Збір даних працівників
Спочатку призначення, потім поля. Також опрацьовується штатна форма.
Що таке Збір даних працівників?
Надмірний збір відбувається всередині країни, тому що ніхто не сприймає анкету як обробку даних. Швидка послуга для менеджера запитує у сотень колег податкові номери, дати народження сім’ї та стан здоров’я, перш ніж хтось запише мету, і також потрапляє до архівних профілів. До обіду втрутився спеціаліст із захисту даних, колишні співробітники надіслали конфіденційні дані, а наглядовий орган написав письмове повідомлення. Потім ви повторно виконуєте запит належним чином: визначаєте мету, перевіряєте шість полів на відповідність їй, розділяєте правові основи та надсилаєте поштою лише тим людям, яких він стосується.
Що ви дізнаєтесь у Збір даних працівників
- Визначати й фіксувати мету збору до того, як запитувати будь-які дані, і питати, коли мета існує лише в чиїйсь голові
- Застосовувати мінімізацію даних за статтею 5(1)(c), перевіряючи кожне поле щодо заявленої мети, а не щодо корисності
- Розуміти, що позначення непотрібного поля як необов'язкового не задовольняє мінімізацію, і натомість видаляти його
- Розпізнавати дієтичну, релігійну інформацію та дані про здоров'я як особливу категорію за статтею 9 і збирати їх за окремою явною згодою
- Пояснювати, чому формулювання на кшталт «обов'язково» чи «терміново» знецінює згоду у трудових відносинах, де дисбаланс влади вже сам собою є ризиком
- Перелічувати інформацію за статтею 13, яку має містити повідомлення про збір: мета, правова підстава, строк зберігання, отримувачі, права та контакти DPO
- Залучати юристів і Data Protection Officer, поки повідомлення ще є чернеткою, а не після його надсилання
- Свідомо визначати внутрішню аудиторію й розуміти, що колишні працівники взагалі не мають отримувати повідомлення для персоналу
Збір даних працівників — Кроки навчання
-
Послуга для Dagny
Понеділок, дев'ята двадцять. Dagny Sorheim, яка керує People Operations і від восьмої сидить на зустрічах без перерви, надсилає форму й просить розіслати її всім сьогодні. Це робота на дві хвилини. Ви радше закриєте її зараз, ніж дасте їй лежати в пошті, поки ви робите те, що справді планували на день.
-
Вкладення
Форма надійшла від Dagny, тож немає підстав у ній сумніватися. Завантажте її та запускайте в роботу.
-
Побіжний погляд
Ви дивитеся на неї так, як дивитеся на будь-що переслане керівником: чи це той документ, чи є в нього назва, чи немає чогось явно зламаного.
-
Забагато полів
Вона довша, ніж ви очікували. Нічого в ній не виглядає прямо неправильним, просто це чимало полів для того, що описали як невелику послугу.
-
До платформи
Питань чимало, але Dagny попросила, і Dagny, вочевидь, знає навіщо. У вас чекають ще чотири справи. Її лист веде просто до Almvik People — платформи, що розсилає все на всю компанію.
-
Вхід
Almvik People зберігає профіль кожного, кому компанія колись платила, і це єдиний інструмент, здатний охопити їх усіх одночасно.
-
Усі — це справді всі
Dagny сказала «всім». Платформа ділить профілі на групи, і перебирати їх по одній — саме те копирсання, яке перетворює двохвилинну справу на двадцятихвилинну. Є кнопка, яка бере їх усі одразу.
-
Прикріплення форми
У розсилки вже є люди. Їй досі бракує того, що ви насправді просите заповнити. Almvik People не надішле розсилку без вкладення, тож форма додається раніше за все інше.
-
Надіслано
Лишилося одне: супровідна записка над формою. Люди ігнорують внутрішні розсилки, а у вас дедлайн у п'ятницю, тож ви робите так, щоб це звучало важливо. Потім ви надсилаєте її й повертаєтеся до свого ранку.
-
Дзвонить телефон
Ви на середині пакета документів для новачків наступного тижня, коли дзвонить телефон. Це Ines Kovar, Data Protection Officer, і раніше вона вам не телефонувала.
Охоплення стандартів безпеки
CIS Controls
- CIS 3 Data Protection
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind
- PR.DS Data Security
GDPR
- Art. 5 Principles relating to processing of personal data
- Art. 9 Processing of special categories of personal data
- Art. 13 Information to be provided where personal data are collected