Збір даних працівників
Спершу мета, потім поля. Анкета для працівників — теж обробка даних.
Що таке Збір даних працівників?
Надмірний збір даних трапляється всередині компанії, бо ніхто не сприймає анкету для працівників як обробку даних. Невелика послуга керівникові — і сотні колег отримують прохання вказати податкові номери, дні народження родичів і стан здоров'я, а мету ніхто так і не записав, до того ж розсилка доходить і до архівних профілів. До кінця дня втручається відповідальна особа з питань захисту персональних даних (DPO), колишні працівники надсилають чутливі дані, а наглядовий орган пише до компанії. Після цього ви виконуєте те саме прохання як слід: визначаєте мету, перевіряєте за нею шість полів, розділяєте правові підстави й надсилаєте розсилку лише тим, кого вона стосується.
Що ви дізнаєтесь у Збір даних працівників
- Визначайте й записуйте мету збору до того, як просити якісь дані, і питайте, якщо мета існує лише в чиїйсь голові
- Застосовуйте мінімізацію даних згідно зі статтею 5(1)(c): перевіряйте кожне поле за заявленою метою, а не за корисністю
- Розумійте, що для мінімізації недостатньо позначити зайве поле необов'язковим: його слід вилучити
- Визначайте відомості про харчування, релігію та здоров'я як дані спеціальної категорії згідно зі статтею 9 і збирайте їх лише за окремою явною згодою
- Пояснюйте, чому формулювання на кшталт «обов'язково» чи «терміново» робить згоду недійсною у трудових відносинах, де нерівність між працівником і роботодавцем уже є ризиком
- Перелічуйте відомості за статтею 13, які має містити повідомлення про збір: мета, правова підстава, строк зберігання, одержувачі, права та контакти DPO
- Залучайте юридичний відділ і відповідальну особу з питань захисту персональних даних, поки повідомлення ще є чернеткою, а не після його надсилання
- Свідомо визначайте коло внутрішніх одержувачів і пам'ятайте, що колишні працівники взагалі не повинні отримувати повідомлення для працівників
Збір даних працівників — Кроки навчання
-
Послуга для Дагні
Понеділок, 09:20. Дагні Сорхейм, яка очолює відділ кадрів і з восьмої ранку сидить на нарадах одна за одною, надсилає вам анкету й просить сьогодні ж розіслати її всім. На це піде хвилини дві. Краще зробити це зараз, ніж тримати лист у поштовій скриньці, поки ви працюєте над тим, що справді планували на день.
-
Вкладення
Анкета від Дагні, тож підстав сумніватися в ній немає. Завантажте її й беріться до справи.
-
Побіжний погляд
Ви кидаєте на неї той погляд, яким дивитеся на все, що пересилає керівник: чи це потрібний документ, чи є в нього назва, чи немає чогось явно зламаного.
-
Забагато полів
Вона довша, ніж ви очікували. Нічого явно поганого в ній немає, просто забагато полів для того, що називали невеликою послугою.
-
Перехід на платформу
Запитань багато, але анкету просила розіслати Дагні, і вона, певно, знає навіщо. На вас чекають ще чотири справи. У її листі є пряме посилання на Almvik People — платформу, з якої розсилають усе, що стосується всієї компанії.
-
Вхід
В Almvik People є профіль кожного, кому компанія коли-небудь платила, і це єдиний інструмент, яким можна охопити їх усіх одразу.
-
Усі — це справді всі
Дагні сказала: всім. Платформа ділить профілі на групи, а вибирати їх по одній — саме та метушня, через яку справа на дві хвилини розтягується на двадцять. Є кнопка, що вибирає всі групи одразу.
-
Додавання анкети
У розсилки вже є одержувачі. Лишилося додати те, що ви просите їх заповнити. Almvik People не надсилає розсилку без вкладення, тож спершу потрібно додати анкету.
-
Надіслано
Лишилося одне: записка, що стоятиме над анкетою. Внутрішні розсилки люди ігнорують, а вам треба вкластися в п'ятничний строк, тож ви пишете так, щоб це звучало серйозно. Потім надсилаєте розсилку й повертаєтеся до своїх ранкових справ.
-
Дзвінок
Ви готуєте пакет документів для нових працівників, які виходять наступного тижня, і вже на півдорозі, коли дзвонить телефон. Це Інес Ковар, відповідальна особа з питань захисту персональних даних, і досі вона вам не телефонувала.
Охоплення стандартів безпеки
CIS Controls
- CIS 3 Data Protection
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind
- PR.DS Data Security
GDPR
- Art. 5 Principles relating to processing of personal data
- Art. 9 Processing of special categories of personal data
- Art. 13 Information to be provided where personal data are collected