ISO 27001 poglavlje 4 u praksi: agencija za zapošljavanje

 Osmi tekst u mini-seriji primene poglavlja 4 na različite tipove firmi. Ovde se pojavljuje nešto što dosad nismo imali — najveći deo osetljivih podataka pripada ljudima koji nisu ni zaposleni firme, ni njeni ugovorni klijenti, već kandidati čiji je CV jednostavno završio u bazi.

Profil firme

Agencija sa 15 zaposlenih — regruteri, administracija i pravnik za radne ugovore — povezuje kandidate sa poslodavcima, vodi bazu CV-jeva i profila kandidata, sprovodi intervjue i, za deo pozicija, proverava reference kod bivših poslodavaca. Za neke klijente agencija radi i privremeno ustupanje zaposlenih, gde formalno postaje njihov poslodavac.

4.1 — Kontekst

Spoljni faktori: baza kandidata sadrži lične podatke ljudi koji nisu ni zaposleni ni klijenti agencije, već treće strane čiji se podaci obrađuju bez direktnog ugovornog odnosa s njima, što Zakon o zaštiti podataka o ličnosti tretira posebno pažljivo; Zakon o radu je dodatno relevantan kod poslova privremenog ustupanja zaposlenih, gde agencija postaje formalni poslodavac; klijenti sve češće traže garancije o bezbednom postupanju sa podacima kandidata, posebno za osetljivije pozicije; sami kandidati sve više pitaju koliko dugo se njihov CV čuva i ko sve ima pristup; provera referenci dodatno uključuje kontakt i obradu podataka bivših poslodavaca kandidata, još jedne treće strane u lancu.

Unutrašnji faktori: regruteri često dele CV-jeve i beleške o kandidatima mejlom sa klijentima, bez kontrole nad tim šta klijent dalje radi sa tim podacima; baza kandidata raste godinama, uključujući i one koji nikad nisu zaposleni preko agencije, bez jasne politike koliko dugo se podaci čuvaju ili kada se brišu; beleške sa intervjua ponekad sadrže subjektivne, neformalne komentare o kandidatima koji nisu direktno vezani za posao; poslovi privremenog ustupanja zaposlenih dodatno uvode i platne podatke, povećavajući obim osetljivih podataka koje agencija čuva.

4.2 — Zainteresovane strane

Zainteresovana strana	Šta očekuje	Rešava li se kroz ISMS
Kandidati	Poverljivost CV-ja i ličnih podataka, jasnoća o dužini čuvanja podataka	Da
Klijenti (poslodavci)	Pouzdana, bezbedna razmena podataka o kandidatima i poverljivost uslova saradnje	Da
Bivši poslodavci kandidata (reference)	Zaštita njihovih podataka i izjava datih tokom provere referenci	Da
Radnici na privremenom angažovanju	Zaštita platnih i ugovornih podataka	Da
Regruteri (zaposleni agencije)	Jasna pravila o tome šta i kako se deli sa klijentima	Da

4.3 — Obim

Agencija povremeno organizuje i besplatne karijerne radionice za studente, gde se ne prikupljaju niti obrađuju pojedinačni CV-jevi učesnika — ova aktivnost se prirodno isključuje iz obima.

Obim sistema upravljanja bezbednošću informacija pokriva sve aktivnosti regrutacije i posredovanja u zapošljavanju, uključujući bazu CV-jeva i profila kandidata, beleške sa intervjua, proveru referenci i razmenu podataka sa klijentima-poslodavcima. Iz obima su isključene karijerne radionice za studente, jer ne uključuju prikupljanje ili obradu pojedinačnih CV-jeva učesnika. Podaci radnika na privremenom radnom angažovanju obrađuju se u okviru istog sistema, s obzirom da agencija za njih ima ulogu formalnog poslodavca.

4.4 — Sistem kao celina

Pre nekoliko meseci, regruter je klijentu greškom poslao ceo interni fajl sa beleškama o nekoliko kandidata za jednu poziciju, uključujući subjektivne komentare koji nikad nisu bili namenjeni deljenju van agencije — jer nije postojala jasna razlika između dokumenta za internu upotrebu i sažetka namenjenog klijentu. U sistemu izgrađenom prema klauzuli 4.4, ovaj slučaj bi pokrenuo ažuriranje procene rizika vezanog za deljenje podataka kandidata sa klijentima, uveo jasno razdvajanje internih beleški od materijala namenjenog deljenju, i dodao proveru pre slanja kao standardni korak u komunikaciji sa klijentima.

Šta sledi

Sledeći tekst u mini-seriji prelazi na advokatsku kancelariju, gde poverljivost podataka dobija još formalniji, pravno obavezujući okvir — advokatsku tajnu — a rizik od curenja podataka o predmetu nosi direktne pravne, ne samo reputacione posledice.