GDPR-guide for HR-avdelingen

Lovlig grunnlag og formålsbegrensning

Du må ha et lovlig grunnlag for å behandle personopplysninger om ansatte. Mye HR-behandling er nødvendig for å oppfylle arbeidsavtalen eller rettslige plikter, for eksempel lønn, skatt og rapportering. Andre behandlinger må vurderes særskilt.

Formålsbegrensning betyr at opplysninger som er samlet inn for ett formål, ikke uten videre kan brukes til noe annet. Timer som registreres for lønn og fakturering, skal ikke uten videre brukes til andre formål de ansatte ikke har fått informasjon om.

Dataminimering

Samle bare inn det du faktisk trenger. Spør deg selv om hvert felt i et skjema eller en ansattprofil har et formål. Helseopplysninger er særlige kategorier av personopplysninger og krever ekstra varsomhet. Ved egenmelding og sykefravær trenger arbeidsgiver som hovedregel ikke å vite diagnosen.

Lagringsbegrensning

Personopplysninger skal ikke lagres lenger enn nødvendig for formålet. Noen opplysninger må oppbevares i en bestemt tid etter annet regelverk, for eksempel regnskapsregler for bilag. Andre bør slettes når arbeidsforholdet er avsluttet og formålet er oppfylt.

Lag en enkel oversikt over hvilke typer opplysninger dere har, hvorfor dere har dem, og hvor lenge de skal ligge. Da er det lettere å rydde jevnlig.

Sikkerhet og tilgangsstyring

Ansattopplysninger skal beskyttes mot uvedkommende. I praksis betyr det at ikke alle skal se alt. En leder trenger tilgang til egne ansatte, men ikke nødvendigvis til hele bedriften. Endringer i sensitive opplysninger bør kunne spores.

Bruker du en skytjeneste, er leverandøren databehandler. Da skal dere ha en databehandleravtale, og du bør vite hvor dataene lagres og hvilke underleverandører som brukes.

Innsyn og informasjon

De ansatte har rett til å vite hvilke opplysninger dere har om dem, og til å få innsyn. De har også rett til å få rettet feil. Gi de ansatte tydelig informasjon om behandlingen, for eksempel i personalhåndboken.

Et innsynskrav skal som hovedregel besvares uten ugrunnet opphold og senest innen én måned. Det er mye lettere når opplysningene ligger samlet i ett system enn når de er spredt på e-post, regneark og papirmapper. Bruk sjekklisten under som et utgangspunkt for en årlig gjennomgang av hvordan dere behandler ansattdata.

• Har vi et lovlig grunnlag for hver behandling?
• Samler vi bare inn det vi trenger?
• Vet vi hvor lenge opplysningene skal lagres?
• Har bare de som trenger det, tilgang?
• Har vi databehandleravtale med leverandørene?
• Vet de ansatte hvordan de får innsyn?

Slik gjør du det i HRflyt

I HRflyt styres tilgang etter rollene admin, HR, leder og ansatt, og ledere ser bare egne ansatte. Endringer i lønn, arbeidsavtaler og roller registreres i revisjonslogg. Dokumenter, kvitteringer, profilbilder og logoer er private og bare tilgjengelige for egen bedrift via tidsbegrensede lenker. Data lagres i EU.

Databehandleravtalen og personvernerklæringen beskriver behandlingen og underleverandørene. Personalhåndboken i HRflyt kan brukes til å gi de ansatte informasjon om hvordan dere behandler personopplysninger.