Guide • Compliance • 16 min read
GDPR for HR: handling employee data correctly
Come trattare legalmente i dati personali dei dipendenti ai sensi del GDPR — basi giuridiche, conservazione, diritti, sicurezza e trasferimenti internazionali.
I dati HR sono dati ad alto rischio
Le funzioni HR gestiscono alcuni dei dati personali più sensibili in qualsiasi organizzazione: recapiti, stipendio, informazioni bancarie, registri delle performance, informazioni sulla salute e talvolta controlli sui precedenti penali. Ai sensi del General Data Protection Regulation (GDPR) e delle sue attuazioni nazionali — il Data Protection Act irlandese 2018 e il UK GDPR / Data Protection Act 2018 — questi dati devono essere trattati in modo lecito, corretto e trasparente.
Getting this right is both a legal duty and a trust issue. Employees are data subjects with enforceable rights, and the Data Protection Commission in Ireland (or the ICO in the UK) can investigate complaints and impose significant fines. Treat employee data with the same rigour you would customer data.
Scegliere una base giuridica
Every processing activity needs a lawful basis. A common mistake is to rely on consent for the employment relationship. Because of the power imbalance between employer and employee, consent is rarely freely given and is therefore usually the wrong basis for core HR processing. More appropriate bases are typically the performance of the employment contract, compliance with a legal obligation (for example tax and revenue reporting), and legitimate interests.
I dati di categoria speciale — incluse le informazioni sanitarie utilizzate per il congedo per malattia o per scopi di salute sul lavoro — richiedono un'ulteriore condizione ai sensi di Article 9, spesso relativa al diritto del lavoro, alla sicurezza sociale e alla protezione sociale. Mappate ogni tipo di trattamento HR alla sua base e condizione, e registrate la motivazione.
Transparency and data-subject rights
Employees must be told, in clear language, what data you hold, why, how long you keep it and who you share it with. This is usually delivered through an employee privacy notice, distinct from your customer-facing privacy policy. Provide it at the point of hiring and keep it current.
Data subjects can exercise rights including access (the subject access request), rectification, erasure in some circumstances, restriction and objection. Have a documented process for responding within the statutory timescale (generally one month). HR is a frequent recipient of access requests, so plan for how you will locate and redact information held across systems.
Conservazione, minimizzazione e sicurezza
Non conservate i dati più a lungo del necessario. Costruite un piano di conservazione che rifletta sia i requisiti legali (registri di payroll e fiscali, registri dell'orario di lavoro, documentazione su salute e sicurezza) sia l'effettivo bisogno aziendale, ed eliminate o rendete anonimi i dati oltre tali periodi. Raccogliete solo ciò che effettivamente utilizzate — la minimizzazione dei dati è un principio, non un vezzo.
Security is a legal requirement, not just good practice. Apply role-based access so that managers see only what they need, encrypt data in transit and at rest, and keep an audit trail of who accessed what. A reputable HRIS gives you granular permissions and access logging out of the box, which is far safer than scattering employee data across spreadsheets and shared drives.
Trasferimenti internazionali e fornitori
Se il vostro software HR o il vostro fornitore di payroll archivia dati al di fuori dello Spazio Economico Europeo, dovete assicurarvi un meccanismo di trasferimento adeguato — una decisione di adeguatezza, clausole contrattuali standard o tutele equivalenti. Dopo la Brexit, i trasferimenti tra l'UE e il Regno Unito sono coperti dallo status di adeguatezza del Regno Unito, ma ciò va monitorato poiché è soggetto a revisione.
Whenever you use a third party to process employee data, you need a written data-processing agreement setting out their obligations, and you should carry out due diligence on their security posture. Keep a record of your processors and where data is hosted so you can answer questions and respond to incidents quickly.
