GDPR

Что это значит

GDPR - это регламент ЕС о защите персональных данных. Он касается каждой компании, обрабатывающей данные об идентифицируемых людях, то есть и той, у которой есть лишь сотрудники и контакты клиентов.

Он строится на нескольких обязанностях: иметь правовое основание обработки, обрабатывать только нужные данные, информировать субъектов, хранить данные ограниченное время и защищать их соразмерными мерами.

Для бухгалтерских и зарплатных данных правовое основание - не согласие, а обязанность по закону: закон о бухгалтерском учёте и налоговые правила предписывают данные обрабатывать и хранить. Согласие, которое компания просит у сотрудника ради расчётного листка, поэтому лишнее и к тому же вводит в заблуждение: отозвать его сотрудник на деле не может.

Как это работает на практике

Для обычного s. r. o. это означает: реестр операций обработки, информирование сотрудников и клиентов, соглашение об обработке данных с подрядчиками вроде бухгалтерской фирмы, зарплатной системы или облака, и настроенные доступы.

Зарплатный и бухгалтерский участок содержит и данные особой категории: медицинские справки, сведения о детях, исполнительные производства. Их нельзя отправлять обычной почтой без защиты, и к ним относятся шифрование или обмен через защищённое хранилище.

Когда бывший сотрудник просит удалить его данные, мы сначала проверяем, какие из них компания обязана хранить дальше, например зарплатные карточки для пенсионных целей. Их не удаляют, а ограничивают к ним доступ, остальное удаляют, и заявитель получает ответ в течение одного месяца. Право на удаление не означает стереть всё.

На что обратить внимание

О нарушении защиты данных, как правило, уведомляют регулятор в течение 72 часов с момента обнаружения, поэтому нужно понимать, что произошло и кого это касается. Фотографии сотрудников, камеры и маркетинговые базы - три области, где компании чаще всего обрабатывают данные без правового основания.

Данные копятся дольше, чем нужно: резюме неприглашённых кандидатов, старые копии почтовых ящиков, выгрузки клиентов в таблицах на ноутбуках. Каждая такая копия при нарушении защиты данных - ещё один затронутый файл, а при проверке - доказательство того, что сроки хранения компания не соблюдает.