O firmă nu poate colecta și distribui intern datele angajaților „ca să fie mai simplu”. În GDPR, logica este inversă: compania trebuie să știe exact de ce prelucrează anumite date, ce temei legal are și cine are nevoie reală de acces. Asta contează mai ales în HR, payroll, IT, management și în orice proces unde circulă documente cu CNP, salarii, concedii medicale sau evaluări interne.
Primul pas este să separi categoriile de date și scopurile. Pentru salarizare, contribuții, Revisal, pontaj sau obligații fiscale, firma poate avea temei în contractul de muncă și în obligațiile legale prevăzute de legislația UE sau națională. Comisia Europeană explică clar că prelucrarea datelor este permisă doar în anumite situații, inclusiv când este necesară pentru executarea unui contract sau pentru respectarea unei obligații legale. Tot Comisia oferă și un exemplu direct: o companie poate prelucra anumite date ale angajaților pentru a face plățile de securitate socială către autorități.
Asta nu înseamnă însă că orice informație despre angajat devine automat „utilă” pentru toată organizația. Un principiu-cheie din GDPR este minimizarea datelor: compania trebuie să colecteze și să prelucreze doar datele necesare scopului declarat. Dacă scopul este plata salariului, nu rezultă de aici că managerii din alte departamente trebuie să vadă fluturași de salariu, istoricul medical sau date de familie. Dacă scopul este administrarea echipamentelor IT, nu rezultă că echipa tehnică trebuie să aibă acces la întreg dosarul de personal.
Aici intră în joc limitarea accesului intern. Comisia Europeană spune explicit că, prin „data protection by default”, datele personale trebuie să fie accesibile doar unui număr limitat de persoane, pe baza principiului need-to-know. Cu alte cuvinte, accesul nu se dă pe ideea „poate ajută cândva”, ci doar dacă rolul persoanei cere acel acces acum și în mod justificat. În practică, asta înseamnă drepturi separate pentru HR, payroll, juridic, IT, manageri și furnizori externi, nu foldere comune în care toată lumea vede tot.
Tot din sursele oficiale rezultă că securitatea nu înseamnă doar antivirus și parole. Comisia arată că firma trebuie să asigure protecție împotriva accesului neautorizat, a prelucrării ilegale și a pierderii sau distrugerii accidentale a datelor. În plus, orice persoană care prelucrează date sub autoritatea operatorului sau a persoanei împuternicite trebuie să o facă numai pe baza instrucțiunilor operatorului, cu excepția cazurilor prevăzute de lege. Asta susține direct ideea de politici interne clare, roluri definite, aprobare pentru acces și instruire periodică a personalului.
Transparența este al patrulea pilon pe care multe firme îl tratează superficial. Angajații trebuie informați într-un mod clar și ușor de înțeles despre cine le prelucrează datele, în ce scop, pe ce bază legală, cât timp vor fi păstrate și ce drepturi au. Dacă datele nu au fost colectate direct de la angajat, regula nu dispare: compania trebuie, în principiu, să ofere și informații despre sursa datelor. În zona de workplace monitoring, fostul Article 29 Working Party, ale cărui orientări sunt încă relevante în ecosistemul european de protecție a datelor, avertizează că angajatorii trebuie să fie transparenți și să evite măsuri intruzive sau disproporționate.
Pentru firmele mici și medii, soluția sănătoasă nu este să blocheze tot, ci să pună ordine. Fă o listă a prelucrărilor care implică date de angajați, stabilește pentru fiecare scopul și temeiul legal, verifică ce câmpuri sunt cu adevărat necesare, apoi reduce accesul pe roluri. Adaugă politici interne scurte și clare: cine vede dosarele de personal, cine poate exporta date, cine aprobă accesul temporar, cum se trimit documentele sensibile și cât timp se păstrează. Dacă există instrumente de monitorizare, evaluarea trebuie făcută cu atenție, proporțional și raportat la situația concretă, inclusiv la legislația națională aplicabilă.
Concluzia practică este simplă: firma poate prelucra multe date despre angajați, dar nu „la grămadă” și nu pentru orice motiv. GDPR cere temei legal, minimizare, transparență, securitate și acces limitat. Dacă aceste elemente lipsesc, riscul nu este doar juridic, ci și operațional: prea multe persoane văd prea multe date, iar o eroare internă poate deveni rapid un incident de securitate. Pentru situații sensibile sau neclare, verificarea surselor oficiale și o analiză aplicată contextului concret rămân esențiale; acest articol are rol informativ, nu de consultanță juridică individualizată.
Surse
- Comisia Europeană, Principles of the GDPR
- Comisia Europeană, Legal grounds for processing data
- Comisia Europeană, Obligations of companies and organisations
- Article 29 Working Party, Opinion 2/2017 on data processing at work (WP249)
- European Commission / Article 29, Guidelines on Transparency under Regulation 2016/679 (WP260 rev.01)
