DPIA za kadrovske sisteme: kdaj je ocena učinka obvezna?
Kadrovski sistem lahko združi podatke o uspešnosti, odsotnostih, zdravju, lokaciji in vedenju zaposlenih. Pred uvedbo je zato treba preveriti, ali obdelava pomeni veliko tveganje za njihove pravice.
Nakup kadrovske aplikacije je videti kot tehnični projekt, vendar lahko spremeni način odločanja o ljudeh.
Pravo vprašanje ni, ali ima ponudnik varnostni certifikat, temveč katere podatke sistem povezuje, kaj iz njih sklepa in kdo lahko rezultat uporabi.
Kaj je DPIA?
Ocena učinka v zvezi z varstvom podatkov je strukturirana presoja nujnosti, sorazmernosti in tveganj načrtovane obdelave.
Po 35. členu GDPR mora opisati obdelavo in namen, oceniti nujnost ter sorazmernost, opredeliti tveganja za posameznike in določiti ukrepe za njihovo zmanjšanje.
Kdaj je pri kadrovskem sistemu obvezna?
Kadar lahko nova obdelava zaradi narave, obsega, okoliščin ali namena povzroči veliko tveganje za zaposlene ali kandidate.
Močni opozorilni znaki so sistematično ocenjevanje zaposlenih, avtomatizirano odločanje, obsežno spremljanje, povezovanje več zbirk ter obdelava zdravstvenih, biometričnih ali drugih posebej občutljivih podatkov.
Ali uporaba umetne inteligence pomeni avtomatsko obveznost?
Ne vedno, vendar profiliranje in pomembne avtomatizirane kadrovske odločitve tveganje bistveno povečajo.
Če sistem razvršča kandidate, napoveduje odhode ali ocenjuje uspešnost, ga je treba povezati tudi s pravili o umetni inteligenci pri zaposlovanju. Človekov klik sam po sebi še ne pomeni učinkovitega človeškega nadzora.
Kaj mora podjetje preveriti pred nakupom?
Najprej mora popisati namen, podatke, uporabnike, roke hrambe, prenose in posledice rezultata.
- ali je vsak podatek res potreben,
- ali ponudnik uporablja podatke za svoje namene,
- kam se podatki prenašajo in kako dolgo se hranijo,
- kdo lahko popravi napačen rezultat,
- kako zaposleni uveljavlja svoje pravice.
Kdo pripravi in potrdi DPIA?
Za oceno odgovarja upravljavec, pri delu pa sodelujejo pravna, kadrovska, informacijska in varnostna funkcija ter pooblaščena oseba za varstvo podatkov.
Smiselno je vključiti tudi predstavnike zaposlenih in osebe, ki poznajo dejanski proces. Ocena ponudnika je lahko podlaga, ne more pa nadomestiti presoje konkretnega delodajalca.
Kaj če veliko tveganje ostane?
Če ga ni mogoče ustrezno zmanjšati, se mora upravljavec pred začetkom posvetovati z nadzornim organom.
DPIA je živ dokument. Ponovno jo je treba pregledati ob spremembi namena, podatkov, algoritma, uporabnikov ali posledic odločanja.
Kadrovska tehnologija potrebuje meje pred prvim klikom
Največja napaka je, da podjetje najprej kupi sistem in šele nato išče pravno podlago. Takrat so ključne odločitve o podatkih in funkcijah že sprejete.
Dobra DPIA poenostavi sistem: odstrani nepotrebne podatke, omeji dostope in jasno določi, kdaj rezultat ne sme nadomestiti človekove presoje.
Viri
- GDPR, zlasti 35. in 36. člen
- Informacijski pooblaščenec: seznam obdelav za DPIA
- Karlion: umetna inteligenca pri zaposlovanju
Članek je informativen in temelji na stanju pravil na datum posodobitve. Pri konkretnem pravnem, davčnem ali kadrovskem primeru preverite aktualne predpise in individualne okoliščine.
Povezane vsebine
