Žádost o data od odcházejícího zaměstnance není obstrukce. Je to lhůta

Zaměstnanec, se kterým vedete disciplinární řízení, pošle e-mail: chce vidět všechno, co o něm firma má. Většina vedení to vnímá jako taktiku před soudem a odloží to. Italský dozorový úřad v říjnu ukázal, kolik takové odložení stojí, a francouzský CNIL potvrdil, že stejně dopadnou i neodpovězené žádosti uchazečů o práci.

Co se stalo v Itálii

Bývalý zaměstnanec bezpečnostní agentury La Patria S.p.A. dvakrát požádal o přístup k dokumentaci ze svého disciplinárního řízení. Chtěl mimo jiné data z GPS jednotky ve služebním autě, které mu firma přidělila. Potřeboval je k obhajobě v řízení, které nakonec skončilo jeho propuštěním. Firma na žádosti nereagovala tak, jak měla.

Italský úřad pro ochranu osobních údajů (Garante) rozhodl 6. srpna 2026 a EDPB rozhodnutí zveřejnil 9. října 2026. Pokuta činí 39 000 EUR: 22 000 EUR za porušení práva na přístup a 17 000 EUR za nedostatečné informování zaměstnanců.

Z rozhodnutí plynou tři závěry, které platí pro každého zaměstnavatele v EU:

• Žádost nemusí obsahovat slovo GDPR. Úřad výslovně uvedl, že zaměstnanec nemusí odkazovat na nařízení, aby šlo o uplatnění práva na přístup. E-mail "pošlete mi podklady k mému disciplinárnímu řízení" stačí.
• Odmítnutí musí být zdůvodněné. Pokud firma žádosti nevyhoví, musí zaměstnanci sdělit důvody a poučit ho o možnosti podat stížnost u dozorového úřadu nebo se obrátit na soud. Mlčení není odmítnutí, je to porušení.
• GPS ve služebním autě jsou osobní údaje. Polohu vozidla lze nepřímo spojit s konkrétním řidičem. Firma o zpracování polohových dat zaměstnance řádně neinformovala.

Úřad našel i drobnost, která v praxi není výjimečná: informace o zpracování osobních údajů uváděla zvláštní kategorie údajů, například o filozofickém přesvědčení nebo sexuálním životě, které firma vůbec nezpracovávala. Šlo o převzatou šablonu, kterou nikdo nezkontroloval proti skutečnosti.

Výši pokuty snížilo, že firma během řízení nedostatky napravila. To je dobrá zpráva i varování zároveň: úřad ocenil nápravu, ale pokutu přesto uložil.

Uchazeči a bývalí zaměstnanci jsou nejčastější žadatelé

Francouzský CNIL 21. července 2026 pokutoval společnost EXTIA částkou 300 000 EUR. Firma nabírá IT konzultanty a v roce 2024 dostala 265 žádostí o výmaz, převážně od uchazečů o práci a občas od bývalých zaměstnanců. Více než tři čtvrtiny z nich nevyřídila vůbec nebo nevyřídila správně.

Čísla z rozhodnutí:

• 12 žádostí o výmaz nebylo zpracováno vůbec,
• 166 lidí nedostalo informaci o tom, jak firma s jejich žádostí naložila,
• 27 lidí ji dostalo po uplynutí měsíční lhůty, některé se zpožděním několika měsíců.

Firma se bránila tím, že data uchazečů se mažou automaticky. CNIL odpověděl, že automatický výmaz firmu nezbavuje povinnosti žadateli sdělit výsledek. Technicky jste tedy mohli udělat správnou věc a přesto porušit nařízení, protože jste o tom nikomu neřekli. Do výše pokuty se promítlo i to, že úřad firmu na její povinnosti upozornil už dvakrát.

Pro firmu, která přijímá desítky lidí ročně, je to realistický scénář. Žádosti chodí na HR, na personální agenturu, na obecnou e-mailovou adresu nebo přímo nadřízenému. Nikdo je neeviduje centrálně a nikdo nehlídá, kdy uplyne lhůta. O tom, jak výmaz funguje a kde má hranice, jsme psali v článku Právo být zapomenut: jak funguje v praxi.

Co přesně říká GDPR

Pravidla jsou v článcích 12 a 15 obecného nařízení o ochraně osobních údajů:

• Lhůta je jeden měsíc od obdržení žádosti (čl. 12 odst. 3). Prodloužit ji lze o další dva měsíce s ohledem na složitost a počet žádostí, ale o prodloužení a jeho důvodech musíte žadatele informovat do jednoho měsíce.
• Pokud nevyhovíte, musíte žadateli bez zbytečného odkladu, nejpozději do měsíce, sdělit důvody a možnost podat stížnost nebo žalobu (čl. 12 odst. 4).
• Výkon práv máte usnadnit (čl. 12 odst. 2). Nemůžete trvat na formuláři, osobní návštěvě nebo konkrétním kanálu, pokud žádost přišla jinak.
• První kopie je zdarma (čl. 15 odst. 3). Za další kopie lze účtovat přiměřený poplatek.
• Práva třetích osob (čl. 15 odst. 4): kopie nesmí nepříznivě ovlivnit práva a svobody jiných. To je důvod údaje kolegů nebo svědků znečitelnit, ne důvod odmítnout celou žádost.

V Česku se k tomu přidává pracovní právo. Podle § 316 zákoníku práce musí zaměstnavatel, který z vážného důvodu spočívajícího ve zvláštní povaze své činnosti zavede kontrolu zaměstnanců, například sledování polohy služebních vozidel, zaměstnance přímo informovat o rozsahu a způsobu kontroly. Italský případ je tak přenositelný i na české firmy: chybějící informace o GPS by tu byla problémem podle GDPR i podle zákoníku práce.

"Ale on to chce jen kvůli soudu"

To je nejčastější námitka vedení. Motiv žádosti je pro její vyřízení v zásadě nerozhodný. Právo na přístup nemá podmínku, že ho zaměstnanec nesmí využít ve sporu s vámi.

Soudní dvůr EU v rozsudku C-526/24 (Brillen Rottler) z 19. března 2026 připustil, že i první žádost může být nepřiměřená ve smyslu čl. 12 odst. 5 GDPR, pokud jde o zneužití práva. Šlo ale o člověka, který se systematicky přihlašoval k newsletterům, podával žádosti a pak požadoval náhradu škody. Soud zdůraznil, že laťka je vysoko a důkazní břemeno nese správce. Zaměstnanec, který chce vidět podklady ke své výpovědi, do této kategorie nespadá.

Stejný rozsudek přinesl i opačné varování: neoprávněné odmítnutí žádosti o přístup může samo o sobě založit nárok na náhradu nemajetkové újmy podle čl. 82 GDPR. Ve sporu se zaměstnancem tak nevyřízená žádost znamená kromě rizika pokuty od úřadu i další nárok na stole.

Kde se to ve firmách láme

Problém obvykle není ve zlé vůli. Je v tom, jak je agenda rozdělená:

• Žádost přijde na špatné místo. Nadřízený ji vnímá jako součást sporu a předá ji právníkovi. Právník řeší výpověď, ne GDPR. Lhůta mezitím běží.
• Data jsou v pěti systémech. HR systém, docházka, e-mail, telematika vozového parku, kamerový záznam, interní chat. Nikdo nemá přehled, kde všude o zaměstnanci něco je.
• Informace pro zaměstnance je šablona. Neodpovídá tomu, co firma skutečně zpracovává. Chybí GPS, přebývají kategorie, které nikdo nesbírá.
• Nikdo nevede záznam o vyřízení. Když se úřad zeptá, firma nemá jak doložit, kdy žádost přišla, kdo ji řešil a co žadatel dostal.

Podobné vzorce popisujeme v článku Nejčastější chyby při zavádění GDPR. Žádosti subjektů údajů jsou místem, kde se tyto chyby projeví nejrychleji, protože mají pevnou lhůtu a konkrétního člověka, který čeká na odpověď.

Jak to nastavit, aby to fungovalo

Řešení není další směrnice v šuplíku. Je to proces, který funguje i ve chvíli, kdy je HR přetížené a vedení řeší spor:

1. Jedno místo pro příjem žádostí. Bez ohledu na to, kudy žádost přijde, musí skončit na jednom místě s datem přijetí a lhůtou.
2. Mapa dat o zaměstnancích. Víte, ve kterých systémech jsou údaje o zaměstnancích a uchazečích, včetně telematiky, kamer a docházky. Bez ní se do měsíce nestihnete.
3. Oddělit spor od žádosti. Právník řeší pracovní spor. Žádost podle GDPR se vyřizuje vlastní cestou a v zákonné lhůtě, bez ohledu na to, jak se spor vyvíjí.
4. Informace odpovídá realitě. Projděte informaci pro zaměstnance proti skutečnému zpracování. Pokud sledujete polohu vozidel, musí to tam být, a podle § 316 zákoníku práce to zaměstnanec musí vědět přímo.
5. Proškolit první linii. Vedoucí, recepce, HR. Lidé musí poznat žádost i tehdy, když v ní slovo GDPR nepadne.
6. Doložitelná stopa. Kdy žádost přišla, kdo ji řešil, co odešlo a kdy. Přesně na to se úřad ptá.

Jak s tím pomáhá VPoint

Většina firem tuhle agendu řeší kombinací sdílené schránky, tabulky a paměti jedné osoby z HR. Funguje to, dokud ta osoba není na dovolené nebo dokud nepřijdou tři žádosti najednou.

V modulu GDPR a ochrana údajů platformy VPoint evidujete žádosti subjektů údajů na jednom místě, s hlídáním zákonných lhůt a auditním logem každého kroku. Na stejném místě vedete záznamy o činnostech zpracování, takže při vyřizování žádosti víte, ve kterých systémech data hledat. Vedoucí a HR proškolíte přes AI generovaná školení, která zaměříte právě na to, jak žádost poznat a komu ji předat. A protože VPoint pokrývá i whistleblowing, směrnice a AI governance, nemusíte pro každou povinnost udržovat samostatný nástroj.

Shrnutí: co si zkontrolovat tento týden

• Víte, kolik žádostí od zaměstnanců a uchazečů jste za poslední rok dostali a jestli všechny dostaly odpověď do měsíce?
• Je jasné, kdo žádost přijímá a kdo hlídá lhůtu, i když přijde přes nadřízeného nebo agenturu?
• Odpovídá informace pro zaměstnance tomu, co skutečně zpracováváte, včetně GPS, kamer a docházky?
• Informujete zaměstnance přímo o sledování podle § 316 zákoníku práce?
• Umí vedoucí poznat žádost o přístup, i když v ní není slovo GDPR?
• Dokážete úřadu doložit, kdy jste žádost přijali a co jste odeslali?

Pokud na dvě a více otázek odpovídáte "nevím", domluvte si krátké demo. Ukážeme vám, jak vypadá evidence žádostí s hlídáním lhůt v praxi, a to za předvídatelnou cenu bez poplatků za uživatele.