人資的薪資與合約：GDPR 期待什麼

人資部門是任何一家公司裡資料最密集的地方之一。在一個平常的星期二，一個人可能會打開一張薪資單、一份簽好的合約、一張病假單、一張銀行存款證明，還有某人的身分證件影本。每一份都是一個 PDF，而每一個這樣的 PDF，講的都是一個從來沒機會看到它被如何處理的真實的人。

這就是這份工作。問題在於 GDPR 期待你怎麼處理這一切，以及那些日常的 PDF 工作在規則裡的位置在哪裡。

人資碰到的資料屬於敏感的那一類

在 GDPR 之下，並非所有個人資料都一樣。一個工作用的電子郵件地址是個人資料。一個薪資數字也是，但它分量更重，而人資手上正坐著一大堆這樣的資料。

薪資單顯示人們賺多少。合約顯示條件，有時還有關於健康或家庭狀況的條款。病假單可能透露一種醫療狀況，那屬於受額外保護的特殊類別資料。銀行資料則替詐騙打開了大門。國民身分證號與社會保險號正是身分竊賊想要的東西。把所有這些放進同一個部門，你就有了一個目標。

GDPR 更在意這類資料，因為一旦外洩，造成的傷害更大。一份外洩的行銷名單令人惱火。但一疊外洩的薪資單與身分證掃描檔，可能毀掉某人的財務，也毀掉他的安寧。

規則實際上對你的要求

你不需要把整部法規背下來才能遵守它。少數幾項義務就涵蓋了人資對這些檔案所做的大部分事情。

讓資料保持安全。第 32 條要求採取適當的技術與組織措施。用白話說，就是檔案受保護的方式，要與它的敏感程度相稱。一張薪資單值得比一份午餐菜單更多的小心。

只用你需要的，用到你需要的時間為止。你蒐集一份合約是為了管理僱傭關係，不是為了永遠把它放在半個辦公室都能讀取的共用磁碟上。當理由消失時，檔案也該跟著消失。

知道資料去了哪裡。每當一個檔案離開你的掌控，你都應該知道誰收到了它、以及為什麼。如果你把個人資料交給一個替你處理它的外部服務，那個服務就是一個處理者，而照理說應該要有一份合約規範他們能拿它做什麼。

隨時準備好為自己說明。如果出了什麼差錯，你需要證明你採取了合理的步驟。「我把它上傳到一個在搜尋結果裡找到的免費網站」，並不是一個你會想替它辯護的步驟。

檔案去了哪裡，是這份工作的一部分

這就是那個會絆倒好人的缺口。人資人員會認真思考誰能打開共用資料夾，然後卻在他們找到的第一個 PDF 網站上合併兩張薪資單。如果檔案在三十秒後就被上傳到別的地方，那資料夾上那套小心翼翼的存取控制就毫無意義了。

大多數線上 PDF 工具的運作方式，是把你的檔案送到它們的伺服器、在那裡執行操作，再把結果傳回來。檔案落在一台你並不擁有的機器上，由一家你從未審查過的公司營運，在一個你說不出名字的地點。也許他們會按時刪除。也許某個備份會留下一份副本。也許整個東西跑在租來的基礎設施上，讓你的檔案經過一個你永遠不會聽說的儲存空間。你無法查證，而那個被你剛剛把病假單送過半個網際網路的人也無法查證。

對於一張病假單或一張銀行存款證明來說，那份被上傳的副本就是弱點。一份永遠不離開人資筆電的檔案，不可能在別人伺服器上發生的某次外洩中被曝光。

在自己的裝置上做這份工作

有一種 PDF 工具從不上傳任何東西。整個操作都在瀏覽器裡執行，就在你已經在用的同一台電腦上。程式碼載入一次，你的 PDF 在瀏覽器的記憶體裡打開，你做完工作，完成的檔案直接存回你的機器。沒有任何東西被送出去，因為根本沒有伺服器這個步驟可以送。

reader.me 就是這樣運作的，這也是為什麼它適合人資文件。把一組薪資單合在一起、從合約裡抽出幾頁、把一張掃描檔縮小到能寄電子郵件——這一切都發生在你的電腦上。關掉分頁，工作記憶體也跟著消失。

這你不必相信我的話。打開瀏覽器的開發者工具，切到 Network 分頁，執行一個操作，然後看。沒有任何請求把你的檔案帶出去。如果檔案不在任何請求的內容裡，那它就沒被送到任何地方。這正是第 32 條喜歡的那種查核，因為你真的可以把它示範出來。

今天值得做的兩件事

保護那些離開大樓的檔案。當你用電子郵件寄出一張薪資單或一份合約時，電子郵件本身很少是端到端安全的。先替 PDF 設一個密碼，這樣就算文件被攔截、或寄錯了收件人，它對對方也毫無用處。你可以在自己的裝置上用 保護 PDF 做到這件事，完全不需要上傳，再透過電話之類的另一個管道分享密碼。

不用印出來再重新掃描就能簽名。合約與核可需要簽名，而那套「印出來、簽名、掃描、把紙丟掉」的老流程，會把零散的副本留得到處都是。直接把簽名加進 PDF，能讓你保有一份乾淨的檔案，也省去那串紙本軌跡。簽署 PDF 工具在瀏覽器裡完成這件事，所以合約從不為了簽名而離開你的電腦。

人資裡那些日常的 PDF 工作看起來很無聊，而那正是陷阱所在。合併兩個檔案或簽一份合約只需要幾秒鐘，而那幾秒鐘正是敏感資料要嘛留在原地、要嘛悄悄離開的關鍵時刻。如果你想看當文件經過薪資部門或會計師時，這一切會如何上演的更長版本，這篇關於薪資單與隱私的文章 講到了它。把工作留在裝置上，GDPR 這一側就會變得簡單許多。