Jak nakládat s kopiemi rodných listů dokládaných zaměstnancem?

Nejčastějším důvodem, proč zaměstnavatel od zaměstnance vyžaduje rodný list dítěte, je situace, kdy zaměstnanec uplatňuje daňové zvýhodnění na vyživované dítě žijící s ním ve společné domácnosti.
Rodný list slouží jako doklad prokazující existenci právního vztahu mezi zaměstnancem a dítětem, tedy že se skutečně jedná o jeho vlastní nebo osvojené dítě.
Zaměstnavatel má v tomto případě zákonnou oporu pro zpracování těchto údajů, neboť mu tato povinnost vyplývá přímo ze zákona o daních z příjmů.
Kopie rodného listu může být vyžadována jednorázově při prvním uplatnění daňového zvýhodnění, případně opakovaně, dojde-li ke změně rozhodných skutečností.

Zásada minimalizace údajů

Klíčovou zásadou, kterou musí zaměstnavatel při pořizování kopií rodných listů bezpodmínečně dodržovat, je zásada minimalizace údajů zakotvená přímo v nařízení GDPR.
Tato zásada říká, že smějí být zpracovávány pouze ty osobní údaje, které jsou přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány.
V praxi to znamená, že zaměstnavatel nesmí bez dalšího uchovávat plnou kopii rodného listu se všemi údaji, které dokument obsahuje, pokud ne všechny tyto údaje skutečně potřebuje.
Pro účely daňového zvýhodnění jsou zpravidla nezbytné pouze vybrané údaje, například jméno a příjmení dítěte, datum narození a případně rodné číslo dítěte.

Veškeré údaje uvedené v rodném listě, které nejsou nezbytné pro daňové posouzení, musí být na pořízené kopii znečitelněny, tedy anonymizovány začerněním příslušných částí textu.
Anonymizace musí být provedena důsledně a nevratně tak, aby nebylo možné začerněné údaje jakýmkoliv způsobem obnovit či přečíst.
Typicky se anonymizují například údaje o místě narození dítěte, údaje o druhém rodiči, pokud nejsou relevantní, číslo matričního záznamu nebo jiné administrativní údaje dokumentu.
Zaměstnavatel by měl mít interně stanovený přesný postup, které konkrétní údaje se na kopii ponechávají a které se anonymizují, aby byl postup jednotný a zdokumentovaný.

Pořizování kopií rodných listů musí probíhat bezpečným způsobem, který minimalizuje riziko úniku nebo neoprávněného přístupu k osobním údajům.
Fyzické kopie musí být uchovávány v uzamčených prostorách s omezeným přístupem pouze pro oprávněné osoby, například pro mzdovou účetní nebo personalistu.
Elektronické kopie musí být uloženy v zabezpečených systémech s řízeným přístupem, šifrováním a pravidelnou kontrolou přístupových oprávnění.
Přístup k těmto dokumentům smějí mít pouze zaměstnanci zaměstnavatele, kteří jej nezbytně potřebují k výkonu své pracovní náplně a kteří jsou vázáni povinností mlčenlivosti.

Kopie rodných listů nesmějí být uchovávány déle, než je nezbytně nutné pro splnění účelu, ke kterému byly pořízeny.
Po uplynutí doby nezbytné pro daňové účely, případně po skončení pracovního poměru zaměstnance, musí být kopie bezpečně a prokazatelně zlikvidovány.
Fyzické dokumenty je třeba skartovat certifikovaným způsobem, elektronické dokumenty pak nevratně smazat ze všech úložišť včetně záložních kopií.
Dobu uchovávání je vhodné stanovit vnitřním předpisem zaměstnavatele v souladu s platnou legislativou a spisovým řádem organizace.

Zaměstnavatel je povinen zaměstnance před pořízením kopie rodného listu řádně informovat o tom, jaké osobní údaje zpracovává, za jakým účelem, po jakou dobu a jaká práva má zaměstnanec v souvislosti s tímto zpracováním.
Tato informační povinnost vyplývá přímo z článků 13 a 14 nařízení GDPR a její nesplnění může být předmětem sankce ze strany Úřadu pro ochranu osobních údajů.
Informace musí být podány jasným, srozumitelným a snadno přístupným způsobem, nejlépe písemnou formou jako součást celkového informování zaměstnance o zpracování jeho osobních údajů.
Zaměstnanec musí být rovněž informován o tom, že má právo na přístup ke svým osobním údajům, právo na jejich opravu, výmaz nebo omezení zpracování.

Zaměstnavatel by měl zvážit, zda je pořízení kopie rodného listu skutečně nezbytné, nebo zda postačí pouhé nahlédnutí do originálu dokumentu a zaznamenání pouze nezbytných údajů do příslušného formuláře.
Je vhodné zavést interní směrnici nebo metodický pokyn, který jasně upravuje celý postup nakládání s kopiemi osobních dokladů zaměstnanců včetně rodných listů.
Pravidelné školení zaměstnanců, kteří s těmito dokumenty pracují, je nezbytnou součástí systému ochrany osobních údajů v organizaci.
Zaměstnavatel by měl pravidelně přehodnocovat, zda stále trvá důvod pro uchovávání konkrétních dokumentů, a nepotřebné kopie bez zbytečného odkladu likvidovat.
V případě jakýchkoliv pochybností o správnosti postupu je vhodné konzultovat situaci s pověřencem pro ochranu osobních údajů nebo s právním poradcem specializujícím se na oblast GDPR.