OGÓLNE ZASADY RODO A STOSUNEK PRACY

Zatrudnienie pracownika z punktu widzenia przepisów dotyczących ochrony danych osobowych zawsze oznacza konieczność wykonania względem niego obowiązku informacyjnego, zgodnie z zasadami określonymi w art. 13 RODO oraz dokonania oceny, czy stanowisko zajmowane przez danego pracownika wiąże się z przetwarzaniem danych osobowych, gdyż wtedy powinno zostać nadane stosowne upoważnienie do przetwarzania danych osobowych. Dokumenty te powinny zostać przekazane pracownikowi w momencie jego zatrudniania, ale nie muszą być przechowywane w jego aktach osobowych, co zostanie jeszcze szerzej uzasadnione w dalszej części niniejszego dodatku.

Do przetwarzania danych przez pracowników należy stosować ogólne zasady wynikające z art. 5 RODO, a więc:

• zasadę legalności,
• zasadę ograniczonego celu,
• zasadę minimalizacji,
• zasadę prawidłowości,
• zasadę ograniczenia przechowywania,
• zasadę integralności i poufności,
• zasadę rozliczalności.

W obszarze funkcjonowania działu HR ważna jest zwłaszcza zasada minimalizacji, gdyż przez lata w działach kadr przechowywano bardzo duże ilości danych osobowych i nie niszczono dokumentów póki nie trzeba było zniszczyć akt osobowych byłych pracowników, a więc nawet przez 50 lat.

W stosunkach pracy są przetwarzane zarówno dane zwykłe, jak i dane szczególnych kategorii. Przez dane szczególnych kategorii, zgodnie z art. 9 RODO, uznajemy bowiem dane dotyczące pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych lub światopoglądowych, przynależności do związków zawodowych oraz dane genetyczne, dane biometryczne lub dane dotyczące zdrowia, seksualności lub orientacji seksualnej danej osoby. Dział kadr ma wiedzę o stanie zdrowia czy niepełnosprawności, o przynależności związkowej, a czasem również o orientacji seksualnej danej osoby, gdyż w przypadku wielu benefitów może z nich korzystać nie tylko pracownik, ale również jego partner, czy partnerka.

Oceniając pracowników z punktu widzenia dostępu przez nich do danych osobowych przetwarzanych przez pracodawcę, należy ich podzielić na 3 kategorie:

• pracowników, którzy nie mają w ogóle dostępu do danych osobowych przetwarzanych przez pracodawcę - pracownicy produkcji, pracownicy gospodarczy, osoby zajmujące się sprzątaniem pomieszczeń pracodawcy itp.,
• pracowników, którzy mają dostęp jedynie do danych zwykłych - pracownicy działów recepcji, finansów, marketingu, sprzedaży itp.,
• pracowników mających dostęp do danych zwykłych oraz szczególnych kategorii, o których mowa w art. 9 RODO, do których zaliczymy głównie pracowników działów HR, czy bhp oraz ewentualnie kadrę managerską.

Dostęp do danych i rodzaj danych przetwarzanych przez danego pracownika ma wpływ na to, czy musi on posiadać upoważnienie do przetwarzania danych osobowych oraz czy ma być ono pisemne i jaki powinno mieć zakres przedmiotowy. W przypadku danych zwykłych procedura nadawania upoważnień jest mniej sformalizowana i nie jest wymaga forma pisemna, którą narzucają z kolei regulacje Kodeksu pracy w przypadku danych szczególnych kategorii.

W przypadku stosunku pracy najczęstszą podstawą przetwarzania danych osobowych będzie niezbędność przetwarzania do wypełnienia obowiązku prawnego ciążącego na administratorze, czyli w tej sytuacji pracodawcy (art. 6 ust. 1 lit. c RODO). Podstawy takie wynikają bowiem wprost z Kodeksu pracy, który określa dane, jakie można przetwarzać w odniesieniu do kandydatów do pracy i pracowników, ale także z wielu innych ustaw. Odrębne podstawy przetwarzania danych osobowych pracowników będą wynikały z ustaw: o systemie ubezpieczeń społecznych, o ubezpieczeniu zdrowotnym, o Pracowniczych Planach Kapitałowych, o podatku dochodowym od osób fizycznych, o Funduszu.

Poza powyższą podstawą przetwarzania danych osobowych w stosunkach pracy znajdą ponadto częste zastosowanie jeszcze 3 inne przesłanki, tj.:

• zgoda pracownika na przetwarzanie danych (art. 6 ust. 1 lit. a RODO),
• niezbędność do wykonania umowy (art. 6 ust. 1 lit. b RODO) oraz
• niezbędność do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora danych osobowych lub przez stronę trzecią (art. 6 ust. 1 lit. f RODO).

Zgodnie z art. 4 pkt 11 RODO, zgoda osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych. Co ważne, zgodnie z art. 7 ust. 3 RODO, osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać złożoną zgodę, a działanie takie nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie tejże zgody przed jej wycofaniem. Osoba, której dane dotyczą, musi być jednak o takim swoim uprawnieniu poinformowana zanim wyrazi zgodę.

Powyższa przesłanka została jeszcze bardziej rozbudowana w Kodeksie pracy, gdyż zgodnie z art. 22^1a § 1 K.p. zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 22¹ § 1 i 3 K.p., z wyjątkiem danych osobowych, o których mowa w art. 10 RODO, czyli w polskich realiach danych dotyczących niekaralności pracownika. Co więcej, brak zgody lub jej wycofanie, nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązania bez wypowiedzenia przez pracodawcę. Zgoda może być przy tym podstawą prawną przetwarzania danych zarówno przez osobę ubiegającą się o zatrudnienie, jak i pracownika i nie ma znaczenia fakt, czy dane są udostępniane z inicjatywy tych osób, czy na wniosek podmiotu zatrudniającego.

Zgoda jako przesłanka przetwarzania danych osobowych w stosunku pracy może dotyczyć przykładowo:

• podania prywatnego numeru telefonu lub adresu mailowego w celu przesyłania informacji lub kontaktu z pracownikiem w określonych sytuacjach,
• wykorzystania danych pracownika w celach niezwiązanych ze stosunkiem pracy, np. kiedy organizowane są wydarzenia, konkursy czy zawody, w których pracownicy biorą udział, a udział w takich wydarzeniach nie jest częścią ich obowiązków zawodowych, wynikających z zawartej z nimi umowy,
• w przypadku benefitów, gdzie trzeba jeszcze pamiętać o tym, że dane pracownika są udostępniane podmiotom trzecim, czyli dostawcom usług benefitowych, na co również należy uzyskać zgodę.

Niezbędność do wykonania umowy została przyjęta przez UODO jako podstawa prawna przetwarzania adresu zamieszkania w przypadku osoby przyjmowanej do pracy, którą wyłoniono z prowadzonej rekrutacji. Szerzej na ten temat piszemy w dalszej części niniejszego dodatku.

Prawnie uzasadnionego interesu pracodawca może z kolei użyć jako podstawy przetwarzania danych osobowych tylko wtedy, kiedy brak jest możliwości wykorzystania innej podstawy prawnej przetwarzania danych, bądź kiedy jest to co prawda możliwe, jednak ocenia się, że to prawnie uzasadniony interes administratora będzie w danej sytuacji bardziej odpowiedni ze względu na kontekst, jak i cel przetwarzania danych osobowych. Rozważając wykorzystanie prawnego interesu administratora jako podstawy przetwarzania danych osobowych, pracodawca jest jednak zobowiązany do przeprowadzenia i udokumentowania tzw. testu prawnie uzasadnionego interesu.

W przypadku stosunków pracy prawnie uzasadniony interes administratora danych może być podstawą do przetwarzania danych osobowych w następujących sytuacjach:

• przeprowadzania testów wiedzy w procesach rekrutacyjnych,
• monitoringu pracowników,
• wywieszania list rankingowych związanych z konkursami, czy przyznanymi premiami, nagrodami,
• wywieszania list pracowników mających szczególne uprawnienia, np. do obsługi wózków widłowych w magazynie,
• używania danych zwolnionego pracownika do przygotowania komunikatu w jego mailu, który będzie wskazywał, że pracownik już nie jest zatrudniony i podawał aktualne dane do kontaktu z innymi pracownikami,
• dochodzenia, czy obrony przed roszczeniami pracowników.

Klauzula informacyjna dla pracownika powinna zawierać wszystkie elementy wymagane przez art. 13 RODO. Przepis ten wskazuje, że jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje:

• swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela,
• gdy ma to zastosowanie - dane kontaktowe inspektora ochrony danych,
• cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania,
• jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f RODO - prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią.

Fragment klauzuli informacyjnej dla pracownika mógłby zawierać następującą treść:

Kolejne elementy obowiązku informacyjnego to:

• odbiorcy danych osobowych, którymi mogą być np. dostawcy usług informatycznych, czy księgowych, banki, instytucje finansowe prowadzące PPK lub PPE, dostawcy usług fakultatywnych, tzw. benefity,
• informacje o zamiarze przekazania danych do państwa trzeciego, przykładowo w sytuacji korzystania z narzędzia Microsoft 365 (w tym m.in. Outlook, Teams, Onedrive, Sharepoint),
• okresy, przez które dane osobowe będą przechowywane lub kryteria ich ustalania - w tym zakresie należy zróżnicować dokumentację pracowniczą i jej kategorie, dokumentację ZUS, czy podatkową,
• informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych,
• w przypadku zgody na przetwarzanie danych osobowych - informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem,
• informacje o prawie wniesienia skargi do organu nadzorczego,
• informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych,
• informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu.

Generalną zasadą wywodzoną z przepisów RODO jest konieczność upoważniania pracowników do przetwarzania danych osobowych, jeśli charakter ich pracy wiąże się z dostępem do danych osobowych. W Kodeksie pracy pojawia się dodatkowo przepis szczególny w tej materii - art. 22^1b § 3 K.p., z którego wynika, że do przetwarzania danych osobowych szczególnych kategorii, wynikających z art. 9 ust. 1 RODO, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania takich danych wydane przez pracodawcę. Osoby takie są rzecz jasna także obowiązane do zachowania takich danych w tajemnicy.

Uwaga! Mając na uwadze powyższy przepis, należy podzielić pracowników na 2 grupy - mających dostęp jedynie do danych zwykłych oraz mających dostęp do danych wrażliwych, wynikających z art. 9 RODO i tej grupie trzeba nadać specjalne pisemne upoważnienia do przetwarzania takich danych. Do tej grupy stanowisk można zaliczyć pracowników: działu kadr i płac, HR Business Partnerów, rekruterów, pracowników działu bhp, osoby odpowiedzialne za obsługę pakietów medycznych, ubezpieczenia na życie, jeśli benefity są obsługiwane przez inną komórkę niż kadrowa, członków komisji socjalnej, czy managerów zarządzających zespołami pracowników.

Oczywiście każdy pracodawca musi podjąć samodzielną decyzję, czy w jego organizacji takie osoby mają dostęp do danych osobowych szczególnych kategorii.

W dużej korporacji za obsługę pakietu medycznego odpowiedzialne są osoby zatrudnione w dziale administracji, a pakiet można rozszerzyć na członków rodziny oraz partnerów. Obsługując deklaracje zgłoszeniowe pracowników, pracownik działu administracji może więc pozyskać wiedzę na temat orientacji seksualnej pracownika w przypadku zgłoszenia do pakietu partnera tej samej płci. Przy tak ukształtowanych obowiązkach pracownicy działu administracji obsługujący pakiet medyczny powinni mieć pisemne upoważnienia do przetwarzania danych osobowych na podstawie art. 22^1b § 3 K.p.

Istnieją dwie różne praktyki dotyczące przechowywania upoważnień do przetwarzania danych osobowych nadanych pracownikom oraz klauzul informacyjnych dla pracowników. Część pracodawców przechowuje te dokumenty w aktach osobowych w części B, a część w odrębnej dokumentacji prowadzonej przez Inspektora Ochrony Danych Osobowych lub komórkę odpowiedzialną za kwestie ochrony danych osobowych. Oceniając powyższą sytuację należy przyjąć, że przepisy powszechnie obowiązujące nie regulują tej kwestii, w związku z tym obie praktyki należy uznać za prawidłowe. Z punktu widzenia UODO ważne jest bowiem jedynie wykazanie nadania upoważnienia i jego treść (zakres) oraz udowodnienie, że pracodawca wypełnił obowiązek informacyjny, a nie miejsce przechowywania takich dokumentów, a więc tutaj z punktu widzenia miejsca przechowywania brak ryzyka. Z kolei z punktu widzenia PIP, niewłaściwe miejsce przechowywania dokumentacji nie jest w ogóle wykroczeniem przeciwko prawom pracownika, a jedyny środek prawny z jakiego może w takim przypadku skorzystać inspektor pracy, to wniosek w wystąpieniu o zmianę miejsca przechowywania danego dokumentu. W praktyce jest to jednak mało prawdopodobne, gdyż w aktach są otwarte katalogi dokumentów przechowywanych w ich poszczególnych częściach.

W tym zakresie wypowiedział się pośrednio także UODO, stwierdzając, że zgodnie z rozporządzeniem Ministra Rodziny, Pracy i Polityki Społecznej z dnia 10 grudnia 2018 r. w sprawie dokumentacji pracowniczej (Dz. U. poz. 2369 z późn. zm.) w aktach osobowych przechowuje się "oświadczenia lub dokumenty dotyczące danych osobowych, gromadzone w związku z nawiązaniem stosunku pracy", a więc w sytuacji, gdy upoważnienia stanowią część określonej dokumentacji, czas ich przechowywania może wynikać z przepisów określających zasady i sposób prowadzenia takiej dokumentacji (https://archiwum.uodo.gov.pl/pl/225/2305). Urząd dopuścił więc możliwość przechowywania upoważnień w aktach osobowych, przy jednoczesnym wskazaniu, że w takiej sytuacji będą one przechowywane przez okres analogiczny jak akta, a więc przez 10 lub 50 lat w zależności od daty nawiązania stosunku pracy przez konkretnego pracownika.

W stosunkach zatrudnienia wiele procesów podlega outsourcingowi na zewnątrz organizacji i wtedy w aspekcie ochrony danych osobowych pojawia się zasadnicze pytanie, czy powinno dojść do zawarcia umowy powierzenia przetwarzania danych osobowych, uregulowanej w art. 28 RODO. W tym zakresie niestety często mylone jest udostępnienie danych osobowych pomiędzy dwoma administratorami i powierzenie ich przetwarzania "podmiotowi przetwarzającemu" (procesorowi).

Definicję podmiotu przetwarzającego zawiera art. 4 pkt 8 RODO i jest to osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. Powierzenie przetwarzania danych osobowych to określony stan faktyczny, w którym kluczowym elementem jest przetwarzanie danych osobowych w imieniu administratora, czyli w stosunkach pracy w imieniu pracodawcy. Podmiot przetwarzający realizuje nie własne cele, a cele administratora i korzysta z danych osobowych nie w imieniu własnym, a w imieniu administratora.

W stosunkach zatrudnienia powierzenie przetwarzania danych osobowych jest konsekwencją zawarcia umowy z dostawcą pewnych rodzajów usług, w ramach której będą przetwarzane dane osobowe pracowników, ale w celach narzuconych przez pracodawcę.

Uwaga! Powierzenie przetwarzania danych osobowych w relacjach zatrudnienia występuje w przypadkach usług:

• kadrowo-płacowych (także w ramach centrów usług wspólnych), czy rekrutacyjnych,
• bhp,
• przechowywania dokumentacji pracowniczej, czy archiwizacji,
• przechowywania danych elektronicznych w chmurze, czy usługi hostingu,
• usuwania dokumentacji pracowniczej i nośników informacji,
• produkcji legitymacji pracowniczych,
• monitoringu, w tym monitorowania pojazdów służbowych,
• wydzierżawiania urządzeń biurowych (drukarki, urządzenia wielofunkcyjne).

W praktyce występują przypadki zawierania nieprawidłowo umowy powierzenia przetwarzania danych osobowych, gdyż podmiot, któremu są udostępniane dane osobowe zatrudnionych jest odrębnym administratorem danych osobowych mającym własne cele przetwarzania danych osobowych. Zaliczyć do nich można usługi w zakresie:

• medycyny pracy,
• obsługi prawnej przez kancelarie prawnicze,
• szkoleń otwartych,
• kurierskim.

W odniesieniu do staży z powiatowego urzędu pracy, dalej PUP czy praktyk studenckich wypowiedział się wprost UODO, stwierdzając, że w tych relacjach każdy z podmiotów jest niezależnym administratorem danych osobowych, tj.:

• pracodawca jest administratorem danych osobowych stażysty w zakresie danych przetwarzanych w ramach umowy zawartej z PUP, a ponadto dodatkowo pracodawca może przetwarzać dane osobowe stażysty wykraczające poza zakres tych, które były udostępnione na podstawie umowy z PUP, a są niezbędne do prawidłowego odbycia stażu (https://archiwum.uodo.gov.pl/pl/225/1129),
• w przypadku zawarcia przez uczelnię umowy w sprawie realizacji praktyki studenckiej, podmiot przyjmujący studenta realizuje w zakresie zawartej umowy swoje własne zadania, wynikające z postanowień tej umowy oraz z przepisów szczególnych (np. zawartych w Kodeksie pracy przepisów bhp), a także z regulacji wewnętrznych (np. ewidencja wejść i wyjść, ewidencja czasu odbywania praktyki, nadawanie upoważnień do przetwarzania danych osobowych). Tym samym podmiot, w którym student odbywa praktykę staje się administratorem jego danych w zakresie danych udostępnionych przez uczelnię oraz danych gromadzonych przez niego w celu realizacji umowy o praktykę. Każda ze stron tej umowy przetwarza dane studenta dla realizacji swoich celów i w tym zakresie jest administratorem tych danych (https://archiwum.uodo.gov.pl/pl/225/1454).