GDPR: अपने कर्मचारियों, फ्रीलांसरों और यूरोपीय समकक्ष कर्मचारियों के व्यक्तिगत डेटा के साथ कैसे काम करें

यह लेख एक संक्षिप्त निचोड़ है और जीडीपीआर विनियमन ("विनियमन") के प्रावधानों की मेरी व्याख्या, दिनांक 06/08/2017 को डाटा प्रोसेसिंग पर राय 2/2017 के साथ संयोजन में है। यह उन कंपनियों को संबोधित किया जाता है जिनके यूरोपीय संघ के देशों में पूर्ण कार्यालय या दूरदराज के कार्यकर्ता और / या फ्रीलांसर हैं, साथ ही यूरोपीय कर्मचारियों के साथ ठेकेदार (साझेदार) हैं, जिनके डेटा आप संयुक्त परियोजनाओं पर काम करने की प्रक्रिया में प्राप्त कर सकते हैं।

हम कर्मचारियों को भर्ती (भर्ती) करते समय व्यक्तिगत डेटा के प्रसंस्करण के मुद्दों का विश्लेषण करते हैं, फ्रीलांसरों या व्यापारिक भागीदारों के साथ समझौतों का समापन करते हैं; कार्यस्थल पर कर्मचारियों की निगरानी करना और दूरस्थ रूप से, स्वचालित डेटा अधिग्रहण प्रणालियों सहित।

यह निष्कर्ष विनियम के बल में प्रवेश की तारीख से पहले बनाया गया था और यह 24.10.25 के निर्देशांक 95/46 / EC पर आधारित है। हालाँकि, यह GDPR के प्रावधानों को ध्यान में रखता है।

सुविधा के लिए, और जहां यह संदर्भ के विपरीत नहीं है, कर्मचारियों, फ्रीलांसरों और प्रतिपक्ष कर्मचारियों को सामूहिक रूप से "कर्मचारी" के रूप में संदर्भित किया जाएगा।

सुनिश्चित करें कि आपके पास कर्मचारी डेटा को संसाधित करने का एक कारण है

कर्मचारियों के व्यक्तिगत डेटा का प्रसंस्करण आमतौर पर निम्न में से किसी एक आधार पर किया जाता है:

• व्यक्तिगत सहमति;
• कानून की आवश्यकताओं का पालन करने की आवश्यकता (आमतौर पर श्रम कानून या भुगतान करते समय एएमएल / सीएफटी );
• व्यक्तिगत डेटा के मालिक के अनुरोध पर पहले से ही संपन्न समझौते या एक समझौते को समाप्त करने की आवश्यकता को पूरा करने की आवश्यकता;
• इस तरह के प्रसंस्करण में आपकी कंपनी में वैध रुचि की उपस्थिति।

कानून की आवश्यकताओं के आधार पर प्रसंस्करण लेख के दायरे के बाहर छोड़ दिया जाएगा। साथ ही, हम व्यक्तिगत सहमति पर स्पर्श नहीं करेंगे। जैसा कि पिछले लेख में पहले ही नोट किया गया है, जीडीपीआर पर डेटा के प्रसंस्करण के लिए सहमति: एक विस्तृत विश्लेषण , कर्मचारियों की व्यक्तिगत डेटा का उनकी व्यक्तिगत सहमति के आधार पर प्रसंस्करण एक मुश्किल विकल्प है। हमेशा यह जोखिम होता है कि कहीं न कहीं सहमति गलत तरीके से तैयार की जाएगी और मुफ्त में मान्यता नहीं दी जाएगी, और आपकी कंपनी जीडीपीआर नियमों का उल्लंघन करेगी।

कर्मचारियों के साथ संबंधों में, निष्कर्ष निकाले गए समझौतों के आधार पर व्यक्तिगत डेटा का प्रसंस्करण अधिक विश्वसनीय है। यदि अनुबंधों को ठीक करने के लिए सभी प्रसंस्करण मुद्दे तकनीकी रूप से कठिन या अव्यवहारिक हैं, तो आपको इस तरह के प्रसंस्करण में अपनी कंपनी के वैध हित के औचित्य के लिए जिम्मेदारी से संपर्क करने की आवश्यकता होगी।

इस बात पर विचार करें कि श्रम या वाणिज्यिक अनुबंधों में क्या स्थितियाँ हैं और कैसे तैयार की जाती हैं ताकि वे आपको GDPR के अनुसार व्यक्तिगत डेटा संसाधित करने की अनुमति दें। (यह देखते हुए कि वैध हित के आधार पर प्रसंस्करण, साथ ही एक अनुबंध के आधार पर प्रसंस्करण भी प्रलेखित होने की आवश्यकता है और कई मामलों में उत्तरार्द्ध के साथ मेल खाता है, हम इसे अलग से नहीं मानेंगे)।

हम विनियमन के अनुच्छेद 6 (1) (बी) (अंग्रेजी से अनुवाद) का पूरा विवरण देते हैं: " अनुबंध उस अनुबंध को निष्पादित करने के लिए आवश्यक है जिसमें डेटा स्वामी एक पार्टी है, या अनुबंध से पहले व्यक्तिगत डेटा स्वामी के अनुरोध पर उपाय करना है "

इस शब्दांकन से कई अनिवार्य तत्व निकलते हैं।

अनुबंध के तहत डेटा की आवश्यकता

प्रस्तावना के नियमों के अनुच्छेद 44 के अनुसार, अनुबंध के संदर्भ में आवश्यक है या इसे समाप्त करने के इरादे से प्रसंस्करण कानूनी है। इसलिए, हम अनुबंध के संदर्भ को देखते हैं। निष्कर्ष 2/2017 ऐसे मामलों में आनुपातिकता परीक्षण के उपयोग की अनुशंसा करता है ताकि यह मूल्यांकन किया जा सके कि क्या एक वैध लक्ष्य प्राप्त करने के लिए प्रसंस्करण आवश्यक है (विशेष रूप से, एक अनुबंध को निष्पादित करने या निष्कर्ष निकालने के लिए), और गोपनीयता के साथ हस्तक्षेप को कम करने के लिए क्या उपाय किए जाने चाहिए। एक न्यूनतम करने के लिए।

विनियमन यह नहीं बताता है कि "आनुपातिकता परीक्षण" में क्या शामिल है। निष्कर्ष 2/2017 में केवल यह कहा जाता है कि ऐसा परीक्षण DPIA प्रक्रिया का हिस्सा बन सकता है। डीपीआईए प्रक्रिया में ही, प्रसंस्करण की आनुपातिकता को कई मानदंडों के माध्यम से वर्णित किया जाता है जो नियंत्रक कंपनी का पालन करना चाहिए। मेरी राय में, सबसे महत्वपूर्ण हैं:

• प्रसंस्करण उद्देश्यों के लिए संसाधित डेटा की पर्याप्तता;
• प्रसंस्करण लक्ष्य स्वयं विशिष्ट और स्पष्ट होना चाहिए।

नतीजतन, आनुपातिकता परीक्षण का तात्पर्य न केवल अनुबंध में निर्दिष्ट करने की आवश्यकता है, प्रसंस्करण के लिए कुछ व्यक्तिगत डेटा प्रदान करने के लिए, या अनुबंध के समापन से पहले इस तरह के कर्तव्य के बारे में डेटा स्वामी को सूचित करने के लिए। कर्मचारी के अनुबंध संबंधी दायित्वों , जिसके आधार पर डेटा एकत्र किया जाता है, को सीधे अपने भविष्य के काम की प्रकृति या उस परियोजना की विशेषताओं से प्रवाह करना होगा जिसमें वह शामिल होगा। संविदात्मक दायित्वों को एक विशिष्ट प्रसंस्करण लक्ष्य के संदर्भ में केवल न्यूनतम आवश्यक व्यक्तिगत डेटा के प्रसंस्करण के लिए प्रदान करना चाहिए, बहुत स्पष्ट और स्पष्ट रूप से तैयार किया गया।

उदाहरण A : अपनी कंपनी की वेबसाइट पर पोस्ट करने के लिए अपना फोटो जमा करने के लिए पीआर विशेषज्ञ या ग्राहक सेवा प्रबंधक की आवश्यकता होती है। यह इन कर्मचारियों के काम की विशेषताओं द्वारा उचित ठहराया जा सकता है, जब उपस्थिति कंपनी के हितों को बढ़ावा देने, बिक्री में वृद्धि में मनोवैज्ञानिक भूमिका निभाती है। इसके विपरीत, ग्राहकों की मांग (या सार्वजनिक डोमेन में पोस्ट) करने के लिए शायद ही आवश्यक हो, डेवलपर्स की तस्वीरें जो आवाज से रैलियों में भाग लेते हैं, यहां तक ​​कि एक वेब कैमरा शामिल किए बिना, और उनसे कभी भी अधिक आवश्यक नहीं है।

मुझे लगता है कि यह अनुबंध में संपर्क विवरण पर स्थिति को तैयार करने के लिए असंगत होगा:

उदाहरण बी : "कर्मचारी संपर्क विवरण: ... एक नौकरी की पेशकश, श्रम अनुबंध या सूचना सामग्री / कंपनी /" भेजने के लिए ईमेल। "सूचना सामग्री" की दिशा एक रोजगार अनुबंध की पूर्ति के लिए स्पष्ट रूप से एक अनावश्यक लक्ष्य है, यह विज्ञापनों के वितरण का भी अर्थ है। हालाँकि, अगर आप थोड़ा अलग लिखते हैं: "कार्य अनुसूची में बदलाव की सूचना, दिनों की जानकारी, इत्यादि", यह स्पष्ट रूप से व्यक्त किया गया, विशिष्ट लक्ष्य होगा, और ईमेल का उपयोग इसके लिए पर्याप्त होगा।

(जाहिर है, केवल एक "ईमेल" निर्दिष्ट करना और फिर विपणन सामग्री भेजने के लिए इसका उपयोग करना भी अस्वीकार्य है)।

उदाहरण C : आपकी कंपनी एक एजेंट के रूप में काम करती है और अंतर्राष्ट्रीय बाजारों में समान डेवलपर्स की सेवाओं को बढ़ावा देती है। चूंकि फोटो का प्लेसमेंट ग्राहकों के साथ काम करने की ख़ासियत के कारण है, इसलिए हायरिंग पर निर्णय लेने से पहले डेवलपर की छवि / मनोवैज्ञानिक चित्र का मूल्यांकन करने की आवश्यकता है, फोटो का प्लेसमेंट उचित हो सकता है ।

(बस उसके साथ एक समझौते के समापन से पहले फोटो के उपयोग के बारे में डेवलपर को चेतावनी देना न भूलें। यह भी सिफारिश की जाती है कि उन डेवलपर्स के लिए जो प्रोफ़ाइल पर अपनी तस्वीर को इंगित करने के लिए सहमत नहीं हैं, आप अभी भी अपनी कंपनी की सेवाओं का उपयोग करने का अवसर प्रदान करते हैं, भले ही काम पर रखने की प्रभावशीलता कम हो गई हो। तस्वीर)।

उदाहरण डी : आपका कर्मचारी (उदाहरण के लिए, एक सिस्टम प्रशासक) बड़े पैमाने पर और उच्च-लोड किए गए अनुप्रयोगों की सेवा करने वाले सर्वरों के साथ काम करता है, और यह 24 घंटे उपलब्ध होना चाहिए (जब तक कि निश्चित रूप से, आप ऐसे कर्मचारियों के लिए उचित भुगतान के लिए श्रम कानून की आवश्यकताओं का पालन भी करते हैं)। आप इमरजेंसी की स्थिति में अपने निजी फोन नंबर पर कॉल के लिए एक शर्त में अनुबंध कर सकते हैं। इसके विपरीत, यदि किसी कर्मचारी को घंटों के बाद की आवश्यकता नहीं है, तो व्यक्तिगत फोन नंबर का उपयोग न करना बेहतर है (भले ही आप उसे जानते हों)।

और निष्कर्ष 2/201 7 से एक उदाहरण : एक डिलीवरी कंपनी को ग्राहकों को कूरियर तस्वीरें भेजने का अधिकार नहीं है (यह सत्यापित करने के लिए कि कूरियर वास्तव में एक है), क्योंकि पार्सल देने के लिए फ़ोटो स्थानांतरित करने की कोई आवश्यकता नहीं है।

महत्वपूर्ण! आनुपातिकता परीक्षण न केवल अनुबंध की तैयारी में, बल्कि किसी अन्य कारण से प्रसंस्करण में भी अनुशंसित है; उदाहरण के लिए, सहमति प्राप्त करके (अनुच्छेद 6 (1) (ए)) या आपकी कंपनी के वैध हितों (नियमों के अनुच्छेद 6 (1) (एफ)) को प्राप्त करने के लिए।

आपकी कंपनी में व्यक्तिगत डेटा एकत्र करने के लिए जो भी आवश्यक हो, हमेशा अपने आप से सवाल पूछें: क्या आपको वास्तव में इस डेटा की आवश्यकता है? भले ही आपका कर्मचारी आपको उन्हें देने का मन न करे। याद रखें कि आपके कर्मचारी को शुरू में रोजगार संबंध के कमजोर पक्ष के रूप में जीडीपीआर के दृष्टिकोण से देखा जाता है, और उसकी सहमति प्राथमिकताओं से मुक्त नहीं है। इसलिए, गोपनीयता के साथ न्यूनतम हस्तक्षेप सुनिश्चित करने का कार्य (कर्मचारियों के साथ अनुबंध के तहत) आपकी कंपनी के साथ निहित है, न कि किसी कर्मचारी के साथ।

इसके अलावा, मेरा सुझाव है कि आप अपने व्यवसाय की स्थिति में व्यक्तिगत डेटा की सुरक्षा के लिए नियामक संस्था की आवश्यकताओं का अध्ययन करें। उदाहरण के लिए, साइप्रस में, रूस और अन्य सीआईएस देशों के आईटी और फिनटेक व्यवसायों के स्थानांतरण का सबसे हालिया स्थान, डीपीआईए प्रक्रिया को लागू करना अनिवार्य है यदि कर्मचारी गतिविधियों की निगरानी, ​​नौकरियों की निगरानी, ​​इंटरनेट गतिविधि या श्रमिकों के वाहनों में जीपीएस का उपयोग करना शामिल है। ।

डेटा स्वामी को अनुबंध के लिए एक पार्टी होना चाहिए

ऐसा लगता है कि यहां सब कुछ स्पष्ट है। हालांकि, एक सूक्ष्म बिंदु है जिस पर कम लोग ध्यान देते हैं। यह आपके भागीदारों (ग्राहकों, ठेकेदारों, बिचौलियों, आदि) के कर्मचारियों के व्यक्तिगत डेटा का प्रसंस्करण है, जिसमें एक कानूनी अंतर है।

आपकी कंपनी का आपके सहयोगियों के कर्मचारियों के साथ कोई अनुबंध नहीं है। और यहां तक ​​कि डेटा के प्रसंस्करण के लिए सहमति अक्सर अनुरोध करने के लिए काम नहीं करती है। हां, ऐसे लोग आपके साथी के कर्मचारी हैं (हालांकि वे फ्रीलांसर भी हो सकते हैं और तीसरे पक्ष द्वारा प्रदान किए गए कर्मचारी भी)। और यह मानना ​​तर्कसंगत है कि चूंकि वे उसके लिए काम करते हैं, तो अपने साथी के साथ अनुबंध के तहत, आप पहले से ही अपना डेटा आपके पास स्थानांतरित करने के लिए सहमत हो गए हैं। लेकिन ऐसा है नहीं।

आपको नहीं पता कि आपके साथी ने GDPR के ढांचे के भीतर सभी दस्तावेजों को कितनी अच्छी तरह से पूरा किया है। क्या अपने कर्मचारी से सहमति प्राप्त की गई थी और क्या यह स्वतंत्र रूप से दिया गया था, या ऐसे कर्मचारी के साथ एक समझौते में व्यक्तिगत डेटा के प्रसंस्करण पर सहमति हुई थी या नहीं। मुझे बहुत संदेह है कि आप इस मामले में अपने साथी पर पूरी तरह से भरोसा कर सकते हैं। इस बीच, अपने कर्मचारियों का डेटा प्राप्त करने के बाद, आपकी कंपनी कम से कम एक प्रोसेसर बन जाती है, अर्थात। नियंत्रक की ओर से और उसकी ओर से व्यक्तिगत डेटा को संसाधित करना। और जीडीपीआर के उल्लंघन के लिए देयता से बचने के लिए, आपकी प्रसंस्करण कंपनी को कम से कम आपके साथी के कानूनी निर्देशों के आधार पर कार्य करना चाहिए।

आपकी कंपनी केवल एक प्रोसेसर होगी यदि आपके साथी के साथ एक समझौते के आधार पर, यह अपने कर्मचारियों के व्यक्तिगत डेटा (उदाहरण के लिए, नाम और संपर्कों) को स्पष्ट रूप से सहमत मानता है और उन्हें केवल स्पष्ट रूप से वर्णित उद्देश्यों के लिए उपयोग करता है; उदाहरण के लिए, किसी प्रोजेक्ट पर काम करते समय फोन, ईमेल या त्वरित संदेशवाहकों द्वारा संचार। यदि अचानक आप ऐसे कर्मचारियों को किसी प्रकार का मार्केटिंग न्यूज़लेटर या नौकरी का प्रस्ताव भेजने का निर्णय लेते हैं, तो स्वचालित तरीके से बढ़ी हुई जिम्मेदारी के साथ "नियंत्रक" की श्रेणी में आ जाएंगे। चूंकि आप स्वयं व्यक्तिगत डेटा को संसाधित करने के लक्ष्यों और विधियों को निर्धारित करना शुरू कर देंगे।

ऐसी स्थितियों में, मैं आपको सुझाव दूंगा कि आप अपने सहयोगियों के साथ किसी भी अनुबंध में एक अलग खंड शामिल करें जो प्रतिपक्ष गारंटी देता है कि यह अपने कर्मचारियों या संबंधित पक्षों के व्यक्तिगत डेटा के साथ काम करने के लिए सभी नियमों का सम्मान करता है जो व्यवसाय के स्थान पर इसके लिए लागू हो सकते हैं, सहित आपकी कंपनी किसी भी दावे से, ऐसे दावे जो आपके लिए डेटा स्थानांतरित करते समय लागू कानून के किसी भी उल्लंघन से जुड़े हो सकते हैं, और इस तरह के दावों और दावों में क्षति के लिए स्वतंत्र मुआवजे की गारंटी देता है। क्षतिपूर्ति और क्षतिपूर्ति पर क्लासिक खंड, लेकिन केवल व्यक्तिगत डेटा के संबंध में।

व्यवहार में, जैसे ही आप अनुबंध में देयता से छुटकारा पाने पर एक खंड शामिल करते हैं, आपके साथी के वकील सबसे अधिक संभावना इसे हटाना चाहते हैं। कैसे हो?

नियमों के प्रावधानों के अनुसार व्यक्तिगत डेटा का स्थानांतरण करें, और आपके साथी के लिए इससे असहमत होना मुश्किल होगा।

अपने भागीदारों (नियंत्रकों) से डेटा प्राप्त करने वाली प्रसंस्करण कंपनियों के लिए, विनियमन (अनुच्छेद 28 (3)) में हस्तांतरित डेटा के संदर्भ में अनुबंध की सामग्री के लिए अनिवार्य आवश्यकताएं हैं। विशेष रूप से, आपको यह निर्दिष्ट करने की आवश्यकता है कि कौन से डेटा (श्रेणियां), किन उद्देश्यों के लिए और कितने समय के लिए आपकी कंपनी में स्थानांतरित किए जाते हैं, और बहुत कुछ। यदि व्यक्तिगत डेटा को आपकी कंपनी द्वारा नए प्रोसेसर में स्थानांतरित किया जाता है, तो इसके साथ समान दायित्वों का समन्वय करना आवश्यक है।

यदि परियोजना पर संयुक्त कार्य में व्यक्तिगत डेटा की सुरक्षा के पर्याप्त स्तर के बिना यूरोपीय संघ के बाहर निजी डेटा का तीसरे देशों में स्थानांतरण शामिल है, तो निष्कर्ष निकाला अनुबंध के साथ, व्यक्तिगत डेटा की सुरक्षा के लिए मानक संविदात्मक खंडों को खींचना और हस्ताक्षर करना आवश्यक है (अनुच्छेद 46 (1) (2) ) (c) रेगुलेशन का)। यहां तक ​​कि अगर साथी को इस तरह के दस्तावेज़ की आवश्यकता नहीं है, तो पहले से तैयार किए गए टेम्पलेट को रखना बेहतर है और यूरोपीय कर्मचारियों को डेटा स्थानांतरित करते समय इसे हस्ताक्षर करने पर जोर देना चाहिए। यह जीडीपीआर के उल्लंघन में व्यक्तिगत डेटा के प्रसंस्करण के लिए दायित्व के जोखिम को काफी कम कर देगा।

प्रोसेसर के लिए निर्देश 95/46 / EC के आधार पर यूरोपीय आयोग द्वारा विकसित और अनुमोदित मानक स्थितियां यहां पाई जा सकती हैं । आप वहां नियंत्रकों के लिए मानक स्थितियां भी पा सकते हैं।

व्यक्तिगत डेटा के स्वामी के अनुरोध पर अनुबंध के समापन से पहले आवश्यक उपायों को अपनाना

एक स्पष्ट संबंध होना चाहिए: डेटा के मालिक के संबंध में घटनाओं का आयोजन किया जाता है, और वह स्वयं अनुरोध में उनके कार्यान्वयन के लिए अनुमति देता है।

उदाहरण : किसी उम्मीदवार के आपराधिक इतिहास की जांच करना, यदि उसकी स्थिति में वृद्धि की गोपनीयता के डेटा के साथ काम करना शामिल है और सत्यापन के बिना काम करने के लिए निमंत्रण प्राप्त करना असंभव है। उसी समय, नियोक्ता अपनी जीवनी में कुछ आपराधिक तथ्यों के सत्यापन की आवश्यकता के बारे में उम्मीदवार को नौकरी विवरण में अग्रिम रूप से सूचित करता है। और उम्मीदवार, अपना फिर से शुरू या किसी अन्य तरीके से भेजकर पुष्टि करता है कि वह इस तरह के चेक से सहमत है ।

अपने डेटा के प्रसंस्करण के लिए एक उम्मीदवार से एक वैध अनुरोध को सही ढंग से बनाने के लिए, भविष्य के प्रसंस्करण के बारे में अधिकतम आवश्यक जानकारी के साथ उम्मीदवार प्रदान करना आवश्यक है, जिसमें इसके परिणामों पर निर्णय लेने के तरीके शामिल हैं। (अधिक जानकारी के लिए, प्रक्रिया देखें : पहले सूचित करना, फिर नीचे प्रसंस्करण ।

फ्रीलांसरों: वे भी कार्यकर्ता हैं?

निष्कर्ष 2/2017 में, श्रमिकों के तहत, न केवल उन लोगों पर विचार करने की सिफारिश की जाती है जो एक रोजगार अनुबंध के तहत काम करते हैं, बल्कि फ्रीलांसर भी हैं, अगर उनके साथ संबंध एक श्रम प्रकृति के हैं। यहां एक कठिनाई है।

जीडीपीआर के संदर्भ में फ्रीलांसरों के साथ "श्रम संबंध" का क्या अर्थ है? निष्कर्ष 2/2017 इस प्रश्न का उत्तर प्रदान नहीं करता है। मुझे लगता है कि हमें उस संदर्भ को देखने की जरूरत है जिसमें विनियमों में किसी भी कर्मचारी का उल्लेख किया गया है। यह उनके नियोक्ता के लिए एक प्राथमिक नुकसान है, जब वे नौकरी नहीं मिलने या खोने या अन्य नकारात्मक परिणामों के जोखिम के बिना अपना डेटा प्रदान करने से इनकार नहीं कर सकते। यदि आप इस तर्क का पालन करते हैं, तो एक फ्रीलांसर को एक कर्मचारी के साथ उन स्थितियों में समान किया जा सकता है, जहां आपकी कंपनी उनके आदेशों का एकमात्र स्रोत होगी। यदि आपकी कंपनी से ऑर्डर (और भुगतान) का हिस्सा छोटा है और फ्रीलांसर चुन सकता है कि आपके साथ काम करना है और किन शर्तों के तहत, तो उसे अपने व्यक्तिगत डेटा के बारे में निर्णय लेने की अधिक स्वतंत्रता है। और इस मामले में, उन्हें एक स्वतंत्र उद्यमी के रूप में माना जा सकता है, और एक कर्मचारी नहीं।

किसी भी स्थिति में, आपको GDPR लागू करने के अभ्यास के विकास या तथाकथित में इस मुद्दे के प्रकटीकरण की प्रतीक्षा करनी चाहिए यूरोपीय संघ के "नरम कानून": निष्कर्ष और सिफारिशें, साथ ही साथ राष्ट्रीय कानून भी।

हम प्रक्रिया का पालन करते हैं: पहले - सूचित करना, फिर प्रसंस्करण

प्रसंस्करण से पहले डेटा स्वामी को सूचित किया जाना चाहिए। यह नियमों के अनुच्छेद 13 की एक सामान्य आवश्यकता है। प्रत्येक व्यक्तिगत मामले में (अनुबंध के ढांचे के भीतर या उसके समापन से पहले प्रसंस्करण), साथ ही साथ एक अनुबंध के बिना, लेकिन अगर आपकी कंपनी का वैध हित है, तो डेटा स्वामी को आवश्यक न्यूनतम जानकारी प्राप्त करनी चाहिए।

कर्मचारियों के मामले में, इस तरह की जानकारी एक रिक्ति के लिए एक उम्मीदवार के लिए आवश्यकताओं की नियुक्ति के साथ-साथ सबसे अच्छी तरह से की जाती है। यदि एक वाणिज्यिक अनुबंध एक फ्रीलांसर के साथ संपन्न होता है, तो आपको अनुबंध पर निष्कर्ष निकालने से पहले सूचित करना होगा, या चरम मामलों में, एक साथ अपने हस्ताक्षर के साथ। नियमों के अनुच्छेद 13 में सूचीबद्ध अन्य जानकारी के साथ, यह इंगित करना आवश्यक है कि क्या भविष्य के कर्मचारी के कर्तव्यों में व्यक्तिगत डेटा का प्रावधान शामिल है और यदि वह उन्हें प्रदान करने से इनकार करता है तो क्या परिणाम हो सकते हैं।

यह मत भूलो कि संचार का रूप यथासंभव सरल और सुलभ होना चाहिए। इस जानकारी को मुख्य अनुबंध के पाठ में शामिल न करें, जहां यह खो सकता है। अलग दस्तावेज़ के रूप में बाहर करना बेहतर है। यह सलाह दी जाती है कि इस तरह के दस्तावेज़ को मुख्य अनुबंध पर हस्ताक्षर करने की तारीख से पहले दिनांकित किया जाए।


डेटा स्वामी के अनुरोध पर या किसी वैध हित की उपस्थिति में अनुबंध समाप्त करने की आवश्यकता के संबंध में, अनुबंध के आधार पर व्यक्तिगत डेटा के प्रसंस्करण के लिए ये सामान्य आवश्यकताएं थीं। इसके बाद, हम कर्मचारियों की भर्ती करते समय, कार्यस्थल पर और दूर से कर्मचारियों की निगरानी के साथ-साथ कार्यस्थल पर उपस्थिति और / या बिताए समय की निगरानी के लिए व्यक्तिगत डेटा के प्रसंस्करण पर विचार करते हैं।

डाटा प्रोसेसिंग जब भर्ती (भर्ती) कर्मचारियों

रिक्रूटर सामाजिक नेटवर्क पर उम्मीदवारों के प्रोफाइल देखना पसंद करते हैं। कुछ लोग प्रोफाइल में या रिज्यूमे में उनके संदर्भ भी पूछते हैं। अपनी कंपनी के सामाजिक नेटवर्क से डेटा एकत्र करते समय, आपको यह पता लगाना होगा कि क्या ये प्रोफाइल व्यक्तिगत उपयोग के लिए या व्यावसायिक उद्देश्यों के लिए हैं। यहाँ कुंजी का उपयोग है। ध्यान रखें कि सार्वजनिक देखने के लिए खुले प्रोफाइल का उपयोग भर्ती के लिए नहीं किया जा सकता है, रोजगार के लिए उम्मीदवार का मूल्यांकन कर सकता है, यदि यह आपकी कंपनी या परियोजना में उम्मीदवार के भविष्य के कार्य से सीधे संबंधित नहीं है।

उदाहरण : , . - , , . . , , .

सामाजिक नेटवर्क पर प्रोफाइल से पूर्व कर्मचारियों के डेटा की सामान्य निगरानी आमतौर पर स्वीकार्य नहीं है। (इस तरह की निगरानी यह पता लगाने के लिए की जा सकती है कि क्या पूर्व कर्मचारी ने कुछ समय के लिए प्रतियोगियों के साथ काम करने के लिए स्विच करने की मनाही पर शर्त का उल्लंघन नहीं किया है)। हालाँकि, यदि नियोक्ता यह साबित करता है कि प्रोफाइल देखने के बजाय यह जानकारी प्राप्त नहीं की जा सकती है, तो सोशल नेटवर्क से डेटा एकत्र करना स्वीकार्य के रूप में पहचाना जा सकता है। यहां, चल रही निगरानी के बारे में पहले से कर्मचारी को सूचित करने की आवश्यकता पर शर्त भी देखी जानी चाहिए।

यह स्पष्ट है कि अनुबंध की समाप्ति से पहले निगरानी के बारे में सूचित करना बेहतर है (और आदर्श रूप से - इसके समापन से पहले)। अन्यथा, यह अत्यधिक संभावना है कि कर्मचारी, एक अधिसूचना प्राप्त कर रहा है, बस उसे समझौता करने वाली सभी जानकारी और संपर्कों को हटा देगा।

कर्मचारियों को केवल सामाजिक नेटवर्क पर नियोक्ता से जुड़े प्रोफ़ाइल का उपयोग करने के लिए बाध्य करने की अनुमति नहीं है । यहां तक ​​कि अगर ऐसा दायित्व उनके काम की सुविधाओं के लिए प्रदान किया जाता है (उदाहरण के लिए, पीआर सेवा का एक प्रतिनिधि, एक प्रवक्ता, एक ग्राहक सेवा प्रबंधक, आदि)। किसी भी मामले में, ऐसे कर्मचारियों को व्यक्तिगत, गैर-सार्वजनिक प्रोफ़ाइल का उपयोग करने की क्षमता को बनाए रखना चाहिए।

नेटवर्क काम करने वाले कंप्यूटरों पर इलेक्ट्रॉनिक डेटा प्रोसेसिंग के टूल (सिस्टम, एप्लिकेशन) की स्थापना

हम किसी भी सिस्टम और एप्लिकेशन के बारे में बात कर रहे हैं जो एक रूप में या दूसरे में व्यक्तिगत डेटा एकत्र करते हैं और इसे नियोक्ता या तीसरे पक्ष को प्रेषित करते हैं। स्थापना के लिए कर्मचारी की सूचित सहमति की आवश्यकता होती है। किसी कर्मचारी के अपने कार्य मशीन पर एप्लिकेशन को सक्रिय करने या डिफ़ॉल्ट सेटिंग्स के साथ सिस्टम के रिमोट इंस्टॉलेशन तक पहुंच प्रदान करने के लिए भी स्वतंत्र कार्यों को स्थापना के लिए सहमति की अभिव्यक्ति नहीं माना जाएगा। चूंकि सहमति उपयोगकर्ता के स्वयं के सक्रिय कार्यों द्वारा दी जानी चाहिए, केवल डिफ़ॉल्ट सेटिंग्स में बदलाव के साथ एक इंस्टॉलेशन को कर्मचारी की इच्छा और स्थापित करने के लिए स्वतंत्र अभिव्यक्ति के साथ बराबर किया जा सकता है।

जब कर्मचारियों या उनके डिवाइस डेटा (एक कॉर्पोरेट नेटवर्क या वाईफाई से जुड़े व्यक्तिगत लोगों सहित) की निगरानी करते हैं, तो नियोक्ता के पास प्रत्येक कर्मचारी के लिए विकसित, आसानी से और लगातार सुलभ और समझने योग्य कार्यस्थल निगरानी नीति होनी चाहिए । ताकि सभी को स्पष्ट रूप से समझ में आ जाए कि क्या और कैसे हो रहा है, और किन उद्देश्यों के लिए इसका उपयोग किया जाएगा।

महत्वपूर्ण! आप उस दृष्टिकोण का अनुसरण नहीं कर सकते हैं जो कई रूसी "कर्मियों" से प्यार करता है: जब भर्ती करते हैं, तो उन्हें पढ़ने के लिए सौ या दो सौ पृष्ठों के निर्देश देते हैं, और फिर उन्हें सब कुछ याद रखने और हमेशा के लिए इसे भूल जाने के लिए कहें। प्रकार, परिचित हो गया। पॉलिसी किसी भी समय आसानी से सुलभ होनी चाहिए।

निगरानी नीति, किसी भी अन्य व्यक्तिगत डेटा प्रोसेसिंग (गोपनीयता) नीति की तरह, नियमित रूप से समीक्षा की जानी चाहिए। जहां तक ​​कंपनी के वैध हितों को पूरा करने के लिए निगरानी आवश्यक है, एक पुनर्मूल्यांकन आवश्यक है। इसलिए, मैं उन लोगों के लिए सिफारिश करूंगा जो संघर्ष या चेक के मामले में संभावित दावों को दूर करना चाहते हैं, लेकिन इसके लिए बहुत सारे संसाधन समर्पित करने के लिए तैयार नहीं हैं:

• वर्ष में कम से कम एक बार व्यक्तिगत डेटा एकत्र करने और संसाधित करने के लिए आपके पूरे सिस्टम की एक सूची का संचालन करने के निर्देशों के साथ प्रोटोकॉल / आदेश दें;
• इन्वेंट्री के परिणामों के अनुसार, पॉलिसी में कम से कम न्यूनतम परिवर्तन करें (उदाहरण के लिए, कुछ श्रेणियों के डेटा का शेल्फ जीवन कम करें);

कर्मचारियों की लगातार निगरानी के बजाय, अवांछित व्यवहार को रोकने की कोशिश करें। यदि किसी भी संसाधन / साइट को अवरुद्ध करने से आप अपने लक्ष्य को प्राप्त कर सकते हैं, तो कर्मचारियों की पहुंच को अवरुद्ध करने से बेहतर है कि वे लगातार इसकी निगरानी करें। यह नियोक्ता और कर्मचारी के बीच बातचीत का एक सामान्य सिद्धांत है, जो निष्कर्ष 2/2017 द्वारा अनुशंसित है।

उदाहरण 2 से निष्कर्ष 2/2017 : एक पंक्ति में सभी ईमेलों को अवरुद्ध करना जो नियोक्ता कंपनी द्वारा संभावित रूप से डेटा रिसाव का खतरा पैदा कर सकते हैं, कर्मचारी को इस बारे में सूचित करने की आवश्यकता होती है (प्रत्येक बार पत्र भेजने से पहले), भेजने से इनकार करने के विकल्प के साथ। अन्यथा, एक कर्मचारी के व्यक्तिगत पत्राचार में गोपनीयता और मनमाने ढंग से पहुंच के साथ आवश्यक हस्तक्षेप से अधिक होने का जोखिम है।

उदाहरण B का निष्कर्ष 2/2017 : . , (, ).

2/2017 : , , , .

«home-office»

ऐसी तकनीकों का उपयोग करना जो आपको क्लिक और माउस आंदोलनों, कर्मचारियों द्वारा अन्य समान कार्यों को ट्रैक करने की अनुमति देती हैं, साथ ही स्क्रीनशॉट लेने (दोनों चुनिंदा और समय-समय पर), डाउनलोड किए गए अनुप्रयोगों और उनके डाउनलोड समय के बारे में जानकारी प्राप्त करने, वेबकैम से डेटा प्राप्त करने या रास्ते के बारे में रीडिंग लेने के लिए, कर्मचारी द्वारा पारित ( अमेज़ॅन और बाकी के लिए अनिवासी निवासी हैलो !), यह असम्बद्ध माना जाता है। इस तरह की निगरानी नियोक्ता के वैध हितों से परे होने की संभावना है (खंड 5.4.1। निष्कर्ष 2/2017)।

यहां क्या सिफारिश की जा सकती है?

सबसे पहले, (जैसे कि यह परिचित नहीं था), यह समझने के लिए कि आपको ऐसी निगरानी की आवश्यकता है या नहीं। दूसरे, स्पष्ट रूप से इंगित करें (प्रलेखन के साथ) कि आपके वैध हित क्या हैं, और यदि संभव हो, तो मौजूदा समझौतों में ऐसी निगरानी रिकॉर्ड करें।

उदाहरण के लिए, किसी प्रोजेक्ट पर प्रोग्रामर के काम का अग्रिम समय के हिसाब से अनुमान नहीं लगाया जा सकता है। भुगतान काम की संख्या से बनता है। आपका ग्राहक स्क्रीनशॉट लेकर या क्लाउड सर्वर पर अपने कार्यों की निगरानी करके अपने कर्मचारी की गतिविधि की निगरानी करने पर जोर देता है। स्क्रीनशॉट के बारे में ग्राहक की स्थिति या सर्वर पर नियंत्रण ग्राहक के साथ अनुबंध में तय किया जाना चाहिए (यदि किसी अन्य लेखा प्रणाली के माध्यम से काम करने का समय अनुमानित है - इसी तरह)। इस ग्राहक की परियोजना पर काम करने वाले कर्मचारी को निगरानी के अग्रिम में भी सूचित किया जाना चाहिए, और इस तरह की निगरानी की संभावना उसके साथ अनुबंध में वर्तनी की जानी चाहिए।

एक्सेस सिस्टम के माध्यम से कार्यस्थल पर कार्य के घंटे / उपस्थिति की निगरानी

यह कई घरेलू कंपनियों का एक पसंदीदा "ट्रिक" है, "छोटे से बड़े" तक: इलेक्ट्रॉनिक चेकपॉइंट लगाएं और मिनट की देरी के लिए जुर्माना लगाएं, या इस जानकारी को एक व्यक्तिगत फ़ाइल में दर्ज करें। तो, अपने यूरोपीय कर्मचारियों के साथ यह लगभग हमेशा अस्वीकार्य है।

निष्कर्ष 02/2017 से एक उदाहरण : आप विशेष रूप से संवेदनशील स्थानों तक पहुंच को नियंत्रित करने के लिए एक्सेस अकाउंटिंग सिस्टम (तिथि, समय, एक्सेस कुंजी के मालिक) का उपयोग कर सकते हैं। उदाहरण के लिए, सर्वर रूम में, जहां महत्वपूर्ण जानकारी संग्रहीत है। लेकिन कर्मचारी उत्पादकता (कार्यस्थल पर उपस्थिति / अनुपस्थिति का समय) का आकलन करने के लिए प्राप्त आंकड़ों का उपयोग करना असंभव है।

कंपनी में "खुशी के माहौल" की निगरानी करना

स्वचालित साधनों का उपयोग करने वाले कर्मचारियों के चेहरे के भावों का अवलोकन पूर्वनिर्धारित मोटर पैटर्न से विचलन का पता लगाने की अनुमति नहीं है। निगरानी के अलावा, इस तरह के अवलोकन का डेटा किसी कर्मचारी को रूपरेखा बनाने और उसके बारे में स्वचालित निर्णय लेने का आधार बना सकता है। यह कर्मचारियों के अधिकारों और स्वतंत्रता के लिए अनुपातहीन है। एक सामान्य नियम के रूप में, एक नियोक्ता को ऐसी चेहरा पहचान प्रौद्योगिकियों का उपयोग करने से बचना चाहिए। हालांकि सामान्य नियम के कुछ अपवादों की अनुमति दी जा सकती है।

(मुझे लगता है कि बरामदगी की अनुमति है जहां हानिकारक उत्पादन होता है (क्या वे अभी भी यूरोप में हैं?) या ड्राइवरों और ऑपरेटरों की थकान को नियंत्रित करने के लिए, जैसा कि ऊपर दिए गए लिंक पर अमेज़न पर लेख में वर्णित है)।

संक्षिप्त निष्कर्ष और सिफारिशें:

1. ( ) , . ( , )
2. , , ( ) . .
3. , . - ( , ), .
4. टेम्पलेट के रूप में विकसित करें व्यक्तिगत डेटा सुरक्षा के मानक संविदात्मक खंड, जिन्हें यूरोपीय कर्मचारियों के व्यक्तिगत डेटा प्राप्त होने पर हस्ताक्षर करने की आवश्यकता होगी, यदि इस तरह के डेटा को पर्याप्त स्तर के संरक्षण के बिना किसी तीसरे देश में स्थानांतरित किया जाता है।