Guide • Compliance • 16 minit bacaan
GDPR untuk HR: mengendalikan data pekerja dengan betul
Cara memproses data peribadi pekerja secara sah di bawah GDPR — asas yang sah, pengekalan, hak, keselamatan dan pemindahan antarabangsa.
Data HR ialah data berisiko tinggi
Fungsi HR mengendalikan beberapa data peribadi paling sensitif dalam mana-mana organisasi: butiran hubungan, gaji, maklumat bank, rekod prestasi, maklumat kesihatan, dan kadangkala semakan rekod jenayah. Di bawah Peraturan Perlindungan Data Am (GDPR) dan pelaksanaan negaranya — Akta Perlindungan Data Ireland 2018 dan UK GDPR / Akta Perlindungan Data 2018 — data ini mesti diproses secara sah, adil dan telus.
Melakukannya dengan betul ialah suatu kewajipan undang-undang dan juga isu kepercayaan. Pekerja ialah subjek data dengan hak yang boleh dikuatkuasakan, dan Suruhanjaya Perlindungan Data di Ireland (atau ICO di UK) boleh menyiasat aduan dan mengenakan denda yang signifikan. Kendalikan data pekerja dengan ketelitian yang sama seperti data pelanggan.
Memilih asas yang sah
Setiap aktiviti pemprosesan memerlukan asas yang sah. Kesilapan yang biasa ialah bergantung pada persetujuan untuk hubungan pekerjaan. Oleh sebab wujudnya ketidakseimbangan kuasa antara majikan dan pekerja, persetujuan jarang diberikan secara bebas dan oleh itu biasanya bukan asas yang tepat untuk pemprosesan HR teras. Asas yang lebih sesuai lazimnya ialah pelaksanaan kontrak pekerjaan, pematuhan terhadap kewajipan undang-undang (contohnya pelaporan cukai dan hasil), serta kepentingan sah.
Data kategori khas — termasuk maklumat kesihatan yang digunakan untuk cuti sakit atau tujuan kesihatan pekerjaan — memerlukan syarat tambahan di bawah Article 9, selalunya berkaitan dengan undang-undang pekerjaan, keselamatan sosial dan perlindungan sosial. Peta setiap jenis pemprosesan HR kepada asas dan syaratnya, dan rekodkan rasionalnya.
Ketelusan dan hak subjek data
Pekerja mesti dimaklumkan, dalam bahasa yang jelas, tentang data yang anda simpan, sebab anda menyimpannya, berapa lama anda menyimpannya dan dengan siapa anda berkongsi data tersebut. Ini biasanya disampaikan melalui notis privasi pekerja, yang berasingan daripada dasar privasi yang ditujukan kepada pelanggan. Sediakan pada masa pengambilan dan kemas kini secara berkala.
Subjek data boleh menggunakan hak termasuk akses (permintaan akses subjek), pembetulan, pemadaman dalam keadaan tertentu, sekatan dan bantahan. Wujudkan proses yang didokumenkan untuk memberi maklum balas dalam tempoh masa berkanun (secara amnya satu bulan). HR sering menerima permintaan akses, jadi rancang bagaimana anda akan mencari dan menghitamkan maklumat yang disimpan merentasi sistem.
Pengekalan, peminimuman dan keselamatan
Jangan simpan data lebih lama daripada yang perlu. Bina jadual pengekalan yang mencerminkan kedua-dua keperluan undang-undang (rekod penggajian dan cukai, rekod masa bekerja, dokumentasi kesihatan dan keselamatan) dan keperluan perniagaan yang sebenar, dan padam atau anonimkan data melebihi tempoh tersebut. Kumpulkan hanya apa yang benar-benar anda gunakan — peminimuman data ialah prinsip, bukan perkara sampingan.
Keselamatan ialah keperluan undang-undang, bukan sekadar amalan baik. Gunakan akses berasaskan peranan supaya pengurus hanya melihat perkara yang mereka perlukan, enkripsikan data semasa penghantaran dan pada rest, serta simpan jejak audit tentang siapa yang mengakses apa. HRIS yang bereputasi memberi anda kebenaran yang terperinci dan log akses secara terbina, yang jauh lebih selamat daripada menyerakkan data pekerja di seluruh hamparan dan pemacu kongsi.
Pemindahan antarabangsa dan vendor
Jika perisian HR atau penyedia penggajian anda menyimpan data di luar Kawasan Ekonomi Eropah, anda mesti memastikan mekanisme pemindahan yang mencukupi — keputusan kecukupan, klausa kontrak standard, atau perlindungan setara. Sejak Brexit, pemindahan antara EU dan UK dilindungi oleh status kecukupan UK, tetapi perkara ini harus dipantau kerana ia tertakluk kepada semakan.
Setiap kali anda menggunakan pihak ketiga untuk memproses data pekerja, anda memerlukan perjanjian pemprosesan data bertulis yang menetapkan kewajipan mereka, dan anda hendaklah menjalankan penelitian sewajarnya terhadap tahap keselamatan mereka. Simpan rekod pemproses anda dan lokasi data dihoskan supaya anda dapat menjawab soalan dan bertindak balas terhadap insiden dengan cepat.
