Dane gromadzone od pracownika

Należy pamiętać, że zgodnie z art. 26 K.p. stosunek pracy nawiązuje się w dniu określonym w umowie jako dzień rozpoczęcia pracy i dopiero z tym dniem pracownik otrzymuje status pracownika, co oznacza możliwość żądania od niego przez pracodawcę kolejnych danych osobowych.

Pracownik w sierpniu 2023 r. podpisał umowę o pracę na okres od 1 grudnia 2023 r., gdyż u poprzedniego pracodawcy miał 3-miesięczne wypowiedzenie umowy o pracę. W okresie do końca listopada 2023 r. powinien być traktowany nadal jako osoba przyjmowana do pracy, a dopiero w dniu 1 grudnia 2023 r. zmieni status i stanie się pracownikiem. W tym dniu można będzie oczekiwać od niego podania numeru PESEL, wypełnienia PIT-2, czy podania danych niezbędnych do ZUS ZUA.

Działy kadr powinny uważać z wysyłanymi do przyszłych pracowników mailami związanymi z prośbami o wypełnienie kwestionariusza osobowego, czy też innych dokumentów. Jeśli pracownicy kadr chcą przyspieszyć okres onbordingu (tzn. działań, których celem jest wdrożenie, adaptacja i klimatyzacja nowego pracownika) w pierwszym dniu, to mogą wysłać te dokumenty z prośbą o ich wypełnienie i przyniesienie ze sobą w pierwszym dniu pracy, ale warto zaznaczyć od razu, że data złożenia oświadczeń wynikających z poszczególnych dokumentów powinna być określona jako dzień nawiązania stosunku pracy, a nie data wcześniejsza.

Od pracownika można żądać następnie dodatkowych danych osobowych obejmujących:

1) adres zamieszkania,

2) numer PESEL, a w przypadku jego braku - rodzaj i numer dokumentu potwierdzającego tożsamość,

3) inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy,

4) wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie,

5) numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych.

Udostępnienie wszystkich danych osobowych pracodawcy następuje w formie oświadczenia osoby, której dane dotyczą, ale pracodawca może żądać udokumentowania danych osobowych w zakresie niezbędnym do ich potwierdzenia.

W powyższym katalogu są dwie kategorie danych, które pracodawca może posiadać już z wcześniejszego etapu zatrudniania pracownika, a jest to adres zamieszkania oraz dane dotyczące wykształcenia i przebiegu dotychczasowego zatrudnienia, o ile w tym drugim przypadku istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie. Zatem całkowicie nowymi są w tej sytuacji 3 kategorie danych osobowych: PESEL, numer rachunku płatniczego oraz dane osobowe pracownika, jego dzieci lub członków najbliższej rodziny, jeżeli ich podanie jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy.

Pracownik ma 3-letnie dziecko i chciałby skorzystać z uprawnień rodzica polegających na zakazie nadgodzin, pracy w nocy, czy też ze zwolnienia z tytułu opieki nad dzieckiem do lat 14, wynikającego z art. 188 K.p.

W takim przypadku pracownik musi złożyć dodatkowe oświadczenia i podać imię i nazwisko dziecka oraz datę urodzenia, aby dział kadr mógł zweryfikować czas, do którego pracownik może korzystać z poszczególnych uprawnień, gdyż po zmianach wprowadzonych w Kodeksie pracy od 26 kwietnia 2023 r. część z nich dotyczy rodzica dziecka do lat 4, część do lat 8, a część do lat 14.
 

Przykładem takich danych będą informacje o niekaralności pracownika, czego wymagają przepisy w przypadku niektórych stanowisk. Zagadnienie to zostanie jednak przedstawione w dalszej części niniejszego dodatku.

Większość danych osobowych, jakie są żądane od pracownika jest przekazywanych pracodawcy za pośrednictwem kwestionariusza osobowego dla pracownika. Aktualnie nie ma oficjalnego wzoru tego dokumentu, gdyż w obecnym rozporządzeniu w sprawie dokumentacji pracowniczej zrezygnowano w ogóle z załączników w postaci wzorów druków. Na stronie internetowej resortu pracy są jednak zamieszczone tzw. pomocnicze kwestionariusze. Nie mają one mocy prawnie wiążącej i każdy z pracodawców może opracować swój kwestionariusz. Co więcej może to być także formularz elektroniczny do wypełnienia w systemie informatycznym, gdyż przepisy Kodeksu pracy nie przewidują, że dane takie muszą zostać przekazane pracodawcy na piśmie.

Jeżeli pracodawca w takim kwestionariuszu pobiera imię i nazwisko oraz np. numer telefonu komórkowego osoby zawiadamianej o wypadku pracownika, to do kwestionariusza pracownika powinno się załączyć dodatkowo formularz ze zgodą tej osoby na przetwarzanie jej danych osobowych i potwierdzeniem spełniania obowiązku informacyjnego zgodnie z art. 14 RODO. Taki pogląd zaprezentowało bowiem Ministerstwo Rodziny, Pracy i Polityki Społecznej w stanowisku z 13 marca 2020 r.

W przypadku zatrudniania pracownika w celu zastępstwa osoby nieobecnej, należy z kolei pamiętać, żeby w treści umowy nie podawać danych osoby zastępowanej. W tym zakresie zmieniło się bowiem podejście organu ochrony danych osobowych, gdyż GIODO zezwalał na podanie takiej danej w treści umowy, ale inne stanowisko w tej kwestii zajął UODO. Otóż w stanowisku z 10 września 2020 r. Urząd wskazał, że art. 29 K.p. nie wymienia imienia i nazwiska pracownika zastępowanego jako elementu niezbędnego dla ważności umowy. Jego podanie nie będzie więc wynikało ani z obowiązku prawnego, ani z innych przesłanek wskazanych w RODO. W ocenie UODO każde przetwarzanie danych osobowych musi być zgodne z zasadami określonymi w art. 5 ust. 1 RODO, w szczególności z zasadą minimalizacji danych, w związku z czym podawanie imienia i nazwiska osoby zastępowanej nie znajduje uzasadnienia. Jako dodatkowy argument Urząd wskazał wyrok TSUE z 24 czerwca 2010 r. (C-98/09 Francesci Sorge przeciwko Poste Italiane SpA), w którym przyjęto, że umowa na zastępstwo może ograniczać się jedynie do przyczyny zawarcia i nie musi zawierać nazwiska zastępowanego pracownika.

Powyższe kategorie danych osobowych pracodawca przetwarza na podstawie przepisów prawa, a więc może żądać ich podania przez pracownika. Są jednak jeszcze inne dane osobowe, które mogą być pracodawcy przydatne w trakcie trwania stosunku pracy i wtedy podstawą ich przetwarzania może być zgoda pracownika. W tym zakresie należy pamiętać, że zgoda musi spełniać zarówno wymagania ogólne wynikające z przepisów RODO, jak i szczególne określone w art. 22^1a oraz w art. 22^1b K.p.

Zgodnie z art. 4 pkt 11 RODO, zgoda osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych. Zgodnie z art. 7 RODO, w przypadku, gdy zgoda jest wyrażana w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Ponadto część takiego oświadczenia osoby, której dane dotyczą, stanowiąca naruszenie niniejszego rozporządzenia, nie jest wiążąca. Dodatkowo osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę, a jej wycofanie nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem, o czym należy informować taką osobę zanim wyrazi zgodę. Wreszcie samo wycofanie zgody musi być równie łatwe jak jej wyrażenie. Wskazówki w odniesieniu do interpretacji zgody, jako podstawy przetwarzania danych osobowych wynikają ponadto z motywów 32, 33, 42 i 43 RODO. Z wytycznych Grupy Roboczej Art. 29 dotyczących zgody wynika, że w przypadku pracodawców problematyczne jest przetwarzanie danych pracowników lub kandydatów do pracy w oparciu o zgodę, ponieważ mamy do czynienia z nierównością podmiotów i wątpliwościami co do tego, czy zgoda została udzielona dobrowolnie (Wytyczne dotyczące zgody na mocy RODO, z 10 kwietnia 2018 r., 17/PL WP259 rev.01). Zgodnie z powyższymi wytycznymi, do uzyskania ważnej zgody wymagane jest m.in.: cel operacji przetwarzania danych osobowych, której dotyczy zgoda oraz wskazanie rodzaju danych osobowych, jakie będą przetwarzane na tej podstawie. Co ważne, w razie jakichkolwiek wątpliwości, to administrator danych osobowych, czyli pracodawca powinien być w stanie wykazać istnienie zgody, na przetwarzanie tych konkretnych danych.

Na te ogólne zasady należy nałożyć dodatkowo wymagania Kodeksu pracy w stosunku do zgody, które są następujące:

• zgoda może stanowić podstawę przetwarzania przez pracodawcę danych osobowych z wyjątkiem danych osobowych, o których mowa w art. 10 RODO, czyli w Polsce związanych z niekaralnością,
• brak zgody lub jej wycofanie nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę,
• zgoda może dotyczyć przetwarzania danych osobowych udostępnianych pracodawcy na jego wniosek lub z inicjatywy pracownika,
• w przypadku danych osobowych szczególnych kategorii, o których mowa w art. 9 ust. 1 RODO (np. dane dotyczące zdrowia) zgoda może stanowić podstawę ich przetwarzania wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy pracownika.

Pracodawca chciałby posiadać prywatne numery telefonów pracowników, aby móc się z nimi kontaktować w sprawie zlecenia dodatkowej pracy w nadgodzinach lub w dniu wolnym od pracy. W tym celu pracownicy mogą wyrazić zgody na przetwarzanie danych osobowych w postaci numeru telefonu, a pracodawca będzie mógł wykorzystywać numery telefonów tylko w takim przypadku, czyli nie będzie mógł przesłać sms-em czy mms-em np. paska płacowego. Pracownik powinien zostać także pouczony o wymaganiach co do zgody wynikających zarówno z RODO, jak i przepisów Kodeksu pracy i może wycofać zgodę w każdym czasie bez żadnych konsekwencji dla dalszego zatrudnienia.

W zakresie zgody jako przesłanki legalizującej przetwarzanie danych osobowych wypowiedział się UODO w wyjaśnieniach z 21 sierpnia 2020 r., wskazując również, że zgoda może być podstawą przetwarzania danych tylko wtedy, gdy nie występują inne przesłanki legalizujące określone w art. 6 ust. 1 RODO. To administrator, a więc pracodawca ma obowiązek zadbać o to, by jego działania były zgodne z zasadami przetwarzania danych osobowych, zwłaszcza z art. 5 oraz art. 7 RODO. Powinien ocenić, jakie ryzyka dla praw osób, mogą wiązać się z przetwarzaniem ich danych osobowych w konkretnym celu. Musi również przygotować jasne i rzetelne klauzule informacyjne. UODO zwraca ponadto uwagę, że w myśl art. 7 ust. 3 RODO, zgoda jest odwoływalna i uprawnienie to przysługuje osobie, której dane dotyczą, w każdym czasie. Przepis nakłada na administratora obowiązek poinformowania osoby o tym prawie, zanim wyrazi ona zgodę.

Zdaniem UODO można także przetwarzać wizerunek pracownika, ale co do zasady, tylko za jego zgodą, ze względu na to, że wizerunku pracownika nie ma wśród danych wskazanych w Kodeksie pracy. Aby pracodawca mógł pozyskać zdjęcie i umieścić je np. na identyfikatorze, czy stronie internetowej pracodawcy, musi legitymować się zgodą pracownika. Istnieją sytuacje, gdy wizerunek pracownika jest ściśle związany z wykonywanym przez niego zawodem czy charakterem pracy i wskazywanie wizerunku pracownika przewidują wprost przepisy prawa, wówczas pracodawca nie jest zobowiązany do pozyskiwania zgody w tym celu.

W relacjach pracowniczych UODO rozstrzygnął już te kwestie w odniesieniu do ewidencjonowania czasu pracy pracowników, co zostało wyjaśnione w części dotyczącej czasu pracy.