RGPD у ЛР: Обробка даних працівників

Загальний Регламент про захист даних (RGPD) застосовується не лише до комерційних відносин між компанією та її клієнтами: він також регулює, у дуже точний спосіб, обробку персональних даних працівників. Найм, управління заробітною платою, контроль доступу, оцінка продуктивності, відеонагляд… кожен етап життєвого циклу трудового договору генерує персональні дані, які роботодавець повинен обробляти у суворій відповідності з європейським правом. Зі штрафами, що можуть сягати 20 мільйонів євро або 4% від річного світового обороту, ставка є значною. Ця стаття описує застосовні правові підстави, практичні зобов'язання служб ЛР та найкращі практики для захисту ваших операцій обробки — включаючи дематеріалізацію документів ЛР.

Правові основи обробки даних ЛР

Правові підстави, дозволені в трудовому праві

RGPD визначає шість правових підстав для обробки персональних даних (стаття 6). У контексті ЛР три з них мобілізуються майже систематично:

• Виконання трудового договору (ст. 6.1.b): становить основну базу для управління заробітною платою, контролю часу роботи, видачі розрахункових листків або управління відпустками.

• Юридичне зобов'язання (ст. 6.1.c): обґрунтовує обробку, передбачену Трудовим кодексом або законодавством про соціальне забезпечення, таку як попередня декларація про найм (DPAE), номінативна декларація про соціальні питання (DSN) або ведення єдиного реєстру персоналу.

• Законний інтерес (ст. 6.1.f): може бути основою для деяких операцій обробки комп'ютерної безпеки або запобігання внутрішньому шахрайству, за умови, що цей інтерес не переважає основні права працівників.

⚠️ Основа на основі згоди має вживатися з виняткову обережністю у контексті трудових відносин. CNIL регулярно нагадує, що невід'ємна асиметрія у відносинах роботодавець-працівник робить згоду рідко «вільною» у розумінні статті 7 RGPD. Звернення до згоди для операцій обробки, які могли б базуватися на іншій правовій підставі, наражає роботодавця на ризик перекваліфікації.

Спеціальні категорії даних: посилений режим

Деякі дані, зібрані ЛР, підпадають під режим «чутливих даних» за статтею 9 RGPD, обробка яких у принципі заборонена, крім винятків:

• Дані про здоров'я: хворобливі листи, визнані непридатності лікарем праці, пристосування робочого місця через інвалідність.

• Профспілкові дані: членство у профспілці, представницькі мандати.

• Біометричні дані: контроль доступу за відбитком пальця або розпізнаванням обличчя.

• Дані про правопорушення: перевірка судимості, дозволена лише в регульованих секторах (безпека, дітьми тощо).

Для цих категорій роботодавець повинен виявити явний виняток (ст. 9.2), у більшості випадків провести аналіз впливу на захист даних (AIPD) та часто проконсультуватися з CNIL перед впровадженням.

Практичні зобов'язання служб ЛР

Реєстр операцій обробки

Будь-яка організація, яка має більше 250 працівників, зобов'язана вести реєстр операцій обробки (ст. 30 RGPD). Нижче цього порогу зобов'язання залишається, якщо операції обробки не є епізодичними або стосуються чутливих даних — що в ЛР майже завжди так. Цей реєстр повинен документувати:

• Мету кожної операції обробки (наприклад: «управління розрахунковими листками»)

• Категорії задіяних даних

• Одержувачів (треті сторони, обробники даних, органи влади)

• Строки зберігання

• Заходи безпеки, які були впроваджені

CNIL надає в розпорядження вільно завантажуваний шаблон реєстру. Його ретельне ведення становить першу лінію захисту у разі перевірки.

Строки зберігання: часто нехтуваний момент

Стаття 5.1.e RGPD встановлює принцип обмеження зберігання: дані не повинні зберігатися понад строк, необхідний для мети, для якої вони були зібрані. У ЛР рекомендовані законні строки зберігання такі:

| Тип даних | Рекомендований строк зберігання | |---|---| | Розрахунковий листок | 5 років (цивільна давність) | | Трудовий договір | 5 років після розірвання контракту | | Дані про найм (невідібраний кандидат) | Максимум 2 роки після останнього контакту | | Дисциплінарна справа | Змінний строк залежно від санкції (макс. 3 роки для попередження) | | Дані відеонагляду | 1 місяць в основному | | DSN та реєстр персоналу | 5 років після виходу працівника |

Ці строки повинні бути внесені до реєстру та застосовані через процедури видалення або остаточного архівування.

Інформування працівників: зобов'язання, яке часто недооцінюється

Стаття 13 RGPD вимагає надання повної інформаційної записки особам, чиї дані стосуються, під час збирання їх даних. У ЛР цю записку слід в ідеалі передавати:

• Під час подання заявки: для даних, зібраних під час процесу найму.

• При наймі: включена в трудовий договір або передана у додатку під час підписання.

• Впродовж трудових відносин: при кожній новій операції обробки (наприклад: впровадження інструменту біометричного контролю часу).

Дематеріалізація процесу адаптації працівника, зокрема через електронний підпис для ЛР, полегшує відстеження передачі цієї інформації: дата читання та підписання записки фіксується в надійний спосіб, що становить цінний елемент доказу у разі суперечки.

Безпека даних ЛР: технічні та організаційні заходи

Шифрування, контроль доступу та розділення

Стаття 32 RGPD вимагає впровадження заходів безпеки адекватних ризику. Для даних ЛР, які за природою чутливі та є мішенню при вторгненнях, мінімальні найкращі практики включають:

• Шифрування даних у спокої та при передачі: файли заробітної плати, контракти та особистісні справи повинні зберігатися зашифровані (AES-256 як мінімум) та передаватися через безпечні протоколи (TLS 1.3).

• Управління доступом на основі ролей (RBAC): лише уповноважені фахівці з ЛР мають доступ до даних про заробітну плату; керівник команди має доступ лише до даних, необхідних для управління.

• Логування доступу: будь-яке звертання або змінення справи працівника повинна бути відстежуватись з ідентифікатором користувача, датою та часом.

• Псевдонімізація для аналітичних операцій обробки (панелі ЛР, дослідження оплати праці).

Управління обробниками даних у сфері ЛР

Служби ЛР звертаються до численних обробників даних: видавці SIRH, постачальники послуг з обробки заробітної плати, платформи навчання, інструменти онлайн-найму. Кожна з цих третіх сторін повинна бути об'єктом контракту з обробкою даних, відповідного статті 28 RGPD, який зокрема передбачає:

• Характер та мету операцій обробки, переданої на аутсорсинг

• Зобов'язання обробника щодо безпеки та конфіденційності

• Заборона на субпостачання без попередньої письмової згоди

• Умови повернення або знищення даних після закінчення контракту

При виборі постачальника слід також перевірити, чи розташовуються його сервери у Європейській економічній зоні (ЄЕЗ) або чи існує відповідний механізм передачі (типові контрактні умови, рішення про адекватність) для передачі даних поза ЄЕЗ.

Дематеріалізація документів ЛР та відповідність RGPD

Зростаючої цифровізація процесів ЛР — електронні трудові договори, дематеріалізовані розрахункові листки, амендаменти, підписані на відстані — створює специфічні проблеми RGPD. Хоча електронний підпис, відповідний eIDAS, забезпечує безперечні гарантії цілісності та автентичності, роботодавець повинен забезпечити, щоб платформа, яка використовується:

• Не збирала зайві дані під час процесу підписання (принцип мінімізації, ст. 5.1.c)

• Зберігала докази підписання (журнал аудиту) у безпечних умовах та протягом відповідного строку

• Дозволяла здійснення прав підписувачів (доступ, виправлення, видалення в межах закону)

Для більш детального вивчення відповідності інструментів підписання повний посібник з електронного підпису Certyneo описує технічні та юридичні критерії, які необхідно перевірити перед впровадженням.

Права працівників та їх ефективне здійснення

Огляд прав, гарантованих RGPD

Працівники користуються всіма правами, передбаченими статтями 15-22 RGPD. У контексті ЛР найчастіше здійснювані права:

• Право на доступ (ст. 15): працівник може вимагати копію всіх даних про нього, які утримує роботодавець, включаючи при певних умовах обмін професійними електронними листами.

• Право на виправлення (ст. 16): виправлення неточних даних (помилка в реквізитах банківського рахунку, неправильно вказаний диплом тощо).

• Право на видалення (ст. 17): обмежене в ЛР юридичними зобов'язаннями щодо зберігання, але застосовується до даних про найм невідібраного кандидата.

• Право на заперечення (ст. 21): може бути здійснено проти операції обробки, заснованої на законному інтересі, наприклад деяких операцій контролю.

• Право на портативність (ст. 20): застосовується до даних, які надав сам працівник у контексті виконання контракту.

Строк відповіді та внутрішні процедури

Роботодавець має один місяць для відповіді на будь-яку вимогу щодо здійснення прав, строк, який може бути продовжено на три місяці у разі складності або великого обсягу запитів (ст. 12.3). Щоб організувати це обробляння ефективно, рекомендується:

• Призначити єдину контактну особу (DPO або контактну особу з RGPD) для отримання запитів

• Впровадити спеціальну форму, доступну для працівників

• Документувати кожний запит та його відповідь у реєстрі запитів щодо здійснення прав

• Навчити керівників ЛР виявляти неявні вимоги (коли працівник вимагає «свою особисту справу», він фактично здійснює своє право на доступ)

Роль DPO в компанії

RGPD вимагає призначення Дільника з Захисту Даних (DPO) у трьох випадках (ст. 37): державний орган, обробка у великому масштабі чутливих даних або систематичний контроль у великому масштабі. Багато компаній, обробка ЛР яких є значною, входять у це зобов'язання. DPO може бути внутрішнім або зовнішнім; повинен мати функціональну незалежність та брати участь у всіх рішеннях, які впливають на захист даних, включаючи впровадження нових цифрових інструментів ЛР. Його роль є консультативною, а не рішучою: остаточна відповідальність залишається за відповідальною особою з обробки даних, тобто роботодавцем.

Застосовна правова база для обробки даних ЛР

RGPD: засадничий текст

Регламент (ЄС) 2016/679 Європейського Парламенту та Ради від 27 квітня 2016 року (RGPD) становить законодавчу основу обробки персональних даних в Європі. Безпосередньо застосовуваний у всіх державах-членах з 25 травня 2018 року, він розповсюджується на будь-якого роботодавця, який обробляє дані працівників, які проживають в ЄС, незалежно від громадянства компанії. Основні застосовні в контексті ЛР статті:

• Ст. 5: основні принципи (законність, добросовісність, прозорість, мінімізація, точність, обмеження зберігання, цілісність та конфіденційність, відповідальність)

• Ст. 6: правові підстави для обробки

• Ст. 9: режим чутливих даних

• Ст. 12-22: права осіб, чиї дані стосуються

• Ст. 24-32: зобов'язання відповідальної особи з обробки даних та обробника даних

• Ст. 33-34: сповіщення про порушення даних (72 години до CNIL та інформування осіб, якщо існує високий ризик)

• Ст. 35: аналіз впливу (AIPD), обов'язковий для операцій обробки з високим ризиком

• Ст. 83: адміністративні санкції (до 20 млн € або 4% світового обороту)

Закон про Інформатику та Свободи із змінами

В французькому праві Закон №78-17 від 6 січня 1978 року про інформатику, файли та свободи, змінений Законом №2018-493 від 20 червня 2018 року та Постановою №2018-1125 від 12 грудня 2018 року, доповнює RGPD, відкриваючи національні поля для маневру («статті з можливістю вибору»). Серед найважливіших для ЛР: можливість обробляти профспілкові дані в контексті управління установами представництва персоналу (ст. 9 Закону), або ж спеціальні правила щодо обробки даних про здоров'я на роботі.

Трудовий кодекс та судова практика з трудових питань

Трудовий кодекс встановлює зобов'язання щодо інформування та попередньої консультації з Комітетом у соціальних та економічних питаннях (CSE) перед впровадженням будь-якого пристрою контролю або спостереження працівників (ст. L. 2312-38). Відсутність консультації наражає роботодавця на неможливість застосування збірних як доказу, а також на кримінальні санкції.

Судова практика Касаційного суду регулярно нагадує, що інструменти контролю (геолокація, бейджі, програмне забезпечення для контролю активності) повинні бути пропорційні поставленій меті та не можуть бути використані для інших цілей, ніж ті, що задекларовані працівникам та CNIL.

Електронний підпис документів ЛР: eIDAS та Цивільний кодекс

Під час дематеріалізації трудових договорів, амендаментів або дисциплінарних документів роботодавець повинен дотримуватися Регламенту (ЄС) №910/2014 eIDAS, який визначає три рівні електронного підпису. Для документів, настільки важливих, як ЦДТ контракт або документ про конвенційне розірвання, рекомендується просунутий електронний підпис (або навіть кваліфікований), щоб гарантувати особу підписувача та цілісність документа. Цивільний кодекс у статтях 1366 та 1367 визнає доказову силу електронного письма та електронного підпису за умови надійної ідентифікації підписувача та забезпечення цілісності.

Санкції, виконані CNIL у питаннях ЛР

CNIL впровадила кілька значних санкцій щодо обробки даних ЛР: у 2022 році компанія була засуджена до штрафу в 400 000 € за надмірний контроль працівників під час дистанційної роботи через програмне забезпечення для захоплення екрана. У 2023 році компанія з безпеки отримала санкцію у розмірі 200 000 € за надмірне збирання біометричних даних без дійсної правової основи. Ці рішення ілюструють зростаючу пильність регулятора щодо цієї сфери.

Сценарії використання: RGPD ЛР на практиці

Сценарій 1 — Середня промислова компанія з 450 працівниками наводить у відповідність свій процес найму

Середня промислова компанія, яка наймає близько 450 осіб на трьох майданчиках, отримувала щороку більше 3000 самоподаних заявок та відповідала на близько 60 оголошень про роботу. Резюме та листи про наміри зберігалися без обмеження строку в спільній поштовій скринці між шістьма керівниками служб. Жодна інформаційна записка не була передана кандидатам про використання їх даних.

Після аудиту RGPD наступні дії були розгорнуті протягом шести місяців:

• Переміщення на ATS (Applicant Tracking System), сертифікований як відповідний RGPD, з автоматичним видаленням справ через 24 місяці неактивності

• Додання інформаційної записки RGPD у кожну форму кандидатури в інтернеті

• Електронний підпис листів про прийняття на роботу та трудових договорів через платформу, сумісну з eIDAS, скоротивши час повернення підписаних контрактів із середнім показником 8 днів до менше 48 годин

• Оновлення реєстру операцій обробки з 12 новими картками з обробки ЛР

Результат: жодна вимога CNIL отримана протягом наступних 18 місяців;估лена економія 1,2 еквівалента повної зайнятості на управлінні адміністрацією найму завдяки дематеріалізації.

Сценарій 2 — Група розподілу з 1200 працівниками регулює свою політику відеонагляду

Група, спеціалізована на розподілі продуктів харчування, впровадила систему відеонагляду, яка охоплювала 34 роздрібні магазини. Зображення зберігалися 45 днів на деяких майданчиках без будь-яких повідомлень для працівників. Кілька датчиків постійно охоплювали касові стійки, створюючи ризик непропорційного спостереження.

Після скарги працівника до CNIL компанія започаткувала приведення у відповідність, яке включало:

• Скорочення строку зберігання до максимум 30 днів на всіх сайтах

• Перестановка камер для виключення постійного спостереження за окремими робочими місцями

• Консультація та згода центрального CSE перед будь-яким новим впровадженням

• Систематичне інформування працівників через трудові договори та внутрішню хартію, розміщену у видимому місці

Результат: закриття скарги CNIL без санкцій; поліпшення соціального клімату, виміреного під час наступного опитування задоволеністю (+11 пунктів за пунктом «довіра до роботодавця»).

Сценарій 3 — Консультативна компанія з ЛР, яка аутсорсує обслуговування, захищає передачу даних зі своїми клієнтами

Компанія, спеціалізована на аутсорсингу обробки заробітної плати та адміністрування персоналу, управляла справами працівників приблизно для двадцяти малих та середніх підприємств-клієнтів, що представляли близько 1800 розрахункових листків щомісяця. Файли заробітної плати передавалися через незашифровану електронну пошту без формалізованого контракту з обробкою даних у розумінні статті 28 RGPD.

Компанія здійснила повну реструктуризацію своїх практик:

• Підписання Угод про обробку даних (DPA), відповідних статті 28, з кожним зі своїх клієнтів, через платформу електронного підпису, яка дозволяє відстеження

• Впровадження безпечного портала клієнта (шифрування TLS + двофакторна автентифікація) для завантаження та отримання файлів заробітної плати

• Розміщення даних на серверах, розташованих у Франції, сертифікованих HDS для даних про здоров'я на роботі

• Розроблення політики щодо обробників даних, яка регулює звернення до третіх сторін (видавець програмного забезпечення для обробки заробітної плати, архіватор)

Результат: скорочення на 100% передачі даних ЛР через незахищену електронну пошту; отримання двох нових контрактів клієнтів, які зробили відповідність RGPD обов'язковим критерієм вибору в своєму конкурсному запиті.

Заключення

RGPD у ЛР не зводиться до додаткового адміністративного тягаря: це важіль довіри між роботодавцем та його співробітниками, а також фактор конкурентоспроможності на ринку праці, де прозорість все більше цінується. Реєстр операцій обробки, який актуально ведеться, контрольовані строки зберігання, формалізована інформація для працівників, посилена безпека чутливих даних та укладені контракти з обробниками даних: кожен з цих стовпів сприяє створенню політики ЛР, яка одночасно є законною та відповідальною.

Дематеріалізація документів ЛР — контрактів, амендаментів, розрахункових листків, інформаційних записок — надає унікальну можливість поєднати відповідність RGPD та операційну ефективність, за умови спирання на сертифіковані інструменти. Certyneo супроводжує вас у цьому процесі з рішенням для електронного підпису, сумісним з eIDAS, розробленим для команд ЛР. Дізнайтеся наші ціни та запустіть безплатний пробний період на Certyneo, щоб сьогодні захистити ваші документи ЛР.