Menaxhim Dokumentesh HR në Përputhje me GDPR: Çfarë Duhet

Kur flitet për GDPR dhe dokumentet HR, narrativat zakonisht përfundojnë në dy ekstreme. Ose "është shumë e paqartë për të vepruar", ose "duhet të enkriptosh gjithçka, të mos mbash asgjë dhe të mos i lësh kurrë menaxherët të shohin asgjë". Të dyja janë të gabuara. Rregullorja është specifike, detyrimet janë të kufizuara dhe rruga e zbatimit është më e shkurtër seç mendojnë shumica e ekipeve. Ky post tregon çfarë kërkon vërtet menaxhimi i dokumenteve HR i përputhshëm me GDPR, çfarë shohin auditorët dhe si të arrish atje pa shqetësuar punën rutinë HR.

Çfarë Thotë Vërtet GDPR-ja për Dokumentet HR

Pjesët e GDPR-së që kanë rëndësi për dokumentet HR përmblidhen në pak rregulla. Secila hartëzon me diçka të zbatueshme.

• Bazë ligjore: çdo dokument që mban ka nevojë për një arsye, dhe arsyeja duhet të jetë një nga gjashtë bazat ligjore (ekzekutim kontrate, detyrim ligjor, interes legjitim, etj.). Për HR, pothuajse të gjitha dokumentet bien nën ekzekutim kontrate ose detyrim ligjor.
• Minimizim i të dhënave: mbaj vetëm atë që të duhet për qëllimin. Të mbash një kopje pasaporte është në rregull për verifikimin e të drejtës së punës; ta mbash sepse "mund të jetë e dobishme" nuk është.
• Kufij retention-i: të dhënat mund të mbahen vetëm sa kohë janë të nevojshme për qëllimin. Pas, duhet të fshihen.
• Kontrolle aksesi: vetëm njerëzit me arsye legjitime duhet të aksesojnë të dhëna personale.
• Audit log: duhet të mund të tregosh kush ka parë çfarë dhe kur.
• Të drejtat e subjektit të të dhënave: punonjësit mund të kërkojnë një kopje të të dhënave të tyre, të kërkojnë korrigjime dhe në disa raste të kërkojnë fshirje.
• Njoftim i breach-it: një shkelje e të dhënave personale duhet raportuar brenda 72 orësh.

Kjo është gjithçka. Shtatë zëra, secili i hartëzueshëm mbi një veçori ose proces konkret në një sistem dokumentar HR.

Si Duket Praktikisht Përputhshmëria me GDPR

Një setup dokumentar HR i përputhshëm me GDPR ka këto veti:

• Çdo kategori dokumenti ka një bazë ligjore të dokumentuar dhe një periudhë retention-i
• Aksesi është i bazuar në role, me një matricë të shkruar se kush sheh çfarë
• Veprimet e leximit, shkrimit dhe fshirjes logohen për të paktën 12 muaj
• Një data subject access request (DSAR) mund të trajtohet në një workflow të vetëm
• Retention-i ekzekutohet automatikisht, me një provë të loguar të fshirjes
• Një regjistër i përpunimit liston çdo kategori, bazë, retention dhe processor
• Ekziston një plan reagimi për breach dhe ekipi e ka provuar

Nuk të duhet një sistem i dedikuar GDPR. Të duhet një sistem dokumentar HR që i bën të shtatë gjërat e mësipërme, plus disiplinën për të mbajtur dokumentacionin të përditësuar.

Një Kornizë në 5 Hapa për Përputhshmërinë GDPR të Dokumenteve HR

1. Ndërto Regjistrin e Përpunimit për HR

Listo çdo kategori të dhënash personale që përpunon në dokumente HR. Kontratat (identitet, adresë, pagë), ID-të (identitet, kombësi), payroll (të dhëna financiare, ID tatimore), benefitet (ndonjëherë të dhëna shëndetësore), performanca (vlerësime subjektive), disiplinore (ndonjëherë të dhëna kategorie të veçantë). Për secilën, shkruaj bazën ligjore, periudhën e retention-it, kush ka akses dhe cilët processor e prekin (provider payroll, broker benefitesh, ofrues background check).

2. Hartëzo Retention-in mbi një Rregull Sistemi, Jo mbi një Person

Çdo kategori në regjistër merr një periudhë retention-i në sistem. Kontratat shtatë vjet pas largimit, payroll shtatë vjet, regjistrimet e trajnimit tre vjet, regjistrimet e recruitment-it gjashtë muaj për kandidatët e pasuksesshëm. Sistemi zbaton fshirjen. Retention-i manual gjithmonë dështon, sepse personi që e di rregullin më vonë largohet.

3. Vendos Workflow-t DSAR Para se të Mbërrijë Kërkesa e Parë

Një DSAR zakonisht vjen me email dhe nis një orë 30-ditore. Vendos paraprakisht kush mban përgjegjësinë e përgjigjes, ku mblidhen të dhënat, cilat redaktime nevojiten (të dhëna personale të punonjësve të tjerë, referenca palësh të treta) dhe si dorëzohet përgjigjja te punonjësi. DSAR-i i parë që trajton nga zeroja do të të marrë 20-40 orë. I pesti, me një workflow, dy.

4. Përcakto Kush Duhet të Shohë Çfarë, me Shkrim

Shkruaj matricën e aksesit. HR admin shohin të gjitha të dhënat HR. HR generalist shohin pjesën më të madhe. Menaxherët e linjës shohin të dhënat jo të ndjeshme të vartësve të tyre (datat e kontratës, trajnime, performancë). Punonjësit shohin të dhënat e tyre. Partnerët payroll shohin vetëm të dhëna të rëndësishme për payroll. Bëje të nënshkruhet nga HR dhe legal, pastaj zbatoje si role në sistem.

5. Stërvit Reagimin ndaj Breach-it

Një shkelje e të dhënave personale është çdo gjë që ekspozon të dhëna personale: një email te marrësi i gabuar, një akses i keqkonfiguruar, një pajisje e humbur, një llogari e hakuar. Shkruaj një plan reagimi një-faqësh: kush vendos nëse është për t'u raportuar, kush njofton autoritetin mbikëqyrës (brenda 72 orësh), kush njofton punonjësit e prekur, kush dokumenton post-mortem-in. Ec nëpër një skenar çdo tremujor që ekipi të ketë muscle memory.

Gabime që Duhen Shmangur

1. Të trajtosh GDPR-në si ushtrim me letër. Regjistri dhe politika kanë rëndësi, por janë të padobishëm nëse sistemi nuk zbaton rregullat. Zbatimi, jo dokumentimi, është storja e përputhshmërisë.
2. Të ruash të dhëna "vetëm për çdo rast". Çdo regjistrim që mban përtej retention-it është detyrim pa përfitim.
3. Të kapërcesh nivelin e log-eve të aksesit. Kur autoriteti mbikëqyrës pyet "kush e ka aksesuar këtë regjistrim në 12 muajt e fundit", "nuk e gjurmojmë" është përgjigjja më e keqe e mundshme.
4. Të harrosh processor-ët. Provider-ët e payroll-it, broker-ët e benefiteve dhe ofruesit e background check-ut të gjithë përpunojnë të dhëna personale HR. Secilit i duhet një DPA dhe një zë në regjistër.
5. Të trajtosh të dhënat e kategorisë së veçantë si gjithçka tjetër. Çertifikatat mjekësore, anëtarësia sindikale dhe (në disa juridiksione) historiku i pagave aktivizojnë rregulla më të rrepta. U duhet niveli i tyre i aksesit.

Lista e Kontrollit GDPR për Dokumentet HR

• Regjistri i përpunimit liston çdo kategori dokumenti HR me bazën, retention-in, aksesin, processor-ët
• Rregullat e retention-it për kategori të konfiguruara në sistem dhe ekzekutohen automatikisht
• Aksesi i bazuar në role përputhet me një matricë të shkruar aksesi
• Veprimet e leximit, shkrimit, ndarjes dhe fshirjes logohen për 12+ muaj
• Workflow-i DSAR është i dokumentuar dhe i testuar, me ndjekje SLA 30-ditore
• Plani i reagimit për breach ekziston dhe ekipi e ka stërvitur
• DPA-të janë në fuqi me çdo processor që prek të dhëna personale HR

Pyetjet që Bëjnë Vërtet Auditorët

Kur një autoritet mbikëqyrës ose auditor i jashtëm rishikon përputhshmërinë dokumentare HR, pyetjet zakonisht janë specifike:

• "Më trego regjistrin tënd të përpunimit për dokumentet HR."
• "Si i fshini regjistrimet kur skadon retention-i? Më trego një fshirje të loguar."
• "Tërhiq log-un e aksesit në regjistrimin mjekësor të këtij punonjësi për 12 muajt e fundit."
• "Më shpjego si trajtoni një DSAR. Mate kohën."
• "Listo processor-ët dhe më trego DPA-në për secilin."
• "Kur e keni stërvitur për herë të fundit një reagim breach-i?"

Nëse ke ndërtuar sistemin e përshkruar më sipër, këto pyetje përgjigjen shpejt. Nëse jo, kjo është pjesa e auditit që shkon keq.

Si e Mbështet Safepiens Përputhshmërinë GDPR për Dokumentet HR

Safepiens është projektuar që funksionet GDPR të jenë të integruara në vend që t'u ngjiten. Çdo kategori dokumenti ka një periudhë retention-i të konfigurueshme që sistemi e zbaton. Aksesi i bazuar në role hartëzon mbi matricën standarde HR nga default. Çdo veprim logohet për 12 muaj nga default. Përgjigjet DSAR mund të mblidhen nga profili i punonjësit në një workflow të vetëm. Për pamjen më të gjerë të auditit, playbook-u për përgatitjen e auditit me menaxhim dokumentesh HR tregon si duket në praktikë një audit-readiness i mirë, dhe menaxhimi i sigurt i skedarëve HR mbulon kontrollet e sigurisë që qëndrojnë nën GDPR.