Il GDPR e i processi HR

Il GDPR sostituisce la direttiva UE sulla protezione dei dati, adottata nel 1995. Il nuovo regolamento è destinato a fornire ai cittadini dell’UE una serie di vantaggi, tra cui un più facile accesso alle informazioni personali gestite dalle società e ai dettagli sull’utilizzo dei propri dati. Dà inoltre ai cittadini il diritto alla portabilità dei dati e il diritto alla cancellazione. Inoltre, il GDPR conferisce a tutti i cittadini dell’UE il diritto di sapere quando i loro dati sono stati compromessi entro 72 ore dalla violazione.

Ai sensi del GDPR, i dati personali devono essere trattati secondo determinati principi. Sebbene questi siano sostanzialmente simili a quelli previsti dalla direttiva sulla protezione dei dati (DPD), ci sono importanti novità per quanto concerne il concetto di responsabilità. Per i team delle risorse umane le tradizionali giustificazioni per il trattamento dei dati dei dipendenti potrebbero dover essere riviste così come i processi di raccolta, utilizzo e conservazione.

I principi del GDPR

Legittimità, correttezza e trasparenza

Il GDPR richiede che il responsabile del trattamento fornisca all’interessato informazioni sul trattamento dei dati personali in modo conciso, trasparente e intelligibile, ben distinto da altre tematiche che intercorrono tra il dipendente e l’azienda.

È importante ricordare che i dati non vengono sempre raccolti direttamente dalle persone ma possono arrivare da fonti terze. Il GDPR ha una lista obbligatoria delle informazioni che devono essere fornite alle persone per entrambe le tipologie di fonti.

Raccolta dei dati solo per un determinato scopo

Il trattamento dei dati personali è consentito solo se è conforme allo scopo originale per il quale sono stati raccolti. L’elaborazione “per un ulteriore scopo” richiede un’ulteriore autorizzazione. L’unica eccezione si ha quando “l’ulteriore scopo” è “compatibile” con lo scopo originale.

Dati strettamente necessari

I responsabili del trattamento dei dati devono garantire che vengano gestiti solo i dati personali necessari per ciascuna specifica finalità. Ai sensi del GDPR, i dati devono essere “adeguati, pertinenti e limitati a quanto necessario in relazione agli scopi per i quali sono trattati”. I dati potranno inoltre essere gestiti solo per un determinato periodo temporale ben definito.