Spracovanie miezd a fakturácia predstavujú v každej firme oblasť s najvyššou koncentráciou citlivých osobných údajov. Mzdové účtovníčky a účtovníci denne narábajú s informáciami, ktoré môžu pri nesprávnom zaobchádzaní viesť nielen k vysokým pokutám, ale aj k nenapraviteľnému poškodeniu reputácie firmy. Od rodných čísiel cez informácie o zdravotnom stave až po bankové spojenia a zrážky zo mzdy – každý jeden údaj podlieha prísnej regulácii GDPR. Mnohé firmy sa mylne domnievajú, že stačí mať vypracovanú základnú bezpečnostnú dokumentáciu. Realita v praxi je však omnoho zložitejšia a vyžaduje si neustálu pozornosť pri každom kroku spracovateľského reťazca. V tomto článku sa pozrieme na kritické miesta, kde najčastejšie dochádza k pochybeniam, a vysvetlíme si, ako správne nastaviť procesy tak, aby bola vaša mzdová a fakturačná agenda v úplnom súlade s európskou legislatívou a chránila práva dotknutých osôb.

Čo tvorí jadro kritických pravidiel GDPR v účtovnej praxi?

Pre splnenie požiadaviek GDPR pri spracovaní miezd a faktúr musí každá účtovná firma a mzdové oddelenie dodržiavať tieto kľúčové pravidlá:

• Zásada zákonnosti: Spracúvanie údajov musí byť podložené jasným právnym základom, ktorým je najčastejšie plnenie zákonnej povinnosti (napr. Zákon o dani z príjmov, Zákon o sociálnom poistení) alebo plnenie zmluvy.
• Minimalizácia údajov: Uchovávajte a spracúvajte len tie údaje, ktoré sú nevyhnutne potrebné pre daný účel. Ak faktúra nevyžaduje rodné číslo odberateľa, nesmie na nej byť uvedené.
• Integrita a dôvernosť: Údaje musia byť zabezpečené proti neoprávnenému prístupu, strate alebo zničeniu, čo zahŕňa technické aj organizačné opatrenia.
• Transparentnosť: Zamestnanci a klienti musia byť jasne informovaní o tom, ako, prečo a ako dlho sa ich údaje spracúvajú.
• Obmedzenie uchovávania: Po uplynutí zákonných lehôt (napr. 10 rokov pri účtovných dokladoch) musia byť osobné údaje bezpečne zlikvidované.

Práve tieto body tvoria základ pre bezpečné fungovanie mzdového oddelenia a elimináciu rizík spojených s únikom dát.

Spracúvanie osobitných kategórií údajov v mzdovej agende

Mzdové účtovníctvo je špecifické tým, že sa v ňom bežne narába s tzv. citlivými údajmi. Podľa GDPR ide o osobitné kategórie osobných údajov, ktoré si vyžadujú vyššiu úroveň ochrany. V mzdovej praxi ide predovšetkým o údaje o zdravotnom stave zamestnancov, ktoré sú nevyhnutné pre uplatnenie daňového bonusu na invaliditu, spracovanie práceneschopnosti (PN) alebo evidenciu pracovných úrazov.

Tieto údaje nesmú byť voľne prístupné komukoľvek vo firme. Musia byť striktne oddelené a prístup k nim by mal mať len obmedzený okruh poverených osôb. Chybou v praxi býva, ak sú lekárske potvrdenia alebo správy o zdravotnej spôsobilosti voľne založené v bežnom šanóne s dochádzkou, ku ktorému majú prístup viacerí kolegovia. Každý dokument obsahujúci informáciu o zdraví musí byť uložený v uzamykateľnom priestore alebo v šifrovanom digitálnom priečinku so zaznamenávaním prístupov.

Rovnako dôležité je dbať na rodné čísla. Hoci sú v slovenskej legislatíve považované za nevyhnutný identifikátor pre komunikáciu so Sociálnou poisťovňou a zdravotnými poisťovňami, ich zverejňovanie na dokumentoch, kde to nie je vyslovene vyžadované zákonom, je porušením zásady minimalizácie. Účtovná firma by mala pravidelne revidovať svoje formuláre a šablóny, aby zabezpečila, že rodné číslo nefiguruje tam, kde stačí meno a priezvisko alebo interný identifikátor zamestnanca.

Riziká prenosu údajov: Prečo je e-mail najslabším článkom?

Jedným z najväčších strašiakov pri spracovaní miezd je spôsob komunikácie medzi účtovnou firmou a klientom (zamestnávateľom). Bežnou, ale z hľadiska GDPR veľmi rizikovou praxou, je posielanie mzdových listov, výplatných pások alebo prehľadov miezd prostredníctvom nešifrovaného e-mailu. E-mailová komunikácia je v základe nebezpečná, pretože správa prechádza viacerými servermi a môže byť relatívne ľahko zachytená alebo odoslaná nesprávnemu adresátovi.

Aby ste predišli bezpečnostnému incidentu, je nevyhnutné zaviesť nasledujúce opatrenia:

• Šifrovanie príloh: Ak zasielate PDF dokumenty s osobnými údajmi, mali by byť chránené silným heslom. Heslo by sa nikdy nemalo posielať v tom istom e-maile ako samotný súbor.
• Zabezpečené klientske portály: Najmodernejším a najbezpečnejším riešením je využívanie cloudových úložísk s riadeným prístupom, kde si klient dokumenty stiahne po prihlásení cez dvojfaktorovú autentifikáciu.
• Zákaz hromadného posielania pások: Rozosielanie výplatných pások všetkým zamestnancom v jednej hromadnej prílohe je kritickým porušením dôvernosti. Každý zamestnanec musí dostať prístup výhradne k svojim údajom.

V prípade, že dôjde k omylu a citlivé údaje sú zaslané nesprávnej osobe, vzniká povinnosť nahlásiť tento bezpečnostný incident Úradu na ochranu osobných údajov SR do 72 hodín, ak existuje riziko pre práva a slobody osôb.

5 zásad pre správne nastavenie vzťahu medzi klientom a účtovnou firmou

Väčšina účtovných firiem vystupuje v pozícii sprostredkovateľa. To znamená, že spracúvajú osobné údaje v mene svojho klienta (prevádzkovateľa). Tento vzťah musí byť jasne definovaný v zmluve, inak sa obidve strany vystavujú právnemu riziku.

1. Sprostredkovateľská zmluva (DPA): Je povinnosťou mať písomnú zmluvu podľa článku 28 GDPR. Táto zmluva musí definovať predmet, dobu trvania, povahu a účel spracúvania, druh osobných údajov a kategórie dotknutých osôb.

2. Pokyny prevádzkovateľa: Ako účtovná firma nesmiete s údajmi robiť nič, čo vám klient neprikázal v rámci mzdovej a účtovnej agendy. Nemôžete údaje použiť napríklad na marketingové účely bez ďalšieho právneho základu.

3. Povinnosť súčinnosti: Účtovná firma musí pomáhať klientovi pri vybavovaní žiadostí zamestnancov (napr. žiadosť o prístup k údajom alebo o výmaz) a pri ohlasovaní porušení ochrany údajov.

4. Mlčanlivosť zamestnancov: Každý zamestnanec účtovnej firmy, ktorý prichádza do styku s faktúrami a mzdami, musí byť preukázateľne poučený a viazaný mlčanlivosťou, ktorá pretrváva aj po skončení pracovného pomeru.

5. Sub-sprostredkovatelia: Ak účtovná firma využíva na spracovanie údajov subdodávateľa (napr. poskytovateľa cloudového účtovného softvéru), musí mať na to písomný súhlas klienta a zabezpečiť rovnakú úroveň ochrany u tohto subdodávateľa.

Archivácia a likvidácia: Kedy údaje prestávajú byť potrebné?

Častým mýtom v účtovníctve je, že „všetko sa musí odkladať navždy“. GDPR však jasne hovorí o obmedzení uchovávania. Problém nastáva v kolízii rôznych právnych predpisov. Zatiaľ čo Zákon o účtovníctve vyžaduje uchovávanie účtovných dokladov (vrátane faktúr s osobnými údajmi) po dobu 10 rokov, mzdové listy a dokumenty potrebné na účely dôchodkového poistenia sa podľa slovenskej legislatívy musia uchovávať až 50 rokov.

Kľúčom k úspechu je vytvorenie registratúrneho poriadku a skartačného plánu. Dokumenty, ktorým uplynula zákonná lehota a už nie sú potrebné na preukazovanie právnych nárokov, musia byť zlikvidované. Pri papierových faktúrach to znamená certifikovanú skartáciu, pri digitálnych súboroch bezpečné vymazanie z diskov aj záloh. Ponechávanie starých databáz zamestnancov, ktorí vo firme nepracujú už 20 rokov a ich údaje už nie sú legislatívne vyžadované, je priamou pozvánkou na sankciu pri kontrole.

Osobitnú pozornosť venujte životopisom neúspešných uchádzačov o zamestnanie. Ak ste si ich ponechali „pre strýčka Príhodu“ bez výslovného a dobrovoľného súhlasu uchádzača na účely budúceho náboru, porušujete pravidlá GDPR. Tieto dokumenty by mali byť zlikvidované ihneď po obsadení pracovnej pozície.

Správne nastavenie procesov v oblasti ochrany osobných údajov pri spracovaní miezd a faktúr nie je len jednorazovou záležitosťou, ale neustálym procesom bdelosti a vzdelávania. Účtovné firmy a mzdové oddelenia stoja v prvej línii zodpovednosti, kde každé pochybenie pri narábaní s rodnými číslami, informáciami o príjmoch alebo zdravotnom stave môže mať fatálne právne a finančné následky. Kľúčom k eliminácii rizík je pochopenie, že GDPR nie je len byrokratická prekážka, ale logický rámec pre budovanie dôvery medzi zamestnávateľom, zamestnancom a účtovným subjektom. Dodržiavaním zásad minimalizácie údajov, zabezpečením digitálnej komunikácie pomocou šifrovania a dôsledným strážením archivačných lehôt dokážete premeniť mzdovú agendu z rizikovej zóny na príkladnú ukážku bezpečného spracovania dát. Nezabúdajte, že technické zabezpečenie, ako sú silné heslá a šifrované úložiská, musí ísť ruka v ruke s organizačnou disciplínou a pravidelným školením personálu. Iba komplexný prístup, ktorý zahŕňa správne nastavené sprostredkovateľské zmluvy a striktné dodržiavanie mlčanlivosti, poskytuje skutočnú ochranu pred sankciami a únikmi informácií. V konečnom dôsledku je bezpečnosť údajov vašich klientov a zamestnancov najlepšou vizitkou vašej profesionality a odbornosti v oblasti účtovníctva a miezd. Pravidelná revízia vašich interných smerníc a technických riešení by sa preto mala stať prirodzenou súčasťou vášho pracovného kalendára, čím zabezpečíte nielen súlad so zákonom, ale predovšetkým pokojný spánok pre seba aj svojich klientov.