13.3
Doba zpracovávání a uchovávání osobních údajů a povinnosti při jejich zpracovávání
JUDr. Pavel Koukal
Stanovení přiměřené doby pro uchovávání osobních údajů zpracovávaných v rámci vnitřního oznamovacího systému je závislé na povaze a postupu každého případu zpracovávání.
Platí přitom již zmiňovaný obecný požadavek dle čl. 17 směrnice, že osobní údaje, které nejsou pro proces zpracování relevantní, by neměly být dále zpracovávány a měly by být zlikvidovány. Důvodová zpráva v tomto směru výslovně uvádí, že pokud by došlo hned v počátečním posouzení důvodnosti oznámení ke zjištění, že daný případ nespadá do oblasti ochrany oznamovatelů podle zákona, mělo by dojít k výmazu osobních údajů a uchování oznámení pouze v anonymizované či pseudonymizované formě pro evidenční účely.
Jinak je ale třeba při stanovení doby zpracování osobních údajů vycházet z ustanovení § 21 odst. 2 ZOCH a obecnou dobu uchovávání osobních údajů obsažených v oznámeních a dokumentech s nimi souvisejících vždy stanovit na dobu 5 let ode dne přijetí oznámení. Po uplynutí 5 let pak musí být osobní údaje vymazány.
NahoruPovinnosti při zpracování osobních údajů
Na zpracování osobních údajů v souvislosti s vedením vnitřního oznamovacího systému se vztahují všechny povinnosti správce osobních údajů tak, jak vyplývají ze základních zásad zpracování osobních údajů podle čl. 5 GDPR i ze zásad záměrné a standardní ochrany podle čl. 25 GDPR.
V těchto souvislostech je třeba především upozornit na úzkou provázanost zpracování osobních údajů s požadavky na zachování důvěrnosti a utajení totožnosti oznamovatelů a dalších dotčených fyzických osob, na kterých je založena zásada integrity a důvěrnosti dle čl. 5 odst. 1 písm. f)…
