GDPR i ansettelseslivet
styrer hvordan arbeidsgivere behandler ansattdata: lovlige grunnlag utover samtykke (kontrakt, juridisk forpliktelse, legitim interesse), åpenhetsvarsler, minimering, sikkerhet og strenge grenser for overvåking. HR-dataflyt til lønns- og EOR-leverandører krever databehandleravtaler og overføringsgarantier.
De ansettelsesspesifikke reglene som er viktige
- Samtykke fungerer sjelden: maktbalansen ugyldiggjør de fleste ansattes samtykke – prosess på kontrakts-, juridisk forpliktelses- og legitim interessebasis med dokumentert balansegang.
- Overvåking er begrenset: skjult eller generell overvåking mislykkes; bedriftsrådene er med på å bestemme verktøy i Tyskland; proporsjonalitet og varsling er testene.
- Leverandører er databehandlere: lønns-, EOR- og ytelsesleverandører signerer artikkel 28-avtaler; grenseoverskridende strømmer trenger standardkontraktsklausuler eller tilstrekkelighet.
- Rettighetsforespørsler når HR: tilgangsforespørsler dekker e-poster og filer om personen – oppbevaring og struktur avgjør om svar er gjennomførbare.
- Oppbevaring er formålsbasert: lønnsregistreringer oppbevares i lovbestemte år; søkerdata gjør det ikke.
Vanlige spørsmål
Kan vi overføre ansattdata til konsernselskaper i utlandet?
Med sikkerhetstiltak: tilstrekkelighetsvedtak der de finnes, standard kontraktsklausuler pluss overføringsvurderinger ellers, og bindende selskapsregler for modne grupper. Konserninterne overføringer er overføringer – «samme selskapsfamilie» er ikke et juridisk grunnlag.
Hvilke data kan en EOR- eller lønnsleverandør oppbevare?
Hva tjenesten trenger: identitet, kontrakt, bank-, skatte- og sosiale data – i henhold til en databehandleravtale i henhold til artikkel 28, med åpenhet for underdatabehandlere og sletting ved utgang. HR på klientsiden bør ikke speile hele lønnsfilen tilbake uten formål; minimering går begge veier.