GDPR е една од оние теми каде што јазот меѓу практичната основа и индустрискиот комплекс на усогласеност е огромен. За контекст на HR-податоци во мала компанија (под 250 вработени, без обврска за офицер за заштита на податоци), еве што навистина е важно.
Трите работи што мора да ги направите
- Водете минимална евиденција на активности на обработка (RoPA). Три колони: кои податоци, зошто, рок на чување. Една страница е доволна - повеќето тимови имаат 6–8 записи.
- Имајте писмен договор за обработка на податоци (DPA) со секој добавувач што допира податоци на вработените. Повеќето SaaS-добавувачи ќе ви дадат; побарајте ако не.
- Бидете способни да исполните барање за пристап на субјектот во рок од 30 дена. Практично мерило: некој прашува „кои HR-податоци ги чувате за мене?“ и вие можете да произведете CSV.
Трите работи што можете да ги одложите (засега)
- Псевдонимизација на HR-податоци. Корисна за истражување/аналитика, не за нормални HR-операции. Прескокнете ја додека вашиот оперативен обем не го бара тоа.
- Формална проценка на влијанието врз заштитата на податоците за секоја нова алатка. Потребна за обработка со висок ризик, што PTO-следачот не е.
- Именување на офицер за заштита на податоци. Задолжително само ако вашите основни активности вклучуваат обработка од голем обем или обработка на посебни категории податоци.
Прашањето за локацијата на податоците
За HR-податоци на жители на ЕУ, практичното мерило е „шифрирани во пренос и во мирување, хостирани во земја со одлука за адекватност или преку добавувач со стандардни договорни клаузули“. Хостирање само во САД е оперативно во ред ако добавувачот има стандардни договорни клаузули и сертификација според Data Privacy Framework.
Барања за пристап на субјектот во пракса
Повеќето мали тимови паничат околу овие барања затоа што замислуваат непријателски поранешен вработен што поднесува едно. Во пракса обемот е близу нула, а работата - извоз на нивните податоци - е едноставна ако вашите алатки имаат копче за извоз. Однапред да мапирате кои алатки кои податоци ги чуваат трае еден час и ја штеди паниката.
Театарот на усогласеност е поопасен од никаква усогласеност, зашто го имунизира тимот против вистинската работа.