Лично досие и KVKK в Турция: кой има достъп, как се пазят идентификационният номер и IBAN

Ръководител на екип иска IBAN на служител през WhatsApp, за да му бъде преведен аванс. Друг мениджър пита: „Мога ли да погледна досиетата на моя екип?“ А служител се чуди: „Какво има в досието ми и кой го е видял?“ И трите въпроса водят до едно място: личното досие не е просто папка с документи, а регистър с лични данни, и правилата за него са записани в KVKK – закона на Турция за защита на личните данни. Статията разглежда стъпка по стъпка какви данни има в личното досие на служителя, кога не е нужно съгласие, кой до какво може да има достъп и как се защитават чувствителните полета.

Задължението по KVKK за личното досие е работодателят да обработва законосъобразно данните на служителя – самоличност, контакти, заплата, здраве, – да информира служителя и да не допуска неразрешен достъп до данните (турски Закон № 6698, чл. 4, чл. 10 и чл. 12).

Какви лични данни съдържа личното досие на служителя?

Съгласие по KVKK за личното досие: нужно ли е изрично съгласие?

Изходната точка на закона е: личните данни не могат да се обработват без изричното съгласие на лицето. Същият член обаче позволява обработване без съгласие, ако е налице някое от основанията. За трудовото правоотношение най-важни са следните (чл. 5):

• Обработването е изрично предвидено в закон.
• Обработването на данни на страните по договор е необходимо, при условие че е пряко свързано със сключването или изпълнението на договора.
• Обработването е необходимо, за да изпълни администраторът на данни свое правно задължение.
• Обработването е необходимо за установяване, упражняване или защита на право.
• Обработването е необходимо за законните интереси на администратора, при условие че не накърнява основните права и свободи на лицето.

Затова, вместо да карате служителите да подписват общо „съгласие по KVKK“ за всеки документ, по-сигурно е да определите на какво основание се обработва всяка група данни. За специалните категории данни правилото е по-строго: обработването им е забранено и е възможно само при някое от изброените основания; сред тях е необходимостта от изпълнение на правни задължения в областта на заетостта, здравословните и безопасни условия на труд и социалното осигуряване, като освен това е задължително да се вземат достатъчните мерки, определени от Съвета за защита на личните данни (чл. 6).

Дори да не е нужно съгласие, уведомяването е задължително винаги. При получаване на данните работодателят информира служителя за следното (чл. 10):

• Кой е администраторът на данни и неговият представител, ако има такъв.
• С каква цел ще се обработват данните.
• На кого и с каква цел могат да се предават данните.
• Начинът на събиране на данните и правното основание.
• Правата на служителя, изброени в чл. 11.

Кой има достъп до личното досие?

Законът не дава списък на лицата с достъп; като принцип той изисква данните да са свързани с целта на обработването, ограничени и пропорционални (чл. 4) и неразрешеният достъп да се предотвратява (чл. 12). Турският Закон за труда № 4857 също изисква работодателят да използва сведенията за служителя добросъвестно и законосъобразно и да не разкрива сведения, в чиято поверителност служителят има основателен интерес (чл. 75). Задължението за пазене на тайна за всеки, който има достъп до данните, продължава и след напускане на длъжността (KVKK, чл. 12).

Таблицата по-долу не е правило от закона, а примерно разпределение на достъпа, основано на принципа на пропорционалност. Адаптирайте го към своята организация.

Как се защитават идентификационният номер и IBAN на служителя?

Идентификационният номер и IBAN не са в списъка на специалните категории данни по чл. 6 от KVKK; но са лични данни и администраторът е длъжен да вземе необходимите технически и организационни мерки, за да предотврати незаконното им обработване, неразрешения достъп и загубата им (чл. 12). За неизпълнение на задълженията за сигурност на данните законът предвижда административна глоба (чл. 18); сумите се актуализират, затова проверявайте актуалния размер в съобщенията на Органа за защита на личните данни.

• Маскирайте идентификационния номер и IBAN на екрана и в списъците; показвайте пълната стойност само там, където е нужна.
• Обвържете достъпа с ролята и записвайте всеки достъп до документи.
• Забранете искането на идентификационен номер и IBAN през WhatsApp или имейл; определете защитен канал.
• Не пишете идентификационния номер в имената на файловете.
• Редовно проверявайте на кого са видими тези полета в споделените папки и в разпечатките.
• Определете отговорник, който при незаконно попадане на данните в чужди ръце възможно най-бързо да уведоми засегнатото лице и Съвета (чл. 12).

Какво става, ако служителят поиска данните си или тяхното изтриване?

Според чл. 11 от KVKK всеки може да се обърне към администратора и да научи дали личните му данни се обработват, а ако се обработват – да получи информация за това, целта на обработването и третите лица, на които са предадени; може да поиска непълни или неверни данни да бъдат коригирани. При искане за изтриване или унищожаване, ако всички основания за обработване са отпаднали, администраторът решава искането най-късно в срок от трийсет дни и уведомява лицето; ако основанията не са отпаднали, може да откаже, като посочи причината (Наредба за изтриването, чл. 12). За документите в досието, чийто законов срок на съхранение още тече, причината за отказа е именно този срок.

Контролен списък по KVKK за личното досие

1. Опишете в писмен регистър кои групи данни съхранявате в личните досиета.
2. Определете правното основание за всяка група данни: закон, договор, правно задължение, законен интерес или изрично съгласие.
3. Предоставяйте на служителите текста на уведомлението при постъпване и записвайте, че е предоставен.
4. Обвържете специалните категории данни (здраве, съдимост, членство в синдикат) с отделна и по-тясна група права.
5. Изгответе матрица на достъпа по роли и я преглеждайте поне веднъж годишно.
6. Определете правило за маскиране и канали за полета като идентификационен номер и IBAN.
7. Посочете сроковете за съхранение и унищожаване в писмена политика.
8. Запишете кой кого и в какъв срок уведомява при нарушение на сигурността на данните.

Къде хартиеното досие и общата папка оставят данните открити?

Дори заключеният шкаф е отворен за всеки, който има ключ, и не се знае кой и кога е гледал в него. В общата папка медицинското удостоверение, фишът за заплата и декларацията с IBAN могат да стоят в една и съща директория; всеки, който отвори папката, вижда всичко. Проблемът не е в добросъвестните служители, а в това, че достъпът не може да се степенува: данните ги вижда и човек, на когото не са нужни, а при изтичане става невъзможно да се установи кой е имал достъп.

Обхват по роли, маскиране и дневник на достъпа в електронното лично досие

В YazSis KurumsalPortal, в модула Дигитално лично досие и управление на ЧР, достъпът до личното досие се контролира чрез права: отдел „Човешки ресурси“, упълномощените ръководители и служителите виждат само обхвата, определен за ролята им. Чувствителните полета като идентификационен номер и IBAN се маскират. Достъпът до документите се записва в дневника за достъп до документи, а платформата има и одитен дневник. За подробности относно правата вижте страницата на модула Управление на менюта и права.

Тези контроли ви помагат да изградите процес, съобразен с KVKK. Порталът сам по себе си не замества правните ви задължения: изготвянето на текста на уведомлението, определянето на правното основание за всяка група данни и писането на политика за съхранение остават задача на фирмата. Системата работи на собствения сървър на клиента, а служителите влизат от браузъра на телефона, без да инсталират приложение.

Ако искате да видите достъпа по роли, маскирането и дневника на достъпа върху лично досие, разгледайте страницата Дигитално лично досие и управление на ЧР.