Guide • Compliance • 16 min read
GDPR for HR: handling employee data correctly
Jak zgodnie z prawem przetwarzać dane osobowe pracowników na podstawie the GDPR — podstawy prawne, retencja, prawa, bezpieczeństwo i transfery międzynarodowe.
Dane HR to dane wysokiego ryzyka
Funkcje HR przetwarzają jedne z najbardziej wrażliwych danych osobowych w każdej organizacji: dane kontaktowe, wynagrodzenie, informacje bankowe, akta dotyczące wyników pracy, informacje o zdrowiu, a czasem także sprawdzanie niekaralności. Na podstawie General Data Protection Regulation (GDPR) i jego krajowych implementacji — the Irish Data Protection Act 2018 oraz the UK GDPR / Data Protection Act 2018 — dane te muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty.
Getting this right is both a legal duty and a trust issue. Employees are data subjects with enforceable rights, and the Data Protection Commission in Ireland (or the ICO in the UK) can investigate complaints and impose significant fines. Treat employee data with the same rigour you would customer data.
Wybór podstawy prawnej
Every processing activity needs a lawful basis. A common mistake is to rely on consent for the employment relationship. Because of the power imbalance between employer and employee, consent is rarely freely given and is therefore usually the wrong basis for core HR processing. More appropriate bases are typically the performance of the employment contract, compliance with a legal obligation (for example tax and revenue reporting), and legitimate interests.
Dane szczególnej kategorii — w tym informacje zdrowotne wykorzystywane do celów urlopu chorobowego lub medycyny pracy — wymagają dodatkowego warunku na podstawie Article 9, często związanego z prawem pracy, zabezpieczeniem społecznym i ochroną socjalną. Należy przypisać każdy rodzaj przetwarzania HR do odpowiedniej podstawy i warunku oraz udokumentować rozumowanie.
Transparency and data-subject rights
Employees must be told, in clear language, what data you hold, why, how long you keep it and who you share it with. This is usually delivered through an employee privacy notice, distinct from your customer-facing privacy policy. Provide it at the point of hiring and keep it current.
Data subjects can exercise rights including access (the subject access request), rectification, erasure in some circumstances, restriction and objection. Have a documented process for responding within the statutory timescale (generally one month). HR is a frequent recipient of access requests, so plan for how you will locate and redact information held across systems.
Retencja, minimalizacja i bezpieczeństwo
Nie należy przechowywać danych dłużej, niż jest to konieczne. Trzeba opracować harmonogram retencji odzwierciedlający zarówno wymogi prawne (lista płac i dokumentacja podatkowa, ewidencja czasu pracy, dokumentacja BHP), jak i rzeczywistą potrzebę biznesową, a następnie usuwać lub anonimizować dane po upływie tych okresów. Należy gromadzić wyłącznie to, z czego rzeczywiście się korzysta — minimalizacja danych jest zasadą, a nie drobiazgiem.
Security is a legal requirement, not just good practice. Apply role-based access so that managers see only what they need, encrypt data in transit and at rest, and keep an audit trail of who accessed what. A reputable HRIS gives you granular permissions and access logging out of the box, which is far safer than scattering employee data across spreadsheets and shared drives.
Transfery międzynarodowe i dostawcy
Jeżeli oprogramowanie HR lub dostawca lista płac przechowuje dane poza Europejskim Obszarem Gospodarczym, należy zapewnić odpowiedni mechanizm transferu — decyzję stwierdzającą odpowiedni stopień ochrony, standardowe klauzule umowne albo równoważne zabezpieczenia. Od czasu Brexitu transfery między UE a Wielką Brytanią są objęte statusem adekwatności Wielkiej Brytanii, ale należy to monitorować, ponieważ podlega przeglądowi.
Whenever you use a third party to process employee data, you need a written data-processing agreement setting out their obligations, and you should carry out due diligence on their security posture. Keep a record of your processors and where data is hosted so you can answer questions and respond to incidents quickly.
