Darbuotojų privatumo politika

Darbuotojų privatumo politika apibrėžia privatumo reikalavimus darbuotojų asmens duomenims privačios informacijos apsaugos valdymo sistemoje. Jos taikymo sritis apima darbuotojų asmens duomenų rinkimą, naudojimą, atskleidimą, saugojimo sąsają, pranešimus, teisių įgyvendinimą, stebėseną, duomenų tvarkytojų pagalbą ir įrodymų valdymą. Politika taikoma duomenų valdytojo ir bendro duomenų valdytojo kontekstuose, kai organizacija nustato darbuotojų asmens duomenų tvarkymo tikslus ir priemones, taip pat duomenų tvarkytojo ir subtvarkytojo kontekstuose, kai organizacija tvarko darbuotojų asmens duomenis pagal dokumentuotus nurodymus. Darbuotojų asmens duomenys apibrėžiami plačiai ir apima informaciją, susijusią su darbuotojais, kandidatais į darbą, buvusiais darbuotojais, rangovais, laikinuoju personalu, praktikantais, komandiruotais darbuotojais ir kitais darbo jėgos dalyviais, kai organizacija tvarko jų asmens duomenis darbo jėgos, atrankos, darbo santykių, pasitelkimo, atlygio, naudų, saugumo, atitikties, darbo vietos administravimo ar susijusiais verslo tikslais. Centrinė politikos dalis yra jos įrodymų modelis. Politika nesukuria atskiro personalo privatumo registro, darbuotojų privatumo registro, darbuotojų stebėsenos registro, personalo tiekėjų registro, darbuotojų teisių registro ar darbuotojų incidentų registro. Vietoje to ji reikalauja, kad darbuotojų duomenų tvarkymo įrodymai būtų palaikomi kanoniniuose PIMS registruose: REG02 – tvarkymo veiklos apskaitai ir saugojimo sąsajai, REG04 – privatumo rizikai ir DPIA inicijavimo pagrindams, REG06 – darbuotojų prašymams įgyvendinti teises, REG07 – darbuotojų privatumo pranešimams, REG08 – personalo duomenų tvarkytojams ir tiekėjams, REG10 – darbuotojų asmens duomenų incidentams, o REG12 – išimtims, neatitiktims, korekciniams veiksmams, stebėsenos ir tobulinimo įrodymams. Ši struktūra palaiko politikos tikslą: darbuotojų asmens duomenys turi būti tvarkomi tik dokumentuotais, patvirtintais, skaidriais, proporcingais ir atskaitomais darbo jėgos tikslais, vengiant dubliuojančio personalui skirto įrodymų sluoksnio. Politikos nuostatos nustato išsamias operacines kontrolės priemones darbuotojų duomenų gyvavimo ciklui. Prieš renkant, generuojant, importuojant, naudojant ar atskleidžiant darbuotojų asmens duomenis, proceso savininkas / verslo savininkas turi REG02 įrašyti darbuotojų duomenų tvarkymo veiklą, įskaitant asmens duomenų kategorijas, darbuotojų grupę, rinkimo šaltinį, tvarkymo tikslą, sistemas, vidaus ir išorės gavėjų kategorijas bei saugojimo sąsają. Darbuotojų privatumo pranešimai turi būti palaikomi REG07 prieš tiesioginį ar netiesioginį rinkimą nauju arba iš esmės pakeistu tikslu. Politika reikalauja, kad darbuotojų asmens duomenys būtų naudojami tik patvirtintais tikslais, įrašytais REG02, ir kad vidaus gavėjų kategorijos, verslo poreikio sąlygos bei pasikartojantys išoriniai atskleidimai būtų dokumentuoti prieš pradedant atskleidimą. Įtariamas neautorizuotas atskleidimas, prieiga, praradimas arba netinkamas stebėsenos duomenų naudojimas turi būti per vieną darbo dieną nuo identifikavimo nukreiptas į REG10. Darbuotojų teisėms, stebėsenai ir personalo tiekėjų valdysenai skiriamas konkretus dėmesys. Darbuotojų prašymai įgyvendinti teises turi būti įrašomi arba nukreipiami REG06 per dvi darbo dienas, o procesų savininkų įvestys turi būti pateiktos per penkias darbo dienas nuo priskyrimo. Sudėtingiems prašymams, susijusiems su stebėsenos įrašais, asmens patikimumo patikrinimo įrašais, specialių kategorijų asmens duomenimis, trečiųjų šalių darbuotojų asmens duomenimis, teisiniais apribojimais arba automatizuotu sprendimų priėmimu, prieš atsisakymą, termino pratęsimą, apribojimą ar sudėtingą tvarkymą reikia duomenų apsaugos pareigūno (DAP) / privatumo konsultanto patarimo. Darbuotojų stebėsena turi būti dokumentuota REG02 prieš įjungimą arba esminį pakeitimą, nukreipta per REG04 pirminiam privatumo rizikos vertinimui arba DPIA poreikio vertinimui, kai jis inicijuojamas, pagrįsta aktualiais REG07 pranešimo arba komunikacijos įrodymais ir, kai įtraukta į REG02, atrankiniu būdu tikrinama REG12 ne rečiau kaip kartą per metus. Personalo duomenų tvarkytojai, darbo užmokesčio, HRIS, naudų, asmens patikimumo patikrinimo ir išorės personalo paslaugų teikėjai turi būti įrašyti REG08 prieš darbuotojų asmens duomenis atskleidžiant paslaugų teikėjui, suteikiant jam prieigą arba tvarkant juos per paslaugų teikėją. Valdysenos nuostatos priskiria pasikartojančias priežiūros ir politikos laikymosi atsakomybes. Privatumo vadovas / PIMS vadovas turi kas ketvirtį atlikti darbuotojų privatumo įrodymų peržiūras REG02, REG04, REG06, REG07, REG08, REG10 ir REG12 registruose, o aukščiausioji vadovybė tvirtina esminius politikos pakeitimus ir didelės rizikos darbuotojų privatumo išimtis. Rodikliai apima darbuotojų duomenų tvarkymo veiklų, turinčių aktualius REG02 įrašus, procentą, darbuotojų privatumo pranešimų aktualumą, atvirus darbuotojų privatumo rizikos ir DPIA nukreipimo elementus, darbuotojų prašymų įgyvendinti teises savalaikiškumą, personalo tiekėjų peržiūrų užbaigimą ir darbuotojų asmens duomenų incidentų tendencijas, kai incidentai įvyksta. Išimtys turi būti įrašytos REG12 prieš nukrypimą, joms turi būti priskirta ne ilgesnė kaip 90 dienų galiojimo pabaigos data ir jos turi būti peržiūrėtos prieš galiojimo pabaigą. Politikos taikymas reikalauja registruoti neatitiktis REG12, kai trūksta privalomų darbuotojų privatumo įrodymų, neleidžia patvirtinti darbuotojų stebėsenos be reikalingų įrodymų ir leidžia sustabdyti naujus darbuotojų asmens duomenų atskleidimus personalo tiekėjams, kai trūksta duomenų tvarkytojo, subtvarkytojo, nurodymų ar pagalbos įrodymų.