Napriek tomu, že zásada obmedzenia uchovávania patrí medzi základné zásady GDPR, práve doby uchovávania osobných údajov zamestnancov predstavujú jednu z oblastí, kde je GDPR zamestnávateľmi najčastejšie porušované. Zamestnávatelia zvyčajne formálne vypracujú smernicu na uchovávanie údajov (archivačná smernica, retention policy, a pod.), avšak bez dodržania súladu s logikou GDPR.
Podľa GDPR môžu byť osobné údaje uchovávané len po dobu nevyhnutnú na dosiahnutie účelu, na ktoré sa spracúvajú. Táto zásada je samostatná a nezávislá od archivačných alebo pracovnoprávnych povinností zamestnávateľa. V praxi však často dochádza k chybnému výkladu, že ak existuje zákonná lehota na uchovávanie niektorých dokumentov, je legitímne uchovávať všetky osobné údaje v osobnom spise zamestnanca po rovnakú dobu.
Z pohľadu GDPR však ide o nesprávny prístup. Každá kategória osobných údajov musí mať konkrétny účel spracúvania, konkrétny právny základ a konkrétnu dobu uchovávania, ktorá je obhájiteľná vo vzťahu k tomuto účelu.
Údaje možno uchovávať len v rozsahu a po dobu, ktorú si vyžaduje konkrétny právny predpis (podľa čl. 6 (1) c) GDPR). Ak zákon nevyžaduje uchovávanie celého dokumentu, nie je možné uchovávať ho „v plnom znení“. Právny základ uchovávania údajov na účely plnenia zmluvných povinností (podľa čl. 6 (1) b) GDPR) spravidla zaniká po skončení pracovného pomeru. Ak neexistuje iný legitímny účel, uchovávanie z tohto konkrétneho dôvodu musí skončiť. Časovo najcitlivejším právnym základom na uchovávanie údajov je oprávnený záujem (podľa čl. 6 (1) f) GDPR). Z tohto dôvodu je možné údaje uchovávať len dovtedy, kým existuje reálna potreba ochrany práv zamestnávateľa, spracúvanie je primerané a záujem zamestnávateľa prevažuje nad právami dotknutej osoby. Automatické uchovávanie údajov „pre prípad sporu“ bez časového obmedzenia je z pohľadu GDPR neudržateľné.
Zásada obmedzenia uchovávania je úzko prepojená so zásadou minimalizácie údajov. To znamená, že po skončení pracovného pomeru musí zamestnávateľ aktívne prehodnotiť, ktoré účely spracúvania pretrvávajú, ktoré zanikli alebo sa zmenili.
Typicky zaniká účel spracúvania napríklad pri hodnoteniach výkonu, interných poznámkach, disciplinárnych podkladoch bez ďalšieho právneho významu, či podkladoch z výberových konaní neúspešných uchádzačov. Ak účel zanikol, údaje musia byť vymazané alebo anonymizované.
Smernica na uchovávanie údajov nie je z pohľadu GDPR samoúčelný dokument. Ide o jeden z podstatných nástrojov na preukázanie dodržiavania zásad spracúvania, zákonnosti spracúvania a zodpovednosti prevádzkovateľa (zamestnávateľa). Pri prípadnej kontrole zo strany Úradu na ochranu osobných údajov alebo interného auditu sa nehodnotí iba existencia smernice alebo tabuľky s lehotami. Zo smernice má vyplývať logická a obhájiteľná väzba medzi účelom, právnym základom a dobou uchovávania ako aj zavedenie mechanizmu pravidelného prehodnocovania. Smernica na uchovávanie údajov, ktorá funguje len ako zoznam lehôt bez GDPR logiky, neposkytuje zamestnávateľovi reálnu ochranu.
Zamestnávatelia by si v oblasti uchovávania údajov mali dávať pozor najmä na stanovenie paušálnych lehôt pre celý osobný spis, v absencii väzby na právny základ, na uchovávanie údajov v systémoch, ktoré interná smernica vôbec nepokrýva alebo aj na formálne „archivovanie“ bez skutočného obmedzenia prístupu. Problém je v tom, že tieto nedostatky Úrad vyhodnotí ako porušenie zásad spracúvania, nie len ako formálny nedostatok.
Z pohľadu GDPR je preto potrebné položiť si otázky ako, prečo ešte uchovávame, na akom právnom základe, a či je to stále nevyhnutné. Interná smernica, ktorá tieto otázky nevie zodpovedať, je z hľadiska GDPR formálna, riziková a podľa nášho názoru nedostatočná.
Kinstellar, s. r. o.
Kinstellar je popredná európska advokátska kancelária s viac ako 480 odborníkmi v Nemecku, Európe a USA. Našou hlavnou činnosťou je poskytovanie vynikajúceho, integrovaného právneho a daňového poradenstva, ktoré je odborne podložené, inovatívne a orientované na výsledok. Spolu so spoločnosťami v skupine Kinstellar vyvíjame taktiež udržateľné riešenia pre financovanie a management. Nami poskytované poradenstvo využívajú skupiny a stredné podniky, ako aj finančné inštitúcie a investori.
V dialógu s našimi mandantmi nachádzame odpovede na všetky právne aspekty ekonomického života. Náš odborný profil tak zahŕňa právo obchodných spoločností vrátane fúzii a akvizícií, súťažné, kartelové ako aj bankové právo vrátane práva kapitálového trhu a podnikového financovania. Špecializujeme sa na právo duševného vlastníctva, právo informačných technológii a telekomunikácií, právne otázky spojené s distribúciou tovaru, právne vzťahy k nehnuteľnostiam, pracovné právo, konkurzné právo, právo životného prostredia. Klientov zastupujeme pred riadnymi aj rozhodcovskými súdmi. Okrem toho ponúkame rozsiahle poradenstvo pri štruktúrovaní a financovaní investičných zámerov.
