Ochrona danych osobowych pracowników jest obowiązkiem każdego pracodawcy, który nie może dopuścić m.in. do zaniedbania warunków ich przechowywania. Sprawdź, jakich informacji może żądać od Ciebie pracodawca.
Wszystkie podmioty przetwarzające nasze dane osobowe — jako pracowników, konsumentów lub kandydatów w procesie rekrutacji, zobowiązane są poprzez rozporządzenie RODO do ochrony informacji dotyczących danych osobowych pracowników i konsumentów. Prawo w zakresie przetwarzania danych osobowych jest bardzo restrykcyjne i dokładnie określa obowiązki pracodawcy względem danych osobowych w zakresie niezbędnym do przeprowadzenia rekrutacji, danych osobowych stałych pracowników, a nawet określa zasady dotyczące danych biometrycznych. RODO nakłada także obowiązek informacyjny wynikający z postanowień prawnych tego rozporządzenia. Jak w praktyce wygląda ochrona danych osobowych pracowników i kandydatów? Jakich informacji może żądać pracodawca?
Spis treści
Dane osobowe – definicja
Dane osobowe to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, której tożsamość można określić bezpośrednio poprzez numer PESEL oraz dane biometryczne (DNA, odciski linii papilarnych lub siatkówka oka), a także pośrednio za pomocą specyficznych i indywidualnych czynników, pozwalających na dokładne określenie cech fizycznych, umysłowych, fizjologicznych, kulturowych, ekonomicznych czy społecznych.
Warto zauważyć, że samo imię lub samo nazwisko nie nosi jeszcze znamion danych osobowych. Dopiero połączenie tych dwóch informacji tworzy dane, które mogą posłużyć do zidentyfikowania konkretnej osoby.
Ochrona danych osobowych – ustawa
10 maja 2018 roku Sejm RP uchwalił nową ustawę o ochronie danych osobowych, która weszła w życie 25 maja 2018 roku. Znajdujące się w niej zagadnienia opisują między innymi ograniczenia lub wyłączenia przepisów ustawy, lub RODO, postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, kontrola przestrzegania przepisów i inne.
Ustawa nakłada także obowiązek informacyjny wynikający z RODO. Co to oznacza? Każdy pomiot przetwarzający dane osobowe pracownika bądź konsumenta zobowiązany jest zamieszczenia informacji dotyczącej tego, kto i w jakim celu będzie przetwarzał te dane oraz o tym, że istnieje możliwość wycofania zgody na przetwarzanie danych osobowych już na etapie rekrutacji. Co dokładnie powinno znaleźć się w takiej informacji?
- pełna nazwa i adres siedziby
- dane kontaktowe inspektora ochrony danych
- cel przetwarzania danych
- informacja o podstawie prawnej przetwarzania danych obowiązującej w momencie pobierania danych
- odbiorcy danych
- zamiar transgranicznego przetwarzania danych
- prawo do żądania dostępu do danych przez osoby, których dane dotyczą — w tym otrzymania kopii, zmiany lub usunięcia
Co więcej, jeśli dane osobowe wymagane są w procesie rekrutacji (a są) powinny zostać usunięte lub odesłane kandydatom niezwłocznie po zakończeniu procesu rekrutacji. Z reguły wygodniejszym i szybszym rozwiązaniem jest usunięcie zbędnych danych. Dodatkowym gwarantem na zachowanie anonimowości we wstępnym etapie rekrutacji są agencje zatrudnienia.
Jakich danych osobowych może żądać pracodawca?
Według art. 22 (1) § 1 Kodeksu pracy pracodawca może żądać w toku rekrutacji i po zatrudnieniu pracownika, podania następujących danych osobowych:
- Imię i nazwisko oraz imiona rodziców
- Data urodzenia
- Adres zamieszkania (adres do korespondencji)
- Wykształcenie
- Przebieg dotychczasowego zatrudnienia
Ponadto pracodawca może również wymagać podania innych danych, takich jak informacja o niekaralności, podanie numeru PESEL, numer rachunku bankowego, a także imion i nazwisk oraz dat urodzenia własnych dzieci, w przypadku korzystania ze szczególnych uprawnień przewidzianych w prawie pracy. Jest to tzw. katalog danych.
Udostępnianie danych osobowych dla pracodawcy następuje poprzez wypełnienie oświadczenia w kwestionariuszu osobowym lub rzadziej przez np. okazanie dowodu osobistego.
Informacje szczególnie wrażliwe
Warto jednak zwrócić uwagę również na informacje szczególnie wrażliwe, takie jak przetwarzanie danych biometrycznych. Z ogólnych przepisów wynika, że zabronione jest przetwarzanie danych pozwalających na natychmiastowe i jednoznaczne zidentyfikowanie osoby np. poprzez zdjęcie twarzy bądź odcisk palca, jednak istnieją pewne wyjątki. Jakie to wyjątki?
- zgoda osoby fizycznej
- gdy przetwarzanie uznaje się za niezbędne do wypełnienia obowiązków służbowych i wykonywania szczególnych praw przez administratora danych biometrycznych lub osobę, której te dane dotyczą w dziedzinie prawa pracy.
W skrócie oznacza to, że pracodawca może wymagać danych biometrycznych tylko w ściśle określonych sytuacjach, zgodnych z przepisami. Szczególnie wtedy, gdy stanową one element niezbędnej kontroli dostępu do ważnych informacji, których ujawnienie może narazić przedsiębiorstwo na szkody (np. tajna receptura do panierki z KFC).
Zdarza się także, że pracodawca prosi o dane osobowe pracownika dotyczące sytuacji rodzinnej i materialnej w celu ustalenia prawa do pozyskania świadczeń z zakładowego funduszu świadczeń socjalnych. Są to wtedy inne dane osobowe pracownika i jego dzieci, które służą tylko do weryfikowania dodatkowych uprawnień.
Pracodawca nie może jednak pozyskiwać danych niemających nic wspólnego z zatrudnieniem np. o wyznaniu, orientacji seksualnej, czy planach powiększenia rodziny.
Ochrona danych osobowych pracownika a prawo pracy
Pracodawca, jako administrator danych osobowych, ma pełne prawo do pozyskiwania, gromadzenia, utrwalania, przechowywania i udostępniania danych o swoich pracownikach. Co więcej, według art. 37 Kodeksu pracy o ochronie danych osobowych, pracodawca może upoważnić na piśmie pracowników zajmujących się sprawami pracowniczymi (np. dział HR, dział księgowości) do przetwarzania danych osobowych osób zatrudnionych w jego zakładzie pracy. Powinien on również prowadzić ewidencję osób do tego upoważnionych.
Jednak w przypadku, gdy pracodawca zezwoli przetwarzać dane osobowe jego pracowników bez upoważnienia, to zgodnie z art. 51 ust 1 o ochronie danych osobowych, grozi mu kara grzywny, ograniczenie wolności lub pozbawienie wolności do dwóch lat.
Warto zaznaczyć także, że pracodawca jest upoważniony między innymi do prowadzenia monitoringu poczty służbowej, jednak jeśli dojdzie do powzięcia informacji prywatnych, pracodawca jest zobowiązany do zachowania ich w tajemnicy. Dodatkowo przedsiębiorca może zastosować monitoring wizyjny, jeżeli jest on niezbędny w celu zachowania bezpieczeństwa pracowników i mienia lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na straty.
Ochrona danych osobowych w pracy
Obowiązkiem pracodawcy jest dopilnowanie, aby wszystkie dane osobowe jego pracowników były ściśle i należycie chronione w warunkach niegrożących zniszczeniem dokumentacji. Musi również poinformować ich o przetwarzaniu danych osobowych, a także o ewentualnej aktualizacji.
Okres przechowywania danych osobowych pracowników wynosi obecnie 10 lat i liczony jest od dnia ustania okresu zatrudnienia.
Pracodawca nie powinien żądać kserokopii dowodu osobistego, prawa jazdy lub paszportu od swoich pracowników. Nie powinien również przechowywać ich w aktach osobowych osób zatrudnionych. W innym przypadku prowadzić będzie to do gromadzenia nadmiarowych danych o pracownikach niezwiązanych z ich wykonywaną pracą. Warto również wspomnieć, iż w RODO nie istnieje zapis, który prawnie uzasadniałby potrzebę wykonywania kserokopii dokumentów tożsamości. Niemniej jednak wskazuje on na zasadę minimalności o przetwarzaniu tylko takich informacji, które są niezbędne dla danego celu.
