Právo na výmaz podle GDPR u personálních záznamů: jak smazat údaje zaměstnanců a doložit to

Žádost bývalého zaměstnance o výmaz a zákonná povinnost uchovávání obvykle směřují opačným směrem. Tento konflikt musíte řešit záznam po záznamu a později musíte umět doložit své úvahy.

GDPR dává jednotlivcům právo na výmaz jejich osobních údajů. Personální oddělení spravuje jedny z nejcitlivějších osobních údajů v každé organizaci a zároveň jedny z nejpřísněji regulovaných. Když bývalý zaměstnanec pošle žádost o smazání, odpověď je jen zřídka prosté ano nebo ne. Část spisu musí pryč. Část musí zůstat. A potřebujete záznam o tom, co bylo co.

Krátká odpověď

Údaje zaměstnanců musíte vymazat, jakmile pomine důvod, proč jste je uchovávali, ledaže vám jejich ponechání ukládá konkrétní právní důvod. Mzdové a daňové záznamy a záznamy o sociálním zabezpečení téměř vždy spadají pod povinnost uchovávání, která má před žádostí o výmaz přednost. Náborový spis odmítnutého uchazeče obvykle ne. Práce spočívá v tom, rozhodnout po kategoriích, které pravidlo vítězí, a uchovat důkaz o tomto rozhodnutí.

Co právo na výmaz skutečně říká

Právo na výmaz je zakotveno v čl. 17 GDPR. Dává subjektu údajů právo na to, aby jeho osobní údaje byly bez zbytečného odkladu vymazány, je-li splněna jedna z několika podmínek. Pro personalistiku jsou nejdůležitější tyto dvě:

Údaje již nejsou potřebné pro účel, pro který byly shromážděny.
Údaje byly zpracovávány na základě souhlasu a tento souhlas byl odvolán.

Pracovní poměr obvykle nestojí na souhlasu. Opírá se o pracovní smlouvu a o právní povinnosti. Tento rozdíl je podstatný, protože mění, které důvody pro výmaz se uplatní a na které výjimky se můžete odvolat.

Kdy musíte žádost odmítnout

Výjimky uvádí čl. 17(3). V personalistice dominuje výjimka pro splnění právní povinnosti. Pokud vám vnitrostátní právo ukládá záznam uchovávat, právo na výmaz vás nenutí ho smazat předčasně.

Kategorie podléhající povinnosti uchovávání jsou ty obvyklé: mzdové záznamy a záznamy o dani ze mzdy, pracovní smlouvy a jejich dodatky a záznamy o bezpečnosti a ochraně zdraví při práci. Nejjasnějším případem jsou mzdové a daňové záznamy, uchovávané po řadu let podle vnitrostátního daňového práva, takže je na žádost smazat nemůžete. Přesná doba pro každou kategorii je uvedena v článku Doby uchovávání personálních údajů v EU.

Když se výjimka uplatní, nemažete. Žádost ale ani jednoduše neignorujete. Odpovíte, vysvětlíte právní důvod pro uchování údajů a zaznamenáte, že jste tak učinili. Odmítnutí, které později nedokážete vysvětlit, je odmítnutí, které vypadá jako porušení předpisů.

Kdy musíte mazat

Pokud se neuplatní žádná povinnost uchovávání ani jiná výjimka, údaje musí pryč. Běžné personální kategorie, které je obvykle nutné vymazat, jakmile pomine jejich účel:

Náborové údaje odmítnutých uchazečů. Jakmile je pozice obsazena a uplyne případná krátká lhůta pro uchování kvůli nárokům z diskriminace, žádný účel už nezbývá. Bez souhlasu je tato lhůta krátká, podle nizozemských pokynů zhruba čtyři týdny. Se souhlasem uchazeče je běžná doba až jednoho roku, abyste ho mohli oslovit kvůli budoucí pozici.
Údaje z přihlášek, které jste se souhlasem směli uchovávat, poté co uchazeč tento souhlas odvolal.
Poznámky k pracovnímu výkonu a interní personální korespondence, které přežily svůj účel a nejsou součástí záznamu, který jste povinni uchovávat.
Přístupové údaje, záznamy vstupních karet a údaje o IT účtech, jakmile je dokončen proces odchodu zaměstnance a uplynula případná lhůta pro bezpečnostní přezkum.

Omezení uložení není jen reaktivní. Čl. 5(1)(e) vyžaduje, abyste osobní údaje už od počátku neuchovávali déle, než je nezbytné. Jde o samostatnou zásadu, odlišnou od minimalizace údajů podle čl. 5(1)(c), která omezuje, kolik údajů shromažďujete. Žádost o výmaz je často jen okamžikem, kdy zjistíte, že uchováváte údaje, které jste už měli odstranit.

Část, kterou většina týmů dělá špatně: důkaz

Smazání údajů je polovina povinnosti. Schopnost prokázat, že jste je smazali, je druhá polovina, a právě ta při auditu selhává.

Čl. 5(2) stanoví zásadu odpovědnosti. Soulad musíte umět prokázat, nikoli jen tvrdit. U výmazu to znamená, že byste u konkrétní žádosti měli umět ukázat:

Co bylo požadováno a kdy.
Které kategorie jste vymazali a které jste ponechali.
Právní důvod pro vše, co jste ponechali.
Kdy výmaz skutečně proběhl.
Že vymazané údaje jsou skutečně pryč a neleží v záloze, která je potichu obnoví.

Dozorový úřad, například nizozemský Autoriteit Persoonsgegevens nebo francouzský CNIL, bude na základě stížnosti bývalého zaměstnance požadovat přesně toto. „Smazali jsme to“ není odpověď. Odpovědí je datovaný záznam o rozhodnutí a úkonu, u kterého lze odhalit jakoukoli manipulaci.

Problém se zálohami

Právě u záloh se tvrzení o výmazu rozpadají. Pokud smažete záznam z produkčního systému, ale noční záloha ho o tři týdny později obnoví, nevymazali jste nic. Dozorové orgány uznávají, že okamžité smazání ze všech záloh není vždy technicky proveditelné, ale očekávají zdokumentovaný postup: údaje se vyřadí z jakéhokoli použití, vyloučí se z obnovy a odstraní se při příští rotaci záloh. Co neakceptují, je mlčení. Pokud nedokážete popsat svůj proces mazání v zálohách, nedokážete výmaz prokázat.

Informujte ostatní

Výmaz nekončí u vašich vlastních systémů. Čl. 19 vyžaduje, abyste výmaz oznámili každému příjemci, jemuž byly údaje zpřístupněny, pokud se to neukáže jako nemožné nebo to nevyžaduje nepřiměřené úsilí. V personalistice to obvykle znamená vaši mzdovou kancelář, správce penzijního pojištění a každého zpracovatele, který záznam obdržel. Smazat vlastní kopii, zatímco zpracovatel si ponechává svou, není výmaz. Je to mezera, a tu musíte uzavřít a zdokumentovat.

Obhajitelný postup výmazu v personalistice

Postup, který obstojí při prověrce, vypadá takto:

Zaznamenejte žádost s časovým razítkem v okamžiku jejího doručení.
Roztřiďte spis podle kategorií. Oddělte části podléhající povinnosti uchovávání od částí, které je nutné vymazat.
Zaznamenejte rozhodnutí pro každou kategorii, včetně právního důvodu pro vše, co se ponechává.
Proveďte smazání u kategorií, které musí pryč, včetně nakládání se zálohami.
Zachyťte důkaz, že smazání proběhlo: co bylo smazáno, kdy a jakým procesem.
Odpovězte dotčené osobě ve lhůtě jednoho měsíce, kterou lze u složitých žádostí prodloužit o dva měsíce.

Výstupem dobrého postupu nejsou jen smazané údaje. Je to obhajitelný spis, který i po měsících či letech ukáže, že jste udělali správnou věc ze správného důvodu. To je myšlenka, na které stojí obhajitelné mazání: zničení, které s sebou nese vlastní důkaz.

Jak SealDoc podporuje výmaz v personalistice

SealDoc přiřadí každému dokumentu při jeho vytvoření kategorii uchovávání a zaznamenává jeho životní cyklus do auditní stopy propojené hašovým řetězcem, takže každou dodatečnou změnu pořadí lze odhalit. API SealDoc odmítne vymazat dokument v průběhu jeho doby uchovávání.

Prostřednictvím API SealDoc na žádost vymaže data dokumentu, jakmile to jeho doba uchovávání dovolí, a výmaz zaznamená do auditní stopy. Záznam se pořizuje v okamžiku výmazu, tedy právě tehdy, kdy je odpovědnost podle čl. 5(2) nejsnazší splnit a nejobtížnější dodatečně rekonstruovat.

Data jsou uložena na infrastruktuře uvnitř EU, bez amerického hyperscaleru v cestě, takže samotný záznam o výmazu nevytváří nový problém s předáváním dat.