Цей урок про дані людей, з якими ви працюєте, і правила їхнього моніторингу. DPC у квітні 2023 року опублікував настанови для роботодавців Data Protection in the Workplace (захист даних на робочому місці). Вони застосовують GDPR до даних працівників і посилаються на європейську судову практику з прав людини.
Дані працівників
Роботодавці зберігають багато персональних даних: контактні дані, банківські реквізити, зарплату, результати роботи, відсутності та інформацію про здоров’я. Правила з уроків 2–6 застосовуються так само. Зокрема:
- Працівникам треба повідомити, що збирають і навіщо (повідомлення про конфіденційність для працівників).
- Дані про здоров’я належать до спеціальних категорій. Записи про хворобу мають бачити лише ті, кому вони потрібні, а медичних подробиць понад те, на що роботодавець має право, збирати не слід.
- Обмежуйте доступ до кадрових справ. Керівникові не потрібно бачити справу про скаргу чи довідку про хворобу колеги, якщо він не бере участі в процесі.
- Не публікуйте особисту інформацію про колег, як-от дні народження, здоров’я чи дисциплінарні справи, на дошках оголошень або в групових чатах.
- Зберігайте записи не довше, ніж потрібно, згідно з графіком зберігання.
Моніторинг працівників
Роботодавці можуть мати підстави для моніторингу: безпека, захист майна, охорона праці чи перевірка дотримання правил. Але моніторинг — це обробка персональних даних, і він мусить відповідати принципам. За настановами DPC моніторинг має бути:
- необхідним: для чіткої законної мети, а не «про всяк випадок»;
- пропорційним: найменш втручальний варіант, що досягає мети;
- прозорим: працівників треба заздалегідь повідомити, що відстежується, як і навіщо, зазвичай у письмовій політиці;
- обмеженим: дані використовуються лише для заявленої мети.
Роботодавці зазвичай мають провести оцінку впливу на захист даних (DPIA) перед запровадженням інтрузивного моніторингу (стаття 35). Прихований моніторинг — виняток. DPC каже, що його слід уникати, де можливо, і застосовувати лише в окремих випадках, наприклад для розслідування підозрюваного злочину, із залученням Gardaí (ірландської поліції).
Поширені види:
- Електронна пошта та інтернет: політика має визначати, чи дозволене особисте користування й що можна перевіряти. Перегляд змісту приватних листів обґрунтувати набагато важче, ніж перегляд обсягів чи журналів.
- Камери спостереження (CCTV): камери потребують чіткої мети, наприклад безпеки, і табличок, що повідомляють про CCTV і те, хто його веде. Вони не повинні знімати туалети, роздягальні чи кімнати відпочинку, окрім дуже рідкісних випадків. Записи не слід зберігати довше, ніж потрібно. Люди можуть просити копію записів, де вони є.
- GPS-стеження за транспортом: воно має стосуватися бізнесу, наприклад планування робіт. Стеження поза робочим часом навряд чи законне, особливо за автомобілем, що належить працівникові.
- Запис розмов і програми для віддаленої роботи: застосовуються ті самі тести. Постійні знімки екрана чи запис натискань клавіш важко обґрунтувати.
Європейський суд з прав людини у справі Бербулеску проти Румунії (Bărbulescu v Romania, 2017) зазначив, що роботодавці мають заздалегідь повідомляти працівників про характер і межі моніторингу комунікацій. Працівники не втрачають права на приватність на роботі.
Номери PPS
Personal Public Service Number (PPSN) — довідковий номер для взаємодії з державою. Правила його використання містить Social Welfare Consolidation Act 2005 (розділи 262–270 і додаток 5).
- Лише визначені органи, переважно державні органи, названі в Законі, можуть використовувати PPSN у взаємодії з людиною для цілей, зазначених у Законі.
- Будь-хто інший, хто використовує PPSN або просить його без правової підстави, вчиняє правопорушення (розділ 262(9)). Не просіть у клієнта PPSN для карток лояльності, реєстрації чи посвідчення особи.
- Роботодавцям PPSN працівника потрібен для нарахування зарплати й звітування до Revenue та Department of Social Protection (міністерства соціального захисту), бо це взаємодія з визначеними органами. Це юридичний обов’язок, і номер слід зберігати в зарплатних і кадрових записах з обмеженим доступом.
- Ставтеся до нього як до чутливого: його можна використати для шахрайства з особистістю. Не вставляйте його в листи чи спільні документи без потреби.
Freedom of Information
Якщо ваш роботодавець — державний орган (урядове відомство, місцева влада, служба HSE, школа чи коледж, що фінансуються державою), діє також Freedom of Information Act 2014 (закон про доступ до публічної інформації, FOI). Він дає громадськості право бачити записи, що їх має орган. Записи з особистою інформацією про інших людей зазвичай захищені від оприлюднення (розділ 37). FOI і захист даних — різні закони з різними запитами: людина, що просить власні персональні дані, подає SAR, хоча може діяти й закон FOI. Якщо ви отримали запит, у якому згадано «Freedom of Information», негайно передайте його посадовцеві з FOI.
Що запам’ятати
- Моніторинг має бути необхідним, пропорційним і прозорим, а працівників слід повідомляти заздалегідь.
- CCTV потребує чіткої мети й табличок.
- PPSN можна використовувати лише так, як дозволяє закон. Роботодавцям він потрібен для зарплат і податків.
- Кадрові справи тримайте в таємниці й діліться ними лише з тими, кому вони потрібні.