RGPD в HR: Обработка данных сотрудников

Управление человеческими ресурсами генерирует ежедневно значительный объем личных данных: трудовые договоры, расчетные листы, медицинские данные, оценки производительности, банковские реквизиты… С момента вступления в силу Генерального регламента по защите данных (RGPD) в мае 2018 года отделы кадров стали центральными участниками соответствия требованиям в организациях. Однако согласно отчету о деятельности CNIL за 2024 год, сектор управления человеческими ресурсами остается одной из трех областей, наиболее часто выявляемых при проверках. Эта статья проведет вас через ключевые обязательства, лучшие практики и доступные инструменты для обработки данных ваших сотрудников в полном соответствии.

Какие личные данные обрабатывают отделы кадров?

Распространенные категории данных

Отделы кадров работают с очень широким спектром личных данных. Выделяют две основные группы:

Обычные данные, собираемые в рамках трудового договора: фамилия, имя, адрес, номер социального страхования, реквизиты банковского счета, резюме, дипломы, история карьеры, ежегодные оценки, графики работы, данные о присутствии и отсутствии.

Чувствительные данные, подлежащие усиленным ограничениям согласно статье 9 RGPD: медицинские данные (больничные листы, заявления об производственных травмах, медицинские ограничения), профсоюзные данные (членство в профсоюзе, представительские мандаты), данные о судимостях в определенных контекстах найма.

Последние могут обрабатываться только при наличии явного исключения, предусмотренного регламентом — например, выполнение законных обязательств в области трудового законодательства или явное согласие заинтересованного лица.

Особый случай: набор персонала

Процесс набора персонала генерирует специфичные обработки, часто неправильно регулируемые. Сбор резюме, сопроводительных писем и результатов тестов предполагает точные периоды хранения: согласно рекомендациям CNIL, данные неотобранных кандидатов должны быть удалены или анонимизированы в течение максимально двух лет после последнего контакта. Неопределённое хранение резюме в открытой общей папке считается явным нарушением.

Использование инструментов отслеживания в ATS (системах управления кандидатами) или алгоритмов поведенческого анализа должно быть явно упомянуто в политике конфиденциальности, передаваемой кандидатам, в соответствии со статьями 13 и 14 RGPD.

Правовые основания обработки в контексте HR

Определение надлежащей правовой основы

RGPD требует, чтобы любая обработка личных данных основывалась на одном из шести правовых оснований, определённых в статье 6. В контексте HR используются в основном три основания:

• Выполнение трудового договора (ст. 6.1.b): оправдывает обработку данных, необходимых для управления зарплатой, отпусками или обучением.

• Юридическое обязательство (ст. 6.1.c): применяется к обязательным социальным декларациям (DSN), реестрам сотрудников или мониторингу производственных травм.

• Законный интерес (ст. 6.1.f): может быть использован для обработок, таких как управление пропусками доступа или видеонаблюдение, при условии строгого теста уравновешивания.

Согласие (ст. 6.1.a) в контексте трудовых отношений является хрупким правовым основанием: CNIL и Европейский комитет по защите данных (EDPB) напоминают, что структурный дисбаланс между работодателем и сотрудником затрудняет доказательство свободного согласия. Его следует использовать только в крайнем случае.

Реестр обработок — непреложное обязательство

Любая организация, насчитывающая как минимум 250 человек — или обрабатывающая чувствительные данные в меньшем масштабе — должна вести реестр видов обработки (ст. 30 RGPD). В HR этот реестр должен документировать для каждой обработки: цель, категории данных, получателей, периоды хранения и меры безопасности.

Этот документ, сохраняемый в распоряжении CNIL при проверке, также является ценным инструментом управления. В сочетании с решением электронной подписи, предназначенным для HR, он позволяет отслеживать и проставлять временные метки на каждый этап жизненного цикла документа HR, усиливая таким образом проверяемость процессов.

Права сотрудников и обязательства работодателя

Информирование сотрудников: непосредственное обязательство

Статья 13 RGPD требует информировать заинтересованные лица в момент сбора их данных. На практике отделы кадров должны предоставить сотрудникам — в идеале при подписании трудового договора — уведомление об информации RGPD, в котором указаны: личность ответственного за обработку, цели и правовые основания, период хранения, доступные права и контактные данные DPO (Ответственного за защиту данных), если компания его имеет.

Цифровизация и защита этого обмена критически важны. Использование электронной подписи в компании для доставки этого уведомления гарантирует доказательство доставки с временной меткой и неоспоримое, соответствующее требованиям регламента eIDAS.

Обязательные права сотрудников

Сотрудники располагают расширенными правами на свои данные:

• Право доступа (ст. 15): каждый сотрудник может запросить копию всех данных о нем, обрабатываемых работодателем.

• Право на исправление (ст. 16): исправление неточных данных (например, почтовый адрес, реквизиты счета).

• Право на забвение (ст. 17): применимо в определенных случаях, в частности после окончания договора и истечения установленных законом периодов хранения.

• Право на возражение (ст. 21): сотрудник может возразить против обработки, основанной на законном интересе.

• Право на ограничение (ст. 18): временная приостановка оспариваемой обработки.

Работодатель имеет один месяц для ответа на любой запрос об осуществлении прав, продлеваемый на три месяца в случае сложности (ст. 12 RGPD).

Безопасность данных HR и управление субподрядчиками

Технические и организационные меры

Статья 32 RGPD требует внедрения мер безопасности, "соответствующих риску". Для данных HR лучшие практики включают:

• Шифрование файлов, содержащих чувствительные данные (расчетные листы, медицинские дела).

• Контроль доступа: принцип наименьших привилегий — специалист по расчету зарплаты не имеет доступа к дисциплинарным данным.

• Логирование доступа к HR-системам (SIRH, инструменты расчета зарплаты).

• План реагирования на нарушения: в случае утечки данных работодатель имеет 72 часа для уведомления CNIL (ст. 33), и потенциально заинтересованных лиц, если риск высок (ст. 34).

Полный аудит с помощью руководства по электронной подписи может помочь командам HR выявить незащищённые обработки, сохраняющиеся на бумажных носителях, и перевести их в соответствующий цифровой формат.

Регулирование поставщиков HR через DPA

Отделы кадров привлекают множество субподрядчиков: системы расчета зарплаты, платформы обучения, инструменты управления временем. Каждый поставщик, имеющий доступ к личным данным, должен быть предметом соглашения об обработке данных (Data Processing Agreement — DPA) согласно статье 28 RGPD. Этот контракт должен уточнять указания по обработке, гарантии безопасности, условия возврата или уничтожения данных и обязательства в случае нарушения.

Выбор поставщиков, чьи инфраструктуры расположены в Европейском союзе, или охваченных типовыми договорными оговорками (SCC), утвержденными Комиссией, остается фундаментальным требованием для предотвращения незаконной передачи вне ЕС.

Периоды хранения: структурирующий фактор

Установленные законом периоды для дела сотрудника

Период хранения данных HR регулируется наслоением текстов: RGPD (принцип ограничения хранения, ст. 5.1.e), Трудового кодекса и различных налоговых и социальных положений. На практике основные сроки соблюдения:

| Тип документа | Минимальный период хранения | |---|---| | Расчетный лист | 5 лет (социальная давность) | | Трудовой договор | 5 лет после окончания договора | | Данные зарплаты (DSN) | 3 года (контроль URSSAF) | | Реестр сотрудников | 5 лет после увольнения сотрудника | | Дисциплинарные данные | Период, пропорциональный мере | | Медицинское дело (медицина труда) | 50 лет (специальное положение) |

Внедрение автоматизированной политики архивирования и очистки в SIRH, соедированной с рабочими процессами электронной подписи, которые проставляют временные метки на создание документов, сегодня представляет лучшую практику для демонстрации соответствия требованиям CNIL.

Ловушки, которых следует избегать

Наиболее частые ошибки, обнаруженные при проверках CNIL в отношении данных HR: неопределённое хранение резюме неотобранных кандидатов, сохранение компьютерных прав доступа бывших сотрудников, отсутствие шифрования экспортированных файлов зарплаты и неудаление данных отслеживания доступа сверх нормативных сроков. Для защиты этих пунктов обращение к сравнению решений электронной подписи позволяет определить инструменты с встроенными функциями доказательного архивирования и управления жизненным циклом документов.

Применимая правовая база для обработки данных HR

Обработка личных данных сотрудников находится в плотной нормативной базе, объединяющей несколько уровней регулирования.

Регламент (ЕС) 2016/679 — RGPD является краеугольным камнем. Его статьи 5–11 определяют фундаментальные принципы (законность, добросовестность, прозрачность, ограничение целей, минимизация данных, точность, ограничение хранения, целостность и конфиденциальность). Статья 9 устанавливает строгие условия, применяемые к особым категориям данных, включая медицинские данные и профсоюзные данные, особенно частые в HR. Статья 83 предусматривает штрафы, которые могут достигать 20 миллионов евро или 4% мирового оборота в случае серьёзного нарушения.

Закон об информатике и свободах, пересмотренный (закон №78-17 от 6 января 1978 года), в его консолидированной версии адаптирует RGPD к французскому праву. Он наделяет CNIL полномочиями по контролю и наказанию, предусматривая в частности специальные исключения для медицинских данных в медицине труда.

Трудовой кодекс регулирует обработки, связанные с контролем сотрудников (ст. L. 1121-1 о соблюдении приватной жизни), консультацией представителей персонала по цифровым инструментам (ст. L. 2312-38) и обязательными реестрами.

Регламент eIDAS (№910/2014), дополненный eIDAS 2.0 (Регламент ЕС 2024/1183), регулирует юридическую ценность электронных подписей, проставленных на документы HR. Квалифицированная электронная подпись (QES), соответствующая приложению I eIDAS и стандартам ETSI EN 319 132 и ETSI EN 319 122, предоставляет презумпцию эквивалентности рукописной подписи согласно статье 1367 Французского гражданского кодекса.

Статья 1366 Французского гражданского кодекса устанавливает, что «электронный документ имеет ту же доказательственную силу, что и документ на бумажном носителе, при условии надлежащей идентификации лица, от которого он исходит, и его составления и сохранения в условиях, обеспечивающих целостность». Это положение применяется непосредственно к трудовым договорам, приложениям, соглашениям о конфиденциальности и другим демaterialized документам HR.

Директива NIS2 (ЕС 2022/2555), трансposed во французское право законом от 26 февраля 2025 года, налагает на существенные и важные субъекты (в частности крупные промышленные компании и операторов услуг цифровой безопасности) усиленные требования по управлению рисками, связанными с информационной безопасностью, включая защиту чувствительных данных HR.

Санкции, вынесенные CNIL, стремительно растут: в 2024 году общая сумма штрафов превышает 100 миллионов евро, с несколькими решениями, напрямую предусматривающими нарушения в управлении данными сотрудников. Несоблюдение периодов хранения, отсутствие DPA с субподрядчиками HR и недостаточность мер безопасности являются среди наиболее часто выдвигаемых претензий.

Сценарии использования: соответствие RGPD в HR на практике

Сценарий 1 — Среднее промышленное предприятие на 450 сотрудников цифровизирует процессы адаптации

Среднее промышленное предприятие, распределённое по трём площадкам во Франции, управляло трудовыми договорами и приложениями на бумажном носителе. Файлы новичков передавались в отдел расчета зарплаты только через в среднем 12 рабочих дней, что генерировало ошибки зарплаты примерно в 8% случаев. Кроме того, никакое уведомление RGPD не передавалось формально новичкам: информация была только внизу регламента о внутреннем порядке, не подписанного отдельно.

После развёртывания решения электронной подписи, интегрированного с её SIRH, с одновременной передачей уведомления RGPD, совместно подписанного сотрудником и директором HR, предприятие сократило период документооборота при адаптации на 2 рабочих дня (сокращение на 83%). Ошибки зарплаты, связанные с отсутствующими данными, упали менее чем на 1%. Каждый подписанный документ архивируется с квалифицированной временной меткой, обеспечивая доказательство, возможное возразить при контроле CNIL или судебном разбирательстве по трудовым спорам.

Сценарий 2 — Группа розницы на 1200 сотрудников приводит в соответствие политику хранения

Группа, работающая в специализованной дистрибьюции, подверглась проверке CNIL после жалобы бывшего сотрудника. Инспекция выявила, что файлы Excel, содержащие данные зарплаты сотрудников, уехавших более 8 лет назад, всё ещё были доступны на незащищённом общем сервере без шифрования. Было вынесено официальное предупреждение с инструкцией привести в соответствие в течение 3 месяцев.

Группа затем провела полный аудит своих HR-обработок, картографировала своё 23 вида обработки и внедрила автоматизированный план очистки, запускаемый SIRH. Документы, подписанные электронно, были перенесены в цифровой сейф с периодами хранения, настроенными согласно юридическим обязательствам. DPO произвёл полный реестр HR-обработок, представленный при втором контроле CNIL через 18 месяцев, который завершился без замечаний. Стоимость приведения в соответствие была оценена менее чем в 60% от суммы потенциального штрафа.

Сценарий 3 — Консультационная фирма HR на 35 человек защищает данные своих собственных консультантов и клиентов

Специализированная консультационная фирма по управлению человеческими ресурсами управляет как данными своих собственных консультантов, так и данными кандидатов и сотрудников своих клиентских компаний (в рамках миссий оценки или переквалификации). Таким образом, она находится в двойной роли: ответственного за обработку для своего собственного HR и субподрядчика (или совместного ответственного) для данных третьих лиц.

Фирма внедрила дифференцированную архитектуру документов: простые электронные подписи для обычного внутреннего обмена, продвинутые подписи для контрактов миссий с клиентами и соглашения об обработке данных (DPA) систематически интегрированы в письма-предложения. Все консультанты получили обновленную хартию RGPD, подписанную электронно и сохраненную в отдельном реестре. Эта организация позволила фирме выставить свое соответствие в качестве коммерческого аргумента перед крупными клиентами, подверженными строгим аудитам поставщиков, сократив среднее время заключения договора с 7 до 2 недель.

Заключение

RGPD налагает на отделы управления человеческими ресурсами глубокую трансформацию их практик: строгое определение правовых оснований, эффективное информирование сотрудников, управление правами, договорное регулирование субподрядчиков, защита данных и соблюдение периодов хранения. Эти обязательства — не просто административные формальности — они определяют способность компании избежать санкций, которые могут достигать нескольких миллионов евро, и сохранить доверие своих команд.

Цифровизация процессов HR через решения электронной подписи, соответствующие eIDAS, является одним из наиболее эффективных рычагов для одновременного достижения операционной эффективности и нормативного соответствия. Certyneo сопровождает команды HR в этой трансформации, от подписания трудового контракта до защищённого архивирования файлов сотрудников.

Узнайте, как Certyneo может защитить ваши процессы HR путём обращения к нашему предложению, предназначенному для команд HR или начинайте бесплатно для тестирования решения без обязательств.