Tuyển dụng đã mang tính toàn cầu. Một công ty ở Dubai tuyển kỹ sư sống tại Đức, một công ty Mỹ tiếp nhận chuyên gia tư vấn từ Ireland, và một doanh nghiệp Ấn Độ mở trung tâm giao hàng ở Ba Lan. Mỗi lần tuyển dụng như vậy đều liên quan đến việc kiểm tra danh tính, học vấn và lịch sử làm việc của một người, và mỗi trường hợp đều có thể kéo theo Quy định chung về bảo vệ dữ liệu (GDPR) của Liên minh châu Âu.
GDPR đã có hiệu lực từ tháng 5 năm 2018, nhưng xác minh lý lịch (BGV) vẫn là một trong những nơi các tổ chức vấp phải nhiều nhất. Bài viết này giải thích vì sao GDPR quan trọng với sàng lọc, nó thay đổi cách thực hiện kiểm tra ra sao và một cách tiếp cận tuân thủ hợp lý trông như thế nào.
Vì sao GDPR vươn ra ngoài châu Âu
GDPR không chỉ giới hạn ở các công ty có trụ sở tại EU. Quy định áp dụng cho các tổ chức được thành lập tại EU, và cả các tổ chức ở nơi khác xử lý dữ liệu cá nhân của người ở EU liên quan đến việc cung cấp hàng hóa, dịch vụ hoặc theo dõi hành vi. Với yêu cầu xác minh về một ứng viên đang ở châu Âu, các quy tắc có thể đi theo dữ liệu bất kể nó đi đến đâu.
Vì vậy cả đơn vị cung cấp dịch vụ sàng lọc lẫn người sử dụng lao động thuê họ đều cần hiểu quy định này, ngay cả khi cả hai đều không có văn phòng tại châu Âu.
Những ý tưởng cốt lõi, nói một cách dễ hiểu
GDPR được xây dựng trên một tập hợp nguyên tắc áp dụng cho mọi giai đoạn của hồ sơ xác minh:
- Tính hợp pháp, công bằng và minh bạch. Phải có cơ sở pháp lý hợp lệ cho việc xử lý, và ứng viên phải được biết dữ liệu của họ đang được xử lý như thế nào.
- Giới hạn mục đích. Dữ liệu thu thập cho một hạng mục kiểm tra cụ thể không được tái sử dụng cho các mục tiêu không liên quan.
- Tối thiểu hóa dữ liệu. Chỉ thu thập những gì liên quan và cần thiết cho vị trí.
- Chính xác. Hồ sơ phải đúng và được cập nhật.
- Giới hạn lưu trữ. Dữ liệu không được giữ lâu hơn mức cần thiết.
- Toàn vẹn và bảo mật. Dữ liệu phải được bảo vệ bằng biện pháp an ninh phù hợp.
- Trách nhiệm giải trình. Các tổ chức phải chứng minh được rằng mình tuân thủ, chứ không chỉ tuyên bố.
Chọn đúng cơ sở pháp lý
Một trong những câu hỏi đầu tiên trong bất kỳ chương trình sàng lọc nào tại châu Âu là: vì sao chúng ta được phép xử lý thông tin này? GDPR đưa ra nhiều cơ sở pháp lý, và những cơ sở thường được cân nhắc nhất trong tuyển dụng là nghĩa vụ pháp lý, lợi ích hợp pháp và, trong một số ít trường hợp, sự đồng ý.
Sự đồng ý cần được đặc biệt thận trọng trong bối cảnh việc làm. Các cơ quan quản lý từ lâu đã bày tỏ lo ngại rằng sự đồng ý của người xin việc có thể không thực sự tự nguyện, vì có sự chênh lệch quyền lực rõ ràng giữa ứng viên và người sử dụng lao động. Vì vậy nhiều tổ chức dựa vào đánh giá lợi ích hợp pháp có tài liệu hoặc yêu cầu pháp lý, đồng thời vẫn thông báo rõ ràng cho ứng viên. Câu trả lời đúng tùy thuộc vào quốc gia và loại kiểm tra, nên cần có tư vấn pháp lý tại địa phương.
Nơi xác minh lý lịch trở nên nhạy cảm
Kiểm tra hồ sơ hình sự
Thông tin về án tích và hành vi phạm tội được bảo vệ đặc biệt theo GDPR. Nói chung, việc xử lý thông tin này phải được thực hiện dưới sự kiểm soát của cơ quan có thẩm quyền hoặc được luật của EU hay quốc gia thành viên cho phép kèm theo các biện pháp bảo vệ phù hợp. Quy định khác nhau rõ rệt giữa các quốc gia, và ở một số nơi người sử dụng lao động chỉ được yêu cầu giấy chứng nhận khi vị trí đó có căn cứ pháp lý. Một chính sách toàn cầu duy nhất “kiểm tra hình sự cho tất cả mọi người” là rủi ro.
Dữ liệu thuộc nhóm đặc biệt
Sức khỏe, sắc tộc, tôn giáo, tư cách thành viên công đoàn và các nhóm tương tự phải tuân theo các điều kiện chặt chẽ hơn. Quy trình sàng lọc nên tránh thu thập những dữ liệu này trừ khi có nhu cầu hợp pháp rõ ràng, và phải bảo đảm các trường văn bản tự do, phản hồi của người giới thiệu và tài liệu tải lên không vô tình đưa dữ liệu như vậy vào hồ sơ.
Ra quyết định tự động
Nếu kết quả sàng lọc được tạo ra hoàn toàn bởi quy trình tự động và có ảnh hưởng đáng kể đến ứng viên, GDPR trao cho người đó các biện pháp bảo vệ, bao gồm quyền yêu cầu con người xem xét lại. Xác minh có sự hỗ trợ của AI vẫn có thể được sử dụng hiệu quả, miễn là con người vẫn tham gia thực chất vào các quyết định ảnh hưởng đến triển vọng việc làm của một người.
Ứng viên có thể yêu cầu gì ở bạn
GDPR trao cho cá nhân một bộ quyền áp dụng trực tiếp đối với hồ sơ sàng lọc:
- Truy cập dữ liệu cá nhân được lưu giữ về họ và thông tin về cách dữ liệu được sử dụng.
- Chỉnh sửa dữ liệu không chính xác.
- Xóa trong một số trường hợp nhất định.
- Hạn chế và phản đối trong những tình huống cụ thể.
- Di chuyển dữ liệu khi áp dụng.
Người sử dụng lao động và đối tác xác minh của họ phải có khả năng phản hồi các yêu cầu này trong thời hạn một tháng mà quy định đặt ra, nghĩa là phải biết mọi bản sao hồ sơ của ứng viên nằm ở đâu.
Trách nhiệm chung giữa người sử dụng lao động và nhà cung cấp
Trong hầu hết các thỏa thuận, người sử dụng lao động là bên kiểm soát (controller), quyết định mục đích và cách thức sử dụng dữ liệu, còn công ty xác minh là bên xử lý (processor), hành động theo chỉ dẫn của người sử dụng lao động. GDPR yêu cầu có thỏa thuận bằng văn bản giữa hai bên, bao gồm đối tượng, biện pháp bảo mật, bên xử lý phụ, hỗ trợ về quyền của cá nhân và việc xóa hoặc trả lại dữ liệu khi kết thúc quan hệ.
Có thêm hai điểm cần lưu ý:
- Thông báo vi phạm. Một vụ vi phạm dữ liệu cá nhân gây rủi ro cho cá nhân nói chung phải được báo cho cơ quan giám sát không chậm trễ không cần thiết và, khi khả thi, trong vòng 72 giờ. Bên xử lý phải cảnh báo bên kiểm soát kịp thời, nên hợp đồng cần nêu rõ thời hạn.
- Chuyển dữ liệu quốc tế. Việc gửi dữ liệu xác minh từ EU đến một quốc gia chưa có quyết định về mức độ bảo vệ tương đương đòi hỏi một biện pháp bảo vệ được phê duyệt, chẳng hạn Điều khoản hợp đồng tiêu chuẩn (Standard Contractual Clauses), cùng với việc đánh giá rủi ro. Việc xác minh bằng cấp nước ngoài hoặc nhà tuyển dụng cũ thường liên quan đến đúng loại luồng dữ liệu này.
Cái giá của việc làm sai
Các cơ quan quản lý có thể áp dụng mức phạt lên đến 20 triệu euro hoặc 4 phần trăm doanh thu hằng năm trên toàn cầu, tùy mức nào cao hơn, đối với các vi phạm nghiêm trọng nhất. Ngoài tiền phạt, thiệt hại thực tế có thể gồm các chương trình tuyển dụng bị đình chỉ, lòng tin của ứng viên bị tổn hại và những cuộc trao đổi khó khăn với khách hàng vốn trông cậy vào bạn để bảo vệ dữ liệu của nhân sự của họ.
Danh sách kiểm tra thực tiễn cho sàng lọc tại châu Âu
- Lập bản đồ mọi luồng dữ liệu trong quy trình xác minh của bạn, bao gồm nơi dữ liệu được lưu và ai có thể xem.
- Ghi nhận cơ sở pháp lý của bạn cho từng loại kiểm tra và từng quốc gia.
- Cung cấp cho ứng viên thông báo quyền riêng tư rõ ràng, ngắn gọn trước khi thu thập bất cứ điều gì.
- Điều chỉnh các hạng mục kiểm tra theo vị trí, và bỏ những hạng mục không có căn cứ.
- Thực hiện đánh giá tác động bảo vệ dữ liệu khi việc sàng lọc ở quy mô lớn hoặc liên quan đến dữ liệu có rủi ro cao hơn.
- Thiết lập các thỏa thuận bên xử lý tuân thủ và rà soát các bên xử lý phụ.
- Đặt thời hạn lưu giữ và xác nhận rằng việc xóa dữ liệu thực sự diễn ra.
- Chuẩn bị quy trình đơn giản cho các yêu cầu truy cập, chỉnh sửa và xóa dữ liệu.
- Đào tạo nhà tuyển dụng và nhóm nhân sự, vì sai sót của con người gây ra nhiều sự cố.
- Diễn tập kế hoạch ứng phó vi phạm để khung thời gian 72 giờ là khả thi.
Quyền riêng tư và tốc độ có thể song hành
Một số người sử dụng lao động lo ngại rằng các quy tắc về quyền riêng tư sẽ làm chậm tuyển dụng. Theo kinh nghiệm của chúng tôi, điều ngược lại thường đúng hơn. Một quy trình có sự đồng ý rõ ràng, kiểm tra có mục tiêu và hồ sơ gọn gàng sẽ ít tranh chấp hơn, ít phải kiểm tra lại hơn và tiếp nhận nhanh hơn. Ứng viên cũng nhận ra khi một tổ chức đối xử cẩn trọng với thông tin của họ, và điều đó ảnh hưởng đến cách họ nhìn nhận người sử dụng lao động.
Quinfy hỗ trợ sàng lọc toàn cầu tuân thủ như thế nào
Quinfy cung cấp dịch vụ xác minh lý lịch tại hơn 45 quốc gia, được hậu thuẫn bởi các chứng nhận ISO 27001, ISO 9001 và SOC 2 Type II. Nền tảng của chúng tôi được thiết kế để sự đồng ý của ứng viên, kiểm soát truy cập và xử lý dữ liệu là một phần của hành trình xác minh. Nếu bạn đang xây dựng hoặc rà soát chương trình sàng lọc có liên quan đến châu Âu, chúng tôi sẵn lòng trao đổi về yêu cầu của bạn.
Bài viết này chỉ mang tính thông tin chung và không cấu thành tư vấn pháp lý. Yêu cầu khác nhau tùy theo quốc gia và tình huống, vì vậy vui lòng tham khảo cố vấn pháp lý có chuyên môn trước khi hoàn thiện chính sách sàng lọc của bạn.
Về tác giả: Prathap P là Giám đốc Bán hàng Cấp cao tại Quinfy, công ty xác minh lý lịch AI-native giúp người sử dụng lao động xác minh nhân tài trên toàn cầu.
