Source: https://www.polskieforumhr.pl/aktualnosci/materialy-dla-prasy/jak-przygotowac-agencje-zatrudnienia-funkcjonowania-zgodnie-z-rodo/
Timestamp: 2019-07-22 21:35:31+00:00
Document Index: 47525765

Matched Legal Cases: ['art. 5', 'art. 6', 'art. 88', 'art. 221', 'art. 9', 'art. 37', 'art. 82']

Jak przygotować agencje zatrudnienia do funkcjonowania zgodnie z RODO? - Polskie Forum HR
Autor: r.pr. Piotr Stolarczyk, Prokurent Grupa Aterima, ekspert Polskiego Forum HR
W dniu 25 maja 2018 roku zacznie obowiązywać Rozporządzenie Ogólne o Ochronie Danych Osobowych (RODO, ang. GDPR). Stanowi ono jedną z największych zmian prawnych dla branży HR od lat. Stawia zupełnie nowe, wymagania, niezwykle istotne w codziennej działalności.
kontroli, postępowania ws. naruszenia przepisów, odpowiedzialności cywilnej – gwarantuje to niezależną od administracyjnej drogę dochodzenia roszczeń z tytułu naruszeń przepisów o ochronie danych,
inspektorów ochrony danych (odpowiednik dotychczasowego Administratora Bezpieczeństwa Informacji – ABI),
Definicja danych osobowych nie zmienia się, pojawiły się natomiast nowe zasady ich przetwarzania, opisane w tabeli powyżej. Obowiązek informacyjny (art. 5 ust. a) obejmuje wymóg wskazania podstawy przetwarzania danych osobowych – warunki, na jakich można przetwarzać dane są ujęte w art. 6. W praktyce oznacza to konieczność wskazania jednego z warunków, ujętego w podpunktach artykułu, który stanowi podstawę przetwarzania. Możliwe podstawy to: zgoda, wykonanie umowy, obowiązek prawny, ochrona żywotnych interesów, realizacja zadania w interesie publicznym, prawnie uzasadniony interes administratora. W przypadku przetwarzania danych osobowych w związku z zatrudnieniem, art. 88 umożliwia krajom wprowadzenie bardziej szczegółowych regulacji, chroniących prawa i wolności.
Sytuacje, gdy można przetwarzać dane pracowników za ich zgodą są określone w przepisach krajowych. Katalog informacji, jakich może wymagać pracodawca od kandydata (art. 221 kodeksu pracy) prawdopodobnie zostanie zawężony o imiona rodziców. Dane konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień prawa pracy (np. PESEL), mogą być wymagane dopiero po zawarciu umowy z pracownikiem. W przypadku danych wrażliwych, do których należą m.in. dane o karalności i testy psychologiczne, należy bardzo dokładnie sprawdzić, czy zachodzi warunek z art. 9 ust. 2 RODO. Dane biometryczne, w tym przetwarzane informatycznie zdjęcia dołączono do kategorii danych wrażliwych (do tej pory fotografie należały do zwykłych danych). Zmieniła się również definicja danych dotyczących zdrowia. Odwrotna modyfikacja nastąpiła w zakresie danych o wyrokach skazujących – nie są to dane wrażliwe (nie mylić z danymi o karalności, które nadal pozostają daną wrażliwą).
Zgoda na przetwarzanie danych – klucz do prawidłowego przetwarzania danych
Najważniejszym kryterium jest cel przetwarzania danych, do jakiego realizacji zgoda jest udzielana – każdy cel wiąże się z koniecznością uzyskania osobnego oświadczenia. Do częstych błędów należy automatyczne lub obowiązkowe zaznaczenie wyrażenia zgody w formularzu elektronicznym. Podobnie jest z zawieraniem kilku celów w ramach jednej „zgody” – jest to dopuszczalne tylko, gdy są one ściśle powiązane – np. proces rekrutacji
Monitoring pracowników – co jest dozwolone?
Regulamin pracy jest dobrym miejscem na przekazanie pracownikom zasad monitorowania. Jeżeli pracodawca sprawdza e-maile pracowników, wyniki takiej kontroli mogą być wykorzystane wyłącznie do oceny wydajności pracownika. Konieczne jest, po pierwsze, odebranie oświadczenia, że pracownik ma świadomość kontroli, po drugie, poinformowanie o stopniu ingerencji w korespondencję – w tej kwestii niedawno głos zabrał Europejski Trybunał Praw Człowieka w ramach sprawy 61496/08 (Barboulescu przeciwko Rumunii). Bardziej restrykcyjne zasady dotyczą kamer wideo – nie wolno korzystać z nich w celu kontroli wykonywania pracy, a tym bardziej do monitorowania pomieszczeń, które do jej wykonywania nie służą (np. toalet). Korzystanie z kamer jest jednak dopuszczalne jeżeli ma na celu dbanie o tajemnice przedsiębiorstwa, ochronę jego mienia czy po prostu bezpieczeństwo pracowników i firmy. W praktyce warto wprowadzić odpowiednią procedurę dotyczącą wykorzystywanych metod monitoringu.
Administrator, a Inspektor Ochrony Danych (IOD) – czy można do tego zatrudnić zewnętrzną firmę?
Rola dotychczasowego Administratora Bezpieczeństwa Informacji (ABI) zostaje przydzielona Inspektorowi Ochrony Danych (IOD). Istnieje wiele firm, które powierzają ją zewnętrznej firmie lub kancelarii prawnej. RODO wprost nie zabrania ani nie zatwierdza możliwości stosowania takiej praktyki. Przepisy Rozporządzenia wskazują 2 przypadki, kiedy jest to możliwe: pierwszy gdy przedsiębiorstwa działają w ramach tej samej grupy kapitałowej – gdy agencja zatrudnienia funkcjonuje w ramach większej grupy podmiotów, nie ma konieczności powoływania kilku osób na stanowisko IOD (art. 37 ust. 2 RODO). Drugi przypadek odnosi się do podmiotów publicznych. Eksperci nie są jednak jednomyślni, czy enumeratywne wskazanie ww. przypadków oznacza że tego typu model biznesowy przestanie funkcjonować w sytuacjach tam niewymienionych.
! Ważne: Powołanie IOD jest obowiązkowe dla: podmiotów publicznych, podmiotów monitorujących osoby na dużą skalę (np. banki) oraz podmiotów przetwarzających dane wrażliwe (np. zdrowotne – szpitale) i dane dot. wyroków. Zdecydowanej większości agencji zatrudnienia (o ile nie wszystkich) wymóg ten nie dotyczy i jest jedynie możliwością, która może jednak usprawnić ochronę danych.
Agencje zatrudnienia współpracują z wieloma podmiotami, którym może być konieczne powierzenie czynności przetwarzania danych (w zasadzie wszyscy klienci). Następuje poprzez umowę, przy czym właściwa jest forma pisemna. Treść umowy precyzyjnie określa samo Rozporządzenie – do niezbędnych elementów należą: rodzaj danych osobowych, przedmiot, cel przetwarzania i jego charakter, czas trwania, a także obowiązki i prawa administratora danych i procesora (określa je dotychczasowy administrator). Przepisy dopuszczają możliwość dalszego powierzenia danych.
administracyjnoprawnej– egzekwowana przez właściwe organy nadzoru.
cywilnoprawnej – na zasadach ogólnych, postępowanie inicjuje podmiot danych. Może skutkować m.in. pozbawieniem zysków wynikających z naruszenia. Możliwe dochodzenie odszkodowania (art. 82 RODO).
karnej – określonej w projekcie ustawy, która przewiduje m.in. grzywnę za utrudnianie kontroli, a nawet karę pozbawienia wolności do 1 roku (kwalifikuje się jako występek) za przetwarzanie danych wrażliwych bez podstawy.