Zaštita podataka zaposlenih

Obrada podataka zaposlenih zahtijeva određenu svrhu i odgovarajući pravni osnov. Član 5 GDPR-a traži, između ostalog, zakonitost, ograničenje svrhe i smanjenje količine podataka. Član 6 navodi pravne osnove za lične podatke. Posebne kategorije, kao što su zdravstveni podaci, podliježu dodatnim uslovima člana 9.

Za svaki važan HR proces preduzeće treba zabilježiti koji su podaci stvarno potrebni, ko ih daje, ko ih koristi i kada svrha prestaje. Polje koje se čuva iz praktičnosti nije potrebno samo zato što ga sistem može pohraniti. Prijave za posao, bolovanja, procjena učinka i interne prijave zaslužuju posebnu procjenu.

Informacije prema članovima 13 ili 14 GDPR-a treba da prikazuju stvarni proces. Opšta obavijest možda nije dovoljna kada se uvode novi alati za analizu, sistemi kontrole ili vanjske platforme.

Podaci zaposlenih često se nalaze u obračunu plata, evidenciji vremena, regrutaciji, dokumentima i komunikacionim sistemima. Pristup ne treba proizlaziti samo iz pripadnosti odjelu. Član 32 GDPR-a traži nivo sigurnosti primjeren riziku. To obuhvata i organizaciona pravila koja ograničavaju i provjeravaju ovlaštenja.

Dobar model pristupa opisuje uloge, kategorije, odobrenje, ukidanje i zamjenu. Obračun plata treba druge informacije od rukovodioca. IT administratori mogu imati široka tehnička prava, ali zbog toga automatski ne postaju funkcija koja smije pregledati svaki personalni spis. Zapisi mogu podržati kontrole, ali ih ne treba čuvati bez kraja bez određene svrhe i jasnog pravila pristupa analizi.

Kod odlaska proces mora reagovati brzo i usklađeno. Treba provjeriti naloge, ključeve, mobilne uređaje, zajedničke mape i vanjski pristup. To je odvojeno od odluke koje dokumente treba čuvati zbog zakonske obaveze ili konkretnog zahtjeva.

Evidencija vremena, GPS, video, zapisi prijave, komunikacija i analiza učinka mogu imati različite svrhe. Tehnička mogućnost ne znači da je svaka analiza zakonita. Prije uvođenja preduzeće treba opisati svrhu, obim podataka, pogođene osobe, ovlaštene korisnike i pravila brisanja. Stalno praćenje ponašanja ili učinka posebno snažno zadire u privatnost.

Pored GDPR-a može se primjenjivati i radno pravo. § 96 stav 1 tačka 3 ArbVG-a odnosi se na mjere kontrole i tehničke sisteme za kontrolu zaposlenih kada zadiru u ljudsko dostojanstvo. § 96a sadrži posebna pravila za određene automatizovane sisteme obrade podataka zaposlenih. Da li je potrebna saglasnost radničkog savjeta može se procijeniti samo prema konkretnom sistemu i njegovim posljedicama.

Poseban članak o nadzoru zaposlenih softverom obrađuje ovu situaciju. Sistemi vještačke inteligencije na radnom mjestu dodatno otvaraju pitanja svrhe, podataka za obuku, procjene i sporazuma sa radničkim savjetom, što obrađuje članak o vještačkoj inteligenciji na radnom mjestu.

GDPR ne propisuje jedan rok čuvanja za sve podatke zaposlenih. Član 5 stav 1 tačka e ograničava čuvanje na ono što je potrebno. Obaveze iz radnog, poreskog, socijalnog i privrednog prava, kao i konkretni zahtjevi, mogu opravdati dalje čuvanje. Razlog treba zabilježiti za svaku kategoriju podataka.

Kod odlaska ne treba odmah obrisati cijeli personalni spis, ali ni bez vremenskog ograničenja arhivirati cijeli nalog. Dobar proces razdvaja aktivni pristup, materijal za primopredaju, ograničene dokaze i dokumente za koje postoji poseban pravni razlog čuvanja. Član 17 predviđa izuzetke od brisanja, između ostalog kada je čuvanje potrebno zbog pravne obaveze ili postavljanja, ostvarivanja ili odbrane pravnih zahtjeva.

Plan brisanja treba da zabilježi više od samih rokova. Treba odrediti događaj koji pokreće brisanje, odgovornu osobu, tehničke postupke, ograničenja i postupanje sa arhivama ili rezervnim kopijama. Poseban članak o podacima bivših zaposlenih detaljnije obrađuje odlazak.

Zaposleni mogu kao ispitanici koristiti prava iz GDPR-a. Tu spada naročito pravo pristupa prema članu 15. Preduzeće treba imati postupak za identitet, sisteme, rokove, uključene funkcije i moguća ograničenja. Zahtjev ne smije nestati između HR-a, IT-ja i funkcije privatnosti.

Kod pristupa treba procijeniti koji se lični podaci obrađuju i koje informacije treba saopštiti prema članu 15. Mogu biti važna prava drugih osoba, poslovne tajne ili zakonska ograničenja. Odgovor zato mora odražavati stvarne zapise i okolnosti konkretnog slučaja.

Fokusna tema o pravima ispitanika i pristupu daje opšti postupak. Podaci zaposlenih treba da ostanu povezani i sa okvirom upravljanja, evidencijom obrada, pravilima i kontrolama.

Dobra zaštita podataka zaposlenih nije jedan dokument. Ona povezuje HR, IT, rukovodioce, funkciju privatnosti, informacijsku sigurnost i, kada je potrebno, radnički savjet. Za svaku novu obradu treba biti jasno ko opisuje svrhu, koji podaci su potrebni, koji rizici postoje i kako se odluka dokumentuje.

Za usmjerenu pravnu i organizacionu provjeru obično pomažu evidencija obrada, obavijesti, model pristupa, pravila brisanja i čuvanja, pregled pružalaca usluga, interna pravila, opis sistema i važni sporazumi sa radničkim savjetom. Ti materijali pokazuju da li je glavni problem u svrsi, pristupu, kontroli, čuvanju ili suodlučivanju.

Sa Vama provjeravamo konkretnu obradu i uređujemo pravne i organizacione korake tako da ih mogu koristiti HR, IT i rukovodioci. Kod novih sistema provjera prije uvođenja obično je jednostavnija od naknadnog ispravljanja tekućih analiza.