Guide • Compliance • 16 min di lettura
GDPR per HR: trattare correttamente i dati dei dipendenti
Come trattare i dati personali dei dipendenti in modo lecito ai sensi del GDPR — basi giuridiche, conservazione, diritti, sicurezza e trasferimenti internazionali.
I dati HR sono dati ad alto rischio
Le funzioni HR gestiscono alcuni dei dati personali più sensibili in qualsiasi organizzazione: recapiti, stipendio, informazioni bancarie, registri delle prestazioni, informazioni sanitarie e talvolta controlli sui precedenti penali. Ai sensi del Regolamento generale sulla protezione dei dati (GDPR) e delle sue implementazioni nazionali — il Data Protection Act irlandese 2018 e l'UK GDPR / Data Protection Act 2018 — questi dati devono essere trattati in modo lecito, corretto e trasparente.
Farlo correttamente è sia un dovere legale sia una questione di fiducia. I dipendenti sono interessati dei dati con diritti esecutivi, e il Data Protection Commission in Irlanda (o l’ICO nel Regno Unito) può indagare sui reclami e imporre sanzioni significative. Tratti i dati dei dipendenti con lo stesso rigore con cui tratterebbe i dati dei clienti.
Scegliere una base giuridica lecita
Ogni attività di trattamento necessita di una base giuridica. Un errore comune è fare affidamento sul consenso nel rapporto di lavoro. A causa dello squilibrio di potere tra datore di lavoro e dipendente, il consenso è raramente prestato liberamente e quindi di norma non è la base corretta per il trattamento HR di base. Le basi più appropriate sono in genere l’esecuzione del contratto di lavoro, l’adempimento di un obbligo legale (ad esempio per le comunicazioni fiscali e al fisco) e i legittimi interessi.
I dati di categorie particolari — incluse le informazioni sanitarie utilizzate per il congedo per malattia o per fini di salute sul lavoro — richiedono un'ulteriore condizione ai sensi di Article 9, spesso relativa al diritto del lavoro, alla sicurezza sociale e alla protezione sociale. Mappi ogni tipo di trattamento HR alla sua base e condizione, e registri il ragionamento.
Trasparenza e diritti dell’interessato
I dipendenti devono essere informati, in un linguaggio chiaro, su quali dati detiene, perché li conserva, per quanto tempo e con chi li condivide. Questo di solito avviene tramite un’informativa privacy per i dipendenti, distinta dalla Sua informativa privacy rivolta ai clienti. La fornisca al momento dell’assunzione e la mantenga aggiornata.
Gli interessati possono esercitare diritti tra cui accesso (la subject access request), rettifica, cancellazione in alcune circostanze, limitazione e opposizione. Preveda un processo documentato per rispondere entro i termini di legge (generalmente un mese). L’HR è un destinatario frequente di richieste di accesso, quindi pianifichi come localizzare e oscurare le informazioni detenute in più sistemi.
Conservazione, minimizzazione e sicurezza
Non conservi i dati più a lungo del necessario. Definisca un calendario di conservazione che rispecchi sia i requisiti legali (registri payroll e fiscali, registri dell'orario di lavoro, documentazione su salute e sicurezza) sia la reale necessità aziendale, e cancelli o anonimizzzi oltre tali periodi. Raccolga solo ciò che utilizza davvero — la minimizzazione dei dati è un principio, non un vezzo.
La sicurezza è un requisito legale, non solo una buona prassi. Applichi un accesso basato sui ruoli in modo che i manager vedano solo ciò che serve, cifri i dati in transito e a rest, e mantenga una traccia di audit di chi ha avuto accesso a cosa. Un HRIS affidabile Le offre autorizzazioni granulari e registrazione degli accessi già integrate, molto più sicure che disperdere i dati dei dipendenti tra fogli di calcolo e unità condivise.
Trasferimenti internazionali e fornitori
Se il suo software HR o il provider payroll conserva dati al di fuori dello Spazio economico europeo, deve assicurare un meccanismo di trasferimento adeguato — una decisione di adeguatezza, clausole contrattuali standard o garanzie equivalenti. Dopo la Brexit, i trasferimenti tra l'UE e il Regno Unito sono coperti dallo status di adeguatezza del Regno Unito, ma ciò dovrebbe essere monitorato poiché è soggetto a revisione.
Ogni volta che utilizza una terza parte per trattare dati dei dipendenti, Le serve un accordo scritto di trattamento dei dati che ne definisca gli obblighi, e dovrebbe svolgere una due diligence sulla loro postura di sicurezza. Conservi un registro dei Suoi responsabili del trattamento e di dove sono ospitati i dati, così da poter rispondere alle domande e reagire rapidamente agli incidenti.
