LEGISLAŢIE Managementul resurselor umane din perspectiva GDPR

Prelucrarea de către departamentele de resurse umane a datelor cu caracter personal este un element-cheie al conformării cu GDPR, mai ales prin prisma faptului că în această zonă operaţională se prelucrează o cantitate foa-rte mare de date, iar riscul evenimentelor de securitate a datelor (data breach) este ridicat.

În primul rând, haideţi să vedem care sunt drepturile salariaţilor sub noile reglementări:

-vor putea afla ce date cu caracter personal prelucrează departamentul resurse umane, care este motivul pentru care acestea sunt procesate, unde anume sunt stocate şi pentru ce perioadă;

-vor avea dreptul să solicite departamentului resurse umane o copie gratuită a oricărui tip de date cu caracter personal deţinut;

-vor beneficia de date personale procesate corect, complet şi la zi;

-vor primi o informare din partea departamentului resurse umane cu privire la orice prelucrare a datelor cu caracter personal care îi priveşte, precum şi scopul în care această procesare are loc;

-le va fi asigurat dreptul la acces, corectare şi/sau ştergerea acestora.

Principiile care stau la baza noilor reglementări cu privire la prelucrarea datelor cu caracter personal sunt şi ele stipulate foarte clar în Regulamentul European, precum şi în proiectul de lege de transpunere din România.

Specialiştii în resurse umane vor trebui să fie foarte atenţi în primul rând la elementul timp - datele personale nu mai pot fi stocate pe o perioadă nedeterminată, acest lucru având aplicabilitate asupra datelor foştilor angajaţi, dar şi ale candidaţilor la interviuri care au fost respinşi. Fiecare angajator va trebui să stabilească, prin politici şi proceduri interne, termenul de retenţie a datelor cu privire la personal. În aceeaşi categorie intră, spre exemplu, datele de monitorizare precum registre GPS, monitorizarea video etc. Pentru acestea, proiectul de lege de transpunere prevede un maximum de 30 de zile.

De asemenea, datele cu caracter personal nu pot fi folosite decât prin raportarea la unul dintre temeiurile prevăzute prin Regulamentul European şi argumentarea unui scop precis, bine definit şi care poate fi susţinut în faţa autorităţii de control. Temeiul trebuie identificat în mod corect de către operator. Spre exemplu, în raporturile cu salariaţii se recomandă evitarea utilizării consimţământului ca temei al prelucrării, ci mai degrabă se va avea în vedere executarea contractului (contractul individual de muncă sau contractul colectiv), conformarea cu o obligaţie legală, sau interesul legitim. Totodată, departamentul resurse umane va analiza în detaliu tipul de date care sunt prelucrate în legătură cu personalul pentru a identifica dacă există categorii speciale de date cu caracter personal (origine etnică, confesiune, date de sănătate etc.), întrucât cu privire la prelucrarea acestora Regulamentul European prevede restricţii sporite.

În altă ordine de idei, evenimentele de securitate cu privire la datele cu caracter personal (data breach events) vor trebui raportate într-un interval de maximum 72 de ore de la constatarea acestora, cu atât mai mult cu cât datele personale ale angajaţilor ar putea fi vulnerabilizate în acest sens. În anumite cazuri angajaţii vor trebui notificaţi şi ei, pe lângă raportarea către autoritatea de resort.

Stocarea datelor şi modul de circulare internă a acestora vor trebui securizate şi, după caz, vor fi criptate. Tot prin intermediul politicilor interne, departamentul resurse umane va trebui să definească cine are acces la acestea şi cum procedează la autentificarea în sistem atunci când le utilizează. Un element important este aplicarea aceloraşi măsuri de securitate şi în cazul documentelor pe suport fizic.

Având în vedere apropierea datei de 25 mai 2018, profesioniştii în resurse umane trebuie să se pregătească, ca şi celelalte funcţiuni dealtfel, prin parcurgerea unor paşi de aliniere internă, aşa cum sunt ei ceruţi de către noul Regulament de protecţie a datelor cu caracter personal.

O abordare serioasă şi responsabilă a conformării la GDPR începe cu redesenarea politicilor şi procedurilor de resurse umane ale companiei, ca şi prin acomodarea, în clauze speciale, a noilor cerinţe.

Întocmirea de către departamentul resurse umane a unui registru care inventariază practic toate tipurile de date cu caracter personal stocate sau prelucrate de companie, precum şi locul în care sunt acestea depozitate, este un alt pas firesc în procesul de aliniere. La nivel de companie, acest registru va fi parte integrantă a Registrului Operaţiunilor de Prelucrare, iar actualizarea acestuia va fi făcută periodic.

Tot în sarcina resurselor umane cade şi organizarea şi monitorizarea sesiunilor de informare a tuturor angajaţilor cu privire la cerinţele GDPR, şi aceasta obligatorie.

Pe plan intern, în companie, specialiştii în resurse umane vor trebui să conlucreze strâns cu celelalte fluxuri operaţionale, în aşa fel încât să beneficieze de informaţii la zi asupra datelor cu caracter personal prelucrate de către aceştia, şi să poată integra elementele de noutate ale politicilor şi procedurilor aferente.

Acest aspect vine să întărească rolul departamentului de resurse umane, cum este şi firesc, pe zona de protejare a datelor colectate de la anga-jaţi în scopul executării contractului de muncă.