Francouzský dozorový úřad CNIL zveřejnil nový referenční dokument k dobám uchovávání osobních údajů zpracovávaných v oblasti řízení lidských zdrojů. Cílem dokumentu je pomoci zaměstnavatelům určit, jak dlouho mohou uchovávat jednotlivé kategorie HR údajů, například údaje o uchazečích, zaměstnancích, mzdách, pracovní době, kamerových záznamech, přístupových systémech, služebních vozidlech nebo whistleblowingových oznámeních. Dokument byl zveřejněn 2. dubna 2026 a následně aktualizován 20. května 2026. Tisková zpráva je dostupná zde.
Význam dokumentu spočívá v tom, že zásada omezení uložení podle GDPR se v praxi často obtížně převádí do konkrétních pravidel. Zaměstnavatelé vědí, že osobní údaje nesmí uchovávat déle, než je nezbytné, ale v každodenní HR praxi vzniká složitější otázka: co přesně znamená „nezbytné“ u konkrétního HR procesu?
CNIL se pokouší dát na tuto otázku praktickou odpověď.
Pro koho je dokument určen?
Referenční dokument je určen soukromým i veřejným zaměstnavatelům, jejichž zaměstnanci podléhají francouzskému pracovnímu právu. V praxi bude užitečný zejména pro pověřence pro ochranu osobních údajů, GDPR specialisty, HR oddělení a IT týmy, které nastavují mazání, archivaci a přístupová oprávnění v HR systémech.
CNIL zároveň upozorňuje, že dokument není vyčerpávající. Neřeší například lhůty pro dokumenty v osobních spisech veřejných zaměstnanců, které se řídí zvláštní francouzskou úpravou.
Pro nadnárodní zaměstnavatele je důležité, že dokument vychází z francouzského práva. Nelze jej proto mechanicky převzít jako jednotnou evropskou retenční politiku. Může však dobře posloužit jako praktická inspirace a benchmark.
Soft law, ale ne bez významu
CNIL výslovně uvádí, že dokument má povahu tzv. soft law. To znamená, že ne všechny lhůty uvedené v dokumentu jsou samy o sobě závazné.
Rozlišovat je však třeba dvě situace. Některé doby uchovávání jsou pouze doporučením CNIL. Jiné jsou povinné, protože vyplývají přímo z právních předpisů. U těch se zaměstnavatel nemůže jednoduše rozhodnout pro jinou dobu.
Právě toto rozlišení je prakticky velmi důležité. Pokud zaměstnavatel uchovává HR údaje déle než doporučuje CNIL, měl by být schopen vysvětlit, proč je delší uchování nezbytné a přiměřené.
Povinné lhůty, které CNIL výslovně zmiňuje
Referenční dokument obsahuje řadu povinných dob uchovávání. Mezi prakticky důležité příklady patří zejména:
Oblast | Povinná doba uchování podle dokumentu CNIL |
Údaje neúspěšných uchazečů pro účely možných diskriminačních nároků | 5 let od obsazení pracovní pozice |
Údaje v jednotném registru zaměstnanců | po dobu trvání pracovního poměru a následně 5 let od odchodu zaměstnance |
Podklady k pracovní době | zpravidla 1 rok, případně po dobu referenčního období, pokud je delší než rok; u některých zaměstnanců s režimem forfait 3 roky |
Mzdové listy / výplatní pásky | u papírových nebo elektronických výplatních pásek 5 let od jejich předání zaměstnanci |
Elektronické výplatní pásky | zaměstnavatel musí zajistit jejich dostupnost buď 50 let, nebo do dosažení důchodového věku zaměstnance navýšeného o 6 let |
Podklady pro sociální odvody | 6 let od jejich vyhotovení nebo obdržení |
Obrazové záznamy z kamerového systému pro bezpečnostní účely | nejvýše 1 měsíc od pořízení záznamu |
Identifikační údaje u biometrické kontroly přístupu | 6 měsíců po odebrání oprávnění nebo po skončení výkonu funkce |
Záznamy o pracovních úrazech | 5 let od oznámení pracovního úrazu zaměstnavatelem |
Právní spory a pracovněprávní spory | po dobu trvání sporu až do vyčerpání opravných prostředků |
Tyto lhůty jsou významné tím, že nejde pouze o interní doporučení dozorového úřadu, ale o doby navázané na konkrétní právní povinnosti nebo zákonné promlčecí či archivační režimy.
Jaké HR procesy dokument pokrývá?
CNIL se zaměřuje na nejčastější oblasti HR zpracování, zejména:
nábor zaměstnanců;
administrativní vedení personální agendy;
mzdy a související formality;
zabezpečení osob a majetku;
správu služebních vozidel;
nahrávání telefonních hovorů na pracovišti;
kolektivní pracovněprávní vztahy;
pracovní úrazy;
soudní a předsoudní spory;
interní oznamovací systémy.
To je praktické zejména proto, že HR údaje obvykle nejsou soustředěny v jednom systému. Nacházejí se v náborových nástrojích, mzdovém softwaru, docházkových systémech, kamerových systémech, systémech pro správu vozidel nebo ve whistleblowingových platformách.
Závěr
Nejdůležitější sdělení CNIL je jednoduché: zaměstnavatel by neměl mít jednu univerzální lhůtu pro všechny HR údaje.
Obecné pravidlo typu „všechny osobní údaje zaměstnanců uchováváme 10 let“ bude často příliš široké a může být v rozporu se zásadou omezení uložení podle GDPR.
Správnější přístup je vytvořit retenční matici podle jednotlivých účelů zpracování. U každého HR procesu by měl zaměstnavatel určit:
účel zpracování;
kategorie osobních údajů;
dobu aktivního uchování;
případnou dobu mezitímní archivace;
právní důvod uchování;
okruh osob s přístupem k archivovaným údajům;
okamžik a způsob výmazu nebo anonymizace.
CNIL také zdůrazňuje rozdíl mezi aktivním uchováváním a mezitímní archivací. Údaje v archivu již nemají být běžně používány pro původní operativní účel. Přístup k nim má být omezen jen na oprávněné osoby a pouze pro konkrétní důvody, například splnění právní povinnosti nebo vedení sporu.
Proč je dokument zajímavý i mimo Francii?
Ačkoli dokument vychází z francouzského práva, je užitečný i pro širší evropskou praxi. Ukazuje, jak významný dozorový úřad přistupuje k aplikaci zásady omezení uložení v HR oblasti.
Pro zaměstnavatele je hlavní vzkaz zřejmý: retenční pravidla nemají existovat jen v interní směrnici. Musí se promítnout také do HR systémů, mzdových systémů, přístupových oprávnění, kamerových systémů, dokumentaci managementu a interních oznamovacích kanálů.
Otázka proto nestojí pouze tak, jak dlouho chce zaměstnavatel data uchovávat. Správná otázka zní: dokážeme ještě obhájit, proč tato data uchováváme, pro tento účel, v tomto systému a s tímto okruhem přístupů?
