Prawo do usunięcia danych z RODO a dokumentacja HR: jak usunąć dane pracownika i to udowodnić

Żądanie usunięcia danych od byłego pracownika i ustawowy obowiązek przechowywania zwykle wskazują w przeciwnych kierunkach. Musisz rozstrzygnąć ten konflikt rekord po rekordzie i musisz być w stanie później wykazać swoje rozumowanie.

RODO daje osobom fizycznym prawo do usunięcia ich danych osobowych. Dział HR przechowuje jedne z najbardziej wrażliwych danych osobowych w każdej organizacji, a zarazem jedne z najsilniej regulowanych. Gdy były pracownik wysyła żądanie usunięcia, odpowiedź rzadko jest prostym „tak” lub „nie”. Część akt musi zniknąć. Część musi zostać. A Ty potrzebujesz zapisu, która część była którą.

Krótka odpowiedź

Musisz usunąć dane pracownika, gdy powód ich przechowywania przestał istnieć, chyba że konkretna podstawa prawna wymaga ich zachowania. Dokumentacja płacowa, podatkowa i dotycząca ubezpieczeń społecznych niemal zawsze podlega obowiązkowi przechowywania, który ma pierwszeństwo przed żądaniem usunięcia. Akta rekrutacyjne odrzuconego kandydata zwykle nie. Cała praca polega na rozstrzygnięciu, dla każdej kategorii, która reguła wygrywa, i na zachowaniu dowodu tej decyzji.

Co faktycznie mówi prawo do usunięcia danych

Prawo do usunięcia danych jest zapisane w art. 17 RODO. Daje osobie, której dane dotyczą, prawo do żądania usunięcia jej danych osobowych bez zbędnej zwłoki, gdy spełniony jest jeden z kilku warunków. Dwa najważniejsze dla HR to:

Dane nie są już niezbędne do celu, w którym zostały zebrane.
Dane były przetwarzane na podstawie zgody, a zgoda ta została wycofana.

Stosunek pracy zwykle nie opiera się na zgodzie. Opiera się na umowie o pracę i na obowiązkach prawnych. To rozróżnienie ma znaczenie, bo zmienia to, które podstawy usunięcia mają zastosowanie i na które wyjątki możesz się powołać.

Kiedy musisz odmówić

Art. 17 ust. 3 wymienia wyjątki. Ten, który dominuje w HR, to wyjątek dotyczący wywiązania się z obowiązku prawnego. Jeśli przepis krajowy wymaga od Ciebie przechowywania dokumentu, prawo do usunięcia danych nie zmusza Cię do jego wcześniejszego usunięcia.

Kategorie objęte obowiązkiem przechowywania to te typowe: dokumentacja płacowa i dotycząca podatku od wynagrodzeń, umowy o pracę i ich zmiany oraz dokumentacja bezpieczeństwa i higieny pracy. Dokumentacja płacowa i podatkowa to najwyraźniejszy przypadek: przechowuje się ją latami na podstawie krajowego prawa podatkowego, więc nie możesz jej usunąć na żądanie. Dokładny okres dla każdej kategorii znajdziesz w artykule Okresy przechowywania danych HR w UE.

Gdy wyjątek ma zastosowanie, nie usuwasz. Nie ignorujesz też po prostu żądania. Odpowiadasz, wyjaśniasz podstawę prawną zachowania danych i zapisujesz, że to zrobiłeś. Odmowa, której nie potrafisz później wyjaśnić, to odmowa, która wygląda na naruszenie przepisów.

Kiedy musisz usunąć

Gdy nie ma obowiązku przechowywania ani żadnego innego wyjątku, dane znikają. Typowe kategorie HR, które zwykle muszą zostać usunięte po wygaśnięciu ich celu:

Dane rekrutacyjne odrzuconych kandydatów. Gdy wakat zostanie obsadzony, a krótki okres przechowywania na potrzeby ewentualnych roszczeń dotyczących dyskryminacji minie, nie pozostaje żaden cel. Bez zgody okres ten jest krótki, około czterech tygodni według holenderskich wytycznych. Za zgodą kandydata często stosuje się okres do roku, aby móc zwrócić się do niego w sprawie przyszłego stanowiska.
Dane aplikacyjne, które wolno było zachować za zgodą, po tym, jak kandydat tę zgodę wycofał.
Notatki dotyczące wyników pracy i wewnętrzna korespondencja HR, które przeżyły swój cel i nie stanowią części dokumentacji, którą masz obowiązek przechowywać.
Dane uwierzytelniające, logi identyfikatorów i dane kont IT po zakończeniu offboardingu i zamknięciu ewentualnego okresu przeglądu bezpieczeństwa.

Ograniczenie przechowywania nie jest wyłącznie reaktywne. Art. 5 ust. 1 lit. e wymaga, aby dane osobowe od samego początku były przechowywane nie dłużej, niż jest to niezbędne. To zasada odrębna od minimalizacji danych z art. 5 ust. 1 lit. c, która ogranicza to, ile danych zbierasz. Żądanie usunięcia to często po prostu moment, w którym odkrywasz, że w Twoich systemach są dane, które powinny były zostać usunięte już wcześniej.

Część, w której większość zespołów popełnia błąd: dowód

Usunięcie danych to połowa obowiązku. Druga połowa to możliwość wykazania, że je usunięto, i to właśnie ta połowa zawodzi podczas audytu.

Art. 5 ust. 2 określa zasadę rozliczalności. Musisz być w stanie wykazać zgodność z przepisami, a nie tylko ją deklarować. W przypadku usuwania danych oznacza to, że dla konkretnego żądania musisz umieć pokazać:

Czego dotyczyło żądanie i kiedy wpłynęło.
Które kategorie zostały usunięte, a które zachowane.
Podstawę prawną dla wszystkiego, co zachowano.
Kiedy usunięcie faktycznie nastąpiło.
Że usunięte dane rzeczywiście zniknęły i nie leżą w kopii zapasowej, która po cichu je przywróci.

Organ nadzorczy, taki jak holenderski Autoriteit Persoonsgegevens czy francuski CNIL, działając na podstawie skargi byłego pracownika, zapyta właśnie o to. „Usunęliśmy to” nie jest odpowiedzią. Odpowiedzią jest opatrzony datą, ujawniający manipulacje zapis decyzji i działania.

Problem kopii zapasowych

Kopie zapasowe to miejsce, w którym deklaracje usunięcia się rozsypują. Jeśli usuniesz rekord z systemu produkcyjnego, ale nocna kopia zapasowa przywróci go trzy tygodnie później, niczego nie usunąłeś. Organy regulacyjne akceptują to, że natychmiastowe usunięcie z każdej kopii zapasowej nie zawsze jest technicznie wykonalne, ale oczekują udokumentowanego podejścia: dane są wyłączone z wszelkiego użytku, wykluczone z przywracania i usuwane przy kolejnej rotacji kopii zapasowych. Nie akceptują natomiast milczenia. Jeśli nie potrafisz opisać swojego procesu usuwania danych z kopii zapasowych, nie potrafisz wykazać usunięcia.

Poinformuj pozostałych

Usunięcie nie kończy się na Twoich własnych systemach. Art. 19 wymaga poinformowania o usunięciu każdego odbiorcy, któremu dane zostały ujawnione, chyba że okaże się to niemożliwe lub będzie wymagać niewspółmiernie dużego wysiłku. W HR oznacza to zwykle Twoje biuro płacowe, podmiot obsługujący program emerytalny i każdy podmiot przetwarzający, który otrzymał dane. Usunięcie własnej kopii, gdy podmiot przetwarzający zachowuje swoją, to nie jest usunięcie. To luka, którą musisz zamknąć i udokumentować.

Proces usuwania danych w HR możliwy do obrony

Proces, który wytrzyma kontrolę, wygląda tak:

Zarejestruj żądanie ze znacznikiem czasu w chwili jego wpłynięcia.
Sklasyfikuj akta według kategorii. Oddziel części objęte obowiązkiem przechowywania od części, które muszą zostać usunięte.
Zapisz decyzję dla każdej kategorii, wraz z podstawą prawną dla wszystkiego, co zachowano.
Wykonaj usunięcie w kategoriach, które muszą zniknąć, łącznie z obsługą kopii zapasowych.
Utrwal dowód, że usunięcie nastąpiło: co usunięto, kiedy i w ramach jakiego procesu.
Odpowiedz osobie, której dane dotyczą, w terminie jednego miesiąca, który przy złożonych żądaniach można przedłużyć o dwa miesiące.

Wynikiem dobrego procesu są nie tylko usunięte dane. To akta możliwe do obrony, które miesiące lub lata później pokazują, że postąpiono właściwie i z właściwego powodu. Na tym polega idea usuwania możliwego do obrony: zniszczenie, które przychodzi z własnym dowodem.

Jak SealDoc wspiera usuwanie danych w HR

SealDoc nadaje każdemu dokumentowi kategorię przechowywania w chwili jego utworzenia i rejestruje jego cykl życia w ścieżce audytowej powiązanej łańcuchem skrótów, dzięki czemu każda późniejsza zmiana sekwencji jest wykrywalna. API SealDoc odmawia usunięcia dokumentu w okresie jego przechowywania.

Przez API SealDoc usuwa na żądanie dane dokumentu, gdy pozwala na to okres przechowywania, i rejestruje usunięcie w ścieżce audytowej. Zapis jest utrwalany w chwili usunięcia, czyli dokładnie wtedy, gdy rozliczalność z art. 5 ust. 2 najłatwiej spełnić, a najtrudniej ją odtworzyć po fakcie.

Dane znajdują się w infrastrukturze w UE, bez amerykańskiego hiperskalera po drodze, więc sam zapis usunięcia nie tworzy nowego problemu transferu danych.