Guide • Compliance • 16 分で読む
HRのためのGDPR: 従業員データを適切に取り扱う
GDPR に基づき、従業員の個人データを合法的に処理する方法—適法根拠、保存、権利、安全性、国際移転。
HR データは高リスクデータです
人事機能は、あらゆる組織において最も機微な個人データのいくつかを扱います。すなわち、連絡先情報、給与、銀行情報、評価記録、健康情報、そして場合によっては犯罪歴チェックです。一般データ保護規則 (GDPR) およびその各国実施法—アイルランドの Data Protection Act 2018 と英国 GDPR / Data Protection Act 2018—の下では、これらのデータは合法的、公正かつ透明に処理されなければなりません。
これを正しく行うことは、法的義務であると同時に信頼の問題でもあります。従業員は執行可能な権利を有するデータ主体であり、アイルランドのData Protection Commission（または英国のICO）は苦情を調査し、重大な罰金を科すことができます。従業員データは、顧客データと同等の厳格さで取り扱ってください。
適法な根拠を選ぶ
すべての処理活動には、適法な根拠が必要です。よくある誤りは、雇用関係について同意に依拠することです。雇用主と従業員の間には力関係の不均衡があるため、同意が自由意思に基づいて与えられることはまれであり、したがって、基本的なHR処理の根拠としては通常不適切です。より適切な根拠は、通常、雇用契約の履行、法的義務の遵守（たとえば税務・歳入報告）、および正当な利益です。
健康情報を含む特別カテゴリデータ—病気休暇や産業保健目的で使用されるものを含みます—には、Article 9 の下で追加の条件が必要であり、多くの場合、雇用法、社会保障法、社会保護法に関連します。人事データ処理の各類型を、それぞれの根拠と条件にマッピングし、その判断理由を記録してください。
透明性とデータ主体の権利
従業員には、保有するデータ、その理由、保管期間、共有相手について、明確な言葉で伝えなければなりません。これは通常、顧客向けのプライバシーポリシーとは別の、従業員向けプライバシー通知によって提供されます。採用時に提示し、最新の状態に保ってください。
データ主体は、アクセス（subject access request）、訂正、場合によっては消去、制限、異議申立てなどの権利を行使できます。法定期間内（通常1か月）に対応するための文書化された手順を整えてください。HRはアクセス要求の頻繁な受領先であるため、システム全体にわたって保有される情報をどのように見つけ、マスキングするかを計画する必要があります。
保存期間、最小化、安全性
必要以上に長くデータを保持しないでください。法的要件（給与計算および税務記録、労働時間記録、健康安全文書）と真の業務上必要性の両方を反映した保存スケジュールを策定し、期間を過ぎたものは削除または匿名化してください。実際に使用するものだけを収集してください—データ最小化は単なる配慮ではなく、原則です。
セキュリティは、単なる良い実務ではなく法的要件です。管理者には必要な情報のみが見えるよう役割ベースのアクセスを適用し、通信中およびrestでデータを暗号化し、誰が何にアクセスしたかの監査証跡を保持してください。信頼できるHRISは、きめ細かな権限管理とアクセス記録を標準搭載しており、スプレッドシートや共有ドライブに従業員データを散在させるよりはるかに安全です。
国際移転とベンダー
HR ソフトウェアまたは給与計算プロバイダーが欧州経済領域外にデータを保存する場合、十分な移転メカニズム—十分性認定、標準契約条項、または同等の保護措置—を確保しなければなりません。Brexit 以降、EU と英国間の移転は英国の十分性認定によってカバーされていますが、見直し対象であるため、監視が必要です。
従業員データの処理に第三者を利用する場合は、その義務を定めた書面によるデータ処理契約が必要であり、セキュリティ体制についてデューデリジェンスを実施すべきです。保有する処理者と、データがどこに保存されているかを記録しておけば、質問への対応や事故への迅速な対応が可能になります。
