Upravljanje podacima zaposlenika: praktični GDPR vodič

Zapisnici o zaposlenicima trebaju jasna pravila: što prikupljate, tko im može pristupiti i kada ih treba izbrisati. Počnite s namjenom svakog zapisa, a ne s popisom informacija koje bi jednog dana mogle biti korisne.

Činjenice provjerene 21. rujna 2026. Nacionalna pravila o zapošljavanju i okolnosti obrade također su važne.

Prikupljajte informacije za definiranu svrhu

Kontaktni podaci, podaci o plaći, podaci o radnom vremenu i evidencija o učinku služe različitim svrhama. Zabilježite svrhu, osobe kojima je potreban pristup i primjenjivo pravilo o čuvanju za svaku kategoriju. Sustav za ljudske resurse trebao bi vam pomoći da te razlike jasno održite.

GDPR zahtijeva minimalizaciju podataka. Biti poslodavac nije opća dozvola za prikupljanje privatnih podataka zaposlenika. Podaci o kaznenim osudama i prekršajima uređeni su člankom 10., odvojeno od posebnih kategorija iz članka 9. GDPR, članci 5., 9. i 10.

Zdravstvene informacije, članstvo u sindikatu i biometrijski podaci koji se koriste za jedinstvenu identifikaciju zahtijevaju posebnu pažnju. Za obradu posebnih kategorija podataka potrebno je utvrditi i pravnu osnovu iz članka 6. i primjenjivi uvjet iz članka 9. Potreba u svrhu zapošljavanja prema članku 9. stavku 2. točki (b) ovisi o ovlasti u zakonodavstvu EU-a ili nacionalnom zakonodavstvu ili o odgovarajućem kolektivnom ugovoru, uz odgovarajuće zaštitne mjere. EDPB: zakonita obrada i osjetljivi podaci

Odaberite zakonitu osnovu za svaku aktivnost

Ugovorna nužnost, zakonska obveza i legitimni interesi česti su u zapošljavanju, ali odgovarajuća osnova ovisi o aktivnosti. Klauzula u ugovoru ne čini svaku povezanu upotrebu podataka nužnom. Legitimni interesi zahtijevaju procjenu nužnosti i odmjeravanje; na nadzor se mogu primjenjivati dodatna nacionalna pravila.

Suglasnost je često neprikladna kada radni odnos sprječava slobodan izbor. Kada se koristi, odbijanje i povlačenje moraju biti mogući bez štete. Dokumentirajte pravnu osnovu prije početka obrade. EDPB: pravne osnove

Jasno objasnite obradu

Za podatke prikupljene izravno od zaposlenika, članak 13. obično zahtijeva informacije o privatnosti u trenutku prikupljanja podataka. Podaci prikupljeni na drugi način podliježu članku 14., koji ima vlastita vremenska ograničenja i iznimke. Navedite svrhe, pravne osnove, primatelje, razdoblje čuvanja, prijenose gdje je to relevantno i primjenjiva prava. Potvrda o primitku obavijesti nije suglasnost za svaku aktivnost koju ona opisuje. GDPR, članci 13. i 14.

Obavijest učini lako pronalazivom nakon uvođenja u posao. Ako zaposlenik pita o određenoj upotrebi svojih podataka, netko bi trebao moći objasniti stvarni proces koji stoji iza formulacije.

Rješavajte zahtjeve zaposlenika kroz jasan postupak

Zaposlenici mogu zatražiti pristup i ispravak te, ovisno o okolnostima, imati pravo na brisanje, ograničenje, prenosivost ili prigovor. Brisanje nije bezuvjetno: zakonske obveze čuvanja i pravne tužbe mogu opravdati zadržavanje nekih zapisa. Ograničenje također nije apsolutna zabrana svake uporabe pohranjenih informacija.

Prenosivost se odnosi na podatke koje je pojedinac dostavio, obrađene automatiziranim sredstvima na temelju privole ili ugovora. Ne obuhvaća svaki zapis u ljudskim resursima. Zahtjevi obično zahtijevaju odgovor u roku od mjesec dana; dopušteno produljenje mora biti objašnjeno unutar tog prvog mjeseca. Ispravci, brisanje i ograničenja mogu se morati priopćiti primateljima, uz iznimke iz članka 19. EDPB: prava pojedinaca

Korisno interno radno postupanje je:

1. Zabilježite kada je zahtjev stigao i dodijelite odgovornu osobu.
2. Utvrdite što se traži i proporcionalno provjerite identitet.
3. Pretražite relevantne sustave, uključujući dokumente i korespondenciju.
4. Provjerite odgovor radi informacija o drugim osobama i primjenjivih ograničenja.
5. Pošaljite odgovor na siguran način i zabilježite što je učinjeno.

Postavite rokove čuvanja prema vrsti zapisa i nadležnosti

Ne postoji jedinstvena EU tablica roka čuvanja za sve podatke o zaposlenicima. Dokazi o obračunu plaća, kandidatski dosjei i evidencija o zaštiti na radu mogu imati različite zahtjeve. Zabilježite razlog svakog razdoblja, kada počinje, svaku ograničenu fazu arhiviranja i što se događa po završetku razdoblja.

Francuski CNIL objavljuje smjernice o zadržavanju podataka u ljudskim resursima, ali razdoblja specifična za pojedinu zemlju ne bi se smjela predstavljati kao pravila na razini cijele EU. Zakonska zadržavanja i zakonski propisani rokovi čuvanja mogu se promijeniti kada je brisanje prikladno. CNIL: razdoblja zadržavanja

Zadana postavka softvera je postavka za procjenu, a ne dokaz da je odabrano razdoblje zakonito. Uključite izvoze, povezane usluge i rukovanje sigurnosnim kopijama u svoj proces.

Vodite evidenciju aktivnosti, a ne drugi popis zaposlenika

Zapis o aktivnostima obrade opisuje operacije poput obračuna plaća ili zapošljavanja. To nije zaseban redak za svakog novog zaposlenika. Nemojte pretpostavljati da obveza prestaje ako imate manje od 250 zaposlenika: izuzeće je ograničeno, a kontinuirana obrada podataka o zaposlenicima nije povremena. EDPB: evidencija i odgovornost

Provjerite ulogu svakog pružatelja usluga

Kada dobavljač obrađuje podatke u vaše ime, potreban je ugovor o obradi prema članku 28. Drugi primatelji mogu djelovati kao neovisni ili zajednički kontrolori i zahtijevaju drugačiju procjenu; nije svako otkrivanje podataka odnos s obrađivačem. GDPR, članci 26 i 28

Za prijenose izvan EGP-a provjerite primjenjivu odluku o adekvatnosti ili jamstva, kao i ugovor o uslugama. Uključivanje u EU i lokacija poslužitelja ne utvrđuju cjelokupni tijek prijenosa podataka. EDPB: međunarodni prijenosi

PersoHR pruža izvoz podataka, tijekove obrade brisanja i evidenciju revizije kako bi podržao ove procese. Vaša organizacija i dalje mora odlučiti koja se pravila primjenjuju, konfigurirati uslugu u skladu s tim i pregledati zahtjeve prije nego što na njih odgovori.