To tylko część wniosków płynących z wyjaśnień Urzędu Ochrony Danych Osobowych (UODO), które opisujemy. Ich pełna treść jest dostępna w zakładce Aktualności na stronie internetowej www.uodo.gov.pl.
Orzeczenia o niepełnosprawności
Treść orzeczenia o niepełnosprawności określa § 13 rozporządzenia w sprawie orzekania o niepełnosprawności i stopniu niepełnosprawności. Według tego przepisu zawiera ono dane osobowe zwykłe typu: imię, nazwisko, adres zamieszkania czy numer PESEL osoby, dla której zostało wystawione. Znajdują się w nim także dane szczególne, do których należy m.in. informacja o niepełnosprawności czy przypisany jej symbol. Te są objęte szczególną ochroną jako dane o zdrowiu (por. art. 9 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, dalej: RODO).
O ich przedstawieniu pracodawcy decyduje dobrowolnie pracownik (art. 2b ust. 2 ustawy o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych, dalej: ustawy o zatrudnianiu niepełnosprawnych). Jeśli jednak tego nie zrobi, nie będzie mógł korzystać z uprawnień zagwarantowanych w ustawie o zatrudnianiu niepełnosprawnych. Pracodawca ma bowiem obowiązek stosowania jej przepisów wobec danego pracownika dopiero po przedłożeniu przez niego orzeczenia potwierdzającego niepełnosprawność (art. 2a ust. 1 ustawy o zatrudnianiu niepełnosprawnych).
UODO: Pracodawca może przetwarzać dane osobowe zamieszczone w oświadczeniu o niepełnosprawności na podstawie art. 6 ust. 1 lit. c), 9 ust. 2 lit. b) RODO, art. 221 § 1, 3 i 4, art. 221b § 1 Kodeksu pracy (dalej: k.p.) oraz art. 2b ust. 1 ustawy o zatrudnianiu niepełnosprawnych.
Pracodawca może przetwarzać dane (w tym o zdrowiu, czyli m.in. niepełnosprawności) pracowników niepełnosprawnych w celach określonych w ustawie o zatrudnianiu niepełnosprawnych. Przedłożenia tych z nich, które znajdują się katalogach danych osobowych zamieszczonych w art. 221 § 1 i 3 k.p. (m.in. imię i nazwisko, data urodzenia czy wykształcenie) może żądać od kandydata do pracy i pracownika. UODO podkreśla w swoich wyjaśnieniach, że pracodawca nie musi uzyskiwać zgody osoby ubiegającej się o pracę na przetwarzanie szczególnej kategorii danych osobowych w zw. z przesłaniem przez kandydata orzeczenia potwierdzającego niepełnosprawność, ponieważ nastąpiło to z jego inicjatywy (por. art. 221b § 1 k.p.). Przypomina także, że pracodawca ma prawo wymagać innych danych niż znajdujące się we wspomnianych katalogach, gdy jest to niezbędne do realizacji uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 221 § 4 k.p.). Jednak to zasada dobrowolności przekazania danych o zdrowiu przez pracownika niepełnosprawnego oraz uruchomienie jego uprawnień ustawowych w efekcie jej wykonania definiują podstawę przetwarzania jego danych osobowych. Jest nią konieczność wypełnienia obowiązku prawnego ciążącego na pracodawcy, a także przysługujących mu szczególnych praw w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej (art. 6 ust. 1 lit. c), 9 ust. 2 lit. b) RODO).
UODO: Orzeczenie o niepełnosprawności powinno być przechowywane w części B akt osobowych pracownika wyłącznie przez okres nie dłuższy niż jest to niezbędne i w zakresie koniecznym do realizacji celów przetwarzania danych osobowych.
Miejsce przechowywania orzeczenia niepełnosprawności wynika z § 3 pkt 2 rozporządzenia w sprawie dokumentacji pracowniczej, który zawiera otwartą listę oświadczeń i dokumentów dotyczących nawiązania stosunku pracy oraz przebiegu zatrudnienia pracownika. Z kolei okres archiwizacji został wskazany z art. 2b ust. 7 ustawy o zatrudnianiu niepełnosprawnych. Przepis ten zobowiązuje także pracodawcę do dokonywania przeglądu przydatności przetwarzania danych osobowych nie rzadziej niż co 5 lat.
Zgoda na działania antykoronawirusowe
Zgoda jest jedną z podstaw prawnych przetwarzania danych osobowych pracownika. Przewiduje ją art. 6 ust. 1 lit. a), a w stosunku do danych wrażliwych (w tym o zdrowiu) – art. 9 ust. 2 lit. a) RODO. Jednak motyw zd. 1 preambuły RODO zastrzega, że dla zapewnienia jej dobrowolności, nie powinna stanowić ważnej podstawy prawnej przetwarzania danych osobowych w szczególnej sytuacji, w której istnieje wyraźny brak równowagi między osobą, której dane dotyczą, a administratorem danych. Ponieważ w relacji pracownik – pracodawca istnieje nierówność, UODO uważa, że zgoda udzielona na mocy art. 9 ust. 2 lit. a) RODO nie może być podstawą przetwarzania danych dotyczących zdrowia w sektorze zatrudnienia w zakresie podejmowania działań związanych z przeciwdziałaniem COVID-19 w miejscu pracy.
UODO: Pracodawca nie może nakazać pracownikom dokonywania pomiaru temperatury. Nie ma też prawa poznać jego wyników ani wyników testu na COVID-19, który sam zakupił, a pracownik zgodził się mu poddać.
Pracodawca może przetwarzać dane o zdrowiu pracownika w czasie stanu zagrożenia epidemicznego/epidemii koronawirusa bez jego zgody na mocy art. 9 ust. 2 lit. g) RODO. Jest też uprawniony do zapoznania się z wynikami pomiaru temperatury i testów na COVID-19 przeprowadzanych na mocy decyzji Głównego Inspektora Sanitarnego (GIS) lub działającego z jego upoważnienia innego organu Państwowej Inspekcji Sanitarnej (por. art. 8a ust. 5 pkt 1 lit. a ustawy o Państwowej Inspekcji Sanitarnej).
Prywatny mail i telefon w celach służbowych
Pracodawca może żądać danych kontaktowych tylko od osoby ubiegającej się o pracę (art. 221 § 1 pkt 3 k.p.). Nie jest uprawniony do pozyskiwania np. prywatnego numeru telefonu czy adresu mailowego pracownika, chyba że do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 221 § 4 k.p.). Nie ma też prawa przetwarzać takich danych w trakcie zatrudnienia, jeśli otrzymał je na etapie rekrutacji. Pracodawca, spełniając obowiązek informacyjny deklaruje bowiem, że będzie je przetwarzał jedynie na potrzeby przeprowadzenia naboru. Używanie ich w kontaktach służbowych jest nowym celem, który wymaga odrębnej podstawy prawnej.
UODO: Żeby pracodawca mógł przetwarzać w celach zawodowych dane kontaktowe do pracownika, które pozyskał podczas rekrutacji, takie jak np. adres prywatnej poczty elektronicznej czy numer prywatnego telefonu komórkowego, musi uzyskać na to jego zgodę (pisemną, określającą zasady kontaktu).
Zgoda jest dobrowolnym, konkretnym, świadomym i jednoznacznym okazaniem woli pracownika, złożonym w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie jego prywatnych danych kontaktowych (por. art. 4 pkt 11 RODO). Zapytanie pracodawcy o jej udzielenie musi być napisane jasnym i prostym językiem, w zrozumiałej i łatwo dostępnej formie (art. 7 ust. 2 RODO). Ma zawierać wszystkie cele, w których zamierza wykorzystywać prywatne dane kontaktowe pracownika. UODO podkreśla przy tym, że możliwość nawiązywania przez pracodawcę kontaktów z pracownikiem po godzinach pracy powinna być ograniczona jedynie do sytuacji, w której zachodziłyby szczególne warunki uzasadniające takie działanie.
UODO: Pracodawca może wymagać od pracownika podania prywatnych danych kontaktowych do zawarcia umowy o prowadzenie Pracowniczych Planów Kapitałowych z wybraną instytucją finansową. Podstawą ich przetwarzania jest tu art. 6 ust. 1 lit. c) RODO.
Kontrola poczty elektronicznej
Pracodawca może wprowadzić monitoring poczty elektronicznej pracownika, gdy jest to niezbędne do zapewnienia organizacji pracy, umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy. Jest jednak zobligowany, aby taka kontrola nie naruszała tajemnicy korespondencji oraz innych dóbr osobistych pracownika (art. 223 k.p.).
UODO: Pracodawca musi poinformować pracowników, w jakim celu zamierza sprawdzać ich pocztę mailową, podać zakres i sposób zastosowania monitoringu. Zamieszcza te informacje w układzie zbiorowym pracy lub regulaminie pracy, a jeśli nie dotyczą go te dokumenty – w obwieszczeniu.
Pracodawca informuje pracowników o wprowadzeniu monitoringu w sposób u niego przyjęty nie później niż dwa tygodnie przed jego uruchomieniem (art. 222 § 7 w zw. z art. 223 § 3 k.p.). Może więc wykorzystać formę pisma skierowanego do każdego pracownika, obwieszczenia na tablicy ogłoszeń, komunikatu mailowego czy informacji w intranecie.
Kamery w miejscu pracy
Pracodawca może zastosować monitoring wizyjny, jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić go na szkodę (art. 222 § 1 k.p.). Jego obowiązkiem jest określenie, w którym z wymienionych celów będzie wykorzystywany. Wybierając rozwiązania techniczne powinien natomiast wziąć pod uwagę technologie przyjazne prywatności (zwiększające bezpieczeństwo) typu systemy umożliwiające maskowanie lub mieszanie obszarów, które nie są istotne dla terenu nadzorowanego (por. Wytyczne 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo Europejskiej Rady Ochrony Danych z 10 lipca 2019 r.).
UODO: Pracodawca powinien poinformować osoby, które mogą zostać objęte monitoringiem wizyjnym o jego stosowaniu, obszarze działania, celu rejestracji obrazu czy okresie przechowywania danych (pełen zakres informacyjny – art. 13 RODO).
Na pracodawcy spoczywa także obowiązek oznaczenia pomieszczeń i terenu monitorowanego w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem. Wielkość tablic informujących o zainstalowanym monitoringu powinien dostosować proporcjonalne do miejsca ich umieszczenia. Może także dodatkowo zastosować piktogramy wskazujące na dozór kamer.
Nie wolno jednak pracodawcy ograniczyć się wyłącznie do nich. Nie powinien również zapominać o zakazie wizyjnego monitorowania pomieszczeń wymienionych w art. 222 § 2-3 k.p., m.in. łazienek, szatni czy pomieszczeń socjalnych, choć ma prawo zainstalować w nich kamery, gdy jest to niezbędne do realizacji określonego celu i nie naruszy to godności oraz innych dóbr osobistych pracownika. Żeby monitorować pomieszczenia sanitarne pracodawca musi najpierw uzyskać zgodę zakładowej organizacji związkowej, a gdy takiej brak – przedstawicieli pracowników wybranych w trybie przyjętym u niego.
UODO: Pracodawca ma prawo rejestrować wyłącznie obraz. Zastosowanie kamer nagrywających również dźwięk może, w przypadkach nieuregulowanych prawem, zostać uznane za naruszenie prywatności oraz za nadmiarową formę przetwarzania danych, a co za tym idzie wiązać się z odpowiedzialnością nie tylko administracyjną i cywilną, ale również i karną. Ponadto, w trakcie nagrania obrazu i dźwięku za pośrednictwem kamery będzie dochodzić do ujawnienia tajemnic prawnie chronionych.
UODO przypomina też, że pracodawca musi spełnić żądanie pracownika domagającego się udostępnienia dotyczących go nagrań z monitoringu wizyjnego. Zgodnie bowiem z art. 15 ust. 1 RODO, osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące. Dlatego pracodawca ma dostarczyć pracownikowi kopię nagrań monitoringu lub udostępnić ją drogą elektroniczną.
Wgląd kontrolerów w akta osobowe
Uprawnienie wglądu w dokumentację pracowniczą jest nadawane przepisami szczególnymi, które mają pierwszeństwo przed RODO. Chodzi m.in. o ustawy o Państwowej Inspekcji Pracy (dalej: ustawa PIP) czy o systemie ubezpieczeń społecznych (dalej: ustawa systemowa). Na ich podstawie w zw. z art. 6 ust. 1 pkt c) inspektorzy pracy i inspektorzy ZUS przetwarzają dane osobowe, realizując swoje obowiązki. Ci pierwsi sprawdzają przestrzeganie prawa pracy, w szczególności przepisów i zasad bezpieczeństwa i higieny pracy, a także przepisów dotyczących legalności zatrudnienia i innej pracy zarobkowej (art. 10 ust. 1 pkt 1 i art. 21 ustawy PIP). Z kolei inspektorzy ZUS kontrolują wykonywanie zadań i obowiązków w zakresie ubezpieczeń społecznych przez płatników składek (art. 86 ustawy systemowej).
UODO: Prawo wglądu i badania dokumentacji pracowniczej zapewnia inspektorowi pracy art. 23 ust. 1 pkt 5 ustawy PIP, a inspektorowi ZUS – art. 87 ust. 1 pkt 1 ustawy systemowej.
Urząd zaznacza w swoich wyjaśnieniach, że gdy instytucje wykonują swoje zadania na podstawie uprawnień ustawowych, nie można im odmówić udostępnienia żądanych dokumentów. Ale inspektorzy przeprowadzający czynności kontrolne są równocześnie zobowiązani nie tylko do zachowania w tajemnicy informacji, które uzyskali podczas wykonywania czynności służbowych, ale także zasad wynikających z RODO, w tym proporcjonalności, ograniczenia celu i minimalizacji danych.
Upublicznianie wyników wydajności
Pracodawca musi szanować godność i inne dobra osobiste pracownika (art. 111 k.p.). Ma też przestrzegać zasady, według której pracownicy mają równe prawa z tytułu jednakowego wypełniania takich samych obowiązków (art. 112 k.p.). Stąd pracodawca, publikując informacje o wydajności pracy, oparte na jego indywidualnej ocenie, powinien zadbać, aby nie narazić pracowników na stygmatyzację, nie naruszyć ich dóbr osobistych i nie doprowadzić do dyskryminacji. UODOD zaleca przy tym szczególną ostrożność. Przypomina, że pracodawca powinien poświęcić szczególną uwagę zasadom minimalizacji danych i ograniczenia celu, które wykluczają wykorzystywanie danych osobowych pracownika pozyskanych do zawarcia stosunku pracy w innych celach.
UODO: Dokonywanie oceny pracy pracowników oraz jej weryfikacja jest zadaniem pracodawcy, a nie pozostałych pracowników. Nie należy więc wywieszać wyników takiej oceny w dostępnym dla wszystkich miejscu, pokazujących, który z nich najlepiej pracował, a który najgorzej sobie radził.
Pracodawca może wypracować system motywacyjny dla pracowników, aby zwiększyć ich wydajność i tym samym polepszyć jakość pracy. Nie może jednak tego czynić kosztem innych osób. To oznacza, że taki system nie powinien dawać możliwości identyfikacji pracowników z indywidualnymi ocenami. Pracodawca mógłby np. wyróżnić parę osób z najlepszymi wynikami, tak by jednocześnie nie doszło do ujawnienia, kto uzyskał te najgorsze – wskazuje UODO.
Przetwarzanie danych osobowych pracowników na potrzeby sprawnego i efektywnego funkcjonowania zakładu pracy pracodawca może oprzeć na uzasadnionym interesie administratora. Musi jednak przeprowadzić tzw. test równowagi, czyli wykazać, że jego interes ma charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dane dotyczą (art. 6 ust. 1 lit. f) RODO). Powinien również zastanowić się, czy nie może polepszyć wydajności i jakości pracy wykorzystując inne narzędzia, mniej ingerujące w prywatność pracownika.
Podstawa prawna: motyw 43 zd. 1 preambuły, art. 4 pkt 11, art. 5-7, art. 9, art. 13, art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz Urz. UE L 119 z 4 maja 2016, str. 1 ze zm.); art. 2a ust. 1, art. 2b ustawy z 27 sierpnia 1997 r. o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych (tekst jednolity: Dz.U. z 2020 r. poz. 426 z późn.zm.); art. 111, art. 112, art. 221 – art. 223 ustawy z 26 czerwca 1974 r. – Kodeks pracy (tekst jednolity: Dz.U. z 2020 r. poz. 1320); art. 8a ust. 5 pkt 1 lit. a) ustawy z 14 marca 1985 r. o Państwowej Inspekcji Sanitarnej (tekst jednolity: Dz.U. z 2019 r. poz. 59 z późn.zm.); art. 10 ust. 1 pkt 1, art. 21, art. 23 ust. 1 pkt 5 ustawy z 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy (tekst jednolity: Dz.U. z 2019 r. poz. 1251); art. 86, art. 87 ust. 1 pkt 1 ustawy z 13 października 1998 r. o systemie ubezpieczeń społecznych (tekst jednolity: Dz.U. z 2020 r. poz. 266 z późn.zm.); § 13 rozporządzenia ministra gospodarki, pracy i polityki społecznej z 15 lipca 2003 r. w sprawie orzekania o niepełnosprawności i stopniu niepełnosprawności (tekst jednolity: Dz.U. z 2018 r. poz. 2027 ze zm.); § 3 pkt 2 rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej z 10 grudnia 2018 r. w sprawie dokumentacji pracowniczej (Dz.U. poz. 2369).
