, zbytečné skeny lékařských zpráv. Minimalizuj.

Kamery všude bez testu přiměřenosti a informace na místě. Zbytečné pokuty.

Sdílení mzdových údajů e-mailem bez šifrování. Přepni na zabezpečené doručení.

Praktické příklady z HR praxe (ano, tohle řešíš každý měsíc)

Uchazeč o práci poslal CV a ty ho chceš „nechat v zásobníku“

Bez souhlasu drž max. 6 měsíců kvůli obraně proti diskriminačním sporům.

Se souhlasem si nastav konkrétní dobu (např. 1 rok) a možnost odvolání.

Zaměstnanec na neschopence

Eviduješ jen to, co potřebuješ pro mzdy a povinné systémy. Nepatří sem diagnóza.

Dokumenty drž daleko od běžné personálky, přístup jen mzdovka.

Sdílení fotek z teambuildingu na firemní sít

Souhlas se zveřejněním fotek je nutný, pokud nejde o reportáž z veřejné akce.

Nabídni bezpečnou alternativu: vnitrofiremní galerie bez veřejného přístupu.

Docházka pomocí biometriky

Vysoce citlivé. Bez silného právního důvodu (zákon/bezpečnost kritické infrastruktury) se tomu vyhni. Hledej méně invazivní metody.

Krizový scénář: omylem jsi poslal výplatnici jinému zaměstnanci. Co teď?

Okamžitě kontaktuj omylem osloveného, požádej o smazání, ověř a zdokumentuj.

Informuj dotčeného zaměstnance, pokud hrozí riziko pro jeho práva (typicky ano).

Vyhodnoť hlášení ÚOOÚ do 72 hodin. Zapiš do interního registru incidentů.

Uprav proces: šablony, kontrola příjemce, šifrované doručování.

Závěrem: nastav si ochranu osobních údajů zaměstnanců jednou, udržuj lehce

Ochrana osobních údajů zaměstnanců není o stohu papírů. Je to pár jasných pravidel, která ti šetří čas i nervy. Když víš, proč data máš, jak dlouho je držíš a kdo se na ně dívá, jsi v klidu. A tví lidi taky. Drž se minimalizace, přiměřenosti a slušné bezpečnosti a máš hotovo.

Časté otázky

Potřebuju od zaměstnance souhlas se zpracováním osobních údajů?

Většinou ne. Personální a mzdová agenda jede na právní povinnosti a plnění smlouvy. Souhlas použij výjimečně (např. talent pool po náboru nebo zveřejnění fotky na webu) a vždy s možností snadného odvolání.

Jak dlouho můžu uchovávat osobní spisy zaměstnanců?

Závisí na typu dokumentu. Mzdové listy až 30 let, pracovní smlouvy doporučeně 10 let po skončení, docházku zpravidla 3 roky. Nastav si skartační plán a drž se ho — univerzální lhůta neexistuje.

Můžu sledovat e-maily zaměstnanců?

Můžeš monitorovat provozní data a dodržování pravidel IT, ale číst obsah je možné jen ve výjimečných situacích a podle předem známých pravidel. Zaměstnance o tom musíš jasně informovat a mít rozumný důvod.

Je legální kamerový systém v kanceláři?

Ano, když máš legitimní účel (ochrana majetku, bezpečnost), uděláš test přiměřenosti, nepoužíváš zvuk a dáš viditelné informace. Nevhodné jsou šatny, toalety a odpočinkové prostory.

Co když mi uniknou mzdové údaje?

Zasaď incident: zablokuj přístupy, zjisti rozsah a riziko, vše zaznamenej. Pokud hrozí riziko pro práva osob, oznam to ÚOOÚ do 72 hodin a informuj dotčené. Následně uprav procesy, aby se to neopakovalo.

Můžu uchovat CV neúspěšných uchazečů „pro příště“?

Bez souhlasu maximálně zhruba 6 měsíců kvůli obraně proti sporům. S výslovným souhlasem si nastav konkrétní dobu (např. 12 měsíců) a respektuj možnost odvolání kdykoli. Uchovej jen minimum a bezpečně.

Ochrana osobních údajů zaměstnanců — povinnosti zaměstnavatele