Guide • Compliance • 16 phút đọc
GDPR cho HR: xử lý dữ liệu nhân viên đúng cách
Cách xử lý dữ liệu cá nhân của nhân viên một cách hợp pháp theo GDPR — căn cứ hợp pháp, lưu trữ, quyền, an ninh và chuyển giao quốc tế.
Dữ liệu nhân sự là dữ liệu rủi ro cao
Các chức năng nhân sự xử lý một số dữ liệu cá nhân nhạy cảm nhất trong bất kỳ tổ chức nào: thông tin liên hệ, lương, thông tin ngân hàng, hồ sơ hiệu suất, thông tin sức khỏe, và đôi khi là kiểm tra hồ sơ tư pháp. Theo Quy định Chung về Bảo vệ Dữ liệu (GDPR) và các văn bản nội luật hóa của từng quốc gia — Đạo luật Bảo vệ Dữ liệu Ireland 2018 và UK GDPR / Đạo luật Bảo vệ Dữ liệu 2018 — dữ liệu này phải được xử lý hợp pháp, công bằng và minh bạch.
Làm đúng điều này vừa là nghĩa vụ pháp lý vừa là vấn đề về niềm tin. Người lao động là chủ thể dữ liệu với các quyền có thể thực thi, và Ủy ban Bảo vệ Dữ liệu ở Ireland (hoặc ICO ở UK) có thể điều tra khiếu nại và áp dụng các khoản phạt đáng kể. Hãy đối xử với dữ liệu nhân viên với cùng mức độ chặt chẽ như dữ liệu khách hàng.
Lựa chọn căn cứ hợp pháp
Mọi hoạt động xử lý đều cần một cơ sở pháp lý. Một sai lầm phổ biến là dựa vào sự đồng ý cho quan hệ lao động. Do sự mất cân bằng quyền lực giữa người sử dụng lao động và người lao động, sự đồng ý hiếm khi được đưa ra một cách tự nguyện thực sự và vì vậy thường không phải là cơ sở phù hợp cho việc xử lý HR cốt lõi. Các cơ sở phù hợp hơn thường là thực hiện hợp đồng lao động, tuân thủ nghĩa vụ pháp lý (ví dụ báo cáo thuế và doanh thu), và lợi ích hợp pháp.
Dữ liệu thuộc nhóm đặc biệt — bao gồm thông tin sức khỏe được dùng cho nghỉ ốm hoặc mục đích sức khỏe nghề nghiệp — cần một điều kiện bổ sung theo Article 9, thường liên quan đến luật việc làm, an sinh xã hội và bảo trợ xã hội. Hãy lập bản đồ từng loại xử lý nhân sự theo căn cứ và điều kiện của nó, đồng thời ghi lại lý do.
Tính minh bạch và quyền của chủ thể dữ liệu
Người lao động phải được thông báo, bằng ngôn ngữ rõ ràng, về dữ liệu mà bạn lưu giữ, lý do lưu giữ, thời gian lưu giữ và những ai bạn chia sẻ dữ liệu đó với. Việc này thường được thực hiện thông qua một thông báo quyền riêng tư dành cho nhân viên, tách biệt với chính sách quyền riêng tư hướng tới khách hàng của bạn. Hãy cung cấp thông báo này tại thời điểm tuyển dụng và giữ cho nó luôn cập nhật.
Chủ thể dữ liệu có thể thực hiện các quyền bao gồm quyền truy cập (yêu cầu truy cập chủ thể), chỉnh sửa, xóa trong một số trường hợp, hạn chế và phản đối. Hãy có một quy trình được ghi nhận để phản hồi trong thời hạn theo luật định (thường là một tháng). HR thường xuyên nhận các yêu cầu truy cập, vì vậy hãy chuẩn bị cách xác định vị trí và ẩn thông tin được lưu trữ trên các hệ thống khác nhau.
Lưu trữ, tối thiểu hóa và an ninh
Không giữ dữ liệu lâu hơn mức cần thiết. Hãy xây dựng lịch lưu trữ phản ánh cả yêu cầu pháp lý (hồ sơ tiền lương và thuế, hồ sơ thời giờ làm việc, tài liệu an toàn và sức khỏe) lẫn nhu cầu kinh doanh thực sự, và xóa hoặc ẩn danh hóa sau các thời hạn đó. Chỉ thu thập những gì bạn thực sự sử dụng — tối thiểu hóa dữ liệu là một nguyên tắc, không phải điều tùy chọn.
Bảo mật là một yêu cầu pháp lý, không chỉ là thực hành tốt. Hãy áp dụng quyền truy cập theo vai trò để quản lý chỉ thấy những gì họ cần, mã hóa dữ liệu khi truyền và khi lưu trữ tại rest, đồng thời lưu dấu vết kiểm toán về ai đã truy cập vào dữ liệu nào. Một HRIS uy tín cung cấp sẵn quyền hạn chi tiết và ghi nhật ký truy cập, an toàn hơn nhiều so với việc rải dữ liệu nhân viên trong các bảng tính và ổ đĩa dùng chung.
Chuyển giao quốc tế và nhà cung cấp
Nếu phần mềm nhân sự hoặc nhà cung cấp tiền lương của bạn lưu trữ dữ liệu bên ngoài Khu vực Kinh tế châu Âu, bạn phải bảo đảm có cơ chế chuyển giao phù hợp — quyết định thừa nhận đầy đủ, các điều khoản hợp đồng tiêu chuẩn, hoặc biện pháp bảo vệ tương đương. Kể từ Brexit, các chuyển giao giữa EU và UK được bao phủ bởi tình trạng thừa nhận đầy đủ của UK, nhưng điều này cần được theo dõi vì có thể bị rà soát.
Bất cứ khi nào bạn sử dụng bên thứ ba để xử lý dữ liệu nhân viên, bạn cần một thỏa thuận xử lý dữ liệu bằng văn bản nêu rõ nghĩa vụ của họ, và bạn nên thực hiện thẩm định về mức độ an toàn bảo mật của họ. Hãy lưu hồ sơ về các nhà xử lý và nơi dữ liệu được lưu trữ để bạn có thể trả lời câu hỏi và phản ứng nhanh khi có sự cố.
