Guide • Compliance • 16 dk okuma
İK için GDPR: çalışan verilerinin doğru şekilde işlenmesi
GDPR kapsamında çalışan kişisel verilerinin hukuka uygun olarak nasıl işleneceği — hukuka uygunluk sebepleri, saklama, haklar, güvenlik ve uluslararası aktarımlar.
İK verisi yüksek riskli veridir
İK işlevleri, her kuruluşta en hassas kişisel verilerden bazılarını işler: iletişim bilgileri, maaş, banka bilgileri, performans kayıtları, sağlık bilgileri ve bazen sabıka kaydı kontrolleri. Genel Veri Koruma Tüzüğü (GDPR) ve ulusal uygulamaları — İrlanda Veri Koruma Yasası 2018 ve Birleşik Krallık GDPR / Veri Koruma Yasası 2018 — uyarınca bu veriler hukuka uygun, adil ve şeffaf biçimde işlenmelidir.
Bunu doğru yapmak hem bir yasal yükümlülük hem de bir güven meselesidir. Çalışanlar, uygulanabilir haklara sahip veri sahipleridir ve İrlanda'daki Data Protection Commission (veya Birleşik Krallık'taki ICO) şikâyetleri soruşturabilir ve önemli para cezaları uygulayabilir. Çalışan verilerini, müşteri verilerine göstereceğiniz titizlikle ele alın.
Hukuka uygun temeli seçmek
Her işleme faaliyeti için hukuka uygun bir dayanak gerekir. Sık yapılan bir hata, iş ilişkisi için rızaya dayanılmasıdır. İşveren ile çalışan arasındaki güç dengesizliği nedeniyle rıza nadiren özgürce verilir ve bu nedenle temel İK işleme faaliyetleri için genellikle yanlış dayanak olur. Daha uygun dayanaklar genellikle iş sözleşmesinin ifası, yasal bir yükümlülüğe uyum (örneğin vergi ve gelir bildirimi) ve meşru menfaatlerdir.
Sağlık izni veya iş sağlığı amaçları için kullanılan sağlık bilgileri de dahil olmak üzere özel nitelikli veriler, Article 9 kapsamında ek bir koşul gerektirir; bu koşul çoğu zaman istihdam, sosyal güvenlik ve sosyal koruma hukuku ile ilgilidir. Her bir İK işleme türünü dayanağı ve koşuluyla eşleştirin ve gerekçeyi kayda geçirin.
Şeffaflık ve veri sahibi hakları
Çalışanlara, hangi verileri tuttuğunuzun, neden tuttuğunuzun, ne kadar süre sakladığınızın ve bunları kimlerle paylaştığınızın açık bir dille bildirilmesi gerekir. Bu, genellikle müşteri odaklı gizlilik politikanızdan ayrı bir çalışan gizlilik bildirimi ile sağlanır. Bunu işe alma aşamasında sunun ve güncel tutun.
Veri sahipleri, erişim (subject access request), düzeltme, belirli durumlarda silme, kısıtlama ve itiraz gibi haklarını kullanabilir. Yasal süre içinde (genellikle bir ay) yanıt vermek için belgelenmiş bir süreciniz olsun. HR, sık sık erişim talepleri alır; bu nedenle sistemler genelinde tutulan bilgileri nasıl bulup karartacağınızı planlayın.
Saklama, asgari tutma ve güvenlik
Verileri gerektiğinden daha uzun süre saklamayın. Hem yasal gereklilikleri (bordro ve vergi kayıtları, çalışma süresi kayıtları, iş sağlığı ve güvenliği belgeleri) hem de gerçek iş ihtiyacını yansıtan bir saklama planı oluşturun ve bu sürelerin ötesindekileri silin veya anonimleştirin. Yalnızca gerçekten kullandığınız verileri toplayın — veri asgari tutma bir ilkedir, bir lüks değil.
Güvenlik yalnızca iyi uygulama değil, aynı zamanda yasal bir gerekliliktir. Yöneticilerin yalnızca ihtiyaç duyduklarını görmesi için role dayalı erişim uygulayın, verileri aktarım sırasında ve rest'da şifreleyin ve kimin neye eriştiğine dair bir denetim izi tutun. Güvenilir bir HRIS, ayrıntılı izinler ve erişim kaydı özelliğini hazır olarak sunar; bu, çalışan verilerini elektronik tablolar ve paylaşılan sürücülere yaymaktan çok daha güvenlidir.
Uluslararası aktarımlar ve tedarikçiler
İK yazılımınız veya bordro sağlayıcınız verileri Avrupa Ekonomik Alanı dışında saklıyorsa, yeterli bir aktarım mekanizması sağladığınızdan emin olmalısınız — yeterlilik kararı, standart sözleşme maddeleri veya eşdeğer güvenceler. Brexit'ten bu yana AB ile Birleşik Krallık arasındaki aktarımlar, Birleşik Krallık'ın yeterlilik statüsü kapsamındadır; ancak bu durum incelemeye tabi olduğundan izlenmelidir.
Çalışan verilerini işlemek için bir üçüncü taraf kullandığınızda, yükümlülüklerini belirleyen yazılı bir veri işleme anlaşmasına ihtiyacınız vardır ve onların güvenlik durumuna ilişkin durum tespiti yapmalısınız. Sorulara yanıt verebilmek ve olaylara hızlı tepki verebilmek için veri işleyenlerinizi ve verinin nerede barındırıldığını kayıt altına alın.
