RGPD HR-s: Töötajate andmete töötlemine

Inimressursside juhtimine genereerib igapäevaselt märkimisväärse hulga isikuandmeid: töölepingud, palgalehed, tervisandmed, jõudluse hindamised, pangaandmed… Alates üldise andmekaitseregulatsiooni (RGPD) jõustamisest 2018. aasta mais on HR-osakondadest saanud organisatsioonide sisesed vaatluseesmärgid. Siiski näitab CNIL 2024. aasta tegevusaruanne, et inimressurside sektor on jäätkuvalt üks kolmest kõige sagedamini kontrollitavast valdkonnast. See artikkel juhendab teid põhiliste kohustuste, parimate praktikate ja kättesaadavate tööriistade kaudu oma töötajate andmete seaduspärase töötlemise teostamiseks.

Milliseid isikuandmeid HR töötleb?

Levinud andmekategooriad

HR-teenused manipuleerivad väga laias ulatuses isikuandmetega. Eristatakse kahte peaperet:

Tavalised andmed, mis kogutakse töösuhte raames: nimi, perekonnanimi, aadress, sotsiaalturvakood, pangaandmed, CV, diploomid, erialane ajalugu, aastahinnangu andmed, töötunnid, kohalolemise ja puudumiste andmed.

Tundlikud andmed, millele kehtivad RGPD artikli 9 alusel tugevdatud piirangud: tervisandmed (haiguslehad, tööõnnetuste teatised, meditsiinilised piirangud), ametiühinguga seotud andmed (ametiühingusse kuulumine, esindusmankaadid), andmed karistuste kohta teatavates värbamiskontekstides.

Viimasi võib töödelda ainult reglemendis ettenähtud otsese erandiga, näiteks töötuskohustuste täitmine tööõiguses või isiku otsene nõusolek.

Värbamise erijuhtum

Värbamise etapp loob spetsiifilisi töötlemisi, mis on sageli halvasti reguleeritud. CV-de, motivatsioonikirjade ja testitulemuste kogumine hõlmab täpseid konserveerimistavasid: CNIL soovituste kohaselt tuleb mittevalitud kandidaatide andmed kustutada või anonüümistada maksimaalselt kahe aasta jooksul pärast viimast kontakti. CV-de määramatu säilitamine turvamata jagatud kataloogis moodustab selge rikkumise.

ATS-ides (Applicant Tracking Systems) jälgimisvahendite kasutamine või käitumisanalüüsi algoritmid peavad olema selgesõnaliselt mainitud privaatsuspoliitikale, mis edastatakse kandidaatidele, vastavalt RGPD artiklitele 13 ja 14.

Töötlemise õiguslikud alused HR-kontekstis

Õige õigusliku aluse tuvastamine

RGPD nõuab, et igasugune isikuandmete töötlemine peituks ühel kuuest artiklis 6 määratletud õiguslikust alusest. HR-kontekstis kasutatakse peamiselt kolme alust:

• Töösuhte täitmine (art. 6.1.b): põhjendab andmete töötlemist, mis on vajalikud palga, puhkuste või koolituse haldamiseks.

• Seaduslik kohustus (art. 6.1.c): kehtib kohustuslike sotsiaalsete teatiste (DSN), personaliregistrite või tööõnnetuste jälgimisele.

• Õigustatud huvi (art. 6.1.f): võib olla kasutatud juurdepääsukaartide halduse või videovalvekaamera jälgimise töötlusele, tingimusel et läbiviidakse range tasakaalustusmenetlus.

Nõusolek (art. 6.1.a) on aga töötamiskontekstis fragiile õigusliku alus: CNIL ja Euroopa andmekaitse komitee (EDPB) rõhutavad, et tööandja ja töötaja vaheline struktuurne tasakaalustus teeb vabatahtliku nõusoleku tõendamise raskeks. Seda tuleks kasutada ainult viimase võimalusena.

Töötlemistoimingute register, hädavajalik kohustus

Iga organisatsioon, mis kolis vähemalt 250 inimesele – või töötleb tundlikke andmeid väiksema ulatuse korral – peab pidama töötlemistoimingute registrit (RGPD art. 30). HR-s peab see register dokumenteerima igat töötlemistoimingut: eesmärgi, andmekategooriad, adressaadid, konserveerimisajad ja rakendatud turvameetmed.

See dokument, mida tuleb CNIL kontrolli korral esitada, on ka väärtusliku juhtimistöö vahend. Kombineerituna HR-le spetsialiseeritud elektrooniliste allkirjade lahendusega, võimaldab see jälgida ja ajatemplitada HR-dokumendi elutsükli iga etappi, tugevdades seega protsesside auditeeritavust.

Töötajate õigused ja tööandja kohustused

Töötajate teavitamine: kohene kohustus

RGPD artikkel 13 nõuab isikute teavitamist nende andmete kogumise ajal. Praktiliselt peavad HR-teenused töötajatele esitama – ideaalselt töösuhte allkirjastamise ajal – RGPD teadaande, milles on kirjeldatud: vastutava töötleja identiteet, töötlemise eesmärgid ja õiguslikud alused, konserveerimise aeg, saadaolevad õigused ja andmekaitse juhi (DPO) kontaktandmed, kui ettevõttel see on.

Selle vahetuse digitaliseerimine ja turvamine on oluline. Selle teadaande esitamiseks ettevõtete elektrooniliste allkirjade kasutamine tagab ajatemplitatud ja vaidlustavatu tõenduse, mis on kooskõlas eIDAS-määruse nõuetega.

Töötajate õigused, mida tuleb rangelt järgida

Töötajatel on oma andmete kohta laialdasid õigusi:

• Juurdepääsuõigus (art. 15): iga töötaja võib taotleda koopiat kõigist andmetest, mida tema kohta tööandja töötleb.

• Parandamise õigus (art. 16): täpsuse korrigeerimise (nt postiaadress, pangaandmed).

• Kustutamise õigus (art. 17): rakendatav teatud juhtudel, eriti pärast töösuhte lõppu ja seadusliku konserveerimise tähtaegade möödumist.

• Vastuväite õigus (art. 21): töötaja võib vastuväideta töötlemisele, mis on põhjendatud õigustatud huvist.

• Piiramise õigus (art. 18): vaidlustatud töötlemise ajutine külmutamine.

Tööandja peab vastama igas õigusteostamise taotluses kuu jooksul, keerukate juhtudel pikendades kolme kuuni (RGPD art. 12).

HR-andmete turvalisus ja alltöövõtjate juhtimine

Tehnis ja organisatsiooniline meetmed

RGPD artikkel 32 nõuab "riskile sobivate" turvameetmete rakendamist. HR-andmete jaoks hõlmavad head tavad:

• Krüptimine failide, mis sisaldavad tundlikke andmeid (palgalehed, meditsiinilised dosseeid).

• Juurdepääsu kontroll: minimaalsete õiguste põhimõte — palgajuht ei pääse distsiplinaarandmetele juurde.

• Süsteemide juurdepääsu logimine HR-süsteemidele (SIRH, palgatöötluse vahendid).

• Vastuplaneeritud vastusplaan: andmete lekke puhul peab tööandja teavitama CNIL-i 72 tunni jooksul (art. 33) ja potentsiaalselt asjaomasi isikuid, kui risk on kõrge (art. 34).

Elektrooniliste allkirjade juhendi kaudu täielik audit võib aidata HR-meeskondadel tuvastada ebaturvaliseid töötlemisi, mis püsivad paberil ja neid digitaalselt vastavalt nõuetele muuta.

Prestaatorite regulatsioon DPA-de kaudu

HR-teenused kasutavad paljusid alltöövõtjaid: palgatöötluse tarkvara, koolituse platvormid, ajaplaneerimise vahendid. Igal prestaatoril, kes pääseb isikuandmetele, peab olema andmetöötlemise leping (Data Processing Agreement — DPA), vastavalt RGPD artiklis 28. See leping peab täpsustama töötlemise juhiseid, turvalisuse garantiile, andmete tagastamise või hävitamise tingimusi ja kohustusi rikkumise korral.

Prestaatorite valimine, kelle infrastruktuur asub Euroopa Liidus või mida reguleerivad Komisjoni heakskiidetud standardklaused (CCT), jäätkub olulisteks nõudmisteks, et vältida igasugust seadusetu ülekannet väljaspool ELi.

Konserveerimise perioodid: struktuurne väljakutse

Töötaja dosseele kohaldatavad seaduslikud perioodid

HR-andmete konserveerimisperiood on reguleeritud mitme tekstide kihiga: RGPD (konserveerimise piiramise põhimõte, art. 5.1.e), tööseadus ja erinevad maksustamis- ja sotsiaalsed määrused. Praktiliselt on peamised tähtajad:

| Dokumendi tüüp | Minimaalne konserveerimisperiood | |---|---| | Palgaleht | 5 aastat (sotsiaalne aegumistähtaeg) | | Tööleping | 5 aastat pärast töösuhte lõppu | | Palgatöötlemise andmed (DSN) | 3 aastat (URSSAF kontroll) | | Personali register | 5 aastat pärast töötaja lahkumist | | Distsiplinavad andmed | Meetme suhtes proportsionaalne periood | | Meditsiiniline dossiee (töötervishoiu) | 50 aastat (erinormid) |

Automatiseeritud arhiiveerimise ja kustutamise poliitika rakendamine SIRH-s, kombineerituna elektrooniliste allkirjade töövooga, mis ajatemplitab dokumentide loomist, moodustab tänapäeval parima praktika, et tõendada CNIL-ile vastavust.

Vältimiseks olevad lõksud

Kõige tavalisemad vead, mida CNIL-i kontrolls HR-andmetes täheldatakse: mittevalitud kandidaatide CV-de määramatu säilimine, endiste töötajate juurdepääsuõiguste säilimine, palgafailide krüpteerimise puudumine eksportimise ajal ja badgedata andmete kustutamata jätmine seaduslike tähtaegade ületamisel. Nende punktide turvamiseks aitab elektrooniliste allkirjade lahenduste võrdlus tuvastada tööriistade, mis integreerivad natiivset archiiveeriavust ja dokumentide elutsükli haldust.

Töötajate andmete töötlemisele kohaldatav õiguslik raamistik

Töötajate isikuandmete töötlemine asub tiheda normatiivraamistiku sees, mis kombineerib regulatsiooni mitut taset.

Määrus (EL) 2016/679 — RGPD moodustab nurgakivi. Tema artiklid 5–11 määratlevad põhipõhimõtted (seaduslik alus, ausus, läbipaistvus, eesmärgi piiramise, andmete minimiseerimine, täpsus, konserveerimise piiramise, terviklus ja konfidentsiaalsus). Artikkel 9 sätestab ranged tingimused erilisel andmekategooriale, sealhulgas tervisandmed ja ametiühinguandmed, mis on HR-s eriti sagedased. Artikkel 83 näeb ette rahasanktsioonid kuni 20 miljoni euro või 4% maailma käibest raskete rikkumiste korral.

Muutunud Informatika ja vabaduste seadus (seadus nr 78-17 6. jaanuarist 1978), tema konsolideeritud kujul, kohandab RGPD Prantsusmaa õigusega. See annab CNIL-ile kontrolli- ja sanktsiooniotsuste jõu ja näeb ette eriti meditsiinilisel tööl andmete erandeid.

Tööseadus reguleerib töötajate järelevalveega seotud töötlemisi (art. L. 1121-1 privaatsuse austamisel), töötajate esindajatega konsulteerimise digitaalvahendite kohta (art. L. 2312-38) ja kohustuslike registrite kohta.

eIDAS määrus (nr 910/2014), täiendatud eIDAS 2.0 (määrus EL 2024/1183), reguleerib elektronallkirjade õiguslikku väärtust HR-dokumentidele. Kvalifitseeritud elektrooniline allkiri (SEQ), mis vastab eIDAS lisale I ja standarditele ETSI EN 319 132 ja ETSI EN 319 122, pakub vastuolut-tegemise eelduse kirjaliku allkirjaga Prantsusmaa tsiviilseaduse artiklis 1367.

Tsiviilseaduse artikkel 1366 sisaldab, et "elektrooniline dokument omab sama tõenduslikku jõudu kui paberil dokument, tingimusel et saab korralikult tuvastada isiku, kellelt see pärineb, ja see on koostatud ja hoitud tingimustes, mis tagavad selle terviklikkuse". See säte on otsekohaselt kohaldatav töölepingutele, lisandustele, konfidentsiaalsuse lepingutele ja muudele dematerialiseeritud HR-dokumentidele.

Direktiiv NIS2 (EL 2022/2555), mille Prantsusmaa on transponeerinud seadusega 26. veebruarist 2025, kehtestab ülivajalikele ja olulistele üksustele (eelkõige suuredele tööstusettevõtetele ja digitaalsete teenuste operaatoritele) tugevdatud nõuete teabeturbe riskiriskidele, kaasaarvatud tundlike HR-andmete kaitse.

CNIL-i määrused on järsult kasvanud: 2024. aastal ületab rahasanktsioonide kogusumma 100 miljonit eurot, mitme otsusega otsekohaselt HR-andmete haldamise rikkumiste kohta. Konserveerimisperioodide mittenõuetekohane, DPA puudumise HR-prestaatorite ja turvameetmete ebapiisavuse hulgas on kõige sagedamini peetavad süüdistused.

Kasutamise stsenaariumid: RGPD vastavus HR praktika kasutamisel

Stsenaarium 1 — 450-liikmelise ETI tööstuse kroni digitaliseerimine

Prantsusmaal kolmele saidile jaotatud ettevõtete grupp haldasid tööleping ja lisanduse paberil. Uute töötajate dosseeid ei saadetud palgatöötluse osakonnale kuni keskmiselt 12 tööpäeva pärast, mis tekitas umbes 8% palkade arvutamise vigades. Pealegi ei esitatud RGPD teadaannet vormis uutele töötajatele: teave oli ainult tööjärjekorras, mida ei allkirjastatud eraldi.

Pärast lahenduse juurutamist, mis integreerub elektrooniliste allkirjade kaudu SIRH-ga, ja RGPD teadaande simultaanni esitamist, mis olid allkirjastatud töötaja ja DRH poolt, vähendas ettevõte dokumentaarse onboardingu tähtaegu 2 tööpäevani (vähenemine 83%). Puuduvate andmetega seotud palga arvutamise vead langesid alla 1%. Iga allkirjastatud dokument arhiiveeritakse kvalifitseeritud ajatempliga, mille eest saab esitada vaidlustava tõendi CNIL kontrolli või töötöösuhte poolate protsessil.

Stsenaarium 2 — 1 200 töötajatega distributsioonigrupp konserveerimise poliitika normaalsele tasale viimine

Jaotusega tegelev grupp kutsuti üles CNIL kontrolli. Kontroll paljastas, et palgatöötlemise andmed sisaldavate Excel-failid, mis kuuluvad töötajatele, kes lahkusid rohkem kui 8 aastat tagasi, olid ikka jätkuvalt turvata jagatud serveris krüptimiseta. Formaalne hoiatus andis ja pane kolme kuuga normaalsele tasale.

Grupp viis läbi täieliku HR-andmete auditi, kartograafia 23 töötlemistoimingut ja rakendas automatiseeritud puhastusplaani, mida käivitab SIRH. Digitaalselt allkirjastatud dokumendid migreeriti digitaalsele seifidele koos seadusega määratud konserveerimistavastel, mis on seadistatud. DPO koostas täielik HR-andmete registri, mida esitati teistkordsele CNIL kontrolli 18 kuud hiljem, mis lõppes ilma tagajärgedeta. Konformeerimise kulude hinnatakse alla 60% protsendist võimalikule rahasanktsioonile.

Stsenaarium 3 — 35-liikmelise HR konsultatsioonitüki kohta andmete turvalisus

Spetsialiseeritud HR-kabinet haldasab oma konsultantide andmeid ja kandidaatide ning töötajate andmeid oma kliente (hindamise või väljastumise ülesannetele). Seega leidub ta kaksikpositsioonis: vastutuv töötleja otsese HR jaoks ja alltöövõtja (või kaasvastutuv) kolmandate osapoolte andmete jaoks.

Kabinet on rakendanud diferentseeritud dokumentaaride arhitektuuri: lihtsad elektroonilised allkirjad tavapäraste siseseks vahetuseks, täiendavad allkirjad kliendiülesannetega lepingutele ja andmetöötlemisele lepingud (DPA), mis on süstemaatiliselt integreeritud ülesannekirudele. Kõik konsultandid on saanud uuendatud RGPD harta, mis on allkirjastatud ja hoitud eraldiseisvas registris. See korraldus võimaldas kabinetil kutsuda ennast ettevõtetele turvapoliitikaga, mis on vastuhakkaiv rangete hankija auditite vastu, vähendades lepingu keskmist ajavõtmist 7-st 2 nädalale.

Kokkuvõte

RGPD nõuab HR-juhtkonna praktikal tulemuslikke muutusi: õiguslike aluside jäikades tuvastamises, töötajate tegelikul teavitamises, õiguste juhtimisel, alltöövõtjate lepingulises regulatsioonis, andmete turvamisel ja konserveerimisajastel järgimisel. Need kohustused pole lihtsalt administratiivne formalismi — nad määravad ettevõtte võimekuse vältida sanktsioonide riskil, mis võivad ulatuda mitme miljoni euroni, ja säilitada oma meeskonna usaldus.

HR-protsesside digitaliseerimine eIDAS-vastavate elektrooniliste allkirja lahenduste kaudu kujutab üht tõhusamaid kangeid tegevuse tõhususe ja normatiivsete nõuete ühildamiseks. Certyneo abistab HR-meeskondi selles üleminekus töösuhte allkirjastamisest töötajate dosside turvalisele arhiiveerimisele.

Avastage, kuidas Certyneo turvata teie HR-protsesse, vaadates meie HR-meeskondade eripakkumist või alustades tasuta, et testida lahendust ilma kohustuseta.