Ochrona danych osobowych: dekalog pracodawcy

Wykładnia przepisów RODO w kwestiach związanych z zatrudnieniem na podstawie stosunku pracy oraz na podstawie tzw. cywilnoprawnych lub niepracowniczych form zatrudnienia (takich jak np. umowa o dzieło, umowa zlecenia, umowa o świadczenie usług) wciąż budzi wiele wątpliwości. Warto podsumować – opierając się m.in. na interpretacjach zastosowanych przez Urząd Ochrony Danych Osobowych – kluczowe zasady obowiązujące w codziennym funkcjonowaniu w środowisku pracy.

I. Etap rekrutacji

Niezależnie od sposobu, w jaki pracodawca poszukuje kandydatów do pracy, proces ten wiąże się z pozyskaniem przez niego danych osobowych zawartych w dokumentach rekrutacyjnych, tj. w CV, listach motywacyjnych, świadectwach pracy, listach referencyjnych itp. Potencjalny pracodawca nie może żądać danych nadmiarowych, które nie są niezbędne do przeprowadzenia rekrutacji. Oznacza to, że danych nie wolno zbierać na zapas, „na wszelki wypadek", tj. bez wykazania zgodnego z prawem celu ich pozyskania i wykazania ich niezbędności dla realizacji celu przez administratora (tu – pracodawcy).

Przyszłe poszukiwania

Dane kandydata pozyskane w konkretnym procesie rekrutacyjnym można wykorzystać do celów przyszłych rekrutacji tylko wtedy, gdy wyraził on na to zgodę. W przeciwnym razie, pracodawca ma obowiązek niezwłocznego ich usunięcia.

Umowa z pośrednikiem

Jeśli pracodawca współpracuje z podmiotami zajmującymi się publikacją ogłoszeń o pracę, powinien zawrzeć z nimi umowę powierzenia przetwarzania danych osobowych – gdy ten podmiot będzie przetwarzał dane kandydatów wyłącznie w imieniu i na rzecz pracodawcy.

Zakazane pytania

Podczas rozmowy kwalifikacyjnej należy unikać zadawania pytań, które mogłyby danego kandydata:

- zawstydzić,

- naruszyć jego prawo do prywatności, lub

- naruszyć jego dobra osobiste.

Zakazane jest zatem zadawanie pytań dotyczących np. wyznania, przekonań politycznych czy planowanego potomstwa.

CV bez zaproszenia

Gdy firma nie prowadzi rekrutacji, a kandydat sam wysyła do niej CV, pracodawca powinien rozważyć, czy rozpoczyna rekrutację, czy też nie jest zainteresowany zatrudnieniem nowych pracowników.

a) Jeżeli zdecyduje się na przeprowadzenie rekrutacji – musi niezwłocznie wypełnić obowiązek informacyjny wobec takiej osoby i rozpocząć działania zmierzające do zawarcia umowy.

b) Jeżeli nie zdecyduje się na przeprowadzenie rekrutacji – powinien niezwłocznie usunąć dane dotyczące kandydata ze swojej bazy.

Czytaj też:

RODO: 10 zadań dla pracodawcy

RODO - co pracownik i pracodawca powinien wiedzieć

Piotr Wojciechowski: pracodawcy poradzili sobie z RODO

II. Okres zatrudnienia

Zgodnie z art. 221 § 2 i 4 kodeksu pracy, pracodawca ma prawo żądać od pracownika, którego zdecydował się zatrudnić, podania – niezależnie od danych osobowych, które mógł od niego pozyskać w toku rekrutacji – także:

1) innych jego danych osobowych, jak np. imiona, nazwiska i daty urodzenia jego dzieci – jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy,

2) numeru PESEL pracownika,

3) innych jego danych osobowych niż pozyskane w procesie rekrutacji i wskazane wyżej – jeżeli obowiązek ich podania wynika z odrębnych przepisów prawa.

Kontrola poczty

Wiele niedopowiedzeń dotyczyło kwestii monitorowania czynności pracownika podczas pracy. Pracodawca może monitorować pocztę elektroniczną swoich pracowników, ale musi pamiętać, że to uprawnienie dotyczy tylko służbowej poczty elektronicznej. Ma takie prawo, gdy jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy. To uprawnienie zostało przewidziane w art. 223 k.p.

Zgoda na siłownię

Pracodawcy coraz częściej oferują swoim pracownikom korzystanie z tzw. kart benefitowych, które jest w pełni dobrowolne. Jednak pracodawca nie może udostępniać danych osobowych pracowników podmiotom świadczącym usługi benefitowe bez ich wiedzy i zgody. Przetwarzanie przez takie podmioty danych osobowych pracowników lub innych osób zgłoszonych do programu odbywa się zatem na podstawie wyrażonej przez nich zgody, tj. na podstawie art. 6 ust. 1 lit. a RODO.

III. Pozapracownicze formy zatrudnienia

Przepisy prawa cywilnego nie określają wprost zakresu danych, które może pozyskiwać podmiot zatrudniający w ramach niepracowniczych form zatrudnienia. Prawo cywilne wyznacza zasadę swobody umów. Ta zaś umożliwia dowolne kształtowanie treści umów, o ile nie sprzeciwia się to charakterowi oraz naturze stosunku zobowiązaniowego.

Podmiot zatrudniający powinien zatem przeanalizować zakres danych, których zebranie jest konieczne w związku z realizacją umowy i ciążącymi na nim obowiązkami wynikającymi z umowy (np. wypłata wynagrodzenia) lub z przepisów prawa (np. płatność składek na ubezpieczenia społeczne czy zdrowotne). Co istotne, nie ma on tu pełnej swobody, ponieważ jest związany wymogami określonymi przez postanowienia RODO, a w szczególności zasadą ograniczenia celu oraz minimalizacji danych.

Adekwatnie do celu

Zgodnie z zasadą ograniczenia przechowywania, dane osobowe można przechowywać przez okres nie dłuższy, niż jest to niezbędne do celów, w których te dane są przetwarzane. Przy określeniu czasu przechowywania, podmiot zatrudniający powinien wziąć pod uwagę:

1. okres trwania umowy,

2. okres ewentualnego dochodzenia roszczeń związanych z umową (okres przedawnienia roszczeń),