Reklama

Wyjaśnienia GIODO dotyczące możliwości uzyskania i przetwarzania danych osobowych pracownika

Z uzasadnienia decyzji GIODO nr DIS/DEC-Dot. DIS-K-421/141/09

Publikacja: 30.10.2009 09:36

Reklama

W procesie przetwarzania danych osobowych Spółka, jako administrator danych, naruszyła przepisy o ochronie danych osobowych. Uchybienia te m.in. polegały na przetwarzaniu danych osobowych pracowników Spółki wykraczających poza zakres danych osobowych wskazany w art. 22[sup]1[/sup] § 1 i 2 [link=http://www.rp.pl/aktyprawne/akty/akt.spr;jsessionid=3805C31C3E8CA8CD90ABC180076F9E82?id=76037]ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (tekst jednolity: DzU z 1998 r. nr 21, poz. 94 z późn. zm.)[/link], których obowiązek podania nie wynika z odrębnych przepisów prawa, tj. danych dotyczących nazwiska rodowego matki pracownika (art. 26 ust. 1 pkt 1 ustawy). Zgodnie z art. 26 ust. 1 pkt 1 ustawy, administrator przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem. Natomiast stosownie do art. 22[sup]1[/sup] § 1 kodeksu pracy pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:

- imię (imiona) i nazwisko,

- imiona rodziców,

- datę urodzenia,

- miejsce zamieszkania (adres do korespondencji),

Reklama

- wykształcenie,

- przebieg dotychczasowego zatrudnienia,

a w myśl art. 22[sup]1[/sup] § 2 pracodawca ma prawo żądać od pracownika podania, niezależnie od danych, o których mowa w § 1, także:

- innych danych osobowych pracownika, a także

- imion i nazwisk oraz

- dat urodzenia dzieci pracownika,

Reklama

jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy,

- numeru PESEL pracownika nadanego przez Rządowe Centrum Informatyczne Powszechnego Elektronicznego Systemu Ewidencji Ludności (RCI PESEL).

Stosownie do art. 22[sup]1[/sup] § 4 pracodawca może żądać podania innych danych osobowych niż określone w § 1 i 2, jeżeli obowiązek ich podania wynika z odrębnych przepisów. Natomiast art. 22[sup]1[/sup] § 5 wskazuje, iż w zakresie nieuregulowanym w § 1-4 do danych osobowych, o których mowa w tych przepisach, stosuje się przepisy o ochronie danych osobowych.

W toku kontroli ustalono, że w Spółce przetwarzane są dane osobowe pracowników zawarte w kwestionariuszu osobowym. Za pomocą ww. kwestionariusza, wypełnianego przez zatrudnianą osobę, pozyskiwane są między innymi dane dotyczące nazwiska rodowego matki pracownika. W związku z powyższym należy uznać,iż przetwarzanie danych dotyczących nazwiska rodowego matki pracownika jest niezgodne z prawem, gdyż wykracza poza zakres danych osobowych wskazany w art. 22[sup]1[/sup] § 1 i 2 Kodeksu pracy, a obowiązek ich podania nie wynika z odrębnych przepisów prawa.