Dacă te uiți unde stau cele mai multe date personale într-o firmă, răspunsul e aproape mereu același: la resurse umane. Un dosar de angajat are nume, adresă, CNP, cont bancar, salariu, contract, evaluări, uneori concedii medicale și date despre familie. Toate la un loc, despre un om pe care firma îl și plătește.
Tocmai de aceea HR-ul e și locul unde se calcă cel mai des GDPR-ul, fără rea intenție. Un CV uitat pe un birou, un tabel cu salarii trimis greșit, o cameră pusă „ca să fim siguri". Lucruri care par mărunte până devin o problemă.
Pe ce bază legală folosești datele angajaților
Aici e cea mai frecventă confuzie, așa că merită spus clar: în HR, acordul angajatului de obicei nu e valabil.
Motivul e simplu. Un acord trebuie să fie liber, dat fără presiune. Dar între firmă și angajat puterea nu e egală, iar un „da" dat de teamă să nu superi șeful nu e un „da" liber. De aceea legea spune că pentru angajați te bazezi, în cele mai multe cazuri, pe altceva:
- Contractul de muncă — pentru tot ce ține de derularea lui: plata salariului, fișa postului, evidența orelor.
- O obligație legală — pentru taxe, contribuții, raportări către stat, sănătate și securitate în muncă.
- Interesul legitim al firmei — pentru lucruri rezonabile, ca securitatea sistemelor, dacă nu calcă peste drepturile angajatului.
Acordul rămâne valabil doar în puține situații, unde angajatul chiar are de ales fără să piardă nimic dacă refuză, de pildă o poză pe site-ul firmei.
Recrutarea și CV-urile
Recrutarea aduce un val de date despre oameni care nici nu lucrează (încă) la tine. Și aici sunt câteva reguli de bun-simț pe care GDPR le cere negru pe alb.
- Ceri doar ce e relevant pentru post. Nu ai nevoie de starea civilă, de planuri de a avea copii sau de date despre sănătate ca să evaluezi un candidat.
- Păstrezi CV-urile cât are sens. După ce s-a ocupat postul, CV-urile celor respinși se șterg, dacă nu ai un motiv clar să le ții.
- Pentru „te ținem în bază pentru viitor" ai nevoie de acord. Aici acordul chiar e valabil, fiindcă persoana nu depinde încă de tine.
Monitorizarea la locul de muncă
Camere, urmărirea e-mailului, GPS pe mașini, programe care văd ce face angajatul pe calculator. Toate sunt posibile, dar niciuna „așa, ca să fim siguri". GDPR cere ca monitorizarea să treacă trei teste simple.
- Are un scop real? Securitate, protecția bunurilor, o cerință legală. Nu simpla curiozitate sau neîncrederea.
- E cât mai blândă cu putință? Alegi varianta care deranjează cel mai puțin și încă îți rezolvă problema.
- Oamenii știu? Angajații trebuie informați dinainte, în scris, ce se monitorizează și de ce. Pe ascuns nu e voie.
Despre o formă mai apăsată de monitorizare am scris separat, în articolul despre recunoașterea facială la locul de muncă. Iar despre rolul oamenilor în securitate, în factorul uman.
Ce poate face concret un departament HR
- Acces pe roluri. Salariile le vede contabilitatea, evaluările le vede managerul direct. Nu toată lumea vede totul.
- Reguli clare de păstrare. Cât ții fiecare tip de document după ce omul pleacă, și ce arunci la timp.
- Informarea angajaților. O notă simplă care le spune ce date le folosești, de ce și ce drepturi au.
- Grijă cu furnizorii. Softul de salarizare, platforma de recrutare, firma de medicina muncii. Toți ating date de angajați, deci toți au nevoie de un contract clar.
- Oameni instruiți. Echipa de HR învățată cum se trimite în siguranță un fișier cu date și ce nu se cere la interviu.
La INFOSHARE ajutăm departamentele de HR să pună toate astea la punct: baze legale corecte, reguli de păstrare, informări și politici de monitorizare care chiar țin. Vezi serviciile GDPR, rolul de DPO externalizat, iar pentru evidență, platforma askGDPR.
Întrebări frecvente
Pot să cer angajatului acordul pentru folosirea datelor lui?
De obicei nu, și aici greșesc multe firme. Între angajator și angajat raportul nu e egal, așa că un acord dat de teamă să nu-ți pierzi locul de muncă nu e considerat liber, deci nu e valabil. Pentru cele mai multe date din HR baza legală corectă e contractul de muncă, o obligație legală (salarii, taxe, sănătate și securitate în muncă) sau interesul legitim al firmei, nu acordul.
Cât timp pot păstra CV-urile candidaților respinși?
Doar cât are sens pentru recrutarea respectivă. După ce postul s-a ocupat, CV-urile candidaților care nu au fost aleși ar trebui șterse, dacă nu ai un motiv clar să le ții, de exemplu pentru un alt rol. Dacă vrei să păstrezi un CV pentru viitor, ai nevoie de acordul candidatului, care aici chiar e valabil, fiindcă persoana nu lucrează încă pentru tine.
Pot monitoriza e-mailul și calculatorul angajaților?
Doar în limite clare. Monitorizarea trebuie să aibă un scop real (de pildă securitatea), să fie cât mai puțin intruzivă, iar angajații trebuie informați dinainte, în scris, ce se monitorizează și de ce. Monitorizarea pe ascuns sau citirea mesajelor personale nu sunt permise. Înainte de a porni o monitorizare mai apăsată, de regulă e nevoie de o evaluare a riscurilor.
Camerele de supraveghere la birou sunt permise?
Da, dar cu măsură. Poți pune camere în zone unde există un motiv real (intrare, casierie, depozit), cu semne care anunță supravegherea. Nu ai voie să pui camere unde oamenii se așteaptă la intimitate, cum sunt vestiarele sau zonele de pauză, și nu poți folosi imaginile ca să urmărești în detaliu cum își petrece timpul fiecare angajat.
Vrei un HR conform, fără bătaie de cap?
Punem la punct bazele legale, regulile de păstrare, informările și politicile de monitorizare, adaptate la cum lucrează firma ta.