Bezpieczeństwo danych kadrowo-płacowych: kto powinien mieć dostęp

Kto w Twojej firmie może dziś otworzyć listę płac całego zespołu? Jeśli odpowiedź brzmi „kadrowa, księgowa, prezes i chyba jeszcze ktoś z IT”, bezpieczeństwo danych kadrowo-płacowych wymaga przeglądu. Wynagrodzenia, zwolnienia lekarskie i kary dyscyplinarne to jedne z najbardziej wrażliwych informacji w firmie. Wyciek uderza w pracowników i w atmosferę w zespole, a może też skończyć się postępowaniem przed organem nadzorczym.

Jakie dane kadrowe wymagają szczególnej ochrony

RODO obejmuje wszystkie dane osobowe pracowników, ale część z nich potrzebuje ostrzejszych zasad dostępu. Chodzi przede wszystkim o:

• dane o zdrowiu, czyli zwolnienia lekarskie z kodami, orzeczenia lekarskie i informacje o niepełnosprawności,
• wynagrodzenia i ich składniki, w tym premie, potrącenia i zajęcia komornicze,
• dane rodzinne: członków rodziny zgłoszonych do ubezpieczenia oraz dane dzieci przy uprawnieniach rodzicielskich,
• kary porządkowe, oceny okresowe i dokumentację postępowań wewnętrznych,
• numery identyfikacyjne: PESEL, numery dokumentów, rachunki bankowe.

Dla każdej z tych kategorii trzeba określić krąg osób z dostępem. O tym, kto do niego należy, decydują obowiązki, a nie miejsce w hierarchii.

Kto powinien mieć dostęp do danych kadrowo-płacowych

Podstawą jest zasada minimalnego dostępu: każdy widzi tylko to, czego potrzebuje do pracy. Najprościej przełożyć ją na role.

• Kadry mają pełny dostęp do kartotek i akt osobowych. Szczegóły wynagrodzeń zarządu mogą zostać poza ich zasięgiem, jeśli firma tak zdecyduje.
• Płace widzą składniki wynagrodzeń, nieobecności i dane potrzebne do rozliczeń.
• Księgowość zwykle potrzebuje danych zbiorczych do księgowania i deklaracji. Wgląd w kartoteki nie jest jej do tego potrzebny.
• Przełożeni widzą dane swojego zespołu: grafiki, urlopy, wnioski do akceptacji. Kodów chorobowych i wynagrodzeń innych osób nie widzą, chyba że to konieczne.
• Zarząd ogląda raporty zagregowane, a do danych jednostkowych sięga świadomie, w uzasadnionych sytuacjach.
• Administrator IT zarządza systemem i kopiami zapasowymi, ale nie przegląda danych merytorycznych. Jeśli technicznie ma do nich dostęp, jego działania powinny być rejestrowane.

Każda osoba przetwarzająca dane osobowe potrzebuje upoważnienia od administratora danych. Biuro rachunkowe również może pracować na danych płacowych, ale jako podmiot przetwarzający, na podstawie umowy powierzenia, która określa zakres danych, cel i środki bezpieczeństwa. Wytyczne dotyczące ochrony danych w zatrudnieniu publikuje Urząd Ochrony Danych Osobowych.

Jak ustawić uprawnienia w systemie kadrowym

Współczesne systemy kadrowo-płacowe nadają uprawnienia na poziomie modułów, list, pól, a nawet pojedynczych rekordów. Możliwości jest dużo, i właśnie dlatego konfiguracja łatwo rozrasta się do postaci, której nikt już nie rozumie.

1. Zdefiniuj role, a nie użytkowników. Uprawnienia przypisuj do roli „kadry”, „płace”, „kierownik działu”, a użytkownika dodawaj do roli.
2. Ogranicz zakres rekordów. Kierownik widzi tylko swój dział, kadrowa oddziału tylko swój oddział.
3. Ukryj wrażliwe pola. Kod choroby, wynagrodzenie czy PESEL mogą być niewidoczne dla ról, które ich nie potrzebują.
4. Włącz rejestr zmian. System powinien zapisywać, kto i kiedy zmienił dane w kartotece lub na liście płac.
5. Przeglądaj uprawnienia regularnie. Raz na kwartał lub pół roku, a dodatkowo przy każdej zmianie stanowiska, przejściu do innego działu i odejściu pracownika. Przegląd wpisany w kalendarz jako cykliczne zadanie łatwiej utrzymać niż robiony od przypadku do przypadku.

Mechanizmy uprawnień opisujemy dokładniej w tekście o uprawnieniach użytkowników w enova365.

Luki, które wynikają z nawyków, a nie z systemu

Większość problemów, które spotykamy, nie bierze się z braku funkcji. Powtarzają się te same sytuacje:

• eksport listy płac do Excela wysyłany mailem do zarządu lub biura rachunkowego bez szyfrowania,
• wspólne konto „kadry” dla kilku osób, przez co nie wiadomo, kto co zmienił,
• pracownik po zmianie działu zachowuje stare uprawnienia,
• wydruki list płac leżą przy drukarce sieciowej,
• niezaszyfrowane kopie zapasowe bazy kadrowej na dysku dostępnym dla wielu osób,
• dostęp serwisanta lub firmy zewnętrznej, którego nikt nie odebrał po zakończeniu prac.

Część tych luk należy do IT, część do organizacji pracy. Przy odejściu pracownika liczy się szybkie odebranie dostępów; piszemy o tym w artykule o tym, jak bezpiecznie odebrać dostępy i przejąć dane.

Kierownicy oddziałów, którzy widzieli pensje całej firmy

Typowy scenariusz wygląda tak. Firma handlowa z kilkoma oddziałami przy okazji audytu RODO przegląda uprawnienia w systemie kadrowym. Wychodzi na jaw, że kierownicy oddziałów widzą wynagrodzenia wszystkich pracowników, bo przy wdrożeniu dostali rolę „kadry oddziału” bez ograniczenia zakresu. Dwie osoby, które dawno przeszły do innych działów, wciąż mają dostęp do list płac.

Po uporządkowaniu ról kierownicy widzą już tylko grafiki i wnioski swoich zespołów, a wynagrodzenia zna wąska grupa osób. Przegląd uprawnień trafia do kalendarza jako zadanie cykliczne.

Dane kadrowe poza systemem: wydruki, maile, pliki

Część danych zawsze opuszcza system: zaświadczenia o zarobkach, eksporty dla biura rachunkowego, paski płacowe. Kilka prostych zasad mocno zmniejsza ryzyko:

• paski płacowe udostępniaj w portalu pracowniczym, bez wysyłania mailem i drukowania,
• pliki z danymi wysyłaj bezpiecznym kanałem albo w zaszyfrowanym archiwum, a hasło przekazuj inną drogą,
• drukuj na urządzeniu z wydrukiem po uwierzytelnieniu, nie na drukarce w otwartej przestrzeni,
• wydruki robocze niszcz w niszczarce, nie wyrzucaj do kosza na papier.

Zasady te dobrze jest spisać w krótkiej instrukcji dla działu kadr i płac i przypominać o nich na szkoleniach z ochrony danych. Jedna strona konkretów zadziała lepiej niż rozbudowana polityka, której nikt nie czyta.

Konto kadrowej, phishing i zgubiony laptop

Najstaranniej ustawione uprawnienia nic nie dadzą, jeśli konto kadrowej da się przejąć przez phishing albo laptop z eksportem list płac zginie w pociągu. Ochrona danych kadrowych obejmuje więc także uwierzytelnianie wieloskładnikowe, szyfrowanie dysków i kopie zapasowe. Te tematy omawiamy w artykule RODO w dziale IT: praktyczne obowiązki.

A czy prezes musi widzieć wszystko? Nie. Zarząd potrzebuje raportów zagregowanych i dostępu w uzasadnionych przypadkach. Pełny wgląd w dane o zdrowiu i wynagrodzenia każdej osoby zwiększa ryzyko, a w codziennej pracy rzadko się przydaje.

Role i uprawnienia konfigurujemy przy wdrożeniach enova365 Kadry i Płace, a infrastrukturę zabezpieczamy w ramach obsługi IT. Chcesz sprawdzić, kto ma dziś dostęp do danych Twoich pracowników? Porozmawiajmy o obsłudze IT Twojej firmy.