Guide • Compliance • 16 perc olvasás
GDPR a HR-ben: a munkavállalói adatok helyes kezelése
Hogyan kezelje jogszerűen a munkavállalói személyes adatokat a GDPR alapján — jogalapok, megőrzés, jogok, biztonság és nemzetközi adattovábbítások.
A HR-adat nagy kockázatú adat
A HR-funkciók az egyik legérzékenyebb személyes adatot kezelik bármely szervezetben: elérhetőségi adatok, fizetés, banki információk, teljesítmény-nyilvántartások, egészségügyi információk, és olykor büntetőjogi háttérellenőrzések. Az általános adatvédelmi rendelet (GDPR) és annak nemzeti végrehajtásai — az ír Data Protection Act 2018 és a UK GDPR / Data Protection Act 2018 — értelmében ezeket az adatokat jogszerűen, tisztességesen és átláthatóan kell kezelni.
Ennek helyes kezelése egyszerre jogi kötelezettség és bizalmi kérdés. A munkavállalók érintettek, akik érvényesíthető jogokkal rendelkeznek, és Írországban a Data Protection Commission (vagy az Egyesült Királyságban az ICO) kivizsgálhatja a panaszokat és jelentős bírságokat szabhat ki. A munkavállalói adatokat ugyanolyan szigorral kezelje, mint az ügyféladatokat.
Jogszerű adatkezelési alap kiválasztása
Minden adatkezelési tevékenységhez jogszerű jogalap szükséges. Gyakori hiba, hogy a munkaviszonyra a hozzájárulásra támaszkodnak. A munkáltató és a munkavállaló közötti erőegyensúlytalanság miatt a hozzájárulás ritkán adható meg szabadon, ezért a központi HR-feldolgozás esetében általában nem megfelelő jogalap. Megfelelőbb jogalap rendszerint a munkaszerződés teljesítése, jogi kötelezettség teljesítése (például adó- és bevételjelentési kötelezettségek), valamint jogos érdek.
A különleges adatkategóriák — beleértve a betegszabadság vagy foglalkozás-egészségügyi célokra használt egészségügyi információkat — további feltételt igényelnek a Article 9 alapján, amely gyakran a foglalkoztatási, társadalombiztosítási és szociális védelem jogához kapcsolódik. Térképezze fel az egyes HR-adatkezelési típusokat a megfelelő alaphoz és feltételhez, és rögzítse az indokolást.
Átláthatóság és az érintetti jogok
A munkavállalókat világos nyelven tájékoztatni kell arról, hogy milyen adatokat kezel, miért, mennyi ideig őrzi meg azokat, és kivel osztja meg. Ezt általában egy munkavállalói adatvédelmi tájékoztató útján adják át, amely elkülönül az ügyfeleknek szóló adatvédelmi szabályzattól. Ezt a munkába álláskor biztosítsa, és tartsa naprakészen.
Az érintettek olyan jogokat gyakorolhatnak, mint a hozzáférés (érintetti hozzáférési kérelem), a helyesbítés, bizonyos esetekben a törlés, a korlátozás és a tiltakozás. Legyen dokumentált folyamata a törvényi határidőn belüli válaszadásra (általában egy hónap). A HR gyakran kap hozzáférési kérelmeket, ezért előre tervezni kell arra, hogyan találja meg és anonimizálja az egyes rendszerekben tárolt információkat.
Megőrzés, adattakarékosság és biztonság
Ne őrizze meg az adatokat tovább a szükségesnél. Készítsen megőrzési ütemtervet, amely tükrözi mind a jogi követelményeket (bérszámfejtési és adónyilvántartások, munkaidő-nyilvántartások, munkavédelmi dokumentáció), mind a valós üzleti szükségletet, és az ezen időszakokon túl törölje vagy anonimizálja az adatokat. Csak azt gyűjtse, amit ténylegesen használ — az adattakarékosság elv, nem formalitás.
A biztonság jogi követelmény, nem csupán jó gyakorlat. Alkalmazzon szerepköralapú hozzáférést, hogy a vezetők csak azt lássák, amire szükségük van, titkosítsa az adatokat átvitel közben és rest állapotban, és vezessen auditnyomot arról, ki mit ér el. Egy megbízható HRIS részletes jogosultságokat és hozzáférési naplózást kínál alapból, ami sokkal biztonságosabb, mint a munkavállalói adatokat táblázatokban és megosztott meghajtókon szétszórni.
Nemzetközi adattovábbítások és beszállítók
Ha az HR-szoftvere vagy bérszámfejtési szolgáltatója az Európai Gazdasági Térségen kívül tárol adatokat, biztosítania kell a megfelelő adattovábbítási mechanizmust — megfelelőségi határozatot, szabványos szerződési feltételeket vagy azzal egyenértékű garanciákat. A Brexit óta az EU és az Egyesült Királyság közötti adattovábbításokat az Egyesült Királyság megfelelőségi státusza fedezi, de ezt figyelemmel kell kísérni, mivel felülvizsgálat tárgyát képezi.
Valahányszor harmadik felet használ munkavállalói adatok feldolgozására, írásos adatfeldolgozási megállapodásra van szükség, amely meghatározza a kötelezettségeiket, és el kell végezni a biztonsági helyzetük átvilágítását. Tartson nyilvántartást az adatfeldolgozókról és arról, hol tárolják az adatokat, hogy kérdésekre válaszolni és incidensekre gyorsan reagálni tudjon.
