GDPR i HR: hvorfor anonymisering slår sletning.
Når en tidligere medarbejder beder om at blive slettet, står HR med et dilemma. Databeskyttelsesreglerne siger, at persondata ikke må opbevares længere end nødvendigt, og at den registrerede i visse situationer kan kræve sine oplysninger slettet. Samtidig har virksomheden legitime behov, der rækker år frem: bemandingshistorik, statistik over medarbejderomsætning, dokumentation af hvem der arbejdede hvornår. Sletter man rub og stub, ryger historikken med. Der findes en tredje vej, og den er i mange tilfælde den bedste: anonymisering.
Dilemmaet: glemsel mod historik
Problemet med hård sletning er, at HR-data sjældent lever alene. Personen optræder i vagtplaner, lønperioder, statistikker og rapporter. Slettes rækkerne fysisk, ændrer fortidens tal sig: teamet, der var 12 personer i marts, ser pludselig ud til at have været 11, og enhver rapport, der er kørt siden, kan ikke længere genskabes. Omvendt er "vi gemmer alt for en sikkerheds skyld" heller ikke en mulighed, for opbevaring kræver et formål og en hjemmel, og begge udløber på et tidspunkt.
Anonymisering bevarer statistikken
Anonymisering går den anden vej rundt: i stedet for at fjerne rækkerne fjerner man personhenførbarheden. Navn, kontaktoplysninger, CPR-nummer og fritekst erstattes eller overskrives, mens de strukturelle data, at der var en medarbejder med de vagter, de timer og den anciennitet, bliver stående. Pointen er, at reelt anonymiserede oplysninger ikke længere er personoplysninger, for de kan ikke føres tilbage til en person. Statistikken består, personen er væk.
Det stiller til gengæld krav til grundigheden. En "anonymisering", der kun fjerner navnet, men lader initialer, medarbejdernummer eller en enkelt fritekstnote stå, er ikke anonym, den er pseudonym, og så gælder reglerne stadig. Anonymiseringen skal ramme alle felter, hvor personen kan genkendes, også de skjulte: kommentarfelter, filnavne, gamle noter. Og den skal være uigenkaldelig, en fortrydelsesknap ville netop bevise, at data stadig kunne føres tilbage.
Maskering, adgangslogning og audit-spor
Anonymisering er slutpunktet i en livscyklus, men beskyttelsen skal virke hele vejen. Tre mekanismer bør være standard i et HR-system:
Maskering af følsomme felter som standard. CPR-numre, helbredsnotater og lignende bør være skjult i den daglige visning og kun kunne foldes ud af de roller, der har et konkret behov. De fleste opslag i et medarbejderkartotek handler om telefonnummer eller kontrakt, ikke om de følsomme felter, så hvorfor vise dem?
Adgangslogning. Det skal kunne besvares, hvem der har set og ændret hvad, hvornår. Både fordi den registrerede kan spørge, og fordi logningen i sig selv disciplinerer: opslag uden formål falder, når de kan ses.
Et dokumentérbart audit-spor. Når tilsyn eller den registrerede spørger, er "vi har anonymiseret det" kun et halvt svar. Det hele svar er et spor, der viser hvad der blev anonymiseret, hvornår og af hvem, uden at sporet selv genskaber de fjernede oplysninger.
Hvad I bør afklare med jeres DPO
Denne artikel er ikke juridisk rådgivning. Hvor længe de enkelte oplysningstyper må opbevares, hvilke felter der skal med i anonymiseringen, og hvornår en sletteanmodning kan imødekommes med anonymisering, afhænger af jeres konkrete grundlag. Tag jeres slettepolitik og feltlisten med til jeres DPO eller databeskyttelsesrådgiver, og få mekanikken skrevet ind i fortegnelsen, så praksis og dokumentation stemmer overens.
Sådan er det bygget i Managr
I HR Managr er anonymisering en indbygget handling frem for en manuel oprydning: personhenførbare felter scrubbes på tværs af kartoteket, mens historik og statistik består, følsomme felter er maskeret som standard, og adgang og ændringer logges i et audit-spor. Læs mere om medarbejderkartoteket, eller book en demo.