RGPD در منابع انسانی: پردازش داده‌های کارمندان

مدیریت منابع انسانی هر روز حجم قابل‌توجهی از داده‌های شخصی تولید می‌کند: قراردادهای کار، فیش‌های حقوقی، داده‌های سلامتی، ارزیابی‌های عملکرد، اطلاعات حساب‌های بانکی... از زمان اجرای Regulation General on Personal Data Protection (RGPD) در ماه مه 2018، واحدهای مدیریت منابع انسانی به بازیگران اصلی انطباق قانونی در سازمان‌ها تبدیل شده‌اند. با این حال، بر اساس گزارش فعالیت 2024 CNIL، بخش منابع انسانی یکی از سه حوزه‌ای است که بیشتر در بررسی‌های نظارتی مورد اتهام قرار می‌گیرد. این مقاله شما را در میان تعهدات کلیدی، روش‌های بهترین عمل و ابزارهای دستیاب برای پردازش داده‌های کارمندان به‌طور کامل منطبق با قانون راهنمایی می‌کند.

کدام داده‌های شخصی توسط واحدهای منابع انسانی پردازش می‌شوند؟

دسته‌های داده معمول

سرویس‌های منابع انسانی طیف بسیار گسترده‌ای از داده‌های شخصی را دستکاری می‌کنند. دو خانواده بزرگ وجود دارد:

داده‌های عادی، جمع‌آوری‌شده در چارچوب قرارداد کار: نام، نام خانوادگی، آدرس، شماره تأمین‌اجتماعی، شماره حساب بانکی، رزومه، مدارک تحصیلی، سابقه شغلی، ارزیابی‌های سالانه، برنامه کاری، داده‌های حضور و غیبت.

داده‌های حساس، تحت محدودیت‌های تقویت‌شده برابر ماده 9 RGPD: داده‌های سلامتی (مرخصی‌های بیماری، اعلان‌های حادثه کاری، محدودیت‌های طبی)، داده‌های اتحادیه‌ای (عضویت در اتحادیه، نمایندگی‌های توکیل‌شده)، داده‌های مربوط به محکومیت‌های جنایی در زمینه‌های استخدامی خاص.

این داده‌ها تنها در زیر شرط استثنا آشکار پیش‌بینی‌شده توسط قانونمند می‌توانند پردازش شوند — مانند اجرای تعهدات قانونی در حقوق کار، یا رضایت صریح فرد مربوطه.

مورد خاص فرآیند استخدام

فاز استخدام پردازش‌های خاصی را تولید می‌کند، اغلب بدون نظارت مناسب. جمع‌آوری رزومه، نامه‌های انگیزشی و نتایج آزمون‌ها مدت‌های ذخیره‌سازی دقیقی را متضمن می‌کند: بر اساس توصیه‌های CNIL، داده‌های کاندیداهای عدم‌انتخاب‌شده باید در مدت حداکثر دو سال پس از آخرین تماس حذف یا ناشناخت شوند. نگاه داشتن رزومه‌ها برای مدت نامحدود در دایرکتوری مشترک غیرمحفوظ تخلف آشکار است.

استفاده از ابزارهای ردگیری در ATS (سیستم‌های ردیابی متقاضی) یا الگوریتم‌های تحلیل رفتاری باید اشاره صریح در خط‌مشی حریم خصوصی منتقل به متقاضیان داشته باشد، منطبق بر مواد 13 و 14 RGPD.

مبانی قانونی پردازش در زمینه منابع انسانی

شناسایی مبنای قانونی صحیح

RGPD الزامی می‌سازد که هر پردازش داده‌های شخصی بر یکی از شش مبنای قانونی تعریف‌شده در ماده 6 استوار باشد. در زمینه منابع انسانی، سه مبنا عمدتاً فعال هستند:

• اجرای قرارداد کار (ماده 6.1.b): پردازش داده‌های ضروری برای مدیریت حقوق، مرخصی یا آموزش را توجیه می‌کند.

• تعهد قانونی (ماده 6.1.c): برای اعلام‌نامه‌های اجتماعی الزام‌آور (DSN)، دفاتر پرسنل یا نظارت بر حادثه‌های کاری اعمال می‌شود.

• منفعت مشروع (ماده 6.1.f): می‌تواند برای پردازش‌هایی مانند مدیریت نشان‌های ورود یا نظارت با دوربین استحضار شود، تحت شرط آزمون موازنه دقیق.

رضایت (ماده 6.1.a) به‌جای آن مبنای قانونی شکننده‌ای است در زمینه کار: CNIL و کمیته اروپایی حفاظت از داده‌ها (EDPB) یادآوری می‌کنند که عدم‌تعادل ساختاری بین کارفرما و کارمند اثبات رضایت آزاد را دشوار می‌سازد. تنها در آخرین چاره باید استفاده شود.

ثبت پردازش، تعهد اجتناب‌ناپذیر

هر سازمانی که حداقل 250 نفر استخدام می‌کند — یا داده‌های حساس را در مقیاس کوچک‌تر پردازش می‌کند — باید ثبتی از فعالیت‌های پردازش را نگاه داشته باشد (ماده 30 RGPD). در منابع انسانی، این ثبت برای هر پردازش باید مستند کند: مقصد، دسته‌های داده، گیرندگان، مدت‌های ذخیره‌سازی، و اقدامات امنیتی اجرا‌شده.

این سند، نگاه داشته‌شده برای دسترسی CNIL در مورد کنترل، همچنین ابزار ناوبری ارزشمند است. ترکیب‌شده با راه‌حل امضای الکترونیکی اختصاص‌یافته برای منابع انسانی، امکان ردیابی و زمان‌بندی هر مرحله از چرخه حیات سند منابع انسانی را فراهم می‌کند، بنابراین قابل‌بررسی‌پذیری فرآیندها را تقویت می‌کند.

حقوق کارمندان و تعهدات کارفرما

اطلاع‌رسانی به کارمندان: تعهد فوری

ماده 13 RGPD الزامی می‌سازد اطلاع افراد مربوطه در زمان جمع‌آوری داده‌های آن‌ها. در عمل، واحدهای منابع انسانی باید برای کارمندان — ترجیحاً در زمان امضای قرارداد کار — اطلاع‌نامه اطلاع RGPD فراهم کنند که شامل: شناسایی مسئول پردازش، مقاصد و مبانی قانونی، مدت ذخیره‌سازی، حقوق دستیاب و تماس‌های نماینده حفاظت از داده‌ها اگر شرکت چنین نمایندگی داشته باشد.

دیجیتال‌سازی و ایمن‌سازی این تبادل ضروری است. استفاده از امضای الکترونیکی در سازمان برای تحویل این اطلاع‌نامه اثبات تحویل زمان‌بندی‌شده و بحث‌ناپذیری را تضمین می‌کند، منطبق بر الزامات قانون eIDAS.

حقوق کارمندان که باید رعایت شوند

کارمندان حقوق گسترده بر روی داده‌های خود دارند:

• حق دسترسی (ماده 15): هر کارمند می‌تواند کپی تمام داده‌های خود پردازش‌شده توسط کارفرما را درخواست کند.

• حق اصلاح (ماده 16): تصحیح داده نادرست (مثال: آدرس پستی، شماره حساب بانکی).

• حق حذف (ماده 17): قابل‌اجرا در موارد خاصی، به‌خصوص پس از پایان قرارداد و گذر مدت‌های ذخیره قانونی.

• حق مخالفت (ماده 21): کارمند می‌تواند به پردازشی بر اساس منفعت مشروع مخالفت کند.

• حق محدود‌سازی (ماده 18): متوقف‌سازی موقتی پردازش مورد اختلاف.

کارفرما یک ماه برای پاسخ به هر درخواست اعمال حقوق دارد، قابل‌تمدید به سه ماه در مورد پیچیدگی (ماده 12 RGPD).

امنیت داده‌های منابع انسانی و مدیریت تحت‌قراردادکنندگان

اقدامات فنی و سازمانی

ماده 32 RGPD اجرای اقدامات امنیتی "متناسب با خطر" را اجباری می‌سازد. برای داده‌های منابع انسانی، روش‌های بهترین عمل شامل:

• رمزگذاری فایل‌های حاوی داده‌های حساس (فیش‌های حقوقی، پرونده‌های پزشکی).

• کنترل دسترسی: اصل کمترین توانایی — مدیر حقوق‌الزحمه دسترسی به داده‌های انضباطی ندارد.

• ثبت‌سازی دسترسی‌ها به سیستم‌های منابع انسانی (SIRH، ابزارهای حقوق‌الزحمه).

• طرح پاسخ به نقض: در مورد نشت داده‌ها، کارفرما 72 ساعت برای اطلاع CNIL دارد (ماده 33)، و احتمالاً اشخاص مربوطه اگر خطر بالا باشد (ماده 34).

بررسی کامل از طریق راهنمای امضای الکترونیکی می‌تواند به تیم‌های منابع انسانی کمک کند تا پردازش‌های غیرمحفوظ مانند در حال حاضر بر روی کاغذ را شناسایی کنند و آن‌ها را به‌طور مطابق دیجیتال‌سازی کنند.

تنظیم تحت‌قراردادکنندگان منابع انسانی از طریق DPA

سرویس‌های منابع انسانی به بسیاری از تحت‌قراردادکنندگان متوسل می‌شوند: نرم‌افزارهای حقوق‌الزحمه، پلت‌فرم‌های آموزش، ابزارهای مدیریت زمان. هر تحت‌قراردادکنندگی که به داده‌های شخصی دسترسی دارد باید موضوع توافق پردازش داده‌ها (DPA) باشد، منطبق بر ماده 28 RGPD. این قرارداد باید دستور‌العمل‌های پردازش، تضمین‌های امنیتی، روش‌های بازگرداندن یا حذف داده‌ها، و تعهدات در مورد نقض را مشخص کند.

انتخاب تحت‌قراردادکنندگانی که زیرساخت‌های خود را در اتحادیه اروپایی میزبانی می‌کنند، یا توسط بندهای قراردادی استاندارد (CCT) تصویب‌شده توسط کمیسیون تنظیم شده‌اند، الزام بنیادی باقی می‌ماند تا انتقال غیرقانونی بیرون EU را جلوگیری کند.

مدت‌های ذخیره‌سازی: مسأله‌ای ساختاری

مدت‌های قانونی قابل‌اجرا برای پرونده کارمند

مدت ذخیره‌سازی داده‌های منابع انسانی توسط انباشتی از متون تنظیم می‌شود: RGPD (اصل محدود‌سازی ذخیره‌سازی، ماده 5.1.e)، کد کار، و تنظیمات مختلف مالیاتی و اجتماعی. در عمل، مهم‌ترین مهل‌های رعایت عبارتند از:

اجرای خط‌مشی بایگانی و پاکسازی خودکار در SIRH، ترکیب‌شده با جریان‌های کاری امضای الکترونیکی که زمان ایجاد اسناد را ثبت می‌کنند، امروز بهترین عمل برای نشان‌دادن انطباق با CNIL است.

تله‌های اجتناب‌پذیر

خطاهای رایج مشاهده‌شده در کنترل‌های CNIL در خصوص داده‌های منابع انسانی عبارتند از: ذخیره نامحدود رزومه‌های کاندیداهای عدم‌انتخاب‌شده، حفظ دسترسی‌های رایانه‌ای کارمندان سابق، عدم رمزگذاری فایل‌های حقوق‌الزحمه صادرشده، و عدم حذف داده‌های ورود تجاوزی فراتر از مهل‌های تنظیمی. برای ایمن‌کردن این نکات، مشورت مقایسه راه‌حل‌های امضای الکترونیکی امکان شناسایی ابزارهای ادغام‌شده بومی با عملکرد بایگانی قابل‌اثبات و مدیریت چرخه حیات اسناد را فراهم می‌کند.

چارچوب قانونی قابل‌اجرا برای پردازش داده‌های منابع انسانی

پردازش داده‌های شخصی کارمندان در چارچوب تنظیمی متراکم، متحد‌کننده چندین سطح تنظیم، قرار می‌گیرد.

Regulation (EU) 2016/679 — RGPD سنگ بنای اصلی است. مواد 5 تا 11 آن اصول بنیادی را تعریف می‌کند (قانونی‌بودن، وفاداری، شفافیت، محدود‌سازی مقصد، کاهش داده، دقت، محدود‌سازی ذخیره‌سازی، یکپارچگی و محرمانگی). ماده 9 شرایط سختی را برای دسته‌های خاصی از داده‌ها، از جمله داده‌های سلامتی و اتحادیه‌ای، به‌خصوص در منابع انسانی رایج، تعیین می‌کند. ماده 83 جریمه‌هایی را از 20 میلیون یورو یا 4% گردش درآمد جهانی در مورد نقض جدی فراهم می‌کند.

قانون اطلاعات و آزادی‌ها تعدیل‌شده (قانون n° 78-17 مورخ 6 ژانویه 1978)، در نسخه تجمیع‌شده، RGPD را با حقوق فرانسه سازگار می‌کند. CNIL را با قدرت کنترل و تنبیه برخوردار می‌کند، و به‌خصوص استثناهای بخشی برای داده‌های سلامتی در پزشکی کار را فراهم می‌کند.

کد کار پردازش‌های مرتبط با نظارت بر کارمندان (ماده L. 1121-1 بر احترام به زندگی خصوصی)، مشورت نمایندگان پرسنل بر روی ابزارهای رقمی (ماده L. 2312-38)، و دفاتر الزام‌آور را تنظیم می‌کند.

Regulation eIDAS (شماره 910/2014)، تکمیل‌شده توسط eIDAS 2.0 (Regulation EU 2024/1183), ارزش قانونی امضاهای الکترونیکی اعمال‌شده بر روی اسناد منابع انسانی را تنظیم می‌کند. امضای الکترونیکی شامل (SEQ)، منطبق با ضمیمه I eIDAS و استانداردهای ETSI EN 319 132 و ETSI EN 319 122، فرض برابری با امضای دست‌نویس به‌معنی ماده 1367 کد مدنی فرانسه را فراهم می‌کند.

ماده 1366 کد مدنی تأسیس می‌کند که « اسناد الکترونیکی اعتبار یکسانی با اسناد بر روی کاغذ دارند، تحت شرط آن‌که شخصی که از آن سرچشمه می‌گیرد را بتوان درستی شناسایی کرد و آن را در شرایطی ایجاد و محفوظ کند که تمامیت آن را تضمین کند ». این حکم مستقیماً برای قراردادهای کار، تعدیل‌نامه، توافق‌های محرمانگی و سایر اسناد منابع انسانی دیجیتال‌سازی‌شده قابل‌اجرا است.

Directive NIS2 (EU 2022/2555)، تحت‌گذاری‌شده در حقوق فرانسه توسط قانون 26 فوریه 2025، بر موجودات ضروری و مهم (به‌خصوص شرکت‌های صنعتی بزرگ و اپراتورهای خدمات رقمی) الزامات تقویت‌شده در مورد مدیریت ریسک‌های مرتبط با امنیت اطلاعات، شامل حفاظت از داده‌های حساس منابع انسانی را تحمیل می‌کند.

جریمه‌های صادرشده توسط CNIL در افزایش شدید است: در 2024، مجموع جریمه‌ها از 100 میلیون یورو تجاوز می‌کند، با چندین تصمیم مستقیماً شامل تخلفات در مدیریت داده‌های کارمندان. عدم رعایت مدت ذخیره‌سازی، عدم DPA با تحت‌قراردادکنندگان منابع انسانی، و ناکافی‌بودن اقدامات امنیتی در میان گرفتاری‌های بیشتر مورد احتمال است.

سناریوهای کاربرد تصویری: انطباق با GDPR در منابع انسانی

سناریو 1 — شرکت صنعتی متوسط‌بزرگ با 450 کارمند فرآیندهای آغاز کار را دیجیتال‌سازی می‌کند

این سناریوها جنبه تصویری دارند: آن‌ها موقعیت‌های نمونه را توصیف می‌کنند و هیچ نتیجه اندازه‌گیری‌شده‌ای نزد یک مشتری را گزارش نمی‌دهند. یک شرکت صنعتی با اندازه متوسط که در سه سایت در فرانسه فعالیت می‌کند، قراردادهای کار و الحاقیه‌های خود را به‌صورت کاغذی مدیریت می‌کند. پرونده‌های کارکنان جدید تنها پس از تأخیری گاه طولانی به بخش حقوق و دستمزد ارسال می‌شوند که این امر باعث بروز خطا در پرداخت حقوق می‌شود. از سوی دیگر، هیچ اطلاعیه GDPR به‌صورت رسمی به کارکنان جدید تحویل داده نمی‌شود: این اطلاعات تنها در پایین آیین‌نامه داخلی درج شده و به‌طور جداگانه امضا نمی‌شود.

با استفاده از یک راهکار امضای الکترونیکی یکپارچه با سیستم اطلاعات منابع انسانی (SIRH) و ارائه هم‌زمان یک اطلاعیه GDPR که توسط کارمند و مدیر منابع انسانی به‌طور مشترک امضا می‌شود، شرکت می‌تواند زمان فرآیند پذیرش اسنادی را کوتاه‌تر کند. خطاهای پرداخت حقوق ناشی از داده‌های ناقص می‌توانند کاهش یابند. هر سند امضاشده همراه با مهر زمان معتبر بایگانی می‌شود و در صورت بازرسی CNIL یا دعوای کارگری، مدرکی قابل استناد فراهم می‌کند. میزان این بهبود باید در محدوده واقعی شرکت و پیش و پس از یک آزمایش پایلوت سنجیده شود.

سناریو 2 — گروهی با توزیع 1200 کارمند خط‌مشی ذخیره‌سازی خود را منطبق می‌سازد

یک گروه فعال در حوزه توزیع تخصصی ممکن است به دنبال شکایت یک کارمند سابق، مورد بازرسی CNIL قرار گیرد. این بازرسی می‌تواند نشان دهد که فایل‌های اکسل حاوی داده‌های حقوق و دستمزد کارکنانی که بیش از ۸ سال پیش شرکت را ترک کرده‌اند، همچنان روی یک سرور مشترک ناامن و بدون رمزگذاری در دسترس هستند. در این صورت ممکن است یک اخطار رسمی صادر شود، همراه با الزام به رعایت ضوابط در مهلتی تعیین‌شده.

در این حالت، گروه یک ممیزی کامل از فرآیندهای منابع انسانی خود انجام می‌دهد، فعالیت‌های پردازش داده را نقشه‌برداری می‌کند و یک طرح پاک‌سازی خودکار را که توسط SIRH فعال می‌شود، به اجرا می‌گذارد. اسناد امضاشده الکترونیکی به یک گاوصندوق دیجیتال منتقل می‌شوند که مدت‌های نگهداری آن‌ها مطابق با الزامات قانونی تنظیم شده است. مسئول حفاظت از داده‌ها (DPO) یک دفتر ثبت کامل از فرآیندهای پردازش منابع انسانی تهیه می‌کند که می‌تواند در بازرسی بعدی CNIL ارائه شود. هزینه انطباق باید با مبلغ جریمه احتمالی مقایسه شود.

سناریو