नियुक्ति वैश्विक हो गई है। दुबई की एक कंपनी जर्मनी में रहने वाले इंजीनियर को रखती है, अमेरिकी फ़र्म आयरलैंड के कंसल्टेंट को ऑनबोर्ड करती है, और भारतीय व्यवसाय पोलैंड में डिलीवरी सेंटर खोलता है। इनमें से हर नियुक्ति में व्यक्ति की पहचान, शिक्षा और कार्य इतिहास की जाँच शामिल होती है, और हर एक यूरोपीय संघ के General Data Protection Regulation (GDPR) को लागू कर सकती है।
GDPR मई 2018 से लागू है, फिर भी बैकग्राउंड वेरिफिकेशन (BGV) उन जगहों में से है जहाँ संगठन सबसे अधिक चूकते हैं। यह लेख समझाता है कि GDPR स्क्रीनिंग के लिए क्यों मायने रखता है, यह जाँचों को चलाने के तरीक़े को कैसे बदलता है, और समझदारी भरा अनुपालन दृष्टिकोण कैसा दिखता है।
GDPR यूरोप से बाहर तक क्यों पहुँचता है
GDPR केवल EU में स्थित कंपनियों तक सीमित नहीं है। यह EU में स्थापित संगठनों पर लागू होता है, और उन अन्य जगहों के संगठनों पर भी जो वस्तुएँ या सेवाएँ देने या व्यवहार की निगरानी के संबंध में EU में लोगों का व्यक्तिगत डेटा प्रोसेस करते हैं। यूरोप में स्थित किसी उम्मीदवार के वेरिफिकेशन अनुरोध के लिए नियम डेटा के साथ-साथ जहाँ भी वह जाए, वहाँ पहुँच सकते हैं।
इसीलिए स्क्रीनिंग प्रदाता और उसे नियुक्त करने वाले नियोक्ता, दोनों को इस विनियमन को समझना ज़रूरी है, भले ही दोनों में से किसी का यूरोप में कार्यालय न हो।
मूल विचार, सरल भाषा में
GDPR सिद्धांतों के एक समूह पर बना है जो वेरिफिकेशन फ़ाइल के हर चरण पर लागू होते हैं:
- वैधता, निष्पक्षता और पारदर्शिता। प्रोसेसिंग के लिए वैध क़ानूनी आधार होना चाहिए, और उम्मीदवारों को बताया जाना चाहिए कि उनके डेटा के साथ क्या हो रहा है।
- उद्देश्य की सीमा। किसी विशेष जाँच के लिए जुटाए गए डेटा का असंबंधित उद्देश्यों के लिए दोबारा उपयोग नहीं होना चाहिए।
- डेटा न्यूनतमीकरण। केवल वही एकत्र करें जो भूमिका के लिए प्रासंगिक और आवश्यक हो।
- सटीकता। रिकॉर्ड सही और अद्यतन होने चाहिए।
- भंडारण की सीमा। डेटा को ज़रूरत से ज़्यादा समय तक नहीं रखा जाना चाहिए।
- अखंडता और गोपनीयता। डेटा की रक्षा उचित सुरक्षा से होनी चाहिए।
- जवाबदेही। संगठनों को अनुपालन साबित करने में सक्षम होना चाहिए, केवल दावा करना काफ़ी नहीं।
सही क़ानूनी आधार चुनना
यूरोप में किसी भी स्क्रीनिंग कार्यक्रम का एक पहला सवाल यह है: हमें यह जानकारी प्रोसेस करने की अनुमति क्यों है? GDPR कई क़ानूनी आधार देता है, और नियुक्ति में सबसे अधिक विचार किए जाने वाले हैं क़ानूनी बाध्यता, वैध हित और, सीमित मामलों में, सहमति।
रोज़गार के संदर्भ में सहमति पर विशेष सावधानी ज़रूरी है। नियामक लंबे समय से चिंता जताते रहे हैं कि नौकरी के आवेदक द्वारा दी गई सहमति वास्तव में स्वैच्छिक न हो, क्योंकि उम्मीदवार और नियोक्ता के बीच शक्ति का स्पष्ट असंतुलन होता है। इसलिए कई संगठन दस्तावेज़ी वैध-हित आकलन या क़ानूनी आवश्यकता पर भरोसा करते हैं, साथ ही उम्मीदवारों को स्पष्ट सूचना भी देते हैं। सही उत्तर देश और जाँच के प्रकार पर निर्भर करता है, इसलिए स्थानीय क़ानूनी सलाह लेना उचित है।
जहाँ बैकग्राउंड वेरिफिकेशन संवेदनशील हो जाता है
आपराधिक रिकॉर्ड चेक
आपराधिक दोषसिद्धि और अपराधों की जानकारी को GDPR के तहत विशेष संरक्षण मिलता है। सामान्यतः इसकी प्रोसेसिंग या तो आधिकारिक प्राधिकार के अधीन होनी चाहिए या उपयुक्त सुरक्षा उपायों के साथ EU या सदस्य राज्य के क़ानून द्वारा अधिकृत होनी चाहिए। देशों के बीच नियम काफ़ी अलग हैं, और कुछ जगहों पर नियोक्ता केवल तभी प्रमाणपत्र माँग सकते हैं जब भूमिका क़ानूनी रूप से उसे उचित ठहराए। "सबके लिए आपराधिक जाँच" की एक ही वैश्विक नीति जोखिम भरी है।
विशेष श्रेणी का डेटा
स्वास्थ्य, जातीयता, धर्म, ट्रेड यूनियन सदस्यता और इसी तरह की श्रेणियाँ अधिक कड़ी शर्तों के अधीन हैं। स्क्रीनिंग प्रक्रियाओं को इन्हें तब तक एकत्र करने से बचना चाहिए जब तक स्पष्ट, वैध आवश्यकता न हो, और यह सुनिश्चित करना चाहिए कि फ़्री-टेक्स्ट फ़ील्ड, रेफ़रेंस के उत्तर और अपलोड किए गए दस्तावेज़ ऐसे डेटा को चुपचाप फ़ाइल में न खींच लाएँ।
स्वचालित निर्णय-प्रक्रिया
यदि स्क्रीनिंग का परिणाम पूरी तरह स्वचालित प्रक्रिया से तैयार होता है और उम्मीदवार पर उसका महत्वपूर्ण प्रभाव पड़ता है, तो GDPR उस व्यक्ति को सुरक्षा देता है, जिसमें मानवीय समीक्षा का अनुरोध करने की क्षमता शामिल है। AI-सहायता प्राप्त वेरिफिकेशन का अब भी अच्छा उपयोग किया जा सकता है, बशर्ते किसी के रोज़गार की संभावनाओं को प्रभावित करने वाले निर्णयों में इंसान की सार्थक भागीदारी बनी रहे।
उम्मीदवार आपसे क्या माँग सकते हैं
GDPR व्यक्तियों को अधिकारों का एक समूह देता है जो स्क्रीनिंग रिकॉर्ड पर सीधे लागू होते हैं:
- अपने बारे में रखे गए व्यक्तिगत डेटा और उसके उपयोग की जानकारी तक पहुँच।
- ग़लत डेटा का सुधार।
- कुछ परिस्थितियों में विलोपन।
- विशिष्ट स्थितियों में प्रतिबंध और आपत्ति।
- जहाँ लागू हो वहाँ पोर्टेबिलिटी।
नियोक्ताओं और उनके वेरिफिकेशन पार्टनरों को इन अनुरोधों का जवाब विनियमन द्वारा तय एक महीने की अवधि के भीतर देने में सक्षम होना चाहिए, जिसका अर्थ है यह जानना कि उम्मीदवार की फ़ाइल की हर प्रति कहाँ रखी है।
नियोक्ता और प्रदाता के बीच साझा ज़िम्मेदारियाँ
ज़्यादातर व्यवस्थाओं में नियोक्ता कंट्रोलर होता है, जो तय करता है कि डेटा का उपयोग क्यों और कैसे होगा, जबकि वेरिफिकेशन कंपनी प्रोसेसर होती है, जो नियोक्ता के निर्देशों पर काम करती है। GDPR दोनों के बीच एक लिखित समझौता माँगता है जो विषय-वस्तु, सुरक्षा उपायों, उप-प्रोसेसरों, व्यक्तिगत अधिकारों में सहायता और संबंध समाप्त होने पर डेटा के विलोपन या वापसी को कवर करे।
दो और बातों पर ध्यान देना ज़रूरी है:
- उल्लंघन की सूचना। ऐसे व्यक्तिगत डेटा उल्लंघन की, जिससे व्यक्तियों को जोखिम हो, आम तौर पर बिना अनुचित देरी के और जहाँ संभव हो 72 घंटों के भीतर पर्यवेक्षी प्राधिकरण को रिपोर्ट करनी होती है। प्रोसेसरों को कंट्रोलरों को तुरंत सचेत करना होता है, इसलिए अनुबंधों में स्पष्ट होना चाहिए कि कितनी जल्दी।
- अंतरराष्ट्रीय हस्तांतरण। EU से ऐसे देश में वेरिफिकेशन डेटा भेजने के लिए, जहाँ के लिए पर्याप्तता निर्णय नहीं है, Standard Contractual Clauses जैसे अनुमोदित सुरक्षा उपाय और जोखिमों के आकलन की आवश्यकता होती है। विदेशी डिग्री या पिछले नियोक्ताओं के वेरिफिकेशन में अक्सर ठीक इसी तरह का डेटा-प्रवाह शामिल होता है।
ग़लती की क़ीमत
सबसे गंभीर उल्लंघनों के लिए नियामक €20 मिलियन या विश्वव्यापी वार्षिक टर्नओवर के 4 प्रतिशत तक, जो भी अधिक हो, का जुर्माना लगा सकते हैं। जुर्माने के अलावा व्यावहारिक नुकसान में रुके हुए नियुक्ति कार्यक्रम, उम्मीदवारों के भरोसे को क्षति और उन ग्राहकों के साथ कठिन बातचीत शामिल हो सकती है जो अपने लोगों के डेटा की रक्षा के लिए आप पर निर्भर हैं।
यूरोप में स्क्रीनिंग के लिए व्यावहारिक चेकलिस्ट
- अपनी वेरिफिकेशन प्रक्रिया के हर डेटा प्रवाह का नक्शा बनाएँ, जिसमें यह भी शामिल हो कि डेटा कहाँ संग्रहीत है और उसे कौन देख सकता है।
- हर प्रकार की जाँच और हर देश के लिए अपना क़ानूनी आधार दस्तावेज़ में दर्ज करें।
- कुछ भी एकत्र करने से पहले उम्मीदवारों को स्पष्ट, संक्षिप्त गोपनीयता सूचना दें।
- जाँचों को भूमिका के अनुरूप रखें, और जो उचित न हों उन्हें छोड़ दें।
- जहाँ स्क्रीनिंग बड़े पैमाने की हो या अधिक जोखिम वाले डेटा से जुड़ी हो, वहाँ डेटा संरक्षण प्रभाव आकलन करें।
- अनुपालन-सक्षम प्रोसेसर समझौते लागू करें और उप-प्रोसेसरों की समीक्षा करें।
- अवधारण अवधियाँ तय करें और पुष्टि करें कि विलोपन वास्तव में होता है।
- पहुँच, सुधार और विलोपन अनुरोधों के लिए एक सरल प्रक्रिया तैयार करें।
- रिक्रूटरों और HR टीमों को प्रशिक्षित करें, क्योंकि मानवीय त्रुटि कई घटनाओं का कारण बनती है।
- अपनी उल्लंघन-प्रतिक्रिया योजना का परीक्षण करें ताकि 72 घंटे की समय-सीमा यथार्थवादी हो।
गोपनीयता और गति साथ-साथ रह सकती हैं
कुछ नियोक्ता चिंतित रहते हैं कि गोपनीयता नियम नियुक्ति को धीमा कर देंगे। हमारे अनुभव में अक्सर इसका उलटा सच होता है। स्पष्ट सहमति, लक्षित जाँच और साफ़ रिकॉर्ड वाली प्रक्रिया में कम विवाद, कम दोबारा जाँच और तेज़ ऑनबोर्डिंग होती है। उम्मीदवार यह भी नोटिस करते हैं कि संगठन उनकी जानकारी के साथ सावधानी बरतता है, और इससे नियोक्ता के बारे में उनकी धारणा बनती है।
Quinfy अनुपालन-सक्षम वैश्विक स्क्रीनिंग का समर्थन कैसे करता है
Quinfy 45 से अधिक देशों में बैकग्राउंड वेरिफिकेशन देता है, जिसे ISO 27001, ISO 9001 और SOC 2 Type II प्रमाणन का समर्थन प्राप्त है। हमारा प्लेटफ़ॉर्म इस तरह डिज़ाइन किया गया है कि उम्मीदवार की सहमति, एक्सेस कंट्रोल और डेटा हैंडलिंग वेरिफिकेशन यात्रा का हिस्सा हों। यदि आप यूरोप से जुड़ा स्क्रीनिंग कार्यक्रम बना या उसकी समीक्षा कर रहे हैं, तो हमें आपकी आवश्यकताओं पर बात करके खुशी होगी।
यह लेख सामान्य जानकारी के लिए है और क़ानूनी सलाह नहीं है। आवश्यकताएँ देश और स्थिति के अनुसार भिन्न होती हैं, इसलिए अपनी स्क्रीनिंग नीतियाँ अंतिम रूप देने से पहले कृपया योग्य विधि सलाहकार से परामर्श लें।
लेखक के बारे में: Prathap P, Quinfy में सीनियर सेल्स मैनेजर हैं, जो AI-नेटिव बैकग्राउंड वेरिफिकेशन कंपनी है और नियोक्ताओं को दुनिया भर में प्रतिभा सत्यापित करने में मदद करती है।
