RGPD v HR: Obdelava podatkov zaposlenih

Upravljanje človeških virov ustvarja vsakodnevno ogromno količino osebnih podatkov: pogodbe o zaposlitvi, plačilni listi, zdravstveni podatki, ocene delovne uspešnosti, bančni podatki… Od vstopa v veljavnost Splošne uredbe o varstvu podatkov (RGPD) v maju 2018 so se kadrovske službe stale ključni deležniki skladnosti v organizacijah. Vendar pa po poročilu CNIL za leto 2024 ostaja sektor človeških virov ena od treh področij, ki se jih najpogosteje navaja pri inšpekcijah. Ta članek vas vodi skozi ključne obveznosti, dobre prakse in razpoložljiva orodja za obdelavo podatkov vaših zaposlenih v popolni skladnosti.

Katere osebne podatke obdeluje HR?

Običajne kategorije podatkov

Kadrovske službe obdelujejo zelo širok spekter osebnih podatkov. Ločimo dve glavni družini:

Običajni podatki, zbrani v okviru pogodbe o zaposlitvi: ime, priimek, naslov, številka socialne zavarovalnice, IBAN, CV, diplome, poklicna zgodovina, letne ocene, delovni časi, podatki o udeležbi in odsotnosti.

Občutljivi podatki, podvrženi okrepljenima omejitvama v smislu člena 9 RGPD: zdravstveni podatki (bolniške, prijave nesreč pri delu, medicinske omejitve), sindikatni podatki (pripadnost sindikatu, predstavniške funkcije), podatki o kazenskih obsodbach v nekaterih primerih zaposlitve.

Te lahko obdelujemo le pod pogojem izjeme, predvidene v uredbi — kot je izvršitev pravnih obveznosti v delovnem pravu ali izrecen pristanek osebe.

Posebni primer zaposlovanja

Faza zaposlovanja ustvarja posebne obdelave, ki so pogosto slabo urejene. Zbiranje CV-jev, motivacijskih pisem in rezultatov testov pomeni natančne roke hranjenja: po priporočilih CNIL je treba podatke neuspešnih kandidatov izbrisati ali anonimizirati v roku dveh let po zadnjem stiku. Neomejeno hranjenje CV-jev v nezaščiteni skupni mapi predstavlja jasno kršitev.

Uporaba orodij za sledenje v ATS (sistemi za spremljanje kandidatur) ali algoritmov za vedenjsko analizo mora biti izrecno navedena v politiki zasebnosti, posredovani kandidatom, v skladu s členi 13 in 14 RGPD.

Pravne podlage za obdelavo v kontekstu HR

Opredelitev pravilne pravne podlage

RGPD zahteva, da se vsaka obdelava osebnih podatkov opira na eno od šestih pravnih podlag, opredeljenih v členu 6. V kontekstu HR se predvsem uporabljajo tri podlage:

• Izvršitev pogodbe o zaposlitvi (člen 6.1.b): utemeljuje obdelavo podatkov, potrebnih za upravljanje plač, počitka ali usposabljanja.

• Pravna obveza (člen 6.1.c): velja za obvezne socialne prijave (DSN), registre zaposlenih ali spremljanje nesreč pri delu.

• Pravni interes (člen 6.1.f): lahko se uporabi za obdelave, kot je upravljanje dostopnih kartic ali video nadzor, ob pogoju strogega testa utehtavanja.

Pristanek (člen 6.1.a) je po drugi strani šibka pravna podlaga v kontekstu dela: CNIL in Evropski odbor za varstvo podatkov opozarjata, da strukturna neravnovesja med delodajalcem in zaposlenim otežkočita dokaz prostovoljnega pristan

ka. Uporabljati ga je treba le kot zadnjo možnost.

Registar obdelav, nepogrešljiva obveza

Vse organizacije z najmanj 250 zaposlenimi — ali obdelujejo občutljive podatke v manjšem obsegu — morajo voditi registar dejavnosti obdelave (člen 30 RGPD). V HR mora ta registar dokumentirati za vsako obdelavo: namen, kategorije podatkov, naslovnike, obdobje hranjenja in varnostne ukrepe.

Ta dokument, namenjen CNIL-u v primeru inšpekcije, je tudi dragoceno orodje upravljanja. V kombinaciji s rešitvijo elektronskega podpisa, namenjeno HR, omogoča sledenje in časovno označitev vsake stopnje življenjskega cikla dokumenta HR, kar izboljšuje revizibilnost procesov.

Pravice zaposlenih in obveznosti delodajalca

Obveščanje zaposlenih: neposredna obveza

Člen 13 RGPD zahteva obveščanje oseb ob času zbieranja njihovih podatkov. V praksi morajo kadrovske službe zaposlenim — najbolje že ob podpisu pogodbe — zagotoviti obvestilo o RGPD, ki navaja: istovetnost odgovornega za obdelavo, namene in pravne podlage, obdobje hranjenja, razpoložljive pravice in podatke stika DPO (varnostnika podatkov), če ima podjetje enega.

Digitalizacija in zaščita tega izmenjka je bistvena. Uporaba elektronskega podpisa v podjetju za predajo tega obvestila zagotavlja neporecljiv, časovno označen dokaz dostave, usklajen z zahtevami uredbe eIDAS.

Pravice zaposlenih, ki jih je treba upoštevati

Sodelavci imajo na svoje podatke razširjene pravice:

• Pravica do dostopa (člen 15): vsak zaposleni lahko zahteva kopijo vseh podatkov, ki se ga tičejo in jih obdeluje delodajalec.

• Pravica do popravka (člen 16): popravljanje netočnega podatka (npr. naslov, IBAN).

• Pravica do brisanja (člen 17): velja v določenih primerih, posebej po koncu pogodbe in preteku rokov za hranjenje.

• Pravica do ugovora (člen 21): zaposleni lahko ugovarja obdelavi, ki temelji na pravnem interesu.

• Pravica do omejitve (člen 18): začasna zaustavitev sporene obdelave.

Delodajalec ima en mesec časa za odgovor na zahtevo za uveljavljanje pravic, razširljivo na tri mesece v primeru kompleksnosti (člen 12 RGPD).

Varnost podatkov HR in upravljanje podizvajalcev

Tehnični in organizacijski ukrepi

Člen 32 RGPD zahteva uvedbo varnostnih ukrepov, "primerni tveganju". Za podatke HR dobre prakse vključujejo:

• Šifriranje datotek s občutljivimi podatki (plačilni listi, medicinski dosjeji).

• Nadzor dostopa: načelo najmanjšega privilegija — upravitelj plač nima dostopa do disciplinarnih podatkov.

• Beleženje dostopov do sistemov HR (SIRH, orodja za plače).

• Načrt odziva na kršitve: v primeru uhajanja podatkov ima delodajalec 72 ur časa, da to prijavi CNIL (člen 33), in morda tudi osebe, če je tveganje visoko (člen 34).

Celovit pregled prek vodiča za elektronski podpis lahko kadrovskim timom pomaga prepoznati nezavarovane obdelave, ki še vedno potekajo na papirju, in jih primerno digitalizirati.

Kodifikacija podizvajalcev HR z DPA

Kadrovske službe se sklicujejo na številne podizvajalce: orodja za plače, platforme za usposabljanje, orodja za upravljanje časa. Vsak podizvajalec z dostopom do osebnih podatkov mora biti predmet sporazuma o obdelavi podatkov (Data Processing Agreement — DPA), v skladu s členom 28 RGPD. Ta pogodba mora določiti navodila za obdelavo, varnostne jamstva, pogoje za vračilo ali uničenje podatkov ter obveznosti v primeru kršitve.

Izbira podizvajalcev s storitvami v Evropski uniji ali zaščitenih z uradno odobrenimi standardi pogodbenih klavzul (SCC) ostaja bistveno zahtevo za izogib nelegalnemu prenosu podatkov izven EU.

Roki hranjenja: strukturni izziv

Veljalni roki za delavčev dosje

Rok hranjenja podatkov HR je urejen s škatlico besedil: RGPD (načelo omejitve hranjenja, člen 5.1.e), Delovni zakonik in različne davčne ter socialne določbe. V praksi so glavni roki za upoštevanje:

| Vrsta dokumenta | Najmanjši rok hranjenja | |---|---| | Plačilni list | 5 let (socialni zastaralni rok) | | Pogodba o zaposlitvi | 5 let po koncu pogodbe | | Podatki o plačah (DSN) | 3 leta (nadzor URSSAF) | | Registar zaposlenih | 5 let po odhodu zaposlenega | | Disciplinarni podatki | Sorazmeren z merilom | | Medicinski dosje (medicina dela) | 50 let (posebna uredba) |

Vzpostavitev avtomatske politike arhiviranja in čiščenja v SIRH, povezane z delovnimi tokovi elektronskega podpisa, ki časovno označijo ustvarjanje dokumentov, je danes najbolja praksa za dokazovanje skladnosti CNIL.

Pasti za izogib

Pogoste napake pri inšpekcijah CNIL glede podatkov HR so: neomejeno hranjenje CV-jev neuspešnih kandidatov, ohranjen dostop starih zaposlenih, pomanjkljivo šifriranje izvoženih plačilnih datotek in nebrisan badging podatkov po zakonskih rokih. Za zavarovanje teh točk je svetovanje primerjave rešitev elektronskega podpisa v pomoč pri prepoznavanju orodij z lastnimi funkcijami dokaznega arhiviranja in upravljanja življenjskega cikla dokumentov.

Pravna podlaga za obdelavo podatkov HR

Obdelava osebnih podatkov sodelavcev je vpisana v gosto normativno ogrodje, povezujoče več ravni ureditve.

Uredba (EU) 2016/679 — RGPD je temeljni kamen. Njeni členi 5–11 določajo temeljne načele (zakonitost, poštenje, preglednost, omejitev namenov, minimizacija podatkov, točnost, omejitev hranjenja, celovitost in zaupnost). Člen 9 postavlja stroge pogoje za posebne kategorije podatkov, vključno s podatki o zdravju in sindikalnimi, ki so v HR pogosti. Člen 83 predvideva globe, ki lahko dosežejo 20 milijonov EUR ali 4 % svetovnega prometa v primeru resne kršitve.

Zakon o informatiki in prostosti, spremenjen (zakon št. 78-17 z dne 6. januarja 1978), v njegove konsolidirani različici prilagodi RGPD francoskemu pravu. Dodeluje CNIL njene pristojnosti nadzora in kaznovanja ter predviduje zlasti sektorske izjeme za zdravstvene podatke v medicini dela.

Delovni zakonik ureja obdelave, povezane s spremljanjem zaposlenih (člen L. 1121-1 o spoštovanju zasebnosti), posvetovanjem predstavnikov osebja glede digitalnih orodij (člen L. 2312-38) in obveznih registrov.

Uredba eIDAS (št. 910/2014), dopolnjena z eIDAS 2.0 (Uredba EU 2024/1183), ureja pravno vrednost elektronskih podpisov na dokumentih HR. Kvalificirani elektronski podpis (QES), skladen z prilogo I eIDAS in standardi ETSI EN 319 132 ter ETSI EN 319 122, ponuja domnevo enakovrednosti ročnemu podpisu v smislu člena 1367 francoskog Civilnega zakonika.

Člen 1366 Civilnega zakonika postavlja, da "ima elektronski zapis enako dokazno silo kot pisni zapis na papirju, pod pogojem, da se lahko primerno identificira oseba, od katere izpliva, in da je vzpostavljen in ohranjen v pogojih, ki zagotavljajo njegovo celovitost". Ta določba je neposredno uporabna za pogodbe o zaposlitvi, anekse, sporazume o zaupnosti in druge dematerializirane dokumente HR.

Direktiva NIS2 (EU 2022/2555), preslika v francoski pravi s pravnim aktom z dne 26. februarja 2025, nalaga bistvenim in najpomembnejšim enotam (zlasti velikim industrijskih podjetjem in operaterjem digitalnih storitev) ojačane zahteve glede upravljanja tveganj, povezanih z varnostjo podatkov, vključno zaščito občutljivih podatkov HR.

Sankcije, ki jih je izrekla CNIL, se hitro povečujejo: v 2024 skupni znesek glob presega 100 milijonov EUR, z več odločbami, ki direktno vključujejo napake pri upravljanju podatkov zaposlenih. Neupoštevanje rokov hranjenja, odsotnost DPA s podizvajalci HR in nezadostnost varnostnih ukrepov so med najpogosteje navedenih greh.

Scenariji uporabe: RGPD skladnost v HR v praksi

Scenarij 1 — Srednjega velikosti industrijska podjetja s 450 zaposlenimi digitalizira svoje procese vpeljevanja

Srednje velika industrijska podjetja, razporejena na treh lokacijah v Franciji, so upravljala pogodbe o zaposlitvi in anekse na papirju. Dosjeji novih zaposlenih so bili preneseni v službo plač šele povprečno po 12 poslovnih dneh, kar je povzročilo napake pri plačilu v približno 8 % primerov. Poleg tega nobenemu novemu zaposljencu ni bilo uradno posredovano obvestilo RGPD: podatki so bili le na dnu poslovnika, ki ga ni bilo treba posebej podpisati.

Po uvedbi rešitve elektronskega podpisa, integrirane v njegov SIRH, s sočasno predajo obvestila RGPD, ko-podpisanega s strani zaposlenega in DRH, je podjetje zmanjšalo rok dokumentarnega vpeljevanja na 2 poslovni dneva (zmanjšanje za 83 %). Napake pri plačilu zaradi manjkajočih podatkov so padle pod 1 %. Vsak podpisani dokument se arhivira s kvalificiranim časovnim žigom, kar zagotavlja dokaz, ki ga je mogoče nasprotovati pri inšpekciji CNIL ali spora pred sodiščem dela.

Scenarij 2 — Distributor 1 200 zaposlenih uvaja skladnost politike hranjenja

Skupina, ki deluje v posebni distribuciji, je doživela inšpekcijo CNIL kot rezultat pritožbe nekdanjega zaposlenega. Pregled je pokazal, da so datoteke Excel s podatki o plačah zaposlenih, ki so odšli pred več kot 8 leti, še vedno dostopni na nešifriranem skupnem strežniku brez zaščite. Izdano je bilo uradno opozorilo z narokom za usklajevanje v roku 3 mesecev.

Skupina je nato opravila celovit pregled svojih obdelav HR, kartografirala 23 dejavnosti obdelave in vzpostavila načrt avtomatskega čiščenja, sprožen z SIRH. Elektronsko podpisani dokumenti so bili migrirani v digitalni trezor s časovnimi vrsticami hranjenja, nastavljenimi po zakonskih obveznostih. DPO je pripravil celosten registar obdelav HR, predstavljen pri drugi inšpekciji CNIL 18 mesecev kasneje, ki se je končala brez ukrepov. Stroški uskladitve so bili ocenjeni na manj kot 60 % morebitnega globa.

Scenarij 3 — 35-člansko svetovalnico za HR varuje podatke svojih svetovalcev in strank

Svetovalnica za človeške vire upravljala podatke svojih svetovalcev in podatke kandidatov ter zaposlenih svojih podjetij odjemalec (pri nalogah ocenjevanja ali preusmeritve). Tako se znajde v dvojni vlogi: odgovorna za obdelavo svojih podatkov HR in podizvajalec (ali soodgovorna) za podatke tretjih oseb.

Svetovalnica je vzpostavila raznovrstno arhitekturno hierarhijo: enostavne elektronske podpise za običajne interno izmenjke, napredne podpise za pogodbe o nalogah s strankami in dogovore o obdelavi podatkov (DPA), sistematično vključene v pisma o nalogah. Vsi svetovalci so prejeli posodobljeno kodo RGPD, elektronsko podpisano in shranjeno v namenski register. Ta organizacija je svetovalnici omogočila, da svoje skladnost prikaže kot prodajni argument pri velikih razmerljiv s strogimi preverkami dobaviteljev, zmanjšujući povprečni rok sklepanja pogodbe z 7 na 2 tedna.

Zaključek

RGPD nalaga kadrovskim službam globoko preobrazbo svojih praks: stroga opredelitev pravnih podlag, učinkovito obveščanje sodelavcev, upravljanje pravic, pogodben nadzor podizvajalcev, varnost podatkov in skladnost s časovnimi roki hranjenja. Te obveznosti niso le upravni formalizmi — pogojujejo sposobnost podjetja, da se izogne sankcijam v višini več milijonov EUR in da ohrani zaupanje svojih timov.

Digitalizacija procesov HR prek rešitev elektronskega podpisa, skladnih z eIDAS, je eno najbolj učinkovitih sredstev za uskladitev operativne učinkovitosti in regulativne skladnosti. Certyneo spremlja kadrovske timove pri tem prehodu, od podpisovanja pogodbe o zaposlitvi do varne arhivacije delavčevih dosjej.

Odkrijte, kako Certyneo varuje vaše kadrovske procese s posvetovanjem naše ponudbe, namenjene kadrovskim timom ali z brezplačnim začetkom za preizkus brez obveznosti.