Töötajate andmete haldamine: praktiline GDPR-juhend

Töötajate andmete haldamiseks on vaja selgeid reegleid: mida koguda, kellel on juurdepääs andmetele ja millal need tuleks kustutada. Alustage iga andmekogumi eesmärgist, mitte nimekirjast, mis sisaldab teavet, mis võib kunagi kasulikuks osutuda.

Faktid kontrollitud 21. septembril 2026. Olulised on ka riiklikud tööhõive-eeskirjad ja andmete töötlemise asjaolud.

Koguge teavet kindlaksmääratud eesmärgil

Kontaktandmed, palgaandmed, tööajad ja töötulemuste andmed teenivad erinevaid eesmärke. Märkige iga kategooria puhul ära eesmärk, isikud, kellel on vaja juurdepääsu, ning kohaldatav säilitamisreegel. Personalijuhtimissüsteem peaks aitama neid eristusi selgelt hoida.

GDPR nõuab andmete miinimumini viimist. Tööandja staatus ei anna üldist luba töötaja isiklike andmete kogumiseks. Kriminaalkaristuste ja õigusrikkumiste andmeid reguleerib artikkel 10, eraldi artiklis 9 nimetatud erikategooriatest. GDPR, artiklid 5, 9 ja 10

Terviseteave, ametiühingusse kuulumine ja unikaalseks identifitseerimiseks kasutatavad biomeetrilised andmed nõuavad erilist ettevaatust. Erikategooria andmete töötlemisel tuleb kindlaks määrata nii artikli 6 alus kui ka kohaldatav artikli 9 tingimus. Artikli 9 lõike 2 punkti b kohane tööõiguslik vajadus sõltub ELi või riikliku õiguse alusel antud loast või vastavatest kollektiivlepingutest, milles on sätestatud kaitsemeetmed. EDPB: õiguspärane töötlemine ja tundlikud andmed

Valige iga tegevuse jaoks õiguslik alus

Lepinguline vajadus, õiguslik kohustus ja õigustatud huvid on töösuhetes levinud, kuid sobiv alus sõltub tegevusest. Lepingus sisalduv klausel ei tee iga sellega seotud andmete kasutamist vajalikuks. Õigustatud huvide puhul on vaja hinnata vajalikkust ja kaaluda huve; seire suhtes võivad kehtida täiendavad riiklikud eeskirjad.

Nõusolek ei ole sageli sobiv, kui töösuhe takistab vaba valikut. Kui seda kasutatakse, peab keeldumine ja tagasivõtmine olema võimalik ilma kahjulike tagajärgedeta. Dokumenteerige õiguslik alus enne töötlemise algust. EDPB: õiguslikud alused

Selgitage andmete töötlemist selgelt

Töötajalt otse kogutud andmete puhul nõuab artikkel 13 tavaliselt privaatsusteabe esitamist andmete kogumise hetkel. Mujalt saadud andmed kuuluvad artikli 14 reguleerimisalasse, millel on oma ajakava ja erandid. Käsitlege andmete töötlemise eesmärke, õiguslikke aluseid, vastuvõtjaid, säilitamist, vajaduse korral edastamist ning kohaldatavaid õigusi. Teate kinnitamine ei tähenda nõusolekut kõigi selles kirjeldatud tegevustega. GDPR, artiklid 13 ja 14

Tee teade pärast tööleasumist kergesti leitavaks. Kui töötaja küsib oma andmete konkreetse kasutamise kohta, peaks keegi suutma selgitada sõnastuse taga peituvat tegelikku protsessi.

Käsitle töötajate taotlusi selge protsessi kaudu

Töötajatel on õigus taotleda juurdepääsu andmetele ja nende parandamist ning olenevalt asjaoludest võivad neil olla õigused andmete kustutamisele, töötlemise piiramisele, andmete ülekandmisele või vastuväidete esitamisele. Andmete kustutamine ei ole tingimusteta: seaduslikud säilitamiskohustused ja õigusnõuded võivad õigustada teatavate andmete säilitamist. Töötlemise piiramine ei tähenda samuti absoluutset keeldu säilitatud teabe igasugusele kasutamisele.

Andmete ülekantavus puudutab isiku poolt esitatud andmeid, mida töödeldakse automatiseeritult nõusoleku või lepingu alusel. See ei hõlma kõiki personalitoimikuid. Taotlustele tuleb tavaliselt vastata ühe kuu jooksul; lubatud tähtaja pikendamisest tuleb teavitada selle esimese kuu jooksul. Parandustest, kustutamisest ja piirangutest võib olla vaja teavitada andmete vastuvõtjaid, arvestades artikli 19 erandeid. EDPB: isikute õigused

Kasulik sisemine töövoog on järgmine:

1. Märkige ära taotluse saabumise aeg ja määrake vastutav isik.
2. Selgitage välja, mida taotletakse, ja kontrollige isikut proportsionaalselt.
3. Otsige asjakohastest süsteemidest, sealhulgas dokumentidest ja kirjavahetusest.
4. Tutvuge vastusega, et saada teavet teiste isikute andmete ja kehtivate piirangute kohta.
5. Saada vastus turvaliselt ja dokumenteeri tehtud toimingud.

Määrake säilitamisperiood andmete tüübi ja jurisdiktsiooni järgi

Kõigi töötajate andmete jaoks ei ole olemas ühtset ELi säilitustabelit. Palgaarvestuse dokumentidele, kandidaatide toimikutele ja töötervishoiu dokumentidele võivad kehtida erinevad nõuded. Märkige iga perioodi põhjus, millal arvestusperiood algab, kas on kehtestatud piiratud juurdepääsuga arhiveerimisetapp ning mis juhtub perioodi lõppedes.

Prantsusmaa andmekaitseamet CNIL avaldab personalialaseid andmete säilitamise juhiseid, kuid riigispetsiifilisi säilitamisperioode ei tohiks esitada ELi ühtsetena reeglitena. Õiguslikud säilitamiskohustused ja seadusega sätestatud säilitamisajad võivad muutuda, kui andmete kustutamine on asjakohane. CNIL: säilitamisperioodid

Tarkvara vaikimisi seadistus on hindamisalune, mitte tõend selle kohta, et valitud periood on seaduslik. Kaasake oma protsessi eksportimine, seotud teenused ja varukoopiate haldamine.

Pidage arvestust tegevuste üle, mitte teist töötajate nimekirja

Töötlemistoimingute register kirjeldab selliseid toiminguid nagu palgaarvestus või värbamine. See ei ole eraldi rida iga uue töötaja kohta. Ärge eeldage, et kui töötajaid on vähem kui 250, siis kohustus kaob: erand on piiratud ja pidev personalitöö ei ole juhuslik. EDPB: registrid ja aruandluskohustus

Kontrollige iga teenusepakkuja rolli

Kui andmeid töötleb teie nimel teenusepakkuja, on vaja sõlmida artikli 28 kohane andmetöötleja leping. Muud andmete saajad võivad tegutseda iseseisvate või ühiste vastutavatena ning vajavad eraldi hindamist; mitte iga andmete edastamine ei tähenda andmetöötleja suhet. GDPR, artiklid 26 ja 28

Andmete edastamisel väljapoole Euroopa Majanduspiirkonda (EMP) tuleb kontrollida kohaldatavat piisavuse otsust või kaitsemeetmeid ning teenuslepingut. Ettevõtte asukoht ELis ja serveri asukoht ei määra andmevoogu täielikult. EDPB: rahvusvahelised andmeedastused

PersoHR pakub andmete eksportimist, kustutamise töövooge ja auditeerimisandmeid, et toetada neid protsesse. Teie organisatsioon peab siiski otsustama, millised eeskirjad kehtivad, seadistama teenuse vastavalt ning vaatama taotlused läbi enne nende täitmist.