Governanza tal-privatezza tal-impjegati għal GDPR u ISO/IEC 27701

Sarah, is-CISO ta’ kumpanija SaaS li kienet qed tikber b’ritmu mgħaġġel, daħlet fil-laqgħa tal-bidu tal-awditu b’kunfidenza.

It-tim tagħha kien qatta’ s-sena ta’ qabel isaħħaħ il-pjattaformi esposti għall-klijenti, jallinja l-ISMS ma’ ISO/IEC 27001:2022, u jiddokumenta l-kontrolli ta’ GDPR għad-dejta tal-klijenti. Il-kwestjonarji tas-sigurtà kienu saru aktar ċari. Id-diliġenza dovuta tal-klijenti kienet aktar mgħaġġla. Il-Bord fl-aħħar kien beda jara l-konformità bħala faċilitatur tal-bejgħ.

Imbagħad l-awditur ewlieni biddel id-direzzjoni.

“Il-governanza tad-dejta tal-klijenti tidher soda,” qal. “Issa ejja nitkellmu dwar il-prinċipali interni tal-PII tagħkom. L-impjegati tagħkom.”

Talab iċ-ċiklu tal-ħajja tad-dejta mill-applikazzjoni sat-terminazzjoni tal-impjieg. Talab il-bażi legali u l-evalwazzjoni tal-proporzjonalità għall-għodda l-ġdida ta’ monitoraġġ tax-xogħol remot. Talab l-anness tas-sigurtà tal-fornitur għall-HRIS fil-cloud. Talab kif l-aċċess għall-pagi, ir-reġistri tas-saħħa, in-noti dixxiplinari u d-dejta tal-monitoraġġ kien ġie rieżaminat wara bidliet fir-rwoli.

Il-kamra siktet.

L-organizzazzjoni ta’ Sarah kellha politiki, iżda kienu mxerrda bejn dokumenti tar-Riżorsi Umani, proċeduri tal-IT, mudelli tal-akkwist u folders legali. Il-privatezza tal-impjegati kienet titqies bħala “kwistjoni tar-Riżorsi Umani”, separata mill-arkitettura tas-sigurtà, ir-riskju tal-fornituri, ir-rispons għall-inċidenti, il-kontroll tal-aċċess u l-evidenza tal-awditjar. Il-kumpanija kienet iffukat fuq il-bieb ta’ quddiem, jiġifieri d-dejta tal-klijenti, filwaqt li ħalliet il-bieb intern tar-Riżorsi Umani iggovernat b’mod laxk.

Din hija l-problema vera fil-governanza tal-privatezza tal-impjegati. Mhux jekk l-organizzazzjoni għandhiex avviż ta’ privatezza, iżda jekk tistax tipprova, attività b’attività, li l-PII tal-impjegati tinġabar b’mod ġust, tintuża għal għan definit, tiġi protetta skont il-prinċipju tal-inqas privileġġ, tinżamm biss sakemm ikun meħtieġ, tiġi żvelata b’mod trasparenti, u titħassar jew tiġi rritornata meta tintemm ir-relazzjoni.

ISO/IEC 27701:2025 u GDPR imexxu lill-organizzazzjonijiet lejn sistema operattiva għall-ġestjoni tal-informazzjoni dwar il-privatezza, mhux librerija statika ta’ politiki. Għas-CISOs, il-mexxejja tar-Riżorsi Umani, il-maniġers tal-konformità, l-awdituri u s-sidien tan-negozju, l-għan huwa li l-privatezza tal-impjegati tinbidel f’fluss tax-xogħol iggovernat b’sidien responsabbli għar-riżultat, reġistri, evidenza, kontrolli tal-fornituri u sorveljanza mill-ġestjoni.

L-approċċ ta’ Clarysec huwa deliberatament prattiku. Jgħaqqad il-ħsieb tal-PIMS ta’ ISO/IEC 27701:2025, ir-responsabbiltà taħt GDPR, il-governanza ta’ ISO/IEC 27001:2022, il-kontrolli ta’ ISO/IEC 27002:2022, u l-aspettattivi ta’ konformità bejn oqfsa differenti minn NIS2, DORA, NIST CSF 2.0 u COBIT 2019 f’mudell operattiv wieħed lest għall-awditjar.

Għaliex il-privatezza tal-impjegati hija punt għami għas-CISO

Ħafna organizzazzjonijiet jimmaturaw il-governanza tal-privatezza l-ewwel madwar il-klijenti. L-avviżi ta’ privatezza għall-klijenti, il-banners tal-cookies, ir-reġistri tal-kunsens għall-marketing, il-kuntratti tal-proċessuri u l-komunikazzjonijiet dwar ksur indirizzati lill-klijenti huma viżibbli għax-xerrejja, għar-regolaturi u għat-timijiet tal-bejgħ.

Il-privatezza tal-impjegati hija aktar frammentata.

Il-PII tal-impjegati tidher fir-reklutaġġ, fl-inseriment fl-organizzazzjoni, fil-pagi, fil-benefiċċji, fil-ġestjoni tal-aċċess, fil-logs tas-sigurtà, fil-ġestjoni tal-apparati, fl-għodod tal-produttività, fil-pjattaformi ta’ kollaborazzjoni, fir-rieżamijiet tal-prestazzjoni, fis-sistemi tat-taħriġ, fis-sistemi tal-ivvjaġġar, fil-kanali tal-whistleblowing, fl-iskrining tal-kondotta preċedenti, fir-reġistri tas-saħħa u s-sikurezza, u fl-arkivji tal-ħruġ mill-organizzazzjoni.

Taħt GDPR, id-dejta personali tinkludi informazzjoni relatata ma’ persuna identifikata jew identifikabbli. L-ipproċessar jinkludi l-ġbir, il-ħażna, l-irkupru, l-użu, l-iżvelar, it-tħassir u l-qerda. Dan jagħmel il-biċċa l-kbira tal-attivitajiet tar-Riżorsi Umani u tat-teknoloġija tal-forza tax-xogħol rilevanti għal GDPR.

Id-dejta tal-impjegati spiss tinkludi wkoll kategoriji ta’ riskju ogħla. Informazzjoni dwar is-saħħa tista’ tidher f’fajls ta’ leave tal-mard jew tas-saħħa okkupazzjonali. Is-sħubija f’unjin trejdjunjonistika tista’ tiġi pproċessata fil-pagi jew fir-relazzjonijiet mal-impjegati. Dejta bijometrika tista’ tintuża għall-aċċess fiżiku, iż-żamma tal-ħin jew il-verifika tal-identità. Article 9 ta’ GDPR joħloq kundizzjonijiet aktar stretti għal kategoriji speċjali ta’ dejta personali, għalhekk ir-Riżorsi Umani ma jistgħux jiddependu fuq raġunament ġeneriku ta’ “ħtieġa tan-negozju”.

Ir-relazzjoni tal-impjieg toħloq ukoll kumplessità legali. Il-kunsens jista’ ma jkunx affidabbli għaliex l-impjegati jistgħu ma jħossuhomx liberi jirrifjutaw. Ħafna attivitajiet ta’ pproċessar minflok jiddependu fuq kuntratt, obbligu legali, interessi leġittimi jew rekwiżiti speċifiċi tal-liġi tax-xogħol, skont il-ġurisdizzjoni u l-għan.

Il-konsegwenza prattika hija sempliċi: il-privatezza tal-impjegati ma tistax tiġi governata permezz ta’ kontroll ġeneriku wieħed. Il-pagi, il-monitoraġġ fuq il-post tax-xogħol, l-iskrining tar-reklutaġġ, il-ġestjoni tal-kuntatti ta’ emerġenza, il-logging tal-aċċess u l-ġestjoni ta’ każijiet dixxiplinari kull wieħed jeħtieġ għanijiet, bażijiet legali, regoli taż-żamma, restrizzjonijiet tal-aċċess, obbligi tal-fornituri u evidenza differenti.

Il-Politika dwar il-Privatezza tal-Impjegati ta’ Clarysec Politika dwar il-Privatezza tal-Impjegati tagħmel din l-ispeċifiċità operattiva:

“[Kontrollur] Is-Sid tal-Proċess / Sid tan-Negozju GĦANDU jiddokumenta l-kategoriji tal-PII tal-impjegati, il-popolazzjoni tal-impjegati, is-sors tal-ġbir, l-għan tal-ipproċessar, is-sistema, il-kategorija tar-riċevitur intern, il-kategorija tar-riċevitur estern u r-rabta maż-żamma f’REG02 qabel ma tiġi approvata l-attività ta’ pproċessar.”

Mit-taqsima “Inventarju tal-ipproċessar tal-impjegati u għanijiet tal-ipproċessar tar-Riżorsi Umani”, klawżola tal-politika 4.1.2.

Dik il-klawżola tbiddel il-mudell operattiv. Ir-Riżorsi Umani ma jistgħux sempliċement jattivaw għodda jew proċess ġdid. Is-sid għandu jiddokumenta x’jinġabar, għaliex jinġabar, min jirċevih, fejn jinżamm, u kif iż-żamma hija marbuta qabel l-approvazzjoni.

Il-pedament ta’ GDPR: legali, ġust, limitat u dimostrabbli

Article 5 ta’ GDPR jistabbilixxi l-linja bażi għall-governanza tal-privatezza tal-impjegati: legalità, ġustizzja u trasparenza; limitazzjoni tal-għan; minimizzazzjoni tad-dejta; preċiżjoni; limitazzjoni tal-ħażna; integrità u kunfidenzjalità; u responsabbiltà.

Għat-timijiet tar-Riżorsi Umani, dawn il-prinċipji jinbidlu f’mistoqsijiet prattiċi:

Il-Politika dwar il-Protezzjoni tad-Dejta u l-Privatezza ta’ Clarysec Politika dwar il-Protezzjoni tad-Dejta u l-Privatezza tistabbilixxi l-prinċipju tal-bażi legali b’mod dirett:

“Kull ipproċessar għandu jkun ibbażat fuq bażi legali valida (eż. kunsens, kuntratt, obbligu legali).”

Mit-taqsima “Rekwiżiti għall-implimentazzjoni tal-politika”, klawżola tal-politika 6.1.1.

Għall-SMEs, il-Politika dwar il-Protezzjoni tad-Dejta u l-Privatezza għall-SMEs ta’ Clarysec Politika dwar il-Protezzjoni tad-Dejta u l-Privatezza - SME tagħmel id-dejta tal-persunal espliċitament fil-kamp ta’ applikazzjoni:

“Din il-politika tapplika għal dejta relatata ma’ klijenti, persunal, fornituri u kwalunkwe individwu identifikabbli ieħor.”

Mit-taqsima “Kamp ta’ applikazzjoni”, klawżola tal-politika 2.2.

L-istess politika għall-SMEs tbiddel ir-responsabbiltà f’rekwiżit ta’ reġistru:

“Il-Koordinatur tal-Privatezza għandu jżomm reġistru tal-attivitajiet kollha ta’ pproċessar tad-dejta personali, inklużi l-kategoriji tad-dejta, l-għan, il-bażi legali u l-perjodi ta’ żamma”

Mit-taqsima “Rekwiżiti ta’ governanza”, klawżola tal-politika 5.2.1.

Għall-privatezza tal-impjegati, ir-reġistru mhuwiex burokrazija. Huwa s-superfiċje tal-kontroll. Mingħajru, l-organizzazzjoni ma tistax twieġeb b’mod affidabbli għal mistoqsijiet bażiċi tal-awditjar bħal liema sistemi tar-Riżorsi Umani fihom PII tal-impjegati, liema bażi legali tappoġġa l-analitika tal-forza tax-xogħol, liema maniġers jistgħu jaraw id-dejta tas-salarji, meta jitħassru r-reġistri ta’ kandidati mhux magħżula, u liema fornitur jospita reġistri tas-saħħa okkupazzjonali.

ISO/IEC 27701:2025 u ISO/IEC 27001:2022: minn politika tar-Riżorsi Umani għal evidenza tal-PIMS

ISO/IEC 27701:2025 jestendi l-governanza tal-privatezza għal sistema strutturata ta’ ġestjoni tal-informazzjoni dwar il-privatezza, jew PIMS. Għall-privatezza tal-impjegati, dan ifisser li d-dejta tar-Riżorsi Umani għandha tiġi governata permezz ta’ rwoli definiti, attivitajiet ta’ pproċessar dokumentati, avviżi ta’ privatezza, immaniġġjar tad-drittijiet, sorveljanza tal-fornituri, regoli taż-żamma, flussi tax-xogħol tal-inċidenti u titjib kontinwu.

Dan jidħol b’mod naturali f’ISO/IEC 27001:2022. Il-privatezza tal-impjegati tappartjeni ġewwa l-ISMS għaliex tiddependi fuq l-istess dixxiplini tas-sistema ta’ ġestjoni: kamp ta’ applikazzjoni, kuntest, partijiet interessati, tmexxija, valutazzjoni tar-riskju, kontrolli, evidenza, monitoraġġ, awditjar intern, rieżami mill-ġestjoni u titjib.

Tliet klawżoli ta’ ISO/IEC 27001:2022 huma partikolarment importanti:

• Klawżola 4.1, Kuntest tal-organizzazzjoni, teħtieġ li l-organizzazzjoni tifhem kwistjonijiet interni u esterni, inklużi obbligi legali u tal-privatezza tal-forza tax-xogħol.
• Klawżola 4.2, Ħtiġijiet u aspettattivi tal-partijiet interessati, tinkludi impjegati, regolaturi, klijenti, awdituri, fornituri, assiguraturi u kunsilli tax-xogħol fejn japplika.
• Klawżola 5.1, Tmexxija u impenn, teħtieġ li t-Tmexxija Għolja tintegra l-ISMS fil-proċessi tan-negozju u tappoġġa t-titjib kontinwu.

Il-Zenith Blueprint: An Auditor’s 30-Step Roadmap ta’ Clarysec Zenith Blueprint jifformula l-linja bażi prattika fil-fażi Kontrolli fl-Azzjoni, Pass 23, meta jiddiskuti l-kontroll 5.34 ta’ ISO/IEC 27002:2022, Privatezza u Protezzjoni tal-Informazzjoni li Tidentifika Persuna:

“Il-pedament ta’ dan il-kontroll huwa għarfien tad-dejta. L-organizzazzjoni għandha tkun taf x’PII tiġbor, fejn tinsab, għaliex qed tiġi pproċessata, u min jista’ jaċċessaha. Mingħajr din il-linja bażi, kwalunkwe wegħda dwar il-privatezza tibqa’ vojta.”

Mill-fażi Kontrolli fl-Azzjoni, Pass 23: kontrolli organizzattivi, Kontroll 5.34.

Il-Zenith Controls: The Cross-Compliance Guide ta’ Clarysec Zenith Controls jidentifika l-kontrolli relatati mas-suġġett f’ISO/IEC 27002:2022 bħala l-kontroll 5.34 “Privatezza u Protezzjoni tal-PII”, il-kontroll 6.2 “Termini u Kundizzjonijiet tal-Impjieg”, u l-kontroll 6.5 “Responsabbiltajiet Wara t-Terminazzjoni jew Bidla fl-Impjieg”.

Dawk il-kontrolli juru għaliex il-privatezza tal-impjegati mhijiex biss kwistjoni tal-uffiċċju tal-privatezza. Tmiss it-termini tal-impjieg, l-użu aċċettabbli, il-kunfidenzjalità, il-bidliet fir-rwoli, ir-rieżamijiet tal-aċċess, il-ħruġ mill-organizzazzjoni, il-kuntratti tal-fornituri, il-monitoraġġ tas-sigurtà u r-responsabbiltajiet ta’ wara l-impjieg.

Is-seba’ mistoqsijiet tal-governanza tal-privatezza tal-impjegati

Programm prattiku ta’ privatezza tal-impjegati jibda b’seba’ mistoqsijiet operattivi. Kull mistoqsija għandha tipproduċi evidenza, mhux biss diskussjoni.

Dan il-mudell jibda mill-evidenza għaliex l-awdituri ma jridux biss jisimgħu li d-dejta tar-Riżorsi Umani hija protetta. Iridu jaraw ir-reġistru, l-avviż, ir-rieżami tal-aċċess, ir-rekord tal-fornitur, l-iskeda taż-żamma, il-log tat-tħassir u l-fluss tax-xogħol tal-inċidenti.

Monitoraġġ fuq il-post tax-xogħol: it-test bl-akbar frizzjoni

Il-monitoraġġ fuq il-post tax-xogħol huwa fejn il-governanza tal-privatezza tal-impjegati tiġi ttestjata l-aktar spiss. Il-monitoraġġ jista’ jkun leġittimu, iżda għandu jkun proporzjonat, trasparenti, marbut ma’ għan u kkontrollat fl-aċċess. “Monitoraġġ tas-sigurtà” ma jistax isir ġustifikazzjoni ġenerali għal sorveljanza tal-produttività, punteġġjar tal-imġiba, logging tat-tasti, reġistrazzjoni moħbija jew profiling eċċessiv tal-impjegati.

Il-Politika dwar l-Użu Aċċettabbli għall-SMEs ta’ Clarysec Politika dwar Użu Aċċettabbli - SME tistabbilixxi limitu prattiku:

“Il-monitoraġġ għandu jkun limitat għal għanijiet leġittimi tan-negozju u jitwettaq f’konformità mal-liġijiet applikabbli dwar il-privatezza.”

Mit-taqsima “Rekwiżiti għall-implimentazzjoni tal-politika”, klawżola tal-politika 6.3.2.

Għal ambjenti tal-intrapriża, il-Politika dwar l-Użu Aċċettabbli ta’ Clarysec Politika dwar Użu Aċċettabbli teħtieġ li l-aspettattivi tal-monitoraġġ jiġu kkomunikati:

“Jiġu żvelati lill-utenti permezz tal-onboarding, avviżi ta’ privatezza u taħriġ ta’ għarfien”

Mit-taqsima “Applikazzjoni u konformità”, klawżola tal-politika 8.1.2.2.

Fluss tax-xogħol matur ta’ approvazzjoni għal għodda ġdida ta’ monitoraġġ tal-produttività għandu jinkludi dawn il-passi qabel l-attivazzjoni:

1. Iddefinixxi l-għan b’mod preċiż, bħal monitoraġġ tas-sigurtà, ippjanar tal-forza tax-xogħol, skoperta ta’ riskju minn ġewwa, analitika tal-produttività jew evidenza dixxiplinari.
2. Identifika l-popolazzjoni tal-impjegati, inklużi impjegati, kuntratturi, ħaddiema remoti, utenti privileġġjati jew funzjonijiet regolati.
3. Iddokumenta l-kategoriji tad-dejta mmonitorjata, bħall-użu tal-applikazzjonijiet, URLs, screenshots, lokazzjoni, metadata tal-komunikazzjonijiet jew kontenut.
4. Ikkonferma l-bażi legali u l-ħtieġa. Jekk jintużaw interessi leġittimi, iddokumenta l-proporzjonalità, is-salvagwardji u l-impatt fuq l-impjegati.
5. Aġġorna r-reġistri tat-trasparenza. Il-Politika dwar il-Privatezza tal-Impjegati teħtieġ:

“[Kontrollur] Ir-Responsabbli tal-Privatezza / Maniġer tal-PIMS GĦANDU jżomm rekord tal-avviż ta’ privatezza għall-impjegati f’REG07 qabel ma tinġabar PII tal-impjegati direttament jew indirettament għal għan ġdid jew mibdul b’mod materjali.”

Mit-taqsima “Ġbir tad-dejta tal-impjegati u avviżi ta’ privatezza għall-impjegati”, klawżola tal-politika 4.2.3.

6. Aġġorna l-inventarju tal-ipproċessar. Il-Politika dwar il-Privatezza tal-Impjegati teħtieġ ukoll:

“[Kontrollur] Is-Sid tal-Proċess / Sid tan-Negozju GĦANDU jirreġistra l-għan tal-monitoraġġ tal-impjegati, il-popolazzjoni tal-impjegati, is-sistema ta’ monitoraġġ, il-kategoriji tad-dejta mmonitorjata, il-kategoriji tar-riċevituri interni, il-kategoriji tar-riċevituri esterni u r-rabta maż-żamma f’REG02 qabel ma jiġi attivat jew mibdul b’mod materjali l-monitoraġġ tal-impjegati.”

Mit-taqsima “Monitoraġġ tal-impjegati u pproċessar tar-Riżorsi Umani b’impatt għoli”, klawżola tal-politika 4.6.1.

7. Irrestrinġi l-aċċess. Il-Politika dwar il-Protezzjoni tad-Dejta u l-Privatezza għall-SMEs tiddikjara:

“L-aċċess tal-utenti għad-dejta personali għandu jkun limitat għal rwoli bi ħtieġa tan-negozju dokumentata”

Mit-taqsima “Rekwiżiti ta’ governanza”, klawżola tal-politika 5.3.2.

Il-maniġers diretti m’għandhomx awtomatikament jirċievu dejta tal-monitoraġġ mhux ipproċessata. Il-veduti tar-Riżorsi Umani, tas-sigurtà, legali u tal-ġestjoni għandhom jiġu definiti skont l-għan u l-ħtieġa. L-aċċess għall-evidenza dixxiplinari għandu jiġi approvat separatament, illoggjat u rieżaminat perjodikament.

Rekord prattiku ta’ approvazzjoni għall-monitoraġġ tar-Riżorsi Umani

Fluss tax-xogħol difensibbli għal għodda ta’ monitoraġġ jista’ jinbena bl-użu tar-reġistri u l-approvazzjonijiet ta’ Clarysec.

Dan jagħti lill-organizzazzjoni tweġiba difensibbli jekk impjegat jistaqsi, “Għaliex qed tiġbru dan?” jew jekk awditur jistaqsi, “Urini fejn ġie approvat dan il-monitoraġġ.”

Kontrolli taċ-ċiklu tal-ħajja: inseriment, bidliet fir-rwoli, ħruġ u tħassir

Il-governanza tal-privatezza tal-impjegati għandha ssegwi ċ-ċiklu tal-ħajja tal-impjegat.

Waqt l-inseriment fl-organizzazzjoni, ir-responsabbiltajiet tal-privatezza u tas-sigurtà għandhom jiġu inkorporati fit-termini tal-impjieg, fl-użu aċċettabbli, fil-kunfidenzjalità, fit-taħriġ ta’ għarfien u fl-avviżi ta’ privatezza. Il-kontroll 6.2 ta’ ISO/IEC 27002:2022, Termini u kundizzjonijiet tal-impjieg, jappoġġa din l-aspettattiva billi jeħtieġ li r-responsabbiltajiet tas-sigurtà tal-informazzjoni jiġu riflessi fl-arranġamenti tal-impjieg.

Waqt bidliet fir-rwoli, l-aċċess għandu jiġi rieżaminat. Maniġer li jiċċaqlaq mir-Riżorsi Umani għall-Finanzi m’għandux iżomm l-aċċess għall-HRIS. Żviluppatur li joħroġ minn rwol ta’ inġinerija privileġġjat m’għandux iżomm aċċess għal logs tal-produzzjoni li fihom identifikaturi tal-impjegati. L-akkumulazzjoni tal-aċċess hija kemm riskju tas-sigurtà kif ukoll riskju tal-privatezza.

Il-Zenith Blueprint, fil-fażi Kontrolli fl-Azzjoni, Pass 16, jispjega l-kontroll 6.5 ta’ ISO/IEC 27002:2022, Responsabbiltajiet wara t-terminazzjoni jew bidla fl-impjieg:

“Jekk l-impjegat ikun qed jiġi trasferit internament, għandha tingħata attenzjoni speċjali lid-drittijiet tal-aċċess. Privileġġi preċedenti li m’għadhomx meħtieġa għandhom jiġu revokati biex tiġi evitata ‘akkumulazzjoni tal-aċċess.’”

Mill-fażi Kontrolli fl-Azzjoni, Pass 16: Kontrolli tar-riżorsi umani II, Proċess ta’ Ħruġ u Bidla fir-Rwol, Kontroll 6.5.

Waqt il-ħruġ mill-organizzazzjoni, it-tneħħija tal-aċċess għandha tkun f’waqtha u kompluta madwar HRIS, pagi, VPN, fornituri tal-identità, pjattaformi ta’ kollaborazzjoni, repożitorji tad-dokumenti, aċċess fiżiku, kontijiet privileġġjati u portali tal-fornituri. Il-persunal li jitlaq għandu jiġi mfakkar ukoll fl-obbligi kontinwi ta’ kunfidenzjalità.

Iż-żamma u t-tħassir ħafna drabi jkunu l-aktar kontrolli dgħajfa taċ-ċiklu tal-ħajja. Esportazzjonijiet antiki tal-pagi jibqgħu f’drajvs kondiviżi. Mailboxes ta’ eks impjegati jiġu arkivjati mingħajr rieżami. Folders tar-reklutaġġ iżommu CVs b’mod indefinit. Maniġers iżommu noti dixxiplinari lokalment. Backups jippreservaw reġistri ħafna wara li s-sistemi attivi jkunu ħassruhom.

Il-Politika dwar iż-Żamma u r-Rimi tad-Dejta ta’ Clarysec Politika ta’ żamma u rimi tad-dejta torbot iż-żamma direttament mal-obbligi tal-privatezza:

“Jiġi żgurat li ż-żamma ta’ informazzjoni li tidentifika persuna (PII) tkun konformi mal-liġijiet dwar il-privatezza tad-dejta u mal-avviżi ta’ privatezza tal-organizzazzjoni”

Mit-taqsima “Rekwiżiti għall-implimentazzjoni tal-politika”, klawżola tal-politika 6.2.2.3.

Il-Zenith Blueprint, fil-fażi Kontrolli fl-Azzjoni, Pass 19, jispjega l-kontroll 8.10 ta’ ISO/IEC 27002:2022, Tħassir tal-Informazzjoni:

“Dan il-kontroll jiżgura li d-dejta ma tinżammx għal aktar milli jkun meħtieġ, u meta ma tibqax meħtieġa, għandha titħassar b’mod sigur u affidabbli.”

Mill-fażi Kontrolli fl-Azzjoni, Pass 19: Kontrolli Teknoloġiċi I, Kontroll 8.10.

It-tħassir għandu jiġi governat fuq tliet livelli:

• Livell tan-negozju, b’żamma definita għar-reklutaġġ, il-pagi, il-benefiċċji, il-prestazzjoni, it-taħriġ, is-saħħa u s-sikurezza, il-logs tal-aċċess, ir-reġistri tal-monitoraġġ, l-ilmenti u l-fajls tal-ħruġ mill-organizzazzjoni.
• Livell tas-sistema, b’żamma kkonfigurata f’HRIS, sistemi ta’ ticketing, pjattaformi tal-logging, mailboxes, għodod tal-endpoint u backups fejn ikun fattibbli.
• Livell tal-evidenza, b’logs tat-tħassir, ċertifikati tar-rimi, approvazzjonijiet u eċċezzjonijiet għaż-żamma għal raġunijiet legali.

Jekk ir-Riżorsi Umani ma jistgħux jispjegaw għaliex ir-reġistri tal-monitoraġġ ta’ eks impjegat għadhom disponibbli sentejn wara, l-organizzazzjoni jista’ jkollha kwistjoni ta’ responsabbiltà taħt GDPR anki jekk ma seħħ l-ebda ksur.

Talbiet għad-drittijiet tal-impjegati u inċidenti

L-impjegati għandhom drittijiet ta’ aċċess, rettifika, tħassir, restrizzjoni, portabbiltà fejn applikabbli, u oġġezzjoni, soġġetti għal kundizzjonijiet u eżenzjonijiet legali. Dawn it-talbiet jistgħu jkunu aktar sensittivi minn talbiet tal-klijenti għaliex spiss jinqalgħu waqt ilmenti, proċedimenti dixxiplinari, ristrutturar, terminazzjonijiet jew investigazzjonijiet ta’ whistleblowing.

Il-politika tal-privatezza għall-intrapriżi ta’ Clarysec teħtieġ proċess DSR dokumentat:

“Id-Data Protection Officer (DPO) għandu jżomm proċessi dokumentati għall-akkoljenza, il-verifika, it-traċċar u r-rispons għal Data Subject Request (DSR).”

Mit-taqsima “Rekwiżiti għall-implimentazzjoni tal-politika”, klawżola tal-politika 6.4.1.

Il-Politika dwar il-Protezzjoni tad-Dejta u l-Privatezza għall-SMEs tipprovdi żmien operattiv:

“Il-Koordinatur tal-Privatezza għandu jirrikonoxxi t-talbiet fi żmien 3 ijiem tax-xogħol u jirrispondi fi żmien 30 jum”

Mit-taqsima “Rekwiżiti għall-implimentazzjoni tal-politika”, klawżola tal-politika 6.5.2.

Il-Politika dwar il-Privatezza tal-Impjegati iżżid rekwiżit ta’ routing speċifiku għall-impjegati:

“[Kontrollur] Ir-Responsabbli tal-Privatezza / Maniġer tal-PIMS GĦANDU jirreġistra jew jirrotta kull talba għad-drittijiet tal-impjegat f’REG06 fi żmien żewġ ijiem ta’ negozju mill-irċevuta.”

Mit-taqsima “Immaniġġjar tad-drittijiet tal-impjegati”, klawżola tal-politika 4.5.1.

It-timijiet tar-Riżorsi Umani spiss jirċievu talbiet informali l-ewwel, bħal “Ibgħatli dak kollu li għandkom dwar ir-rieżami tal-prestazzjoni tiegħi” jew “Irrid id-dejta kollha tal-monitoraġġ miġbura dwari.” Jekk ir-Riżorsi Umani jittrattaw it-talba biss bħala kwistjoni ta’ relazzjonijiet mal-impjegati, jistgħu jintilfu skadenzi tal-privatezza.

Fluss tax-xogħol matur jiddefinixxi kanali ta’ akkoljenza, verifika tal-identità, kjarifika tal-kamp ta’ applikazzjoni, postijiet tat-tiftix, rieżami tal-eżenzjonijiet, immaniġġjar tad-dejta ta’ partijiet terzi, approvazzjoni tar-rispons u żamma tal-evidenza. Jiċċara wkoll meta għandhom ikunu involuti Legali, Riżorsi Umani, Sigurtà u d-DPO.

L-istess dixxiplina tal-evidenza tapplika għall-inċidenti. GDPR jiddefinixxi ksur ta’ dejta personali bħala ksur tas-sigurtà li jwassal għall-qerda, telf, alterazzjoni, żvelar mhux awtorizzat jew aċċess mhux awtorizzat għal dejta personali, kemm jekk b’mod aċċidentali kif ukoll illegali. Imejl tal-pagi mibgħut b’mod żbaljat, aċċess eċċessiv ta’ maniġer għar-reġistri tas-saħħa, jew kont HRIS kompromess jista’ jiskatta evalwazzjoni ta’ ksur tal-privatezza, mhux biss rispons għal inċident tal-IT.

Fornituri tar-Riżorsi Umani u l-katina moħbija tal-proċessuri

Il-biċċa l-kbira tal-PII tal-impjegati issa tgħaddi minn fornituri. Fornituri tal-pagi, pjattaformi HRIS, sistemi tar-reklutaġġ, servizzi ta’ skrining tal-kondotta preċedenti, amministraturi tal-benefiċċji, pjattaformi tat-tagħlim, fornituri tas-saħħa okkupazzjonali, għodod tal-involviment u fornituri ta’ monitoraġġ tal-impjegati kollha jistgħu jipproċessaw PII tal-impjegati.

Ir-rwoli ta’ kontrollur u proċessur għandhom ikunu ċari. Fejn l-organizzazzjoni tiddetermina l-għanijiet u l-mezzi tal-ipproċessar tad-dejta tal-impjegati, taġixxi bħala kontrollur. Fejn fornitur jipproċessa dejta fuq l-istruzzjonijiet tal-kontrollur, normalment ikun proċessur. Il-ktajjen tas-subproċessuri huma importanti għaliex id-dejta tal-impjegati tista’ tgħaddi minn fornituri ta’ hosting, għodod tal-analitika, sistemi ta’ appoġġ u affiljati reġjonali.

Il-Politika dwar il-Privatezza tal-Impjegati teħtieġ governanza tal-fornituri qabel l-onboarding jew it-tiġdid ta’ fornitur tar-Riżorsi Umani:

“[Kontrollur] Is-Sid tal-Fornitur / Akkwist GĦANDU jirreġistra l-għan tas-servizz, il-kategoriji tal-PII tal-impjegati, l-istruzzjonijiet tal-ipproċessar, il-post tal-ipproċessar, l-involviment tas-subproċessuri, l-aspettattivi għall-assistenza fid-drittijiet, l-aspettattivi għan-notifika tal-inċidenti u l-aspettattivi għar-ritorn jew it-tħassir f’REG08 qabel ma jiġi approvat l-onboarding jew it-tiġdid tal-fornitur tar-Riżorsi Umani.”

Mit-taqsima “Proċessuri tar-Riżorsi Umani, pagi, HRIS, benefiċċji u fornituri tal-iskrining”, klawżola tal-politika 4.7.2.

Il-Politika tas-Sigurtà ta’ Partijiet Terzi u tal-Fornituri ta’ Clarysec Politika tas-Sigurtà ta’ Partijiet Terzi u tal-Fornituri tappoġġa dan billi teħtieġ li l-governanza tal-fornituri tkopri:

“Rekwiżiti għall-immaniġġjar tad-dejta, inklużi l-post tal-ħażna, il-kontrolli tal-aċċess u klawżoli tar-ritorn jew tal-qerda”

Mit-taqsima “Rekwiżiti ta’ governanza”, klawżola tal-politika 5.3.2.

Il-Zenith Blueprint, fil-fażi Kontrolli fl-Azzjoni, Pass 23, jispjega l-ftehimiet mal-fornituri taħt il-kontroll 5.20 ta’ ISO/IEC 27002:2022, Indirizzar tas-sigurtà tal-informazzjoni fil-ftehimiet mal-fornituri:

“L-istruttura tal-ftehim hija importanti. Dawn il-klawżoli jistgħu jkunu f’Master Services Agreement, f’Ftehim dwar l-Ipproċessar tad-Data (DPA) dedikat, jew f’anness tas-sigurtà separat. Dak li huwa importanti hu li jeżistu, u li jkunu mifhuma u aċċettati miż-żewġ partijiet.”

Mill-fażi Kontrolli fl-Azzjoni, Pass 23: kontrolli organizzattivi, Kontroll 5.20.

Għall-fornituri tar-Riżorsi Umani, il-lista ta’ kontroll tal-kuntratt għandha tinkludi l-għan, l-istruzzjonijiet, il-kunfidenzjalità, il-kontroll tal-aċċess, l-iċċifrar, il-post tal-hosting, l-approvazzjoni tas-subproċessuri, iż-żmien tan-notifika ta’ ksur, l-assistenza għad-DSR, id-drittijiet ta’ awditjar, iż-żamma, ir-ritorn, it-tħassir u l-appoġġ fi tmiem il-kuntratt.

Immappjar tal-konformità bejn oqfsa differenti għall-governanza tal-privatezza tal-impjegati

Il-privatezza tal-impjegati mhijiex iżolata mill-governanza taċ-ċibersigurtà. NIS2, DORA, NIST CSF 2.0 u COBIT 2019 kollha jsaħħu l-istess tema: l-organizzazzjonijiet jeħtieġu governanza dokumentata, responsabbli u ttestjata fuq ir-riskju, l-aċċess, il-fornituri, l-inċidenti, it-taħriġ u l-kontinwità.

Article 20 ta’ NIS2 jenfasizza l-approvazzjoni mill-korp maniġerjali, is-sorveljanza, ir-responsabbiltà legali u t-taħriġ fiċ-ċibersigurtà. Article 21 jeħtieġ miżuri tekniċi, operattivi u organizzattivi xierqa għall-ġestjoni tar-riskju taċ-ċibersigurtà, inklużi politiki dwar l-analiżi tar-riskju, l-immaniġġjar tal-inċidenti, il-kontinwità tan-negozju, is-sigurtà tal-katina tal-provvista, is-sigurtà tar-Riżorsi Umani, il-kontroll tal-aċċess, il-ġestjoni tal-assi, it-taħriġ, il-kontrolli kriptografiċi u l-effettività tal-kontrolli.

DORA huwa rilevanti għal entitajiet finanzjarji u fornituri tal-ICT li jservuhom. Jeħtieġ ġestjoni tar-riskju tal-ICT, rappurtar tal-inċidenti, ittestjar tar-reżiljenza operattiva diġitali, qsim tal-informazzjoni u ġestjoni tar-riskju ta’ partijiet terzi tal-ICT. Għodod SaaS tar-Riżorsi Umani, sistemi tal-identità u servizzi ġestiti jistgħu jsiru parti minn dik il-mappa tad-dipendenzi.

NIST CSF 2.0 iżid il-funzjoni GOVERN, li tistenna li l-organizzazzjonijiet jifhmu obbligi legali u regolatorji, aspettattivi tal-partijiet interessati, dipendenzi, aptit għar-riskju u strateġija tal-ġestjoni tar-riskju. Il-privatezza tal-impjegati tidħol b’mod naturali f’dan is-saff ta’ governanza.

X’se jistaqsu l-awdituri

Awdituri differenti jeżaminaw l-istess proċess tar-Riżorsi Umani minn perspettivi differenti. Programm b’saħħtu ta’ privatezza tal-impjegati għandu jissodisfahom kollha mingħajr ma joħloq silos separati ta’ evidenza.

Il-Zenith Blueprint isaħħaħ din il-mentalità tal-awditjar orjentata lejn l-evidenza għall-protezzjoni tal-PII:

“Mill-perspettiva tal-awditjar, dan il-kontroll qed jingħata dejjem aktar attenzjoni. L-awdituri, ir-regolaturi u l-klijenti bl-istess mod iridu jaraw:

✓ Fejn tinsab il-PII,

✓ Liema bażi legali tiggoverna l-ipproċessar tagħha,

✓ Kif l-aċċess huwa ristrett,

✓ Kif jiġu rrappurtati l-inċidenti,

✓ U kif l-organizzazzjoni tonora d-drittijiet u żżomm it-trasparenza.”

Mill-fażi Kontrolli fl-Azzjoni, Pass 23: kontrolli organizzattivi, Kontroll 5.34.

Dik il-lista hija aġenda prattika tal-awditjar għall-privatezza tal-impjegati.

Sprint ta’ 90 jum biex tinbena privatezza tal-impjegati lesta għall-awditjar

L-organizzazzjonijiet m’għandhomx għalfejn isolvu kollox f’daqqa. Sprint iffukat ta’ 90 jum jista’ joħloq il-pedament.

Nases komuni li għandhom jiġu evitati jinkludu li r-Riżorsi Umani jitqiesu eżenti għaliex huma interni, l-użu ta’ deskrizzjonijiet vagi tal-bażi legali, it-taħlit tal-monitoraġġ tas-sigurtà mas-sorveljanza tal-produttività, il-permess ta’ aċċess mhux ikkontrollat għall-maniġers, l-onboarding ta’ SaaS tar-Riżorsi Umani mingħajr rieżami tal-privatezza, iż-żamma indefinita tad-dejta ta’ eks impjegati, u n-nuqqas li jiġi eżerċitat l-immaniġġjar tad-DSR tal-impjegati.

Ibdel il-punt għami f’sistema iggovernata

Il-governanza tal-privatezza tal-impjegati taħt ISO/IEC 27701:2025 u GDPR ma tissolviex bil-pubblikazzjoni ta’ avviż. Tissolva billi jinbena mudell operattiv ripetibbli: inventarju tal-ipproċessar, immappjar tal-bażi legali, trasparenza, kontroll tal-aċċess, governanza tal-fornituri, żamma, tħassir, immaniġġjar tad-drittijiet, rispons għall-ksur u evidenza tal-awditjar.

Clarysec jagħti lit-timijiet l-istruttura biex jagħmlu dan mingħajr ma jibdew minn paġna vojta:

• Uża l-Politika dwar il-Privatezza tal-Impjegati biex tiggoverna l-ipproċessar tar-Riżorsi Umani, il-monitoraġġ, l-avviżi għall-impjegati, it-talbiet għad-drittijiet u l-fornituri tar-Riżorsi Umani.
• Uża l-Politika dwar il-Protezzjoni tad-Dejta u l-Privatezza u l-Politika dwar il-Protezzjoni tad-Dejta u l-Privatezza għall-SMEs biex torbot il-bażi legali, ir-reġistri, ir-restrizzjonijiet tal-aċċess u l-flussi tax-xogħol tad-DSR.
• Uża l-Politika dwar l-Użu Aċċettabbli u l-Politika dwar l-Użu Aċċettabbli għall-SMEs biex tiddefinixxi limiti ta’ monitoraġġ konxji mill-privatezza.
• Uża l-Politika dwar iż-Żamma u r-Rimi tad-Dejta biex tallinja ż-żamma u t-tħassir tal-impjegati mal-avviżi ta’ privatezza u l-obbligi legali.
• Uża l-Politika tas-Sigurtà ta’ Partijiet Terzi u tal-Fornituri biex tikkontrolla proċessuri tar-Riżorsi Umani, pagi, HRIS, benefiċċji, skrining u fornituri tal-monitoraġġ.
• Uża l-Zenith Blueprint biex timplimenta l-pjan direzzjonali ta’ 30 pass mill-governanza sal-operazzjoni tal-kontrolli u l-kapaċità li tintwera l-konformità.
• Uża Zenith Controls bħala l-boxxla tiegħek għall-konformità bejn oqfsa differenti għall-allinjament ma’ GDPR, ISO/IEC 27701:2025, ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIS2, DORA, NIST CSF 2.0 u COBIT 2019.

Jekk it-tim tar-Riżorsi Umani tiegħek wasal biex jimplimenta għodda ta’ monitoraġġ, iġedded kuntratt tal-HRIS, jirrispondi għal talba għad-drittijiet tal-impjegati, jew jipprepara għal awditu tal-PIMS, ibda b’mistoqsija waħda:

Nistgħu nippruvaw x’PII tal-impjegati nipproċessaw, għaliex nipproċessawha, min jista’ jaċċessaha, kemm indumu nżommuha, liema fornituri jmissuha, u kif l-impjegati jistgħu jeżerċitaw id-drittijiet tagħhom?

Jekk it-tweġiba għadha mhijiex “iva,” Clarysec jista’ jgħinek tibni t-traċċa tal-evidenza. Niżżel it-toolkit tal-politika tal-privatezza tal-impjegati ta’ Clarysec, irrevedi l-inventarju tal-ipproċessar tar-Riżorsi Umani tiegħek, jew skeda evalwazzjoni tal-governanza tal-privatezza biex tibdel il-privatezza tal-impjegati minn sorpriża tal-awditjar għal programm ġestit u miżurabbli.