Роботодавець повинен вести облік своїх працівників і водночас може обробляти лише ті персональні дані, які необхідні для трудових відносин. Ці два зобов'язання поєднуються в особовій справі, і практичне питання завжди одне й те саме: що може туди потрапляти, що ні, і як довго це може там залишатися.
Що може зберігатися
Дані, необхідні для виконання трудового договору та дотримання законодавчих зобов'язань: ім'я та адреса, дата народження, номер громадянської служби, копія документа, що посвідчує особу, засвідченого на початку роботи, договір та зміни до нього, дані про заробітну плату та фонд оплати праці, оцінки та листування щодо виконання роботи, записи про навчання, дати відсутності та записи, що стосуються попереджень або дисциплінарних справ.
Номер громадянської служби та копія документа, що посвідчує особу, зберігаються у файлі, оскільки цього вимагає податкове законодавство та законодавство про соціальне забезпечення; ця ж вимога робить їх законними. Запит на копію документа, що посвідчує особу, для будь-яких інших цілей заборонено.
Що не можна зберігати
Дані про здоров'я – це головна пастка. Коли працівник повідомляє про хворобу, роботодавець може зафіксувати, що працівник відсутній, з якої дати та очікуваний термін відсутності, а також що працівник може і не може робити на роботі та які необхідні коригування. Роботодавець не може фіксувати характер хвороби, діагноз, лікування чи ліки, навіть якщо працівник добровільно це робить. Ця інформація належить лікарю компанії, чия карта є окремою і до якої роботодавець не має доступу.
Так само недоречними є дані про релігію, політичні погляди, членство в профспілці, етнічне походження та сексуальну орієнтацію, якщо не застосовується конкретний законодавчий виняток; нотатки про особисте життя працівника, які не мають відношення до роботи; та неструктуровані особисті враження, записані керівниками, які працівники мають право бачити і які в суперечці читаються зовсім інакше, ніж під час написання.
Як довго можуть зберігатися дані?
GDPR не встановлює фіксованих термінів; правило полягає в тому, що дані не можуть зберігатися довше, ніж необхідно. На практиці використовуються два правила: більшість персональних даних видаляються приблизно протягом двох років після закінчення трудових відносин, тоді як дані, необхідні для податкових цілей – платіжні відомості, копія документа, що посвідчує особу, декларація про податок на заробітну плату – зберігаються протягом семи років, оскільки цього вимагає податковий орган.
Заяви кандидатів, яких не прийняли на роботу, зазвичай знищуються протягом чотирьох тижнів або до року за згодою кандидата. Графік зберігання, який встановлює ці терміни для кожної категорії та фактично застосовується, перетворює відповідність вимогам з прагнення на доказ.
Права працівника
Працівники мають право переглядати свою справу, виправляти неточні дані та, за певних обставин, видаляти дані. Запит на доступ – це право, а не ворожий акт, і на нього має бути надано відповідь протягом місяця. На практиці ці запити часто надходять на початку спору, що є вагомою причиною для зберігання справ, які можна показати без сорому.
Практичний контрольний список
Ведіть окрему справу на кожного працівника з чітко визначеною структурою, щоб було зрозуміло, що в ній міститься. Обмежте доступ лише тими, хто його потребує, та реєструйте, хто має до нього доступ. Зберігайте дані про хворобу у лікаря компанії та поза особовим файлом. Застосовуйте терміни зберігання щороку у фіксовану дату, а не в кожному окремому випадку. І записуйте все це в реєстр обробки, який є першим документом, який запитує наглядовий орган.
Поради
Ми перевіряємо практику ведення особових справ, складаємо графіки зберігання та заяви про конфіденційність для співробітників, а також консультуємо, куди надходить запит на доступ у разі виникнення спору. Будь ласка, зв’яжіться з нами. Law & More; наші юристи з трудового права та питань конфіденційності працюють разом над цими питаннями.
