Guide • Compliance • 16 นาทีในการอ่าน
GDPR สำหรับ HR: การจัดการข้อมูลพนักงานอย่างถูกต้อง
วิธีประมวลผลข้อมูลส่วนบุคคลของพนักงานอย่างถูกต้องตามกฎหมายภายใต้ GDPR — ฐานทางกฎหมาย การเก็บรักษา สิทธิ ความปลอดภัย และการโอนย้ายระหว่างประเทศ
ข้อมูล HR คือข้อมูลที่มีความเสี่ยงสูง
ฟังก์ชัน HR จัดการข้อมูลส่วนบุคคลที่ละเอียดอ่อนที่สุดบางประเภทในทุกองค์กร: รายละเอียดการติดต่อ เงินเดือน ข้อมูลธนาคาร บันทึกผลการปฏิบัติงาน ข้อมูลสุขภาพ และบางครั้งรวมถึงการตรวจประวัติอาชญากรรม ภายใต้ General Data Protection Regulation (GDPR) และกฎหมายที่นำไปใช้ในประเทศต่าง ๆ — Irish Data Protection Act 2018 และ UK GDPR / Data Protection Act 2018 — ข้อมูลนี้ต้องได้รับการประมวลผลโดยชอบด้วยกฎหมาย เป็นธรรม และโปร่งใส
การทำให้ถูกต้องเป็นทั้งหน้าที่ตามกฎหมายและประเด็นด้านความไว้วางใจ พนักงานเป็นเจ้าของข้อมูลที่มีสิทธิซึ่งบังคับใช้ได้ และ Data Protection Commission ในไอร์แลนด์ (หรือ ICO ในสหราชอาณาจักร) สามารถสอบสวนข้อร้องเรียนและกำหนดค่าปรับจำนวนมากได้ จงปฏิบัติต่อข้อมูลพนักงานด้วยความเข้มงวดเช่นเดียวกับข้อมูลลูกค้า
การเลือกฐานทางกฎหมายที่ชอบด้วยกฎหมาย
ทุกกิจกรรมการประมวลผลต้องมีฐานทางกฎหมายที่เหมาะสม ข้อผิดพลาดที่พบบ่อยคือการอาศัยความยินยอมในความสัมพันธ์การจ้างงาน เนื่องจากความไม่สมดุลของอำนาจระหว่างนายจ้างและพนักงาน ความยินยอมจึงแทบไม่ใช่ความยินยอมโดยเสรี และโดยทั่วไปไม่ใช่ฐานที่ถูกต้องสำหรับการประมวลผล HR หลัก ฐานที่เหมาะสมกว่ามักเป็นการปฏิบัติตามสัญญาจ้างงาน การปฏิบัติตามหน้าที่ตามกฎหมาย (เช่น การรายงานภาษีและรายได้) และประโยชน์โดยชอบด้วยกฎหมาย
ข้อมูลประเภทพิเศษ — รวมถึงข้อมูลสุขภาพที่ใช้สำหรับการลาป่วยหรือวัตถุประสงค์ด้านอาชีวอนามัย — ต้องมีเงื่อนไขเพิ่มเติมภายใต้ Article 9 ซึ่งมักเกี่ยวข้องกับกฎหมายแรงงาน ประกันสังคม และการคุ้มครองทางสังคม ให้ทำแผนที่การประมวลผล HR แต่ละประเภทกับฐานและเงื่อนไขของมัน และบันทึกเหตุผลประกอบ
ความโปร่งใสและสิทธิของเจ้าของข้อมูล
ต้องแจ้งพนักงานด้วยภาษาที่ชัดเจนว่าคุณเก็บข้อมูลอะไรไว้ เหตุใด จัดเก็บไว้นานเท่าใด และแบ่งปันให้ใคร โดยปกติจะดำเนินการผ่าน employee privacy notice ซึ่งแยกจาก privacy policy สำหรับลูกค้า จัดให้ ณ จุดรับเข้าทำงานและทำให้เป็นปัจจุบัน
เจ้าของข้อมูลสามารถใช้สิทธิได้ รวมถึงสิทธิในการเข้าถึงข้อมูล (subject access request) การแก้ไข การลบในบางกรณี การจำกัด และการคัดค้าน ควรมีกระบวนการที่จัดทำเป็นเอกสารสำหรับตอบกลับภายในระยะเวลาตามกฎหมาย (โดยทั่วไปหนึ่งเดือน) HR มักเป็นผู้รับคำขอเข้าถึงข้อมูลบ่อยครั้ง ดังนั้นควรวางแผนสำหรับการค้นหาและปกปิดข้อมูลที่เก็บอยู่ในหลายระบบ
การเก็บรักษา การลดปริมาณข้อมูล และความปลอดภัย
อย่าเก็บข้อมูลไว้นานเกินความจำเป็น จัดทำตารางการเก็บรักษาที่สะท้อนทั้งข้อกำหนดทางกฎหมาย (บันทึกเงินเดือนและภาษี บันทึกเวลาทำงาน เอกสารด้านสุขภาพและความปลอดภัย) และความจำเป็นทางธุรกิจที่แท้จริง จากนั้นลบหรือทำให้นิรนามเมื่อพ้นระยะเวลาดังกล่าว เก็บเฉพาะข้อมูลที่คุณใช้งานจริง — การลดข้อมูลให้น้อยที่สุดเป็นหลักการ ไม่ใช่เรื่องเสริม
ความปลอดภัยเป็นข้อกำหนดทางกฎหมาย ไม่ใช่เพียงแนวปฏิบัติที่ดี ใช้สิทธิ์เข้าถึงตามบทบาทเพื่อให้ผู้จัดการเห็นเฉพาะสิ่งที่จำเป็น เข้ารหัสข้อมูลขณะส่งผ่านและที่ rest และเก็บบันทึกการตรวจสอบว่าใครเข้าถึงอะไร แพลตฟอร์ม HRIS ที่น่าเชื่อถือจะให้สิทธิ์แบบละเอียดและบันทึกการเข้าถึงมาให้พร้อมใช้งานตั้งแต่ต้น ซึ่งปลอดภัยกว่าการกระจายข้อมูลพนักงานออกไปตามสเปรดชีตและไดรฟ์ที่ใช้ร่วมกันมาก
การโอนย้ายระหว่างประเทศและผู้ให้บริการ
หากซอฟต์แวร์ HR หรือผู้ให้บริการเงินเดือนของคุณจัดเก็บข้อมูลนอกเขตเศรษฐกิจยุโรป คุณต้องมั่นใจว่ามีกลไกการโอนย้ายที่เหมาะสม — การตัดสินรับรองความเพียงพอ ข้อสัญญามาตรฐาน หรือมาตรการคุ้มครองที่เทียบเท่า นับตั้งแต่ Brexit การโอนย้ายระหว่างสหภาพยุโรปและสหราชอาณาจักรอยู่ภายใต้สถานะความเพียงพอของสหราชอาณาจักร แต่ควรติดตามอย่างใกล้ชิดเนื่องจากอยู่ภายใต้การทบทวน
ทุกครั้งที่คุณใช้บุคคลที่สามในการประมวลผลข้อมูลพนักงาน คุณต้องมีข้อตกลงการประมวลผลข้อมูลเป็นลายลักษณ์อักษรที่ระบุภาระหน้าที่ของพวกเขา และควรตรวจสอบสถานะด้านความปลอดภัยของพวกเขาอย่างรอบคอบ เก็บบันทึกผู้ประมวลผลข้อมูลของคุณและที่ตั้งของข้อมูลเพื่อให้ตอบคำถามและรับมือเหตุการณ์ได้อย่างรวดเร็ว
