Guide • Compliance • 16 मिनट पढ़ें
HR के लिए GDPR: employee data को सही ढंग से संभालना
GDPR के अंतर्गत employee personal data को वैध रूप से कैसे process करें — lawful bases, retention, rights, security और international transfers।
HR data उच्च-जोखिम data है
HR functions किसी भी organisation में सबसे संवेदनशील personal data में से कुछ को संभालते हैं: contact details, salary, bank information, performance records, health information, और कभी-कभी criminal-record checks। General Data Protection Regulation (GDPR) और इसके national implementations — Irish Data Protection Act 2018 और UK GDPR / Data Protection Act 2018 — के अंतर्गत इस data को lawfully, fairly और transparently process किया जाना चाहिए।
इसे सही करना एक legal duty भी है और trust का प्रश्न भी। Employees ऐसे data subjects हैं जिनके प्रवर्तनीय rights हैं, और आयरलैंड में Data Protection Commission (या UK में ICO) शिकायतों की जाँच कर सकती है और महत्वपूर्ण जुर्माने लगा सकती है। Employee data के साथ वही rigor अपनाएँ जो आप customer data के साथ अपनाते हैं।
एक lawful basis चुनना
हर processing activity के लिए एक lawful basis आवश्यक है। एक सामान्य गलती employment relationship के लिए consent पर निर्भर रहना है। Employer और employee के बीच power imbalance के कारण consent बहुत कम ही स्वतंत्र रूप से दिया जाता है, और इसलिए core HR processing के लिए प्रायः गलत basis होता है। अधिक उपयुक्त आधार आम तौर पर employment contract का performance, legal obligation का अनुपालन (उदाहरण के लिए tax और revenue reporting), और legitimate interests होते हैं।
Special category data — जिसमें sick leave या occupational-health purposes के लिए उपयोग की जाने वाली health information शामिल है — को Article 9 के अंतर्गत एक अतिरिक्त condition की आवश्यकता होती है, जो अक्सर employment, social security और social protection law से संबंधित होती है। प्रत्येक प्रकार के HR processing को उसके basis और condition से map करें, और reasoning को record करें।
पारदर्शिता और data-subject rights
कर्मचारियों को स्पष्ट भाषा में बताया जाना चाहिए कि आपके पास कौन-सा data है, क्यों है, आप उसे कितने समय रखते हैं, और किसके साथ साझा करते हैं। यह सामान्यतः employee privacy notice के माध्यम से दिया जाता है, जो आपकी customer-facing privacy policy से अलग होती है। इसे hiring के समय प्रदान करें और अद्यतन रखें।
Data subjects access (subject access request), rectification, कुछ परिस्थितियों में erasure, restriction और objection सहित rights का प्रयोग कर सकते हैं। statutory timescale के भीतर (आम तौर पर एक माह) उत्तर देने की एक documented प्रक्रिया रखें। HR access requests का बार-बार प्राप्तकर्ता होता है, इसलिए यह योजना बनाएं कि आप विभिन्न systems में रखी गई जानकारी को कैसे खोजेंगे और redact करेंगे।
Retention, minimisation और security
Data को आवश्यकता से अधिक समय तक न रखें। ऐसा retention schedule बनाएं जो legal requirements (payroll और tax records, working-time records, health-and-safety documentation) तथा वास्तविक business need, दोनों को प्रतिबिंबित करे, और उन अवधियों से आगे data delete या anonymise करें। केवल वही collect करें जिसका आप वास्तव में उपयोग करते हैं — data minimisation एक principle है, mere nicety नहीं।
Security एक legal requirement है, केवल अच्छी practice नहीं। भूमिका-आधारित access लागू करें ताकि managers केवल वही देखें जिसकी उन्हें आवश्यकता है, data को transit और at rest में encrypt करें, और किसने क्या access किया इसका audit trail रखें। एक प्रतिष्ठित HRIS आपको granular permissions और access logging out of the box देता है, जो spreadsheets और shared drives में employee data बिखेरने की तुलना में कहीं अधिक सुरक्षित है।
International transfers और vendors
यदि आपका HR software या payroll provider European Economic Area के बाहर data store करता है, तो आपको एक पर्याप्त transfer mechanism सुनिश्चित करना होगा — adequacy decision, standard contractual clauses, या समकक्ष safeguards। Brexit के बाद, EU और UK के बीच transfers UK की adequacy status द्वारा covered हैं, किंतु यह review के अधीन होने के कारण monitored रहना चाहिए।
जब भी आप employee data process करने के लिए किसी third party का उपयोग करें, आपको उनकी जिम्मेदारियों को निर्धारित करने वाला एक लिखित data-processing agreement चाहिए, और उनकी security posture पर due diligence करना चाहिए। अपने processors और data कहाँ hosted है, इसका record रखें ताकि आप प्रश्नों का उत्तर दे सकें और incidents का शीघ्रता से जवाब दे सकें।
