Poslodavac mora voditi evidenciju svojih zaposlenika, a istovremeno smije obrađivati samo osobne podatke koji su nužni za radni odnos. Te dvije obveze susreću se u osobnom dosjeu, a praktično pitanje je uvijek isto: što smije ući, što ne smije i koliko dugo smije tamo ostati.
Što se može zadržati
Podaci potrebni za izvršenje ugovora o radu i za poštivanje zakonskih obveza: ime i prezime i adresa, datum rođenja, broj građanske službe, preslika identifikacijske isprave ovjerene na početku rada, ugovor i njegove izmjene i dopune, podaci o plaći i obračunu plaća, ocjene i korespondencija o učinku, evidencija o osposobljavanju, datumi izostanaka te evidencija o opomenama ili disciplinskim postupcima.
Broj građanske službe i kopija identifikacijske isprave nalaze se u dosjeu jer ih zahtijevaju porezni i zakoni o socijalnom osiguranju; isti taj zahtjev ih čini zakonitima. Traženje kopije identifikacijske isprave u bilo koju drugu svrhu nije dopušteno.
Što se ne smije čuvati
Zdravstveni podaci su glavna zamka. Kada zaposlenik prijavi bolovanje, poslodavac može zabilježiti da je zaposlenik odsutan, od kojeg datuma i koje je očekivano trajanje, zajedno s tim što zaposlenik može, a što ne može raditi na poslu te koje su potrebne prilagodbe. Poslodavac ne smije zabilježiti prirodu bolesti, dijagnozu, liječenje ili lijekove, čak ni kada se zaposlenik dobrovoljno javi. Te informacije pripadaju liječniku tvrtke, čiji je karton zaseban i kojem poslodavac nema pristup.
Jednako neprimjereni su podaci o religiji, političkom mišljenju, članstvu u sindikatu, etničkom podrijetlu i seksualnoj orijentaciji, osim ako se ne primjenjuje posebna zakonska iznimka; bilješke o privatnom životu zaposlenika koje nemaju utjecaja na posao; i nestrukturirani osobni dojmovi koje su zabilježili menadžeri, a koje zaposlenici imaju pravo vidjeti i koji se u sporu čitaju vrlo drugačije nego kada su napisani.
Koliko dugo se podaci mogu čuvati?
GDPR ne postavlja fiksna razdoblja; pravilo je da se podaci ne smiju čuvati dulje nego što je potrebno. U praksi se koriste dva reda: većina osobnih podataka uklanja se u roku od otprilike dvije godine od prestanka zaposlenja, dok se podaci potrebni za porezne svrhe - evidencija plaća, kopija osobne isprave, porezna prijava - čuvaju sedam godina, jer to zahtijeva porezno tijelo.
Prijave kandidata koji nisu zaposleni obično se uništavaju u roku od četiri tjedna ili do godinu dana uz pristanak kandidata. Raspored čuvanja koji određuje ta razdoblja po kategorijama i koji se stvarno primjenjuje ono je što usklađenost pretvara iz težnje u dokaz.
Prava zaposlenika
Zaposlenici imaju pravo vidjeti svoj dosje, ispraviti netočne podatke i u definiranim okolnostima izbrisati podatke. Zahtjev za pristup je pravo, a ne neprijateljski čin, i na njega se mora odgovoriti u roku od mjesec dana. U praksi ovi zahtjevi često stižu na početku spora, što je dobar razlog za čuvanje dosjea koji se mogu pokazati bez neugodnosti.
Praktična kontrolna lista
Vodite jednu datoteku po zaposleniku s definiranom strukturom, tako da je jasno što se u njoj nalazi. Ograničite pristup na one kojima je potreban i evidentirajte tko ima pristup. Podatke o bolestima čuvajte kod liječnika tvrtke i izvan osobne datoteke. Primjenjujte razdoblja čuvanja na fiksni datum svake godine, a ne od slučaja do slučaja. I sve to zabilježite u registar obrade, što je prvi dokument koji će nadzorno tijelo tražiti.
Savjet
Pregledavamo praksu vođenja osobnih dosjea, izrađujemo rasporede čuvanja i izjave o privatnosti za zaposlenike te savjetujemo kada zahtjev za pristup stigne usred spora. Molimo kontaktirajte Law & MoreNaši odvjetnici za radno pravo i pravo na privatnost surađuju na ovim pitanjima.
