Guide • Compliance • 16 min read
GDPR for HR: handling employee data correctly
Cum să prelucrați legal datele cu caracter personal ale angajaților în temeiul GDPR — temeiuri legale, păstrare, drepturi, securitate și transferuri internaționale.
Datele HR sunt date cu risc ridicat
Funcțiile HR gestionează unele dintre cele mai sensibile date cu caracter personal din orice organizație: date de contact, salariu, informații bancare, evidențe privind performanța, informații despre sănătate și, uneori, verificări ale antecedentelor penale. În temeiul Regulamentului general privind protecția datelor (GDPR) și al implementărilor sale naționale — Data Protection Act 2018 din Irlanda și UK GDPR / Data Protection Act 2018 — aceste date trebuie prelucrate în mod legal, echitabil și transparent.
Getting this right is both a legal duty and a trust issue. Employees are data subjects with enforceable rights, and the Data Protection Commission in Ireland (or the ICO in the UK) can investigate complaints and impose significant fines. Treat employee data with the same rigour you would customer data.
Alegerea unui temei legal
Every processing activity needs a lawful basis. A common mistake is to rely on consent for the employment relationship. Because of the power imbalance between employer and employee, consent is rarely freely given and is therefore usually the wrong basis for core HR processing. More appropriate bases are typically the performance of the employment contract, compliance with a legal obligation (for example tax and revenue reporting), and legitimate interests.
Datele din categorii speciale — inclusiv informațiile despre sănătate folosite pentru concediu medical sau pentru scopuri de sănătate ocupațională — necesită o condiție suplimentară în temeiul Article 9, adesea legată de dreptul muncii, securitatea socială și protecția socială. Mapăți fiecare tip de prelucrare HR la temeiul și condiția aferente și consemnați raționamentul.
Transparency and data-subject rights
Employees must be told, in clear language, what data you hold, why, how long you keep it and who you share it with. This is usually delivered through an employee privacy notice, distinct from your customer-facing privacy policy. Provide it at the point of hiring and keep it current.
Data subjects can exercise rights including access (the subject access request), rectification, erasure in some circumstances, restriction and objection. Have a documented process for responding within the statutory timescale (generally one month). HR is a frequent recipient of access requests, so plan for how you will locate and redact information held across systems.
Păstrarea, minimizarea și securitatea
Nu păstrați datele mai mult decât este necesar. Elaborați un grafic de păstrare care să reflecte atât cerințele legale (evidențe de salarizare și fiscale, evidențe privind timpul de lucru, documentație de sănătate și securitate), cât și nevoia reală a afacerii, și ștergeți sau anonimizati datele după acele perioade. Colectați doar ceea ce utilizați efectiv — minimizarea datelor este un principiu, nu un moft.
Security is a legal requirement, not just good practice. Apply role-based access so that managers see only what they need, encrypt data in transit and at rest, and keep an audit trail of who accessed what. A reputable HRIS gives you granular permissions and access logging out of the box, which is far safer than scattering employee data across spreadsheets and shared drives.
Transferuri internaționale și furnizori
Dacă software-ul dumneavoastră HR sau furnizorul de salarizare stochează date în afara Spațiului Economic European, trebuie să vă asigurați că există un mecanism adecvat de transfer — o decizie de adecvare, clauze contractuale standard sau garanții echivalente. De la Brexit, transferurile între UE și Regatul Unit sunt acoperite de statutul de adecvare al Regatului Unit, dar acest lucru ar trebui monitorizat, deoarece este supus revizuirii.
Whenever you use a third party to process employee data, you need a written data-processing agreement setting out their obligations, and you should carry out due diligence on their security posture. Keep a record of your processors and where data is hosted so you can answer questions and respond to incidents quickly.
