Darbinieku privātuma politika

Darbinieku privātuma politika nosaka privātuma prasības darbinieku personas datiem privātuma informācijas pārvaldības sistēmā. Tās piemērošanas joma ietver darbinieku personas datu vākšanu, izmantošanu, izpaušanu, glabāšanas sasaisti, paziņojumus, tiesību pieprasījumu apstrādi, uzraudzību, apstrādātāju atbalstu un pierādījumu pārvaldību. Politika attiecas uz pārziņa un kopīgā pārziņa kontekstiem, kuros organizācija nosaka darbinieku personas datu apstrādes nolūkus un līdzekļus, kā arī uz apstrādātāja un apakšapstrādātāja kontekstiem, kuros organizācija apstrādā darbinieku personas datus saskaņā ar dokumentētiem norādījumiem. Darbinieku personas dati tiek definēti plaši, ietverot informāciju par darbiniekiem, amata kandidātiem, bijušajiem darbiniekiem, līgumslēdzējiem, pagaidu personālu, praktikantiem, norīkotiem darbiniekiem un citiem darba vidē iesaistītiem dalībniekiem, ja organizācija apstrādā viņu personas datus personāla, atlases, nodarbinātības, iesaistes, atlīdzības, labumu, drošības, atbilstības, darba vietas administrēšanas vai saistītiem darbības nolūkiem. Politikas centrālais elements ir tās pierādījumu modelis. Politika neveido atsevišķu personālvadības privātuma reģistru, darbinieku privātuma reģistru, darbinieku uzraudzības reģistru, personālvadības piegādātāju reģistru, darbinieku tiesību reģistru vai darbinieku incidentu reģistru. Tā vietā politika prasa darbinieku apstrādes pierādījumus uzturēt kanoniskajos PIMS reģistros: REG02 — apstrādes uzskaitei un glabāšanas sasaistei, REG04 — privātuma risku un DPIA trigeriem, REG06 — darbinieku tiesību pieprasījumiem, REG07 — darbinieku privātuma paziņojumiem, REG08 — personālvadības apstrādātājiem un piegādātājiem, REG10 — darbinieku personas datu incidentiem, un REG12 — izņēmumiem, neatbilstībām, korektīvajām darbībām, uzraudzībai un uzlabošanas pierādījumiem. Šī struktūra atbalsta politikas mērķi: darbinieku personas dati ir jāapstrādā tikai dokumentētiem, apstiprinātiem, pārredzamiem, samērīgiem un pārskatatbildīgiem personāla nolūkiem, vienlaikus izvairoties no dublējoša, personālvadībai specifiska pierādījumu slāņa. Politikas noteikumi nosaka detalizētus darbības kontroles pasākumus darbinieku datu dzīves ciklam. Pirms darbinieku personas dati tiek vākti, ģenerēti, importēti, izmantoti vai izpausti, Procesa īpašniekam / uzņēmuma īpašniekam REG02 jāreģistrē darbinieku apstrādes darbība, tostarp personas datu kategorijas, darbinieku populācija, vākšanas avots, apstrādes nolūks, sistēmas, iekšējo un ārējo saņēmēju kategorijas un glabāšanas sasaiste. Darbinieku privātuma paziņojumi jāuztur REG07 pirms tiešas vai netiešas vākšanas jaunam vai būtiski mainītam nolūkam. Politika prasa darbinieku personas datus izmantot tikai apstiprinātiem nolūkiem, kas reģistrēti REG02, un prasa pirms izpaušanas sākšanas dokumentēt iekšējo saņēmēju kategorijas, ar darbības vajadzību saistītos nosacījumus un atkārtotas ārējas izpaušanas. Aizdomas par nesankcionētu izpaušanu, piekļuvi, zudumu vai uzraudzības datu nepareizu lietošanu jāvirza uz REG10 vienas darba dienas laikā pēc identificēšanas. Īpaša uzmanība tiek pievērsta darbinieku tiesībām, uzraudzībai un personālvadības piegādātāju pārvaldībai. Darbinieku tiesību pieprasījumi divu darba dienu laikā jāreģistrē REG06 vai jāvirza uz REG06, un procesu īpašnieku ievaddati jāsniedz piecu darba dienu laikā pēc piešķiršanas. Sarežģītiem pieprasījumiem, kas ietver uzraudzības ierakstus, fona pārbaudes ierakstus, īpašu kategoriju personas datus, trešo pušu darbinieku personas datus, tiesiskus ierobežojumus vai automatizētu lēmumu pieņemšanu, pirms atteikuma, termiņa pagarinājuma, ierobežojuma vai sarežģītas apstrādes ir nepieciešams Datu aizsardzības speciālista / privātuma konsultanta padoms. Darbinieku uzraudzība pirms aktivizēšanas vai būtisku izmaiņu veikšanas jādokumentē REG02, jāvirza caur REG04 privātuma riska vai DPIA sākotnējai izvērtēšanai, ja tā tiek ierosināta, jāatbalsta ar aktuāliem REG07 paziņojuma vai komunikācijas pierādījumiem, un, ja tā iekļauta REG02, vismaz reizi gadā jāveic izlases pārbaude REG12. Personālvadības apstrādātāji, darba samaksas pakalpojumu sniedzēji, HRIS pakalpojumu sniedzēji, labumu pakalpojumu sniedzēji, fona pārbaudes pakalpojumu sniedzēji un ārpakalpojuma personālvadības pakalpojumu sniedzēji jāreģistrē REG08, pirms darbinieku personas dati tiek izpausti pakalpojumu sniedzējam, tiem piekļūst pakalpojumu sniedzējs vai tie tiek apstrādāti ar pakalpojumu sniedzēja starpniecību. Pārvaldības noteikumi piešķir atkārtotas pārraudzības un politikas ievērošanas pienākumus. Privātuma vadītājam / PIMS vadītājam reizi ceturksnī jāveic darbinieku privātuma pierādījumu pārskatīšana REG02, REG04, REG06, REG07, REG08, REG10 un REG12 ietvaros, savukārt Augstākā vadība apstiprina būtiskas politikas izmaiņas un augsta riska darbinieku privātuma izņēmumus. Metrikās ietilpst to darbinieku apstrādes darbību īpatsvars, kurām ir aktuāli REG02 ieraksti, darbinieku privātuma paziņojumu aktualitāte, atvērtie darbinieku privātuma riska un DPIA virzīšanas vienumi, darbinieku tiesību pieprasījumu savlaicīgums, personālvadības piegādātāju pārskatīšanas pabeigšana un darbinieku personas datu incidentu tendences, ja incidenti notiek. Izņēmumi pirms atkāpes jāreģistrē REG12, tiem jāpiešķir beigu datums, kas nepārsniedz 90 dienas, un tie jāpārskata pirms termiņa beigām. Politikas ievērošana prasa REG12 reģistrēt neatbilstības, ja trūkst nepieciešamo darbinieku privātuma pierādījumu, nepieļauj darbinieku uzraudzības apstiprināšanu bez nepieciešamajiem pierādījumiem un ļauj apturēt jaunu darbinieku personas datu izpaušanu personālvadības piegādātājiem, ja trūkst apstrādātāja, apakšapstrādātāja, norādījumu vai atbalsta pierādījumu.