Як найняти фрилансера відповідно до GDPR: покроковий посібник
Найняти фрилансера зазвичай швидко. GDPR — ні, особливо коли йдеться про GDPR для фрилансерів.
Якщо ваш проєкт пов’язаний із іменами, адресами електронної пошти, рахунками, документами, доступом до входу або платіжними даними, ви вже працюєте з персональними даними. Це означає, що вам потрібен процес, а не інтуїція. Добра новина в тому, що процес може бути простим — навіть для невеликої команди, яка наймає одного дизайнера, одного розробника або одного перекладача на двотижневу роботу.
Цей посібник про те, як найняти фрилансера відповідно до GDPR, проходить по тих пунктах, які мають значення в реальних проєктах, а не в теорії. Акуратний етап онбордингу сьогодні може зекономити вам хаотичне розбирання проблем пізніше, особливо коли до однієї й тієї самої папки мають доступ клієнт, фрилансер і субпідрядник. Саме тому договір із фрилансером GDPR варто продумати ще до першого доступу до файлів.
1. Зрозумійте, коли GDPR застосовується до найму фрилансера
GDPR застосовується, коли персональні дані збирають, зберігають, передають або обробляють у контексті ЄС. Проєкт із фрилансером легко підпадає під це. Звичайний лист із пропозицією вже містить ім’я та контактні дані. Підписаний договір додає ще більше. Банківський переказ додає платіжну інформацію. Три документи — одна юридична проблема.
Якщо фрилансер працює з даними вашого клієнта, списками покупців або внутрішніми файлами, ризик зростає. Навіть невелике маркетингове завдання може включати імена клієнтів і записи кампаній. Бізнес на одну людину все одно залишається бізнесом, і закон не чекає, поки у вас зросте штат.
Перед наймом поставте одне пряме запитання: чи побачить, зберігатиме або переміщатиме фрилансер персональні дані? Якщо відповідь так, розглядайте найм як відносини, пов’язані з GDPR. Саме тут звичайного ланцюжка електронних листів уже недостатньо.
Деякі команди пропускають це, бо завдання звучить безпечно. Бриф на логотип виглядає безпечним. Оплачуване тестове завдання теж виглядає безпечним. А потім фрилансеру потрібен доступ до контактного списку зі 120 людьми — і правила швидко змінюються.
2. Визначте, які персональні дані ви будете обробляти
Складіть перелік усіх даних, які можуть пройти через проєкт. Почніть із контактних даних: ім’я, робоча електронна пошта, номер телефону, посада. Потім перейдіть до договорів, рахунків, податкових даних, платіжних посилань, документів, що посвідчують особу, і облікових даних. Кожен елемент має свою мету. І кожен несе ризик.
Рахунки — це звична річ. Так само як і договори. Документи, що посвідчують особу, — складніші. Якщо ви просите скан паспорта лише тому, що «так любить фінансовий відділ», зупиніться. Перевірте, чи справді цей документ потрібен для роботи, способу оплати або юридичної перевірки. Часто — ні.
Дані фрилансера також можуть включати приклади робіт, посилання на профілі, IP-адреси з інструментів проєкту та повідомлення в чатах. Менеджер проєкту може думати лише про договір, але справжній слід даних набагато ширший. Один чат у Slack може містити п’ять персональних даних, і ніхто цього не помітить.
Для практичного погляду на записи платформи дивіться усі теги на фриланс-маркетплейсі. Це допоможе мислити категоріями, а не розмитим «даними проєкту».
Запишіть типи даних у короткий список. Для багатьох завдань достатньо п’яти рядків. Якщо ви не можете перелічити дані, ви не можете їх захистити.
3. Оберіть правильну роль GDPR для ваших відносин
Перша роль, яку потрібно перевірити, — контролер. Якщо ваш бізнес вирішує, навіщо і як використовуються персональні дані фрилансера, ви, ймовірно, є контролером. Це типово, коли ви наймаєте фрилансера через власний процес закупівлі або HR.
Роль процесора виникає, коли фрилансер обробляє персональні дані за вашими інструкціями. Адміністратор сайту, який працює з даними клієнтів вашої компанії, може підпадати під цю модель. У такому разі до договору потрібна додаткова увага, бо фрилансер — не просто постачальник; він обробляє дані для ваших цілей.
Ситуації зі спільними контролерами трапляються, коли обидві сторони разом визначають мету та способи обробки. Це рідше, але може трапитися в спільних кампаніях, спільних дослідженнях або партнерському проєкті зі спільними базами даних. Дві сторони, одне рішення, більше паперів.
Не здогадуйтеся. Складіть карту прийняття рішень. Хто обирає інструменти? Хто вирішує строки зберігання? Хто каже фрилансеру, до чиїх даних можна отримати доступ? Відповіді підкажуть роль. Якщо відповіді розподілені, роль може бути розподіленою теж.
Простий тест допомагає: якщо фрилансер може обирати завдання, але не мету, зазвичай керує ваш бізнес. Якщо мету визначають обидві сторони, це має бути чітко прописано в договорі. Неоднозначність породжує плутанину пізніше, а плутанина — затримки.
Якщо вам потрібен ширший чекліст із найму, як безпечно найняти фрилансера — корисне доповнення. GDPR — лише одна частина безпеки, але саме її ігнорування обходиться найдорожче.
4. Укладіть належні договірні умови
Договір із фрилансером має визначати не лише ціну та дедлайн. У ньому також повинні бути описані обов’язки щодо даних. Додайте умови про конфіденційність, вимоги до безпеки, обмеження використання даних, повернення та видалення. Якщо робота пов’язана з персональними даними, у договорі має бути зазначено, що з цими даними відбувається від початку до кінця.
Конфіденційність — це не те саме, що захист даних, але обидва аспекти важливі. Фрилансер, який обіцяє не передавати записи клієнтів друзям, усе одно потребує інструкцій щодо зберігання, доступу та видалення. Одне зобов’язання — соціальне. Інше — операційне.
Додайте пункт, що фрилансер може використовувати персональні дані лише для цього проєкту. Додайте пункт про повідомлення інцидентів. Якщо загублено ноутбук або зламано акаунт, фрилансер має швидко повідомити вас.
Повернення та видалення даних мають бути конкретними. Напишіть, що саме треба повернути, у якому форматі та до якого часу. Потім вкажіть, що потрібно видалити. Розпливчаста обіцянка на кшталт «ми все видалимо» звучить добре, але перевірку не витримує.
Для сайтів із публічними правилами та очікуваннями щодо онбордингу сторінка правила сайту 24freelance.pro. фриланс — гарне нагадування, що письмові умови мають значення. Та сама логіка застосовується і до ваших власних договорів.
Зберігайте підписи, версії та дати. Договір без номера версії може перетворитися на гру в здогадки після одного редагування. Це дрібна адміністративна деталь із великими наслідками.
5. Збирайте та передавайте лише мінімально необхідні дані
Мінімізацію даних легко пояснити, але легко й пропустити. Передавайте лише те, що фрилансеру потрібно для роботи. Якщо дизайнеру потрібен бриф на логотип, йому не потрібні дані нарахування зарплати. Якщо перекладачу потрібен вихідний текст, йому не потрібен повний експорт вашої CRM. Одне завдання — один набір даних.
Перш ніж щось надсилати, запитайте себе, чи справді кожен елемент потрібен. Не збирайте документ, що посвідчує особу, якщо достатньо номера реєстрації компанії. Не передавайте повну базу клієнтів, якщо для тестування достатньо 20 записів. Невеликі скорочення мають значення.
Обмеження доступу — частина тієї ж логіки. Надайте фрилансеру доступ лише до тих папок, задач або систем, які йому потрібні. Після завершення роботи доступ потрібно забрати. Це звучить банально, бо це й справді банально.
Передавайте найменший можливий обсяг чутливої інформації. Якщо фрилансеру потрібні лише прізвища, не надсилайте ще й імена. Якщо йому потрібні лише замасковані посилання на картки, не передавайте повну історію платежів. Дані швидко розходяться, щойно виходять із вашої пошти.
Деякі команди збирають забагато, бо бояться потім щось пропустити. Зазвичай саме це й створює проблему потім. Лаконічний набір файлів легше пояснити, легше захистити й легше видалити.
6. Налаштуйте безпечну роботу та комунікацію
Безпечна комунікація не потребує 10 інструментів. Потрібні чіткі звички. Якщо можливо, використовуйте корпоративну пошту для повідомлень про проєкт. Не надсилайте чутливі вкладення через випадкові особисті акаунти. Якщо файл важливий, важливим є і канал передачі.
Для обміну файлами використовуйте контрольовані посилання з терміном дії, якщо ваша система це підтримує. За потреби ставте пароль на чутливі архіви та надсилайте пароль окремим каналом. Це невелике розділення зменшує ризик. І воно не дозволяє пересланому листу перетворитися на повну передачу даних.
Захист пристроїв має значення, якщо фрилансер працює з даними клієнтів або внутрішніми файлами. Попросіть блокування екрана, оновлене програмне забезпечення та базовий захист від шкідливого ПЗ. Якщо проєкт високоризиковий, вимагайте роботи лише з захищеного пристрою. Один втрачений ноутбук може зачепити багато людей.
Будьте уважні з публічним Wi‑Fi, спільними комп’ютерами та відкритими робочими просторами. Фрилансер може чудово працювати і з кафе. Але відкрита сесія входу на спільному комп’ютері може розкрити проєкт за хвилини. Це не драматизація. Це звична річ.
Якщо проєкт пов’язаний із хмарними системами, порівняйте налаштування доступу з базовими принципами, описаними в технології хмарних обчислень. Права доступу, власність на акаунти та місце зберігання впливають на обробку за GDPR.
Не надсилайте чутливі дані довгими чат-стрічками, якщо доступний захищений портал. Чат підходить для нагадувань. Чат слабкий для збереження записів. Зберігайте записи там, де їх можна буде знайти пізніше, а ризики — там, де їх можна контролювати.
7. Правильно поводьтеся зі зберіганням, строками та видаленням
Строки зберігання — це місце, де багато фриланс-проєктів з’їжджають убік. Хтось зберігає договір «про всяк випадок». Хтось інший залишає рахунок назавжди. Хтось копіює файли в три папки й забуває про найстарішу. Це не стратегія.
Встановіть строки зберігання для кожного типу записів. Договори можуть зберігатися довше, ніж робочі файли. Рахунки можуть знадобитися для податків або бухгалтерії. Чернетки, тимчасові експорти та тестові файли зазвичай не мають причин залишатися після завершення проєкту.
Архівуйте потрібне та видаляйте непотрібне. Архівування дозволяє зберігати юридичні та бухгалтерські записи доступними, не залишаючи активні дані проєкту в обігу. Видалення має бути справжнім видаленням, а не «здається, я прибрав це з робочого столу». Перевіряйте хмарні папки, синхронізовані пристрої, резервні копії та локальні копії, де це можливо.
Попросіть фрилансера підтвердити видалення в кінці роботи. Зафіксуйте це письмово. Якщо він використовував субпідрядників або спільні інструменти, етап видалення має охоплювати й ці шляхи. Одна забута копія може звести нанівець усе прибирання.
Якщо ви ведете внутрішні відгуки про фрилансерів, та сама дисципліна стосується і зберігання записів. Докладніше про відгуки про фрилансера можна прочитати як про частину ширшої звички до роботи з документами. Нотатки мають бути корисними, короткими й зберігатися лише стільки, скільки вони служать чіткій меті.
Ніколи не зберігайте дані проєкту випадково. Випадковість — не юридична підстава. Це просто проблема з прибиранням, яка чекає на дедлайн.
8. Створіть простий чекліст GDPR для майбутніх наймів фрилансерів
Чекліст перетворює один хороший процес на десять повторюваних. Почніть з онбордингу: чи потрібні цьому фрилансеру персональні дані, так чи ні? Потім перевірте роль, договір, мінімальний набір даних, спосіб доступу та план видалення. Шести кроків достатньо для більшості невеликих проєктів.
Зробіть чекліст достатньо коротким, щоб ним реально користувалися. Форма на дві сторінки може спрацювати. Політика на 20 сторінок — зазвичай ні. Мета не в паперах заради паперів. Мета — менше помилок.
Використовуйте один і той самий чекліст для дизайнерів, розробників, авторів і асистентів, а потім додайте одну-дві перевірки залежно від ролі. Розробнику може знадобитися доступ до репозиторію. Автору — до інтерв’ю-джерел. Бухгалтеру — до рахунків і історії платежів. Різні роботи, однакові базові запитання.
Зберігайте чекліст разом із договором і брифом проєкту. Тоді наступний менеджер зможе побачити, що було погоджено, що передано і що видалено. Відсутність документації створює додаткову роботу пізніше, особливо якщо клієнт запитає, чому певний документ взагалі було зібрано.
Якщо ви хочете вибудувати повторюваний процес для різних типів фрилансерів, фриланс для дизайнера — хороший приклад того, як налаштування проєкту змінюється залежно від ролі, а основи GDPR залишаються тими самими.
Остання практична звичка: переглядайте чекліст після кожного проєкту з одним запитанням — «Що ми зібрали такого, що нам не було потрібно?» Це одне речення виявляє більше проблем, ніж ціла папка з чернетками політик.
