Doby uchovávania osobných údajov v personálnej agende

Nariadenie GDPR a zákon č. 18/2018 Z. z. o ochrane osobných údajov v znení neskorších predpisov (ďalej len „zákon o ochrane osobných údajov“) exaktne neustanovujú doby uchovávania osobných údajov, iba uvádzajú, že prevádzkovateľ, v právnom postavení zamestnávateľa je povinný prostredníctvom záznamov o spracovateľských činnostiach viesť evidenciu o dobách uchovávania osobných údajov. V tomto prípade by sme poukázali na to, že síce v čl. 30 ods. 1 písm. f) nariadenia GDPR nie je exaktne napísaná doba uchovávania, ale lehota na vymazanie rôznych kategórií osobných údajov. Ide len o synonymický pojem, ktorý možno vykladať identicky ako doba uchovávania.

Častokrát sa zamieňa pojem uchovávanie osobných údajov s pojmom archiváciou dokumentov. Archivácia má špecifický právny režim podľa zákona č. 395/2002 Z. z. o archívoch a registratúrach a o doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon č. 395/2002 Z. z.“), zatiaľ čo uchovávanie osobných údajov podľa nariadenia GDPR je naviazané na účel spracúvania osobných údajov. Nie každý dokument sa považuje za archívny, t. j. že nie každý dokument či osobný údaj má byť uchovávaný „pre istotu“.

V prípade personálnej agendy zamestnávateľ bude viesť viacero účelov spracúvania osobných údajov, a pri každom stanovenom účele spracúvania osobných údajov je potrebné uviesť dobu uchovávania, ktorá môže byť pre jednotlivé účely rozličná.

Právne a praktické aspekty doby uchovávania a likvidácie osobných údajov

Doba uchovávania je úzko spätá s likvidáciu osobných údajov. Pod slovným pojmom doba uchovávania možno rozumieť, že dokumenty sa musia uchovávať buď v listinnej, alebo v elektronickej podobe. Štandardne sa listinné dokumenty uchovávajú v na to vopred určených miestnostiach, ktoré spĺňajú kritériá na uchovávania dokumentov v tzv. archivačných miestnostiach. V súčasnosti sa tešia veľkej obľube elektronické úložiská, ktoré sa ukladajú buď v priestoroch zamestnávateľa na serveroch, alebo v cloudových úložiskách. Či už ide o listinné alebo elektronické uchovávanie dokumentov je potrebné dodržiavať stanovené pravidlá, ktoré či už vyplývajú z právnych predpisov alebo z procesov nastavených u zamestnávateľa.

Na území Slovenskej republiky máme osobitný právny predpis – zákon č. 395/2002 Z. z., ktorý upravuje organizáciu a pôsobnosť orgánov štátnej správy na úseku archívov a registratúr, organizáciu archívov, práva a povinnosti zriaďovateľa archívu, archívu, vlastníka archívneho dokumentu, prístup k archívnym dokumentom, ako aj práva a povinnosti pôvodcu registratúry. Je potrebné dodať, že sa tento zákon nebude aplikovať na všetkých zamestnávateľov, ale iba ak budú zaradení do I. alebo II. kategórie. Nevylučuje sa však, že by sa zamestnávateľ nemohol rozhodnúť postupovať dobrovoľne podľa zákona č. 395/2002 a dodržiavať všetky zákonné povinnosti, ktoré z neho vyplývajú. Kategórie povinných osôb upravuje vyhláška č. 628/2002 Z. z. Ministerstva vnútra Slovenskej republiky, ktorou sa vykonávajú niektoré ustanovenia zákona č. 395/2002 Z. z.

Doba uchovávania osobných údajov môže byť nasledujúcicmi spôsobmi:

• určená právnymi predpismi (napr. zákon č. 124/2006 Z. z. o bezpečnosti a ochrane zdravia pri práci a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a pod.),
• vyplývať zo zmluvnej dokumentácie (napr. počas trvania zmluvného vzťahu – pracovného pomeru),
• definovaná internými pravidlami, resp. internými predpismi zamestnávateľa (napr. Registratúrny poriadok, politika uchovávania a pod.).

Po uplynutí doby uchovávania by mal nastať proces likvidácie osobných údajov, ktoré môžu zamestnávatelia uskutočniť sami alebo prostredníctvom špecializovaných externých subjektov. Likvidácia sa vykonáva podľa toho, či ide o listinné alebo o elektronické dokumenty. V prípade listinných dokumentov by sa mala zabezpečiť skartácia dokumentov, zničenie nosičov (CD, USB) mechanickým spôsobom. Elektronické dokumenty by sa mali bezpečne vymazať z databáz a systémov a zároveň zabezpečiť overenie, že osobné údaje nie sú dostupné a ani obnoviteľné. Nesmieme opomenúť ani situáciu, keď je potrebné zachovať osobné údaje na štatistické alebo výskumné účely, vtedy zamestnávateľ zaistí anonymizáciu osobných údajov. Anonymizácia osobných údajov má byť nezvratná, tak aby nebolo možné obnoviť osobné údaje z dokumentov.

Najčastejšou chybou v praxi je tá skutočnosť, že osobné údaje, ktoré sú formálne „vymazané“, často zostávajú v zálohách. Ak zálohy nie sú technicky oddelené od produkčných systémov, môže dôjsť k neoprávnenému spracúvaniu osobných údajov, čím sa zamestnávateľ vystavuje hrozbám pokút a sankcií zo strany dozorných orgánov. Odporúčame zamestnávateľom nastaviť retenčné doby aj pre zálohovacie systémy, zabezpečiť, aby zálohy neboli prístupné na bežné spracúvanie osobných údajov, a zdokumentovať výnimky (napr. technické obmedzenia).

Zákonné lehoty v personálnej agende

Zamestnávateľ v rámci GDPR dokumentácie by mal uviesť dobu uchovávania konkrétne, tak ako je to uvedené v danom právnom predpise. Platí zásada, že ak by GDPR dokumentácia neobsahovala tento údaj, tak by sa dopustil porušenia zásady transparentnosti, tým, že by dotknuté osoby, teda zamestnancov neinformoval o správnych dobách uchovávania ich osobných údajov.

Na ilustráciu poukazujeme na § 24 ods. 1 písm. d) a e) zákona č. 580/2004 Z. z. o zdravotnom poistení a o zmene a doplnení zákona č. 95/2002 Z. z. o poisťovníctve a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon o zdravotnom poistení“), ktorý uvádza, že „Platiteľ poistného, ktorý je zamestnávateľom, samostatne zárobkovo činnou osobou alebo platiteľom poistného je povinný viesť a uchovávať po dobu desiatich rokov účtovné doklady a iné doklady potrebné na správne určenie vymeriavacieho základu, sadzby poistného, výšky poistného a jeho platenia. Platiteľ poistného, ktorý je zamestnávateľom, samostatne zárobkovo činnou osobou alebo platiteľom poistného je povinný viesť a uchovávať po dobu desiatich rokov evidenciu o zamestnancoch, ktorá musí obsahovať:

1. meno a priezvisko, a to aj predchádzajúce, rodné číslo, u cudzinca sa uvádza dátum narodenia, ak rodné číslo nemá, adresu trvalého pobytu; údaje uvedené v tomto bode okrem rodného čísla sa neuvádzajú u osôb, na ktoré sa vzťahujú osobitné spôsoby vykazovania údajov podľa osobitných predpisov,

2. údaje o vzniku a zániku verejného zdravotného poistenia,

3. počet dní, za ktoré sa platí poistné v členení na jednotlivé kalendárne mesiace,

4. príjem podľa § 13 ods. 1 v členení na jednotlivé kalendárne mesiace,

5. úhrn zaplatených preddavkov zamestnanca podľa § 16 ods. 2 písm. a) v členení na jednotlivé kalendárne mesiace,

6. úhrn zaplatených preddavkov zamestnávateľa za tohto zamestnanca podľa § 16 ods. 2 písm. c) v členení na jednotlivé kalendárne mesiace,

7. údaj o vzniku skutočností podľa § 11 ods. 7 zákona o zdravotnom poistení.“

V tomto príslušnom ustanovení je uvedený aj rozsah osobných údajov, ktorý musí zamestnávateľ spracúvať z dôvodu plnenia povinností voči zdravotným poisťovniam. Hoci ide o personálnu agendu, nesmieme opomenúť aj osobitné zákony, ktoré sú úzko späté s personalistikou, napríklad zákon o dani z príjmov, zákon o účtovníctve a pod.

Zmluvná dokumentácia

Primárne zamestnávateľ uchováva osobné údaje zamestnancov na účely výkonu pracovnoprávneho vzťahu, na základe uzatvorenej pracovnej zmluvy po dobu trvania pracovného pomeru a následne po jeho skončení po dobu nevyhnutnú na splnenie zákonných povinnosti, napríklad zákon č. 311/2001 Z. z. Zákonník práce v znení neskorších predpisov a pod. V niektorých prípadoch si zamestnávateľ môže osobitne stanoviť dobu uchovávania osobných údajov, napríklad pri dohode o zrážkach zo mzdy po dobu 5 rokov, dohody o hmotnej zodpovednosti po dobu trvania pracovného pomeru a pod.

Interné predpisy

Ak doba uchovávania nie je ustanovená právnym predpisom, zmluvne alebo zamestnávateľ nevie túto dobu uchovávania konkrétne určiť, informuje dotknutú osobu aspoň o kritériách na jej určenie, napríklad po dobu dvoch rokov odo dňa ukončenia výberového procesu.

V súlade s čl. 5 ods. 1 písm. e) nariadenia GDPR zásadou minimalizácie uchovávania musí byť doba uchovávania ustanovená tak, kým je potrebná na dosiahnutie účelu. Nepostačuje, ak zamestnávateľ poskytne informáciu, že osobné údaje uchováva po dobu nevyhnutnú na dosiahnutie účelu spracúvania osobných údajov.

Generálne platí, že osobné údaje sa musia uchovávať len po ustanovenú dobu v GDPR dokumentácii alebo v interných predpisoch u zamestnávateľa. Po uplynutí doby uchovávania ich bezodkladne zlikvidovať, v opačnom prípade by porušoval nielen nariadenie GDPR, ale aj § 30a a nasl. zákona č. 395/2002, v ktorom sú uvedené sankcie za nedodržanie zákonných ustanovení. Osobné údaje sa môžu uchovávať dlhšie, pokiaľ sa budú spracúvať výlučne na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu či na štatistické účely v súlade s čl. 89 ods. 1 nariadenia GDPR.

Zamestnávateľ, ktorý má vydaný interný predpis pod názvom „Registratúrny poriadok a Registratúrny plán“, má v ňom presne stanovené lehoty, ktoré vyplývajú či už z právnych predpisov alebo si ich stanovil zamestnávateľ. Ak ide o zamestnávateľa, ktorý patrí do I. a II. kategórie, podlieha Registratúrny poriadok a Registratúrny plán schvaľovaniu príslušného štátneho archívu, ktorého gestorom je Ministerstvo vnútra SR.

Nižšie si dovoľujeme uviesť ilustratívnu a prehľadnú tabuľku účelov a nastavených dôb uchovávania osobných údajov a odkazy na jednotlivé zákonné ustanovenia, prípadne návrh odporúčaných dôb uchovávania, ak nie sú zákonom ustanovené.

Finančné riaditeľstvo SR zastáva názor, že uchovávanie dokladov o iných rodinných príslušníkoch v osobnom spise zamestnanca sa majú uchovávať nasledujúco: „Nadväznosti na § 37 ods. 6 zákona o dani z príjmov je zamestnávateľ oprávnený uchovávať doklady preukazujúce nárok na zníženie základu dane, zamestnaneckú prémiu a ďalšie daňové zvýhodnenia v rozsahu nevyhnutnom na dosiahnutie účelu spracúvania. Pre účely preukázania nároku na uplatnenie NČZD na manželku sa prikladá k žiadosti o vykonanie ročného zúčtovania sobášny list, pričom spracovanie osobných údajov rodičov nevesty a ženích sú nad rámec potrieb zamestnávateľa.“

Z uvedeného vyplýva, že aj počas trvania pracovného pomeru zamestnanca je zamestnávateľ povinný anonymizovať osobné údaje, ktoré sú nad rámec zákona, či už ich vyčierni alebo zvolí inú vhodnú metódu ich spracúvania na základe zamestnaneckých dotazníkov.

V aplikačnej praxi sa často stretávame s neaktuálnymi alebo neúplnými záznamami o spracovateľských činnostiach či Registratúrnych poriadkoch a Registratúrnych plánoch. Z tohto dôvodu odporúčame pravidelnú revíziu záznamov o spracovateľských činnostiach, minimálne raz ročne, a prepojiť záznamy o spracovateľských činnostiach s internými smernicami a informačnými povinnosťami.

Záver

Na záver uvádzame, že príchodom modernizácie a digitalizácie interných procesov je potrebné mať na pamäti, že do Registratúrneho poriadku a Registratúrneho plánu sa musí uviesť, či sa uchovávajú osobné údaje v listinnej alebo v elektronickej podobe (prípadne ich kombinácia). Veľa zamestnávateľov túto skutočnosť opomína, čím sú v rozpore s príslušnou legislatívou.

Zamestnávateľom odporúčame zakomponovať do zmluvy o spracúvaní údajov konkrétne lehoty výmazu po skončení zmluvy, požadovať potvrdenie o výmaze alebo anonymizácii osobných údajov, auditovať dodržiavanie týchto povinností.