Загальний регламент про захист даних (GDPR)

Що таке GDPR і як він стосується HR

GDPR (General Data Protection Regulation, Загальний регламент про захист даних) — це регламент Європейського Союзу, який визначає, як компанії мають збирати, зберігати й використовувати персональні дані людей в ЄС. Для HR він важливий, бо кадрові дані — це майже завжди персональні дані: від резюме кандидата до зарплати й медичних довідок працівника.

Що таке GDPR

GDPR — це Регламент (ЄС) 2016/679, ухвалений 27 квітня 2016 року, який діє в усіх країнах ЄС з 25 травня 2018 року. Він встановлює єдині правила обробки персональних даних і права людей щодо своїх даних. GDPR належить до ширшої теми захисту даних у компанії.

Чи діє GDPR в Україні

Україна не входить до ЄС, тому GDPR не діє тут напряму. Проте регламент має екстериторіальну дію (стаття 3): він застосовується до української компанії, якщо вона:

має представництво, філію чи працівників у країнах ЄС;
пропонує товари або послуги людям в ЄС;
відстежує поведінку людей в ЄС, наприклад через аналітику сайту чи застосунку.

Усередині країни обробку персональних даних регулює Закон України «Про захист персональних даних». Для компаній з кількома юрособами, частина з яких працює в ЄС, зручніше будувати процеси одразу за стандартами GDPR, щоб не мати двох різних практик.

Принципи GDPR

Принцип (ст. 5)	Що це означає для HR
Законність, справедливість, прозорість	Працівник знає, які дані про нього збирають і навіщо
Обмеження мети	Дані з резюме не використовують для цілей, не пов'язаних з наймом
Мінімізація даних	Кандидата не просять указувати те, що не потрібно для роботи
Точність	Дані в картці працівника оновлюються, помилки виправляються
Обмеження строку зберігання	Резюме відхилених кандидатів видаляють після погодженого строку
Цілісність і конфіденційність	Доступ до зарплат і медичних даних мають лише ті, кому він потрібен
Підзвітність	Компанія може довести, що виконує всі принципи

Права працівників і кандидатів за GDPR

Право на доступ: дізнатися, які дані про людину обробляються, і отримати їх копію.
Право на виправлення: вимагати виправити неточні дані.
Право на видалення: вимагати видалити дані, коли немає законної підстави їх зберігати.
Право на обмеження обробки на час розгляду скарги чи перевірки даних.
Право на перенесення даних у машиночитному форматі.
Право на заперечення проти обробки на підставі законного інтересу.

GDPR у роботі HR

Підбір. Для зберігання резюме в базі кандидатів після закриття вакансії потрібна згода кандидата зі зрозумілим строком.
Найм і робота. Більшість кадрових даних обробляють не на підставі згоди, а для виконання трудового договору чи вимог закону.
Доступи. Керівник бачить дані своєї команди, але не зарплати інших підрозділів.
Постачальники. З HR-системою, payroll-провайдером чи рекрутинговою агенцією потрібна угода про обробку даних (DPA).
Інциденти. Про витік даних компанія має повідомити наглядовий орган протягом 72 годин.

За порушення GDPR штраф може сягати 20 млн євро або 4% річного світового обороту компанії, залежно від того, що більше (стаття 83).

GDPR і PeopleForce

У Core HR доступ до даних налаштовується через ролі з правами аж до окремих полів профілю, тож кожен бачить лише потрібне для своєї роботи. У модулі Recruit для кандидатів фіксується згода на обробку даних зі статусом і строком дії. Сама платформа відповідає вимогам GDPR, що підтвердив незалежний аудит.

Часті питання

Що таке GDPR простими словами?

Це європейський закон про захист персональних даних. Він визначає, коли компанія може збирати дані про людей, як має їх захищати і які права мають самі люди.

Чи потрібно українській компанії дотримуватися GDPR?

Так, якщо вона працює з людьми в ЄС: має там працівників чи філії, продає товари або послуги жителям ЄС чи відстежує їхню поведінку онлайн.

Що таке Регламент 2016/679?

Це офіційна назва GDPR: Регламент (ЄС) 2016/679 Європейського парламенту і Ради від 27 квітня 2016 року про захист фізичних осіб у зв'язку з обробкою персональних даних.