Un ghid practic privind prelucrarea conformă cu legea, înregistrările sensibile ale angajaților, solicitările de date, perioada de păstrare a datelor și alegerea furnizorilor de servicii de resurse umane.
Dosarele angajaților necesită reguli clare: ce informații colectați, cine are acces la ele și când trebuie șterse. Începeți cu scopul fiecărui dosar, mai degrabă decât cu o listă de informații care ar putea fi utile într-o zi.
Informațiile au fost verificate la 21 septembrie 2026. Normele naționale privind angajarea și circumstanțele prelucrării datelor sunt, de asemenea, relevante.
Datele de contact, informațiile privind salarizarea, programul de lucru și înregistrările privind performanța servesc scopuri diferite. Consemnați scopul, persoanele care au nevoie de acces și regula de păstrare aplicabilă pentru fiecare categorie. Un sistem de resurse umane ar trebui să vă ajute să mențineți aceste distincții clare.
RGPD impune minimizarea datelor. Faptul de a fi angajator nu constituie o autorizație generală de a colecta informații private ale angajaților. Datele privind condamnările penale și infracțiunile sunt reglementate de articolul 10, separat de categoriile speciale prevăzute la articolul 9. RGPD, articolele 5, 9 și 10
Informațiile privind sănătatea, apartenența la sindicate și datele biometrice utilizate pentru identificarea unică necesită o atenție deosebită. Pentru prelucrarea categoriilor speciale de date, identificați atât un temei în temeiul articolului 6, cât și o condiție aplicabilă în temeiul articolului 9. Necesitatea prevăzută de legislația muncii în temeiul articolului 9 alineatul (2) litera (b) depinde de autorizarea prevăzută de legislația UE sau națională sau de un acord colectiv de muncă eligibil, care să prevadă garanții. EDPB: prelucrarea legală și datele sensibile
Necesitatea contractuală, obligația legală și interesele legitime sunt frecvente în domeniul muncii, dar temeiul adecvat depinde de activitatea desfășurată. Prezența unei clauze într-un contract nu face ca fiecare utilizare a datelor să fie necesară. Interesele legitime necesită o evaluare a necesității și a echilibrului; în ceea ce privește monitorizarea, se pot aplica norme naționale suplimentare.
Consimțământul este adesea inadecvat în cazul în care raportul de muncă împiedică libera alegere. În cazul în care se recurge la acesta, refuzul și retragerea trebuie să fie posibile fără consecințe negative. Documentați temeiul juridic înainte de începerea prelucrării. EDPB: temeiuri juridice
Pentru informațiile colectate direct de la angajat, articolul 13 prevede, în mod normal, furnizarea informațiilor privind confidențialitatea în momentul obținerii datelor. Datele obținute din alte surse intră sub incidența articolului 14, care prevede propriul calendar și propriile excepții. Prezentați scopurile, temeiurile juridice, destinatarii, perioada de păstrare, transferurile, dacă este cazul, și drepturile aplicabile. Confirmarea primirii unei notificări nu constituie consimțământ pentru fiecare activitate descrisă în aceasta. GDPR, articolele 13 și 14
Asigurați-vă că notificarea este ușor de găsit după integrarea angajatului. Dacă angajatul întreabă despre o anumită utilizare a datelor sale, cineva ar trebui să poată explica procesul real care stă la baza formulării respective.
Angajații pot solicita accesul la date și rectificarea acestora și pot avea dreptul la ștergere, limitare, portabilitate sau opoziție, în funcție de circumstanțe. Ștergerea nu este necondiționată: obligațiile legale de păstrare a datelor și acțiunile în justiție pot justifica păstrarea anumitor înregistrări. De asemenea, limitarea nu reprezintă o interdicție absolută privind orice utilizare a informațiilor păstrate.
Portabilitatea se referă la datele furnizate de persoana fizică, prelucrate prin mijloace automatizate pe baza consimțământului sau a unui contract. Aceasta nu acoperă toate înregistrările din domeniul resurselor umane. Solicitările necesită, în mod normal, un răspuns în termen de o lună; o prelungire permisă trebuie motivată în cadrul acelei prime luni. Este posibil ca rectificările, ștergerile și restricțiile să trebuiască comunicate destinatarilor, sub rezerva excepțiilor prevăzute la articolul 19. EDPB: drepturile persoanelor fizice
Un flux de lucru intern util constă în:
Nu există un tabel unic de păstrare a datelor la nivelul UE pentru toate datele angajaților. Documentele privind salarizarea, dosarele candidaților și dosarele de sănătate la locul de muncă pot avea cerințe diferite. Trebuie să se consemneze motivul pentru fiecare perioadă, momentul de la care începe termenul, orice etapă de arhivare restricționată și ce se întâmplă la expirarea perioadei.
CNIL din Franța publică orientări privind păstrarea datelor de resurse umane, însă perioadele specifice fiecărei țări nu ar trebui prezentate ca norme valabile la nivelul întregii UE. Obligațiile legale de păstrare și perioadele de păstrare prevăzute de lege se pot modifica atunci când ștergerea datelor este adecvată. CNIL: perioade de păstrare
O setare implicită a software-ului reprezintă un criteriu de evaluare, nu o dovadă că perioada aleasă este conformă cu legea. Includeți în procesul dumneavoastră exporturile, serviciile conexe și gestionarea copiilor de rezervă.
Un registru al activităților de prelucrare descrie operațiuni precum salarizarea sau recrutarea. Nu reprezintă un rând separat pentru fiecare angajat nou. Nu presupuneți că, dacă aveți mai puțin de 250 de angajați, obligația dispare: excepția este limitată, iar prelucrarea continuă a datelor de resurse umane nu este ocazională. EDPB: registre și responsabilitate
În cazul în care un furnizor prelucrează date în numele dumneavoastră, este necesar un contract de prelucrare în temeiul articolului 28. Alți destinatari pot acționa în calitate de operatori independenți sau operatori asociați și necesită o evaluare diferită; nu orice divulgare constituie o relație de prelucrare. RGPD, articolele 26 și 28
Pentru transferurile în afara SEE, verificați decizia de adecvare sau garanțiile aplicabile, precum și contractul de prestări servicii. Înregistrarea societății în UE și locația serverului nu definesc în totalitate fluxul de date. EDPB: transferuri internaționale
PersoHR oferă funcții de exportare a datelor, fluxuri de lucru pentru ștergerea datelor și înregistrări de audit pentru a sprijini aceste procese. Organizația dumneavoastră trebuie totuși să decidă care sunt regulile aplicabile, să configureze serviciul în consecință și să analizeze solicitările înainte de a le da curs.
Încearcă PersoHR gratuit timp de 30 de zile. Nu este necesară nicio cartelă de credit.
Începeți perioada de probă gratuită de 30 de zile