Brak nazwisk nie oznacza braku danych osobowych
W audycie kosztów zatrudnienia zwykle nie potrzeba imienia, nazwiska, numeru PESEL ani rachunku bankowego. Można zastąpić pracownika losowym identyfikatorem, na przykład EMP-0047. Nie oznacza to jednak automatycznej anonimizacji. Jeżeli pracodawca posiada tabelę pozwalającą przypisać rekord do konkretnej osoby albo zestaw parametrów sam w sobie umożliwia identyfikację, nadal mamy do czynienia z danymi osobowymi.
Pseudonimizacja jest środkiem ograniczającym ryzyko. Nie usuwa obowiązków wynikających z RODO. Dlatego przed przekazaniem danych trzeba ustalić role stron, zakres, cel, retencję, zabezpieczenia i sposób zakończenia przetwarzania.
Minimalny zakres danych do kalkulacji
Zakres powinien wynikać z pytań kalkulacyjnych, a nie z tego, jakie kolumny przypadkowo znajdują się w systemie kadrowym. Najczęściej wystarczą:
- techniczny identyfikator rekordu,
- rodzaj umowy i wymiar etatu albo liczba godzin,
- podstawa wynagrodzenia i składników wpływających na koszt,
- parametry składkowe i podatkowe potrzebne do odtworzenia naliczenia,
- status PPK, PIT-2, KUP oraz inne statusy rzeczywiście wpływające na model,
- dział lub grupa stanowisk, jeżeli jest potrzebna do scenariusza,
- okres referencyjny i informacje o korektach.
Danych, których nie należy przekazywać
Standardowy audyt kosztowy nie wymaga numeru PESEL, adresu, prywatnego telefonu, numeru rachunku, danych zdrowotnych ani informacji rodzinnych niezwiązanych z naliczeniem. Jeżeli nietypowy przypadek wymaga dodatkowego parametru, powinien zostać opisany osobno i przekazany dopiero po potwierdzeniu podstawy oraz zabezpieczeń.
Praktyczny proces pseudonimizacji
- Eksportuj wyłącznie kolumny zatwierdzone w specyfikacji danych.
- Zastąp dane identyfikacyjne losowym identyfikatorem.
- Klucz identyfikatorów przechowuj wyłącznie po stronie pracodawcy.
- Usuń ukryte arkusze, komentarze, metadane i zbędne zakładki.
- Uzgodnij sumy kontrolne: liczbę osób, koszt i okres.
- Przekaż plik przez zatwierdzony, szyfrowany kanał.
- Po raporcie usuń lub zwróć pliki zgodnie z umową i retencją.
Dlaczego zwykły e-mail nie powinien być kanałem domyślnym
Wiadomość może zostać przesłana dalej, trafić do błędnego adresata, pozostać w kopiach zapasowych albo zostać pobrana na prywatne urządzenie. Bezpieczny proces powinien określać osoby uprawnione, uwierzytelnianie, czas dostępu, rejestr zdarzeń i sposób usunięcia. Hasło do archiwum nie powinno być wysyłane tym samym kanałem co plik.
Pięć pytań kontrolnych przed wysyłką
- Czy każda kolumna jest konieczna do konkretnego obliczenia?
- Czy plik nie zawiera danych identyfikacyjnych lub szczególnych kategorii danych?
- Czy umowa określa cel, czas i rolę podmiotu przetwarzającego?
- Czy odbiorca i kanał zostały potwierdzone?
- Czy wiadomo, kiedy dane zostaną usunięte i jak zostanie to potwierdzone?