Guide • Compliance • 16 min read
GDPR for HR: handling employee data correctly
Як законно обробляти персональні дані працівників відповідно до GDPR — законні підстави, строки зберігання, права, безпека та міжнародні передачі.
HR-дані — це дані з високим ризиком
HR-функції обробляють одні з найчутливіших персональних даних в будь-якій організації: контактні дані, зарплату, банківську інформацію, записи про результативність, дані про здоров’я, а іноді й перевірки судимості. Відповідно до Загального регламенту про захист даних (GDPR) та його національних імплементацій — Закону Ірландії про захист даних 2018 і UK GDPR / Закону про захист даних 2018 — ці дані мають оброблятися законно, добросовісно і прозоро.
Getting this right is both a legal duty and a trust issue. Employees are data subjects with enforceable rights, and the Data Protection Commission in Ireland (or the ICO in the UK) can investigate complaints and impose significant fines. Treat employee data with the same rigour you would customer data.
Вибір законної підстави
Every processing activity needs a lawful basis. A common mistake is to rely on consent for the employment relationship. Because of the power imbalance between employer and employee, consent is rarely freely given and is therefore usually the wrong basis for core HR processing. More appropriate bases are typically the performance of the employment contract, compliance with a legal obligation (for example tax and revenue reporting), and legitimate interests.
Дані особливої категорії — включно з даними про здоров’я, що використовуються для відпустки у зв’язку з хворобою або для цілей охорони здоров’я на роботі — потребують додаткової умови відповідно до Article 9, яка часто стосується трудового права, права соціального забезпечення та соціального захисту. Співвіднесіть кожен тип HR-обробки з його підставою та умовою і зафіксуйте обґрунтування.
Transparency and data-subject rights
Employees must be told, in clear language, what data you hold, why, how long you keep it and who you share it with. This is usually delivered through an employee privacy notice, distinct from your customer-facing privacy policy. Provide it at the point of hiring and keep it current.
Data subjects can exercise rights including access (the subject access request), rectification, erasure in some circumstances, restriction and objection. Have a documented process for responding within the statutory timescale (generally one month). HR is a frequent recipient of access requests, so plan for how you will locate and redact information held across systems.
Зберігання, мінімізація та безпека
Не зберігайте дані довше, ніж це необхідно. Створіть графік зберігання, який відображає як юридичні вимоги (нарахування зарплати та податкові записи, облік робочого часу, документацію з охорони праці та техніки безпеки), так і реальну бізнес-потребу, і видаляйте або анонімізуйте дані після завершення цих строків. Збирайте лише те, що ви фактично використовуєте — мінімізація даних є принципом, а не формальністю.
Security is a legal requirement, not just good practice. Apply role-based access so that managers see only what they need, encrypt data in transit and at rest, and keep an audit trail of who accessed what. A reputable HRIS gives you granular permissions and access logging out of the box, which is far safer than scattering employee data across spreadsheets and shared drives.
Міжнародні передачі та постачальники
Якщо ваше HR-програмне забезпечення або постачальник нарахування зарплати зберігає дані за межами Європейської економічної зони, ви маєте забезпечити належний механізм передачі — рішення про достатній рівень захисту, стандартні договірні положення або еквівалентні гарантії. Після Brexit передачі між ЄС і Великою Британією покриваються статусом достатнього рівня захисту Великої Британії, але це слід відстежувати, оскільки питання підлягає перегляду.
Whenever you use a third party to process employee data, you need a written data-processing agreement setting out their obligations, and you should carry out due diligence on their security posture. Keep a record of your processors and where data is hosted so you can answer questions and respond to incidents quickly.
