Política de Privacidade dos Trabalhadores

A Política de Privacidade dos Trabalhadores define requisitos de privacidade para dados pessoais dos trabalhadores no âmbito do Sistema de Gestão de Informação de Privacidade. O seu âmbito inclui a recolha, utilização, divulgação, ligação ao calendário de retenção, aviso, tratamento dos direitos dos titulares dos dados, monitorização, apoio por subcontratantes e gestão de evidência relativos aos dados pessoais dos trabalhadores. A política aplica-se a contextos de responsável pelo tratamento e de responsável conjunto pelo tratamento quando a organização determina as finalidades e os meios do tratamento de dados pessoais dos trabalhadores, bem como a contextos de subcontratante e subcontratante subsequente quando a organização trata dados pessoais dos trabalhadores segundo instruções documentadas. Os dados pessoais dos trabalhadores são definidos de forma ampla para incluir informações relativas a trabalhadores, candidatos a emprego, antigos trabalhadores, contratados, pessoal temporário, estagiários, trabalhadores destacados e outros participantes da força de trabalho quando a organização trata os seus dados pessoais para finalidades relativas à força de trabalho, recrutamento, emprego, colaboração, remuneração, benefícios, segurança, conformidade, administração do local de trabalho ou finalidades de negócio relacionadas. Uma característica central da política é o seu modelo de evidência. A política não cria um registo separado de privacidade de RH, registo de privacidade dos trabalhadores, registo de monitorização de trabalhadores, registo de fornecedores de RH, registo de direitos dos trabalhadores ou registo de incidentes dos trabalhadores. Em vez disso, exige que a evidência do tratamento de dados dos trabalhadores seja mantida nos registos canónicos do PIMS: REG02 para inventário de tratamento e ligação ao calendário de retenção, REG04 para risco de privacidade e desencadeadores de AIPD, REG06 para pedidos de exercício de direitos dos trabalhadores, REG07 para avisos de privacidade dos trabalhadores, REG08 para subcontratantes de recursos humanos e fornecedores, REG10 para incidentes relativos a dados pessoais dos trabalhadores, e REG12 para exceções, não conformidades, ações corretivas, monitorização e evidência de melhoria. Esta estrutura apoia a finalidade da política: os dados pessoais dos trabalhadores devem ser tratados apenas para finalidades documentadas, aprovadas, transparentes, proporcionadas e responsabilizáveis relativas à força de trabalho, evitando uma camada de evidência duplicada específica de RH. As declarações da política estabelecem controlos operacionais detalhados para o ciclo de vida dos dados dos trabalhadores. Antes de os dados pessoais dos trabalhadores serem recolhidos, gerados, importados, utilizados ou divulgados, o Proprietário do processo / Proprietário do negócio deve registar a atividade de tratamento dos trabalhadores na REG02, incluindo categorias de dados pessoais, população de trabalhadores, fonte de recolha, finalidade do tratamento, sistemas, categorias de destinatários internos e externos e ligação ao calendário de retenção. Os avisos de privacidade dos trabalhadores devem ser mantidos na REG07 antes da recolha direta ou indireta para uma finalidade nova ou materialmente alterada. A política exige que os dados pessoais dos trabalhadores sejam utilizados apenas para finalidades aprovadas registadas na REG02 e exige que as categorias de destinatários internos, as condições de necessidade de negócio e as divulgações externas recorrentes sejam documentadas antes do início da divulgação. Qualquer suspeita de divulgação não autorizada, acesso não autorizado, perda ou utilização indevida de dados de monitorização deve ser encaminhada para a REG10 no prazo de um dia útil após a identificação. A governação dos direitos dos trabalhadores, da monitorização e dos fornecedores de RH recebe atenção específica. Os pedidos de exercício de direitos dos trabalhadores devem ser registados ou encaminhados na REG06 no prazo de dois dias úteis, devendo os contributos dos proprietários de processos ser apresentados no prazo de cinco dias úteis após a atribuição. Pedidos complexos que envolvam registos de monitorização, registos de verificação de antecedentes, categorias especiais de dados pessoais, dados pessoais de trabalhadores de terceiros, restrições legais ou decisões automatizadas exigem parecer do Encarregado da Proteção de Dados / Assessor de Privacidade antes de recusa, prorrogação, restrição ou tratamento complexo. A monitorização de trabalhadores deve ser documentada na REG02 antes da ativação ou alteração material, encaminhada através da REG04 para avaliação de riscos de privacidade ou triagem para AIPD quando acionada, suportada por aviso ou evidência de comunicação atual na REG07 e amostrada na REG12 pelo menos anualmente quando incluída na REG02. Subcontratantes de recursos humanos, processamento salarial, HRIS, benefícios, verificação de antecedentes e prestadores de serviços de RH externalizados devem ser registados na REG08 antes de os dados pessoais dos trabalhadores serem divulgados ao prestador, acedidos pelo prestador ou tratados através do prestador. As disposições de governação atribuem responsabilidades recorrentes de supervisão e aplicação. O Responsável de Privacidade / Gestor do PIMS deve realizar revisões trimestrais da evidência de privacidade dos trabalhadores na REG02, REG04, REG06, REG07, REG08, REG10 e REG12, enquanto a Alta direção aprova alterações materiais da política e exceções de privacidade dos trabalhadores de alto risco. As métricas incluem a percentagem de atividades de tratamento dos trabalhadores com registos REG02 atuais, a atualidade dos avisos de privacidade dos trabalhadores, itens em aberto de risco de privacidade dos trabalhadores e de encaminhamento para AIPD, tempestividade dos pedidos de exercício de direitos dos trabalhadores, conclusão da revisão de fornecedores de RH e tendências de incidentes relativos a dados pessoais dos trabalhadores quando ocorram incidentes. As exceções devem ser registadas na REG12 antes do desvio, receber uma data de expiração não superior a 90 dias e ser revistas antes da expiração. A aplicação exige o registo de não conformidades na REG12 quando a evidência de privacidade dos trabalhadores exigida esteja em falta, impede a aprovação da monitorização de trabalhadores sem a evidência exigida e permite suspender novas divulgações de dados pessoais dos trabalhadores a fornecedores de RH quando esteja em falta evidência relativa a subcontratantes, subcontratantes subsequentes, instruções ou assistência.