Jak wybrać oprogramowanie do prowadzenia akt pracowniczych w formie elektronicznej

1 stycznia 2019 r. wejdą w życie zmiany przepisów kodeksu pracy umożliwiające prowadzenie i przechowywanie dokumentacji pracowniczej w formie elektronicznej. Wprowadziła je ustawa z 10 stycznia 2018 r. o zmianie niektórych ustaw w związku ze skróceniem okresu przechowywania akt pracowniczych oraz ich elektronizacją (DzU poz. 357).

Czytaj także: Dokumentacja pracownicza w elektronicznej formie to same korzyści

W jaki sposób pracodawca będzie mógł prowadzić dokumentację pracowniczą od 2019 r.? Jakie obowiązki będą na nim spoczywać w związku z możliwością digitalizacji akt pracowniczych, w szczególności w zakresie wykorzystywanych systemów? Jaki wpływ na digitalizację akt mają przepisy RODO?

Forma cyfrowa

Już teraz przedsiębiorcy chętnie korzystają z dostępnych na rynku systemów i programów wspomagających prowadzenie dokumentacji pracowniczej w formie elektronicznej. Obecnie prowadzenie dokumentacji pracowniczej w systemach nie zwalnia jednak pracodawców z obowiązku prowadzenia jej również w formie papierowej.

Od 1 stycznia 2019 r. możliwe będzie prowadzenie akt wyłącznie w formie cyfrowej. Zmiany k.p. w tym zakresie mają docelowo przyspieszyć proces opracowania dokumentów, skrócić czas przeszukiwania teczki pracowniczej, poprawić jakość prowadzanej dokumentacji i, co równie ważne, zmniejszyć koszty jej przechowywania.

Wybór co do formy prowadzenia akt pracowniczych – papierowej lub elektronicznej – będzie należał do pracodawcy. Jej wersja prowadzona i przechowywana w postaci cyfrowej będzie równoważna z dokumentacją na papierze.

Z papieru na elektronikę i z powrotem

Przepisy k.p., które wejdą w życie z początkiem 2019 r., umożliwiają tzw. zdigitalizowanie dokumentów papierowych – tj. zmianę dokumentacji prowadzonej dotychczas w formie papierowej na elektroniczną.

Aby pracodawca mógł przejść na elektroniczny sposób prowadzenia akt, konieczne będzie sporządzenie odwzorowania cyfrowego każdego dokumentu (w postaci np. skanu) i opatrzenie go kwalifikowanym podpisem elektronicznym pracodawcy lub upoważnionej przez niego osoby, potwierdzającym zgodność odwzorowania cyfrowego z dokumentem papierowym.

Z kolei powrót z formy elektronicznej na papierową będzie mógł nastąpić przez sporządzenie wydruków wszystkich dokumentów i opatrzenie ich podpisem pracodawcy lub osoby przez niego upoważnionej, potwierdzającym zgodność wydruku z dokumentem elektronicznym.

Wymogi co do przechowywania

Zarówno akta prowadzone w formie elektronicznej, jak i papierowej będzie trzeba przechowywać:

- w sposób gwarantujący zachowanie ich poufności, integralności, kompletności oraz dostępności,

- w warunkach niegrożących uszkodzeniem lub zniszczeniem.

Pracodawcy będą zatem musieli wdrożyć odpowiednie procedury zabezpieczające dokumentację pracowniczą nie tylko poprzez ograniczenie dostępu osób nieupoważnionych, ale też przez odpowiednie zabezpieczenie systemów teleinformatycznych.

Wymóg należytego zabezpieczenia dokumentacji pracowniczej wynika również z przepisów Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (ogólne rozporządzenie o ochronie danych) – tzw. RODO, które obowiązuje od 25 maja 2018 r. Pracodawca – jako administrator danych pracowników, powinien w szczególności:

- wydać pisemne upoważnienia osobom, które będą mieć dostęp do dokumentacji pracowniczej (niezależnie od formy jej prowadzenia i przechowywania),

- zobowiązać te osoby do zachowania poufności,

- wypełnić wobec pracowników obowiązek informacyjny zgodny z art. 13 RODO,

- wdrożyć liczne procedury dotyczące bezpieczeństwa fizycznego, organizacyjnego i technicznego w przedsiębiorstwie w celu zapewnienia należytej ochrony danych osobowych pracowników (i nie tylko).

Procedury i zabezpieczenia

Kwestie bezpieczeństwa technicznego dotyczą w szczególności odpowiedniego zabezpieczenia wykorzystywanych przez pracodawcę systemów, programów czy aplikacji. Wychodząc temu naprzeciw, Ministerstwo Rodziny, Pracy i Polityki Społecznej pracuje obecnie nad projektem rozporządzenia w sprawie dokumentacji pracowniczej. Określono w nim (według wersji na 13 września br.) szczególne wymagania dotyczące prowadzenia i przechowywania dokumentacji w postaci elektronicznej. Jeżeli rozporządzenie wejdzie w życie w zakładanym kształcie, w przypadku prowadzenia dokumentacji pracowniczej w systemie teleinformatycznym, konieczne będzie w szczególności:

- zabezpieczenie dokumentacji przed uszkodzeniem, utratą oraz nieuprawnionym dostępem,

- zapewnienie integralności treści dokumentacji oraz metadanych, polegające na zabezpieczeniu przed wprowadzaniem zmian, z wyjątkiem zmian wprowadzanych w ramach ustalonych i udokumentowanych procedur,

- zapewnienie stałego dostępu do dokumentacji osobom uprawnionym,

- zapewnienie możliwości identyfikacji osób mających dostęp do dokumentacji oraz rejestrowanie dokonywanych przez te osoby zmian w dokumentacji i metadanych,

- zapewnienie skutecznego wyszukiwania dokumentacji na podstawie metadanych określonych w rozdziale 4 rozporządzenia.

Zgodność z RODO

Odpowiednie zabezpieczenie dokumentacji pracowniczej wynika nie tylko z projektowanego przez resort pracy rozporządzenia w sprawie dokumentacji pracowniczej, lecz przede wszystkim z przepisów o ochronie danych osobowych. RODO nakłada bowiem na pracodawców liczne obowiązki związane z przetwarzaniem danych osobowych pracowników, w szczególności w przypadku ich przetwarzania w systemach teleinformatycznych.

Aby zapewnić zgodność przetwarzania danych pracowników w systemie teleinformatycznym z RODO, konieczne jest zidentyfikowanie nie tylko zabezpieczeń informatycznych systemu (np. zabezpieczeń przed wyciekiem danych) i wykorzystywanych przez pracodawców narzędzi ochrony teleinformatycznej (np. programy antywirusowe, firewalle), lecz przede wszystkim dokonanie weryfikacji funkcjonalności systemu pod kątem spełnienia wymagań z RODO.

Pracodawca powinien ocenić, czy system posiada funkcjonalności pozwalające m.in. wypełnić zasady wynikające z przepisów o ochronie danych osobowych, w szczególności zasady:

- minimalizacji danych,

- prawidłowości danych,

- rozliczalności.

RODO nakłada na administratora – czyli na pracodawcę – również obowiązek dokonania oceny ryzyka naruszenia praw lub wolności pracownika oraz wdrożenia odpowiednich środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania danych osobowych, np. poprzez pseudonimizację oraz szyfrowanie danych osobowych. Pracodawca musi również zapewnić zdolność do:

- ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania,