Zpracování osobních údajů zaměstnanců zaměstnavatele prostřednictvím třetích osob

Aktualizováno 24. října 2026 podle GDPR. Původní výklad založený na zákoně č. 101/2000 Sb. byl nahrazen.

Externí mzdová účetní nebo poskytovatel personálního systému může zpracovávat údaje zaměstnanců pro zaměstnavatele. Nestačí však předat podklady a spolehnout se na obecnou mlčenlivost. Nejdříve je třeba určit, v jaké roli dodavatel údaje používá, a podle toho nastavit smlouvu a skutečný způsob spolupráce.

Kdo je správce a kdo zpracovatel

Zaměstnavatel při vedení vlastní personální agendy zpravidla určuje účel a prostředky zpracování a je správcem. Dodavatel, který pro něj údaje zpracovává podle jeho pokynů, vystupuje jako zpracovatel. Samotné označení ve smlouvě nerozhoduje: podstatné jsou skutečné činnosti. Dodavatel může být pro jiné operace samostatným správcem. Zaměstnanec pověřený vedením mezd uvnitř firmy není jen z tohoto důvodu samostatným zpracovatelem.

Co upravit ve smlouvě podle článku 28 GDPR

Zpracování musí být upraveno smlouvou nebo jiným závazným právním aktem podle článku 28 GDPR. Smluvní úprava může být součástí smlouvy o službách; nemusí jít o samostatný dokument. Musí být písemná, což zahrnuje i elektronickou podobu.

• Vymezte předmět, dobu, povahu a účel zpracování, druhy údajů, dotčené osoby a práva a povinnosti správce.
• Upravte doložené pokyny zaměstnavatele, mlčenlivost oprávněných osob a zabezpečení údajů.
• Stanovte podmínky zapojení dalších zpracovatelů, součinnost při žádostech zaměstnanců a při bezpečnostních incidentech.
• Dohodněte vrácení či výmaz údajů po ukončení služby s přihlédnutím k zákonným povinnostem uchování a možnost ověřit plnění povinností.

Odpovědnost nekončí podpisem

Zapojením dodavatele se zaměstnavatel nezbavuje odpovědnosti správce. Potřebuje vybrat zpracovatele poskytujícího dostatečné záruky a průběžně ověřovat, zda smluvní pravidla odpovídají praxi. Také zpracovatel má vlastní povinnosti, zejména při zabezpečení údajů a dodržování pokynů. Dalšího zpracovatele lze zapojit za podmínek předchozího konkrétního nebo obecného písemného povolení správce.

Co zkontrolovat při předání mezd dodavateli

Projděte, jaké údaje předáváte, kdo k nim má přístup, jak se přenášejí a kde jsou uloženy. Ověřte také seznam dalších dodavatelů, postup při ukončení spolupráce a případné předávání údajů mimo Evropský hospodářský prostor. Starší smlouvu není nutné nahrazovat jen kvůli jejímu datu; rozhoduje, zda její obsah i reálné zpracování odpovídají současným požadavkům.

Potřebujete prověřit smlouvu s účetní nebo personálním dodavatelem? V rámci GDPR a ochrany osobních údajů pro firmy posoudíme dokumentaci a navrhneme potřebné úpravy. Související zaměstnanecké otázky řešíme v oblasti pracovního práva.

Zdroje: GDPR, zejména články 4, 28 a 32; ÚOOÚ: Zpracovatel; ÚOOÚ: Základní příručka k ochraně údajů.