Účetnictví je plné osobních údajů — jména, adresy, rodná čísla u mezd, bankovní spojení. Když je zpracováváte v cloudu, přibývá jedna smluvní povinnost a několik praktických opatření. Nic z toho není složité, ale nedá se to přeskočit.
Ve zkratce
- S externí účetní i s poskytovatelem cloudu, který má přístup k údajům, potřebujete zpracovatelskou smlouvu.
- Nejcitlivější částí účetnictví jsou mzdy — tam se zpracovávají údaje, které jinde nemáte.
- Doba uchování se řídí účetními a daňovými předpisy; po jejím uplynutí je namístě údaje smazat, ne je držet navždy.
Jaké osobní údaje účetnictví obsahuje
Účetní agenda pracuje s osobními údaji ve třech okruzích a každý má jinou citlivost.
Údaje o klientech a dodavatelích. U podnikajících fyzických osob jsou jméno, adresa a IČO osobní údaje. Zpracováváte je na základě plnění smlouvy a právní povinnosti.
Údaje o zaměstnancích. Nejcitlivější část. Rodná čísla, čísla účtů, údaje o dětech, srážky, exekuce, zdravotní pojišťovna. Tady je rozsah největší a následky úniku nejvážnější.
Údaje na dokladech. Jména na účtenkách, kontakty ve smlouvách, údaje o cestujících u služebních cest. Snadno se přehlédnou, protože nejsou v žádné evidenci — jsou uvnitř dokumentů.
Právním základem zpracování je zpravidla plnění smlouvy a plnění právní povinnosti. Souhlas subjektu údajů zde obvykle nepotřebujete a je chybou si ho vyžadovat — vytvořilo by to dojem, že zpracování lze odvolat, což u zákonné povinnosti neplatí.
Zpracovatelská smlouva
Když předáváte doklady externí účetní nebo je ukládáte u poskytovatele cloudové služby, který k nim má přístup, je tento subjekt v roli zpracovatele. S ním musíte mít uzavřenou zpracovatelskou smlouvu.
Smlouva má stanovit předmět a dobu zpracování, povahu a účel, typ údajů, kategorie subjektů, povinnost mlčenlivosti, opatření k zabezpečení, podmínky pro zapojení dalších zpracovatelů, součinnost při výkonu práv subjektů a nakládání s údaji po skončení spolupráce.
Prakticky: seriózní poskytovatelé i účetní kanceláře mají vzor připravený. Pokud ho někdo nemá, je to signál. Není to formalita pro formalitu — smlouva určuje, co se s vašimi daty stane, když spolupráce skončí.
Na co si dát pozor u cloudu
U cloudových služeb prověřte čtyři věci.
Kde jsou data uložena. Uložení v EU celou situaci zjednodušuje. U předání mimo EU je nutné zajistit odpovídající záruky, což je administrativně náročnější.
Kdo další má přístup. Poskytovatel často využívá další subdodavatele — hosting, zálohování, podporu. Měl by je uvádět a informovat o změnách.
Zda se údaje používají k jiným účelům. Zejména u služeb s automatickým zpracováním dokladů se zeptejte, jestli se odeslaná data využívají k učení modelů nebo k jiným účelům. To je otázka, kterou je lepší položit předem než později.
Co se stane po ukončení služby. Musí být jasné, v jaké lhůtě se data vrátí nebo smažou.
Zvláštní pozornost si zaslouží nástroje pro automatické rozpoznávání dokladů. Doklady se v nich mohou odesílat ke zpracování třetí straně — pokud takový nástroj používáte, musí být pokrytý zpracovatelskou smlouvou a měli byste o tom vědět.
Doba uchování a mazání
Osobní údaje se nemají uchovávat déle, než je nutné. U účetnictví ale dobu určují jiné předpisy: účetní doklady pět let, daňové doklady pro účely DPH deset let od konce zdaňovacího období, mzdové a personální dokumenty výrazně déle — u některých evidencí jde o desítky let.
Praktický důsledek: nemažte doklady dřív, než uplyne zákonná lhůta, ale ani je nedržte donekonečna. Zaveďte si jednoduchý přehled, jaké kategorie dokumentů máte a jak dlouho je uchováváte. Jednou ročně podle něj proveďte skartaci.
U cloudových systémů se na tohle zapomíná nejvíc — data tam zůstávají, protože je nic nenutí zmizet. Zeptejte se poskytovatele, jestli umí nastavit automatické mazání po uplynutí lhůty, nebo si to hlídejte sami.
Co dělat při incidentu
Pokud dojde k porušení zabezpečení osobních údajů — únik, ztráta zařízení, neoprávněný přístup — platí krátké lhůty pro ohlášení dozorovému úřadu a v závažnějších případech i pro informování dotčených osob.
Připravte si dopředu tři věci: kdo incident vyhodnocuje, kde je seznam zpracovatelů, které je nutné kontaktovat, a jaký je postup. Improvizace v krátké lhůtě nedopadá dobře.
A ještě jedno praktické doporučení: většina incidentů u malých firem začíná ztraceným nebo ukradeným notebookem. Šifrování disku a zámek obrazovky jsou v tomto ohledu účinnější opatření než jakákoli směrnice.
Kam pokračovat dál
Téma navazuje na další texty v poradně. Podrobněji jsme rozebrali archivace elektronických faktur: jak dlouho a kde, elektronická fakturace a formát ISDOC a export faktur do POHODY a návaznost na účetnictví. Souhrnný přehled celé agendy najdete na stránce online fakturace a vedení účetnictví přes portál.
Časté dotazy
Potřebuji zpracovatelskou smlouvu s účetní?
Ano. Externí účetní zpracovává osobní údaje vašich zaměstnanců a obchodních partnerů vaším jménem, a je tedy zpracovatelem. Seriózní účetní kanceláře mají smlouvu připravenou jako standardní součást spolupráce.
Musím mít souhlas zaměstnanců se zpracováním mzdových údajů?
Nemusíte a vyžadovat ho by bylo zavádějící. Zpracování mzdových údajů je nutné pro plnění smlouvy a pro splnění právních povinností zaměstnavatele. Souhlas by vytvářel dojem, že jde o dobrovolné zpracování, které lze odvolat.
Můžu mít účetní data uložená mimo EU?
Je to možné, ale vyžaduje to zajištění odpovídajících záruk pro předání do třetí země. Jednodušší a v praxi obvyklejší je volit poskytovatele s uložením dat v EU, kde tato povinnost odpadá.
Fakturujte a předávejte doklady na jednom místě
Klientský portál pay.ucetio.cz vystaví fakturu s QR platbou, odešle ji odběrateli, sám spáruje příchozí platbu z banky a doklad rovnou předá do zpracování účetnictví. Nemusíte nic přeposílat e-mailem ani ručně hlídat, kdo zaplatil.
Účetní služby podle města
Potřebujete s tímto tématem pomoci konkrétně ve vašem městě? Vyberte lokalitu a podívejte se na možnosti spolupráce.