İşçi Məlumatlarının CRM və HR Sistemlərində Təhlükəsiz İdarə Olunması

Qanuni Tələblər və İcazə Verilən Məlumat Növləri

Azərbaycan Respublikasının “Fərdi məlumatlar haqqında” Qanunu (SRC078) fərdi məlumatların toplanması, işlənməsi və mühafizəsi prinsiplərini müəyyən edir. Qanuna görə, işçi məlumatları yalnız qanuni əsaslarla, konkret məqsədlər üçün toplana bilər. Əmək münasibətləri üçün zəruri olan ad, soyad, əlaqə məlumatları, vəzifə, əmək haqqı kimi məlumatlar işəgötürən tərəfindən emal edilə bilər, lakin bu məlumatların həcmi məqsədə uyğun olmalıdır.

Xüsusi kateqoriyalı fərdi məlumatlar (irqi və ya milli mənsubiyyət, ailə həyatı, dini etiqad, sağlamlıq, məhkumluq) üçün Qanunun 2.1.6-cı maddəsində xüsusi qaydalar nəzərdə tutulub. Bu məlumatlar yalnız qanunla icazə verilən hallarda və ya subyektin açıq razılığı ilə emal oluna bilər. HR sistemində sağlamlıq məlumatlarını saxlamaqdan çəkinmək, zərurət yaranarsa isə bu məlumatları ayrıca və daha güclü təhlükəsizlik tədbirləri ilə qorumaq vacibdir.

Əmək Məcəlləsi (SRC079) əmək münasibətlərində işçinin şəxsi həyatının toxunulmazlığını təmin edir. Bu o deməkdir ki, işəgötürən yalnız iş funksiyası ilə birbaşa əlaqəli məlumatları toplamalıdır. Məsələn, işə qəbul zamanı tibbi arayış tələb etmək yalnız müəyyən vəzifələr üçün qanunla nəzərdə tutulduqda mümkündür.

Əmək haqqı və vergi məlumatları ilə bağlı Dövlət Vergi Xidmətinin tələbləri də nəzərə alınmalıdır. SRC036-da qeyri-neft-qaz sektorunda gəlir vergisi güzəştləri ilə bağlı yeni mexanizm qeyd olunur, lakin konkret şərtlər dəyişə bilər və rəsmi saytdan yoxlanılmalıdır.

• Məlumatların toplanması üçün hər bir işçidən yazılı razılıq alın və onu sistemdə qeyd edin.
• Xüsusi kateqoriyalı məlumatları yalnız qanunun icazə verdiyi hallarda emal edin.

CRM və HR Sistemlərində Giriş İdarəçiliyi

Giriş hüquqlarını rol əsaslı prinsiplə müəyyənləşdirin: hər bir işçi yalnız vəzifəsinə uyğun məlumatlara giriş əldə etməlidir. Məsələn, satış departamenti CRM-də müştəri məlumatlarına baxa bilər, lakin əmək haqqı məlumatlarına girişi olmamalıdır. HR sistemlərində isə yalnız HR əməkdaşları və mühasibatlıq işçiləri əmək haqqı, bank rekvizitləri kimi həssas məlumatlara tam girişə malik ola bilər.

Hər bir istifadəçi üçün unikal hesab yaradın, parol siyasəti tətbiq edin (məsələn, ən azı 8 simvol, rəqəm və işarə), iki faktorlu autentifikasiyanı (2FA) aktiv edin. Sistemə edilən bütün girişləri və əməliyyatları jurnalda qeyd edin ki, hər hansı şübhəli hərəkəti izləyə biləsiniz. Bu, həm də məlumat sızması halında məsuliyyətin müəyyən edilməsinə kömək edir.

Xarici təchizatçılar (məsələn, CRM provayderi) məlumatlara çıxış əldə edirsə, onlarla məlumat emalı müqaviləsi bağlayın və onların da qanunvericiliyə uyğun hərəkət etdiyinə əmin olun. Müqavilədə məlumatların məxfiliyi, emal məqsədi və təhlükəsizlik tədbirləri aydın göstərilməlidir.

• Ən az giriş prinsipi: hər kəsə yalnız işi üçün lazım olan minimum icazəni verin.
• Unikal istifadəçi adları və mürəkkəb parollar tətbiq edin.
• 2FA və giriş jurnalları vasitəsilə təhlükəsizliyi gücləndirin.
• Üçüncü tərəf xidmət təminatçıları ilə məlumat emalı müqaviləsi bağlayın.

Məlumatların Saxlanma Müddəti və Təhlükəsiz Saxlanması

Məlumatların saxlanma müddətini qanunvericilik tələblərinə uyğun müəyyən edin. Əmək Məcəlləsi (SRC079) bəzi əmək sənədlərinin saxlanma müddətlərini müəyyən edə bilər, lakin bu müddətlər fərqli ola bilər və rəsmi mətndən dəqiqləşdirilməlidir. Vergi qanunvericiliyi isə mühasibat və əmək haqqı sənədlərinin, məsələn, arayışların 5 il və ya daha çox saxlanmasını tələb edə bilər (SRC036).

Saxlama müddəti başa çatan məlumatları təhlükəsiz şəkildə silmək və ya anonimləşdirmək lazımdır. Anonimləşdirmə zamanı məlumatlar heç bir fiziki şəxslə əlaqələndirilə bilməz. Silinmə prosesini sənədləşdirin ki, audit zamanı sübut edə biləsiniz.

CRM və HR sistemlərində məlumatların şifrlənməsi və mütəmadi yedəkləmə aparılması vacibdir. Yedəkləmələri ayrıca, təhlükəsiz mühitdə saxlayın və onlara girişi yalnız məsul şəxslərlə məhdudlaşdırın. Fiziki sənədlər üçün isə kilidli şkaflardan istifadə edin və məhv edərkən shredder tətbiq edin.

• Məlumatların saxlanma müddətini qanuna uyğun müəyyənləşdirin və artıq məlumat saxlamayın.
• Müddət bitdikdə təhlükəsiz silinmə və ya anonimləşdirmə həyata keçirin.
• Təhlükəsiz yedəkləmə və şifrləmə tətbiq edin.
• Fiziki sənəd mühafizəsi üçün xüsusi tədbirlər görün.

İşdən Çıxan İşçinin Məlumatlarının İdarə Edilməsi

İşçi işdən çıxdığı gün bütün sistemlərə girişini dərhal bağlayın. Bura e-poçt, CRM, HR, daxili tətbiqlər və digər platformalar daxildir. Hesabı bloklamaq və ya silmək kimi əməliyyatı sənədləşdirin. Gecikdirilmiş girişin bağlanması məlumat sızması riskini artırır.

Bəzi məlumatlar qanuni tələblərə görə işçi işdən çıxdıqdan sonra da saxlanmalıdır. Məsələn, vergi orqanları üçün əmək haqqı məlumatları bir neçə il saxlanıla bilər. Bu halda bu məlumatları aktiv bazadan ayırın və ya arxivləşdirin, girişi yalnız səlahiyyətli HR və mühasibat işçiləri ilə məhdudlaşdırın.

İşdən çıxan işçinin şəxsi məlumatlarının həcmini minimuma endirin: yalnız qanunla tələb olunan məlumatları saxlayın. Aramızda olan digər məlumatları (məsələn, müştəri məlumatları) işçinin şəxsi məlumatlarından ayırın. Saxlanma müddəti bitdikdən sonra silinməni təmin etmək üçün bir prosedur yaradın.

İşçidən geri alınan avadanlıqlarda (noutbuk, telefon) qalan məlumatların təhlükəsiz şəkildə silindiyinə əmin olun. Bu cihazlarda şəxsi və korporativ məlumatlar ola bilər, ona görə də onları formatlamaq və ya silmə proqramlarından istifadə etmək vacibdir.

• İşdən çıxma günü bütün girişləri dərhal bloklayın.
• Qanuni saxlanmalı olan məlumatları arxivləşdirin və girişi məhdudlaşdırın.
• Avadanlıqları geri alarkən məlumatların silindiyinə əmin olun.

Addım-addım Plan: Audit, Siyasət və Nəzarət

İlk növbədə CRM və HR sistemlərindəki mövcud məlumatların auditi aparın: hansı məlumatlar saxlanılır, kimlər girişə malikdir, nə qədər müddətdir saxlanılır və silinmə qaydası varmı? Bu audit məlumatların həcmini anlamağa və riskləri müəyyən etməyə kömək edir.

Fərdi məlumatların emalı siyasəti hazırlayın. Siyasətdə məlumatların toplanma məqsədləri, giriş hüquqları, saxlanma müddətləri, silinmə prosedurları və işdən çıxma prosesləri əks olunmalıdır. Sənədi təsdiqləyin və bütün işçilərə çatdırın.

Bütün işçilər üçün məlumat qoruma təlimi keçirin. Əsas diqqət məlumatların emalı qaydalarına, giriş hüquqlarının düzgün istifadəsinə və məlumat sızması hallarında nə edəcəklərinə yönəldilməlidir. Təlimləri mütəmadi olaraq yeniləyin.

Giriş loglarını mütəmadi olaraq yoxlayın və təhlükəsizlik tədbirlərinin effektivliyini qiymətləndirin. Qanunvericilikdəki dəyişiklikləri izləyin və siyasətlərinizi yeniləyin. Məsələn, vergi güzəştləri ilə bağlı yeniliklər üçün Dövlət Vergi Xidmətinin saytını (SRC036) yoxlayın.

• Müntəzəm audit keçirmək riskləri azaldır.
• Yazılı siyasət və təlim məlumat qoruma mədəniyyəti yaradır.
• Nəzarət və yeniləmə təhlükəsizliyin davamlılığını təmin edir.