Запровадження RODO (польська назва Загального регламенту ЄС про захист даних, GDPR) суттєво змінило спосіб обробки персональних даних підприємцями. Особливо важливе питання – чи потрібно захищати відповідно до правил ЄС також архівні особові справи колишніх працівників. Ця проблема викликає багато сумнівів у роботодавців, які зобов’язані зберігати кадрову документацію протягом визначеного строку. Особові справи — частина документації, яку ми ведемо для клієнтів, що користуються кадровим та зарплатним обслуговуванням.
RODO застосовується й до архівних особових справ, але дата архівування документів має значення, зокрема, для їх змісту та строку зберігання. Роботодавці мають добре розуміти свої обов’язки, щоб уникнути високих штрафів за порушення правил захисту персональних даних.
Що таке RODO і де він застосовується
RODO, тобто Регламент Європейського Парламенту і Ради (ЄС) 2016/679 від 27 квітня 2016 року, – основний правовий акт, що регулює захист персональних даних у Європейському Союзі. Регламент застосовується з 25 травня 2018 року (стаття 99 частина 2 RODO); з цього дня він скасував попередню Директиву 95/46/ЄС про захист даних (стаття 94).
Головна мета RODO – забезпечити всебічний захист персональних даних кожної фізичної особи та уніфікувати правила в усьому Європейському Союзі. Регламент запроваджує суворі правила обробки персональних даних і передбачає відчутні фінансові санкції за їх порушення.
Штрафи за порушення RODO можуть сягати 20 мільйонів євро або 4% річного світового обороту підприємства – залежно від того, яка сума вища. Розмір штрафів зробив дотримання правил пріоритетом для всіх організацій, що обробляють персональні дані
Правила RODO мають дуже широку сферу застосування і стосуються практично всіх аспектів обробки персональних даних. Вони охоплюють не лише збирання та зберігання інформації, а й її використання, надання доступу, змінення чи видалення. Регламент застосовується до всіх суб’єктів, які обробляють персональні дані, незалежно від їх розміру чи характеру діяльності.
Особливо важливо, що RODO запроваджує принцип підзвітності, згідно з яким контролери даних мають бути здатні довести, що дотримуються всіх вимог. Це означає потребу документувати всі дії, пов’язані з обробкою персональних даних, і впроваджувати відповідні процедури та заходи захисту. Подібні вимоги до документування стосуються даних із процедури внутрішніх повідомлень для викривачів.
RODO також запроваджує нові права для осіб, чиї дані обробляються, зокрема право бути забутим, право на перенесення даних і право на виправлення неправильної інформації. Ці права безпосередньо впливають на спосіб управління кадровою документацією, проте право на видалення даних не охоплює даних, які роботодавець зобов’язаний зберігати на виконання юридичного обов’язку (стаття 17 частина 3 літера b RODO)
Основні обов’язки, що випливають з RODO
Регламент про захист персональних даних встановлює шість основоположних принципів обробки персональних даних, яких мають дотримуватися всі контролери даних. Ці принципи є основою всіх дій, пов’язаних з обробкою інформації про фізичних осіб.
Перший принцип – законність, справедливість і прозорість. Це означає, що персональні дані мають оброблятися відповідно до чинного законодавства, чесно щодо осіб, яких вони стосуються, і прозоро щодо цілей і способів обробки.
Другий принцип – обмеження мети: персональні дані можна збирати лише для конкретних, чітко визначених і законних цілей. Надалі їх не можна обробляти у спосіб, несумісний із початковими цілями, якщо тільки йдеться не про архівування в суспільних інтересах, дослідницькі чи статистичні цілі.
Принцип обмеження мети особливо важливий для роботодавців, оскільки дані, зібрані у зв’язку із зайнятістю, не можна використовувати для інших цілей без належної правової підстави. Це стосується також даних в архівних особових справах
Третій принцип, мінімізація даних, вимагає, щоб оброблювані персональні дані були адекватними, доречними та обмеженими мінімумом, необхідним для досягнення цілей обробки. Це означає, що не можна збирати більше даних, ніж справді потрібно.
Четвертий принцип стосується точності даних і вимагає, щоб уся оброблювана інформація була точною та актуальною. У разі виявлення помилок їх слід невідкладно виправити або видалити неправильні дані.
П’ятий принцип – обмеження зберігання: персональні дані можна зберігати лише протягом строку, необхідного для досягнення цілей обробки. Виняток становлять дані, що обробляються виключно для архівування в суспільних інтересах, дослідницьких чи статистичних цілей.
Принцип обмеження зберігання особливо важливий щодо особових справ працівників: строк зберігання кадрової документації визначає Трудовий кодекс (Kodeks pracy) (стаття 94 пункт 9b), а після його спливу документацію, як правило, видають колишньому працівникові або знищують. Роботодавці мають встановити конкретні строки зберігання для різних категорій документів
Шостий принцип, цілісність і конфіденційність, вимагає забезпечити належну безпеку персональних даних, зокрема захист від несанкціонованого доступу, випадкової втрати, знищення чи пошкодження. Це має досягатися шляхом впровадження відповідних технічних та організаційних заходів.
Особові справи працівників - правові підстави
Обов’язок вести кадрову документацію випливає безпосередньо з Трудового кодексу. Відповідно до статті 94 пункти 9a і 9b Трудового кодексу кожен роботодавець зобов’язаний вести та зберігати документацію у справах, пов’язаних із трудовими відносинами, а також особові справи працівників. Особові справи поділяються на частини A–E (розпорядження про кадрову документацію, консолідований текст Dz.U. (Вісник законів) 2026 позиція 474).
Кадрову документацію можна вести в паперовій або електронній формі, що дає роботодавцям гнучкість у виборі форми ведення справ. Незалежно від обраної форми, ключове – забезпечити належні умови зберігання, що гарантують збереження конфіденційності, цілісності, повноти та доступності документів.
Строк зберігання кадрової документації становить 10 років, рахуючи від кінця календарного року, в якому трудові відносини було розірвано або вони припинилися. Це значне скорочення порівняно з попередніми правилами, які передбачали 50-річний строк зберігання. Строк 10 років стосується трудових відносин, укладених з 1 січня 2019 року; для попередніх і далі діє 50 років, а для укладених у 1999–2018 роках строк скорочується до 10 років від кінця року подання інформаційного звіту ZUS RIA (до ZUS — Управління соціального страхування) (стаття 7 закону від 10 січня 2018 року, Dz.U. 2018 позиція 357)
В особових справах працівників зберігаються різноманітні документи з персональними даними, часто також даними особливої категорії. Це може бути інформація про стан здоров’я, членство у профспілці чи інші чутливі дані, що потребують особливого захисту.
Роботодавці мають забезпечити зберігання кадрової документації в умовах, що виключають можливість її пошкодження чи знищення. Це стосується як фізичних загроз, так і кіберзагроз у разі електронної документації.
- Фізичний захист паперових документів від доступу сторонніх осіб
- Захист від атмосферних чинників та інших загроз довкілля
- Впровадження систем інформаційної безпеки для електронної документації
- Регулярне створення резервних копій електронних даних
- Доступ до документації лише для уповноважених працівників
Нові правила з 2019 року дозволяють роботодавцям архівувати особові справи в електронній формі. Це означає можливість оцифрування паперових документів – скан потрібно засвідчити кваліфікованим електронним підписом або кваліфікованою електронною печаткою, а працівників повідомити про зміну форми документації (стаття 94⁸ § 2 і стаття 94⁹ Трудового кодексу) – що може значно полегшити управління архівом і забезпечити кращий захист від втрати даних
RODO та особові справи, заархівовані до 2018 року
Часто виникає питання, чи має для застосування RODO до архівних особових справ значення дата їх архівування, тобто чи документи було заархівовано до чи після 25 травня 2018 року, з якого застосовується RODO.
RODO застосовується до будь-якої обробки даних з 25 травня 2018 року, а саме зберігання даних є їх обробкою (стаття 4 пункт 2 RODO). Тому особові справи, заархівовані до цієї дати, також підпадають під регламент – обробку, що тривала на день початку застосування RODO, потрібно було привести у відповідність до нього (пункт 171 преамбули RODO). Проте роботодавці не зобов’язані змінювати зміст документів, зібраних відповідно до правил, чинних на той час.
Відсутність обов’язку змінювати зміст документів, заархівованих до 25 травня 2018 року, не означає звільнення від обов’язків щодо захисту даних. Роботодавці мають забезпечити належний захист цих документів відповідно до RODO (стаття 32) і правил щодо кадрової документації
Це випливає з того, що роботодавець зберігає особові справи на виконання юридичного обов’язку (стаття 6 частина 1 літера c RODO у зв’язку зі статтею 94 пункт 9b Трудового кодексу), а документацію потрібно зберігати так, щоб гарантувати її повноту.
Водночас роботодавцям варто переглянути старіші архіви з погляду захисту та доступу, особливо щодо документів, які містять особливо чутливі персональні дані. Це може допомогти уникнути правових проблем у майбутньому.
| Період архівування | Застосування RODO | Необхідні дії | Додаткові зауваження |
|---|---|---|---|
| До 25.05.2018 | Повне (зберігання – це обробка) | Захист відповідно до RODO | Зміст, зібраний за тодішніми правилами, без змін |
| Після 25.05.2018 | Повне | Відповідність усім принципам | Обов’язкові процедури |
| Змішані документи | Повне | Єдині заходи захисту | Різні строки зберігання (50 або 10 років) |
Роботодавці мають пам’ятати, що навіть щодо документів, заархівованих до 2018 року, діють правила захисту персональних даних, які випливають з RODO і польського законодавства. Це означає потребу забезпечити належний рівень безпеки та обмежити доступ до документів.
Документи, заархівовані до початку застосування RODO, можуть містити дані, збирання яких сьогодні суперечило б принципам регламенту, наприклад надто докладну інформацію про родину працівника. Такі дані можна й далі зберігати до кінця встановленого законом строку архівування
Архівування особових справ після набрання чинності RODO
Особові справи, які архівуються після 25 травня 2018 року, від початку мають оброблятися в повній відповідності до RODO, що вимагає від роботодавців впровадження відповідних процедур і заходів захисту.
Архівування відповідно до RODO вимагає насамперед визначити, які документи та як довго роботодавець зобов’язаний зберігати. Обов’язок зберігати кадрову документацію не залежить від витрат – він випливає із закону, а від роботодавця залежить вибір заходів захисту.
Вибір заходів захисту має враховувати витрати на зберігання документів і їх захист, ризик для осіб, яких стосуються дані, можливість оновлення в разі змін законодавства та час, потрібний для всього процесу архівування. RODO вимагає заходів, відповідних ризику, з урахуванням рівня техніки та витрат на впровадження (стаття 32 частина 1)
Ключовий принцип – обмеження даних необхідним мінімумом. Він стосується насамперед збирання даних – роботодавець може вимагати лише даних, зазначених у статті 22¹ Трудового кодексу або передбачених іншими правилами. Проте зібрану кадрову документацію не «вибирають вибірково» – протягом строку зберігання вона має залишатися повною (стаття 94 пункт 9b Трудового кодексу).
Особливо проблемними можуть бути дані особливої категорії, як-от інформація про стан здоров’я працівника чи його членство у профспілці. Роботодавець може обробляти їх, коли цього вимагає закон, а на підставі згоди – лише тоді, коли працівник передав їх із власної ініціативи (стаття 22¹b § 1 Трудового кодексу); доступ до них мають лише особи з письмовим уповноваженням (§ 3).
Після спливу строку зберігання – 10 років від кінця календарного року, в якому припинилися трудові відносини, – колишній працівник може забрати документацію до кінця наступного календарного місяця, а незабрану роботодавець знищує протягом 12 місяців у спосіб, що унеможливлює відтворення її змісту (статті 94⁶ і 94⁷ Трудового кодексу). Інформацію про знищення варто зафіксувати в реєстрі, який веде роботодавець, – це допомагає довести відповідність RODO (принцип підзвітності, стаття 5 частина 2). Так само впорядковують й інші поточні кадрові записи, як-от лист присутності працівників.
Знищення документів, що містять персональні дані, не може полягати в простому викиданні їх у смітник. Паперові документи потрібно знищувати механічно, а електронні носії - форматувати у спосіб, що унеможливлює відновлення даних, або фізично знищувати
Процедура архівування відповідно до RODO
Архівування особових справ відповідно до RODO варто будувати на восьмиетапній процедурі, яка впорядковує вимоги регламенту. Кожен етап має свої специфічні вимоги і має бути належно задокументований.
Перший етап полягає у класифікації справ і встановленні максимального строку їх зберігання. Роботодавець має проаналізувати кожен вид документа й визначити, як довго його потрібно зберігати відповідно до чинного законодавства.
Другий етап – впорядкування зібраних справ за самостійно встановленим ключем. Це може бути впорядкування хронологічне, алфавітне або за видом документа. Важливо, щоб прийнята система була логічною та давала змогу легко знайти конкретні документи.
Третій етап охоплює позначення зібраних справ за категоріями, такими як трудові договори, документи щодо відпусток, лікарняні чи документи, пов’язані з припиненням трудових відносин. Таке позначення полегшує управління архівом і контроль строків зберігання.
Позначення документів має бути довговічним і читабельним, але водночас не може порушувати цілісності оригінальних документів. Найкраще рішення – використовувати спеціальні етикетки або папки з відповідними описами категорій документів
Четвертий етап – безпосереднє архівування, тобто фізичне розміщення особових справ у спеціально підготовлених приміщеннях, контейнерах або на захищених електронних носіях. Місце архівування має відповідати належним вимогам безпеки.
- Вибір відповідного приміщення з контролем доступу
- Забезпечення належних кліматичних умов
- Захист від пожежі та затоплення
- Встановлення систем моніторингу та сигналізації
- Регулярні перевірки технічного стану архіву
П’ятий етап, який здійснюється після спливу встановленого законом строку зберігання, – знищення справ. Цей етап потребує особливої уваги, оскільки неправильне знищення документів може призвести до порушення правил захисту персональних даних.
Шостий етап полягає у складанні інформації про знищення справ, зокрема із зазначенням способу знищення, дати операції та особи, відповідальної за знищення. Закон не вимагає складати таку інформацію, але її варто зберігати протягом певного часу як доказ належного виконання обов’язків.
Документація процесу знищення справ має містити детальну інформацію про вид знищених документів, застосований метод знищення, дату й час операції та підписи відповідальних осіб. Ця інформація може знадобитися під час перевірки наглядовими органами
Сьомий етап – впровадження контрольних процедур, які дають змогу регулярно перевіряти відповідність процесу архівування чинному законодавству. Перевірки мають охоплювати як технічні, так і процедурні аспекти.
Восьмий, останній етап – постійне вдосконалення процедур на основі практичного досвіду та змін у законодавстві. Роботодавцям варто регулярно переглядати свої процедури архівування й адаптувати їх до нових вимог.
Технічні та організаційні заходи
Впровадження відповідних технічних та організаційних заходів – основа відповідності RODO під час архівування особових справ. Ці заходи мають бути пропорційними ризику, пов’язаному з обробкою даних, і враховувати найновіші технічні досягнення.
Технічні заходи охоплюють усі інформаційні та фізичні рішення, що захищають персональні дані від несанкціонованого доступу, змінення чи знищення. Для електронної документації особливо важливі шифрування даних і системи контролю доступу.
Шифрування даних має використовувати найновіші криптографічні стандарти й регулярно оновлюватися відповідно до технологічного прогресу. Ключі шифрування потрібно зберігати безпечно, і доступ до них мають лише уповноважені особи
Системи контролю доступу мають забезпечувати, щоб доступ до архівних документів могли отримати лише уповноважені особи. Вони повинні охоплювати механізми автентифікації, авторизації та журналювання всіх операцій із даними.
Організаційні заходи стосуються процедур, інструкцій і політик безпеки, які регулюють порядок поводження з персональними даними. Вони охоплюють також навчання працівників і регулярні аудити безпеки.
- Розроблення детальних інструкцій поводження з кадровою документацією
- Проведення регулярних навчань працівників із захисту даних
- Призначення осіб, відповідальних за безпеку архіву
- Впровадження процедур реагування на інциденти безпеки
- Проведення регулярних аудитів відповідності RODO
Усі особи, які мають доступ до архівних особових справ, мають пройти належне навчання із захисту персональних даних і підписати зобов’язання про збереження конфіденційності. Навчання слід проводити регулярно й адаптувати до змін у законодавстві
Особливу увагу слід звернути на захист резервних копій документів. Ці копії потрібно зберігати так само безпечно, як і оригінальні документи, і застосовувати до них ті самі процедури контролю доступу.
Практичні аспекти впровадження
Впровадження процедур архівування відповідно до RODO вимагає від роботодавців низки практичних дій, які часто пов’язані з додатковими витратами та роботою. Ключове – належно спланувати весь процес і впроваджувати його поступово.
Першим кроком має бути аудит поточного стану архіву та виявлення всіх документів, що містять персональні дані. Цей аудит дасть змогу визначити обсяг необхідних змін і вартість їх впровадження.
Аудит архіву має охоплювати не лише ідентифікацію документів, а й оцінку наявних заходів захисту, аналіз ризиків і визначення пріоритетів впровадження нових процедур. Результати аудиту є основою для розроблення плану дій
Наступний крок – підготовка детальної документації всіх процедур, пов’язаних з архівуванням. Ця документація має бути настільки детальною, щоб кожен працівник міг правильно виконати свої обов’язки.
Впровадженню нових процедур має передувати відповідне навчання всіх залучених працівників. Навчання має охоплювати як правові, так і практичні аспекти нових процедур.
Середня фірма, у якій працює 50 працівників, має зберігати кадрову документацію 10 років від кінця року, в якому припинилися кожні трудові відносини, укладені з 2019 року. Це означає, що в будь-який момент в архіві може бути документація щодо навіть кількох сотень осіб, що вимагає відповідної системи управління та захисту документів відповідно до вимог RODO.
Важливим практичним аспектом є також вартість впровадження. Роботодавці мають врахувати витрати на придбання відповідного програмного забезпечення, модернізацію приміщень архіву, навчання працівників і поточне обслуговування системи.
Варто також розглянути можливість користуватися послугами зовнішніх фірм, які спеціалізуються на архівуванні документів. Таке рішення може бути особливо привабливим для менших роботодавців, які не мають змоги самостійно впровадити всі необхідні процедури.
Вибір зовнішньої архівної фірми потребує особливої обережності, оскільки роботодавець залишається відповідальним за відповідність RODO навіть у разі доручення архівування зовнішньому суб’єкту. Необхідно підписати відповідний договір доручення обробки персональних даних
