アイルランドの雇用法におけるデータ主体の権利の理解

アクセス権は、従業員が自分の個人データが処理されているかどうか、そしてそのデータにアクセスするために、雇用主から確認を得ることができます。 これには、処理の目的、データ、受取人のカテゴリ、受取人のカテゴリ、保持期間、および苦情を申し立てる権利が含まれます。 雇用主は、過度の遅延なしで、および1ヶ月以内にを、有効なリクエストを受け、最大2ヶ月間または複数のリクエストを延長できるものとします。

アイルランドの雇用コンテキストでは、一般的なアクセス要求は、従業員、CCTVの映像、またはペイロールシステムで保持されるデータに関する人事ファイル、パフォーマンスレビュー、電子メールに関連する可能性があります。雇用主は、一般的に使用される電子フォーマットでデータのコピーを提供する必要があります。アクセスが他の人の権利に悪影響を及ぼすか、または法的専門家の特権が適用される場所など、限られた例外があります。 DPCは、メタデータや内部ノートを含む、雇用主が完全な開示を求めるいくつかの決定を発行しました。雇用主は、不満や規制措置の要求を回避する必要があります。

決定権(第16条GDPR)

従業員は、不正確または不完全な個人データが不正確または不完全な個人データを遅滞なく修正する権利を有します。 これは、人事レコードのエラーがプロモーション、給与、または懲戒処分に影響を与える可能性がある雇用設定に特に関連しています。 例えば、従業員のパフォーマンス評価が誤って記録されている場合、従業員のパフォーマンス評価が誤って記録されれば、それらは修正を要求することができます。 雇用主は、データの正確性を検証し、通常1ヶ月以内に速やかに修正をしなければなりません。 雇用主が是正を拒否した場合、従業員が従業員に通知する理由を通知し、従業員に適切な通知を通知しなければなりません。

消去の権利(「忘れる権利」)(第17条GDPR)

特定の条件下では、従業員の要求は、自分の個人データの削除をすることができます。この権利は絶対的ではありません。そして、主に、データが元の目的のために必要とされなくなった場合に適用されます。従業員は同意を取り払い、他の法的根拠はありません。従業員のオブジェクトは、正当な根拠を一切取り除かれていません。データが違法処理されていないか、または法的義務は消去を必要としません。雇用では、一般的なシナリオには、必要な期間を超えて保持された有効な法的根拠やデータなしで収集されたデータが含まれますが、雇用の要求は、雇用の制限が義務を負う必要があります。ただし、雇用の期間が、雇用の義務を放棄する必要があります。

処理を制限する権利(第18条GDPR)

従業員は、特定の状況で自分のデータの処理を制限するために、雇用主に尋ねることができます。データの正確性が競争される(検証を終了)。処理が違法であるが、従業員は消去を反対し、代わりに要求の制限を要求します。雇用主がもはやデータを必要としないが、従業員は法的主張のためにそれを要求します。または、従業員が記事21(以下を参照)で処理を妨げているとき(以下を参照)。制限期間中、データは保存されるだけでなく、従業員が、従業員が法的な要求や権利を制限するために必要としない場合には、従業員は、その権利を制限する権利を制限する必要があります。

データポータビリティの権利(GDPR20条)

データポータビリティの権利は、従業員が構造化された、一般的に使用される、機械読み取り可能な形式で個人データを受信し、そのデータを別のコントローラーに、そのデータを非表示なしで送信することができます。この権利は、自動手段によって処理されたデータに適用され、同意または契約に基づいて行われます。雇用では、典型的なポータブルデータは、給与記録、作業履歴、および連絡先の詳細を含みます。ただし、ポータビリティは、パフォーマンス分析などの雇用主によって得られたデータや推論に拡張されません。雇用主は、従業員が、従業員が自由に使用した仕事や従業員が、従業員が、適切な作業を雇用するかどうかを把握する必要があります。

オブジェクトの権利(第21条GDPR)

従業員は、プロファイリングを含む正当な利益または公共の利益に基づいて処理する目的の権利を持っています。雇用のコンテキストでは、これは通常、直接マーケティング(例えば、雇用主のプロモーションメールを送信します)または職場の監視などの正当な利益に基づいて処理することに適用されます。処理が直接マーケティングの場合、異議は例外なく名誉を払う必要があります。他の正当な利益処理のために、雇用主は従業員の目的に関心を主張する正当な理由を実証しなければなりません。従業員の目的が要求する権利またはプライバシーを侵害する要求を主張する権利を主張する必要があり、または侵害する権利を主張する必要があります。

規制における自動意思決定とプロファイリングに関する権利(第22条GDPR)

従業員は、法的な効果や同様の効果をもたらす自動化処理(プロファイリングを含む)に基づいて、決定を正当に対象としない権利を有します。 アイルランドの雇用法では、採用、採用、パフォーマンス、またはプロモーションに関する自動決定は透明で、人間の介入を可能にする必要があります。 このような自動化システムが使用される場合、雇用主は、処理の意義と論理に関する有意な情報を提供する必要があります。 これは、AI主導の採用ツールやパフォーマンス分析がより一般的になるにつれてます関連しています。 DIAは、そのようなデータ保護システムを雇用主が関与する前に、そのような影響を受ける必要があります。

雇用主の責任とベストプラクティス

アイルランドの雇用主は、データ主体の権利に対する積極的なアプローチをとらなければなりません。 コンプライアンスは、要求に応えるだけでなく、開始から従業員のプライバシーを尊重したポリシーとシステムを実行することを含みます。 主な責任は次のとおりです。

• 透明性:]]]は、雇用開始時に従業員に明確なプライバシー通知を提供し、データ処理が変更されるたびに。 通知は、適法な基盤、保持期間、および権利を指定しなければなりません。
• []DesignとDefault:[によるデータ保護は、データの保護をHRプロセスに統合し、必要に応じて読み込まれ、機密ファイルを暗号化するなどの。
• リクエストの処理:]] は、リクエストのアイデンティティの確認、アクションの文書化、および1ヶ月の応答時間を満たすなど、データ主体の要求に対する受信および応答のための明確な内部プロセスを確立します。
• [データ保護責任者(DPO):[]] 多くの組織は、DPO(例えば、公共機関、大規模な監視やデータの特殊なカテゴリの処理に従事する企業)を任命する必要があります。 必須でない場合でも、指定された連絡先は、コンプライアンスを管理するのに役立ちます。
• トレーニングと意識:[ 人事スタッフとマネージャーがデータ主体の権利と要求を処理する方法を理解していることを保証する。 定期的なトレーニングは、不変の侵害や遅延のリスクを低減します。
• データ保持と消去:[ 法的要件に準拠した保持スケジュールを実施(例、給与記録の収益ガイドライン、採用データの平等法)、必要なくなった場合に自動的にデータを削除します。
• :「」]」)従業員に影響を及ぼす個人データの侵害が発生した場合、雇用主は72時間以内にDPCに通知し、リスクが高い場合は、影響を受けた従業員に過度の遅延をすることなく通知しなければなりません。
• データ保護影響評価(DPIAs):[]]) 従業員の監視システムや新しい人事技術などの個人に高いリスクをもたらす可能性がある処理のために必要です。

アイルランドにおける労働力と罰

データ保護委員会(DPC)は、アイルランドにおけるデータ保護法の監視および強化を担当する独立した権限です。 以下のような能力を含む広範な電力があります。

• 雇用主の調査・監査を実施する。
• 問題警告、返信、およびデータ主体の権利に従う注文。
• 年間売上高の€20百万または4%の上昇までの管理罰金を課します。
• 加工の制限や禁止を注文する。
• 犯罪訴えの裁判所に重大な違反を言及します。

権利が侵害されていると判断した従業員は、DPCに無料で苦情を申し立てることができます。DPCは、雇用主に対して多くの苦情を調査しました。特にアクセス要求、過度の監視、および終了後にデータを消去する失敗について。例えば、2022年に、DPCは有効な法的根拠のない従業員データを処理するために主要なアイルランドの会社225,000ユーロを罰金を科しました。アイルランドの雇用主は、これらの義務を真剣に受け止めなければなりません。非コンプライアンスは重要な財務および評判の損害につながる可能性があるからです。

アイルランドの雇用データの権利における課題の発生

職場のデジタル変革は、データ主体の権利のための新しい課題を創出しています。 いくつかの傾向は、アイルランドの雇用主にとって特に関連しています。

• リモートワーク:]]]。ハイブリッドおよびリモートワークの上昇に伴い、雇用主は、多くの場合、監視ソフトウェアを使用して生産性、画面キャプチャ、およびキーストロークを追跡します。このような慣行は、透明に正当化され、比例しない限り、データ主体の権利を侵害することができます。 DPCは、広範な監視が密接にスクラッチされると指摘しています。
• 採用と人事におけるAI:]] 多くの企業がAI主導のツールを使用して、CVを選別し、候補を評価したり、パフォーマンスを予測したりします。 これらのシステムは、自動決定を伴って、記事22の下で人間の介入の権利をトリガーすることができます。 雇用者は公平性、透明性、および決定を説明する能力を確保しなければなりません。
• バイオメトリックデータ:] 指紋または顔認証の使用時間と出席システムが成長しています。 バイオメトリックデータは、明示的な同意を必要とするか、実質的な公共の利益地を必要とする、GDPRの下で特別なカテゴリです。 DPCは、バイオメトリックデータを絶対に必要なときにのみ使用すべきことを助言を発行しました。
• []データ主体アクセス要求ボリューム:[] 従業員の意識が成長するにつれて、雇用主はSARの上昇数に直面しています。 過負荷のないHRチームなしでこれらの効率的な管理は、自動化システムと明確なテンプレートを必要とします。 有効な理由でSARを再利用または遅延させることは、DPCの苦情を招きます。
• クロスボーダーデータ転送:[多国籍雇用主は、異なる国における企業間で従業員データを転送することができます。 シュラムIIの決定後、アイルランドの雇用主は、適切な保護措置(標準契約条項など)を確保し、そのような転送前に、影響評価を実施しなければなりません。

コンテンツ

アイルランドの雇用法に基づくデータ主体の権利は、包括的なものであり、その厳格性を高めています。従業員は、個人データの処理にアクセス、修正、消去、制限、ポート、およびオブジェクトの能力から恩恵を受けています。自動意思決定は、保護対象の対象となります。雇用主にとって、これらの権利を理解し、日常的な操作へのコンプライアンスを埋め込むことは不可欠です。明確なプライバシー通知から、要求を処理するための堅牢な手順まで、適切なアプローチで実行されることは、規制違反を回避するだけでなく、従業員が労働や労働を把握することも重要です。また、従業員は、労働力と労働力が重要な要素として、適切な方法として、適切な作業を実践し、適切な作業を実践します。

[] 詳細は、 [ GDPR テキスト] を参照し、]] データ保護法 2018] および [ データ保護委員会のWebサイト[]] を公式のガイダンスと決定のために。