τι μπορώ να καταχωρήσω στο προσωπικό φάκελο ενός υπαλλήλου

Τι ανήκει και τι δεν ανήκει σε ένα φάκελο προσωπικού

Σε έναν φάκελο προσωπικού ανήκουν τα δεδομένα που είναι απαραίτητα για την εκτέλεση της εργασιακής σχέσης: στοιχεία σύμβασης, θέση, μισθός, δεδομένα σχετικά με απουσίες και άδειες, αξιολογήσεις και αλληλογραφία σχετικά με την εργασιακή σχέση. Δεδομένα που δεν ανήκουν σε αυτόν είναι τα δεδομένα που δεν εξυπηρετούν κάποιο δηλωμένο σκοπό: σημειώσεις σχετικά με τη προσωπική ζωή κάποιου, απόψεις σχετικά με πολιτικές προτιμήσεις, υποθέσεις σχετικά με την υγεία εκτός από αυτά που χρειάζονται για τη διαχείριση απουσιών, ή αντίγραφα ταυτοποιητικού εγγράφου που διατηρούνται περισσότερο από ό,τι ζητήθηκαν. Το ερώτημα είναι κάθε φορά όχι «μπορεί αυτό τυχαία να είναι ποτέ σχετικό», αλλά εάν το δεδομένο είναι πραγματικά απαραίτητο για έναν συγκεκριμένο, καθορισμένο σκοπό εντός της εργασιακής σχέσης.

Αυτό σημαίνει επίσης ότι ένας φάκελος μεγαλώνει και συρικνώνεται: αυτό που ήταν σχετικό κατά την αίτηση μπορεί να γίνει περιττό μετά την πρόσληψη, και τα δεδομένα που καταγράφηκαν κατά τη διάρκεια μιας περιόδου ασθένειας δεν πρέπει να παραμείνουν στο φάκελο χωρίς λόγο αφού κάποιος επιστρέψει στη δουλειά. Ο χρόνος διατήρησης των δεδομένων μετά την εξάντληση του σκοπού περιγράφεται στο τα χρονοδιαγράμματα διατήρησης για δεδομένα προσωπικού και υποψηφίων. Για ευαίσθητα δεδομένα, όπως δεδομένα υγείας, ισχύει ένα αυστηρότερο κριτήριο από ό,τι για τα συνηθισμένα δεδομένα προσωπικού, και αυτό το κριτήριο περιγράφεται στη σελίδα σχετικά με τις νομικές βάσεις για την επεξεργασία.

Πού προκύπτει αυτό: άρθρο 5 και άρθρο 6 GDPR

Ότι ένας φάκελος προσωπικού παραμένει περιορισμένος σε αυτά που είναι απαραίτητα, προκύπτει από το άρθρο 5 του GDPR, το οποίο καθιερώνει τις αρχές της ελαχιστοποίησης δεδομένων και της περιορισμού αποθήκευσης: τα δεδομένα δεν διατηρούνται περισσότερο ή ευρύτερα από ό,τι απαιτεί ο σκοπός. Το εάν μπορεί καθόλου να επεξεργαστεί ένα δεδομένο εξαρτάται από μια έγκυρη νομική βάση όπως αναφέρεται στο άρθρο 6 του GDPR — για τα περισσότερα δεδομένα προσωπικού είναι η ανάγκη για την εκτέλεση της σύμβασης εργασίας. Αυτά τα δύο άρθρα μαζί καθορίζουν το εύρος του φακέλου: χωρίς νομική βάση, χωρίς επεξεργασία· χωρίς σκοπό, χωρίς διατήρηση. Η Ελληνική Αρχή Προστασίας Δεδομένων Προσωπικού παρέχει περαιτέρω καθοδήγηση για την ελληνική πρακτική, ενώ η ουσία αυτών των κανόνων προέρχεται άμεσα από τον κανονισμό και επομένως είναι ίδια σε κάθε κράτος μέλος.