Guide • Compliance • 16 min read
GDPR for HR: handling employee data correctly
GDPR에 따라 직원 개인정보를 적법하게 처리하는 방법 — 적법한 근거, 보관, 권리, 보안 및 국제 이전.
HR 데이터는 고위험 데이터입니다
HR 기능은 어떤 조직에서든 가장 민감한 개인정보 중 일부를 다룹니다. 즉, 연락처, 급여, 은행 정보, 성과 기록, 건강 정보, 그리고 때로는 범죄경력 조회 결과까지 포함됩니다. 일반 데이터 보호 규정(GDPR)과 그 각국의 이행법 — 아일랜드 Data Protection Act 2018 및 UK GDPR / Data Protection Act 2018 — 에 따라, 이러한 데이터는 합법적이고 공정하며 투명하게 처리되어야 합니다.
Getting this right is both a legal duty and a trust issue. Employees are data subjects with enforceable rights, and the Data Protection Commission in Ireland (or the ICO in the UK) can investigate complaints and impose significant fines. Treat employee data with the same rigour you would customer data.
적법한 근거 선택하기
Every processing activity needs a lawful basis. A common mistake is to rely on consent for the employment relationship. Because of the power imbalance between employer and employee, consent is rarely freely given and is therefore usually the wrong basis for core HR processing. More appropriate bases are typically the performance of the employment contract, compliance with a legal obligation (for example tax and revenue reporting), and legitimate interests.
병가 또는 직업건강 목적에 사용되는 건강 정보와 같은 특수 범주 데이터는 Article 9에 따른 추가 조건이 필요하며, 이는 종종 고용, 사회보장 및 사회보호 법과 관련됩니다. 각 HR 처리 유형을 그 근거와 조건에 매핑하고, 그 이유를 기록하십시오.
Transparency and data-subject rights
Employees must be told, in clear language, what data you hold, why, how long you keep it and who you share it with. This is usually delivered through an employee privacy notice, distinct from your customer-facing privacy policy. Provide it at the point of hiring and keep it current.
Data subjects can exercise rights including access (the subject access request), rectification, erasure in some circumstances, restriction and objection. Have a documented process for responding within the statutory timescale (generally one month). HR is a frequent recipient of access requests, so plan for how you will locate and redact information held across systems.
보관, 최소화 및 보안
필요한 기간보다 더 오래 데이터를 보관하지 마십시오. 법적 요구사항(급여 및 세무 기록, 근로시간 기록, 보건 및 안전 문서)과 실제 비즈니스 필요를 모두 반영한 보관 일정을 만들고, 그 기간이 지나면 삭제하거나 익명화하십시오. 실제로 사용하는 것만 수집하십시오. 데이터 최소화는 단순한 권장 사항이 아니라 원칙입니다.
Security is a legal requirement, not just good practice. Apply role-based access so that managers see only what they need, encrypt data in transit and at rest, and keep an audit trail of who accessed what. A reputable HRIS gives you granular permissions and access logging out of the box, which is far safer than scattering employee data across spreadsheets and shared drives.
국제 이전 및 공급업체
HR 소프트웨어나 급여 제공업체가 유럽경제지역 밖에 데이터를 저장한다면, 적절한 이전 메커니즘, 즉 적정성 결정, 표준계약조항 또는 동등한 보호장치를 보장해야 합니다. 브렉시트 이후 EU와 영국 간 이전은 영국의 적정성 지위로 다루어지지만, 이는 검토 대상이므로 모니터링해야 합니다.
Whenever you use a third party to process employee data, you need a written data-processing agreement setting out their obligations, and you should carry out due diligence on their security posture. Keep a record of your processors and where data is hosted so you can answer questions and respond to incidents quickly.
