Mzdy

25.06.2018

Dne 25. května 2018 vstoupilo v platnost Obecné nařízení o ochraně osobních údajů, tzv. General Data Protection Regulation. Poskytování údajů bez souhlasů zaměstnanců za účelem externího zpracování mzdové agendy je i nadále platným úkonem v souladu s novým nařízením a nevyžaduje další povinnosti od zaměstnavatele. Firma nicméně musí mít ode dne platnosti nařízení zrevidovanou stávající smlouvu s externí mzdovou účtárnou, aby zajistila odpovídající ochranu údajů svých zaměstnanců. Její odpovědnost coby správce ani při přenesení odpovědnosti na zpracovatele (externí firmu) totiž nikdy zcela nezaniká.

Na druhé straně externí společnost musí zajistit, aby každá pověřená fyzická osoba, která má přístup k osobním údajům, pracovala s osobními údaji v souladu s pokyny zaměstnavatele.

Smlouva mezi zaměstnavatelem (správcem osobních údajů) a externím dodavatelem služeb (zpracovatelem) proto musí obsahovat veškeré zákonné náležitosti pro případné vyvinění v případě majetkové či nemajetkové újmy zaměstnanci, který může požadovat odškodnění po obou subjektech.

Smlouva o poskytování služeb musí být vyhovena v písemné tištěné nebo elektronické podobě a vyžaduje uvedení vedle obchodních podmínek následujících informací:

• předmět a doba trvání zpracování osobních údajů,
• povaha a účel zpracování osobních údajů,
• typ osobních údajů,
• kategorie subjektu údajů,
• práva a povinnosti zaměstnavatele.
  
  Ve smlouvě musí být zároveň vymezeny povinnosti externího zpracovatele – mzdovou účtárnu: 
• zpracovává osobní údaje pouze na základě doložených pokynů zaměstnavatele, 
• přijímá všechna opatření k zabezpečení zpracování osobních údajů zaměstnanců, 
• dodržuje podmínky pro zapojení dalšího případného zpracovatele (lze pouze s písemným souhlasem zaměstnavatele s řetězením dalších zpracovatelů), 
• bere ohled na povahu zpracování a je zaměstnavateli nápomocný prostřednictvím vhodných technických a organizačních opatření, 
• pokud je to možné, reaguje pro splnění povinnosti zaměstnavatele na žádosti o výkon práv zaměstnanců, 
• napomáhá zaměstnavateli při zajišťování souladu s povinností k zabezpečení zpracování osobních údajů zaměstnanců, ohlašování případů porušení
• zabezpečení osobních údajů Úřadu pro ochranu osobních údajů a také napomáhá zaměstnanci při zohlednění povahy zpracování a informací, jež má mzdová účtárna k dispozici,
• v souladu s rozhodnutím zaměstnavatele všechny osobní údaje vrátí zaměstnavateli po ukončení poskytování služeb spojených se zpracováním osobních údajů a vymaže existující kopie, pokud příslušné právní předpisy neukládají povinně uložení daných osobních údajů, 
• poskytuje zaměstnavateli veškeré informace potřebné k doložení toho, že byly splněny povinnosti stanovené v článku 28 GDPR o zpracovateli, a to poskytne možnost auditu, včetně inspekcí, prováděné zaměstnavatelem nebo jím pověřeným auditorem, a k těmto auditům poskytne součinnost.

Ing. Lenka Černá - daňový poradce