Guide • Compliance • 16 분 읽기
HR을 위한 GDPR: 직원 데이터를 올바르게 처리하기
GDPR에 따라 직원의 개인정보를 적법하게 처리하는 방법 — 적법 근거, 보존, 권리, 보안 및 국제 이전.
HR 데이터는 고위험 데이터입니다
HR 기능은 모든 조직에서 가장 민감한 개인정보 중 일부를 처리합니다: 연락처 세부정보, 급여, 은행 정보, 성과 기록, 건강 정보, 그리고 경우에 따라 범죄기록 조회까지. General Data Protection Regulation (GDPR) 및 그 국가별 이행법 — 아일랜드 Data Protection Act 2018 및 UK GDPR / Data Protection Act에 따라 2018 — 이 데이터는 적법하고, 공정하며, 투명하게 처리되어야 합니다.
이를 올바르게 처리하는 것은 법적 의무이자 신뢰의 문제입니다. 직원은 집행 가능한 권리를 가진 데이터 주체이며, 아일랜드의 Data Protection Commission 또는 영국의 ICO는 불만을 조사하고 상당한 벌금을 부과할 수 있습니다. 직원 데이터를 고객 데이터와 동일한 엄격함으로 다루십시오.
적법한 처리 근거 선택
모든 처리 활동에는 적법한 근거가 필요합니다. 흔한 실수는 고용 관계에 consent를 의존하는 것입니다. 고용주와 직원 간의 권력 불균형 때문에 consent는 자유롭게 주어진 것으로 보기 어려우며, 따라서 핵심 HR 처리의 근거로는 대개 부적절합니다. 더 적절한 근거는 일반적으로 고용 계약의 이행, 법적 의무의 준수(예: 세금 및 revenue 보고), 정당한 이익입니다.
병가 또는 직업보건 목적에 사용되는 건강 정보 등을 포함한 민감범주 데이터는 Article 9 아래 추가 조건이 필요하며, 이는 흔히 고용, 사회보장 및 사회보호법과 관련됩니다. 각 HR 처리 유형을 그 처리 근거와 조건에 매핑하고, 그 판단 근거를 기록하십시오.
투명성과 데이터 주체의 권리
직원에게 귀하가 어떤 데이터를 보유하고 있는지, 왜 보유하는지, 얼마나 오래 보관하는지, 누구와 공유하는지를 명확한 언어로 알려야 합니다. 이는 일반적으로 고객 대상 개인정보 처리방침과 구분되는 직원 개인정보 고지를 통해 전달됩니다. 채용 시점에 제공하고 최신 상태를 유지하십시오.
데이터 주체는 접근(subject access request), 정정, 일부 상황에서의 삭제, 제한, 이의 제기 등의 권리를 행사할 수 있습니다. 법정 기한(일반적으로 1개월) 내에 대응하기 위한 문서화된 절차를 마련하십시오. HR은 접근 요청을 자주 받는 부서이므로, 여러 시스템에 걸쳐 보관된 정보를 어떻게 찾아내고 비식별화할지 계획해야 합니다.
보존, 최소화 및 보안
필요한 기간보다 더 오래 데이터를 보관하지 마십시오. 법적 요구사항(급여 및 세무 기록, 근로시간 기록, 안전보건 문서)과 실제 업무상 필요를 모두 반영하는 보존 일정을 수립하고, 해당 기간이 지나면 삭제하거나 익명화하십시오. 실제로 사용하는 데이터만 수집하십시오. 데이터 최소화는 단순한 권고가 아니라 원칙입니다.
보안은 단지 좋은 관행이 아니라 법적 요구사항입니다. 관리자가 필요한 것만 볼 수 있도록 역할 기반 접근을 적용하고, 전송 중 및 rest에서 데이터를 암호화하며, 누가 무엇을 접근했는지에 대한 감사 추적을 유지하십시오. 평판이 좋은 HRIS는 세분화된 권한과 접근 기록을 기본으로 제공하며, 이는 스프레드시트와 공유 드라이브에 직원 데이터를 흩뿌리는 것보다 훨씬 안전합니다.
국제 이전 및 공급업체
HR 소프트웨어나 급여 처리 업체가 유럽경제지역(EEA) 밖에 데이터를 저장하는 경우, 적정성 결정, 표준계약조항 또는 이에 상응하는 보호조치 등 적절한 이전 메커니즘이 확보되어야 합니다. 브렉시트 이후 EU와 UK 간 이전은 UK의 적정성 지위로 보호되지만, 이는 검토 대상이므로 모니터링해야 합니다.
직원 데이터를 처리하기 위해 제3자를 사용할 때마다, 그들의 의무를 명시한 서면 데이터 처리 계약이 필요하며, 보안 수준에 대한 실사를 수행해야 합니다. 질문에 답하고 사건에 신속하게 대응할 수 있도록 처리자 목록과 데이터 호스팅 위치를 기록으로 유지하십시오.
