Jak dlouho smí HR uchovávat údaje zaměstnanců a uchazečů? Doby uchovávání v EU
Krátká odpověď. Odmítnutí uchazeči: zhruba čtyři týdny bez jejich souhlasu, se souhlasem až rok, v Německu kolem šesti měsíců. Mzdové záznamy a záznamy o dani ze mzdy: 5 až 10 let. Pracovní smlouvy: doba trvání pracovního poměru plus 2 až 7 let. Obecný osobní spis: 2 až 5 let po odchodu zaměstnance. Tabulka níže pokrývá všechny kategorie a vnitrostátní právo může každé číslo posunout oběma směry.
Pro HR záznamy neexistuje jediná doba uchovávání platná v celé EU. Každou kategorii určuje jiný zákon a obě možná selhání míří opačnými směry: uchováváte-li údaje příliš dlouho, porušujete zásadu omezení uložení; smažete-li je příliš brzy, porušujete daňovou nebo pracovněprávní povinnost.
Toto je praktický přehled nejběžnějších kategorií HR záznamů, jejich typického rozpětí doby uchovávání a pravidla, které ho stanoví. Čísla berte jako orientační. Přesnou lhůtu stanoví vnitrostátní právo a mezi členskými státy se liší.
Proč je uchovávání oboustrannou povinností
Uchovávání je oboustranná povinnost: spodní hranici stanoví daňové a pracovní právo, horní hranici GDPR. Většina lidí vidí jen spodní hranici, která říká, že záznamy je nutné uchovávat alespoň takto dlouho. Horní hranice je ta část, která uniká pozornosti.
Článek 5(1)(e) je zásada omezení uložení. Osobní údaje musí být uchovávány ve formě umožňující identifikaci nejdéle po dobu nezbytně nutnou. Osobní spis, který jste si ponechali ještě deset let po odchodu zaměstnance bez právního důvodu k jeho uchovávání, je porušením, i když se do něj nikdy nikdo nepodíval. Plán uchovávání tedy není jen o tom, jak přežít daňovou kontrolu. Jde o to mazat včas, pokaždé, a umět prokázat, že jste to udělali.
Doby uchovávání HR záznamů v přehledu
Tabulka níže uvádí typická rozpětí v EU. Vnitrostátní právo má před nimi přednost, a to oběma směry.
| Kategorie HR záznamů | Typická doba uchovávání | Co ji určuje |
|---|---|---|
| Mzdové záznamy a záznamy o dani ze mzdy | 5 až 10 let | Vnitrostátní daňové právo (například nizozemská Belastingdienst se 7 lety, v Německu záznamy podle Abgabenordnung a GoBD) |
| Pracovní smlouvy a jejich dodatky | Doba trvání plus 2 až 7 let | Promlčecí lhůty pro pracovněprávní a smluvní nároky |
| Obecný osobní spis (nedaňové části) | 2 až 5 let po odchodu | Omezení uložení plus vnitrostátní pokyny pro HR |
| Údaje z náboru, odmítnutí uchazeči | 4 týdny až 12 měsíců | Lhůty pro uplatnění nároků z diskriminace a souhlas |
| Záznamy o pracovní době a dovolené | 2 až 4 roky | Směrnice o pracovní době v provedení jednotlivých států |
| Údaje o pracovní neschopnosti a pracovnělékařské údaje | Krátce pro administrativu, dlouho pro expozici | Právo bezpečnosti a ochrany zdraví při práci, pravidla pro zvláštní kategorie údajů |
| Záznamy o pracovních úrazech | 5 let až několik desetiletí | Právo bezpečnosti a ochrany zdraví při práci |
| Záznamy o penzi a délce služby | Až dlouho po odchodu do důchodu | Důchodové právo a právo sociálního zabezpečení |
Kategorie, na kterých se nejčastěji chybuje
Údaje z náboru odmítnutých uchazečů. Je to nejkratší a nejčastěji přehlížená kategorie. Bez souhlasu je okno krátké. Pokyny nizozemského Autoriteit Persoonsgegevens uvádějí zhruba čtyři týdny. Se souhlasem uchazeče je běžný až jeden rok, abyste ho mohli oslovit kvůli budoucí pozici. Němečtí zaměstnavatelé údaje často uchovávají zhruba šest měsíců kvůli lhůtě pro uplatnění nároků podle Allgemeines Gleichbehandlungsgesetz. Pokud životopis odmítnutého uchazeče uchováváte roky „pro jistotu“, téměř jistě jste za hranicí.
Pracovní neschopnost a zdravotní údaje. Jde o zvláštní kategorii údajů podle článku 9. HR by mělo uchovávat jen minimum nutné ke správě nepřítomnosti a mezd, nikoli diagnózy. Administrativní záznam má krátkou životnost. Výjimkou jsou záznamy o expozici a pracovnělékařské záznamy, které mohou mít velmi dlouhou dobu uchovávání, protože nárok týkající se zdraví se může objevit i o desítky let později.
Osobní spis není jeden objekt. Jediný spis míchá mzdový záznam, který musíte uchovávat roky, s poznámkami o výkonu, které jste už měli smazat. Právě když organizace se spisem zacházejí jako s jedním celkem, uchovávají zároveň příliš dlouho i příliš krátce. Rozdělte ho podle kategorií a každé kategorii dejte vlastní odpočet.
Uchovávání a právní blokace
Doba uchovávání určuje, kdy smějí být údaje smazány. Právní blokace má před ní přednost. Mezi těmito plánovanými termíny může právo na výmaz na žádost vynutit i dřívější smazání. Je-li dokument relevantní pro soudní řízení, regulatorní šetření nebo spor, musíte jeho smazání pozastavit až do uzavření věci, i když jeho běžná doba uchovávání již uplynula. Smazání údajů, na které se vztahuje povinnost je zachovat, je ničením důkazů a posuzuje se mnohem přísněji než uchovávání údajů o něco déle, než je nutné. Funkční plán uchovávání má vždy mechanismus blokace, který dokáže odpočet zastavit. Jak se to vynucuje na úrovni úložiště, popisuje článek WORM úložiště a právní blokace.
Jak sestavit plán uchovávání, který obstojí
Plán, který obstojí při auditu, má čtyři vlastnosti:
- Kategorie, ne spis. Každé pravidlo uchovávání se váže ke kategorii údajů, nikoli ke složce nebo osobě.
- Pojmenovaný právní základ. Každá lhůta odkazuje na zákon nebo účel, který ji stanoví, takže ji dokážete obhájit.
- Automatický odpočet. Smazání spouští plán, ne to, že si na něj někdo vzpomene. Omezení uložení nejčastěji selhává nečinností, nikoli rozhodnutím.
- Blokace, která má přednost. Plán lze u konkrétních záznamů v rámci právní blokace pozastavit a po zrušení blokace znovu spustit.
Celkový obraz uchovávání dokumentů v EU, napříč fakturami, smlouvami a záznamy o shodě, popisuje článek Zákonné doby uchovávání dokumentů v EU. Tento článek ho zužuje na HR spis.
Jak SealDoc řeší uchovávání HR spisů
SealDoc přiřadí každému dokumentu při jeho vytvoření kategorii uchovávání: 1, 7 nebo 10 let, nebo trvale. Tato kategorie se zaznamená v auditní stopě dokumentu propojené hašovým řetězcem, vedle haše SHA-256 dokumentu, takže i samotné rozhodnutí o uchovávání souboru je auditovatelné a každá manipulace s ním je odhalitelná.
To je důležité, protože omezení uložení spadá pod zásadu odpovědnosti, nejde jen o provozní záležitost. Když se dozorový úřad zeptá, proč záznam stále existuje nebo proč byl smazán, odpovědí je datovaný záznam rozhodnutí, nikoli nejlepší odhad. API SealDoc odmítne vymazat dokument v průběhu jeho doby uchovávání, a jakmile to doba dovolí, zaznamená se výmaz na žádost do téže auditní stopy. Tento záznam je základem pro obhajitelné mazání.
Vše běží na infrastruktuře v EU bez amerického hyperscalera v cestě, takže se ani samotný záznam o uchovávání nestane další otázkou přeshraničního předávání údajů.