如何在GDPR下雇佣自由职业者：逐步指南

如何在GDPR下雇佣自由职业者：逐步指南

雇佣自由职业者通常很快。GDPR则不是。

如果您的项目涉及姓名、电子邮件地址、发票、身份证、登录访问或支付详情，您已经在处理个人数据。这意味着您需要一个流程，而不是凭直觉。好消息是，这个流程可以很简单，即使是一个雇佣一名设计师、一名开发者或一名翻译的两周小团队。

本指南介绍了如何在GDPR下雇佣自由职业者，重点关注实际项目中重要的要点，而不是理论。今天更清晰的入职步骤可以节省未来的麻烦清理，特别是当客户、自由职业者和分包商都接触同一个文件夹时。

1. 理解GDPR何时适用于自由职业者的雇佣

当在欧盟环境中收集、存储、共享或处理个人数据时，GDPR适用。自由职业者项目很容易触发这一点。一封简单的提案电子邮件已经包含了姓名和联系信息。签署的合同则增加了更多信息。银行转账则添加了支付信息。三份文件，一个法律问题。

如果自由职业者处理您的客户数据、客户名单或内部文件，风险就会增加。即使是一个小的营销任务也可能涉及客户姓名和活动记录。一个人经营的企业仍然是企业，法律不会等待员工人数的增加。

在雇佣之前问一个直接的问题：自由职业者会看到、持有或移动个人数据吗？如果答案是肯定的，就将雇佣视为与GDPR相关的关系。这是随意的电子邮件链不再足够的地方。

一些团队会因为任务听起来无害而忽视这一点。一个标志简报看起来无害。一个付费测试任务也看起来无害。然后，自由职业者需要访问一个包含120人的联系人表，规则迅速改变。

2. 确定您将处理的个人数据

列出项目中可能涉及的每一项数据。首先是联系信息：姓名、工作邮箱、电话号码、职位。然后转到合同、发票、税务细节、付款参考、身份证明文件和账户凭证。每一项都有其目的。每一项也都有风险。

发票很常见。合同也是。身份证明文件则更棘手。如果您仅仅因为“财务团队喜欢”而要求护照扫描，请暂停一下。询问该文件是否真的需要用于工作、付款方式或法律检查。通常，它并不需要。

自由职业者的数据还可以包括工作样本、个人资料链接、项目工具中的IP地址以及聊天应用中的消息。项目经理可能只考虑合同，但真实的数据轨迹更广泛。一个Slack线程中可以包含五个个人信息而没有人注意到。

有关平台方记录的实用视图，请参见 自由职业市场上的所有标签 。这可以帮助您以类别而不是模糊的“项目数据”进行思考。

将数据类型写成简短的列表。五行对于许多工作来说就足够了。如果您无法列出数据，您就无法保护它。

3. 为您的关系选择正确的GDPR角色

首先要检查的角色是控制者。如果您的企业决定自由职业者的个人数据如何使用，您很可能就是控制者。这在您通过自己的采购或人力资源流程雇用自由职业者时很常见。

当自由职业者根据您的指示处理个人数据时，处理者角色就会出现。处理您公司客户记录的网站管理员可能符合这种模式。在这种情况下，合同需要额外的关注，因为自由职业者不仅仅是供应商；他们是在为您的目的处理数据。

共同控制者的情况发生在双方共同决定目的和手段时。这种情况较少见，但可能出现在联合品牌活动、共享研究或与共享数据库的合作项目中。两个方，共同的决策，更多的文书工作。

不要猜测。绘制决策流程。谁选择工具？谁决定保留？谁告诉自由职业者访问哪些人的数据？答案指向角色。如果答案分开，角色也可能分开。

一个简单的测试有助于：如果自由职业者可以选择任务但不能选择目的，您的企业通常是负责的。如果双方都决定目的，合同应该明确说明。模糊性会导致后来的混淆，而混淆会导致延误。

如果您想要更广泛的招聘清单，如何安全地雇佣自由职业者是一个有用的补充材料。GDPR只是安全的一部分，但当被忽视时，它是最昂贵的部分。

4. 确保合同条款正确

自由职业者协议不仅应定义价格和截止日期，还应明确数据职责。添加保密条款、安全职责、数据使用限制、归还义务和删除义务。如果工作涉及个人数据，合同需要说明这些数据从开始到结束的处理方式。

保密与数据保护并不相同，但两者都很重要。承诺不与朋友分享客户记录的自由职业者仍然需要关于存储、访问和删除的指示。一项承诺是社会性的，另一项是操作性的。

包括一条条款，说明自由职业者只能将个人数据用于该项目。包括一条事件报告的条款。如果笔记本电脑丢失或账户被入侵，自由职业者应迅速通知您。

数据的归还和删除应具体说明。说明必须归还什么，以何种格式，以及何时归还。然后说明必须删除什么。像“我们将删除所有内容”这样的模糊承诺听起来不错，但在实际测试中会失败。

对于具有公共规则和入职期望的网站，24freelance.pro网站的规则。页面是一个很好的提醒，说明书面条款的重要性。这个想法同样适用于您自己的合同。

保留签名、版本和日期。没有版本号的合同在经过一次修订后可能变成猜谜游戏。这是一个小的管理细节，但后果重大。

5. 仅收集和分享最低限度的必要数据

数据最小化说起来简单，但容易被忽视。只分享自由职业者完成工作的必要信息。如果设计师需要一个logo简报，他们不需要工资文件。如果翻译者需要源文本，他们不需要你的完整CRM导出。一个任务，一个数据集。

在发送每个项目之前，问问自己是否有必要。如果公司注册号就足够了，就不要收集身份证明文件。当20条记录的样本足以进行测试时，不要分享完整的客户数据库。小的减少也很重要。

限制访问是同一理念的一部分。只给自由职业者访问他们需要的文件夹、工单或系统。工作结束时撤销访问权限。这听起来很基础，因为它确实很基础。

分享最小可行的敏感信息。如果自由职业者只需要姓氏，就不要发送名字。如果他们只需要掩码卡片参考，就不要发送完整的支付历史。一旦信息离开你的收件箱，细节传播得很快。

一些团队因为害怕之后遗漏某些东西而过度收集。这通常会造成后来的问题。精简的文件集更容易解释，更容易保护，也更容易删除。

6. 设置安全的工作和沟通实践

安全的沟通不需要10种工具。它需要明确的习惯。尽可能使用公司邮箱进行项目消息。避免通过随机的个人账户发送敏感附件。如果文件重要，渠道也同样重要。

对于文件共享，如果您的系统支持，请使用带有到期日期的受控链接。必要时对敏感档案进行密码保护，并通过单独的渠道发送密码。这个小的分割可以降低风险。它还可以防止转发的电子邮件变成完整的数据交接。

如果自由职业者处理客户数据或内部文件，设备保护很重要。要求使用屏幕锁、更新的软件和基本的恶意软件保护。如果项目风险较高，仅要求使用安全设备进行工作。一台丢失的笔记本电脑可能会影响许多人。

在公共Wi-Fi、共享计算机和开放的协作空间中要小心。虽然在咖啡馆工作的自由职业者仍然可以做出出色的工作，但在共享机器上留下的登录会话可能在几分钟内暴露项目。这并不戏剧化，而是很常见。

如果项目涉及云系统，请将您的访问设置与中所涵盖的基本内容进行比较云计算技术。访问权限、账户所有权和存储位置都会影响GDPR处理。

如果有安全门户，请不要在长聊天线程中发送敏感数据。聊天适合用于提醒，但不适合记录。将记录保留在您可以稍后找到的地方，并将风险控制在您可以控制的范围内。

7. 正确处理存储、保留和删除

保留是许多自由职业项目漂移的地方。有人“以防万一”保留合同。其他人永远保存发票。有人将文件复制到三个文件夹中并忘记了最旧的一个。这不是一种策略。

为每种记录类型设置保留期限。合同可能需要比工作文件更长的存储时间。发票可能需要因税务或会计原因而保留。草稿、临时导出和测试文件通常在项目结束后没有理由保留。

归档所需内容，删除不需要的内容。归档可以保持法律和会计记录的可用性，而不将活跃的项目数据留在流通中。删除应该是真正的删除，而不是“我想我已经从桌面上删除了它。”尽可能检查云文件夹、同步设备、备份和本地副本。

请自由职业者在工作结束时确认删除。将该确认以书面形式记录。如果他们使用了分包商或共享工具，删除步骤也应涵盖这些路径。一个被遗忘的副本可能会破坏整个清理工作。

如果您在内部维护自由职业者反馈，同样的原则适用于记录保存。您可以阅读更多关于自由职业者评价作为更广泛记录习惯的一部分。笔记应该有用、简短，并且仅在它们服务于明确目的时保留。

绝不要意外保留项目数据。意外并不是法律理由。这只是一个等待截止日期的清理问题。

8. 为未来的自由职业者雇佣创建一个简单的GDPR检查清单

检查清单将一个良好的流程转化为十个可重复的流程。从入职开始：这个自由职业者需要个人数据吗，是或否？然后检查角色、合同、最小数据集、访问方法和删除计划。六个步骤可以涵盖大多数小项目。

保持检查清单简短，以便有人真正会使用它。两页的表格可以有效。20页的政策通常不行。目标不是为了文书工作本身。目标是减少错误。

对设计师、开发人员、作家和助理使用相同的检查清单，然后添加一两个特定角色的检查。开发人员可能需要仓库访问权限。作家可能需要源访谈。簿记员可能需要发票和付款历史。不同的工作，相同的核心问题。

将检查清单与合同和项目简介一起存储。这样下一个经理可以看到哪些内容被批准，哪些内容被共享，哪些内容被删除。缺失的文档会在后期造成额外的工作，尤其是当客户询问为什么最初收集某个文档时。

如果你想围绕不同的自由职业者类型建立一个可重复的流程，设计师的自由职业是一个很好的例子，说明项目设置如何因角色而异，而GDPR的基本内容保持不变。

一个最终的实用习惯：在每个项目结束后审查检查清单，问一个问题：“我们收集了哪些不需要的东西？”这句话比一整文件的政策草案更能发现问题。