Управление на данните на служителите: Практическо ръководство по GDPR

Досиетата на служителите изискват ясни правила: какво събирате, кой има достъп до тях и кога трябва да бъдат изтрити. Започнете с целта на всяко досие, а не със списък от информация, която може да ви е полезна някой ден.

Проверено на 21 септември 2026 г. Националните правила за заетостта и обстоятелствата, при които се извършва обработката, също имат значение.

Събиране на информация за конкретна цел

Контактните данни, информацията за заплатите, работното време и записите за производителността служат за различни цели. Запишете целта, лицата, които се нуждаят от достъп, и приложимото правило за съхранение за всяка категория. Системата за управление на човешките ресурси трябва да ви помага да поддържате ясно разграничение между тях.

GDPR изисква минимизиране на данните. Фактът, че сте работодател, не представлява общо разрешение за събиране на лична информация за служителите. Данните за наказателни присъди и правонарушения се уреждат от член 10, отделно от специалните категории, посочени в член 9. GDPR, членове 5, 9 и 10

Информацията за здравното състояние, членството в профсъюзи и биометричните данни, използвани за еднозначна идентификация, изискват особено внимание. При обработката на данни от специални категории трябва да се посочи както правно основание съгласно член 6, така и приложимо условие съгласно член 9. Необходимостта по трудовото право съгласно член 9, параграф 2, буква б) зависи от разрешение в законодателството на ЕС или в националното законодателство, или от отговарящо на изискванията колективно споразумение, съдържащо гаранции. EDPB: законно обработване и чувствителни данни

Изберете правното основание за всяка дейност

Договорната необходимост, правното задължение и легитимните интереси са често срещани в трудовите правоотношения, но подходящото правно основание зависи от конкретната дейност. Наличието на клауза в договора не прави всяко свързано с нея използване на данни необходимо. Легитимните интереси изискват оценка на необходимостта и балансиране на интересите; за мониторинга могат да се прилагат допълнителни национални правила.

Съгласието често е неподходящо, когато трудовото правоотношение възпрепятства свободния избор. Когато се използва, трябва да е възможно отказът и оттеглянето му без неблагоприятни последици. Документирайте правното основание преди започването на обработката. EDPB: правни основания

Обяснете ясно обработката

За информация, събрана директно от служителя, член 13 обикновено изисква предоставянето на информация за защита на личните данни в момента на получаване на данните. Данните, получени от други източници, попадат в обхвата на член 14, който предвижда свои собствени срокове и изключения. Посочете целите, правните основания, получателите, сроковете за съхранение, прехвърлянията, когато е приложимо, и приложимите права. Потвърждението на уведомлението не представлява съгласие за всяка дейност, описана в него. GDPR, членове 13 и 14

Улеснете достъпа до уведомлението след назначаването. Ако служителят попита за конкретно използване на данните му, някой трябва да може да обясни реалния процес, който стои зад формулировката.

Обработвайте заявките на служителите чрез ясен процес

Служителите могат да поискат достъп и коригиране на данните си, като в зависимост от обстоятелствата могат да имат право на изтриване, ограничаване, преносимост или възражение. Изтриването не е безусловно: законните задължения за съхранение и правни искове могат да обосноват запазването на някои записи. Ограничаването също не представлява абсолютна забрана за всяко използване на съхраняваната информация.

Преносимостта се отнася до данните, предоставени от физическото лице, обработвани по автоматизиран начин въз основа на съгласие или договор. Тя не обхваща всички записи в областта на човешките ресурси. Обикновено исканията изискват отговор в срок от един месец; разрешеното удължаване на срока трябва да бъде обосновано в рамките на този първи месец. Корекциите, изтриването и ограниченията може да се наложи да бъдат съобщени на получателите, при спазване на изключенията по член 19. EDPB: права на физическите лица

Един полезен вътрешен работен процес е:

1. Запишете кога е постъпило искането и определете отговорно лице.
2. Уточнете какво се изисква и проверете самоличността по съразмерен начин.
3. Извършете търсене в съответните системи, включително документи и кореспонденция.
4. Проверете отговора за информацията на други лица и приложимите ограничения.
5. Изпратете отговора по сигурен начин и запишете какво е било направено.

Задаване на срока за съхранение според типа на записите и юрисдикцията

Няма единна таблица на ЕС за сроковете на съхранение на всички данни за служителите. Документите за заплатите, досиетата на кандидатите и медицинските досиета за трудова медицина могат да подлежат на различни изисквания. Запишете причината за всеки период, кога започва отчитането на срока, евентуалните етапи на ограничено архивиране и какво се случва при изтичане на срока.

Френската CNIL публикува насоки за съхранение на данни в областта на човешките ресурси, но сроковете, специфични за страната, не трябва да се представят като правила, валидни за целия ЕС. Правните задължения за съхранение и законоустановените срокове за съхранение могат да се променят, когато изтриването е целесъобразно. CNIL: срокове за съхранение

Настройката по подразбиране в софтуера е ориентир, а не доказателство, че избраният период е законен. Включете в процеса си експортирането на данни, свързаните услуги и работата с резервните копия.

Водете регистър на дейностите, а не втори списък със служителите

Регистърът на дейностите по обработване описва операции като изчисляване на заплати или набиране на персонал. Той не представлява отделен ред за всеки нов служител. Не приемайте, че ако имате по-малко от 250 служители, задължението отпада: изключението е ограничено, а текущата обработка на данни в областта на човешките ресурси не е спорадична. EDPB: регистри и отчетност

Проверете ролята на всеки доставчик

Когато доставчик обработва данни от ваше име, е необходим договор за обработващ лични данни съгласно член 28. Други получатели могат да действат като независими или съвместни администратори и се нуждаят от различна оценка; не всяко разкриване на данни представлява отношение с обработващ лични данни. GDPR, членове 26 и 28

За прехвърляния извън ЕИП проверете приложимото решение за адекватност или гаранциите, както и договора за услуги. Регистрацията в ЕС и местоположението на сървъра не определят изцяло потока на данни. EDPB: международни прехвърляния

PersoHR предоставя експортиране на данни, работни потоци за изтриване и одитни записи в подкрепа на тези процеси. Вашата организация все пак трябва да реши кои правила се прилагат, да конфигурира услугата съответно и да прегледа заявките, преди да предприеме действия по тях.