Guide • Compliance • 16 menit baca
GDPR untuk HR: menangani data karyawan dengan benar
Cara memproses data pribadi karyawan secara sah di bawah GDPR — dasar hukum, retensi, hak, keamanan, dan transfer internasional.
Data SDM adalah data berisiko tinggi
Fungsi SDM menangani beberapa data pribadi yang paling sensitif dalam organisasi mana pun: rincian kontak, gaji, informasi bank, catatan kinerja, informasi kesehatan, dan terkadang pemeriksaan catatan kriminal. Berdasarkan General Data Protection Regulation (GDPR) dan implementasi nasionalnya — Irish Data Protection Act 2018 serta UK GDPR / Data Protection Act 2018 — data ini harus diproses secara sah, adil, dan transparan.
Melakukan hal ini dengan benar adalah kewajiban hukum sekaligus persoalan kepercayaan. Karyawan adalah subjek data dengan hak yang dapat ditegakkan, dan Data Protection Commission di Irlandia (atau ICO di UK) dapat menyelidiki keluhan dan menjatuhkan denda yang signifikan. Perlakukan data karyawan dengan ketelitian yang sama seperti data pelanggan.
Memilih dasar hukum yang sah
Setiap aktivitas pemrosesan memerlukan dasar hukum. Kesalahan umum adalah mengandalkan persetujuan untuk hubungan kerja. Karena ketidakseimbangan kekuasaan antara pemberi kerja dan karyawan, persetujuan jarang diberikan secara bebas dan oleh karena itu biasanya bukan dasar yang tepat untuk pemrosesan HR inti. Dasar yang lebih sesuai biasanya adalah pelaksanaan kontrak kerja, kepatuhan terhadap kewajiban hukum (misalnya pelaporan pajak dan pendapatan negara), serta kepentingan yang sah.
Data kategori khusus — termasuk informasi kesehatan yang digunakan untuk cuti sakit atau keperluan kesehatan kerja — memerlukan kondisi tambahan di bawah Article 9, sering kali terkait dengan hukum ketenagakerjaan, jaminan sosial, dan perlindungan sosial. Petakan setiap jenis pemrosesan SDM ke dasar dan kondisinya, serta catat alasannya.
Transparansi dan hak subjek data
Karyawan harus diberi tahu, dengan bahasa yang jelas, data apa yang Anda simpan, mengapa, berapa lama Anda menyimpannya, dan dengan siapa Anda membagikannya. Ini biasanya disampaikan melalui employee privacy notice, yang terpisah dari privacy policy yang ditujukan kepada pelanggan. Berikan pada saat perekrutan dan perbarui secara berkala.
Subjek data dapat menggunakan hak termasuk akses (subject access request), rectification, erasure dalam keadaan tertentu, restriction, dan objection. Miliki proses terdokumentasi untuk menanggapi dalam jangka waktu yang ditetapkan undang-undang (umumnya satu bulan). HR sering menerima access request, jadi rencanakan bagaimana Anda akan menemukan dan menghapus informasi yang tersimpan di seluruh sistem.
Retensi, minimisasi, dan keamanan
Jangan menyimpan data lebih lama dari yang diperlukan. Bangun jadwal retensi yang mencerminkan baik persyaratan hukum (catatan penggajian dan pajak, catatan waktu kerja, dokumentasi kesehatan dan keselamatan) maupun kebutuhan bisnis yang nyata, lalu hapus atau anonimkan setelah periode tersebut. Kumpulkan hanya yang benar-benar Anda gunakan — minimisasi data adalah prinsip, bukan sekadar kebaikan hati.
Keamanan adalah persyaratan hukum, bukan sekadar praktik yang baik. Terapkan akses berbasis peran agar manajer hanya melihat apa yang mereka perlukan, enkripsi data saat dikirim dan saat rest, serta simpan jejak audit tentang siapa mengakses apa. HRIS yang bereputasi memberi Anda izin yang terperinci dan pencatatan akses secara bawaan, yang jauh lebih aman daripada menyebarkan data karyawan di berbagai spreadsheet dan drive bersama.
Transfer internasional dan vendor
Jika perangkat lunak SDM atau penyedia penggajian Anda menyimpan data di luar European Economic Area, Anda harus memastikan mekanisme transfer yang memadai — keputusan kecukupan, klausul kontrak standar, atau perlindungan yang setara. Sejak Brexit, transfer antara UE dan Inggris dicakup oleh status kecukupan Inggris, tetapi hal ini harus dipantau karena tunduk pada peninjauan.
Setiap kali Anda menggunakan pihak ketiga untuk memproses data karyawan, Anda memerlukan perjanjian pemrosesan data tertulis yang menetapkan kewajiban mereka, dan Anda harus melakukan uji tuntas atas postur keamanan mereka. Simpan catatan para pemroses Anda dan tempat data di-host sehingga Anda dapat menjawab pertanyaan dan menanggapi insiden dengan cepat.
