Source: https://cbi24.pl/zmiany-w-przepisach-sektorowych/
Timestamp: 2020-07-09 16:44:51+00:00

Document:
Zmiany w przepisach sektorowych | Centrum Bezpieczeństwa Informatycznego
WDROŻENIA NORMY ISO
EFEKTYWNA OCHRONA INFORMACJI
Z ŻYCIA CBI
W dniu 4 maja 2019 r. weszła w życie ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Ustawodawca ww. ustawą dokonał nowelizacji 162 ustaw sektorowych. Podstawowym celem wspomnianej nowelizacji jest dostosowanie przepisów prawa krajowego do regulacji wynikających z RODO obowiązującego od 25 maja 2018 roku. Zmianie uległy między innymi następujące ustawy: Kodeks postępowania administracyjnego, Kodeks Pracy, Ustawa o zakładowym funduszu świadczeń socjalnych, Prawo zamówień publicznych, Ustawa o narodowym zasobie archiwalnym i archiwach, Ustawa o pomocy społecznej, Karta Nauczyciela i wiele innych.
Jedną z kluczowych ustaw, które uległy nowelizacji jest ustawa z dnia 26 czerwca 1974 r. kodeks pracy (Dz. U. z 2018 r. poz. 917, ze zm.) – dalej „kodeks pracy”. Zmiany dotyczą, między innymi, określenia podstaw prawnych przetwarzania danych osobowych, wskazania kategorii danych osobowych które pracodawca będzie żądał w ramach procesu rekrutacji do pracy, kwestii przetwarzania danych osobowych podlegających szczególnej ochronie (tzw. danych wrażliwych), modyfikacji zasad stosowania monitoringu, przetwarzania danych związanych z realizacją świadczeń z zakładowego funduszu świadczeń socjalnych.
W nowym brzmieniu art. 221 kodeksu pracy zmodyfikował zakres i kategorie danych osobowych które pracodawca będzie pozyskiwał w związku z rekrutacją do pracy:
z katalogu tych danych usunięto imiona rodziców;
usunięto pojęcie „miejsca zamieszkania”, wprowadzając w zamian określenie „dane kontaktowe” wskazane przez osobę ubiegającą się o zatrudnienie (Uwaga: danymi kontaktowymi mogą być np. numer telefonu, adres e-mail, numer skrzynki pocztowej, itp. – niekoniecznie adres zameldowania/zamieszkania);
dodano kategorię danych pod nazwą „kwalifikacje zawodowe” (Uwaga: wprowadzone zostało ograniczenie, w myśl którego dane dotyczące wykształcenia, kwalifikacji zawodowych i przebiegu dotychczasowego zatrudnienia, pracodawca będzie mógł pozyskiwać tylko wtedy, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku).
Art. 221a kodeksu pracy uregulował kwestię przetwarzania danych osobowych na podstawie zgody kandydata do pracy lub pracownika. Przetwarzanie to dotyczy danych osobowych udostępnianych przez osobę ubiegającą się o zatrudnienie lub pracownika na wniosek pracodawcy lub danych osobowych przekazanych pracodawcy z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika – należy przyjąć więc, że przekazanie pracodawcy danych, z własnej inicjatywy, stanowi zgodę na ich przetwarzanie (vide: art. 22[1a] § 3 k.p.)! Uwaga: wyjątkiem są dane dotyczące wyroków skazujących i naruszeń prawa, a także dane podlegające szczególnej ochronie, wskazane w art. 9 RODO.
Pracodawca zażąda od pracownika (czyli osoby przyjętej do pracy, a nie – dopiero ubiegającej się o nią) podania dodatkowych danych, między innymi takich jak:
numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu tożsamości (np. paszport, karta pobytu, wiza, itp.);
Przetwarzanie przez pracodawcę danych pracownika w zakresie adresu do korespondencji, poczty elektronicznej i numeru telefonu już po nawiązaniu stosunku pracy będzie możliwe jedynie wówczas, gdy pracownik wyrazi na to zgodę w oświadczeniu złożonym w postaci papierowej lub elektronicznej.
W znowelizowanych przepisach uregulowano również kwestię przetwarzania danych biometrycznych pracownika.
Poniżej treść znowelizowanych przepisów.
„Art. 221. § 1. Pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:
5) numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych.
Art. 221a. § 1. Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 221 § 1 i 3, z wyjątkiem danych osobowych, o których mowa w art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.7) ), zwanego dalej „rozporządzeniem 2016/679”.
Art. 221b. § 1. Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679, wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Przepis art. 221a§ 2 stosuje się odpowiednio.
Ustawodawca wprowadził również zmiany w zakresie monitoringu wizyjnego, dotyczącego pomieszczeń zakładowej organizacji związkowej i pomieszczeń sanitarnych.
W art. 222 (kodeksu pracy):
a) po § 1 dodaje się § 11 w brzmieniu: „§ 11. Monitoring nie obejmuje pomieszczeń udostępnianych zakładowej organizacji związkowej.”,
b) § 2 otrzymuje brzmienie: „§ 2. Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek oraz palarni, chyba że stosowanie monitoringu w tych pomieszczeniach jest niezbędne do realizacji celu określonego w § 1 i nie naruszy to godności oraz innych dóbr osobistych pracownika, w szczególności poprzez zastosowanie technik uniemożliwiających rozpoznanie przebywających w tych pomieszczeniach osób. Monitoring pomieszczeń sanitarnych wymaga uzyskania uprzedniej zgody zakładowej organizacji związkowej, a jeżeli u pracodawcy nie działa zakładowa organizacja związkowa – uprzedniej zgody przedstawicieli pracowników wybranych w trybie przyjętym u danego pracodawcy.”,
c) § 10 otrzymuje brzmienie: „§ 10. Przepis § 9 nie narusza przepisów art. 12 i art. 13 rozporządzenia 2016/679.”.
Ważną zmianę wprowadziła nowelizacja art. 229 kodeksu pracy, która doregulowała kwestie orzeczeń lekarskich.
Poniżej znowelizowany przepis.
W art. 229:
a) w § 11 pkt 2 otrzymuje brzmienie: „2) przyjmowane do pracy u innego pracodawcy na dane stanowisko w ciągu 30 dni po rozwiązaniu lub wygaśnięciu poprzedniego stosunku pracy, jeżeli posiadają aktualne orzeczenie lekarskie stwierdzające brak przeciwwskazań do pracy w warunkach pracy opisanych w skierowaniu na badania lekarskie i pracodawca ten stwierdzi, że warunki te odpowiadają warunkom występującym na danym stanowisku pracy, z wyłączeniem osób przyjmowanych do wykonywania prac szczególnie niebezpiecznych.”,
b) po § 12 dodaje się § 13 w brzmieniu: „§ 13. Pracodawca żąda od osoby, o której mowa w § 11 pkt 2 oraz w § 12, aktualnego orzeczenia lekarskiego stwierdzającego brak przeciwwskazań do pracy na danym stanowisku oraz skierowania na badania będące podstawą wydania tego orzeczenia.”,
c) § 7 otrzymuje brzmienie: „§ 7. Pracodawca przechowuje orzeczenia wydane na podstawie badań lekarskich, o których mowa w § 1, 2 i 5, orzeczenia i skierowania uzyskane na podstawie § 13 oraz skierowania, o których mowa w § 4a.”,
d) po § 7 dodaje się § 71 w brzmieniu: „§ 71. W przypadku stwierdzenia, że warunki określone w skierowaniu, o którym mowa w § 13, nie odpowiadają warunkom występującym na danym stanowisku pracy, pracodawca zwraca osobie przyjmowanej do pracy to skierowanie oraz orzeczenie lekarskie wydane w wyniku tego skierowania.”.
Osoba ubiegająca się o zatrudnienie nie musi załączać do CV klauzuli zgody na przetwarzanie danych osobowych! Jeżeli dane takie mieszczą się w katalogu określonym wyżej wskazanymi przepisami kodeksu pracy, do ich przetwarzania pracodawcy nie jest potrzebna zgoda osoby ubiegającej się o zatrudnienie ani pracownika. Jeżeli nawet zostaną zawarte w CV, przez osobę ubiegającą się o zatrudnienie, z własnej inicjatywy, dane spoza tego katalogu (np. zdjęcia), to sam fakt przekazania pracodawcy CV z takimi danymi należy traktować jako wyrażenie zgody na ich przetwarzanie.
Dołączenie klauzuli zgody przez osobę ubiegającą się o zatrudnienie lub pracownika będzie konieczne w trzech przypadkach:
jeżeli pracodawca poprosi o przekazanie danych osobowych spoza katalogu określonego przepisami kodeksu pracy[1];
gdy osoba ubiegająca się o zatrudnienie lub pracownik z własnej inicjatywy przekaże dane osobowe podlegające szczególnej ochronie;
w przypadku, gdy osoba ubiegająca się o zatrudnienie chce, aby pracodawca zachował złożone CV, dla potrzeb przyszłych rekrutacji, powyżej okresu niezbędnego do jego rozpatrzenia lub wskazanego w klauzuli informacyjnej, jako maksymalny okres przechowywania.
[1] Pracodawca nie może poprosić o udostępnienie danych osobowych podlegających szczególnej ochronie lub danych dotyczących karalności.
Wszelkie prawa zastrzeżone © 2018 | Realizacja strony: Gendek.pl

References: art. 221

Art. 221
 art. 22
 art. 9

Art. 221
 art. 221
 art. 10

Art. 221
 art. 9
 art. 221
 art. 222
 art. 12
 art. 13
 art. 229
 art. 229