Osobní údaje brigádníka: co smíte evidovat a jak dlouho

Zaměstnavatel smí o brigádníkovi na DPP nebo DPČ evidovat jen údaje nezbytné pro uzavření dohody a splnění zákonných povinností vůči ČSSZ, zdravotní pojišťovně a finančnímu úřadu: jméno, rodné číslo, datum narození, bydliště, pojišťovnu, údaje o odměně a odpracované době. Souhlas nepotřebuje. Mzdový list a dohodu uchovává 45 let, prohlášení poplatníka po dobu lhůty pro stanovení daně, zbytek maže po skončení.

Minimalizace: proč méně je víc

Základní pravidlo stanoví čl. 5 odst. 1 písm. c) GDPR: osobní údaje musí být přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu. Písmeno e) přidává omezení uložení jen na nezbytnou dobu. Zákoník práce to zpřesňuje:

• § 30 odst. 2: před vznikem vztahu smí zaměstnavatel od uchazeče vyžadovat jen údaje, které bezprostředně souvisejí s uzavřením smlouvy;
• § 312 odst. 1: osobní spis smí obsahovat jen písemnosti, které jsou nezbytné pro výkon práce v základním pracovněprávním vztahu;
• § 316 odst. 4: zaměstnavatel nesmí vyžadovat informace, které bezprostředně nesouvisejí s výkonem práce, zejména o těhotenství, rodinných a majetkových poměrech, sexuální orientaci, původu, členství v odborech, politických stranách, církvích a o trestněprávní bezúhonnosti; u některých z nich platí výjimka, je-li pro to věcný důvod v povaze práce nebo to stanoví zákon.

U brigádníka je účel úzký: odpracovat hodiny, dostat odměnu a být správně vykázán státu. Co tomu neslouží, do evidence nepatří.

Právní základy: plnění smlouvy a právní povinnost, ne souhlas

Podle čl. 6 odst. 1 GDPR vystačíte u dohodáře se dvěma základy. Plnění smlouvy (písm. b)) pokrývá údaje potřebné k uzavření a plnění dohody: jméno, datum narození, bydliště, sjednanou práci, odměnu, číslo účtu pro bezhotovostní výplatu. Plnění právní povinnosti (písm. c)) pokrývá vše, co ukládají zákony o sociálním zabezpečení, zdravotním pojištění a daních: rodné číslo, zdravotní pojišťovnu, vyměřovací základy, sražené zálohy, evidenci pracovní doby.

Souhlas je pro tyto údaje nevhodný. Bod 43 odůvodnění GDPR uvádí, že souhlas by neměl být platným základem při zjevné nerovnováze mezi subjektem údajů a správcem, a vztah zaměstnance a zaměstnavatele je typický příklad. Souhlas lze navíc kdykoli odvolat, zatímco povinnost vést mzdový list trvá desítky let. Nástupní formulář proto nemá obsahovat kolonku „souhlasím se zpracováním osobních údajů", ale informaci podle čl. 13 GDPR.

Co patří do osobního spisu dohodáře a co ne

Zákon nestanoví podobu spisu; může to být šanon i složka v personálním systému. Rozhoduje obsah.

Do spisu brigádníka patří:

• podepsaná dohoda o provedení práce nebo dohoda o pracovní činnosti, dodatky a doklad o skončení;
• nástupní údaje podle § 37 odst. 1 zákona č. 582/1991 Sb.: příjmení včetně dřívějších, jméno, datum a místo narození, pohlaví, trvalý pobyt, státní občanství, rodné číslo;
• zdravotní pojišťovna, doklad o oznámení pojišťovně (§ 10 zákona č. 48/1997 Sb.) a o přihlášení na ČSSZ;
• prohlášení poplatníka podle § 38k zákona o daních z příjmů, pokud ho brigádník učinil, a údaje o dětech jen při uplatnění daňového zvýhodnění (§ 38j odst. 2 písm. d));
• evidence odpracovaných hodin (u DPP hlídáte limit 300 hodin ročně), mzdový list nebo výplatní pásky, číslo účtu při bezhotovostní výplatě;
• lékařský posudek, pokud proběhla vstupní prohlídka; podle § 59 odst. 1 písm. b) zákona č. 373/2011 Sb. je u dohod povinná jen u rizikové práce, jinak ji zaměstnavatel může vyžadovat;
• u cizince kopie dokladu o oprávněnosti pobytu (§ 102 odst. 3 zákona č. 435/2004 Sb.), u brigádníka mladšího 15 let písemný souhlas zákonného zástupce podle pravidel flexinovely.

Do spisu nepatří:

• kopie občanského průkazu ani jiných dokladů, u nichž zákon kopii neukládá; údaje opíšete a zapíšete, kdo a kdy je ověřil (podrobně v článku o kopírování občanky zaměstnavatelem);
• výpis z rejstříku trestů bez věcného důvodu; ÚOOÚ připomíná, že ho lze vyžadovat jen za podmínek § 316 odst. 4 zákoníku práce a uchovávat jen po účelem odůvodněnou dobu;
• zdravotní údaje nad rámec posudku: posudek říká způsobilý, způsobilý s podmínkou nebo nezpůsobilý, diagnózy do spisu nepatří;
• rodinný stav, údaje o partnerovi, těhotenství, náboženství, členství v odborech (§ 316 odst. 4 zákoníku práce);
• fotografie bez konkrétního účelu a soukromé kontakty nad rámec toho, co brigádník poskytl pro komunikaci o směnách a pro zaslání vyhotovení dohody.

Informační povinnost podle čl. 13 GDPR

Když od brigádníka údaje získáváte, musíte mu sdělit, kdo je správce, k jakým účelům a na jakém základě údaje zpracováváte, komu je předáváte (ČSSZ, zdravotní pojišťovna, finanční úřad, účetní kancelář), jak dlouho je uchováte a jaká má práva. ÚOOÚ v odpovědích pro zaměstnavatele výslovně připomíná povinnost informovat zaměstnance podle čl. 13 GDPR o předání údajů dalšímu příjemci. V praxi stačí jednostránková informace přiložená k dohodě (u elektronického uzavření jako příloha vyhotovení na soukromý e-mail). Není to souhlas; stačí potvrzení, že ji brigádník obdržel.

Zpracovatelská smlouva s účetní kanceláří (čl. 28 GDPR)

Externí účetní, která zpracovává mzdy dohodářů, je zpracovatel a vy správce. Čl. 28 odst. 3 GDPR vyžaduje smlouvu (i elektronickou), která stanoví předmět, dobu, povahu a účel zpracování, typ údajů, kategorie subjektů a povinnosti zpracovatele: zpracovávat jen na pokyny správce, mlčenlivost, zabezpečení, žádní další zpracovatelé bez souhlasu, součinnost při právech subjektů a výmaz nebo vrácení údajů po skončení služeb. Bez ní porušuje povinnost správce i zpracovatel. Vzor najdete na stránce zpracovatelská smlouva; doplňte pravidlo, že účetní dostává jen opsané údaje, ne kopie dokladů.

Doby uchování: tabulka pro dohodáře

Nejdelší lhůty stanoví § 35a odst. 4 zákona č. 582/1991 Sb.: mzdové listy nebo účetní záznamy o údajích potřebných pro důchodové pojištění se uschovávají 45 kalendářních roků následujících po roce, kterého se týkají (u poživatelů starobního důchodu 10 roků). Za takové záznamy se podle závěrečné části odstavce vždy považují i doklady o druhu, vzniku a skončení pracovního vztahu a záznamy o evidenci pracovní doby. Dohoda i evidence hodin brigádníka tedy spadají do stejného režimu jako mzdový list.

Dokument nebo údaj	Doba uchování	Právní základ
Mzdový list dohodáře (včetně DPP do 12 000 Kč)	45 kalendářních roků po roce, kterého se týká; 10 roků u poživatele starobního důchodu	§ 35a odst. 4 písm. c) zák. č. 582/1991 Sb.; § 38j ZDP
Dohoda (DPP, DPČ), dodatky, doklad o skončení	45 kalendářních roků (doklady o druhu, vzniku a skončení vztahu)	§ 35a odst. 4 zák. č. 582/1991 Sb., závěrečná část
Evidence pracovní doby a odpracovaných hodin	45 kalendářních roků	§ 35a odst. 4 zák. č. 582/1991 Sb., závěrečná část
Stejnopis evidenčního listu důchodového pojištění	uchovat se mzdovými doklady; od 2026 sestavuje ELDP ČSSZ z jednotného měsíčního hlášení	§ 38 odst. 5 zák. č. 582/1991 Sb.; informace ČSSZ k ELDP od 1. 1. 2026
Prohlášení poplatníka a doklady ke slevám	po dobu, po kterou lze daň stanovit: 3 roky, lhůta se může prodlužovat, nejdéle 10 let	§ 148 odst. 1 a 5 daňového řádu; § 38k ZDP
Kopie dokladu o oprávněnosti pobytu cizince	po dobu zaměstnání a 3 roky po jeho skončení	§ 102 odst. 3 zák. č. 435/2004 Sb.
Kontaktní údaje, číslo účtu, soukromý e-mail	do vypořádání poslední odměny a odhlášení; poté smazat	čl. 5 odst. 1 písm. e) GDPR
Kopie občanky, fotografie bez účelu, nadbytečné dotazníky	neuchovávat vůbec; existující smazat	čl. 5 odst. 1 písm. c) GDPR; § 39 zák. č. 269/2021 Sb.

Účetní doklady k výplatám a bankovní výpisy mají vlastní lhůty podle zákona o účetnictví a daňových předpisů; přehled najdete v článku o archivačních lhůtách dokladů.

Co dělat po skončení dohody

Lhůty pro odhlášení a výpověď u dohod rozebírá článek o ukončení DPP a DPČ, měsíční vykazování text o JMHZ u brigádníků do limitu.

Posouzení vlivu (DPIA) u větších objemů

Čl. 35 GDPR ukládá posouzení vlivu tam, kde zpracování pravděpodobně představuje vysoké riziko, zejména při rozsáhlém zpracování zvláštních kategorií údajů nebo systematickém monitorování. Hospoda s pěti brigádníky DPIA nepotřebuje; agentura s tisíci dohodářů, biometrickou docházkou nebo kamerami na pracovišti ano, a to před spuštěním zpracování.

Souhrn všech povinností zaměstnavatele dohodářů najdete v průvodci zaměstnavatele brigádníky na DPP a DPČ.

Časté otázky

Potřebuji od brigádníka na DPP souhlas se zpracováním osobních údajů?

Ne. Údaje pro dohodu zpracováváte na základě plnění smlouvy (čl. 6 odst. 1 písm. b) GDPR), údaje pro ČSSZ, pojišťovnu a finanční úřad na základě právní povinnosti (písm. c)). Souhlas v nerovném vztahu není svobodný a navíc jde odvolat.

Smím po brigádníkovi chtít rodné číslo?

Ano, ukládají vám to § 37 zákona č. 582/1991 Sb., § 10 zákona č. 48/1997 Sb. a § 38j zákona o daních z příjmů; § 13c zákona č. 133/2000 Sb. využití rodného čísla na základě zvláštního zákona dovoluje. Do textu dohody ho vkládat nemusíte.

Jak dlouho musím uchovávat mzdový list brigádníka?

45 kalendářních roků po roce, kterého se týká (§ 35a odst. 4 písm. c) zákona č. 582/1991 Sb.), u poživatelů starobního důchodu 10 let. Stejný režim platí pro dohodu a evidenci pracovní doby.

Můžu po brigádníkovi chtít výpis z rejstříku trestů?

Jen při věcném důvodu v povaze práce a přiměřenosti požadavku, nebo stanoví-li to zákon (§ 316 odst. 4 písm. h) zákoníku práce). U barmana nebo skladníka důvod zpravidla není.

Co s údaji brigádníka po skončení dohody?

Archivujte jen to, co má zákonnou dobu uchování: mzdový list a dohodu (45 let), prohlášení poplatníka (lhůta pro stanovení daně), u cizince doklad o pobytu (3 roky). Soukromé kontakty, kopie dokladů a fotografie smažte hned.

Co si z toho odnést

• Evidujte jen to, co ukládá zákon nebo vyžaduje dohoda; právním základem je plnění smlouvy a právní povinnosti, souhlas nevyžadujte.
• Rodné číslo máte právo evidovat (§ 37 zák. č. 582/1991 Sb., § 10 zák. č. 48/1997 Sb., § 38j ZDP, § 13c zák. č. 133/2000 Sb.), patří ale do mzdové evidence, ne nutně do textu dohody.
• Do spisu dohodáře nepatří kopie občanky, výpis z rejstříku trestů bez věcného důvodu, zdravotní údaje nad rámec posudku ani informace podle § 316 odst. 4 zákoníku práce.
• Mzdový list, dohodu a evidenci hodin uchovávejte 45 kalendářních roků, prohlášení poplatníka po dobu lhůty pro stanovení daně, doklad o pobytu cizince 3 roky po skončení.
• Brigádníka informujte podle čl. 13 GDPR a s účetní kanceláří uzavřete zpracovatelskou smlouvu podle čl. 28.
• Po skončení dohody oddělte archiv od živé evidence a zbytek smažte.

Mzdovou evidenci dohodářů, výpočet odměn a odvodů, přípravu souboru jednotného měsíčního hlášení pro ČSSZ, hlášení pro zdravotní pojišťovny a výplatní pásky v PDF zvládne DokladBot na jednom místě, s exportem pro účetní do Pohody, Money nebo ABRA. Údaje tak leží ve strukturované evidenci s řízeným přístupem, ne v e-mailech a fotogaleriích. Vyzkoušejte DokladBot zdarma.

Zdroje a právní předpisy

1. Nařízení (EU) 2016/679 (GDPR), čl. 5, 6, 13, 28 a 35, bod 43 odůvodnění
2. Zákon č. 262/2006 Sb., zákoník práce, § 30 odst. 2, § 312 (osobní spis) a § 316 odst. 4 (zakázané informace)
3. Zákon č. 133/2000 Sb., o evidenci obyvatel a rodných číslech, § 13c (využívání rodných čísel)
4. Zákon č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení, § 35a odst. 4 (doby uchování) a § 37 (evidence zaměstnavatele) (mzdové listy 45 kalendářních roků, poživatelé starobního důchodu 10 roků)
5. Zákon č. 48/1997 Sb., o veřejném zdravotním pojištění, § 10 (oznamovací povinnost zaměstnavatele)
6. Zákon č. 586/1992 Sb., o daních z příjmů, § 38j (mzdový list) a § 38k (prohlášení poplatníka)
7. Zákon č. 280/2009 Sb., daňový řád, § 148 (lhůta pro stanovení daně)
8. Zákon č. 435/2004 Sb., o zaměstnanosti, § 102 (evidence cizinců a kopie dokladů o pobytu)
9. Zákon č. 373/2011 Sb., o specifických zdravotních službách, § 59 (vstupní lékařská prohlídka u dohod)
10. ÚOOÚ: Otázky a odpovědi pro zaměstnavatele (výpis z rejstříku trestů, údaje ve výběrovém řízení, čl. 13 GDPR)