Bảng lương và hợp đồng trong nhân sự: GDPR đòi hỏi điều gì

Bàn làm việc của bộ phận nhân sự là một trong những nơi nhiều dữ liệu nhất ở bất kỳ công ty nào. Vào một ngày thứ Ba bình thường, một người có thể mở một phiếu lương, một hợp đồng đã ký, một giấy nghỉ ốm, một giấy xác nhận ngân hàng và một bản sao giấy tờ tùy thân của ai đó. Mỗi thứ trong số đó là một tệp PDF, và mỗi tệp PDF đó là về một con người thật, người chẳng bao giờ được thấy nó được xử lý ra sao.

Đó là công việc. Câu hỏi là GDPR mong bạn làm gì với tất cả những thứ đó, và công việc PDF hằng ngày khớp vào đâu trong các quy tắc.

Dữ liệu mà nhân sự chạm tới là loại nhạy cảm

Không phải mọi dữ liệu cá nhân đều ngang nhau theo GDPR. Một địa chỉ email công việc là dữ liệu cá nhân. Một con số lương cũng vậy, nhưng nó nặng ký hơn, và nhân sự thì ngồi trên cả đống dữ liệu đó.

Phiếu lương cho thấy người ta kiếm được bao nhiêu. Hợp đồng cho thấy các điều khoản, đôi khi có cả điều khoản về sức khỏe hay hoàn cảnh gia đình. Giấy nghỉ ốm có thể tiết lộ tình trạng bệnh, vốn là một loại dữ liệu đặc biệt được bảo vệ thêm. Thông tin ngân hàng mở cánh cửa cho gian lận. Số căn cước và số an sinh xã hội chính xác là những gì kẻ trộm danh tính thèm muốn. Gom tất cả vào một phòng ban và bạn có một mục tiêu.

GDPR quan tâm hơn tới loại tài liệu này vì thiệt hại từ một vụ rò rỉ là lớn hơn. Một danh sách marketing bị lộ thì gây phiền. Một xấp phiếu lương và bản scan giấy tờ tùy thân bị lộ có thể hủy hoại tài chính của một người và sự yên ổn trong tâm trí họ.

Các quy tắc thực ra đòi hỏi gì ở bạn

Bạn không cần thuộc lòng cả quy định mới tuân thủ được nó. Một vài nghĩa vụ bao trùm phần lớn những gì nhân sự làm với các tệp này.

Giữ dữ liệu an toàn. Điều 32 yêu cầu các biện pháp kỹ thuật và tổ chức phù hợp. Nói nôm na, các tệp nên được bảo vệ theo cách tương xứng với mức độ nhạy cảm của chúng. Một phiếu lương xứng đáng được cẩn trọng hơn một thực đơn bữa trưa.

Chỉ dùng những gì bạn cần, trong thời gian bạn cần. Bạn thu thập hợp đồng để quản lý việc làm, chứ không phải để giữ mãi mãi trên một ổ đĩa chung mà nửa văn phòng đọc được. Khi lý do không còn, tệp cũng nên đi theo.

Biết dữ liệu đi đâu. Mỗi lần một tệp rời khỏi tầm kiểm soát của bạn, bạn cần biết ai nhận nó và vì sao. Nếu bạn giao dữ liệu cá nhân cho một dịch vụ bên ngoài xử lý hộ bạn, dịch vụ đó là một bên xử lý, và lẽ ra phải có một hợp đồng quy định những gì họ được làm với nó.

Sẵn sàng giải trình. Nếu có chuyện gì trục trặc, bạn cần chứng minh được mình đã thực hiện các bước hợp lý. “Tôi tải nó lên một trang web miễn phí tôi tìm thấy trong kết quả tìm kiếm” không phải là một bước bạn muốn bảo vệ.

Tệp đi đâu là một phần của công việc

Đây là khe hở bẫy cả những người tử tế. Nhân viên nhân sự suy nghĩ rất kỹ về ai được mở thư mục chung, rồi lại gộp hai phiếu lương trên trang PDF đầu tiên họ tìm thấy. Việc kiểm soát truy cập cẩn thận trên thư mục chẳng còn ý nghĩa gì nếu tệp bị tải lên một nơi khác ba mươi giây sau đó.

Phần lớn công cụ PDF trực tuyến hoạt động bằng cách gửi tệp của bạn tới máy chủ của họ, chạy thao tác ở đó, rồi gửi kết quả về. Tệp đáp xuống một cỗ máy bạn không sở hữu, do một công ty bạn chưa từng thẩm định vận hành, ở một địa điểm bạn không gọi tên được. Có thể họ xóa nó đúng lịch. Có thể một bản sao lưu giữ lại một bản. Có thể toàn bộ chạy trên hạ tầng thuê lại đẩy tệp của bạn qua những kho lưu trữ bạn chẳng bao giờ nghe nói tới. Bạn không kiểm tra được, và người mà bạn vừa gửi giấy nghỉ ốm của họ qua internet cũng không.

Với một giấy nghỉ ốm hay một giấy xác nhận ngân hàng, bản sao được tải lên đó chính là điểm yếu. Một tệp không bao giờ rời khỏi máy tính của bộ phận nhân sự thì không thể bị phơi bày trong một vụ vi phạm xảy ra trên máy chủ của người khác.

Làm việc ngay trên thiết bị của bạn

Có một loại công cụ PDF không bao giờ tải gì lên. Toàn bộ thao tác chạy bên trong trình duyệt, trên chính chiếc máy tính bạn đang dùng. Mã nguồn nạp một lần, tệp PDF của bạn mở trong bộ nhớ trình duyệt, bạn làm việc, và tệp hoàn chỉnh lưu thẳng về máy của bạn. Không có gì được gửi ra ngoài, vì chẳng có bước máy chủ nào để gửi đi.

Đây là cách reader.me hoạt động, và đó là lý do nó hợp với tài liệu nhân sự. Gộp một bộ phiếu lương, rút vài trang ra khỏi hợp đồng, thu nhỏ một bản scan cho vừa email, tất cả đều diễn ra trên máy tính của bạn. Đóng thẻ trình duyệt và bộ nhớ làm việc cũng biến mất theo.

Bạn không cần phải tin lời tôi về điều đó. Mở DevTools của trình duyệt, vào thẻ Network, chạy một thao tác, và nhìn. Không có yêu cầu nào mang tệp của bạn ra ngoài. Nếu tệp không nằm trong phần thân của bất kỳ yêu cầu nào, thì nó chưa được gửi đi đâu cả. Đó là kiểu kiểm chứng mà Điều 32 ưa thích, vì bạn thực sự có thể chứng minh được.

Hai việc đáng làm ngay hôm nay

Bảo vệ những tệp rời khỏi văn phòng. Khi bạn gửi một phiếu lương hay một hợp đồng qua email, bản thân email hiếm khi được bảo mật đầu cuối. Đặt mật khẩu cho tệp PDF trước, để tài liệu trở nên vô dụng với bất kỳ ai chặn được nó hoặc nhận nhầm. Bạn có thể làm điều đó ngay trên thiết bị của mình với bảo vệ PDF, không cần tải lên, và chia sẻ mật khẩu qua một kênh riêng như một cuộc gọi điện thoại.

Ký mà không cần in rồi scan lại. Hợp đồng và phê duyệt cần một chữ ký, còn lề thói cũ kiểu in, ký, scan, rồi vứt giấy đi lại để lại các bản sao lẻ tẻ khắp nơi. Thêm chữ ký thẳng vào tệp PDF giữ được một tệp gọn gàng và bỏ qua dấu vết giấy tờ. Công cụ ký PDF làm việc đó trong trình duyệt, nên hợp đồng không bao giờ rời khỏi máy tính của bạn để được ký.

Công việc PDF hằng ngày trong nhân sự trông nhàm chán, và đó chính là cái bẫy. Gộp hai tệp hay ký một hợp đồng chỉ mất vài giây, và chính vài giây đó là lúc dữ liệu nhạy cảm hoặc ở yên hoặc lặng lẽ rời đi. Nếu bạn muốn bản dài hơn về việc điều này diễn ra thế nào khi tài liệu đi qua một phòng tính lương hay một kế toán, bài viết này về phiếu lương và quyền riêng tư bao quát nó. Giữ công việc trên thiết bị và phía GDPR trở nên đơn giản hơn nhiều.