Guide • Compliance • 16 min read
GDPR for HR: handling employee data correctly
Cách xử lý dữ liệu cá nhân của nhân viên hợp pháp theo GDPR — căn cứ hợp pháp, lưu giữ, quyền, bảo mật và chuyển giao quốc tế.
Dữ liệu nhân sự là dữ liệu rủi ro cao
Bộ phận nhân sự xử lý một số loại dữ liệu cá nhân nhạy cảm nhất trong bất kỳ tổ chức nào: thông tin liên hệ, lương, thông tin ngân hàng, hồ sơ hiệu suất, thông tin sức khỏe và đôi khi là kiểm tra án tích. Theo Quy định Bảo vệ Dữ liệu Chung (GDPR) và các văn bản nội luật hóa quốc gia — Đạo luật Bảo vệ Dữ liệu Ireland 2018 và UK GDPR / Data Protection Act 2018 — dữ liệu này phải được xử lý hợp pháp, công bằng và minh bạch.
Getting this right is both a legal duty and a trust issue. Employees are data subjects with enforceable rights, and the Data Protection Commission in Ireland (or the ICO in the UK) can investigate complaints and impose significant fines. Treat employee data with the same rigour you would customer data.
Lựa chọn căn cứ hợp pháp
Every processing activity needs a lawful basis. A common mistake is to rely on consent for the employment relationship. Because of the power imbalance between employer and employee, consent is rarely freely given and is therefore usually the wrong basis for core HR processing. More appropriate bases are typically the performance of the employment contract, compliance with a legal obligation (for example tax and revenue reporting), and legitimate interests.
Dữ liệu thuộc nhóm đặc biệt — bao gồm thông tin sức khỏe dùng cho nghỉ ốm hoặc mục đích sức khỏe nghề nghiệp — cần thêm một điều kiện bổ sung theo Article 9, thường liên quan đến luật lao động, an sinh xã hội và bảo trợ xã hội. Hãy lập bản đồ từng loại xử lý nhân sự theo căn cứ và điều kiện của nó, đồng thời ghi lại lý do.
Transparency and data-subject rights
Employees must be told, in clear language, what data you hold, why, how long you keep it and who you share it with. This is usually delivered through an employee privacy notice, distinct from your customer-facing privacy policy. Provide it at the point of hiring and keep it current.
Data subjects can exercise rights including access (the subject access request), rectification, erasure in some circumstances, restriction and objection. Have a documented process for responding within the statutory timescale (generally one month). HR is a frequent recipient of access requests, so plan for how you will locate and redact information held across systems.
Lưu giữ, tối thiểu hóa và bảo mật
Không lưu dữ liệu lâu hơn mức cần thiết. Hãy xây dựng lịch lưu giữ phản ánh cả yêu cầu pháp lý (hồ sơ tiền lương và thuế, hồ sơ thời giờ làm việc, tài liệu về sức khỏe và an toàn) lẫn nhu cầu kinh doanh thực sự, và xóa hoặc ẩn danh sau các thời hạn đó. Chỉ thu thập những gì bạn thực sự sử dụng — tối thiểu hóa dữ liệu là một nguyên tắc, không phải một sự cầu kỳ.
Security is a legal requirement, not just good practice. Apply role-based access so that managers see only what they need, encrypt data in transit and at rest, and keep an audit trail of who accessed what. A reputable HRIS gives you granular permissions and access logging out of the box, which is far safer than scattering employee data across spreadsheets and shared drives.
Chuyển giao quốc tế và nhà cung cấp
Nếu phần mềm nhân sự hoặc nhà cung cấp bảng lương của bạn lưu trữ dữ liệu bên ngoài Khu vực Kinh tế Châu Âu, bạn phải bảo đảm có cơ chế chuyển giao phù hợp — quyết định đầy đủ, các điều khoản hợp đồng chuẩn, hoặc biện pháp bảo vệ tương đương. Kể từ Brexit, các chuyển giao giữa EU và Vương quốc Anh được bao phủ bởi trạng thái đầy đủ của Vương quốc Anh, nhưng nội dung này vẫn cần được theo dõi vì chịu sự rà soát.
Whenever you use a third party to process employee data, you need a written data-processing agreement setting out their obligations, and you should carry out due diligence on their security posture. Keep a record of your processors and where data is hosted so you can answer questions and respond to incidents quickly.
