Chyby, rizika a oficiální zdroje
GDPR v mzdovém a HR softwaru: zpracovatelská smlouva, citlivé údaje, přístupová práva a cloud mimo EU
Jak splnit GDPR u mzdového a personálního softwaru – role správce a zpracovatele, čl. 28, údaje o zdraví a biometrie, přístupová práva, sledování zaměstnanců podle § 316 ZP a přenosy mimo EU.
Mzdový a HR software zpracovává nejcitlivější data ve firmě: rodná čísla, bankovní účty, výši mezd, exekuce, údaje o pracovní neschopnosti a invaliditě, někdy i biometrii z docházky. Podle GDPR je zaměstnavatel správce a dodavatel cloudového softwaru (i externí mzdová účetní) zpracovatel – musí mezi nimi existovat smlouva podle čl. 28 GDPR. Většinu mzdových údajů zpracováváte na základě právní povinnosti a pracovní smlouvy (čl. 6 odst. 1 písm. b) a c)), takže souhlas zaměstnanců nepotřebujete – ale musíte je informovat, data zabezpečit a nastavit přístupová práva. Zvláštní pozornost vyžadují údaje o zdraví a biometrie (čl. 9) a sledování zaměstnanců (§ 316 zákoníku práce). Tento článek shrnuje, co si ověřit u dodavatele a co nastavit u sebe.
Patří do sekce chyby, rizika a oficiální zdroje. Nejde o právní poradenství.
Kdo je kdo
| Subjekt | Role podle GDPR | Typická povinnost |
|---|---|---|
| Zaměstnavatel | správce | právní základ, informování, záznamy o činnostech, odpovědnost |
| Dodavatel cloudových mezd / HR systému | zpracovatel | zpracovává jen podle pokynů, zabezpečení, subdodavatelé se souhlasem |
| Externí mzdová účetní / kancelář | zpravidla zpracovatel | totéž; u některých vlastních povinností (např. daňový poradce) se role posuzuje individuálně |
| Hostingová služba dodavatele | další zpracovatel (subdodavatel) | uvedena v seznamu subdodavatelů |
Co musí obsahovat zpracovatelská smlouva (čl. 28 odst. 3)
- předmět, dobu, povahu a účel zpracování, typ údajů a kategorie subjektů,
- zpracování jen na základě doložených pokynů správce,
- mlčenlivost osob, které s daty pracují,
- zabezpečení podle čl. 32 (šifrování, řízení přístupů, zálohy),
- pravidla pro další zpracovatele (subdodavatele) a jejich změny,
- součinnost při uplatňování práv zaměstnanců a při hlášení incidentů,
- výmaz nebo vrácení dat po skončení služeb – propojte s exportem pro archivaci, viz archivace mzdových listů a HR dat,
- součinnost při auditech a kontrolách.
Většina dodavatelů má vlastní standardní zpracovatelskou smlouvu. Přečtěte si zejména seznam subdodavatelů, místo uložení dat a lhůtu pro vrácení dat.
Citlivé údaje v mzdovém a HR systému
| Údaj | Proč se zpracovává | Na co dát pozor |
|---|---|---|
| Pracovní neschopnost, karanténa | náhrada mzdy, nemocenské | jen nezbytný rozsah (data, ne diagnózy) |
| Invalidita, ZTP/P | slevy na dani, sleva na pojistném | přístup jen mzdové účetní |
| Pracovní úrazy | evidence, odškodnění | přístup omezený, dlouhé lhůty uchování |
| Exekuce, insolvence | srážky ze mzdy | vedoucí nemají mít přístup |
| Biometrie (otisk, obličej) | docházka | zvláštní kategorie, nutná nezbytnost a posouzení |
| Poloha z mobilní docházky | práce v terénu | jen v pracovní době a v nezbytném rozsahu |
| Rodné číslo | pojištění, daň | povinné pro hlášení, nepoužívat jako login |
Údaje o zdraví a biometrické údaje pro jedinečnou identifikaci jsou zvláštní kategorie podle čl. 9 GDPR. U zdravotních údajů v mzdách je výjimkou plnění povinností v oblasti pracovního práva a sociálního zabezpečení (čl. 9 odst. 2 písm. b)). U biometrické docházky takový zákonný důvod obvykle chybí. Úřad pro ochranu osobních údajů při kontrole UOOU-04332/23 (zveřejněno mezi ukončenými kontrolami za rok 2024) shledal, že hashe otisků prstů v docházkovém systému nebyly pro evidenci docházky nezbytné, a zaměstnavatel tím porušil zásadu minimalizace údajů; obhajitelné jsou podle úřadu jen zcela výjimečné situace splňující čl. 9 GDPR. Zvažte proto, zda vám nestačí čip nebo PIN. U rozsáhlejšího zpracování biometrie nebo systematického monitorování může být nutné posouzení vlivu (DPIA) podle čl. 35.
Sledování zaměstnanců
Zákoník práce v § 316 zakazuje zaměstnavateli bez závažného důvodu spočívajícího ve zvláštní povaze činnosti narušovat soukromí zaměstnanců otevřeným nebo skrytým sledováním, odposlechem a kontrolou korespondence; o rozsahu a způsobu kontroly musí zaměstnance přímo informovat. Pro HR a docházkový software z toho plyne:
- poloha v mobilní aplikaci jen v pracovní době a jen tam, kde je to pro práci nezbytné,
- žádné skryté funkce sledování aktivity,
- jasné informování zaměstnanců o tom, co systém zaznamenává.
Přístupová práva podle rolí
| Role | Typicky vidí | Typicky nevidí |
|---|---|---|
| Zaměstnanec | své pásky, docházku, dovolenou, dokumenty | data kolegů |
| Vedoucí | docházku a dovolené týmu, schvalování | mzdy, exekuce, zdravotní údaje |
| Personalista | personální agendu, smlouvy | podle potřeby mzdy |
| Mzdová účetní | mzdy, srážky, hlášení | – (v rozsahu zpracování) |
| Administrátor IT | technické nastavení | obsah mezd, pokud to není nutné |
Ověřte na demu, že role jde nastavit takto jemně a že systém zaznamenává přístupy (kdo kdy otevřel mzdu konkrétního zaměstnance).
Data mimo EU
Pokud dodavatel nebo jeho subdodavatel ukládá či zpracovává data mimo EU/EHP, potřebujete právní základ pro přenos. Pro USA platí rámec EU–US Data Privacy Framework (prováděcí rozhodnutí Komise (EU) 2023/1795) pro certifikované společnosti; jeho platnost je předmětem řízení u Soudního dvora EU, proto stav sledujte. U jiných zemí se používají standardní smluvní doložky. Nejjednodušší je zvolit dodavatele s uložením dat v EU – a mít to ve smlouvě.
Incident a únik dat
Porušení zabezpečení osobních údajů musí správce ohlásit ÚOOÚ bez zbytečného odkladu, pokud možno do 72 hodin (čl. 33), ledaže je nepravděpodobné, že by vedlo k riziku pro práva osob. Zpracovatelská smlouva musí dodavateli ukládat informovat vás bez zbytečného odkladu. Únik mzdových dat obvykle riziko představuje.
Kontrolní seznam GDPR před spuštěním
- Zpracovatelská smlouva s dodavatelem i s externí mzdovou účetní.
- Seznam subdodavatelů a místo uložení dat.
- Záznam o činnostech zpracování (čl. 30) doplněný o nový systém.
- Informování zaměstnanců o zpracování a o docházce.
- Role a přístupová práva, dvoufaktorové přihlášení.
- Postup při incidentu a kontakty.
- Lhůty uchování a mazání – viz archivace mzdových listů a HR dat.
- Bezpečná migrace dat – viz migrace mzdových dat.
Doplňující otázky ke smlouvě najdete v článku smlouva, SLA a chyby ve výpočtu mezd.
Časté otázky
Potřebuji souhlas zaměstnanců se zpracováním mezd v cloudu?
Ne. Zpracování mezd je nezbytné pro plnění pracovní smlouvy a právních povinností. Musíte ale zaměstnance informovat a mít smlouvu se zpracovatelem.
Smí vedoucí vidět, proč zaměstnanec chyběl?
Vedoucí potřebuje vědět, že zaměstnanec chyběl a jak dlouho, ne diagnózu. Diagnózy zaměstnavatel z neschopenky ani nezjistí; v systému je evidujte jen jako typ nepřítomnosti.
Musím mít pověřence pro ochranu osobních údajů?
Soukromá firma ho musí jmenovat jen ve zvláštních případech (rozsáhlé zpracování zvláštních kategorií nebo systematické monitorování jako hlavní činnost). Běžná mzdová agenda malé firmy tuto povinnost obvykle nezakládá.
Je rodné číslo nutné?
Pro hlášení na ČSSZ, zdravotní pojišťovny a finanční úřad ano. Nepoužívejte ho ale jako uživatelské jméno nebo identifikátor ve výstupech, kde není potřeba.
Zdroje
- Úřad pro ochranu osobních údajů – výklad GDPR, ohlašování incidentů
- Zákony pro lidi – zákoník práce – § 312 osobní spis, § 316 sledování zaměstnanců
- Zákony pro lidi – zákon č. 110/2019 Sb. – zákon o zpracování osobních údajů
- Data Privacy Framework – seznam certifikovaných společností v USA
