GDPR

Що це означає

GDPR - це регламент ЄС про захист персональних даних. Він стосується кожної компанії, що обробляє дані про ідентифікованих людей, тобто і тієї, у якої є лише працівники та контакти клієнтів.

Він будується на кількох обов’язках: мати правову підставу обробки, обробляти лише потрібні дані, інформувати суб’єктів, зберігати дані обмежений час і захищати їх співмірними заходами.

Для бухгалтерських і зарплатних даних правова підстава - не згода, а обов’язок за законом: закон про бухгалтерський облік і податкові правила приписують дані обробляти та зберігати. Згода, яку компанія просить у працівника заради розрахункового листка, тому зайва й до того ж вводить в оману: відкликати її працівник насправді не може.

Як це працює на практиці

Для звичайного s. r. o. це означає: реєстр операцій обробки, інформування працівників і клієнтів, угоду про обробку даних із підрядниками на кшталт бухгалтерської фірми, зарплатної системи чи хмари, і налаштовані доступи.

Зарплатна та бухгалтерська ділянка містить і дані особливої категорії: медичні довідки, відомості про дітей, виконавчі провадження. Їх не можна надсилати звичайною поштою без захисту, і до них належать шифрування або обмін через захищене сховище.

Коли колишній працівник просить видалити його дані, ми спершу перевіряємо, які з них компанія зобов’язана зберігати далі, наприклад зарплатні картки для пенсійних цілей. Їх не видаляють, а обмежують до них доступ, решту видаляють, і заявник отримує відповідь протягом одного місяця. Право на видалення не означає стерти все.

На що звернути увагу

Про порушення захисту даних, як правило, повідомляють регулятор протягом 72 годин з моменту виявлення, тому треба розуміти, що сталося і кого це стосується. Фотографії працівників, камери та маркетингові бази - три сфери, де компанії найчастіше обробляють дані без правової підстави.

Дані накопичуються довше, ніж треба: резюме кандидатів, яким відмовили, старі копії поштових скриньок, вивантаження клієнтів у таблицях на ноутбуках. Кожна така копія під час порушення захисту даних - ще один зачеплений файл, а під час перевірки - доказ того, що строки зберігання компанія не дотримує.