Töötajate privaatsuspoliitika

Töötajate privaatsuspoliitika määratleb töötaja isikut tuvastava teabe privaatsusnõuded privaatsusteabe haldussüsteemis. Selle kohaldamisala hõlmab töötaja isikut tuvastava teabe kogumist, kasutamist, avalikustamist, säilitamise seoseid, privaatsusteateid, õiguste käsitlemist, töötajate jälgimist, volitatud töötleja tuge ja tõendusmaterjali haldust. Poliitikat kohaldatakse vastutava töötleja ja kaasvastutava töötleja kontekstides, kus organisatsioon määrab töötaja isikut tuvastava teabe töötlemise eesmärgid ja vahendid, ning samuti volitatud töötleja ja alltöötleja kontekstides, kus organisatsioon töötleb töötaja isikut tuvastavat teavet dokumenteeritud juhiste alusel. Töötaja isikut tuvastav teave on määratletud laialt ning hõlmab teavet töötajate, tööle kandideerijate, endiste töötajate, töövõtjate, ajutise personali, praktikantide, lähetatud töötajate ja muude tööjõuga seotud isikute kohta, kui organisatsioon töötleb nende isikut tuvastavat teavet tööjõu, värbamise, töösuhte, kaasamise, tasustamise, hüvitiste, turbe, vastavuse, töökoha haldamise või seotud ärilistel eesmärkidel. Poliitika keskne osa on selle tõendusmaterjali mudel. Poliitika ei loo eraldi personalivaldkonna privaatsusregistrit, töötajate privaatsusregistrit, töötajate jälgimise registrit, personalivaldkonna tarnijaregistrit, töötajate õiguste registrit ega töötajate intsidentide registrit. Selle asemel nõuab see töötajate töötlemise tõendusmaterjali hoidmist kanoonilistes PIMS-i registrites: REG02 töötlemisregistri ja säilitamise seoste jaoks, REG04 privaatsusriskide ja DPIA-d käivitavate aluste jaoks, REG06 töötajate andmesubjektide õiguste taotluste jaoks, REG07 töötajate privaatsusteadete jaoks, REG08 personalivaldkonna volitatud töötlejate ja tarnijate jaoks, REG10 töötaja isikut tuvastava teabega seotud intsidentide jaoks ning REG12 erandite, mittevastavuste, parandusmeetmete, seire ja parendamise tõendusmaterjali jaoks. See struktuur toetab poliitika eesmärki: töötaja isikut tuvastavat teavet tuleb töödelda ainult dokumenteeritud, heaks kiidetud, läbipaistvatel, proportsionaalsetel ja vastutust tagavatel tööjõuga seotud eesmärkidel, vältides samal ajal dubleerivat personalivaldkonna spetsiifilist tõendusmaterjali kihti. Poliitika sätted määravad töötajate andmete elutsükli üksikasjalikud operatiivsed kontrollimeetmed. Enne töötaja isikut tuvastava teabe kogumist, genereerimist, importimist, kasutamist või avalikustamist peab protsessiomanik / ettevõtte omanik registreerima töötajate töötlemistoimingu registris REG02, sealhulgas isikut tuvastava teabe kategooriad, töötajate sihtrühma, kogumisallika, töötlemise eesmärgi, süsteemid, sisemiste ja väliste vastuvõtjate kategooriad ning säilitamise seose. Töötajate privaatsusteated tuleb hoida registris REG07 enne otsest või kaudset kogumist uuel või oluliselt muudetud eesmärgil. Poliitika nõuab, et töötaja isikut tuvastavat teavet kasutataks ainult REG02-s registreeritud heakskiidetud eesmärkidel, ning nõuab sisemiste vastuvõtjate kategooriate, ärivajaduse tingimuste ja korduvate väliste avalikustamiste dokumenteerimist enne avalikustamise alustamist. Kahtlustatav loata avalikustamine, juurdepääs, kaotsiminek või jälgimisandmete väärkasutus tuleb suunata REG10-sse ühe tööpäeva jooksul alates tuvastamisest. Töötajate õigustele, töötajate jälgimisele ja personalivaldkonna tarnijate juhtimisele pööratakse eraldi tähelepanu. Töötajatest andmesubjektide õiguste taotlused tuleb registreerida või suunata REG06-sse kahe tööpäeva jooksul ning protsessiomaniku sisendid tuleb esitada viie tööpäeva jooksul pärast määramist. Keerukad taotlused, mis hõlmavad jälgimiskirjeid, taustakontrolli kirjeid, eriliiki isikut tuvastavat teavet, kolmandate osapoolte töötajate isikut tuvastavat teavet, õiguslikke piiranguid või automatiseeritud otsuste tegemist, nõuavad enne keeldumist, pikendamist, piiramist või keerukat käsitlemist andmekaitseametniku / andmekaitsenõustaja nõu. Töötajate jälgimine peab enne lubamist või olulist muudatust olema dokumenteeritud REG02-s, suunatud REG04 kaudu privaatsusriskide või DPIA vajaduse hindamiseks, kui selleks on alus, toetatud ajakohase REG07 privaatsusteate või kommunikatsiooni tõendusmaterjaliga ning valimipõhiselt kontrollitud REG12-s vähemalt kord aastas, kui see kuulub REG02 kohaldamisalasse. Personalivaldkonna volitatud töötlejad, palgaarvestus, personaliinfosüsteem, hüvitised, taustakontroll ja allhanke korras osutatavad HR-teenused tuleb registreerida REG08-s enne, kui töötaja isikut tuvastavat teavet teenuseosutajale avalikustatakse, sellele juurdepääs antakse või seda teenuseosutaja kaudu töödeldakse. Juhtimissätted määravad korduvad järelevalve- ja rakendamiskohustused. Privaatsuse juht / PIMS-i juht peab tegema kord kvartalis töötajate privaatsuse tõendusmaterjali läbivaatamise registrites REG02, REG04, REG06, REG07, REG08, REG10 ja REG12, samal ajal kui tippjuhtkond kiidab heaks olulised poliitikamuudatused ja kõrge riskiga töötajate privaatsuserandid. Mõõdikud hõlmavad ajakohaste REG02-kirjetega töötajate töötlemistoimingute osakaalu, töötajate privaatsusteadete ajakohasust, avatud töötajate privaatsusriskide ja DPIA-suunamise elemente, töötajate andmesubjektide õiguste taotluste õigeaegsust, personalivaldkonna tarnijate läbivaatamise lõpetamist ning töötaja isikut tuvastava teabega seotud intsidentide suundumusi, kui intsidendid toimuvad. Erandid tuleb enne kõrvalekallet registreerida REG12-s, määrata neile aegumiskuupäev, mis ei ületa 90 päeva, ning vaadata need enne aegumist läbi. Rakendamine nõuab mittevastavuste registreerimist REG12-s, kui nõutav töötajate privaatsuse tõendusmaterjal puudub, takistab töötajate jälgimise heakskiitmist ilma nõutava tõendusmaterjalita ning võimaldab peatada töötaja isikut tuvastava teabe uued avalikustamised personalivaldkonna tarnijatele, kui volitatud töötleja, alltöötleja, juhiste või abi tõendusmaterjal puudub.