GDPR для HR-даних у малій IT-компанії: практична версія

Чого GDPR насправді вимагає від роботодавця на 20 людей

Винятку для малих компаній не існує: якщо ви наймаєте людей у ЄС, GDPR застосовується до їхніх даних із першого дня. Утім, для даних працівників вимоги буденніші, ніж натякає консалтингова індустрія:

• Правова підстава, яку ви можете назвати. Для базових HR-даних — контракт, зарплата, відпустки, податкові номери — підставою майже завжди є виконання трудового договору або юридичний обов’язок (зарплата, податки, трудове право). Згода здебільшого не той інструмент — більше у FAQ.
• Мінімізація даних. Тримайте те, що потрібно для трудових відносин, а не те, що колись може виявитися цікавим. Список днів народження ще можна виправдати; колонку «нотатки про особистість» — ні.
• Право на доступ. Люди мають право знати, що ви про них тримаєте, й отримати копію — протягом місяця від запиту.
• Строки зберігання з кінцем. «Назавжди, в папці» — це не політика зберігання. Зарплатні записи мають законодавчі мінімуми; більшість інших даних заслуговує на письмово зафіксований максимум.
• Безпека, відповідна ризику. Контроль доступу, логування, розуміння, де дані фізично живуть.

Одна ремарка наперед: цей гайд — це практичні поради, не юридична консультація; національне право додає специфіку поверх GDPR.

Мапа HR-даних: що ви тримаєте, де і хто це бачить

Неможливо захистити те, чого ви не переписали. Одна година, три колонки — що, де, хто може бачити:

Що ви майже напевно тримаєте: ідентифікаційні й контактні дані; контракти та історію зарплат; національні ID, дозволи на роботу й банківські реквізити; записи про відпустки, включно з лікарняними (дотичні до даних про здоров’я); нотатки про перформанс, рев’ю і записи 1-на-1; резюме кандидатів з усіх ролей, які ви будь-коли відкривали; і дані про добробут, якщо опитуєте команду.

Де це насправді живе: у більшості малих компаній — «у кількох місцях»: HR-система або головна таблиця, зарплатний файл бухгалтера і тіньові копії — резюме в поштових скриньках, зарплатний аркуш, експортований «лише для цієї зустрічі». Саме в тіньових копіях і живуть проблеми з GDPR: їх ніхто не контролює й не видаляє.

Хто може це бачити: вирішальне питання. У таблиці, розшареній лінком, один рівень доступу — всі. Обмеження за ролями (HR бачить зарплати, менеджер — відпустки своєї команди, працівник — себе) — це структурна різниця між системою і папкою.

Висновок зазвичай той самий: із головними даними все гаразд; проблема — у копіях. Це і є аргумент за одну систему запису, обмежену за ролями.

П’ять практик, які покривають 90%

Щоденний GDPR для даних працівників зводиться до п’яти звичок — усі нудні, усі перевірні:

1. Доступ за ролями плюс журнал. Зарплати й документи бачать HR і сама людина, а не всі, у кого є лінк, — і кожен доступ лишає слід. Журнал відбиває охоту підглядати знічев’я і слугує вашим доказом контролю, якщо хтось спитає.
2. Строки зберігання виконує система, а не пам’ять. Вирішіть, скільки живе кожна категорія, запишіть це і зробіть видалення механічним — прибирання, яке тримається на тому, що хтось згадає, не відбувається.
3. Експорт за запитом за хвилини, а не за тижні. Запити рідкісні — але збирання відповіді вручну з шести інструментів перетворює рутинний запит на проєкт.
4. Згода кандидатів і прибирання за ними. Рекрутингові дані — найзабутіша купа: скажіть аплікантам, що і навіщо зберігаєте, тримайте кінцеву дату зберігання, видаляйте за розкладом — гайд із рекрутингу покриває це від початку до кінця.
5. Угоди з процесорами й розуміння, де живуть дані. Кожен інструмент, який торкається даних працівників від вашого імені, — HR-система, зарплатний сервіс, пошта — це процесор (обробник), і з ним потрібна угода про обробку даних (DPA); хостинг даних у ЄС різко спрощує питання транскордонної передачі.

Зробіть ці п’ять — і решта 10% (реєстр операцій обробки, базові дії при витоку, національні особливості) — це пів дня з юристом, а не криза.

Коли працівник питає: «що ви на мене маєте?»

Рано чи пізно хтось спитає — з цікавості, у конфлікті або на виході. Це запит на доступ за статтею 15 GDPR, і на відповідь у вас один місяць.

Відповідь має дві половини: копія даних — профіль, контракт, історія виплат, відпустки, рев’ю — і контекст: для чого ви їх використовуєте, з ким ними ділитеся (зарплатний провайдер, бухгалтер), скільки зберігаєте, та права людини на виправлення, на видалення, де воно застосовне, і на скаргу.

Якщо все налаштовано, це не-подія: витягнули експорт, пройшлися ним разом, виправили помилкове на місці — виправлення і є найпоширенішим реальним результатом. Якщо ні — це три тижні грепання поштових скриньок, і воно сигналізує рівно той безлад, який людина й підозрювала.

Дві пастки. Запит покриває те, що ви тримаєте, включно з тіньовими копіями, — ще одна причина, чому зарплатні таблиці не мають гуляти поштою. І дані інших людей у відповідь не входять: нотатка колеги про запитувача потребує обережності перед розкриттям — вартує десяти хвилин юриста.

Як це робить Helia HR

Більшість цього гайда в Helia механізована, а не пообіцяна:

• Ізоляція тенантів, хостинг у ЄС. Кожна таблиця захищена row-level security — дані однієї компанії відділені структурно, а не відфільтровані за домовленістю. Дані живуть у ЄС (Франкфурт), а угода про обробку даних опублікована на /security/dpa для ваших записів про процесорів.
• PII за ролями, з видимою обіцянкою. Чутливі поля в профілі працівника підписані рівно так, як вони поводяться: «Лише HR · доступ фіксується». Шість ролей визначають, хто що бачить; читання й запис персональних даних лягають у GDPR-журнал аудиту.
• Експорт за запитом — вбудований. GDPR-експорт по окремому працівнику формує структурований файл усього, що зберігається: профіль, історія компенсацій, відпустки, призначення, рев’ю, 1-на-1, записи про вихід, техніка, релевантні записи аудиту. Працівники можуть самостійно вивантажити експорт власного акаунта, а експорт по всій організації означає, що з Helia можна піти з усім своїм — переносність без лок-іну.
• Видалення і строки зберігання, які справді працюють. Персональні записи видаляються м’яко (аудиторський слід зберігається); строки зберігання відпрацьовують самі — чекіни настрою, наприклад, стираються за 12 місяців.
• Кандидати покриті від початку до кінця. Апліканти з кар’єрної сторінки дають явну згоду з 12-місячним вікном зберігання; нічна задача стирає резюме й архівує кандидатів, чиє вікно минуло; для доданих вручну кандидатів згоду можна зафіксувати; кандидати із сорсингу автоматично отримують повідомлення за статтею 14 GDPR про те, що їхні дані було зібрано.
• Залученість без стеження. Відповіді пульс-опитувань зберігаються без прив’язки до особи — ідентичності й відповіді за дизайном живуть в окремих таблицях — а результати з’являються лише понад мінімальний поріг кількості відповідей.

Helia HR надає інструменти й записи; це не юридична консультація, і сама по собі система не робить вас відповідними вимогам. Мінімальні строки зберігання, правила щодо робочих рад і практика застосування різняться між країнами — уточнюйте специфіку у кваліфікованих юристів там, де ви працевлаштовуєте людей.

FAQ

Чи потрібен нам Data Protection Officer на 20 людей?

Зазвичай ні — DPO обов’язковий лише для органів влади, масштабного систематичного моніторингу або масштабної обробки особливих категорій даних, під що типовий малий IT-роботодавець не підпадає. Але «DPO не потрібен» не означає «це нічия робота»: назвіть одного відповідального за питання приватності й перевірте національне право — деякі країни додають суворіші пороги.

А можна просто взяти з працівників згоду на все?

Ні — і сама спроба послаблює вашу позицію. Згода має бути добровільною; працівник перед роботодавцем рідко може вільно відмовити, тож регулятори вважають тотальну згоду працівників недійсною. Для базових HR-даних спирайтеся на договір і юридичний обов’язок; згоду прибережіть для справді опційних речей — як-от фото на сайті.

Скільки зберігати справу людини, яка пішла?

Єдиної відповіді на весь ЄС немає: зарплатні й податкові записи мають національні мінімуми (часто це роки), тоді як дані без юридичної причини існувати мають зникати значно раніше. Визначте строк для кожної категорії з бухгалтером чи юристом, запишіть його — і автоматизуйте видалення, щоб політика була справжньою.

Резюме відхилених кандидатів справді рахуються?

Цілком. Дані кандидатів несуть ті самі права — і зазвичай це найменш контрольована купа даних у компанії. Тримайте відхилених кандидатів лише із заявленим вікном зберігання (зі згодою, якщо зберігаєте під майбутні ролі) — і видаляйте за розкладом.