Ochrana osobních údajů zaměstnanců — povinnosti zaměstnavatele

1. září 2026 · Redakce Doklad.ai · general

Ochrana osobních údajů zaměstnanců bez stresu. Jasné povinnosti zaměstnavatele, praktické příklady, lhůty a checklist. Pojď si to nastavit chytře.

Ochrana osobních údajů zaměstnanců — povinnosti zaměstnavatele

Sedíš nad osobním spisem a říkáš si: „Fakt musím mít tolik papírů a souhlasů?“ Jasně. Ale ne všechno a ne vždycky. Když víš proč a jak, ochrana osobních údajů zaměstnanců je zvládnutelná rutina. Bez paniky. A bez pokut.

Co přesně chráníš a proč na tom záleží

Ochrana osobních údajů zaměstnanců není volnočasovka právníků. Je to povinná výbava každé firmy s jediným člověkem na výplatnici. GDPR a zákoník práce ti říkají, jaká data sbíráš, za jakým účelem, jak dlouho je držíš a komu je smíš ukázat. Jednoduchá rovnice: méně dat = menší riziko. Přesně.

Co je osobní údaj u zaměstnanců

• Identifikace: jméno, adresa, rodné číslo, e-mail, telefon.
• Mzdové údaje: mzda, odměny, srážky, číslo účtu.
• Personální info: pracovní smlouvy, hodnocení, docházka, školení.
• Citlivější kategorie (zvláštní údaje): nemoc, úraz, těhotenství, odbory, víra – bacha, většinou jen s výjimkou dle práva, ne na „souhlas“.
• Technické stopy: IP logy, přístupové karty, GPS služebního auta, záznamy kamer.

💡 Tip: Pokud si nejsi jistý, jestli je údaj nutný, zeptej se: „Kdybych ho neměl, zvládnu vyplatit mzdu a splnit zákon?“ Když ano, pryč s ním.

Jaké má zaměstnavatel povinnosti podle GDPR a zákoníku práce

Základ? Zpracovávat data zákonně, korektně, bezpečně a jen po nezbytnou dobu. A umět to vysvětlit. V praxi to znamená tři věci: správný právní základ, transparentní informování a evidence toho všeho.

Jaký je správný právní základ pro HR agendu

Souhlas zaměstnance je výjimka, ne default. V pracovních věcech jedeš hlavně na „smlouvu“, „právní povinnost“ a „oprávněný zájem“.

💡 Tip: Když používáš „oprávněný zájem“, měj krátký písemný test: účel, nezbytnost, převažující práva. Dvě stránky max. Zachrání ti záda, až přijde kontrola.

Jak a kdy zaměstnance informovat

Musíš říct co, proč, jak dlouho a komu. Ideálně formou „Informace o zpracování osobních údajů zaměstnanců“. Před podpisem smlouvy nebo nejpozději při nástupu.

Co má být v informaci:

• Správce (tvoje firma) a kontakty na pověřence, pokud ho máš.
• Účely a právní základy.
• Kategorie příjemců (mzdy, zdravotní pojišťovny, IT dodavatelé…).
• Doby uchování.
• Práva zaměstnance (přístup, oprava, námitka, stížnost ÚOOÚ).
• Případné předání mimo EU a záruky.

Minimalizace, přesnost a skartace: tři zásady, které tě ochrání

Největší průšvihy vznikají z přebytků. Sběru „co kdyby se hodilo“. Takhle ne.

Shromažďuj minimum a drž pořádek

• Neptej se na rodinný stav, fotku do spisu ani rodné číslo uchazeče, pokud to není nutné.
• Žádné kopírování občanek do šuplíku. Ověření stačí evidovat záznamem.
• Hodnocení a zápisy piš věcně. Emoce patří na kafe, ne do personální složky.

Lhůty uchování — jak dlouho co držet

Neexistuje jedno kouzelné číslo. Řídíš se právními předpisy a rozumností. Tady máš orientační rozcestník (vždy zkontroluj svůj obor a aktuální zákony):

💡 Tip: Měj „Skartační a archivační plán“ na jednu stránku. Sloupce: co, proč, kde je to uložené, kdo maže, kdy maže.

Bezpečnost: technická a organizační opatření, která dávají smysl

Bezpečnost není firewall za milion. Je to mix malých věcí, které děláš každý den.

Technická opatření

• Správná přístupová práva: HR vidí HR, mzdová účetní vidí mzdy, nikdo jiný.
• Dvoufaktor a silná hesla, šifrování notebooků a záloh.
• Logování přístupů do mzdového systému a do personálních složek.
• Oddělená úložiště pro zvláštní kategorie údajů (zdraví, odbory).

Organizační opatření

• Politika clean desk a čisté obrazovky. Krabičky s personalistikou nenechávej v recepci.
• Školení zaměstnanců: phishing, ztráta zařízení, jak nahlásit incident.
• Dohody o mlčenlivosti v pracovních smlouvách a u dodavatelů.
• Jasný postup „kdo má přístup a proč“, pravidelné revize práv.

Monitoring: kamery, GPS a e-maily — co můžeš a co už je přes čáru

Jasně, chceš chránit majetek. Ale člověk není pod mikroskopem 24/7. Hranice jsou jasné: účel, přiměřenost, informování.

Kamery (CCTV)

• Bez zvuku. Zvuk je téměř vždy příliš.
• Ne v šatnách, WC, odpočinkových zónách.
• Viditelné piktogramy a stručná informace na místě + detail v interním dokumentu.
• Krátké retenční doby (typicky 3–7 dní), delší jen s velmi dobrým důvodem.

GPS a sledování vozidel

• Pro vozidla sloužící práci OK, ale ne 24/7. Mimo pracovní dobu vypnout nebo anonymizovat.
• Měj interní směrnici, kdo data vidí a proč.

E-maily a IT logy

• Kontroluje se provoz (metadata), ne čtení obsahu. Obsah jen při vážném důvodu a podle pravidel.
• Informuj zaměstnance o pravidlech používání IT a možnostech kontroly.
• Soukromé užití firemního e-mailu? Buď zakázat, nebo jasně definovat míru tolerance.

Zpracovatelé, sdílení a předávání do ciziny — na co nezapomenout

Když ti mzdy dělá účetní kancelář nebo používáš cloud, nejsi na to sám. Ale papíry musí sedět.

S kým sdílíš a proč

• Povinní příjemci: finančák, ČSSZ, zdravotní pojišťovny.
• Zpracovatelé: mzdové firmy, poskytovatelé benefitů, IT hosting, bezpečnostní agentury.

S každým zpracovatelem měj smlouvu o zpracování údajů (DPA): účel, bezpečnost, sub-subdodavatelé, auditní práva, výmaz/vrácení po ukončení.

Přeshraniční předání

• EU/EHP? V pohodě.
• Mimo EU? Standardní smluvní doložky (SCC), posouzení práva třetí země, doplňková opatření. Zní to složitě, ale je to rutina.

Dokumentace: co mít v šuplíku (a klidně jen v cloudu)

Papír snese hodně, ale ty potřebuješ přesné minimum, které tě kryje.

• Záznamy o činnostech zpracování (ROPA) — stručné tabulky, žádné romány.
• Informace zaměstnancům (privacy notice) — lidsky, ne paragrafy.
• Směrnice: přístupy, skartace, monitoring, práce na dálku.
• DPA se zpracovateli + evidence přístupů a předání.
• DPIA (posouzení vlivu), když děláš něco „ostřejšího“: rozsáhlá CCTV, biometrie, systematický monitoring.

Incidenty a práva zaměstnanců: co dělat, když se něco pokazí

Únik? Ztracený notebook? Chybný adresát výplatní pásky? Stává se. Důležité je, co uděláš hned.

První pomoc při incidentu

• Zastav krvácení: zablokuj účty, resetuj hesla, odpoj zařízení.
• Zjisti rozsah: jaké údaje, kolik lidí, jaké riziko.
• Zapiš to: co, kdy, kdo, jaké opatření.
• Vyhodnoť hlášení ÚOOÚ (72 hodin, když hrozí riziko) a informování dotčených osob, pokud je riziko vysoké.

Práva zaměstnanců

• Přístup k údajům a kopie.
• Oprava nepřesností.
• Námitka proti zpracování z oprávněného zájmu.
• Výmaz tam, kde to jde (nepůjde u mzdových záznamů – právo nad povinnost).

Jak to nastavit chytře v Doklad.ai (a nezbláznit se)

Nechceš žít v exceli a poštovních krabicích. Postav si to na pár jednoduchých návycích a nástrojích.

Praktický mini‑workflow

1. Vytvoř si „mapu zpracování“: účel → právní základ → kde je to uložené → komu to posíláš → lhůta → odpovědný.
2. Nahrávej personalistiku a mzdové doklady do zabezpečeného úložiště, rozděleně podle přístupu.
3. Nastav retenční politiky a kvartálně projdi položky k výmazu.
4. Zaveď jednoduchý formulář pro hlášení incidentů a krátký postup na zdi v HR.
5. Jednou ročně revize: zpracovatelé, přístupy, směrnice, informování.

💡 Tip: V Doklad.ai si u citlivých složek zapni přístup jen pro roli „Mzdová/Human Resources“ a auditní logy. Když se někdo podívá tam, kam nemá, víš o tom do minuty.

Vzory a checklist: ať na nic nezapomeneš

Co máš mít připravené hned teď

• Informace o zpracování pro zaměstnance (aktuální a srozumitelné).
• Záznamy o činnostech (ROPA) – klidně jedna tabulka.
• DPA se všemi zpracovateli (mzdy, IT, benefity, ostraha).
• Skartační plán a retenční nastavení v systémech.
• Směrnici k monitoringu (CCTV, IT logy, GPS), když používáš.
• Postup pro incidenty a školení zaměstnanců.

Jak nastavit komunikaci se zaměstnancem

• Na nástupu dej informaci o zpracování, vysvětli monitoring a kontakty.
• Při změnách (nový benefit, nový zpracovatel) obnov informaci a interně ji oznám.
• Když přijde žádost dle GDPR, potvrď přijetí, ověř identitu a odpověz do 30 dnů.

Nejčastější přešlapy a jak se jim vyhnout

• Slepé sbírání souhlasů na všechno. Ne. Souhlas je výjimečný a snadno odvolatelný.
• Nekonečná retenční doba „pro jistotu“. Zbytečně rizikové.
• Kopírování občanek, zbytečné skeny lékařských zpráv. Minimalizuj.
• Kamery všude bez testu přiměřenosti a informace na místě. Zbytečné pokuty.
• Sdílení mzdových údajů e-mailem bez šifrování. Přepni na zabezpečené doručení.

Praktické příklady z HR praxe (ano, tohle řešíš každý měsíc)

Uchazeč o práci poslal CV a ty ho chceš „nechat v zásobníku“

• Bez souhlasu drž max. 6 měsíců kvůli obraně proti diskriminačním sporům.
• Se souhlasem si nastav konkrétní dobu (např. 1 rok) a možnost odvolání.

Zaměstnanec na neschopence

• Eviduješ jen to, co potřebuješ pro mzdy a povinné systémy. Nepatří sem diagnóza.
• Dokumenty drž daleko od běžné personálky, přístup jen mzdovka.

Sdílení fotek z teambuildingu na firemní sít

• Souhlas se zveřejněním fotek je nutný, pokud nejde o reportáž z veřejné akce.
• Nabídni bezpečnou alternativu: vnitrofiremní galerie bez veřejného přístupu.

Docházka pomocí biometriky

• Vysoce citlivé. Bez silného právního důvodu (zákon/bezpečnost kritické infrastruktury) se tomu vyhni. Hledej méně invazivní metody.

Krizový scénář: omylem jsi poslal výplatnici jinému zaměstnanci. Co teď?

• Okamžitě kontaktuj omylem osloveného, požádej o smazání, ověř a zdokumentuj.
• Informuj dotčeného zaměstnance, pokud hrozí riziko pro jeho práva (typicky ano).
• Vyhodnoť hlášení ÚOOÚ do 72 hodin. Zapiš do interního registru incidentů.
• Uprav proces: šablony, kontrola příjemce, šifrované doručování.

Závěrem: nastav si ochranu osobních údajů zaměstnanců jednou, udržuj lehce

Ochrana osobních údajů zaměstnanců není o stohu papírů. Je to pár jasných pravidel, která ti šetří čas i nervy. Když víš, proč data máš, jak dlouho je držíš a kdo se na ně dívá, jsi v klidu. A tví lidi taky. Drž se minimalizace, přiměřenosti a slušné bezpečnosti a máš hotovo.

---

Časté otázky

Potřebuju od zaměstnance souhlas se zpracováním osobních údajů?

Většinou ne. Personální a mzdová agenda jede na právní povinnosti a plnění smlouvy. Souhlas použij výjimečně (např. talent pool po náboru nebo zveřejnění fotky na webu) a vždy s možností snadného odvolání.

Jak dlouho můžu uchovávat osobní spisy zaměstnanců?

Závisí na typu dokumentu. Mzdové listy až 30 let, pracovní smlouvy doporučeně 10 let po skončení, docházku zpravidla 3 roky. Nastav si skartační plán a drž se ho — univerzální lhůta neexistuje.

Můžu sledovat e-maily zaměstnanců?

Můžeš monitorovat provozní data a dodržování pravidel IT, ale číst obsah je možné jen ve výjimečných situacích a podle předem známých pravidel. Zaměstnance o tom musíš jasně informovat a mít rozumný důvod.

Je legální kamerový systém v kanceláři?

Ano, když máš legitimní účel (ochrana majetku, bezpečnost), uděláš test přiměřenosti, nepoužíváš zvuk a dáš viditelné informace. Nevhodné jsou šatny, toalety a odpočinkové prostory.

Co když mi uniknou mzdové údaje?

Zasaď incident: zablokuj přístupy, zjisti rozsah a riziko, vše zaznamenej. Pokud hrozí riziko pro práva osob, oznam to ÚOOÚ do 72 hodin a informuj dotčené. Následně uprav procesy, aby se to neopakovalo.

Můžu uchovat CV neúspěšných uchazečů „pro příště“?

Bez souhlasu maximálně zhruba 6 měsíců kvůli obraně proti sporům. S výslovným souhlasem si nastav konkrétní dobu (např. 12 měsíců) a respektuj možnost odvolání kdykoli. Uchovej jen minimum a bezpečně.