Diritto alla cancellazione GDPR per i documenti HR: come cancellare i dati dei dipendenti e dimostrarlo

Una richiesta di cancellazione da parte di un ex dipendente e un obbligo legale di conservazione vanno di solito in direzioni opposte. Devi risolvere questo conflitto documento per documento, e devi poter dimostrare il tuo ragionamento in seguito.

Il GDPR conferisce alle persone il diritto di ottenere la cancellazione dei propri dati personali. L’HR detiene alcuni dei dati personali più sensibili di qualsiasi organizzazione, e anche alcuni dei più regolamentati. Quando un ex dipendente invia una richiesta di cancellazione, la risposta raramente è un semplice sì o no. Una parte del fascicolo deve sparire. Una parte deve restare. E ti serve una registrazione di quale parte fosse quale.

La risposta breve

Devi cancellare i dati dei dipendenti quando il motivo per cui li detenevi non sussiste più, a meno che una specifica base giuridica non ti imponga di conservarli. I documenti relativi a paghe, imposte e previdenza sociale rientrano quasi sempre in un obbligo di conservazione che prevale sulla richiesta di cancellazione. Il fascicolo di selezione di un candidato scartato di solito no. Il lavoro consiste nel decidere, per categoria, quale regola prevale, e nel conservare la prova di quella decisione.

Cosa dice davvero il diritto alla cancellazione

Il diritto alla cancellazione è sancito dall’articolo 17 del GDPR. Conferisce all’interessato il diritto di ottenere la cancellazione dei propri dati personali senza ingiustificato ritardo quando ricorre una di diverse condizioni. Le due più rilevanti per l’HR sono:

• I dati non sono più necessari rispetto alla finalità per cui sono stati raccolti.
• I dati sono stati trattati sulla base del consenso, e tale consenso è stato revocato.

Un rapporto di lavoro di solito non si fonda sul consenso. Si basa sul contratto di lavoro e sugli obblighi di legge. Questa distinzione è importante, perché cambia quali motivi di cancellazione si applicano e su quali eccezioni puoi fare affidamento.

Quando devi rifiutare la richiesta

L’articolo 17(3) elenca le eccezioni. Quella che domina in ambito HR è l’eccezione per l’adempimento di un obbligo legale. Se una legge nazionale ti impone di conservare un documento, il diritto alla cancellazione non ti obbliga a cancellarlo anticipatamente.

Le categorie soggette a un obbligo di conservazione sono quelle consuete: documenti paghe e delle ritenute fiscali, contratti di lavoro e relative modifiche, e documenti in materia di salute e sicurezza sul lavoro. I documenti paghe e fiscali sono il caso più evidente: si conservano per anni ai sensi della normativa fiscale nazionale, quindi non puoi cancellarli su richiesta. Il periodo esatto per ciascuna categoria è indicato in periodi di conservazione dei dati HR nell’UE.

Quando si applica un’eccezione, non cancelli. Ma non ignori nemmeno la richiesta. Rispondi, spieghi la base giuridica per conservare i dati e registri di averlo fatto. Un rifiuto che in seguito non sai spiegare è un rifiuto che sembra una non conformità.

Quando devi cancellare

Se non si applicano né un obbligo di conservazione né un’altra eccezione, i dati vanno cancellati. Categorie HR comuni che di solito devono essere cancellate una volta esaurita la loro finalità:

• Dati di selezione dei candidati scartati. Una volta coperta la posizione e trascorso un eventuale breve periodo di conservazione per possibili contestazioni per discriminazione, non resta alcuna finalità. Senza consenso il periodo è breve, circa quattro settimane secondo le indicazioni olandesi. Con il consenso del candidato è comune arrivare fino a un anno, così da poterlo contattare per una posizione futura.
• Dati di candidatura che potevi conservare con il consenso, dopo che il candidato ha revocato tale consenso.
• Note sulle prestazioni e corrispondenza HR interna che hanno esaurito la loro finalità e non fanno parte di un documento che sei obbligato a conservare.
• Credenziali di accesso, log dei badge e dati degli account IT, una volta completato l’offboarding e chiusa un’eventuale finestra di revisione di sicurezza.

La limitazione della conservazione non è solo reattiva. L’articolo 5(1)(e) impone innanzitutto di conservare i dati personali non più a lungo del necessario. È un principio distinto dalla minimizzazione dei dati di cui all’articolo 5(1)(c), che limita quanti dati raccogli. Una richiesta di cancellazione è spesso solo il momento in cui scopri di detenere dati che avresti già dovuto rimuovere.

La parte che la maggior parte dei team sbaglia: la prova

Cancellare i dati è metà dell’obbligo. Poter dimostrare di averli cancellati è l’altra metà, ed è quella che crolla durante un audit.

L’articolo 5(2) stabilisce il principio di responsabilizzazione. Devi essere in grado di dimostrare la conformità, non solo di dichiararla. Per la cancellazione, ciò significa che dovresti poter mostrare, per una specifica richiesta:

1. Cosa è stato richiesto e quando.
2. Quali categorie hai cancellato e quali hai conservato.
3. La base giuridica per tutto ciò che hai conservato.
4. Quando è avvenuta effettivamente la cancellazione.
5. Che i dati cancellati sono davvero spariti e non giacciono in un backup che li ripristina silenziosamente.

Un’autorità di controllo come l’Autoriteit Persoonsgegevens olandese o la CNIL francese, agendo su reclamo dell’ex dipendente, chiederà esattamente questo. “Li abbiamo cancellati” non è una risposta. Una registrazione datata e a prova di manomissione della decisione e dell’azione lo è.

Il problema dei backup

I backup sono il punto in cui le affermazioni di cancellazione crollano. Se cancelli un record dal sistema in produzione ma un backup notturno lo ripristina tre settimane dopo, non hai cancellato nulla. Le autorità accettano che la cancellazione immediata da ogni backup non sia sempre tecnicamente fattibile, ma si aspettano un approccio documentato: i dati vengono resi inutilizzabili, esclusi dai ripristini ed eliminati alla successiva rotazione dei backup. Quello che non accettano è il silenzio. Se non sai descrivere il tuo processo di cancellazione dai backup, non puoi dimostrare la cancellazione.

Informa gli altri

La cancellazione non si ferma ai tuoi sistemi. L’articolo 19 ti impone di comunicare la cancellazione a ciascun destinatario cui i dati sono stati trasmessi, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato. Per l’HR questo di solito significa il tuo service paghe, il gestore del tuo fondo pensione e qualsiasi responsabile del trattamento che abbia ricevuto il documento. Cancellare la tua copia mentre un responsabile del trattamento conserva la sua non è cancellazione. È una lacuna, ed è una lacuna che devi colmare e documentare.

Un flusso di cancellazione difendibile per l’HR

Un flusso di lavoro che regge a un esame approfondito si presenta così:

1. Registra la richiesta con un timestamp al momento del suo arrivo.
2. Classifica il fascicolo per categoria. Separa le parti soggette a un obbligo di conservazione da quelle che devono essere cancellate.
3. Registra la decisione per categoria, compresa la base giuridica per tutto ciò che viene conservato.
4. Esegui la cancellazione sulle categorie che devono sparire, compresa la gestione dei backup.
5. Raccogli la prova che la cancellazione è avvenuta: cosa è stato cancellato, quando e con quale processo.
6. Rispondi all’interessato entro il termine di un mese, prorogabile di due mesi per le richieste complesse.

Il risultato di un buon flusso di lavoro non sono solo dati cancellati. È un fascicolo difendibile che dimostra, mesi o anni dopo, che hai fatto la cosa giusta per il motivo giusto. È l’idea alla base della cancellazione difendibile: una distruzione che porta con sé la propria prova.

Come SealDoc supporta la cancellazione in ambito HR

SealDoc assegna a ogni documento una categoria di conservazione al momento della creazione e ne registra il ciclo di vita in una traccia di audit a catena di hash, così qualsiasi modifica a posteriori della sequenza è rilevabile. L’API di SealDoc rifiuta di cancellare un documento entro il suo periodo di conservazione.

Tramite l’API, SealDoc cancella su richiesta i dati di un documento una volta che il suo periodo di conservazione lo consente, e registra la cancellazione nella traccia di audit. La registrazione avviene nel momento della cancellazione, che è proprio il momento in cui la responsabilizzazione ai sensi dell’articolo 5(2) è più facile da soddisfare e più difficile da ricostruire a posteriori.

I dati risiedono su infrastruttura all’interno dell’UE, senza alcun hyperscaler statunitense nel percorso, così la registrazione della cancellazione non crea a sua volta un nuovo problema di trasferimento.