RGPD f'ir-Risorsi Umani: Ittrattar tad-Dejta tal-Impjegati

Ir-Regolament Ġenerali dwar il-Protezzjoni tad-Dejta (RGPD) mhuwiex applikabbli biss għar-relazzjonijiet kummerċjali bejn impresa u l-klijenti tagħha: huwa jirregola wkoll, bi mod preċiż ħafna, l-ittrattar tad-dejta personali tal-impjegati. It-Tiġdid tal-Persunal, l-ġestjoni tas-soldi, il-kontroll tal-aċċess, l-evalwazzjoni tal-performanza, il-videusorveġanza… kull stadju taċ-ċiklu ta' ħajja tal-kuntratt ta' ħidma jipproduċi dejta personali li l-imprenditor irid jittratta bil-qbil strett mal-liġi Ewropea. B'ammendi li jistgħu jilħqu 20 miljun euro jew 4% tal-fattwrat mundani annwali, l-iskoppa hija konsiderevoli. Dan l-artikolu jiddettanja l-bażi legali applikabbli, l-obbligazzjonijiet prattiċi tal-servizzi ta' risorsi umani u l-aħjar prattiki sabiex tassikura l-ittrattar tiegħek — inklużi alwakt tad-digitizzazzjoni tal-dokumenti ta' risorsi umani.

Il-Fondamenti Ġuridiċi tal-Ittrattar tad-Dejta ta' Risorsi Umani

Il-Bażi Legali Rikonoxxuta fid-Drittju tal-Ħidma

Ir-RGPD jelenca sitt bażi legali li jippermettu l-ittrattar ta' dejta personali (artikolu 6). F'kuntest ta' risorsi umani, tlieta minn dawk jintużaw kważi regolarment:

• L-Implimentazzjoni tal-Kuntratt ta' Ħidma (art. 6.1.b): tikkostitwixxi l-bażi prinċipali għall-ġestjoni tas-soldi, it-trakking tal-ħin ta' ħidma, ir-rimessa tal-fogli ta' pagament jew l-ġestjoni tal-ħlasijat.

• L-Obbligazzjoni Legali (art. 6.1.c): tiġġustifika l-ittrattar imposta mill-Kodiċi ta' Ħidma jew mill-leġislazzjoni soċjali, bħall-dikjarazzjoni minn qabel l-impjieg (DPAE), id-dikjarazzjoni soċjali nominata (DSN) jew il-ħefz tar-reġistru unik tal-persunal.

• L-Interess Leġittimu (art. 6.1.f): jista' jassodda ċerti ittrattar ta' sigurtà informatika jew prevenzjoni ta' frodi interna, suġġett għas-sospensjoni tal-interess dan minn drittijiet fundamentali tal-impjegati.

⚠️ Il-bażi tal-Kunsens trid tiġi ttrattata b'kawtela estrema f'kuntest ta' pagamenti. Ir-RGPD jiġi rrappellat regolarment li d-disekwilibru inerenti għar-relazzjoni imprenditor-impjegat jagħmel il-kunsens raramewt «liberu» fil-sens tal-artikolu 7 tar-RGPD. L-użu tal-kunsens għal ittrattar li jista' jkun qiegħed fuq bażi legali oħra jesponi l-imprenditor għal riskju ta' kwalifikazzjoni mill-ġdid.

Il-Kategoriji Speċjali ta' Dejta: Regim Imfaxxa

Ċerta dejta miġbura mir-Risorsi Umani taqa' taħt ir-regim tad-«dejta sensittiva» kuntrattat fl-artikolu 9 tar-RGPD, li l-ittrattar tagħha huwa prinċipalment ipprojbtu ħlief għall-eċċezzjonijiet:

• Dejta ta' Saħħa: Twaqqif minħabba mard, ineptitudini pronunċjati mill-mediċina tal-ħidma, adattamenti tal-post għal diżabilità.

• Dejta Sindikali: Appartenenza għal sindikatu, mandati rappreżentattivi.

• Dejta Bijometrika: Kontroll tal-aċċess permezz ta' impronta tal-appara jew rikonoxxenza ta' wiċċ.

• Dejta Relatata għal Overtures: Verifika tal-kaxxa ġudizzjarja, awtorizzat biss f'setturi rregolati (sigurtà, tfal, eċċ.).

Għal dawn il-kategoriji, l-imprenditor irid jidentifika eċċezzjoni espliċita (art. 9.2), iwettaq analiżi tal-impatt fuq il-protezzjoni tad-dejta (AIPD) fil-biċċa l-kbira tal-ħlaq, u spiss jikkonsulta r-RGPD qabel id-distribuzzjoni.

L-Obbligazzjonijiet Prattiċi tal-Servizzi ta' Risorsi Umani

Ir-Reġistru tal-Attivitajiet ta' Ittrattar

Kull organizzmu li jimpjega aktar minn 250 impjegati irid jimtina reġistru tal-attivitajiet ta' ittrattar (art. 30 tar-RGPD). Taħt dan il-limitu, l-obbligazzjoni tibqa' lura tul id-dixx fejn l-ittrattar mhuwiex każwali jew jittratta dejta sensittiva — li hija kważi dejjem il-każ f'ir-Risorsi Umani. Ir-reġistru dan irid jiddokumenta:

• Il-finalità ta' kull ittrattar (ex: « ġestjoni tal-fogli ta' pagament »)

• Il-kategoriji ta' dejta kkonċernati

• Il-benefiċjarji (partijiet terzi, sottokontraenti, awtoritajiet)

• Id-durati ta' ħefz

• Il-miżuri ta' sigurtà implimentati

Ir-RGPD tipprovdi mudell ta' reġistru li jista' jitniżżel b'ħlosna. Il-ħefz diligenti tiegħu jikkostitwixxi l-ewwel linja ta' difiza f'każ ta' kontroll.

Id-Durati ta' Ħefz: Punt Spiss Negliġit

L-artikolu 5.1.e tar-RGPD jimponi l-prinċipju ta' limitazzjoni tal-ħefz: id-dejta m'għandhiex tiġi kkumilata lil hinn mid-duratta neċessarja għall-finalità għaliex ġiet miġbura. F'ir-Risorsi Umani, id-durati legali ta' referenza huma dawn li ġejjin:

| Tip ta' Dejta | Duratta ta' Ħefz Irrakkmandita | |---|---| | Folja ta' Pagament | 5 snin (preskrizz ijuni ċivili) | | Kuntratt ta' Ħidma | 5 snin wara l-bruq tal-kuntratt | | Dejta ta' Rikruttaġġ (kandidat mhux magħżul) | 2 snin massimu wara l-aħħar kuntatt | | Fascikul Dixxiplinari | Duratta varjabbli skond is-sanzzjoni (massimu 3 snin għal twissija) | | Dejta ta' Videusorveġanza | 1 xahar ġeneralment | | DSN u Reġistru tal-Persunal | 5 snin wara l-ħruġ tal-impjegat |

Dawn id-durati għandhom jinkitbu fir-reġistru u japplika permezz ta' proċeduri ta' spull jew ta' arkivaġġ definittiv.

L-Informazzjoni tal-Impjegati: Obbligazzjoni Spiss Sottovalwtata

L-artikolu 13 tar-RGPD jimponi li tipprovdi notifika ta' informazzjoni kompleta lill-persunal kkonċernat meta ġbir tad-dejta tagħhom. F'ir-Risorsi Umani, din in-notifika għandha idealment tiġi rimessa:

• Minn l-applikazzjoni: għad-dejta miġbura waqt il-proċess ta' rikruttaġġ.

• Għat-Tassun: integrata fil-kuntratt ta' ħidma jew rimessa f'anness waqt l-iffirmar tal-kuntratt.

• Waqt ir-relazzjoni kontrattwali: sa kull ittrattar ġdid li jitpoġġa f'post (ex: distribuzzjoni ta' għodda ta' ħin ta' ħidma bijometrika).

Id-digitizzazzjoni tal-proċess ta' inxtegħ, speċjalment permezz ta' firma elettronika għar-Risorsi Umani, taffaċilita t-traċċabilità tar-rimessa ta' din l-informazzjoni: il-data tal-qari u tal-iffirmar tan-notifika hija markati b'mira predeteminata, li tikkostitwixxi element ta' prova validu f'każ ta' litiju.

Il-Sigurtà tad-Dejta ta' Risorsi Umani: Miżuri Tekniċi u Organizzattivi

Encrypt, Kontroll tal-Aċċess u Tnaqqis

L-artikolu 32 tar-RGPD jeħtieġ l-istabbiliment ta' miżuri ta' sigurtà adattati għar-riskju. Għad-dejta ta' Risorsi Umani, li per natura sensittiva u mmirata meta jiġu ssegwiti, il-prattiki minimi ta' tajjeb jinkludu:

• Encrypt tad-Dejta f'Restawru u Fl-Indirizzar: il-fajls ta' pagament, il-kuntratti u l-fasċikoli personali għandhom jitkun kkompatti (AES-256 bil-minimu) u trasmessi permezz ta' protokolli siguri (TLS 1.3).

• Ġestjoni tad-Drittijiet ta' Aċċess Ibbażata fuq ir-Rwoli (RBAC): biss l-amministraturi ta' Risorsi Umani awtorizzati jaċċeddu d-dejta ta' pagament; il-mexxej ta' tim jaċċess biss id-dejta meħtieġa għall-manawġment.

• Journalizzazzjoni tal-Aċċess: kull konsultazzjoni jew modifika ta' fascikolu ta' impjegat għandha tiġi traċċata bl-identifikatur tal-user, id-data u l-ħin.

• Pseudonymizzazzjoni għal ittrattar analitiku (dashboards ta' Risorsi Umani, studji ta' kkompensazzjoni).

Il-Ġestjoni tal-Sottokontraenti ta' Risorsi Umani

Il-Servizzi ta' Risorsi Umani jagħmlu użu minn ħafna sottokontraenti: editori ta' SIRH, Fornituri tal-Ħlasijat ta' Esternalizazzjoni, Pjattaformi ta' Taħriġ, Għodda ta' Rikruttaġġ Online. Kull waħda minn dawn il-partijiet Terzi għandha tkun suġġett għal kuntratt ta' sottokontraenza konformi għall-artikolu 28 tar-RGPD, li tispeċifika partikularmenti:

• In-natura u l-finalità tal-ittrattar sottokontratti

• L-obbligazzjonijiet tas-sottokontraunt rigward is-sigurtà u l-kunfidenzjalità

• Il-projbizzjoni ta' sottokontraenza mingħajr awtorizzazzjoni minn qabel

• Il-modalitajiet ta' restituzzjoni jew tħassir tad-dejta fi tmiem il-kuntratt

Meta tintgħażel fornitur, huwa xieraq ukoll li tiċċekkja jekk is-servers tiegħu jinsabu fil-Kamp Ekonomiku Ewropew (KEE) jew jekk mekkaniżmu ta' trasferiment adegwat (klawzoli ta' kuntratti standard, deċiżjoni ta' adequacy) huwa f'post għal trasferimenti barra l-KEE.

Id-Digitizzazzjoni tal-Dokumenti ta' Risorsi Umani u l-Konformità tar-RGPD

In-numerazzjoni għal-kreskita tal-proċessi ta' Risorsi Umani — kuntratti ta' ħidma elettroniċi, fogli ta' pagament digitali, avenamenti miffirmati mill-bogħod — tasal għal kwistjonijiet RGPD speċifiċi. Jekk il-firma elettronika konformi ma' eIDAS tipprovdi garantiji ta' integrità u ta' awtentikità indiskutibbli, l-imprenditor irid jiċċekkja li l-pjattaforma użata:

• M'tintgħażelx dejta superflwa waqt il-proċess tal-iffirmar (prinċipju ta' minimizzazzjoni, art. 5.1.c)

• Tikkonserva l-provi tal-iffirmar (pista ta' awdit) f'kundizzjonijiet siguri u għal duratta xierqa

• Tippermetti l-eżerċizzju tal-drittijiet tas-signers (aċċess, rettifika, tħassir fil-limiti legali)

Biex tmur aktar dwar il-konformità tal-għodda tal-iffirmar, il-gwida kompleta tal-firma elettronika ta' Certyneo tiddettanja l-kriterji tekniċi u ġuridiċi li jrid tiċċekkja qabel kwalunkwe distribuzzjoni.

Id-Drittijiet tal-Impjegati u l-Eżerċizzju Effettiv Tagħhom

Panorama tad-Drittijiet Garantiti mir-RGPD

L-impjegati jibbenefikiaw minn l-ensemble tal-drittijiet previsti fl-artikoli 15 sa 22 tar-RGPD. F'kuntest ta' Risorsi Umani, id-drittijiet l-aktar ta' spiss eżerċitati huma:

• Dritt ta' Aċċess (art. 15): l-impjegat jista' jitlob kopja ta' tutta d-dejta li tikkonċernah li ma tkunx miċħuda mill-imprenditor, inklużi l-iskambji ta' email professjonali f'ċerti kundizzjonijiet.

• Dritt ta' Rettifika (art. 16): Korrezzjoni tad-dejta inexatta (żball fuq il-RIB, diploma mhux dettaljat sew, eċċ.).

• Dritt għall-Ħassira (art. 17): Limitat f'ir-Risorsi Umani mill-obbligazzjonijiet legali ta' ħefz, imma applikabbli għad-dejta ta' rikruttaġġ ta' kandidat mhux magħżul.

• Dritt ta' Oppożizzjoni (art. 21): jista' jeżerċitaw kontra ittrattar fundat fuq interess leġittimu, bħal ċerti ittrattar ta' sorveġanza.

• Dritt ta' Portabilità (art. 20): applikabbli għad-dejta pprovduta mill-impjegat nnifsu fl-ambitu tal-implimentazzjoni tal-kuntratt.

Il-Perjodu ta' Tweġiba u l-Proċeduri Interna

L-imprenditor irid xahar biex jirrispondi għal kwalunkwe talbiet ta' eżerċizzju tal-drittijiet, perjodu estendabbli sa tliet xhur f'każ ta' kumplessa jew volum għoli ta' talbiet (art. 12.3). Biex joħġod dan il-ħidma b'mod effettiv, hija rrakmandata li:

• Jiddisinja punt ta' kuntatt uniku (DPO jew referent RGPD) biex jirċiebi t-talbiet

• Istabbilixxi formola ddedikada aċċessibbli lill-impjegati

• Dokumenta kull talba u r-rispons tagħha f'reġistru ta' talbiet ta' eżerċizzju tal-drittijiet

• Taħriġ tal-Mexxejin ta' Risorsi Umani biex jidentifikaw talba impliċita (impjegat li jitlob « il-fascikolu personali tiegħu» jeżerċita de facto dritt tal-aċċess tiegħu)

Ir-Rwol ta' DPO f'Negozju

Ir-RGPD jimponi d-Disinn ta' Delegat għall-Protezzjoni tad-Dejta (DPO) fi tliet ċirkustanze (art. 37): awtorità pubblika, ittrattar f'iskala kbira ta' dejta sensittiva, jew sorveġanza sistematika f'iskala kbira. Ħafna kumpaniji li l-ittrattar ta' Risorsi Umani tagħhom hija sinifikanti jidħlu f'din l-obbligazzjoni. Id-DPO jista' jkun intern jew esternalizat; irid ikollu indipendenza funzjonali u tirid tiġi assoċjata ma' kull deċiżjoni li taffettwa l-protezzjoni tad-dejta, inklużi d-distribuzzjoni ta' għodda ġdida tan-Risorsi Umani numerika. Ir-rwol tiegħu huwa konsultattiv u mhux deċizjonali: ir-responsabbiltà finali tibqa' dik tal-responsabbli ta' ittrattar, jiġifieri l-imprenditor.

Qafas Legali Applikabbli għall-Ittrattar tad-Dejta ta' Risorsi Umani

Ir-RGPD: Tett Fundamentali

Ir-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta' April 2016 (RGPD) jikkostitwixxi l-sokli rregolaturi tal-ittrattar tad-dejta personali fl-Ewropa. Aplikabbli direttament f'kull Stati Membri mill-25 ta' Mejju 2018, huwa jimponi lil kull imprenditor li jittratta dejta ta' impjegati li jorbdu fl-UE, tkun x'tkun in-nazzjonalità tal-kumpanija. L-artikoli prinċipali applikabbli f'kuntest ta' Risorsi Umani huma:

• Art. 5: Prinċipji Fundamentali (likwidità, loyalità, trasparenza, minimizzazzjoni, eżattezza, limitazzjoni ta' ħefz, integrità u kunfidenzjalità, responsabbiltà)

• Art. 6: Bażi Legali ta' Ittrattar

• Art. 9: Regim ta' Dejta Sensittiva

• Art. 12 sa 22: Drittijiet tal-Persunal Kkonċernat

• Art. 24 sa 32: Obbligazzjonijiet tal-Responsabbli ta' Ittrattar u tas-Sottokontraunt

• Art. 33-34: Notifika ta' Violazzjonijiet ta' Dejta (72 ħin lir-RGPD, u l-Informazzjoni tal-Persunal jekk riskju għoli)

• Art. 35: Analiżi ta' Impatt (AIPD) Obbligatorja għal Ittrattar b'Riskju Għoli

• Art. 83: Sanzzjonijiet Amministrattivi (sa 20 M€ jew 4% tal-KA Mundani)

Il-Liġi tal-Informatika u l-Libertajiet Modifika

F'dritt Maltese, il-Liġi n°78-17 tal-6 ta' Jannar 1978 relata għall-Informatika, il-Fajls u l-Libertajiet, modifika mill-Liġi n°2018-493 tal-20 ta' Ġunju 2018 u l-Ordonna n°2018-1125 tal-12 ta' Diċembru 2018, tikkomplementa r-RGPD billi tiftaħ marġni ta' manuvra nazzjonali (« klawzoli ta' apertura »). Fost l-aktar importanti f'ir-Risorsi Umani: il-possibbiltà li tittratta dejta sindikali fil-qafas tal-ġestjoni tal-istituzzjonijiet rappreżentattivi tal-persunal (art. 9 tal-Liġi), jew ir-regoli speċifiċi għall-ittrattar tad-dejta ta' saħħa tax-xogħol.

Il-Kodiċi ta' Ħidma u l-Jurisprudenza Soċjali

Il-Kodiċi ta' Ħidma jimponi obbligazzjonijiet ta' informazzjoni u ta' konsultazzjoni minn qabel tal-Kumitat Soċjali u Ekonomiku (CSE) qabel kwalunkwe distribuzzjoni ta' apparat ta' sorveġanza jew ta' kontroll tal-impjegati (art. L. 2312-38). L-assenza ta' konsultazzjoni tesponi l-imprenditor għal inopposabilità tal-provi mkacca kif ukoll għas-sanzzjonijiet penali.

Il-Jurisprudenza tal-Qorti ta' Kasazzjoni tirrekordja regolarment li l-għodda ta' kontroll (geolokazzjoni, badġa, softwer ta' segwitu tal-attività) irridu jkunu proporzjonati għall-objettiv insegwitu u ma jistgħux jiġu detwija għal skoppi oħra minn dawk dikjarati lill-impjegati u lir-RGPD.

Il-Firma Elettronika tal-Dokumenti ta' Risorsi Umani: eIDAS u Kodiċi Ċivili

Meta tiddikjarazzjoni tal-kuntratti ta' ħidma, avenamenti jew dokumenti ta' dixxiplina, l-imprenditor irid jirrisspetta r-Regolament (UE) n°910/2014 eIDAS, li jiddefinixxi tliet livelli ta' firma elettronika. Għal dokumenti tant strutturanti bħal kuntratt ta' ħidma CDI jew dokument ta' bruq konvenzjonali, firma elettronika avvanzata (jew kwalifikata) hija irrakkmandta sabiex tiġġarantixxi l-identità tas-signer u l-integrità tal-dokument. Il-Kodiċi Ċivili fl-artikoli 1366 u 1367 jikkonsagra l-valur probatorju tal-iskrizzjoni elettronika u tal-firma elettronika, suġġett għall-identifikazzjoni affidabbli tas-signer u l-assigurazzjoni tal-integrità.

Sanzzjonijiet Pronunċjati mir-RGPD f'Materia ta' Risorsi Umani

Ir-RGPD pronunċja diversi sanzzjonijiet sinifikanti f'materia ta' ittrattar tad-dejta ta' Risorsi Umani: fl-2022, kumpanija ġiet kkundannata għal 400,000 € ta' amenda għal sorveġanza eċċessiva ta' impjegati f'teleħidma permezz ta' softwer ta' kattura ta' skrin. Fl-2023, soċjetà ta' sigurtà rċiviet sanzzjoni ta' 200,000 € għal ġbir eċċessiva ta' dejta bijometrika mingħajr bażi legali valida. Dawn id-deċiżjonij jilustraw il-vigiljanza li qed tikber tar-regolatur fuq dan il-perimetru.

Skenari ta' Użu: RGPD Risorsi Umani f'Prattika

Skenario 1 — ETI Industrijali ta' 450 impjegati tpoġġi f'Konformità il-Proċess ta' Rikruttaġġ Tiegħa

Kumpanija Industrijali ta' Saħħa Intergodnjali, li taffaccja madwar 450 persuna f'tliet siti, ikkassiet kull sena aktar minn 3,000 applikazzjonijiet spontanji u rasp sesanta offerta ta' impjieg. Il-CVs u l-ittri ta' motivazzjoni tkun magħżula mingħajr limitazzjoni ta' duratta f'box ta' email miksuba bejn sitta responsabbli ta' servizz. L-ebda notifika ta' informazzjoni mhux kienet mogħtija lill-kandidati dwar l-użu tad-dejta tagħhom.

Wara audit RGPD, l-azzjonijiet li ġejjin ġew distribwiti f'sitta xhur:

• Migrazjoni lejn ATS (Sistema ta' Tracking ta' Applikanzi) ċċertifikata konformi RGPD, b'spull awtomatiku tal-fasċikoli wara 24 xahar ta' inattività

• Iżżid ta' notifika ta' informazzjoni RGPD f'kull formola ta' applikazzjoni online

• Firma elettronika tal-ittri ta' impjieg u tal-kuntratti ta' ħidma permezz ta' pjattaforma konformi eIDAS, li tnaqqas il-perjodu ta' ritorn tal-kuntratti miffirmati minn 8 ġurnata f'medja sa inqas minn 48 sigħa

• Aġġornament tar-reġistru tal-attivitajiet ta' ittrattar b'12 nuovi foljiet ta' ittrattar ta' Risorsi Umani

Riżultat: l-ebda talba RGPD riċevuta f'18-il xahar wara; guadann istmat ta' 1.2 ETP fuq l-ġestjoni amministrattiva tal-rikruttaġġ grazz għad-digitizzazzjoni.

Skenario 2 — Grupp ta' Distribuzzjoni ta' 1,200 impjegati Endaw il-Politika ta' Videusorveġanza Tiegħa

Grupp speċjalizzat fid-distribuzzjoni ta' ikel kellhom distribwitu sistema ta' videusorveġanza li tkopri 34 punti ta' bejgħ. L-immaġini kienu kkumilati 45 ġurn fuq ċerti siti, mingħajr informazzjoni affidattata għall-impjegati. Diversi sensuri kanu jkopru l-postijiet ta' kaxxa ta' moda permanenti, li jiġġeneraw riskju ta' sorveġanza sproporzjonata.

Wara reklama ta' impjegat lir-RGPD, il-kumpanija ingħaqdet putozzjon ta' konformità inklużi:

• It-tnaqqis tad-duratta ta' ħefz sa 30 ġurn massimu fl-ensemble tal-isiti

• Il-Reposizzjonaġġ tal-Kameras biex leskludi l-sorveġanza kontinwa tal-postijiet ta' ħidma individwali

• Konsultazzjoni u l-Ftehim tas-Sottokomitè Ewlieni qabel kwalunkwe distribuzzjoni ġdida

• Informazzjoni sistematika tal-impjegati permezz tal-kuntratti ta' ħidma u carta interna affidattata

Riżultat: Għeluq tar-reklama RGPD mingħajr sanzzjoni; Titjib tal-klima soċjali miżurata meta għadda l-istħarriġ