Управление соответствием KVKK скоро: реестр, явные согласия и записи об уничтожении данных сотрудников

Для кого этот модуль и какую задачу он будет решать?

Модуль «Управление соответствием KVKK» планируется для любого работодателя, который обрабатывает данные сотрудников и кандидатов; особенно он будет полезен там, где реестр персональных данных ведут в отдельной таблице, явные согласия хранят в папках, а записи с истёкшим сроком хранения регулярно не пересматривают. При таком подходе сведения о том, какие данные, с какой целью и как долго хранятся, быстро устаревают, данные уволившихся хранятся бессрочно, а обращения сотрудников теряются в почте.

• HR-руководитель: будет обновлять реестр, отслеживать записи о явном согласии и обращения на одном экране.
• Ответственный за KVKK или контактное лицо: будет следить за записями с истёкшим сроком хранения, операциями уничтожения и целевыми датами по обращениям субъектов данных.
• Юрист: будет проверять реестр, акты об уничтожении и отчёт о доступе.

Что будет делать модуль «Управление соответствием KVKK»?

Модуль будет превращать решения работодателя в применимые и доказуемые записи; самих решений он принимать не будет. Модуль целиком скоро появится; планируемый состав такой:

• Реестр персональных данных (kişisel veri envanteri): категория данных, цель обработки, правовое основание, срок хранения и сведения о передаче для HR-данных будут вноситься по политике вашей компании; реестр можно будет выгрузить в CSV.
• Хранение и уничтожение: записи с истёкшим сроком хранения будут выводиться списком через заданные промежутки; удаление, обезличивание или уничтожение будет выполняться после подтверждения, и о нём будет составляться акт.
• Обращения субъектов данных: обращения будут регистрироваться со статусом, ответом и целевой датой.
• Записи о явном согласии: для операций, основанных на согласии, будут фиксироваться предоставление и отзыв согласия.
• Отчёт о доступе: будет показывать просмотры чувствительных данных на основе уже существующего журнала аудита модуля Роли, права и безопасность.

Публикация информационных уведомлений (aydınlatma metni) и политик как общекорпоративных документов, отчёт о прочтении и список тех, кто не прочитал, тоже скоро появятся в модуле Управление документами и договорами. Готовые шаблоны информационных уведомлений и политик, процесс уведомления об утечке данных и прямая регистрация в VERBİS в планируемый состав не входят.

Обязанности Sora İK как обработчика данных описаны на странице Соглашение об обработке данных, сведения о шифровании, резервном копировании и привлечённых обработчиках данных — на странице безопасности.

Как это будет работать?

Планируемый модуль в пять шагов сделает политику работодателя применимой на практике.

1. Реестр: категории данных, цели обработки, правовые основания, сроки хранения и передачи будут вноситься вместе с вашим юристом.
2. Сроки хранения: будут задаваться сроки по видам данных; записи с истёкшим сроком будут выводиться списком через заданные промежутки.
3. Уничтожение: для записей из списка будет подтверждаться удаление, обезличивание или уничтожение, и будет составляться акт.
4. Согласия и обращения: для операций, где требуется явное согласие, будут вестись записи о согласии; поступившее обращение субъекта данных будет регистрироваться, а его статус и целевая дата — отслеживаться.
5. Проверка доступа: просмотры чувствительных данных будут регулярно изучаться с помощью отчёта о доступе.

Примечание о законодательстве

Правила применения KVKK определяются законом, регламентами, подзаконными актами (tebliğ), а также руководствами и решениями Управления по защите персональных данных; на этой странице номера статей и сроки не приводятся.

• Закон Турции № 6698 о защите персональных данных
• Управление по защите персональных данных (Kişisel Verileri Koruma Kurumu)
• Обязанность информирования (Aydınlatma Yükümlülüğü)
• На что обращать внимание при получении явного согласия (Açık Rıza Alırken Dikkat Edilecek Hususlar)
• Удаление, уничтожение или обезличивание персональных данных
• Руководства Управления

Текст, подготовленный Sora İK для собственного сайта и данных учётных записей, размещён на странице Уведомление KVKK. Эта страница не является юридической консультацией; по вопросам, специфичным для вашей компании, обращайтесь к юристу.

Какими техническими мерами Sora İK вносит свой вклад уже сейчас?

И до появления модуля «Управление соответствием KVKK» используемые модули Sora İK уже сейчас применяют следующие меры для обработки данных сотрудников по принципу минимальных привилегий:

• Роли и права: кто какие данные видит, ограничивается ролями и особыми ролями; управление — в модуле Роли, права и безопасность.
• Журнал аудита: каждая изменяющая операция фиксируется с указанием исполнителя и названий изменённых полей; значения и персональные данные не записываются. Отдельно фиксируются показ чужого идентификационного номера в открытом виде, просмотр истории зарплаты, деталей расчёта зарплаты, записей кандидатов и оценки эффективности, скачивание документов и выгрузки.
• Документы особой категории: медицинские заключения и справки о судимости доступны по отдельному праву; по умолчанию оно есть только у владельца компании и HR.
• Удаление документов: когда пользователь с соответствующим правом удаляет документ, все его версии удаляются и из хранилища, а операция фиксируется в журнале аудита.
• Согласие кандидата: в системе учёта кандидатов необязательное явное согласие в отклике хранится вместе с отпечатком текста SHA-256 и временем согласия.
• Идентификационный номер: не показывается в списках и пользователям без соответствующего права и не записывается в журналы приложения.
• Представление команды: руководитель команды в табеле не может отличить день больничного от оплачиваемого отсутствия по уважительной причине; в письме-уведомлении об отпуске отпуск по состоянию здоровья указывается под нейтральным названием.
• PDKS: биометрические данные не обрабатываются; местоположение запрашивается только в момент QR-отметки для проверки, точные координаты не хранятся; в записи прихода и ухода IP-адрес и сведения о браузере не сохраняются.
• Разделение компаний: данные каждой компании разделены на уровне базы данных с помощью защиты на уровне строк.

Может ли HR-система сама по себе обеспечить соблюдение KVKK?

Нет. Ответственность за соблюдение KVKK лежит на ответственном за обработку данных, который решает, с какой целью и каким способом обрабатываются персональные данные; для данных сотрудников это работодатель. HR-система помогает упорядоченно вести и фиксировать такие процессы, как ведение реестра, явное согласие, хранение и уничтожение; но на каком правовом основании обрабатываются те или иные данные, содержание текстов, определение сроков хранения, обязанности, связанные с реестром VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), информирование сотрудников и ведение бумажного архива остаются решением и ответственностью работодателя.

Оценивая программу с этой точки зрения, задайте следующие вопросы:

1. Подписывается ли соглашение об обработке данных, приводится ли список привлечённых обработчиков данных?
2. Где размещаются данные и как создаются резервные копии?
3. Можно ли ограничить по ролям, кто к каким данным имеет доступ, и отследить это в журнале аудита?
4. Можно ли выгрузить и удалить данные по окончании договора?

Ответы на эти вопросы применительно к Sora İK — на страницах безопасности, Соглашения об обработке данных и цен. Другие модули в области комплаенса и отчётности (охрана труда, дисциплинарные записи и обязательная отчётность) перечислены на странице категории «Комплаенс и отчётность».