RGPD u HRu: Obrada podataka zaposlenih

Opšta uredba o zaštiti podataka (RGPD) ne primenjuje se isključivo na poslovne odnose između preduzeća i njegovih klijenta: ona takođe, i na vrlo precizno, reguliše obradu ličnih podataka zaposlenih. Zapošljavanje, upravljanje platama, kontrola pristupa, ocenjivanje performansi, video nadzor... svaka faza životnog ciklusa ugovora o radu generiše lične podatke koje poslodavac mora obraditi u strogoj usklađenosti sa evropskim zakonima. Sa kaznama koje mogu dosegnuti 20 miliona evra ili 4% godišnjeg svetskog prometa, uloga je ogromna. Ovaj članak detaljno objašnjava primenjive pravne osnove, praktične obaveze HR službi i najbolje prakse za osiguranje obrade podataka — uključujući digitalizaciju HR dokumenata.

Pravni temelji obrade HR podataka

Dozvoljene pravne osnove u radnom pravu

RGPD nabrojava šest pravnih osnova za obradu ličnih podataka (član 6). U HR kontekstu, tri od njih se koriste gotovo sistematski:

• Izvršavanje ugovora o radu (član 6.1.b): predstavlja glavnu osnovu za upravljanje platama, praćenje radnog vremena, isplatu plaćenih listova ili upravljanje godišnjim odmorima.

• Zakonska obaveza (član 6.1.c): opravdava obrade koje nameće Zakon o radu ili socijalna zakonodavstva, kao što su prijava pre nego što se zaposli (DPAE), nominalna socijalna deklaracija (DSN) ili čuvanje jedinstvenog registra osoblja.

• Legitimna interesovanja (član 6.1.f): može biti osnova za određene obrade računarske sigurnosti ili sprečavanja unutrašnje prevare, pod uslovom da ta interesovanja nisu nadđena fundamentalnim pravima zaposlenih.

⚠️ Osnova saglasnosti mora se koristiti sa ekstremnom oprezom u kontekstu plata. CNIL redovno podseća da je neravnoteža svojstvena odnosu poslodavac-zaposleni retko čini saglasnost „slobodnom" u smislu člana 7 RGPD. Korišćenje saglasnosti za obrade koje bi mogle biti zasnovane na drugoj pravnoj osnovi izlaže poslodavca riziku od rekvifikovanja.

Posebne kategorije podataka: pojačan režim

Neki podaci koje prikupljaju HR službe spadaju u režim „osetljivih podataka" predviđen članom 9 RGPD, čija obrada je u principu zabranjena osim iznimki:

• Zdravstveni podaci: bolovanja, nedozvoljene radnje izjavljene od strane zaposlenika medicine, prilagođavanja radnog mesta zbog invalidnosti.

• Sindikalni podaci: članstvo u sindikatima, reprezentativni mandati.

• Biometrijski podaci: kontrola pristupa otiscima prstiju ili prepoznavanjem lica.

• Podaci vezani za prestupe: proveravanje krivičnog registra, dozvoljeno samo u regulisanim sektorima (bezbednost, zaštita dece, itd.).

Za ove kategorije, poslodavac mora da identifikuje jasnu iznimku (član 9.2), sprovede analizu uticaja na zaštitu podataka (AIPD) u većini slučajeva i često konsultuje CNIL pre primene.

Praktične obaveze HR službi

Register delatnosti obrade

Svaka organizacija sa više od 250 zaposlenih dužna je da održava registar delatnosti obrade (član 30 RGPD). Ispod ovog praga, obaveza ostaje ako obrade nisu povremene ili se odnose na osetljive podatke — što je gotovo uvek slučaj u HRu. Ovaj registar mora da dokumentuje:

• Svrhu svake obrade (npr. „upravljanje pla­ćenim listovima")

• Kategorije zahvaćenih podataka

• Primaoce (treće strane, podrađivače, vlasti)

• Periode čuvanja

• Mere bezbednosti koje su primenjene

CNIL stavlja na raspolaganje besplatno preuzimljiv šablon registra. Njegovo strogo čuvanje čini prvu liniju odbrane u slučaju provere.

Periodi čuvanja: često zanemarena tačka

Član 5.1.e RGPD nameće princip ograničavanja čuvanja: podaci se ne smeju čuvati duže od vremena potrebnog za svrhu za koju su prikupljeni. U HRu, preporučeni zakonski periodi su sledeći:

| Tip podataka | Preporučeni period čuvanja | |---|---| | Plaćeni list | 5 godina (civilna zastarenja) | | Ugovor o radu | 5 godina nakon prekida ugovora | | Podaci o zapošljenju (kandidat nisu odabran) | Maksimalno 2 godine nakon poslednjeg kontakta | | Disciplinski dosije | Različit period u zavisnosti od sankcije (maks. 3 godine za upozorenje) | | Video nadzor podaci | 1 mesec u principu | | DSN i registar zaposlenih | 5 godina nakon izlaska zaposlenika |

Ovi periodi moraju biti upisani u registar i primenjeni kroz procedure čišćenja ili definitivne arhivacije.

Informisanje zaposlenih: često potcenjena obaveza

Član 13 RGPD nameće da se obezbedi kompletna obavest informativnog karaktera licima na koja se obrada odnosi pri prikupljanju njihovih podataka. U HRu, ova obavest bi idealno trebalo da bude dostavljena:

• Tokom kandidovanja: za podatke prikupljene tokom procesa zapošljenja.

• Pri zapošljenju: uključene u ugovor o radu ili dostavljene kao prilog pri potpisivanju.

• Tokom poslovnog odnosa: pri svakoj novoj obradi koja se primeni (npr. primena biometrijskog alata za praćenje vremena).

Digitalizacija procesa uključivanja, posebno preko elektronske potpisane u HRu, olakšava praćenje ove dostave: datum čitanja i potpisivanja obavesti je vremenska oznaka na koja se može pouzdati, što predstavlja dragocen element dokaza u slučaju spora.

Sigurnost HR podataka: tehnička i organizaciona sredstva

Šifrovanje, kontrola pristupa i odvojenost

Član 32 RGPD zahteva primenu mera bezbednosti prilagođenih riziku. Za HR podatke, koji su po prirodi osetljivi i ciljani tokom upada, minimalne dobre prakse obuhvataju:

• Šifrovanje podataka u mirovanju i pri prenosu: datoteke plaća, ugovori i lični dosijei moraju biti čuvani šifrjovani (AES-256 na minimum) i prenošeni preko bezbednih protokola (TLS 1.3).

• Upravljanje pristupom zasnovano na ulogama (RBAC): samo ovlašćeni HR menadžeri pristupaju podacima o platama; vodilac tima pristupa samo podacima potrebnim za upravljanje.

• Evidentiranje pristupa: svaki pristup ili izmena dosijea zaposlenog mora biti praćen identifikatorom korisnika, datumom i vremenom.

• Pseudonimizacija za analitičke obrade (HR kontrolne table, studije naknada).

Upravljanje HR podrađivačima

HR službe angažuju brojne podrađivače: izdavače SIRH softvera, pružaoce usluga eksternog upravljanja platama, platforme za obuku, alate za zapošljenje online. Svaki od ovih treća lica mora biti predmet ugovora o podrađivanju usklađenog sa članom 28 RGPD, koji konkretno precizira:

• Prirodu i svrhu obrada koje se podrađuju

• Obaveze podrađivača u pogledu bezbednosti i poverljivosti

• Zabranu podpodrađivanja bez prethodne dozvole

• Modalitete za vraćanje ili uništavanje podataka na kraju ugovora

Pri izboru pružaoca usluge, preporučuje se da se proveri da li su njegovi serveri locirati na Evropskom ekonomskom području (EEP) ili postoji odgovarajući mehanizam prenosa (ugovorna taksla jezgra, odluka o adekvatnosti) za prenosove van EEP.

Digitalizacija HR dokumenata i usklađenost sa RGPD

Rastući broj digitalizovanih HR procesa — elektronski ugovori o radu, digitalizovani plaćeni listovi, avenani potpisani na daljinu — nameće specifične RGPD probleme. Iako elektronska potpisana usklađena sa eIDAS donosi nesporno zagušenja integriteta i autentičnosti, poslodavac mora osigurati da platforma koja se koristi:

• Ne prikuplja suvišne podatke tokom potpisnog procesa (princip minimizacije, član 5.1.c)

• Čuva dokaze o potpisanju (putanja audita) u bezbednim uslovima i tokom odgovarajućeg perioda

• Omogućava vršenje prava potpisujućih osoba (pristup, ispravke, brisanje u okviru zakonskih ograničenja)

Za dalje informacije o usklađenosti alata za potpisanje, sveobuhvatan vodič elektronske potpisane iz Certyneo detaljno navodi tehnička i pravna kriterijume koji se moraju proveriti pre primene.

Prava zaposlenih i njihova efektivna vršenja

Pregled prava zajamčenih od strane RGPD

Zaposleni imaju svu prava predviđena članovima 15 do 22 RGPD. U HR kontekstu, najčešće vršena prava su:

• Pravo pristupa (član 15): zaposleni može tražiti kopiju svih podataka koji se na njega odnose i koje drži poslodavac, uključujući profesionalne e-mejlove u određenim uslovima.

• Pravo na ispravku (član 16): korekcija netačnih podataka (greška u IBAN, pogrešno upisana diploma, itd.).

• Pravo na brisanje (član 17): ograničeno u HRu zakonskima obaveza čuvanja, ali primenjivo na podatke o zapošljenju kandidata koji nisu odabrani.

• Pravo na protest (član 21): može se vršiti protiv obrade zasnovane na legitimnim interesovanjima, kao što su određene mere nadzora.

• Pravo na prenosivost podataka (član 20): primenjivo na podatke koje je zaposleni dao u okviru izvršavanja ugovora.

Rok odgovora i unutrašnje procedure

Poslodavac ima jedan mesec da odgovori na bilo koji zahtev za vršenje prava, rok koji se može produžiti na tri meseca u slučaju složenosti ili visokog broja zahteva (član 12.3). Za efikasnu organizaciju ove obrade, preporučuje se:

• Određivanje jedinstvene kontaktne osobe (DPO ili RGPD referent) za primanje zahteva

• Uspostavljanje posebnog obrasca dostupnog zaposlenima

• Dokumentovanje svakog zahteva i njegovog odgovora u registru zahteva za vršenje prava

• Obuka HR menadžera za identifikovanje implicitnog zahteva (zaposleni koji terja „svoj lični dosije" de facto vrši svoje pravo pristupa)

Uloga DPO u preduzeću

RGPD nameće obavezu da se odluči Predstavnik za zaštitu podataka (DPO) u tri slučaja (član 37): javna vlast, obrada u velika merila osetljivih podataka ili sistematski nadzor u velika merila. Mnoga preduzeća čija je HR obrada značajna spadaju u ovu obavezu. DPO može biti interno ili eksternizirano; mora imati funkcijsku nezavisnost i biti uključeno u sve odluke koje utiču na zaštitu podataka, uključujući primenu novih digitalnih HR alata. Njegova uloga je konsultativna a ne odlučujuća: konačna odgovornost ostaje onog odgovorno za obradu, što je poslodavac.

Primenjivi pravni okvir za obradu HR podataka

RGPD: tekst od temeljnog značaja

Uredba (EU) 2016/679 Evropskog parlamenta i Saveta od 27. aprila 2016. (RGPD) predstavlja regulatorno temelje obrade ličnih podataka u Evropi. Direktno primenjiva u svim državama članicama od 25. maja 2018., primenjuje se na svakog poslodavca koji obrađuje podatke zaposlenih koji žive u EU, bez obzira na državu preduzeća. Glavni članci primenjivi u HR kontekstu su:

• Član 5: temeljna principa (zakonitost, lealnost, transparentnost, minimizacija, tačnost, ograničavanje čuvanja, integritet i poverljivost, odgovornost)

• Član 6: pravne osnove obrade

• Član 9: režim osetljivih podataka

• Članovi 12 do 22: prava osoba na koje se obrada odnosi

• Članovi 24 do 32: obaveze onoga odgovornog za obradu i podrađivača

• Članci 33-34: obaveštavanje o povredama podataka (72 sata CNIL, i obaveštavanje osoba ako je rizik visok)

• Član 35: analiza uticaja (AIPD) obavezna za obrade visokog rizika

• Član 83: administrativne kazne (do 20 M€ ili 4% svetskog godišnjeg prometa)

Zakon o informatici i slobodama izmenjen

U francuskom pravu, Zakon broj 78-17 od 6. januara 1978. o informatici, datotekama i slobodama, izmenjen Zakonom broj 2018-493 od 20. juna 2018. i Uredbom broj 2018-1125 od 12. decembra 2018., dopunjava RGPD otvarajući nacionalne manevarske prostore (« klauzule otvaranja »). Među najvažnijim u HRu: mogućnost obrade sindikalnih podataka u kontekstu upravljanja institucijama koje predstavljaju osoblje (član 9 Zakona) ili posebna pravila za obradu zdravstvenih podataka na radu.

Zakon o radu i socijalna jurisprudencija

Zakon o radu nameće obaveze obaveštavanja i prethodne konsultacije Socijalnog i ekonomskog odbora (CSE) pre primene bilo kojeg uređaja za nadzor ili kontrolu zaposlenih (član L. 2312-38). Nedostatak konsultacije izlaže poslodavca nemoguću primeni dokazima prikupljenih na ovaj način kao i kaznama.

Jurisprudencija Kasacionog suda redovno podseća da alati kontrole (geolociranje, čitač badge-a, softver za praćenje aktivnosti) moraju biti proporcionalni cilju koji se nastoji i ne mogu biti preusmereni drugačije nego što je prijavljeno zaposlenima i CNIL.

Elektronska potpisana HR dokumenata: eIDAS i Gradanski zakonik

Pri digitalizaciji ugovora o radu, avenana ili disciplinskih dokumenata, poslodavac mora da poštuje Uredbu (EU) broj 910/2014 eIDAS, koja definiše tri nivoa elektronske potpisane. Za dokumente tako strukturne kao što su ugovor o CDI radu ili dokument konvencionalnog prekida, napredna elektronska potpisana (ili čak kvalifikovana) se preporučuje kako bi se zajamčila identitet potpisujućeg i integritet dokumenta. Gradanski zakonik u članovima 1366 i 1367 potvrđuje vrednost dokaza elektronskog pisma i elektronske potpisane, pod uslovom pouzdanog prepoznavanja potpisujućeg i osiguranja integriteta.

Kazne koje je CNIL izrekla u HR obradi

CNIL je izrekla nekoliko značajnih kazni u obradi HR podataka: 2022. godine, preduzeće je osuđeno na kaznu od 400.000 € za preskupljiv nadzor zaposlenih na daljinskom radu preko softvera za hvatanje ekrana. 2023. godine, bezbednosna kompanija je dobila kaznu od 200.000 € za preskupljivo prikupljanje biometrijskih podataka bez važeće pravne osnove. Ove odluke ilustruju rastući nadzor regulatora u ovoj oblasti.

Scenariji korišćenja: RGPD HRu u praksi

Scenarij 1 — Srednja industrijska kompanija od 450 zaposlenih čini svoj proces zapošljenja usklađenim

Srednja industrijska kompanija, zapošljavajući oko 450 osoba na tri lokacije, primala je godišnje više od 3.000 spontanih kandidatura i odgovarala na oko šezdeset objavljivanja poslova. CV i pismena o namerama čuvani su bez ograničenja trajanja u deljenom e-mejlu između šestoro upravitelja službe. Nijedna obavest o informacijama nije dostavljana kandidatima o korišćenju njihovih podataka.

Posle RGPD audita, sledeće akcije su sprovedene u šest meseci:

• Migracija na ATS (Applicant Tracking System) sa sertifikatom da je usklađen sa RGPD, sa automatskim čišćenjem dosijea posle 24 meseca neaktivnosti

• Dodavanje RGPD obavesti o informacijama na svakom obrascu kandidovanja online

• Elektronska potpisana saopštenja o zapošljenju i ugovora o radu preko platforme usklađene sa eIDAS, čime se vreme povratka potpisanih ugovora smanjilo sa prosečno 8 dana na manje od 48 sati

• Ažuriranje registra delatnosti obrade sa 12 novih HR obradbenih listova

Rezultat: nijedan CNIL zahtev primljen u narednih 18 meseci; procenjeni dobitak od 1,2 ETP na upravnom upravljanju zapošljavanja zahvaljujući digitalizaciji.

Scenarij 2 — Grupa od 1.200 zaposlenih u distribuciji reguliše svoju politiku video nadzora

Grupa specijalizovana u distribuciji hrane postavila je sistem video nadzora koji pokriva 34 prodajnog mesta. Slike su čuvane 45 dana na određenim lokacijama, bez obaveštenja postavljenog za zaposlene. Nekoliko kameri je pokrivalo blagajne na stalnoj osnovi, generišući rizik od nerazmerne stalnog nadzora.

Posle pritužbe zaposlenika CNIL, kompanija je angažovala reviziju usklađenosti uključujući:

• Smanjenje perioda čuvanja na maksimalno 30 dana na svim lokacijama

• Preusmeravanje kamera da izuzmu stalni nadzor pojedinačnih radnih mesta

• Konsultacija i saglasnost Centralnog odbora pre bilo kog novog postavljanja

• Sistematsko obaveštavanje zaposlenih kroz ugovore o radu i interno pravilo objavljeno

Rezultat: zatvaranje CNIL pritužbe bez kazne; poboljšanje socijalnog klimata meren pri narednoj anketi zadovoljstva (+11 poena na stavci „poverenje prema poslodavcu").

Scenarij 3 — HR savetodavna kancelarija koja je eksternizirano čini sigurnim prenose podataka sa svojih klijenata

Kancelarija specijalizovana u eksternalizaciji upravljanja platama i administracije osoblja upravljala je dosijema zaposlenih za dvadeset PME klijenta, što je predstavljalo oko 1.800 plaćenih listova mesečno. Datoteke plaća su prenošene putem nekodovane e-pošte, bez formalnog ugovora o podrađivanju u smislu člana 28 RGPD.

Kancelarija je angažovala kompletnu reformu svojih praksi:

• Potpisivanje Data Processing Agreements (DPA) usklađenih sa članom 28 sa svakim svojim klijentom preko platforme napredne elektronske potpisane koja omogućava praćenost

• Uspostavljanje bezbednog portala klijenta (šifrovanje TLS + dvofaktorska autentifikacija) za depozit i preuzimanje datoteka plaće

• Smeštanje podataka na serverima lociranim u Francuskoj, sertificiranim HDS za zdravstvene podatke na radu

• Pisanje politike o podrađivanju koja reguliše korišćenje treća lica (izdavač softvera za plaće, arhivar)

Rezultat: 100% smanjenje prenosa HR podataka putem nekodovane e-pošte; dobitak dva nova klantska ugovora koji su usklađenost RGPD učinili obaveznim kriterijumom izbora u svom javnom pozivu za ponude.

Zaključak

RGPD u HRu se ne svodi na dodatnu administrativnu opterećenost: to je mehanizam poverenja između poslodavca i njegove saradnika, i faktor konkurentnosti na tržištu rada gde je transparentnost sve više cenjana. Registar obrada održavan a jour, periodi čuvanja kontrolisani, obaveštavanje zaposlenih formalizovano, ojačana bezbednost osetljivih podataka i podrađivači ugovorni: svaki od ovih stubova doprinosi izgradnji HR politike koja je istovremeno zakonita i odgovorna.

Digitalizacija HR dokumenata — ugovora, avenana, plaćenih listova, obavesti — nudi jedinstvenu mogućnost da se kombinuje usklađenost sa RGPD i operativna efikasnost, pod uslovom da se oslonite na certifikovane alate. Certyneo vas prati u ovom pristupu sa rešenjem elektronske potpisane usklađenim sa eIDAS, dizajniranim za HR timove. Otkrijte naše cene i pokrenite besplatan pokušaj na Certyneo kako bi osigurali HR dokumente od danas.