인사팀의 급여와 계약: GDPR이 기대하는 것

인사 부서는 어느 회사에서나 데이터가 가장 많이 몰리는 곳 중 하나입니다. 평범한 화요일 하루에도, 한 사람이 급여명세서, 서명된 계약서, 진단서, 잔액 증명서, 그리고 누군가의 신분증 사본을 열어볼 수 있습니다. 그 하나하나가 PDF이고, 그 PDF 하나하나는 자신의 정보가 어떻게 다뤄지는지 결코 볼 수 없는 실제 사람에 관한 것입니다.

그게 바로 그 일입니다. 문제는 GDPR이 그 모든 것에 대해 무엇을 하기를 기대하는지, 그리고 일상적인 PDF 작업이 그 규칙 안에서 어디에 들어맞는지입니다.

인사팀이 다루는 데이터는 민감한 종류입니다

GDPR 아래에서 모든 개인 데이터가 동등한 것은 아닙니다. 회사 이메일 주소도 개인 데이터입니다. 급여 액수도 그렇지만, 그것은 더 무게가 나가며, 인사팀은 그런 데이터 더미 위에 앉아 있습니다.

급여명세서는 사람들이 얼마를 버는지를 보여줍니다. 계약서는 조건을, 때로는 건강이나 가족 상황에 관한 조항을 보여줍니다. 진단서는 의학적 상태를 드러낼 수 있는데, 이는 추가 보호를 받는 특수 범주의 데이터입니다. 계좌 정보는 사기로 가는 문을 엽니다. 주민등록번호와 사회보장번호는 신원 도용범이 정확히 원하는 것입니다. 그 모든 것을 한 부서에 모아 두면, 당신은 표적이 됩니다.

GDPR이 이 자료에 더 신경 쓰는 까닭은 유출로 인한 피해가 더 크기 때문입니다. 마케팅 명단이 유출되면 짜증 나는 정도입니다. 하지만 급여명세서와 신분증 스캔 더미가 유출되면 누군가의 재정과 마음의 평화를 망가뜨릴 수 있습니다.

규칙이 실제로 당신에게 요구하는 것

규정을 외워야 그것을 따를 수 있는 것은 아닙니다. 몇 가지 의무가 인사팀이 이 파일들로 하는 일의 대부분을 포괄합니다.

데이터를 안전하게 지키세요. 제32조는 적절한 기술적·조직적 조치를 요구합니다. 쉽게 말해, 파일은 그 민감도에 걸맞은 방식으로 보호되어야 합니다. 급여명세서는 점심 메뉴보다 더 많은 주의를 받아야 마땅합니다.

필요한 만큼만, 필요한 기간 동안만 사용하세요. 당신은 고용을 관리하기 위해 계약서를 수집하는 것이지, 사무실 절반이 읽을 수 있는 공유 드라이브에 영원히 보관하기 위해서가 아닙니다. 이유가 사라지면 파일도 사라져야 합니다.

데이터가 어디로 이동하는지 알아 두세요. 파일이 당신의 통제를 벗어날 때마다, 당신은 누가 그것을 받고 왜 받는지 알고 있어야 합니다. 외부 서비스에 개인 데이터를 넘겨 대신 처리하게 한다면, 그 서비스는 수탁처리자이며, 그들이 그 데이터로 무엇을 할 수 있는지 다루는 계약이 있어야 합니다.

설명할 준비를 해 두세요. 무언가 잘못되면, 당신이 합리적인 조치를 취했음을 보여줄 수 있어야 합니다. “검색 결과에서 찾은 무료 웹사이트에 업로드했습니다”는 당신이 변호하고 싶을 만한 조치가 아닙니다.

파일이 어디로 가는지가 업무의 일부입니다

여기에 좋은 사람들이 빠지는 함정이 있습니다. 인사 담당자는 누가 공유 폴더를 열 수 있는지 깊이 고민하고는, 처음 찾은 PDF 웹사이트에서 급여명세서 두 개를 병합합니다. 30초 뒤 파일이 다른 어딘가로 업로드된다면, 폴더에 걸어둔 세심한 접근 통제는 아무 의미가 없습니다.

대부분의 온라인 PDF 도구는 당신의 파일을 자신들의 서버로 보내 거기서 작업을 실행한 뒤 결과를 돌려주는 방식으로 동작합니다. 파일은 당신이 소유하지 않은 기기에, 당신이 한 번도 검증하지 않은 회사가 운영하는, 당신이 이름조차 댈 수 없는 장소에 내려앉습니다. 어쩌면 그들은 일정대로 삭제할 것입니다. 어쩌면 백업이 사본을 보관할 것입니다. 어쩌면 그 전부가, 당신이 결코 듣지 못할 저장소를 거쳐 당신의 파일을 흘려보내는 임대 인프라 위에서 돌아갈 것입니다. 당신은 확인할 수 없고, 방금 당신이 인터넷 너머로 진단서를 보낸 그 사람도 확인할 수 없습니다.

진단서나 잔액 증명서에 있어서, 그 업로드된 사본이 바로 약한 고리입니다. 인사팀 노트북을 결코 떠나지 않는 파일은 다른 사람의 서버에서 일어나는 침해로 노출될 수 없습니다.

자기 기기에서 작업하기

아무것도 업로드하지 않는 종류의 PDF 도구가 있습니다. 작업 전체가 브라우저 안에서, 당신이 이미 쓰고 있는 바로 그 컴퓨터에서 실행됩니다. 코드는 한 번 로드되고, 당신의 PDF는 브라우저의 메모리에서 열리며, 작업을 마친 파일은 곧장 당신의 기기로 저장됩니다. 아무것도 밖으로 전송되지 않습니다. 보낼 서버 단계 자체가 없기 때문입니다.

이것이 reader.me가 동작하는 방식이며, 그래서 인사 문서에 잘 맞습니다. 급여명세서 묶음을 합치고, 계약서에서 몇 페이지를 빼내고, 스캔본을 이메일에 맞게 줄이는 일, 그 모든 것이 당신의 컴퓨터에서 일어납니다. 탭을 닫으면 작업 메모리도 함께 사라집니다.

이 점은 제 말을 믿을 필요가 없습니다. 브라우저의 개발자 도구를 열고 네트워크 탭으로 가서 작업을 실행한 뒤 살펴보세요. 어떤 요청도 당신의 파일을 밖으로 실어 나르지 않습니다. 파일이 어떤 요청 본문에도 없다면, 그것은 어디로도 보내지지 않은 것입니다. 그것이 바로 제32조가 좋아하는 종류의 확인입니다. 당신이 실제로 입증할 수 있기 때문입니다.

오늘 해 둘 만한 두 가지

건물을 떠나는 파일을 보호하세요. 급여명세서나 계약서를 이메일로 보낼 때, 이메일 자체는 양 끝단까지 안전한 경우가 드뭅니다. PDF에 먼저 비밀번호를 걸어, 가로채거나 잘못된 수신자가 받더라도 문서가 쓸모없게 만드세요. 업로드 없이 PDF 보호하기로 자기 기기에서 할 수 있으며, 비밀번호는 전화 통화 같은 별도의 경로로 전달하세요.

인쇄하고 다시 스캔하지 않고 서명하세요. 계약서와 승인서에는 서명이 필요한데, 인쇄하고 서명하고 스캔하고 종이를 버리는 옛 방식은 곳곳에 흩어진 사본을 남깁니다. PDF에 서명을 직접 추가하면 깔끔한 파일 하나가 유지되고 종이 흔적을 건너뛸 수 있습니다. PDF 서명 도구는 그것을 브라우저에서 하므로, 계약서는 서명을 위해 당신의 컴퓨터를 떠나지 않습니다.

인사팀의 일상적인 PDF 작업은 지루해 보이고, 바로 그것이 함정입니다. 파일 두 개를 병합하거나 계약서에 서명하는 데는 몇 초가 걸리고, 그 몇 초가 바로 민감한 데이터가 제자리에 머무느냐 아니면 조용히 빠져나가느냐가 갈리는 지점입니다. 문서가 급여 처리 사무실이나 회계사를 거칠 때 이것이 어떻게 펼쳐지는지 더 긴 버전을 원한다면, 급여명세서와 개인정보에 관한 이 글이 다루고 있습니다. 작업을 기기 안에 두면 GDPR 쪽은 한결 단순해집니다.