Πολιτική Ιδιωτικότητας Εργαζομένων

Η Πολιτική Ιδιωτικότητας Εργαζομένων καθορίζει απαιτήσεις ιδιωτικότητας για δεδομένα προσωπικού χαρακτήρα εργαζομένων εντός του Συστήματος Διαχείρισης Πληροφοριών Ιδιωτικότητας. Το πεδίο εφαρμογής της περιλαμβάνει τη συλλογή, χρήση, κοινολόγηση, σύνδεση διατήρησης, ειδοποίηση, χειρισμό δικαιωμάτων, παρακολούθηση, υποστήριξη από εκτελούντες την επεξεργασία και διαχείριση τεκμηρίων για δεδομένα προσωπικού χαρακτήρα εργαζομένων. Η πολιτική εφαρμόζεται σε πλαίσια υπεύθυνου επεξεργασίας και από κοινού υπεύθυνου επεξεργασίας, όπου ο οργανισμός καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα εργαζομένων, καθώς και σε πλαίσια εκτελούντος την επεξεργασία και υπεργολάβου επεξεργασίας, όπου ο οργανισμός επεξεργάζεται δεδομένα προσωπικού χαρακτήρα εργαζομένων βάσει τεκμηριωμένων εντολών. Τα δεδομένα προσωπικού χαρακτήρα εργαζομένων ορίζονται ευρέως ώστε να περιλαμβάνουν πληροφορίες που αφορούν εργαζομένους, υποψηφίους για εργασία, πρώην εργαζομένους, αναδόχους, προσωρινό προσωπικό, ασκούμενους, αποσπασμένους και άλλους συμμετέχοντες στο εργατικό δυναμικό, όταν ο οργανισμός επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα τους για σκοπούς προσωπικού, πρόσληψης, απασχόλησης, ανάθεσης, αποζημίωσης, παροχών, ασφάλειας, συμμόρφωσης, διοίκησης του χώρου εργασίας ή συναφείς επιχειρησιακούς σκοπούς. Κεντρικό στοιχείο της πολιτικής είναι το μοντέλο τεκμηρίων της. Η πολιτική δεν δημιουργεί ξεχωριστό μητρώο ιδιωτικότητας Ανθρώπινου Δυναμικού, μητρώο ιδιωτικότητας εργαζομένων, μητρώο παρακολούθησης εργαζομένων, μητρώο προμηθευτών Ανθρώπινου Δυναμικού, μητρώο δικαιωμάτων εργαζομένων ή μητρώο περιστατικών εργαζομένων. Αντίθετα, απαιτεί τη διατήρηση των τεκμηρίων επεξεργασίας εργαζομένων στα κανονικά μητρώα PIMS: REG02 για την απογραφή επεξεργασίας και τη σύνδεση διατήρησης, REG04 για τον κίνδυνο ιδιωτικότητας και τα εναύσματα DPIA, REG06 για τα αιτήματα άσκησης δικαιωμάτων εργαζομένων, REG07 για τις ειδοποιήσεις ιδιωτικότητας εργαζομένων, REG08 για εκτελούντες την επεξεργασία δεδομένων Ανθρώπινου Δυναμικού και προμηθευτές, REG10 για περιστατικά που αφορούν δεδομένα προσωπικού χαρακτήρα εργαζομένων και REG12 για εξαιρέσεις, μη συμμορφώσεις, διορθωτικές ενέργειες, παρακολούθηση και τεκμήρια βελτίωσης. Η δομή αυτή υποστηρίζει τον σκοπό της πολιτικής: τα δεδομένα προσωπικού χαρακτήρα εργαζομένων πρέπει να υποβάλλονται σε επεξεργασία μόνο για τεκμηριωμένους, εγκεκριμένους, διαφανείς, αναλογικούς και λογοδοτήσιμους σκοπούς προσωπικού, αποφεύγοντας παράλληλα ένα διπλό επίπεδο τεκμηρίων ειδικό για το Ανθρώπινο Δυναμικό. Οι δηλώσεις πολιτικής καθορίζουν λεπτομερείς επιχειρησιακούς ελέγχους για τον κύκλο ζωής των δεδομένων εργαζομένων. Πριν από τη συλλογή, παραγωγή, εισαγωγή, χρήση ή κοινολόγηση δεδομένων προσωπικού χαρακτήρα εργαζομένων, ο Ιδιοκτήτης Διεργασίας / Ιδιοκτήτης της επιχείρησης πρέπει να καταγράφει τη δραστηριότητα επεξεργασίας εργαζομένων στο REG02, συμπεριλαμβανομένων των κατηγοριών δεδομένων προσωπικού χαρακτήρα, του πληθυσμού εργαζομένων, της πηγής συλλογής, του σκοπού επεξεργασίας, των συστημάτων, των κατηγοριών εσωτερικών και εξωτερικών αποδεκτών και της σύνδεσης διατήρησης. Οι ειδοποιήσεις ιδιωτικότητας εργαζομένων πρέπει να τηρούνται στο REG07 πριν από την άμεση ή έμμεση συλλογή για νέο ή ουσιωδώς μεταβαλλόμενο σκοπό. Η πολιτική απαιτεί τα δεδομένα προσωπικού χαρακτήρα εργαζομένων να χρησιμοποιούνται μόνο για εγκεκριμένους σκοπούς που καταγράφονται στο REG02 και απαιτεί την τεκμηρίωση των κατηγοριών εσωτερικών αποδεκτών, των προϋποθέσεων επιχειρησιακής ανάγκης και των επαναλαμβανόμενων εξωτερικών κοινολογήσεων πριν από την έναρξη της κοινολόγησης. Πιθανολογούμενη μη εξουσιοδοτημένη κοινολόγηση, πρόσβαση, απώλεια ή κακή χρήση δεδομένων παρακολούθησης πρέπει να δρομολογείται στο REG10 εντός μίας εργάσιμης ημέρας από την αναγνώριση. Η διακυβέρνηση των δικαιωμάτων εργαζομένων, της παρακολούθησης και των προμηθευτών Ανθρώπινου Δυναμικού λαμβάνει ειδική προσοχή. Τα αιτήματα άσκησης δικαιωμάτων εργαζομένων πρέπει να καταγράφονται ή να δρομολογούνται στο REG06 εντός δύο εργάσιμων ημερών, με τις εισροές του ιδιοκτήτη διεργασίας να παρέχονται εντός πέντε εργάσιμων ημερών από την ανάθεση. Πολύπλοκα αιτήματα που αφορούν αρχεία παρακολούθησης, αρχεία ελέγχου ιστορικού, ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, δεδομένα προσωπικού χαρακτήρα εργαζομένων τρίτων μερών, νομικούς περιορισμούς ή αυτοματοποιημένη λήψη αποφάσεων απαιτούν συμβουλή από τον Υπεύθυνο Προστασίας Δεδομένων / Σύμβουλο Ιδιωτικότητας πριν από άρνηση, παράταση, περιορισμό ή σύνθετο χειρισμό. Η παρακολούθηση εργαζομένων πρέπει να τεκμηριώνεται στο REG02 πριν από την ενεργοποίηση ή ουσιώδη αλλαγή, να δρομολογείται μέσω του REG04 για αξιολόγηση κινδύνου ιδιωτικότητας ή έλεγχο αναγκαιότητας DPIA όπου ενεργοποιείται σχετική απαίτηση, να υποστηρίζεται από τρέχοντα τεκμήρια ειδοποίησης ή επικοινωνίας REG07 και να δειγματοληπτείται στο REG12 τουλάχιστον ετησίως όταν περιλαμβάνεται στο REG02. Οι εκτελούντες την επεξεργασία δεδομένων Ανθρώπινου Δυναμικού, η μισθοδοσία, το HRIS, οι παροχές, ο έλεγχος ιστορικού και οι πάροχοι υπηρεσιών εξωτερικής ανάθεσης Ανθρώπινου Δυναμικού πρέπει να καταγράφονται στο REG08 πριν από την κοινολόγηση δεδομένων προσωπικού χαρακτήρα εργαζομένων στον πάροχο, την πρόσβαση του παρόχου σε αυτά ή την επεξεργασία τους μέσω του παρόχου. Οι διατάξεις διακυβέρνησης αναθέτουν επαναλαμβανόμενες αρμοδιότητες εποπτείας και εφαρμογής. Ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS πρέπει να διενεργεί τριμηνιαίες ανασκοπήσεις τεκμηρίων ιδιωτικότητας εργαζομένων στα REG02, REG04, REG06, REG07, REG08, REG10 και REG12, ενώ η Ανώτατη Διοίκηση εγκρίνει ουσιώδεις αλλαγές πολιτικής και εξαιρέσεις ιδιωτικότητας εργαζομένων υψηλού κινδύνου. Οι μετρικές περιλαμβάνουν το ποσοστό δραστηριοτήτων επεξεργασίας εργαζομένων με τρέχοντα αρχεία REG02, την επικαιρότητα ειδοποιήσεων ιδιωτικότητας εργαζομένων, τα ανοικτά στοιχεία δρομολόγησης κινδύνου ιδιωτικότητας εργαζομένων και DPIA, την εμπρόθεσμη διαχείριση αιτημάτων άσκησης δικαιωμάτων εργαζομένων, την ολοκλήρωση ανασκόπησης προμηθευτών Ανθρώπινου Δυναμικού και τις τάσεις περιστατικών που αφορούν δεδομένα προσωπικού χαρακτήρα εργαζομένων όταν προκύπτουν περιστατικά. Οι εξαιρέσεις πρέπει να καταγράφονται στο REG12 πριν από την απόκλιση, να ανατίθεται σε αυτές ημερομηνία λήξης που δεν υπερβαίνει τις 90 ημέρες και να ανασκοπούνται πριν από τη λήξη. Η εφαρμογή απαιτεί την καταγραφή μη συμμορφώσεων στο REG12 όταν λείπουν απαιτούμενα τεκμήρια ιδιωτικότητας εργαζομένων, αποτρέπει την έγκριση παρακολούθησης εργαζομένων χωρίς τα απαιτούμενα τεκμήρια και επιτρέπει την αναστολή νέων κοινολογήσεων δεδομένων προσωπικού χαρακτήρα εργαζομένων σε προμηθευτές Ανθρώπινου Δυναμικού όταν λείπουν τεκμήρια εκτελούντος την επεξεργασία, υπεργολάβου επεξεργασίας, εντολής ή συνδρομής.