Přehled novinek z oblasti GDPR pro příspěvkové organizace

Personální agenda – archivace a skartace spisů zaměstnanců

Vedení a archivace personální agendy musí korespondovat se schváleným Spisovým a skartačním plánem původce (organizace). Pokud jsou položky z oblasti personalistiky ve Spisovém a skartačním plánu organizace uvedeny pod samostatnými spisovými znaky, musí je zaměstnanci organizace i takto ukládat a nelze je vkládat do spisu, který má spisový znak a skartační režim jiný než zbytek dokumentů (viz vyhláška č. 259/2012 Sb., o podrobnostech výkonu spisové služby).

Osobní spis zaměstnance organizace má být koncipován jako typový spis s více součástmi – je chápán jako složka zaměstnance bez skartačního režimu, do které budou vkládány k němu se vážící dokumenty se svými skartačními režimy. Tyto dokumenty se budou průběžně ze složky zaměstnance skartovat poté, co jim uplynou přidělené skartační lhůty. Vyskartováním posledního dokumentu osobní spis zaměstnance zanikne.

Mzdová agenda – zpracování, archivace a skartace mzdových a účetních dokladů

Mzdovou agendu, tj. doklady, které byly zaměstnavatelem (organizací) vytvořeny či získány při zpracování mezd zaměstnanců a týkající se sociálního a zdravotního pojištění zaměstnanců, odvádění daní atd., je nutné uchovávat po dobu určenou zákonem:

• obecnou archivační dobu stanovuje zákon č. 563/1991 Sb., o účetnictví, v délce 10 let pro účetní závěrky a výroční zprávy a v délce 5 let pro ostatní účetní doklady a účetní záznamy (počítá se vždy od konce daného účetního období);
• speciální lhůty pro archivaci mzdových listů a dalších údajů potřebných pro důchodové pojištění (30 let a 10 let) stanovuje zákon č. 155/1995 Sb., o důchodovém pojištění;
• zvláštní lhůty pro archivaci evidence pro účely nemocenského pojištění (10 let) stanovuje zákon č. 187/2006 Sb., o nemocenském pojištění.

Z výše uvedeného tedy vyplývají jednotlivé lhůty pro archivaci složek mzdové agendy:

• mzdové listy a další údaje potřebné pro důchodové pojištění min. 30 let (jde-li o mzdové listy poživatele starobního důchodu, činí lhůta pouze 10 let);
• záznamy o vzniku a zániku pracovněprávního vztahu, evidenci pracovní doby min. 10 let;
• doklady o mzdách a dávkách nemocenského pojištění min. 10 let;
• stejnopisy evidenčních listů min. 3 roky.

Za nedodržení archivačních lhůt a provedení skartace může být zaměstnavatel sankciován, proto je třeba věnovat nastavení archivačního systému řádnou pozornost.

Zveřejňování informací o přítomnosti zaměstnanců organizace na pracovišti

Některé organizace v návaznosti na transparentnost činností a dostupnost služeb poskytovaných občanům zveřejňují na webových stránkách organizace (prostřednictvím docházkového systému organizace) informace o přítomnosti či nepřítomnosti jednotlivých zaměstnanců organizace na pracovišti. Takové zveřejnění osobních údajů představuje nedůvodný zásah do práv subjektů údajů (zaměstnanců organizace) na ochranu jejich osobního a soukromého života a není proto v souladu se základními zásadami vyjádřenými v čl. 5 Nařízení GDPR.

Zveřejnění informace o přítomnosti zaměstnance organizace na pracovišti navíc nevede k vyšší informovanosti veřejnosti. Občan z uvedené informace pouze zjistí, že konkrétní zaměstnanec organizace je v danou chvíli přítomen v zaměstnání. Zveřejněná informace ovšem nezaručuje přítomnost zaměstnance organizace na jeho pracovišti po celou pracovní dobu.

Evidence kontaktních údajů

Součástí některých formulářů organizace mohou být navíc i doplňující údaje, mezi které patří kontaktní údaje osob (subjektu údajů), např. telefon, e-mailová adresa, datová schránka atd.

V případě, že neexistuje žádný právní základ zpracování těchto osobních údajů, který by explicitně vyžadoval sběr doplňujících kontaktních osobních údajů, je jejich vyplnění ve formuláři nepovinné a dobrovolné. Subjekt údajů zároveň svým podpisem zodpovídá za jejich správnost. V případě existence takových formulářů (pokud se jedná o editovatelný formulář) doporučujeme ve formuláři uvést informaci o dobrovolnosti poskytnutí těchto osobních údajů jakožto nepovinných položek formuláře.

V případě Vašeho zájmu jsme připraveni provést kontrolu Vašich formulářů a pomoci Vám s formulací vhodné informace o dobrovolnosti poskytnutí osobních údajů.

Nástroj pro anonymizaci dokumentů

Ministerstvo vnitra ČR bezplatně nabízí zaměstnancům orgánů veřejné moci nástroj pro anonymizaci dokumentů. Pomocí tohoto anonymizačního nástroje zaměstnanci organizace jednoduše a rychle provedou anonymizaci smluv organizace, které pak vloží do registru smluv.

Anonymizační nástroj naleznete na webové stránce https://anonymizace.gov.cz/crossroad/. Pro přihlášení do anonymizačního nástroje je nutné znát přihlašovací údaje do datové schránky organizace nebo JIP (Jednotný identitní prostor Czech POINT).

Dodatečné úpravy již uveřejněných smluv v centrálním registru smluv

Podle zákona č. 340/2015 Sb., o registru smluv, je vždy nutné provést anonymizaci smluv uveřejněných v registru smluv. Dodatečné úpravy uveřejněných smluv je možné dělat maximálně do tří měsíců od jejich zveřejnění s tím, že s novým zveřejněním se mění také účinnost smlouvy. Po 25.5.2018 však začalo docházet k dalším zjištěním nesprávné anonymizace uveřejněných smluv. V mnoha případech se ukázalo, že v registru smluv neprobíhala řádná anonymizace osobních údajů a že je potřeba tyto nedostatky napravit.

Níže uvádíme možný postup, jak provést dodatečnou anonymizaci osobních údajů, aniž by došlo ke změně účinnosti zveřejněné smlouvy.

1. Zdokladovat řádné zveřejnění: pořídit a uložit printscreen detailu původního záznamu (metadat); pokud má záznam více verzí, uložit printscreen každé z nich; uložit původní přílohy, uložit potvrzení o zveřejnění původního záznamu (všech verzí).
2. Znepřístupnit původní záznam pomocí formuláře Znepřístupnění záznamu (možno udělat až jako poslední krok).
3. Kompletně (metadata a přílohy) a správně (anonymizovat osobní údaje) zveřejnit smlouvu znovu, do předmětu smlouvy v metadatech vedle vlastního předmětu smlouvy zapsat informaci o tom, že jde o opakované zveřejnění smlouvy z důvodu ochrany osobních údajů a že původní zveřejnění bylo provedeno dne xy:

„Opakované uveřejnění z důvodu ochrany osobních údajů, původní uveřejnění bylo provedeno dne …“; pozor, vlastní předmět smlouvy vhodně zkraťte, aby se Vám vešel do kolonky (celkem 255 znaků) včetně věty o opakovaném uveřejnění.

4. Smlouva bude mít nové ID a datum zveřejnění, nicméně bude v metadatech uvedena informace o původním datu zveřejnění; kontrolním orgánům je možné doložit dokumentaci původního záznamu, v případě soudního přezkumu lze požádat MV ČR o potvrzení o zveřejnění původního záznamu.

Poskytování informací dle zákona č. 106/1999 Sb., o svobodném přístupu k informacím

Při zveřejnění poskytnuté informace nemají být zveřejněny identifikační údaje žadatele – fyzické osoby bez jeho souhlasu. Povinný subjekt, který vyřizuje žádost o poskytnutí informace, je oprávněn zpracovávat osobní údaje žadatele pouze za účelem vyřízení žádosti, nikoli pro účely jejich zveřejňování. Doporučuje se žádosti o informace nezveřejňovat, a zveřejnit pouze odpovědi (a to bez identifikačních údajů žadatele).

Stejně tak je potřeba případně provést anonymizaci osobních údajů uvedených v poskytnuté informaci, např. při zveřejnění smlouvy o poskytnutí právní pomoci (jméno, příjmení, adresa pobytu, rodné číslo) – žadateli o poskytnutí informace byly sice vydány oprávněně, ale jejich zveřejněni na internetu pro předem neurčitý okruh osob by mohlo narušit jejich právo na ochranu osobnosti a osobních údajů těchto osob ústavně nepřiměřeným způsobem. Podle Stanoviska MV ČR je nutné upřednostnit ochranu osobních údajů a zveřejnit pouze doprovodnou informaci.

Zabezpečení osobních údajů

Je potřeba věnovat pozornost pracovnímu prostředí zaměstnanců ve vztahu k dokumentům, kterém mají ve své správě. Nemělo by docházet k situaci, kdy zaměstnanci, které v rámci výkonu činnosti navštěvuje veřejnost, mají na stole či jinde volně přístupné dokumenty. Jedná se o riziko úniku neveřejných informací (minimálně v rozsahu jméno, příjmení a samotná informace o existenci tohoto řízení ve vztahu k identifikovatelné fyzické osobě).

Anonymizace smluv v registru smluv

Při zveřejnění smluv v registru smluv je potřeba provést anonymizaci osobních údajů. Ministerstvo vnitra ČR vydalo Metodický návod k aplikaci zákona o registru smluv – metodickou pomůcku k anonymizaci zveřejňovaných dokumentů – především smluv v registru smluv, na profilu zadavatele nebo na webových stránkách, ale jako metodický návod může posloužit i pro obecná pravidla anonymizace ostatních typů dokumentů. Jedná se o aktualizovanou Metodiku MV ČR, která se zaměřuje na aplikaci zákona o registru smluv, ale na stranách 53-54 je formou tabulky velmi přehledně popsáno, které položky je a není nutné před zveřejněním anonymizovat. Zároveň nám dovolte Vám připomenout, abyste při anonymizaci nezapomínali ani na přílohy smlouvy nebo např. notářské doložky.

Metodický návod k aplikaci zákona o registru smluv, který vydalo MV ČR, naleznete zde.

Kamerový systém organizace

Je potřeba zajistit, že kamerové systémy nepořizují záběry ze soukromých prostor, např. kamery míří do oken domů.