Praktični vodnik za zakonito obdelavo podatkov, občutljive zapise o zaposlenih, zahteve po podatkih, hranjenje podatkov in izbiro ponudnikov kadrovskih storitev.
Za evidence o zaposlenih so potrebna jasna pravila: kaj zbirate, kdo ima dostop do teh podatkov in kdaj jih je treba izbrisati. Začnite z namenom vsakega zapisa, namesto da bi sestavljali seznam informacij, ki bi lahko bile nekoč koristne.
Dejstva so bila preverjena 21. septembra 2026. Pomembni so tudi nacionalni predpisi o zaposlovanju in okoliščine obdelave podatkov.
Kontaktni podatki, podatki o plačah, delovni čas in evidence uspešnosti služijo različnim namenom. Za vsako kategorijo zabeležite namen, osebe, ki potrebujejo dostop, in veljavna pravila glede hrambe podatkov. Kadrovski sistem vam mora pomagati, da te razlike ostanejo jasne.
Splošna uredba o varstvu podatkov (GDPR) zahteva minimalizacijo podatkov. Delodajalstvo ne pomeni splošnega dovoljenja za zbiranje zasebnih podatkov zaposlenih. Podatki o kazenskih obsodbah in prekrških so urejeni v členu 10, ločeno od posebnih kategorij iz člena 9. GDPR, členi 5, 9 in 10
Zdravstveni podatki, članstvo v sindikatih in biometrični podatki, ki se uporabljajo za edinstveno identifikacijo, zahtevajo posebno pozornost. Pri obdelavi posebnih kategorij podatkov je treba opredeliti tako podlago iz člena 6 kot tudi veljavni pogoj iz člena 9. Potreba v skladu z delovnim pravom po členu 9(2)(b) je odvisna od pooblastila v zakonodaji EU ali nacionalni zakonodaji ali od ustrezne kolektivne pogodbe, ki vsebuje zaščitne ukrepe. EDPB: zakonita obdelava in občutljivi podatki
Pogodbena nujnost, pravna obveznost in zakoniti interesi so v delovnih razmerjih pogosti, vendar je ustrezna podlaga odvisna od dejavnosti. Klavzula v pogodbi še ne pomeni, da je vsaka s tem povezana uporaba podatkov nujna. Zakoniti interesi zahtevajo oceno nujnosti in uravnoteženja; za nadzor lahko veljajo dodatna nacionalna pravila.
Soglasje je pogosto neprimerno, kadar delovno razmerje preprečuje svobodno izbiro. Kadar se uporablja, morata biti zavrnitev in preklic možna brez negativnih posledic. Dokumentirajte pravno podlago pred začetkom obdelave. EDPB: pravne podlage
Za podatke, zbrane neposredno od zaposlenega, člen 13 običajno zahteva obvestilo o varstvu osebnih podatkov ob pridobitvi podatkov. Podatki, pridobljeni drugje, spadajo v okvir člena 14, ki določa lastne roke in izjeme. Obravnavajte namene, pravne podlage, prejemnike, hrambo, morebitne prenose in veljavne pravice. Potrditev obvestila ne pomeni soglasja z vsako dejavnostjo, ki je v njem opisana. Splošna uredba o varstvu podatkov (GDPR), člena 13 in 14
Poskrbite, da bo obvestilo po vključitvi v podjetje enostavno najti. Če zaposleni vpraša o določeni uporabi svojih podatkov, mora biti nekdo sposoben pojasniti dejanski postopek, ki se skriva za besedilom.
Zaposleni lahko zahtevajo dostop do podatkov in njihovo popravljanje, odvisno od okoliščin pa imajo lahko tudi pravico do izbrisa, omejitve obdelave, prenosljivosti ali ugovora. Izbris ni brezpogojen: zakonite obveznosti hrambe in pravni zahtevki lahko upravičujejo hrambo nekaterih podatkov. Omejitev obdelave prav tako ne pomeni absolutne prepovedi vsake uporabe shranjenih podatkov.
Prenosljivost se nanaša na podatke, ki jih posreduje posameznik in se obdelujejo avtomatizirano na podlagi privolitve ali pogodbe. Ne zajema vseh kadrovskih evidenc. Na zahteve je običajno treba odgovoriti v roku enega meseca; morebitno dovoljeno podaljšanje roka je treba pojasniti v tem prvem mesecu. O popravkih, izbrisu in omejitvah bo morda treba obvestiti prejemnike, ob upoštevanju izjem iz člena 19. EDPB: pravice posameznikov
Koristen notranji delovni postopek je:
V EU ne obstaja enotna tabela rokov hrambe za vse podatke o zaposlenih. Za plačilne evidence, datoteke kandidatov in evidence o zdravju pri delu lahko veljajo različne zahteve. Zabeležite razlog za vsako obdobje, kdaj se začne teči rok, morebitno obdobje omejenega dostopa do arhiva ter kaj se zgodi ob izteku roka.
Francoska agencija CNIL je objavila smernice o hrambi podatkov na področju kadrovskih zadev, vendar se roki, ki veljajo za to državo, ne smejo predstavljati kot pravila, veljavna v celotni EU. Pravna zadržanja in zakonsko predpisana obdobja hrambe se lahko spremenijo, kadar je izbris primeren. CNIL: obdobja hrambe
Privzeta nastavitev programske opreme je le podlaga za oceno, ne pa dokaz, da je izbrano obdobje zakonito. V svoj proces vključite izvoze, povezane storitve in ravnanje z varnostnimi kopijami.
Evidenca dejavnosti obdelave opisuje postopke, kot sta izplačilo plač ali zaposlovanje. Ne gre za ločeno vrstico za vsakega novega zaposlenega. Ne domnevajte, da se obveznost odpravlja, če imate manj kot 250 zaposlenih: izjema je omejena, tekoča obdelava kadrovskih podatkov pa ni občasna. EDPB: evidence in odgovornost
Kadar dobavitelj obdeluje podatke v vašem imenu, je potrebna pogodba o obdelavi podatkov v skladu s členom 28. Drugi prejemniki lahko delujejo kot neodvisni ali skupni upravljavci in zahtevajo drugačno oceno; ne vsako razkritje pomeni odnos z obdelovalcem. Splošna uredba o varstvu podatkov (GDPR), člena 26 in 28
Za prenose podatkov zunaj EGP preverite veljavni sklep o ustreznosti ali zaščitne ukrepe ter pogodbo o storitvah. Registracija v EU in lokacija strežnika ne določata celotnega toka podatkov. EDPB: mednarodni prenosi
PersoHR omogoča izvoz podatkov, delovne tokove za izbris in revizijske zapise za podporo tem procesom. Vaša organizacija mora še vedno odločiti, katera pravila veljajo, storitev ustrezno konfigurirati in zahtevke pregledati, preden jih obravnava.
Preizkusite PersoHR brezplačno 30 dni. Kreditna kartica ni potrebna.
Začnite 30-dnevni brezplačni preizkus