GDPR 下聘用自由职业者指南

如何在 GDPR 下聘用自由职业者：分步指南

聘用自由职业者通常很快。GDPR 可不是。对于很多团队来说，真正需要提前准备的，是一套适用于 GDPR 雇佣自由职业者 的基本流程，而不是临时抱佛脚。

如果你的项目涉及姓名、电子邮件地址、发票、证件、登录权限或付款信息，你其实已经在处理个人数据了。这意味着你需要的是一套流程，而不是凭感觉。好消息是，这套流程可以很简单，哪怕只是一个小团队临时聘请一名设计师、开发者或译者，做一个两周的任务。

这篇关于如何在 GDPR 下聘用自由职业者的指南，讲的是实际项目中真正重要的环节，而不是理论。今天把入职流程做得更清楚，日后就能少很多收拾烂摊子的麻烦，尤其是当客户、自由职业者和分包商都碰到同一个文件夹时。

1. 了解何时 GDPR 适用于自由职业者雇佣

当个人数据在欧盟语境下被收集、存储、共享或处理时，GDPR 就适用。自由职业项目很容易触发这一点。一封简单的报价邮件就已经包含姓名和联系方式。签好的合同会增加更多信息。一次银行转账又会带来付款信息。三份文件，一个法律问题。

如果自由职业者会接触你的客户数据、客户名单或内部文件，风险就更高。哪怕是一个小型营销任务，也可能涉及客户姓名和活动记录。一个人的生意依然是生意，法律不会等你把团队人数凑够。

在雇佣前先问一个直接的问题：自由职业者会看到、持有或转移个人数据吗？如果答案是会，就应把这次雇佣视为与 GDPR 相关的关系。这时，随手发个邮件链条就不够用了。

有些团队会忽略这一点，因为任务听起来无害。一个 logo 简报听起来无害。一个付费测试任务也听起来无害。可一旦自由职业者需要访问一份包含 120 人联系方式的名单，规则就会很快改变。

2. 识别你将处理的个人数据

把可能经过项目的每一种数据项都列出来。先从联系方式开始：姓名、工作邮箱、电话号码、职位。然后再看合同、发票、税务信息、付款参考、身份证明文件和账户凭证。每一项都有用途，也都有风险。

发票很常见，合同也一样。身份证明文件就更棘手了。如果只是因为“财务团队喜欢这样”就要求上传护照扫描件，请先停一下。问问这份文件到底是为了工作需要、付款方式，还是法律核验。很多时候，其实都不是。

自由职业者的数据还可能包括作品样本、个人主页链接、项目工具里的 IP 地址，以及聊天应用中的消息。项目经理可能只想到合同，但实际的数据轨迹要宽得多。一段 Slack 对话里，可能就藏着五项个人信息，而且没人注意到。

如果你想从平台层面看一看记录的实际样子，可以参考自由职业市场的全部标签。它能帮助你按类别思考，而不是笼统地说“项目数据”。

把数据类型写成一个简短清单。很多工作五行就够了。如果你连数据都列不出来，就没法保护它；这也是一份实用的 聘用自由职业者 数据保护 清单 的起点。

3. 为你们的关系选择正确的 GDPR 角色

首先要检查的是控制者。如果你的企业决定自由职业者个人数据被如何以及为何使用，那么你大概率就是控制者。这在通过自有采购或人力资源流程聘用自由职业者时很常见。

如果自由职业者按照你的指示处理个人数据，就会出现处理者角色。一个为你公司处理客户记录的网站管理员，就可能属于这种情况。在这种情况下，合同就需要更加谨慎，因为自由职业者不只是供应商；他们是在为你的目的处理数据。

共同控制者的情况，是指双方一起决定处理目的和方式。这种情况没那么常见，但在联合品牌活动、共享研究或共同使用数据库的合作项目中也可能出现。两方、同一套决定、更多文书工作。

不要猜。把决策过程画清楚。谁来选择工具？谁决定保留期限？谁告诉自由职业者可以访问哪些人的数据？答案会指向相应角色。如果答案是分开的，角色也可能是分开的。

一个简单的判断方法很有用：如果自由职业者能决定怎么做任务，但不能决定目的，那通常就是你的企业负责。如果双方都决定目的，合同就应该明明白白写出来。含糊不清只会在之后制造混乱，而混乱会带来延误。

如果你想要更完整的雇佣清单，如何安全雇佣自由职业者是一篇很好的配套文章。GDPR 只是安全的一部分，但它是被忽视后代价最高的那一部分。

4. 订立合适的合同条款

自由职业协议不应该只定义价格和截止日期，也应写明数据责任。加入保密条款、安全义务、数据使用限制、返还义务和删除义务。如果工作涉及个人数据，合同需要明确说明这些数据从开始到结束会怎么处理。换句话说，自由职业者 GDPR 合同条款 不能只是模板里顺手加上的一句话，而应当能真正覆盖项目中的风险。

保密不等于数据保护，但两者都重要。一个自由职业者即便承诺不把客户记录分享给朋友，也仍然需要关于存储、访问和删除的指示。一个承诺是社交层面的，另一个是操作层面的。

加入一条条款，说明自由职业者只能把个人数据用于该项目。再加入一条事故报告条款。如果笔记本丢失或账户遭到入侵，自由职业者应迅速通知你。

数据返还和删除要写得具体。说明需要返还什么、以什么格式返还、何时返还。然后说明必须删除什么。像“我们会删除一切”这样的笼统承诺听起来很好听，但一旦真的要执行，就经不起检验。

对于有公开规则和入门要求的网站，24freelance.pro 网站规则。自由职业页面可以很好地提醒你：书面条款很重要。同样的道理也适用于你自己的合同。

保留签名、版本和日期。一份没有版本号的合同，在经过一次修改后就可能变成猜谜游戏。这看似只是个小小的行政细节，却会带来很大的后果。

5. 只收集和共享真正必要的最少数据

数据最小化说起来容易，做起来常常会漏掉。只分享自由职业者完成工作所需的信息。如果设计师需要的是 logo 简报，他们不需要工资单文件。如果译者需要的是原文，他们不需要你完整的 CRM 导出。一个任务，一组数据。

发送之前先问问每一项是否必要。不要在公司注册号就足够时，还去收集身份证件。不要在 20 条样本就足以测试时，把整份客户数据库都分享出去。哪怕只是减少一点点，也很重要。

限制访问权限也是同样的思路。只给自由职业者访问他们完成工作所需的文件夹、工单或系统。工作结束后就收回权限。这听起来很基础，因为它本来就是基础。

只分享最少量、还能完成工作的敏感信息。如果自由职业者只需要姓氏，就不要连名字一起发。如果他们只需要被遮盖过的卡片参考号，就不要把完整付款历史发过去。信息一旦离开收件箱，就会迅速扩散。

有些团队因为担心以后漏掉什么，而过度收集。通常这样反而会制造后面的麻烦。精简的文件集更容易解释、更容易保护，也更容易删除。

6. 建立安全的工作和沟通方式

安全沟通不需要 10 个工具，它需要清晰的习惯。项目消息尽量使用公司邮箱。避免通过随意的个人账户发送敏感附件。如果文件重要，传输渠道也同样重要。

文件共享时，如果系统支持，使用带过期时间的受控链接。必要时，对敏感压缩包加密码，并把密码通过另一种渠道发送。这样一分开，风险就会降低。也能避免一封被转发的邮件变成完整的数据交付。

如果自由职业者要处理客户数据或内部文件，设备保护就很重要。要求屏幕锁定、软件更新和基础的恶意软件防护。如果项目风险较高，则要求只在受保护的设备上工作。丢失一台笔记本，可能影响很多人。

要小心公共 Wi‑Fi、共享电脑和开放式协作空间。自由职业者在咖啡馆工作也完全可以产出高质量成果。但如果登录会话在共享机器上没退出，几分钟内就可能暴露整个项目。这并不夸张，这很常见。

如果项目涉及云系统，可以把你的访问设置和云计算技术中涵盖的基础内容对照一下。访问权限、账户归属和存储位置都会影响 GDPR 处理方式。

如果有安全门户可用，就不要在长聊天记录里发送敏感数据。聊天适合提醒，不适合留档。把记录放在以后找得到的地方，把风险放在你能控制的地方。

7. 正确处理存储、保留和删除

保留期限是很多自由职业项目最容易失控的地方。有人把合同一直留着，“以防万一”。有人把发票永久保存。有人把文件复制到三个文件夹里，然后忘了最早的那个。这不是策略。

为每种记录类型设置保留期限。合同的保存时间可能比工作文件更长。发票可能需要为了税务或会计原因保留。草稿、临时导出和测试文件，通常在项目结束后就没有理由继续留下。

把需要的归档，把不需要的删除。归档可以让法律和会计记录继续可用，而不会让活动中的项目数据四处流转。删除应该是真正的删除，而不是“我觉得我已经从桌面删掉了”。如果可以，检查云文件夹、同步设备、备份和本地副本。

在工作结束时，请自由职业者确认已经删除。并把这份确认写下来。如果他们使用了分包商或共享工具，删除步骤也应该覆盖这些路径。只要漏掉一份副本，就可能毁掉整个清理结果。

如果你在内部保留自由职业者反馈，同样需要这种记录管理纪律。你可以阅读更多关于自由职业者评价的内容，把它作为更广泛记录习惯的一部分。笔记应该有用、简短，并且只在明确需要时保留。

永远不要因为疏忽而保留项目数据。疏忽不是合法理由，它只是一个等着到期的清理问题。

8. 为未来的自由职业者雇佣建立一份简单的 GDPR 清单

清单能把一次做对的流程变成十次可重复的流程。先从入职开始：这位自由职业者是否需要个人数据？是或否。然后检查角色、合同、最小数据集、访问方式和删除计划。六个步骤就能覆盖大多数小型项目。

把清单做得足够短，短到别人真的会用。两页表格也许可行，20 页政策通常不行。目标不是为了有文件而有文件，目标是减少错误。

设计师、开发者、写作者和助理都可以用同一份清单，然后再增加一两项与角色相关的检查。开发者可能需要仓库访问权。写作者可能需要原始访谈材料。记账人员可能需要发票和付款历史。工作不同，核心问题相同。

把清单和合同、项目说明一起存档。这样下一位经理就能看到哪些内容被批准、分享了什么、又删除了什么。缺少文档会让以后多出很多工作，尤其是在客户追问为什么最初会收集某份文件时。

如果你想围绕不同类型的自由职业者建立可重复的流程，设计师自由职业就是一个很好的例子，说明项目设置会因角色而变化，但 GDPR 的基本原则始终不变。

最后一个实用习惯：每个项目结束后都用一个问题复盘清单——“我们收集了哪些其实并不需要的东西？” 这句话比满文件夹的政策草稿更能发现问题。