Verzamelen van werknemersgegevens
Eerst het doel, dan de velden. Er wordt ook een personeelsformulier verwerkt.
Wat is Verzamelen van werknemersgegevens?
Oververzameling gebeurt intern, omdat niemand een personeelsformulier als gegevensverwerking beschouwt. Een snelle gunst voor een manager vraagt honderden collega's om belastingnummers, verjaardagen van familieleden en gezondheidsproblemen voordat iemand het doel opschrijft, en het bereikt ook gearchiveerde profielen. Tegen lunchtijd is de functionaris voor gegevensbescherming tussenbeide gekomen, hebben oud-werknemers gevoelige gegevens aangeleverd en heeft de toezichthouder geschreven. Vervolgens voert u het verzoek opnieuw correct uit: stel het doel vast, toets er zes velden aan, splits de rechtsgrondslagen op en mail alleen de mensen waarop het betrekking heeft.
Wat je leert in Verzamelen van werknemersgegevens
- Het doel van een verzameling vaststellen en vastleggen voordat er gegevens worden opgevraagd, en ernaar vragen wanneer het doel alleen in iemands hoofd bestaat
- Dataminimalisatie toepassen op grond van artikel 5(1)(c) door elk veld te toetsen aan het vermelde doel in plaats van aan bruikbaarheid
- Onderkennen dat het als optioneel markeren van een onnodig veld niet voldoet aan minimalisatie, en het in plaats daarvan verwijderen
- Dieet-, religieuze en gezondheidsgegevens herkennen als bijzondere categorieën op grond van artikel 9 en ze verzamelen achter afzonderlijke uitdrukkelijke toestemming
- Uitleggen waarom bewoordingen als «verplicht» of «urgent» toestemming ongeldig maken in een arbeidsrelatie, waar de machtsongelijkheid op zichzelf al een risico vormt
- De informatie uit artikel 13 opsommen die een informatietekst moet bevatten: doel, rechtsgrondslag, bewaartermijn, ontvangers, rechten en contactgegevens van de DPO
- Juridische Zaken en de Data Protection Officer betrekken zolang een bericht nog een concept is in plaats van nadat het is verzonden
- Een interne ontvangerslijst bewust afbakenen en onderkennen dat oud-medewerkers personeelsberichten helemaal niet horen te ontvangen
Verzamelen van werknemersgegevens — Trainingsstappen
-
Een gunst voor Dagny
Maandag, tien over half tien. Dagny Sorheim, die People Operations leidt en sinds acht uur van vergadering naar vergadering gaat, stuurt een formulier en vraagt je het vandaag naar iedereen te sturen. Het is een klusje van twee minuten. Je werkt het liever meteen weg dan het in je inbox te laten liggen terwijl je bezig bent met wat je eigenlijk voor vandaag had gepland.
-
De bijlage
Het formulier komt van Dagny, dus er is geen reden om eraan te twijfelen. Download het en zet het in gang.
-
Een snelle blik
Je werpt er de blik op die je op alles werpt wat een manager doorstuurt: is het het juiste document, heeft het een titel, is er iets zichtbaar kapot.
-
Nogal veel velden
Het is langer dan je had verwacht. Er is niets echt mis mee, het zijn gewoon veel vakjes voor iets dat als een kleine gunst werd omschreven.
-
Op naar het platform
Het zijn veel vragen, maar Dagny heeft erom gevraagd en Dagny weet vermoedelijk waarom. Er wachten nog vier andere dingen op je. Haar e-mail linkt rechtstreeks naar Almvik People, het platform dat alles bedrijfsbreed verstuurt.
-
Inloggen
Almvik People bewaart een profiel van iedereen die het bedrijf ooit heeft betaald, en het is het enige gereedschap dat hen allemaal tegelijk kan bereiken.
-
Iedereen betekent echt iedereen
Dagny zei iedereen. Het platform verdeelt de profielen in groepen, en die stuk voor stuk doorlopen is precies het soort gepriegel dat van een klusje van twee minuten er twintig maakt. Er is een knop die ze allemaal in één keer selecteert.
-
Het formulier bijvoegen
De mailing heeft haar ontvangers. Wat nog ontbreekt is het ding dat je mensen eigenlijk wilt laten invullen. Almvik People verstuurt geen mailing zonder inhoud, dus het formulier gaat er als eerste bij.
-
Verzonden
Nog één ding: de notitie boven het formulier. Interne mailings worden genegeerd, en je hebt een deadline op vrijdag, dus je laat het belangrijk klinken. Daarna verstuur je het en ga je verder met je ochtend.
-
De telefoon gaat
Je bent halverwege het onboardingpakket voor de nieuwe collega's van volgende week wanneer je telefoon gaat. Het is Ines Kovar, de Data Protection Officer, en ze heeft je nog nooit gebeld.
Dekking van beveiligingsframeworks
CIS Controls
- CIS 3 Data Protection
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind
- PR.DS Data Security
GDPR
- Art. 5 Principles relating to processing of personal data
- Art. 9 Processing of special categories of personal data
- Art. 13 Information to be provided where personal data are collected