Această lecție tratează datele despre persoanele cu care lucrați și regulile privind monitorizarea lor. DPC a publicat în aprilie 2023 ghidul pentru angajatori Data Protection in the Workplace (Protecția datelor la locul de muncă). Acesta aplică GDPR datelor angajaților și face trimitere la jurisprudența europeană în materia drepturilor omului.
Datele angajaților
Angajatorii dețin multe date personale: date de contact, date bancare, salarizare, performanță, absențe și informații despre sănătate. Regulile din lecțiile 2-6 se aplică la fel. În special:
- Angajații trebuie informați ce se colectează și de ce (nota de informare pentru personal a angajatorului).
- Datele de sănătate sunt categorii speciale de date. Evidențele concediilor medicale trebuie văzute doar de cei care au nevoie de ele, iar detaliile medicale peste ceea ce angajatorul are dreptul să știe nu trebuie colectate.
- Limitați accesul la dosarele de resurse umane. Un manager nu are nevoie să vadă dosarul de reclamație sau certificatul medical al unui coleg, decât dacă face parte din procedură.
- Nu afișați informații personale despre colegi, precum zilele de naștere, starea de sănătate sau măsurile disciplinare, pe panouri de afișaj sau în grupuri de chat.
- Păstrați evidențele cel mult cât este necesar, conform calendarului de păstrare.
Monitorizarea angajaților
Angajatorii pot avea motive să monitorizeze: securitatea, protejarea bunurilor, siguranța sau verificarea conformității. Dar monitorizarea înseamnă prelucrarea datelor personale și trebuie să respecte principiile. Conform ghidului DPC, monitorizarea trebuie să fie:
- necesară: pentru un scop clar și legitim, nu „pentru orice eventualitate”;
- proporțională: cea mai puțin intruzivă variantă care își atinge scopul;
- transparentă: angajații trebuie informați din timp ce se monitorizează, cum și de ce, de obicei printr-o politică scrisă;
- limitată: datele se folosesc doar pentru scopul declarat.
De obicei, angajatorii ar trebui să efectueze o evaluare a impactului asupra protecției datelor (DPIA) înainte de a introduce o monitorizare intruzivă (articolul 35). Monitorizarea ascunsă este excepțională. DPC spune că trebuie evitată pe cât posibil și folosită doar de la caz la caz, de exemplu pentru investigarea unei presupuse infracțiuni, cu implicarea Gardaí (poliția irlandeză).
Tipuri frecvente:
- E-mailul și internetul: O politică ar trebui să spună dacă este permisă folosirea personală și ce poate fi verificat. Consultarea conținutului mesajelor private este mult mai greu de justificat decât verificarea volumelor sau a jurnalelor.
- Camerele de supraveghere (CCTV): Camerele au nevoie de un scop clar, de exemplu securitatea, și de panouri care să spună că se folosește CCTV și cine îl administrează. Nu ar trebui să filmeze toaletele, vestiarele sau sălile de pauză, decât în cazuri foarte rare. Înregistrările nu trebuie păstrate mai mult decât este necesar. Persoanele pot cere o copie a înregistrărilor în care apar.
- Urmărirea GPS a vehiculelor: Aceasta trebuie să fie legată de activitatea firmei, de exemplu pentru programarea lucrărilor. Urmărirea în afara programului de lucru este puțin probabil să fie legală, mai ales pentru o mașină care aparține angajatului.
- Înregistrarea apelurilor și programele pentru munca la distanță: Se aplică aceleași teste. Captura continuă a ecranului sau înregistrarea tastelor apăsate sunt greu de justificat.
Curtea Europeană a Drepturilor Omului a statuat în cauza Bărbulescu c. României (2017) că angajatorii trebuie să informeze din timp personalul despre natura și amploarea monitorizării comunicațiilor. Angajații nu-și pierd dreptul la viață privată la locul de muncă.
Numerele PPS
Personal Public Service Number (PPSN) este un număr de referință pentru relațiile cu statul. Regulile privind folosirea lui se găsesc în Social Welfare Consolidation Act 2005 (secțiunile 262-270 și anexa 5).
- Doar organismele specificate, în principal organisme publice enumerate în lege, pot folosi PPSN pentru relațiile cu o persoană, în scopurile prevăzute de lege.
- Oricine altcineva folosește un PPSN sau îl cere fără un motiv legal comite o infracțiune (secțiunea 262 alineatul 9). Nu cereți unui client PPSN pentru carduri de fidelitate, înscrieri sau identificare.
- Angajatorii au într-adevăr nevoie de PPSN al unui angajat pentru salarizare și pentru raportarea către Revenue și Department of Social Protection (ministerul irlandez al protecției sociale), pentru că sunt relații cu organisme specificate. Aceasta este o obligație legală, iar numărul trebuie păstrat în evidențele de salarizare și de resurse umane, cu acces limitat.
- Tratați-l ca pe o informație sensibilă: poate fi folosit în fraude de identitate. Nu-l puneți în e-mailuri sau în documente partajate fără necesitate.
Freedom of Information
Dacă angajatorul dumneavoastră este un organism public (un minister, o autoritate locală, un serviciu HSE, o școală sau un colegiu finanțat de stat), se aplică și Freedom of Information Act 2014 (legea privind accesul la informații publice). Aceasta dă publicului dreptul de a vedea documentele deținute de organism. Documentele care conțin informații personale despre alte persoane sunt în mod normal protejate împotriva divulgării (secțiunea 37). FOI și protecția datelor sunt legi diferite, cu cereri diferite: cine cere propriile date personale folosește o SAR, deși poate fi aplicabil și FOI Act. Dacă primiți o cerere care menționează „Freedom of Information”, transmiteți-o fără întârziere funcționarului FOI.
Ce să rețineți
- Monitorizarea trebuie să fie necesară, proporțională și transparentă, iar angajații trebuie informați din timp.
- CCTV are nevoie de un scop clar și de panouri.
- PPSN poate fi folosit doar în limitele legii. Angajatorii au nevoie de el pentru salarizare și impozite.
- Păstrați dosarele de personal confidențiale și arătați-le doar celor care au nevoie de ele.