Työntekijöiden tietosuojapolitiikka

Työntekijöiden tietosuojapolitiikka määrittää työntekijöiden henkilötietoja koskevat tietosuojavaatimukset henkilötietojen hallintajärjestelmässä. Sen soveltamisalaan kuuluvat työntekijöiden henkilötietojen kerääminen, käyttö, luovuttaminen, säilytyksen yhteys, tietosuojaselosteet, oikeuksien käsittely, työntekijöiden valvonta, henkilötietojen käsittelijän tuki ja todentavan aineiston hallinta. Politiikkaa sovelletaan rekisterinpitäjän ja yhteisrekisterinpitäjän toimintaympäristöissä, joissa organisaatio määrittää työntekijöiden henkilötietojen käsittelyn tarkoitukset ja keinot, sekä henkilötietojen käsittelijän ja alikäsittelijän toimintaympäristöissä, joissa organisaatio käsittelee työntekijöiden henkilötietoja dokumentoitujen ohjeiden mukaisesti. Työntekijöiden henkilötiedot määritellään laajasti tiedoiksi, jotka liittyvät työntekijöihin, työnhakijoihin, entisiin työntekijöihin, urakoitsijoihin, määräaikaiseen henkilöstöön, harjoittelijoihin, komennuksella oleviin henkilöihin ja muihin työvoimaan kuuluviin henkilöihin, kun organisaatio käsittelee heidän henkilötietojaan työvoimaa, rekrytointia, työsuhdetta, toimeksiantoa, palkitsemista, henkilöstöetuja, turvallisuutta, vaatimustenmukaisuutta, työpaikan hallinnointia tai niihin liittyviä liiketoimintatarkoituksia varten. Politiikan keskeinen osa on sen todentavan aineiston malli. Politiikka ei luo erillistä HR-tietosuojarekisteriä, työntekijöiden tietosuojarekisteriä, työntekijöiden valvontarekisteriä, HR-toimittajarekisteriä, työntekijöiden oikeuksia koskevaa rekisteriä tai työntekijöiden poikkeamarekisteriä. Sen sijaan se edellyttää, että työntekijöiden käsittelyä koskevaa todentavaa aineistoa ylläpidetään kanonisissa PIMS-rekistereissä: REG02 käsittelytoimien luetteloa ja säilytyksen yhteyttä varten, REG04 tietosuojariskejä ja DPIA-kynnyksiä varten, REG06 työntekijöiden oikeuksia koskevia pyyntöjä varten, REG07 työntekijöiden tietosuojaselosteita varten, REG08 HR-palvelujen henkilötietojen käsittelijöitä ja toimittajia varten, REG10 työntekijöiden henkilötietopoikkeamia varten sekä REG12 poikkeuksia, poikkeamia, korjaavia toimenpiteitä, seurantaa ja parantamista koskevaa näyttöä varten. Tämä rakenne tukee politiikan tarkoitusta: työntekijöiden henkilötietoja tulee käsitellä vain dokumentoituihin, hyväksyttyihin, läpinäkyviin, oikeasuhtaisiin ja osoitusvelvollisuuden mukaisiin työvoimaa koskeviin tarkoituksiin ilman päällekkäistä HR-kohtaista todentavan aineiston kerrosta. Politiikkalausekkeet määrittävät yksityiskohtaiset operatiiviset kontrollit työntekijätietojen elinkaarelle. Ennen kuin työntekijöiden henkilötietoja kerätään, tuotetaan, tuodaan, käytetään tai luovutetaan, prosessin omistajan / liiketoimintavastaavan tulee kirjata työntekijöiden käsittelytoimi REG02:een, mukaan lukien henkilötietoluokat, työntekijäjoukko, keräyslähde, käsittelyn tarkoitus, järjestelmät, sisäiset ja ulkoiset vastaanottajaluokat sekä säilytyksen yhteys. Työntekijöiden tietosuojaselosteet tulee ylläpitää REG07:ssä ennen suoraa tai välillistä keräämistä uutta tai olennaisesti muuttunutta tarkoitusta varten. Politiikka edellyttää, että työntekijöiden henkilötietoja käytetään vain REG02:een kirjattuihin hyväksyttyihin tarkoituksiin, ja se edellyttää sisäisten vastaanottajaluokkien, liiketoimintatarpeeseen perustuvien ehtojen ja toistuvien ulkoisten luovutusten dokumentointia ennen luovutuksen aloittamista. Epäilty luvaton luovutus, pääsy, menetys tai valvontatietojen väärinkäyttö on ohjattava REG10:een yhden liiketoimintapäivän kuluessa tunnistamisesta. Työntekijöiden oikeuksiin, työntekijöiden valvontaan ja HR-toimittajien hallinnointiin kiinnitetään erityistä huomiota. Työntekijöiden oikeuksia koskevat pyynnöt tulee kirjata REG06:een tai ohjata REG06:n kautta kahden liiketoimintapäivän kuluessa, ja prosessin omistajan syötteet tulee toimittaa viiden liiketoimintapäivän kuluessa osoittamisesta. Monimutkaiset pyynnöt, jotka koskevat valvontatallenteita, taustaselvitystietoja, erityisiin henkilötietoryhmiin kuuluvia henkilötietoja, kolmannen osapuolen työntekijöiden henkilötietoja, oikeudellisia rajoituksia tai automaattista päätöksentekoa, edellyttävät tietosuojavastaavan / tietosuojaneuvonantajan neuvontaa ennen kieltäytymistä, määräajan jatkamista, rajoittamista tai monimutkaista käsittelyä. Työntekijöiden valvonta tulee dokumentoida REG02:ssa ennen käyttöönottoa tai olennaista muutosta, ohjata REG04:n kautta tietosuojariskien arviointiin tai DPIA-esiarviointiin, kun kynnys täyttyy, tukea ajantasaisella REG07:n tietosuojaselostetta tai viestintää koskevalla näytöllä ja ottaa REG12:ssa otantaan vähintään vuosittain, kun se sisältyy REG02:een. HR-palvelujen henkilötietojen käsittelijät, palkanlaskenta, henkilöstötietojärjestelmä, henkilöstöedut, taustaselvitykset ja ulkoistetut HR-palveluntarjoajat tulee kirjata REG08:aan ennen kuin työntekijöiden henkilötietoja luovutetaan palveluntarjoajalle, palveluntarjoaja saa niihin pääsyn tai niitä käsitellään palveluntarjoajan kautta. Hallinnointia koskevat määräykset osoittavat toistuvat valvonta- ja soveltamisvastuut. Tietosuojavastaavan / PIMS-päällikön tulee tehdä neljännesvuosittain työntekijöiden tietosuojan todentavan aineiston katselmointi rekistereissä REG02, REG04, REG06, REG07, REG08, REG10 ja REG12, kun taas ylin johto hyväksyy olennaiset politiikkamuutokset ja korkean riskin työntekijöiden tietosuojapoikkeukset. Mittareihin kuuluvat niiden työntekijöiden käsittelytoimien prosenttiosuus, joilla on ajantasaiset REG02-tallenteet, työntekijöiden tietosuojaselosteiden ajantasaisuus, avoimet työntekijöiden tietosuojariskit ja DPIA-reitityskohteet, työntekijöiden oikeuksia koskevien pyyntöjen määräaikaisuus, HR-toimittajien katselmointien valmistuminen sekä työntekijöiden henkilötietopoikkeamien trendit, kun poikkeamia tapahtuu. Poikkeukset tulee kirjata REG12:een ennen poikkeamaa, niille tulee osoittaa enintään 90 päivän päättymispäivä ja ne tulee katselmoida ennen päättymistä. Soveltaminen edellyttää poikkeamien kirjaamista REG12:een, kun vaadittu työntekijöiden tietosuojan todentava aineisto puuttuu, estää työntekijöiden valvonnan hyväksymisen ilman vaadittua todentavaa aineistoa ja sallii työntekijöiden henkilötietojen uusien luovutusten keskeyttämisen HR-toimittajille, kun henkilötietojen käsittelijää, alikäsittelijää, ohjeita tai avustamista koskeva todentava aineisto puuttuu.