Nařízení Evropské unie o ochraně osobních údajů je nutné dodržovat ve všech činnostech, při kterých dochází ke zpracování osobních údajů fyzických osob. GDPR je tak nutné zohlednit nejen při náboru nových zaměstnanců, ale také při ukončení pracovního poměru, či při péči o ty stávající. Zaměstnavatelé by již měli mít vyhodnoceny účely zpracování osobních dokladů zaměstnanců.
Podnikatel může zpracovávat pouze osobní údaje, ke kterým má právní důvod. Bez souhlasu zaměstnance lze zpracovávat údaje, pokud je:
- zpracování nezbytné pro plnění smlouvy (nejčastěji pracovní smlouvy)
- zpracování nezbytné pro dodržení právní povinnosti zaměstnavatele – např. zpracování mezd, odvody atd.
- nezbytné pro ochranu práv a právem chráněných zájmů zaměstnavatele – např. uchovávané údaje po skončení pracovního poměru zaměstnance – soudní spor, uplatnění nároků zaměstnance apod.
Nařízení mimo jiného řeší i práva subjektů údajů na výmaz – tedy právo být zapomenut. Toto právo by se mělo automaticky uplatnit tam, jde již osobní údaje nejsou potřebné pro účel, ke kterému byly zpracovány, či pro další kompatibilní účel, nebo například subjekt odvolá svůj souhlas se zpracováním.
Uchovávat se například nesmí výpisy z trestního rejstříku. Dále je nadbytečné uchovávat kopie maturitních vysvědčení či vysokoškolských diplomů, neboť uchazeč o zaměstnání již byl přijat na základě předložení těchto dokladů.
Právo na výmaz naopak nevzniká v případě, že údaje jsou dále uchovávány či zpracovány z důvodu plnění právní povinnosti, ochrany veřejného zdraví, archivace apod. Zaměstnavatel je povinen pro plnění archivačních dob vyplývajících ze zákona určité dokumenty archivovat po pevně stanovenou dobu, např. evidenční a mzdové listy či účetní doklady.
Například evidenční listy důchodového pojištění zaměstnavatelé archivují po dobu třech kalendářních roků po roce, kterého se týkají. Informace týkající se důchodového pojištění se uchovávají po dobu deseti let. Stejný počet let se uchovávají i doklady daňové (prohlášení k dani, žádost o roční zúčtování). Záznamy o pojistném na sociální zabezpečení a příspěvku na státní politiku zaměstnanosti se uchovávají po dobu šesti kalendářních roků následujících po měsíci, kterého se záznam týká.