La conservazione dei dati HR è la disciplina che consiste nel decidere per quanto tempo ogni tipo di record del personale debba esistere e poi nel far sì che il sistema lo faccia davvero. È difficile per una ragione che non ha nulla a che fare con la tecnologia: la risposta è diversa in ogni giurisdizione e per ogni categoria di record, e nessuna singola cifra può essere corretta ovunque.
Questo articolo espone perché non esiste un periodo universale, come i record del personale si dividano in gruppi con orologi diversi, quali principi governino la decisione e cosa debba coprire la cancellazione per significare qualcosa.
Perché non esiste un unico periodo di conservazione?
Perché il periodo è stabilito da chi ha autorità sul record, e questo varia per giurisdizione e spesso per tipo di record dentro una singola giurisdizione.
Alcuni periodi esistono perché un reclamo può ancora essere presentato per quel tempo, e il periodo è fissato affinché la prova sopravviva al reclamo. Alcuni esistono perché un regolatore richiede il record per l’ispezione. Alcuni esistono per servire la persona a cui il record si riferisce, così che possa ottenere una referenza o provare un periodo di impiego anni dopo. E alcuni esistono semplicemente perché al sistema non è mai stato detto di smettere di conservarli, il che non è affatto una regola ma l’assenza di una regola.
La conseguenza pratica è che chi progetta la conservazione dovrebbe trattare il periodo come configurazione fornita dall’operatore per la propria giurisdizione, non come una costante da scegliere da parte dello sviluppatore. Una durata codificata in modo fisso è sbagliata nella maggior parte dei posti in cui verrà eseguita, ed è sbagliata silenziosamente, perché nulla nel sistema controlla se il numero si applichi ancora. Dove un periodo è configurabile, l’operatore può risponderne; dove è incorporato, nessuno può.
Come si dividono i record del personale per scopo?
Per ciò a cui il record serve, perché è questo che determina il suo orologio. Quattro gruppi coprono la maggior parte di ciò che un sistema di assunzione detiene.
| Gruppo | A cosa serve | Perché il suo orologio differisce |
|---|---|---|
| Record dei dipendenti attivi | Amministrare il rapporto di lavoro | Conservati finché dura il rapporto e di solito oltre |
| Record degli ex dipendenti | Referenze, reclami e obblighi di legge | Conservati per un periodo dopo la fine del rapporto, stabilito dall’operatore |
| Materiale dei candidati non selezionati | Prova relativa a una decisione | Di solito il più breve, perché la decisione è chiusa |
| Note e valutazioni dei colloqui | Il ragionamento dietro una decisione | Spesso trascurati, ed è il gruppo più frequentemente conservato in modo informale |
Gli ultimi due gruppi causano i guai maggiori, e per la stessa ragione: vengono creati nel mezzo di un processo, da persone che non stanno pensando a un regime documentale, e spesso vivono fuori dal sistema che gestisce tutto il resto. Le note prese durante una riunione, i messaggi tra intervistatori e un foglio di calcolo usato per confrontare i candidati sono tutti record del personale. Una politica di conservazione che copre solo il sistema di tracciamento delle candidature sta coprendo una parte del quadro.
Trattare tutti e quattro i gruppi come un unico record con una sola data di scadenza è l’errore di progettazione più comune. Produce il peggio dei due esiti: materiale dei candidati conservato molto più a lungo di quanto richieda la decisione, e record di impiego fatti scadere prima di quanto consentano gli obblighi stessi dell’operatore.
Quali principi dovrebbero governare la decisione?
Sei, e sono quelli ordinari per le informazioni personali, applicati a un contesto di assunzione.
- Limitazione dello scopo — raccogli il record per uno scopo dichiarato e non riutilizzarlo per altro più tardi solo perché si trova lì.
- Minimizzazione — detieni ciò che lo scopo richiede e nulla che potrebbe soltanto essere utile.
- Esattezza — mantieni corretto il record e offri alla persona una via per correggerlo.
- Limitazione della conservazione — definisci quanto vive ogni record e rendilo effettivo invece di presumerlo.
- Integrità e riservatezza — limita chi può raggiungere il record e sappi chi l’ha fatto.
- Responsabilità — sii in grado di mostrare che i primi cinque stanno davvero accadendo.
Due di questi vengono spesso affermati e raramente attuati. La limitazione della conservazione tende a esistere come politica scritta senza alcun meccanismo alle spalle, così i record sopravvivono al loro periodo e nessuno lo scopre. La responsabilità tende a significare un documento più che una pratica, così non c’è modo di rispondere a una domanda su cosa sia stato cancellato e quando.
La minimizzazione merita un avvertimento specifico in un contesto di assunzione, perché la tentazione va nella direzione opposta. Le informazioni in più sembrano innocue al momento della raccolta e sono esattamente il materiale che crea esposizione più tardi. Un campo che non serve alla decisione non è un’aggiunta neutrale; è una passività con un orologio di conservazione attaccato.
Cosa deve coprire la cancellazione?
Tutto ciò che il record ha toccato, che quasi mai è una singola tabella.
La vita di un record lascia tracce nei posti in cui è passato, e ognuno di quei posti ha bisogno di una regola. Archiviazione attiva, backup e archivi, esportazioni prodotte per la rendicontazione, voci di log che contengono valori dei campi, indici di ricerca costruiti dal record, copie in cache detenute da un’integrazione e qualunque copia che una persona abbia scaricato su un dispositivo locale. Cancellare la riga e fermarsi lì è un conteggio incompleto comune e grave.
Tre distinzioni rendono il progetto affrontabile. Separa la cancellazione dall’anonimizzazione e sii onesto su quale delle due venga fatta — rimuovere il collegamento a una persona non è la stessa cosa che rimuovere il record, e un record anonimizzato che può essere ricollegato non è stato anonimizzato. Separa la scadenza dalla cancellazione su richiesta, poiché una gira secondo un calendario e l’altra arriva in un momento arbitrario e deve propagarsi attraverso gli stessi posti. E separa il record dalla prova che la cancellazione è avvenuta, che di norma deve sopravvivere alla cancellazione stessa.
I backup sono la parte che resiste a tutto questo, perché il meccanismo ordinario per recuperare l’ultimo stato è lo stesso meccanismo che conserva il record cancellato. La posizione riconciliata abituale è che i backup siano esclusi dalla cancellazione immediata ma debbano essere coperti da una scadenza che li raggiunga alla fine, e che un backup ripristinato riapplichi le cancellazioni effettuate da quando è stato creato. Qualunque posizione si adotti, dovrebbe essere una decisione messa per iscritto invece che un’omissione che nessuno ha notato.
Per gli sviluppatori: conservazione come configurazione e purge
Tratta il periodo come dato. Dai a ogni categoria di record il proprio periodo configurato, fornito dall’operatore, e lascia che il sistema renda effettivo ciò che gli viene detto invece di portare un’opinione.
Cinque abitudini fanno la differenza. Etichetta ogni record con la categoria che determina il suo orologio, così che un purge possa trovare i record per regola invece che per un elenco mantenuto a mano. Aggancia l’orologio alla categoria invece che alla tabella, perché la stessa tabella contiene record di diversi tipi. Registra il purge stesso — quando è girato, cosa ha trovato e cosa ha cancellato — e conserva quel log dove il purge non possa rimuoverlo. Rendi i campi che raccogli quelli di cui il tuo scopo documentato ha bisogno, così che la minimizzazione sia una proprietà dello schema invece che una promessa. E dai a ogni ambiente che detiene dati del personale, compresi gli ambienti di test e dimostrazione, lo stesso regime, perché una copia in un ambiente di test è una copia.
Quest’ultimo punto è quello su cui agire per primo. I dati del personale non dovrebbero essere usati affatto per popolare ambienti di test. I record campione dovrebbero essere costruiti per lo scopo e, dove una copia di dati reali è inevitabile per una specifica indagine, dovrebbe essere governata come se fosse produzione. Tutto ciò che si trova su questo sito è generato per test e dimostrazione, e i record del personale che produce sono pensati per sostituire quelli reali esattamente in quegli ambienti, mai per integrarli.
Prossimi passi
Scopri se i tuoi sistemi riescono a rispondere a una domanda: quali record di candidati di due anni fa non hanno più uno scopo e cosa li trattiene ancora. La risposta è di solito un elenco di posti a cui nessuno ha pensato, ed è un punto di partenza migliore di un documento di policy. Come viene assemblato in primo luogo un record di carriera sintetico è trattato nei dati di test del profilo professionale, e uno dei campi più sensibili di un tale record è trattato separatamente in stipendio, valuta e periodo. Lo strumento per i profili professionali produce record pensati per uso di test e dimostrazione più che per la produzione.