Το email το ξέρουν όλοι οι πελάτες σας, γι' αυτό και δουλεύετε με αυτό. Είναι όμως και το σημείο από το οποίο φεύγουν τα πιο ευαίσθητα στοιχεία που περνούν από τα χέρια σας.
Τι φεύγει στην πραγματικότητα με ένα email
Μια κατάσταση μισθοδοσίας ή μια αίτηση πρόσληψης έχει μέσα ονοματεπώνυμο, ΑΦΜ, ΑΜΚΑ, αριθμό ταυτότητας, IBAN και αποδοχές. Όποιος τα έχει όλα μαζί μπορεί να παραστήσει τον εργαζόμενο.
Μια άδεια ασθενείας ή μια κράτηση υπέρ σωματείου φανερώνει επιπλέον κάτι για την υγεία ή τη συνδικαλιστική του ιδιότητα. Αυτά ο GDPR τα βάζει στις ειδικές κατηγορίες του άρθρου 9 και ζητά να προστατεύονται περισσότερο.
Ποιος έχει την ευθύνη
Για τα δεδομένα των εργαζομένων υπεύθυνος επεξεργασίας είναι ο εργοδότης, δηλαδή ο πελάτης σας. Το λογιστικό γραφείο, όταν βγάζει τη μισθοδοσία, ενεργεί συνήθως ως εκτελών την επεξεργασία για λογαριασμό του. Ο ακριβής ρόλος κρίνεται από τη σύμβαση και από το τι ακριβώς κάνετε.
Το άρθρο 28 θέλει γραπτή σύμβαση επεξεργασίας ανάμεσά σας. Το ίδιο ισχύει και προς τα κάτω, με κάθε πάροχο στον οποίο εμπιστεύεστε τα δεδομένα, είτε είναι ο πάροχος του email, είτε η αποθήκευση στο cloud, είτε το πρόγραμμα μισθοδοσίας.
Τι ζητά ο κανονισμός, με απλά λόγια
Ο GDPR δεν απαγορεύει το email. Ζητά τα μέτρα σας να είναι ανάλογα με τον κίνδυνο.
- Άρθρο 5. Τα δεδομένα μένουν εμπιστευτικά και ακέραια, ζητάτε μόνο όσα χρειάζεστε και δεν τα κρατάτε περισσότερο απ' όσο πρέπει.
- Άρθρο 32. Παίρνετε κατάλληλα τεχνικά και οργανωτικά μέτρα ασφάλειας. Ο κανονισμός αναφέρει ενδεικτικά την κρυπτογράφηση και τη δυνατότητα να διασφαλίζεται το απόρρητο σε διαρκή βάση.
- Άρθρα 33 και 34. Μια παραβίαση τη γνωστοποιεί ο υπεύθυνος επεξεργασίας στην Αρχή Προστασίας Δεδομένων μέσα σε 72 ώρες από τη στιγμή που την αντιλήφθηκε, εκτός αν δεν είναι πιθανό να προκαλέσει κίνδυνο. Ο εκτελών ενημερώνει τον υπεύθυνο χωρίς αδικαιολόγητη καθυστέρηση.
Ένα email με μισθοδοσία που έφυγε σε λάθος παραλήπτη είναι παραβίαση δεδομένων. Το αν πρέπει να γνωστοποιηθεί κρίνεται κατά περίπτωση. Κάποιος όμως πρέπει να το κρίνει και να το καταγράψει.
Πού ζορίζεται το email
- Λάθος παραλήπτης. Η αυτόματη συμπλήρωση βάζει εύκολα άλλον Παπαδόπουλο. Και το email που έφυγε δεν γυρίζει πίσω.
- Αντίγραφα παντού. Το ίδιο συνημμένο μένει στα απεσταλμένα σας, στα εισερχόμενα του πελάτη, στα κινητά και των δύο και σε κάθε προώθηση.
- Κοινόχρηστα mailboxes. Ένα info@ το διαβάζουν όσοι έχουν τον κωδικό. Το διαβάζουν και όσοι τον είχαν κάποτε.
- Κανένα ίχνος. Δεν ξέρετε ποιος άνοιξε το αρχείο ούτε πότε.
- Μένουν για πάντα. Συνημμένα με ταυτότητες κάθονται στα mailboxes για χρόνια, ενώ ο λόγος που στάλθηκαν έχει προ πολλού τελειώσει.
- Zip με κωδικό. Βοηθά. Όταν όμως ο κωδικός φεύγει με το αμέσως επόμενο email στην ίδια διεύθυνση, σας γλιτώνει μόνο από τον λάθος παραλήπτη.
Επτά πράγματα που αλλάζετε από αύριο
- Όπου γίνεται, στείλτε σύνδεσμο προς έναν χώρο με έλεγχο πρόσβασης και όχι συνημμένο.
- Καταργήστε τα κοινόχρηστα mailboxes για οτιδήποτε έχει προσωπικά δεδομένα. Ο καθένας με τον δικό του λογαριασμό.
- Βάλτε επαλήθευση δύο παραγόντων σε όλα τα mailboxes του γραφείου.
- Ζητήστε από τον πελάτη μόνο όσα χρειάζεστε. Αντίγραφο ταυτότητας μόνο όταν δεν γίνεται αλλιώς.
- Αποφασίστε πότε σβήνονται τα παλιά συνημμένα και κάντε το μία φορά τον χρόνο.
- Υπογράψτε σύμβαση επεξεργασίας με τους πελάτες της μισθοδοσίας και βεβαιωθείτε ότι έχετε αντίστοιχη με κάθε πάροχό σας.
- Γράψτε σε μία σελίδα τι γίνεται όταν φύγει email σε λάθος άνθρωπο. Ποιος ενημερώνεται, ποιος αποφασίζει και πού καταγράφεται.
Πώς το κάνει το Roster
- Τα αρχεία μένουν στον ιδιωτικό χώρο του κάθε πελάτη. Το email για ένα Πακέτο Εγγράφων έχει μέσα έναν σύνδεσμο, όχι τα ίδια τα αρχεία.
- Η πρόσβαση δίνεται σε συγκεκριμένο άνθρωπο για συγκεκριμένη εταιρεία, με κωδικό μίας χρήσης στο δικό του email. Κοινοί κωδικοί δεν υπάρχουν.
- Κάθε πακέτο δείχνει προβολές και λήψεις, άρα ξέρετε αν και πότε το άνοιξε ο πελάτης.
- Μια λάθος δημοσίευση την αποσύρετε. Ένα λάθος email όχι.
- Οι servers της εφαρμογής είναι στη Γαλλία και τα αρχεία σε αποθήκευση με δικαιοδοσία Ευρωπαϊκής Ένωσης. Οι ρόλοι επεξεργασίας περιγράφονται στην Πολιτική απορρήτου και τα μέτρα στη σελίδα Ασφάλεια.
Μία εξαίρεση που πρέπει να ξέρετε. Στα αιτήματα εργαζομένων το XLSX και τα δικαιολογητικά φεύγουν με email σε όποιον έκανε την αίτηση και στις διευθύνσεις μισθοδοσίας που ορίζετε εσείς. Βάλτε εκεί μόνο προσωπικές διευθύνσεις ανθρώπων που πρέπει να τα βλέπουν και κρατήστε τες ενημερωμένες.
Σημείωση. Ο οδηγός είναι ενημερωτικός και δεν αποτελεί νομική ή εργατική συμβουλή. Οι απαιτήσεις αλλάζουν, γι' αυτό ελέγξτε τι ισχύει πριν τον εφαρμόσετε.