GDPR a archiv: jak dlouho smíte držet osobní údaje

Tak dlouho, jak to ukládá zákon, a kde lhůta není, jen po dobu nezbytnou k účelu (čl. 5 odst. 1 písm. e) GDPR). Lhůtu musíte stanovit, zdůvodnit a po jejím uplynutí údaje zničit.

Osobní údaje v archivu smíte držet tak dlouho, jak vám to ukládá zákon. Kde zákon lhůtu nestanoví, jen po dobu nezbytnou k účelu, pro který jste je získali (čl. 5 odst. 1 písm. e) GDPR). Mzdové listy proto držíte 45 let, účetní doklady 5 let a faktury k DPH 10 let, i když obsahují jména a adresy. U ostatních dokumentů si lhůtu stanovte sami, umějte ji zdůvodnit a uveďte ji v informaci pro lidi, jejichž údaje zpracováváte (čl. 13 odst. 2 písm. a)). Po uplynutí lhůty údaje zničte tak, abyste to uměli doložit.

Které dokumenty s osobními údaji mají zákonnou lhůtu?

Ministerstvo vnitra lhůty shrnuje v Přehledu právních předpisů stanovujících ukládací dobu dokumentů. Na pravidlo čl. 5 GDPR v něm upozorňuje také.

Jak dlouho držet osobní spis zaměstnance?

Zákoník práce lhůtu pro osobní spis nestanoví (§ 312 zákona č. 262/2006 Sb.). Ze spisu proto po skončení pracovního poměru ponechte to, pro co platí lhůta jiného zákona. Mzdové doklady a doklady o vzniku a skončení pracovního poměru je bezpečné držet 45 let.

Ostatní písemnosti, například životopis nebo hodnocení, skartujte po uplynutí promlčecí lhůty. Obecně trvá 3 roky, objektivně nejvýše 10 let (§ 629 občanského zákoníku). Podrobnosti najdete v Lhůtomatu u položky osobní spis zaměstnance.

Jak stanovit lhůtu, když ji zákon neurčuje?

Lhůtu musíte určit sami. Postup je jednoduchý:

1. Pojmenujte účel. Proč dokument držíte? Třeba kvůli obraně v možném sporu.
2. Odvoďte z účelu lhůtu. U obchodních smluv se kvůli objektivní promlčecí lhůtě doporučuje 10 let od splnění nebo skončení smlouvy.
3. Zapište ji. Nejlépe do spisového a skartačního řádu, ať ji zná každý, kdo s dokumenty pracuje.
4. Uveďte ji v informaci o zpracování osobních údajů (čl. 13 odst. 2 písm. a) GDPR).
5. Dodržte ji. Po uplynutí lhůty dokumenty skartujte.

Kdo drží osobní údaje bez lhůty a bez účelu, porušuje zásadu omezení uložení. Ministerstvo vnitra i GDPR počítají s tím, že správce lhůtu stanoví a dokáže ji zdůvodnit.

Smíte dokumenty držet déle pro jistotu?

Bez konkrétního důvodu ne. Delší uchování musí mít účel. Zákon o účetnictví sám uvádí, že i po uplynutí jeho lhůt se dokumenty drží, když jsou potřeba pro daňové, trestní, soudní nebo správní řízení, pro sociální zabezpečení nebo pro výběr archiválií (§ 32 odst. 1 zákona o účetnictví). Probíhající spor nebo daňová kontrola jsou tedy dobrý důvod. Obecná opatrnost bez účelu takovým důvodem není.

Co platí pro zdravotní údaje?

Údaje o zdraví patří mezi zvláštní kategorie osobních údajů (čl. 9 GDPR) a chrání se přísněji. Doby uchování zdravotnické dokumentace stanoví vyhláška č. 444/2024 Sb. Záznam o tom, kdy, jak a kým byla dokumentace zničena, se uchovává 40 let (§ 17 odst. 2). Při skartaci se pro zdravotní údaje v praxi volí přísnější stupeň P-5.

Co když archiv drží spisovna?

Správcem osobních údajů zůstáváte vy, spisovna je zpracovatel. Potřebujete s ní proto smlouvu podle čl. 28 GDPR. Při jejím čtení se zaměřte na tyto body:

• spisovna zpracovává údaje jen podle vašich pokynů,
• všichni, kdo s dokumenty pracují, jsou vázáni mlčenlivostí,
• zabezpečení odpovídá požadavkům čl. 32,
• další zpracovatele smí zapojit jen s vaším souhlasem,
• je jasné, co se s dokumenty stane po skončení smlouvy,
• máte právo na kontrolu,
• spisovna vám ohlásí každý bezpečnostní incident (čl. 33 odst. 2).

Jak údaje po lhůtě zničit?

I skartace je z pohledu GDPR zpracováním (čl. 4 bod 2). Od skartační firmy si proto vyžádejte protokol, kterým zničení doložíte (čl. 5 odst. 2). V praxi se pro běžné osobní údaje volí stupeň P-4 podle normy ISO/IEC 21964. Co má protokol obsahovat, popisujeme v článku Skartace s certifikátem.

U záznamů podle zákona proti praní peněz zákon zničení přímo nařizuje: po 10 letech se údaje vymažou a doklady zničí (§ 16 odst. 5 zákona č. 253/2008 Sb.). Od 10. 7. 2027 se začne používat nařízení EU 2024/1624, které počítá s uchováním 5 let a následným výmazem (čl. 77). Jak se to promítne do českého zákona, zatím jisté není.

Jak lhůty hlídat v praxi?

Ke každé krabici nebo šanonu zapište do evidence, co obsahuje, z jakého roku je a kdy mu končí lhůta. Jednou ročně, nejlépe na začátku roku, projděte, co lhůtu splnilo, a připravte skartaci. Bez evidence se lhůty hlídají špatně a dokumenty pak v archivu zůstávají roky navíc.

Jak vám pomůžeme

V našem archivačním programu má každá ukládací jednotka zapsaný název, obsah a lhůtu. Víte tak, co smíte držet, a nic nezůstane déle, než má. Po uplynutí lhůty dokumenty s vaším souhlasem skartujeme a dostanete protokol. Smlouvu o zpracování osobních údajů podle čl. 28 GDPR s vámi uzavřeme. Skartace stojí 300–400 Kč za běžný metr.

Najděte lhůtu pro své dokumenty v Lhůtomatu.

Časté otázky