Osobní spis a GDPR: co si zaměstnavatel může ponechat?

Jako zaměstnavatel si můžete v osobním spisu uchovávat pouze údaje, které potřebujete pro pracovní poměr a pro své zákonné povinnosti. Hlavní výjimkou, kterou je třeba sledovat, jsou zdravotní informace: můžete zaznamenat, že zaměstnanec nepřítomný a co může ještě dělat, ale nikdy diagnózu ani povahu nemoci. Tato dvě pravidla spolu s pevně stanovenými dobami uchovávání určují, co se do spisu zapíše, co zůstane mimo něj a jak dlouho to může zůstat.

Co si můžete uchovávat v osobním spisu?

Můžete uchovávat údaje, které jsou nezbytné pro plnění pracovní smlouvy a pro splnění vašich zákonných povinností. GDPR (v holandštině: AVG) vyžaduje, aby osobní údaje nebyly uchovávány déle nebo ve větším objemu, než je pro daný účel nutné.

V praxi to zahrnuje:

• jméno a adresa a datum narození;
• služební číslo občana (burgerservicenummer, BSN);
• kopii dokladu totožnosti, který jste ověřili při nástupu do zaměstnání;
• pracovní smlouva a veškeré její dodatky;
• údaje o platech a mzdách;
• hodnocení a korespondence o výkonu;
• záznamy o školení a data absence;
• záznamy o varováních nebo disciplinárních opatřeních.

Číslo občanského průkazu a kopie dokladu totožnosti jsou ve spisu uloženy, protože je vyžadují daňové a sociální zákony. Stejná právní povinnost je důvodem, proč je jejich uchovávání zákonné. O kopii dokladu totožnosti nesmíte požádat pro žádný jiný účel.

Které údaje nesmíte uchovávat?

Nesmíte zaznamenávat povahu ani příčinu nemoci, diagnózu, léčbu ani léky. To platí i v případě, že vám o tom zaměstnanec sdělí dobrovolně, a to i s jeho souhlasem.

Nizozemský úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens, AP) ve svých pravidlech týkajících se nemocných zaměstnanců uvádí, co můžete zaznamenat, když zaměstnanec nahlásí nemoc. Stručně řečeno: telefonní číslo a adresu, kde se zaměstnanec zdržuje, očekávanou dobu nepřítomnosti, aktuální schůzky a práci, zda se uplatňuje ustanovení o záchranné síti (vangnetregeling), zda nepřítomnost souvisí s pracovním úrazem a zda se jedná o dopravní nehodu s odpovědnou třetí stranou.

Od závodního lékaře (bedrijfsarts) nebo služby pracovního lékařství můžete také obdržet a zaznamenat, jakou práci zaměstnanec může a nemůže vykonávat, předpokládanou dobu trvání absence, stupeň pracovní neschopnosti a případné doporučené úpravy. Samotná lékařská dokumentace zůstává u závodního lékaře. Nemáte k ní přístup.

Další data, která do souboru nepatří:

• zvláštní kategorie osobních údajů podle článku 9 GDPR, jako je náboženství, politické názory, členství v odborech, etnický původ a sexuální orientace, pokud se nevztahuje na konkrétní zákonnou výjimku;
• poznámky o soukromém životě zaměstnance, které nemají žádný vliv na práci;
• nestrukturované osobní dojmy zapsané manažery. Zaměstnanci je mohou vidět a často je v sporu čte úplně jinak, než když byly zapsány.

Jak dlouho můžete uchovávat osobní údaje?

GDPR nestanovuje žádné pevné doby: údaje nesmí být uchovávány déle, než je nezbytné (článek 5(1)(e) GDPR). AP používá následující doby, počítané od ukončení zaměstnání.

Údaje uchazečů, které si nenajmete, jsou obvykle zničeny do čtyř týdnů po ukončení výběrového řízení. Se souhlasem uchazeče je můžete uchovávat až jeden rok.

Harmonogram uchovávání, který stanoví tyto doby pro každou kategorii a který skutečně uplatňujete, promění záměr v důkaz.

Jaká práva má zaměstnanec?

Zaměstnanci si mohou prohlédnout svůj spis, nechat si opravit nepřesné údaje a za určitých okolností nechat údaje vymazat. Musíte na něj odpovědět bez zbytečného odkladu, nejpozději však do jednoho měsíce (článek 12(3) GDPR).

Žádosti o přístup často přicházejí na začátku pracovního sporu. Zaměstnanec si pak během jednoho měsíce prohlédne vše ve spisu, včetně poznámek od manažerů.

Co byste si jako zaměstnavatel měli ověřit?

Pracujte s pevnou strukturou a zaznamenávejte své volby do registru požadovaného článkem 30 GDPR.

• Pro každého zaměstnance veďte jeden soubor s definovanou strukturou, aby bylo jasné, co v něm je.
• Omezte přístup na osoby, které ho potřebují, a zaznamenejte si, kdo má přístup.
• Informace o nemoci nechte u firemního lékaře a vyhoďte je z osobního spisu.
• Uplatňujte doby uchovávání každý rok k pevnému datu, nikoli případ od případu.
• Toto vše zaznamenejte do záznamu o zpracování (článek 30 GDPR). Výjimka pro organizace s méně než 250 zaměstnanci zde zřídka pomůže, protože osobní údaje jsou zpracovávány pravidelně. Registr je často prvním dokumentem, který si dozorový úřad vyžádá.

Co byste si jako zaměstnanec měli ověřit?

• Požádali jste o přístup k vašemu spisu (článek 15 GDPR) a obdrželi jste jej do jednoho měsíce?
• Obsahuje spis diagnózu nebo jiné lékařské údaje, které patří firemnímu lékaři?
• Existují nepřesné odhady nebo poznámky, o jejichž opravu můžete požádat podle článku 16 GDPR?
• Uchovává váš bývalý zaměstnavatel údaje déle, než je uvedeno v tabulce výše?

Co pro vás můžeme udělat s osobním spisem?

Naši právníci v oblasti pracovního práva radí zaměstnavatelům i zaměstnancům v oblasti osobních spisů:

• Prověříme vaše osobní spisy a záznamy o nemoci v souladu s GDPR a pravidly politiky AP.
• Vypracujeme archivační plán a záznamy pro váš registr dle článku 30.
• Odpověď na žádost o přístup připravíme do jednoho měsíce.
• Žádáme o přístup, opravu nebo výmaz jménem zaměstnance.
• Poskytujeme poradenství v oblasti využití osobního spisu v případě propuštění nebo jiného pracovněprávního sporu.

Shrnutí

• Uchovávejte pouze údaje, které potřebujete pro pracovní smlouvu a vaše zákonné povinnosti.
• Nikdy nezaznamenávejte diagnózu ani povahu onemocnění, a to ani se souhlasem zaměstnance; funkční omezení stanovená firemním lékařem mohou být zaznamenána.
• Většina osobních údajů se uchovává 2 roky po ukončení zaměstnání; daňové přiznání k dani ze mzdy a kopie dokladu totožnosti 5 let po kalendářním roce odchodu; některé údaje o mzdách po 7 letech.
• Odpovězte na žádost o přístup do jednoho měsíce.
• Nastavte si v harmonogramu doby uchování pro každou kategorii a používejte je každý rok.

Často kladené otázky