Ένας πρακτικός οδηγός για τη νόμιμη επεξεργασία, τα ευαίσθητα αρχεία εργαζομένων, τα αιτήματα παροχής δεδομένων, τη διατήρηση δεδομένων και την επιλογή παρόχων υπηρεσιών ανθρώπινου δυναμικού.
Τα αρχεία των εργαζομένων απαιτούν σαφείς κανόνες: τι συλλέγετε, ποιος έχει πρόσβαση σε αυτά και πότε πρέπει να διαγραφούν. Ξεκινήστε από τον σκοπό κάθε αρχείου, αντί να καταρτίζετε έναν κατάλογο πληροφοριών που μπορεί να φανούν χρήσιμες κάποια μέρα.
Οι πληροφορίες ελέγχθηκαν στις 21 Σεπτεμβρίου 2026. Σημασία έχουν επίσης οι εθνικοί κανόνες απασχόλησης και οι συνθήκες επεξεργασίας των δεδομένων.
Τα στοιχεία επικοινωνίας, οι πληροφορίες μισθοδοσίας, οι ώρες εργασίας και τα αρχεία απόδοσης εξυπηρετούν διαφορετικούς σκοπούς. Καταγράψτε τον σκοπό, τα άτομα που χρειάζονται πρόσβαση και τον ισχύοντα κανόνα διατήρησης για κάθε κατηγορία. Ένα σύστημα διαχείρισης ανθρώπινου δυναμικού θα πρέπει να σας βοηθά να διατηρείτε σαφείς αυτές τις διακρίσεις.
Ο ΓΚΠΔ απαιτεί την ελαχιστοποίηση των δεδομένων. Η ιδιότητα του εργοδότη δεν αποτελεί γενική άδεια για τη συλλογή προσωπικών πληροφοριών ενός εργαζομένου. Τα δεδομένα σχετικά με ποινικές καταδίκες και αδικήματα διέπονται από το άρθρο 10, ξεχωριστά από τις ειδικές κατηγορίες του άρθρου 9. ΓΚΠΔ, άρθρα 5, 9 και 10
Οι πληροφορίες σχετικά με την υγεία, η συνδικαλιστική ιδιότητα και τα βιομετρικά δεδομένα που χρησιμοποιούνται για την μοναδική ταυτοποίηση απαιτούν ιδιαίτερη προσοχή. Για την επεξεργασία ειδικών κατηγοριών δεδομένων, προσδιορίστε τόσο τη νομική βάση σύμφωνα με το Άρθρο 6 όσο και την ισχύουσα προϋπόθεση σύμφωνα με το Άρθρο 9. Η αναγκαιότητα βάσει του εργατικού δικαίου, σύμφωνα με το Άρθρο 9(2)(β), εξαρτάται από την εξουσιοδότηση που προβλέπεται στο δίκαιο της ΕΕ ή στο εθνικό δίκαιο, ή από μια κατάλληλη συλλογική σύμβαση, η οποία περιλαμβάνει εγγυήσεις. EDPB: νόμιμη επεξεργασία και ευαίσθητα δεδομένα
Η συμβατική αναγκαιότητα, η νομική υποχρέωση και τα έννομα συμφέροντα είναι κοινά στοιχεία στον τομέα της εργασίας, αλλά η κατάλληλη βάση εξαρτάται από τη συγκεκριμένη δραστηριότητα. Η ύπαρξη ρήτρας σε μια σύμβαση δεν καθιστά απαραίτητη κάθε σχετική χρήση δεδομένων. Τα έννομα συμφέροντα απαιτούν αξιολόγηση της αναγκαιότητας και στάθμιση των συμφερόντων· ενδέχεται να ισχύουν πρόσθετοι εθνικοί κανόνες όσον αφορά την παρακολούθηση.
Η συγκατάθεση είναι συχνά ακατάλληλη όταν η εργασιακή σχέση εμποδίζει την ελεύθερη επιλογή. Όταν χρησιμοποιείται, η άρνηση και η ανάκληση πρέπει να είναι δυνατές χωρίς αρνητικές συνέπειες. Καταγράψτε τη νομική βάση πριν από την έναρξη της επεξεργασίας. EDPB: νομικές βάσεις
Για πληροφορίες που συλλέγονται απευθείας από τον εργαζόμενο, το Άρθρο 13 απαιτεί κανονικά την παροχή των πληροφοριών σχετικά με την προστασία των προσωπικών δεδομένων κατά τη στιγμή της συλλογής των δεδομένων. Τα δεδομένα που λαμβάνονται από άλλες πηγές εμπίπτουν στο άρθρο 14, το οποίο προβλέπει δικούς του χρόνους και εξαιρέσεις. Πρέπει να καλύπτονται οι σκοποί, οι νομικές βάσεις, οι αποδέκτες, η διατήρηση, οι διαβιβάσεις όπου ισχύει, καθώς και τα εφαρμοστέα δικαιώματα. Η επιβεβαίωση της λήψης μιας ειδοποίησης δεν συνιστά συγκατάθεση για κάθε δραστηριότητα που περιγράφεται σε αυτήν. GDPR, άρθρα 13 και 14
Φροντίστε ώστε η ειδοποίηση να είναι εύκολα προσβάσιμη μετά την ένταξη του εργαζομένου. Εάν ο εργαζόμενος ρωτήσει για μια συγκεκριμένη χρήση των δεδομένων του, κάποιος θα πρέπει να είναι σε θέση να εξηγήσει την πραγματική διαδικασία που κρύβεται πίσω από τη διατύπωση.
Οι εργαζόμενοι μπορούν να ζητήσουν πρόσβαση και διόρθωση, ενώ ενδέχεται να έχουν δικαιώματα διαγραφής, περιορισμού, φορητότητας ή αντίρρησης, ανάλογα με τις περιστάσεις. Η διαγραφή δεν είναι άνευ όρων: οι νόμιμες υποχρεώσεις διατήρησης και οι νομικές αξιώσεις μπορούν να δικαιολογήσουν τη διατήρηση ορισμένων αρχείων. Ο περιορισμός, επίσης, δεν αποτελεί απόλυτη απαγόρευση κάθε χρήσης των διατηρούμενων πληροφοριών.
Η φορητότητα αφορά τα δεδομένα που παρέχονται από το φυσικό πρόσωπο και τα οποία υποβάλλονται σε αυτοματοποιημένη επεξεργασία βάσει συγκατάθεσης ή σύμβασης. Δεν καλύπτει κάθε αρχείο ανθρώπινου δυναμικού. Τα αιτήματα απαιτούν συνήθως απάντηση εντός ενός μήνα· τυχόν επιτρεπόμενη παράταση πρέπει να αιτιολογηθεί εντός του πρώτου αυτού μήνα. Οι διορθώσεις, η διαγραφή και οι περιορισμοί ενδέχεται να πρέπει να κοινοποιηθούν στους παραλήπτες, με την επιφύλαξη των εξαιρέσεων του άρθρου 19. EDPB: δικαιώματα των φυσικών προσώπων
Μια χρήσιμη εσωτερική ροή εργασιών είναι:
Δεν υπάρχει ενιαίος πίνακας διατήρησης δεδομένων της ΕΕ για όλα τα δεδομένα των εργαζομένων. Τα αποδεικτικά στοιχεία μισθοδοσίας, τα αρχεία υποψηφίων και τα αρχεία επαγγελματικής υγείας μπορεί να υπόκεινται σε διαφορετικές απαιτήσεις. Καταγράψτε τον λόγο για κάθε περίοδο, πότε αρχίζει η περίοδος, τυχόν φάση περιορισμένης πρόσβασης στο αρχείο και τι συμβαίνει όταν λήγει η περίοδος.
Η γαλλική CNIL δημοσιεύει οδηγίες σχετικά με τη διατήρηση δεδομένων από τα τμήματα ανθρώπινου δυναμικού, αλλά οι συγκεκριμένες για τη χώρα αυτή προθεσμίες δεν πρέπει να παρουσιάζονται ως κανόνες που ισχύουν σε ολόκληρη την ΕΕ. Οι νομικές υποχρεώσεις διατήρησης και οι νόμιμες προθεσμίες διατήρησης μπορούν να αλλάξουν όταν η διαγραφή είναι κατάλληλη. CNIL: προθεσμίες διατήρησης
Μια προεπιλεγμένη ρύθμιση λογισμικού αποτελεί στοιχείο αξιολόγησης και όχι απόδειξη ότι η επιλεγμένη περίοδος είναι νόμιμη. Συμπεριλάβετε τις εξαγωγές δεδομένων, τις συνδεδεμένες υπηρεσίες και τη διαχείριση των αντιγράφων ασφαλείας στη διαδικασία σας.
Το αρχείο καταγραφής των δραστηριοτήτων επεξεργασίας περιγράφει λειτουργίες όπως η μισθοδοσία ή η πρόσληψη. Δεν αποτελεί ξεχωριστή εγγραφή για κάθε νέο εργαζόμενο. Μην υποθέτετε ότι η απασχόληση λιγότερων από 250 εργαζομένων σας απαλλάσσει από την υποχρέωση: η εξαίρεση είναι περιορισμένη και η συνεχής επεξεργασία δεδομένων ανθρώπινου δυναμικού δεν αποτελεί περιστασιακή δραστηριότητα. EDPB: αρχεία και λογοδοσία
Όταν ένας προμηθευτής επεξεργάζεται δεδομένα για λογαριασμό σας, απαιτείται σύμβαση επεξεργαστή σύμφωνα με το άρθρο 28. Άλλοι παραλήπτες ενδέχεται να ενεργούν ως ανεξάρτητοι ή από κοινού υπεύθυνοι επεξεργασίας και απαιτείται διαφορετική αξιολόγηση· δεν αποτελεί σχέση επεξεργαστή κάθε περίπτωση κοινοποίησης. GDPR, άρθρα 26 και 28
Για διαβιβάσεις εκτός του ΕΟΧ, ελέγξτε την ισχύουσα απόφαση επάρκειας ή τα μέτρα διασφάλισης, καθώς και τη σύμβαση παροχής υπηρεσιών. Η σύσταση εταιρείας στην ΕΕ και η τοποθεσία του διακομιστή δεν καθορίζουν πλήρως τη ροή των δεδομένων. EDPB: διεθνείς διαβιβάσεις
Το PersoHR παρέχει δυνατότητες εξαγωγής δεδομένων, ροές εργασιών διαγραφής και αρχεία ελέγχου για την υποστήριξη αυτών των διαδικασιών. Ο οργανισμός σας πρέπει ακόμα να αποφασίσει ποιοι κανόνες ισχύουν, να διαμορφώσει την υπηρεσία αναλόγως και να εξετάσει τα αιτήματα πριν προβεί σε ενέργειες σχετικά με αυτά.
Δοκιμάστε το PersoHR δωρεάν για 30 ημέρες. Δεν απαιτείται πιστωτική κάρτα.
Ξεκινήστε τη δωρεάν δοκιμή 30 ημερών