Prvý krok nie je súhlas zamestnanca, ale kontrola právneho základu spracovania. Väčšina HR agend (mzdy, dochádzka, personálne spisy) stojí na plnení zmluvy alebo zákonnej povinnosti, nie na súhlase, ktorý zamestnanec môže kedykoľvek odvolať. Skontrolujte informačnú povinnosť voči uchádzačom a zamestnancom, doplňte záznam o spracovateľských činnostiach a nastavte retenčné lehoty. Až potom riešte technické detaily a pripravenosť na hlásenie incidentov.
Stručne:
- Kontrola právneho základu spracovania údajov je prvým krokom pred technickými operačnými krokmi v HR, nie súhlas zamestnanca.
- Pri nábore je potrebné zabezpečiť správne informovanie v inzeráte, na webe aj v e-mailoch a uchovávať údaje v súlade s legislatívou, s jasne stanovenými lehotami.
- Zmluvy o spracúvaní údajov s dodávateľmi, ako sú mzdové alebo cloudové služby, musia byť aktuálne a právne správne nastavene.
- Opatrenia na riadenie dát zahŕňajú nastavovanie retenčných lehôt, minimálny prístup k údajom a ich šifrovanie, aby sa minimalizovalo riziko úniku či nevyhnutného monitoringu.
- V prípade úniku údajov je nutná rýchla reakcia, hlásenie úradu do 72 hodín a dôsledná dokumentácia všetkých krokov na minimalizáciu sankcií.
Obsah
- Rýchly akčný checklist pre HR: 10 krokov, ktoré zvládnete dnes
- Aký právny základ použiť pri spracúvaní údajov v HR?
- Čo môže HR požadovať pri nábore uchádzačov?
- Ako spravovať údaje počas trvania pracovného pomeru?
- Ako dlho uchovávať HR dokumenty a ako to zdokumentovať?
- Čo robiť pri úniku osobných údajov v HR?
- Perspektíva HASPO: kde HR najčastejšie zlyháva a čo riešiť ako prvé
- Ako vám HASPO pomôže s GDPR v HR bez zbytočnej administratívy
- Zdroje
Rýchly akčný checklist pre HR: 10 krokov, ktoré zvládnete dnes
Kontrola ÚOOÚ sa väčšinou nezameriava na technológie, ale na papiere. Chýbajúca informačná povinnosť alebo neaktuálny záznam o spracovateľských činnostiach patria medzi najčastejšie nálezy. Než sa pustíte do veľkých projektov, prejdite si tento zoznam:
- Doplňte odkaz na informačnú povinnosť podľa čl. 13 a 14 GDPR do každého inzerátu na pracovnú pozíciu a do automatických e-mailov pre uchádzačov.
- Prejdite si každú HR činnosť (nábor, mzdy, hodnotenie, monitoring) a k nej zapíšte konkrétny právny základ podľa čl. 6.
- Overte zmluvy o spracúvaní údajov (DPA) s mzdovou spoločnosťou, cloudovým poskytovateľom a personálnou agentúrou.
- Nastavte písomné retenčné lehoty pre každú kategóriu dokumentov a naplánujte skartáciu.
- Určite osobu zodpovednú za GDPR v HR a zapracujte túto zodpovednosť priamo do jej pracovnej náplne.
Poverenie personalistu nemusí byť samostatný formálny dokument. Postačuje, ak je jasne uvedené v jeho pracovnej náplni alebo internej smernici, čo je dôkaz, ktorý pri kontrole obstojí.
Profesionálny tip: Namiesto jednorazovej „veľkej revízie“ raz ročne si nastavte štvrťročnú kontrolu piatich najrizikovejších procesov: nábor, mzdy, monitoring, zdravotné údaje a ukladanie kópií dokladov. Menšie, pravidelné kontroly odhalia chyby skôr než jeden veľký audit raz za rok.
Aký právny základ použiť pri spracúvaní údajov v HR?
Nie každá HR činnosť potrebuje rovnaký právny titul a zamieňanie súhlasu s ostatnými dôvodmi je najčastejšia chyba, s ktorou sa v praxi stretávame. Mzdová agenda sa opiera o zákonnú povinnosť, spracovanie CV pri nábore o predzmluvné opatrenie a len uchovávanie databázy neúspešných uchádzačov nad rámec náborového procesu potrebuje súhlas.
Vzťah medzi čl. 6 GDPR, § 41 Zákonníka práce a zákonom č. 18/2018 Z. z. funguje takto: Zákonník práce hovorí, aké informácie môžete od uchádzača žiadať, GDPR určuje, na akom právnom základe ich smiete spracúvať, a slovenský zákon o ochrane osobných údajov dopĺňa národné špecifiká, napríklad výklad práv dotknutých osôb.
Bežné situácie v praxi:
- Výplatné pásky, odvody, evidencia dochádzky: zákonná povinnosť, súhlas tu nie je potrebný ani vhodný.
- Životopis a motivačný list uchádzača počas výberového procesu: predzmluvné opatrenie.
- Zdravotné údaje (lekárske posudky, zdravotný stav): spracúvajú sa len ak to vyžaduje osobitný predpis, napríklad zákon o pracovnej zdravotnej službe, a nikdy „len pre poriadok“.
- Databáza kandidátov pre budúce pozície po skončení výberového konania: výslovný súhlas s jasne stanovenou dobou platnosti.
Pri vyhodnocovaní oprávneného záujmu (napríklad pri monitoringu) sa oplatí držať metodík EDPB a ÚOOÚ, ktoré požadujú test proporcionality a zdokumentovanie výsledku, nie len jednoduchý predpoklad, že „záujem firmy je oprávnený“.
Čo môže HR požadovať pri nábore uchádzačov?
§ 41 Zákonníka práce presne vymedzuje, aké informácie zamestnávateľ môže od uchádzača požadovať. Ide najmä o údaje súvisiace s výkonom práce, nie o všeobecné osobné informácie bez väzby na pozíciu. GDPR na to nadväzuje povinnosťou informovať uchádzača, ako budú jeho údaje spracované už pri prvom kontakte.
Informačná povinnosť by mala byť dostupná na troch miestach súčasne: priamo v inzeráte, na webovej stránke firmy a v prvom automatickom e-maile po prijatí prihlášky. Praktické odporúčania pre výber zamestnancov potvrdzujú, že práve chybajúci alebo neaktuálny text informačnej povinnosti je jedným z najčastejších nedostatkov, ktoré personalisti pri kontrole riešia dodatočne.
Pri uchovávaní CV platia jasné pravidlá:
- Ak uchádzača neprijmete, jeho údaje po skončení výberového konania zmažte alebo skartujte, pokiaľ nemáte jeho súhlas na dlhšie uchovávanie.
- Súhlas s uchovaním v databáze uchádzačov formulujte s konkrétnou dobou platnosti (typicky 6 až 12 mesiacov) a s jednoduchou možnosťou odvolania.
- Kópie občianskych preukazov alebo iných dokladov neukladajte automaticky. Odporúčaná prax je zaznamenať len relevantné údaje (meno, adresu, dátum narodenia), nie skenovať celý doklad bez jasného právneho dôvodu.
- Pri centralizovanom systéme pre uchádzačov (ATS) nastavte automatické mazanie po uplynutí retenčnej lehoty, nábor je totiž fázou s najvyšším rizikom procesných chýb.
Ako spravovať údaje počas trvania pracovného pomeru?
Mzdová agenda je klasický príklad zákonnej povinnosti. Evidencia dochádzky, odvodov a daňových údajov vychádza priamo z pracovnoprávnych a daňových predpisov, takže súhlas zamestnanca tu nemá žiadnu úlohu.
Zdravotné údaje sú citlivejšia kategória. Spracúvať ich môže len pracovná zdravotná služba alebo lekár vykonávajúci posudok, nie priamo personálne oddelenie bez osobitného oprávnenia. Ak firma zabezpečuje dokumentáciu pracovnej zdravotnej služby, musí byť jasné, kto konkrétne má prístup k výsledkom posudkov a na aký účel.
Monitoring zamestnancov (kamerový systém, GPS na firemných vozidlách, kontrola e-mailovej komunikácie) vyžaduje test proporcionality: je zásah do súkromia primeraný účelu? Aktuálne odporúčania z roku 2026 zdôrazňujú, že monitoring dochádzky, homeoffice nástroje a GPS potrebujú jasný právny základ a pri vyššom riziku aj posúdenie vplyvu (DPIA).
Praktické opatrenia, ktoré by mala mať každá firma nastavené:
- Kamery nesmú snímať priestory na súkromné účely (šatne, sociálne zariadenia) a musia byť viditeľne označené.
- Monitoring e-mailov je prípustný len v obmedzenom rozsahu a zamestnanci musia vedieť, že sa vykonáva a za akým účelom.
- Prístup k osobným údajom v HR systémoch nastavte na princípe najnižších potrebných oprávnení (least privilege).
- Citlivé údaje šifrujte a zapisujte prístupy do logov, aby ste vedeli spätne dokázať, kto a kedy k dátam pristupoval.
Profesionálny tip: Pri zavádzaní nového HR softvéru alebo dochádzkového systému si vyžiadajte od dodávateľa písomné potvrdenie, kde sú dáta uložené a kto k nim má prístup. Bez tohto potvrdenia neviete uzavrieť platnú zmluvu o spracúvaní údajov.
Ako dlho uchovávať HR dokumenty a ako to zdokumentovať?
Retenčné lehoty sa líšia podľa typu dokumentu a väčšina z nich vychádza z osobitných predpisov, nie z voľného rozhodnutia HR oddelenia. Orientačne platí:
- Mzdové listy a evidencia miezd: dlhšie archívne lehoty vyplývajúce zo sociálneho a dôchodkového zákonodarstva.
- Pracovné zmluvy a personálne spisy: po dobu trvania pracovného pomeru a určitý čas po jeho skončení.
- Evidencia dochádzky: kratšia lehota, zvyčajne v rádoch rokov.
- Životopisy neúspešných uchádzačov: krátka lehota, ak nie je udelený samostatný súhlas na dlhšie uchovávanie.
Presné číslo pre každú kategóriu si overte s právnikom alebo konzultantom, pretože lehoty sa môžu meniť podľa typu zmluvy a odvetvia. Kľúčové je mať tieto lehoty zapísané v jednom dokumente a viesť ich spolu so záznamom o spracovateľských činnostiach, ktorý slúži ako centrálny dôkaz súladu pri akejkoľvek kontrole. Automatizované upozornenia na blížiaci sa termín skartácie ušetria čas a znížia riziko, že dokumenty ostanú v systéme dlhšie, než je nutné.
Čo robiť pri úniku osobných údajov v HR?
Rýchlosť reakcie rozhoduje. GDPR stanovuje 72 hodín na nahlásenie porušenia Úradu na ochranu osobných údajov, pokiaľ nejde o incident s nízkym rizikom pre dotknuté osoby.
- Identifikujte incident: čo sa stalo, kedy, aké kategórie údajov a koľko osôb je dotknutých.
- Posúďte riziko pre dotknuté osoby. Zohľadnite citlivosť údajov (napríklad zdravotné údaje majú vyššiu váhu než kontaktné údaje).
- Rozhodnite, či je potrebné nahlásenie ÚOOÚ, a ak áno, urobte to do 72 hodín od zistenia.
- Ak je riziko vysoké, informujte aj dotknutých zamestnancov alebo uchádzačov bez zbytočného odkladu.
- Zdokumentujte nápravné opatrenia (napríklad zmenu prístupových práv, dodatočné školenie, technickú opravu), pretože kontrolóri pri následnej kontrole hodnotia práve to, ako firma reagovala, nie len samotný incident.
Hlásenie musí obsahovať povahu porušenia, kategórie a približný počet dotknutých osôb, pravdepodobné dôsledky a prijaté opatrenia. Chýbajúca dokumentácia týchto krokov je pri kontrole rovnako riziková ako samotný únik.
Perspektíva HASPO: kde HR najčastejšie zlyháva a čo riešiť ako prvé
Z praxe je jasné, že pokuty zriedka padajú za samotný technický únik dát. Padajú za to, že firma nevedela preukázať, prečo dané údaje spracúva, ako dlho ich uchováva a kto k nim má prístup. Neaktuálna informačná povinnosť a nadmerné uchovávanie životopisov sú nálezy, ktoré sa opakujú u firiem všetkých veľkostí.
Konvenčná rada „získajte súhlas zamestnanca“ je vo väčšine HR procesov zbytočná a niekedy priamo škodlivá. Súhlas, ktorý možno kedykoľvek odvolať, je slabý základ pre mzdovú agendu alebo bezpečnostný monitoring. Silnejším a stabilnejším riešením je zákonná povinnosť alebo oprávnený záujem s riadne zdokumentovaným testom proporcionality.
Ak má HR oddelenie obmedzenú kapacitu, prioritu by mali mať tri veci: revízia informačných povinností, aktualizácia záznamu o spracovateľských činnostiach a nastavenie retenčných lehôt podľa GDPR pre HR: de vanligaste misstagen att undvika – TrustView. Zvyšok, napríklad DPIA pri rizikovom monitoringu alebo zložitejšie zmluvy so sprostredkovateľmi, sa oplatí zveriť externému odborníkovi skôr, než sa objaví problém pri kontrole.
— Randhomejoe
Ako vám HASPO pomôže s GDPR v HR bez zbytočnej administratívy
Na trhu existujú služby, ktoré pomáhajú HR oddeleniam s dokumentáciou GDPR prispôsobenou konkrétnym procesom firmy, často s podporou odbornej praxe v oblastiach ako BOZP, PZS a ochrana osobných údajov.
Ide o služby ako audit GDPR v HR procesoch, vypracovanie informačných povinností, revíziu zmlúv o spracúvaní údajov so sprostredkovateľmi a školenia pre personalistov, ktoré sú zamerané na praktickú prevádzku. Takáto spolupráca môže trvať niekoľko týždňov a výsledkom je dokumentácia pripravená na kontrolu ÚOOÚ.
Ak riešite aj súvisiace povinnosti okolo zdravotných posudkov zamestnancov, pozrite si pracovnú zdravotnú službu pre vašu firmu a vyplňte nezáväzný formulár na cenovú ponuku. Zistíte presne, čo vo vašich HR procesoch chýba, ešte skôr, než to zistí kontrolór.
This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.
Zdroje
- Usmernenia o výpočte pokút podľa všeobecného nariadenia o ochrane údajov — ÚOOÚ
- Zákonník práce — Národná rada SR
- 18/2018 Z.z., Zákon o ochrane osobných údajov