Základní minimum

GDPR přichází ke slovu už ve chvíli, kdy příchozí životopisy uchazečů uložíte do počítače nebo e-mailové schránky, kde s nimi můžete dál pracovat. Už samotné uložení je totiž zpracování osobních údajů.

A u osobních údajů platí, že si je nesmíte ponechat navždy a můžete s nimi pracovat jen v rámci jasně stanoveného účelu. I proto vás v první řadě čeká trocha práce s pomyslným koštětem. V osobních údajích by totiž měl zavládnout naprostý pořádek. Takže se připravte na úklid v databázích.

Díky tomuto smejčení totiž budete na první dobrou vědět, jaká data, kde a za jakým účelem shromažďujete. A právě to GDPR vyžaduje. Veškerá další práce s osobními údaji (jako jejich smazání nebo přenesení na žádost subjektu osobních údajů – tedy ve vašem případě uchazeče o práci) už bude brnkačka.

Vybavte si teď všechna místa, na kterých informace schraňujete. Tedy například

• tabulky,
• e-mail
• nebo složky v počítači.

Databáze totiž musíte podrobit vstupnímu datovému auditu, díky kterému zjistíte, jestli informace držíte v souladu s GDPR.

Pro uživatele Teamia je dobrá zpráva, že vám systém s touto prací pomůže – všechny informace v něm už držíte v souladu s GDPR. Evidovaní uchazeči totiž odpověděli na váš inzerát. Díky tomu máte jistotu, že kandidáti vědí, jak jejich osobní údaje zpracováváte.

Pokud si chcete při datové inventuře údaje ručně přenést z e-mailu či Excelu, vložíte je do Teamia a vyžádáte si souhlas s jejich zpracováním. Pokud už souhlas se zpracováním od uchazeče máte, není nutné o něj žádat znovu. Existující souhlas si k záznamu v Teamiu můžete přiložit.

Účel zpracování

Osobní údaje můžete zpracovávat na základě jasně definovaného účelu. GDPR říká, že zpracování osobních údajů je zákonné, pokud splníte jednu z následujících podmínek pro naplnění účelu

• souhlas se zpracováním dat,
• plnění smlouvy a jednání směřující k uzavření smlouvy na žádost subjektu údajů,
• plnění právních povinností,
• ochrana životně důležitých zájmů subjektu údajů,
• veřejný zájem,
• nebo oprávněný zájem správce.

Vaše shromážděná data budou s největší pravděpodobností patřit k prvnímu nebo druhému případu.

Tedy

• od kandidáta jste dostali výslovný souhlas, nebo
• od kandidáta jste sice výslovný souhlas se zpracováním osobních údajů nedostali, ale protože vám odpověděl na inzerát, je zpracování údajů potřebné pro vyjednávání před případným uzavřením smlouvy.

Doba zpracování

Data o uchazečích nemůžete ve svých databázích držet libovolně dlouho, doba zpracování osobních údajů musí být vždy časově omezená. To znamená, že v okamžiku poskytnutí svých osobních údajů se uživatel musí vždy dozvědět, jak dlouho budete jeho osobní údaje zpracovávat a uchovávat.

V Teamiu jsme si dobu účelu zpracování osobních údajů určili na 6 měsíců, ve vaší firmě může být jiná. Její stanovení máte pouze ve své režii.

Samozřejmě po vás nikdo nechce, abyste věštili z křišťálové koule. Doba výběrového řízení se může lišit. GDPR proto říká, že pokud nelze určit dobu, můžete uvést kriteria pro její stanovení. Takže napsat „vaše údaje uchováváme po dobu výběrového řízení“ je kritérium, které předurčuje uchování údajů.

Takže předpokládejme, že dobu už máte určenou. Mimo Teamio si stanovené termíny ukončení účelu musíte hlídat sami. V databázi můžete mít jen ty údaje, na které máte právo. Ostatní musíte smazat.

Nejčastější otázky k tématu

„Musím dobu zpracování osobních údajů časově ohraničit?“

Ano. U souhlasu i účelu zpracování osobních údajů musíte určit dobu, po kterou s údaji smíte pracovat.

My v LMC jsme dobu zpracování konzultovali s právníky a ti nám doporučili, že vhodná doba pro ohraničení trvání výběrového řízení je 6 měsíců (přihlášením do výběrového řízení dochází k souhlasu se zpracováním osobních údajů po dobu trvání definovaného účelu).

Dobu můžete stanovit i určením kritérií – uveďte například, že „vaše údaje uchováváme po dobu výběrového řízení.“

Jako vhodnou dobu pro souhlas se zpracováním osobních údajů nad rámec účelu nám doporučili 3 roky (to je doba, po kterou můžete kandidáty, kteří vám k tomu dali souhlas, uchovat v databázi). Dobu trvání zpracování osobních údajů nad rámec účelu si může vaše firma určit i podle vlastních požadavků, ale zodpovědnost za toto rozhodnutí je na vás.

„Ačkoliv tento dokument viděly oči několika právníků, LMC s. r. o. není advokátní kancelář. Tento dokument proto prosím chápejte jako informativní, s obecným charakterem, který nereflektuje Vaše konkrétní požadavky nebo poměry. Nezamýšleli jsme ho jako právní poradenství, komplexní vyjádření zákona nebo návrh na řešení Vašich individuálních požadavků, a proto neodpovídáme za soulad tohoto dokumentu s právními předpisy, ani za použití tohoto dokumentu jinak než v souladu s námi zamýšleným účelem. Pokud ve Vaší společnosti řešíte ochranu osobních údajů, doporučujeme Vám obrátit se na nezávislou právní kancelář a probrat s ní veškeré postupy tak, aby vyhovovaly přesně Vašim účelům.“