Osobní údaje bývalého zaměstnance: Kdy je odstranit z webu a jak na anonymizaci

Odchod zaměstnance obvykle znamená odevzdání vybavení, zrušení přístupů a znepřístupnění e-mailové schránky. Stranou ale mohou zůstat veřejně dostupné pracovní kontakty. Právě osobní údaje bývalých zaměstnanců v dokumentech na internetu proto vyžadují pozornost i po skončení pracovního vztahu.

Podle čl. 4 odst. 1 GDPR je osobním údajem každá informace vztahující se k identifikované nebo identifikovatelné fyzické osobě. Do této kategorie tak může patřit nejen e-mailová adresa, ale také telefonní číslo, pokud je jednoznačně spojeno s konkrétním člověkem.

Pracovní e-mail i pracovní telefon mohou být osobním údajem

Pokud dokument obsahuje jméno zaměstnance, jeho funkci a kontaktní údaje, není potřeba jeho totožnost dále zjišťovat. Osoba je již přímo identifikována.

Ještě zřetelnější je situace u pracovního e-mailu ve formátu jméno.příjmení@organizace.cz. Taková adresa je osobním údajem sama o sobě bez ohledu na to, co je kolem ní uvedeno, a také bez ohledu na to, zda schránka stále existuje.

Nerozhoduje ani to, zda jde o služební, nebo soukromý kontakt. Pracovní povaha údaje může ovlivnit posouzení přiměřenosti jeho zveřejnění, ale nemění skutečnost, že jde o osobní údaj.

Stejně tak zrušení schránky nebo převedení čísla na jiného pracovníka automaticky neznamená, že původní pracovní telefon přestává být spojen s bývalým zaměstnancem. Veřejný dokument jej může nadále přiřazovat k jeho jménu.

Výsledkem může být:

• zavádějící spojení mezi bývalým zaměstnancem a současným držitelem čísla,
• nepřesný údaj ve zveřejněném dokumentu,
• riziko záměny nebo podvodného jednání,
• zvýšené riziko, které představuje sociální inženýrství.

Kombinace jména, pracovní funkce, organizace a přímého kontaktu totiž může být zneužita k vytvoření důvěryhodně působící identity.

Co může zůstat zveřejněné?

Přítomnost osobního údaje v dokumentu automaticky neznamená, že musí být odstraněn celý dokument. Je nutné odlišovat informace o pracovní či úřední činnosti od údajů, které sloužily pouze jako provozní kontakt.

Jméno, tehdejší funkce nebo informace o účasti na konkrétní zakázce mohou zůstat legitimní součástí historického dokumentu. U zaměstnanců veřejné správy je podle § 8a odst. 2 zákona o svobodném přístupu k informacím možné poskytnout údaje vypovídající o jejich úřední činnosti nebo pracovním zařazení.

Tento zákon o informacích však neznamená, že každý přímý telefon nebo pracovní e-mail bývalého zaměstnance veřejné správy musí zůstat veřejně dostupný bez časového omezení. Po skončení konkrétního řízení nebo po odchodu zaměstnance může původní účel zveřejnění zaniknout.

🔐 Co musí podle GDPR posoudit správce?

Další zveřejňování musí respektovat zejména zásady účelového omezení, minimalizace údajů, přesnosti a omezení uložení podle čl. 5 odst. 1 GDPR.

Každý správce osobních údajů proto musí dokument posoudit podle jeho účelu a právního základu. Nelze jednoduše rozhodnout, že všechny dokumenty musí zůstat beze změny zveřejněné, ani že se mají všechny odstranit.

V praxi je důležité rozlišit zejména:

• povinnost dokument uchovávat,
• potřebu jeho veřejného zpřístupnění,
• informace, které mají v dokumentu nadále zůstat,
• přímé kontakty, které už původnímu účelu neslouží.

Úplný originál může zůstat zachován ve spise nebo být předán archivu, zatímco veřejně dostupná kopie může být upravena. Jméno, funkce, cena, předmět zakázky a další věcně významné informace mohou zůstat zachovány a odstranit lze již nepotřebný přímý kontakt.

Tak lze zachovat obsah dokumentu, který má i nadále význam, a současně řešit ochranu osobních údajů, které už nemusí být veřejně dostupné.

Anonymizace dokumentů musí odstranit údaj skutečně

Pokud je řešením anonymizace, nestačí text v PDF pouze vizuálně překrýt černým obdélníkem. Údaj totiž může nadále zůstat v textové nebo OCR vrstvě a být možné jej označit, zkopírovat či vyhledat.

Údaj by proto měl být odstraněn už ve zdrojovém dokumentu. Následně je potřeba zkontrolovat:

• textovou vrstvu,
• OCR vrstvu,
• PDF metadata výsledného souboru.

Kontrola metadat je důležitá zejména u polí, jako jsou autor, společnost, komentář nebo název dokumentu. Správně provedená anonymizace tedy nekončí tím, co je na první pohled vidět. Správce musí zkontrolovat také informace uložené uvnitř souboru, což je důležité i z hlediska ochrany dat.

Registr smluv: Rozhoduje, kde se údaj nachází

Zvláštní pozornost vyžaduje Registr smluv. Ten technicky umožňuje modifikovat záznam, odebrat zveřejněný soubor, nahradit jej anonymizovanou verzí a znepřístupnit předchozí verzi metadat.

Podle informací správce registru byly tyto funkce zavedeny především pro účely dodatečné anonymizace osobních údajů. Původní soubor ani předchozí verze se přitom z registru nevymažou, ale pouze znepřístupní veřejnosti.

Je nutné rozlišovat dvě situace:

• osobní údaj je přímo ve zveřejněném souboru se smlouvou,
• osobní údaj se nachází v metadatech záznamu.

U souboru se smlouvou zákon výslovnou lhůtu pro dodatečnou anonymizaci nestanoví a původní soubor lze znepřístupnit a nahradit anonymizovanou verzí.

U metadat je situace méně jednoznačná. § 7 odst. 4 zákona o registru smluv omezuje jejich opravu třemi měsíci, systém však zároveň umožňuje znepřístupnit předchozí verzi metadat za účelem dodatečné anonymizace osobních údajů. Zákon výslovně neřeší, zda se takové znepřístupnění po třech měsících považuje za opravu podléhající této lhůtě.

Náprava proto musí odstranit pouze údaje, které neměly být veřejně zpřístupněny, a současně zachovat obsah potřebný pro řádné uveřejnění smlouvy.

💡 Praktický tip: Kontrolujte kontakty i po odchodu zaměstnance

Při odchodu zaměstnance nekontrolujte pouze jeho přístupy a e-mailovou schránku. Zaměřte se také na dokumenty, ve kterých mohou zůstávat veřejně dostupné pracovní kontakty.

Doporučení

U každého zveřejněného dokumentu pravidelně ověřte, zda důvod pro zveřejnění osobních údajů stále trvá. Pokud už některé údaje nejsou potřebné a je nutná anonymizace, nestačí upravit jen to, co je vidět na první pohled. Zkontrolujte také textovou a OCR vrstvu dokumentu a jeho metadata, aby v souboru nezůstaly údaje, které měly být odstraněny.