Как нанять фрилансера с соблюдением GDPR: пошаговое руководство
Нанять фрилансера обычно быстро. GDPR — нет.
Если в вашем проекте есть имена, адреса электронной почты, счета, удостоверения личности, доступы к логинам или платежные данные, вы уже работаете с персональными данными. Значит, вам нужен процесс, а не догадки. Хорошая новость в том, что этот процесс может быть простым — даже для небольшой команды, которая нанимает одного дизайнера, одного разработчика или одного переводчика на двухнедельную задачу.
Это руководство о том, как нанять фрилансера с соблюдением GDPR, проходит по тем моментам, которые важны в реальных проектах, а не в теории. Более аккуратный этап онбординга сегодня может избавить от сложной уборки позже, особенно когда один и тот же файл затрагивает клиент, фрилансер и субподрядчик. В этом контексте GDPR при найме фрилансера нужно рассматривать как часть обычного процесса закупок и передачи доступа.
1. Поймите, когда при найме фрилансера применяется GDPR
GDPR применяется, когда персональные данные собираются, хранятся, передаются или обрабатываются в контексте ЕС. Проект с фрилансером легко подпадает под эти правила. Простое письмо с предложением уже содержит имя и контактные данные. Подписанный договор добавляет еще больше. Банковский перевод — платежную информацию. Три документа, одна правовая задача.
Если фрилансер работает с данными вашего клиента, списками клиентов или внутренними файлами, риск растет. Даже небольшая маркетинговая задача может включать имена клиентов и записи по кампаниям. Бизнес из одного человека все равно остается бизнесом, а закон не ждет, пока вырастет штат.
Перед наймом задайте один прямой вопрос: увидит ли фрилансер персональные данные, будет ли их хранить или переносить? Если ответ да, относитесь к найму как к отношению, связанному с GDPR. Именно в этот момент обычной цепочки писем уже недостаточно.
Некоторые команды упускают это, потому что задача звучит безобидно. Бриф на логотип — безобиден. Платное тестовое задание — тоже безобидно. А потом фрилансеру нужен доступ к таблице с 120 контактами, и правила быстро меняются.
2. Определите, с какими персональными данными вы будете работать
Составьте список всех типов данных, которые могут пройти через проект. Начните с контактных данных: имя, рабочий email, номер телефона, должность. Затем перейдите к договорам, счетам, налоговым данным, платежным ссылкам, документам, удостоверяющим личность, и учетным данным. У каждого элемента есть цель. И у каждого есть риск.
Счета — обычная вещь. Договоры — тоже. Документы, удостоверяющие личность, сложнее. Если вы запрашиваете скан паспорта только потому, что «так нравится финансовому отделу», остановитесь. Проверьте, действительно ли этот документ нужен для работы, способа оплаты или юридической проверки. Часто — нет.
Данные фрилансера также могут включать примеры работ, ссылки на профили, IP-адреса из рабочих инструментов и сообщения в чатах. Менеджер проекта может думать только о договоре, но реальный след данных шире. Один Slack-диалог может содержать пять персональных сведений, и никто этого не заметит.
Для практического взгляда на записи со стороны платформы см. все теги на фриланс-маркетплейсе. Это поможет думать категориями, а не расплывчатыми «данными проекта».
Запишите типы данных в короткий список. Для многих задач хватит пяти строк. Если вы не можете перечислить данные, вы не сможете их защитить.
3. Выберите правильную роль GDPR для ваших отношений
Первая роль, которую нужно проверить, — контроллер. Если ваш бизнес определяет, зачем и как используются персональные данные фрилансера, скорее всего, вы контроллер. Это типично, когда вы нанимаете фрилансера через собственный процесс закупок или HR.
Роль процессора возникает, когда фрилансер обрабатывает персональные данные по вашим инструкциям. Администратор сайта, который работает с записями клиентов вашей компании, может подходить под такую схему. В этом случае к договору нужно отнестись особенно внимательно, потому что фрилансер не просто поставщик услуг; он обрабатывает данные в ваших целях.
Ситуации с совместными контроллерами возникают, когда обе стороны вместе определяют цель и способы обработки. Это встречается реже, но может появляться в совместных брендированных кампаниях, общих исследованиях или партнерских проектах с общей базой данных. Две стороны, один набор решений, больше бумажной работы.
Не угадывайте. Разберите, кто принимает решения. Кто выбирает инструменты? Кто определяет срок хранения? Кто говорит фрилансеру, к чьим данным нужен доступ? Ответы укажут на роль. Если ответы разделены, роль тоже может быть разделенной.
Простой тест помогает: если фрилансер может выбирать задачу, но не цель, обычно у руля ваш бизнес. Если цель определяют обе стороны, это нужно прямо прописать в договоре. Неясность потом создает путаницу, а путаница — задержки.
Если вам нужен более широкий чек-лист найма, как безопасно нанять фрилансера — полезное дополнение. GDPR — только одна часть безопасности, но именно ее игнорирование становится дорогим.
4. Закрепите правильные договорные условия
Договор с фрилансером должен не только определять цену и срок. В нем также нужно указать обязанности по работе с данными. Добавьте условия о конфиденциальности, требования к безопасности, ограничения на использование данных, обязанности по возврату и удалению. Если работа связана с персональными данными, договор с фрилансером GDPR должен описывать, что происходит с этими данными от начала до конца.
Конфиденциальность — не то же самое, что защита данных, но важны обе. Фрилансер, который обещает не делиться клиентскими записями с друзьями, все равно нуждается в инструкциях по хранению, доступу и удалению. Одно обещание — социальное. Другое — операционное.
Включите пункт, согласно которому фрилансер может использовать персональные данные только для проекта. Добавьте пункт о сообщении об инцидентах. Если ноутбук потерян или учетная запись скомпрометирована, фрилансер должен быстро уведомить вас.
Возврат и удаление данных должны быть конкретными. Укажите, что именно нужно вернуть, в каком формате и когда. Затем укажите, что нужно удалить. Размытая формулировка вроде «мы удалим все» звучит хорошо, но при проверке не работает.
Для сайтов с публичными правилами и ожиданиями по онбордингу страница правил сайта 24freelance.pro. freelance — хорошее напоминание о том, что письменные условия важны. Та же логика относится и к вашим собственным договорам.
Сохраняйте подписи, версии и даты. Договор без номера версии может превратиться в гадание после одного исправления. Это мелкая административная деталь с большими последствиями.
5. Собирайте и передавайте только минимум необходимых данных
Минимизация данных — простая идея, но ее легко упустить. Передавайте только то, что нужно фрилансеру для работы. Если дизайнеру нужен бриф по логотипу, ему не нужны файлы по зарплате. Если переводчику нужен исходный текст, ему не нужен полный экспорт из CRM. Одна задача — один набор данных.
Перед отправкой спросите, действительно ли каждый элемент необходим. Не собирайте документ, удостоверяющий личность, если достаточно номера регистрации компании. Не передавайте всю базу клиентов, если для тестирования хватит выборки из 20 записей. Небольшие сокращения имеют значение.
Ограничение доступа — часть той же идеи. Дайте фрилансеру доступ только к тем папкам, задачам или системам, которые ему нужны. Уберите доступ по окончании работы. Это звучит базово, потому что это базово.
Передавайте минимально возможный объем чувствительной информации. Если фрилансеру нужны только фамилии, не отправляйте еще и имена. Если нужны только замаскированные карточные ссылки, не отправляйте полную историю платежей. После того как данные покидают ваш inbox, детали быстро расползаются.
Некоторые команды собирают слишком много из страха что-то упустить позже. Обычно именно это и создает проблемы позже. Лаконичный набор файлов проще объяснить, проще защитить и проще удалить.
6. Настройте безопасные практики работы и общения
Безопасная коммуникация не требует десяти инструментов. Ей нужны понятные привычки. По возможности используйте рабочую почту для сообщений по проекту. Не отправляйте чувствительные вложения через случайные личные аккаунты. Если файл важен, важен и канал передачи.
Для обмена файлами используйте ссылки с контролем доступа и сроком действия, если это поддерживает ваша система. При необходимости защищайте архивы паролем и отправляйте пароль через отдельный канал. Такое небольшое разделение снижает риск. Оно также не дает одному пересланному письму превратиться в полную передачу данных.
Защита устройств важна, если фрилансер работает с данными клиентов или внутренними файлами. Попросите использовать блокировку экрана, обновленное ПО и базовую защиту от вредоносных программ. Если проект рискованный, требуйте работу только с защищенного устройства. Один потерянный ноутбук может затронуть многих людей.
Будьте осторожны с публичным Wi-Fi, общими компьютерами и открытыми рабочими пространствами. Фрилансер, который работает из кафе, все равно может отлично делать свою работу. Но открытая сессия входа на общем устройстве может раскрыть проект за считаные минуты. Это не драматизация. Это обычная ситуация.
Если проект связан с облачными системами, сравните вашу схему доступа с базовыми принципами, описанными в технологии облачных вычислений. Права доступа, владение учетными записями и местоположение хранилища все влияют на обработку в рамках GDPR.
Не отправляйте чувствительные данные длинными чат-цепочками, если доступен защищенный портал. Чат подходит для напоминаний. Чат слаб для хранения записей. Храните записи там, где их можно потом найти, и держите риск там, где вы можете им управлять.
7. Правильно организуйте хранение, сроки хранения и удаление
Именно на сроках хранения многие фриланс-проекты начинают «плыть». Кто-то оставляет договор «на всякий случай». Кто-то сохраняет счет навсегда. Кто-то копирует файлы в три папки и забывает про самую старую из них. Это не стратегия.
Установите сроки хранения для каждого типа записей. Договоры могут храниться дольше, чем рабочие файлы. Счета могут потребоваться для налогов или бухгалтерии. Черновики, временные выгрузки и тестовые файлы обычно не нужны после завершения проекта.
Архивируйте то, что нужно, и удаляйте то, что не нужно. Архивация сохраняет доступ к юридическим и бухгалтерским документам, не оставляя активные проектные данные в обороте. Удаление должно быть настоящим удалением, а не «кажется, я удалил это с рабочего стола». По возможности проверяйте облачные папки, синхронизированные устройства, резервные копии и локальные копии.
Попросите фрилансера подтвердить удаление в конце работы. Зафиксируйте это подтверждение письменно. Если он использовал субподрядчиков или общие инструменты, этап удаления должен покрывать и эти пути. Одна забытая копия может свести на нет всю очистку.
Если вы ведете внутренние отзывы о фрилансерах, та же дисциплина нужна и для хранения записей. Подробнее о отзывах о фрилансере можно прочитать как о части более широкой привычки к ведению записей. Заметки должны быть полезными, короткими и храниться только до тех пор, пока служат понятной цели.
Никогда не храните данные проекта просто по ошибке. Ошибка — не юридическое основание. Это всего лишь проблема с уборкой, которая ждет своего срока.
8. Создайте простой GDPR-чек-лист для будущих наймов фрилансеров
Чек-лист превращает один удачный процесс в десять повторяемых. Начните с онбординга: нужны ли этому фрилансеру персональные данные — да или нет? Затем проверьте роль, договор, минимальный набор данных, способ доступа и план удаления. Шести шагов достаточно для большинства небольших проектов.
Сделайте чек-лист достаточно коротким, чтобы им реально пользовались. Двухстраничная форма может работать. Двадцатистраничная политика — обычно нет. Цель не в бумажной нагрузке ради самой нагрузки. Цель — меньше ошибок.
Используйте один и тот же чек-лист для дизайнеров, разработчиков, авторов и ассистентов, а затем добавьте одну-две проверки, зависящие от роли. Разработчику может понадобиться доступ к репозиторию. Автору — интервью-источники. Бухгалтеру — счета и история платежей. Разные работы, одни и те же базовые вопросы.
Храните чек-лист вместе с договором и брифом проекта. Тогда следующий менеджер увидит, что было согласовано, что было передано и что было удалено. Отсутствие документации создает лишнюю работу позже, особенно если клиент спросит, зачем вообще был собран тот или иной документ.
Если вы хотите выстроить повторяемый процесс для разных типов фрилансеров, фриланс для дизайнеров — хороший пример того, как подготовка проекта меняется в зависимости от роли, а базовые принципы GDPR остаются теми же.
Последняя практическая привычка: после каждого проекта пересматривайте чек-лист с одним вопросом — «Что мы собрали такого, что нам не было нужно?» Это одно предложение находит больше проблем, чем папка с черновиками политик.
