Source: http://cuw.nidzica.pl/ustawa-wdrazajaca-rodo-wchodzi-w-zycie
Timestamp: 2019-09-22 20:22:11+00:00
Document Index: 80526505

Matched Legal Cases: ['art. 10', 'art. 9', 'art. 4', 'art. 207', 'art. 283', 'art. 16', 'art. 8', 'art. 9', 'art. 221', 'art. 222', 'art. 229']

2019-05-22 - Ustawa wdrażająca RODO wchodzi w życie :: Centrum Usług Wspólnych w Nidzicy
2019-05-22 - Ustawa wdrażająca RODO wchodzi w życie
Jak wiadomo, przetwarzanie danych osobowych od 25 maja 2018 r. odbywa się na podstawie przepisów RODO. Skuteczne stosowanie rozwiązań wynikających z tego rozporządzenia wymagało wprowadzenia do regulacji krajowych nowych rozwiązań, które porządkują w znacznym stopniu dotychczasowe zasady przetwarzania danych. Temu właśnie służy tzw. ustawa wdrażająca RODO, która została podpisana przez Prezydenta.Uporządkowanie w tym zakresie dotyczy między innymi przepisów prawa pracy, co ma istotne znaczenie w praktyce działów kadrowo-płacowych.
Konieczność doprecyzowania RODO na szczeblu krajowym
Przypomnijmy, że 25 maja 2018 r. ma szczególne znaczenie w zakresie problematyki przetwarzania danych osobowych. Jest to data, od której rozpoczęło obowiązywać rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).
Wejście w życie nowego unijnego rozporządzenia spowodowało potrzebę zmodyfikowania i przyjęcia nowych regulacji z zakresu ochrony danych osobowych w obrębie krajowego porządku prawnego. Ustawodawca zdecydował na przyjęcie nowelizacji licznych aktów prawnych w drodze jednej ustawy zmieniającej, mającej na celu dostosowanie polskiego porządku prawnego do wymogów wynikających z RODO − między innymi przez usunięcie przepisów, które pozostawały w sprzeczności z RODO, jak również takich, które stanowią powtórzenie rozwiązań przyjętych na gruncie unijnego rozporządzenia. Aktem porządkującym i dostosowującym polski porządek prawny do wymagań rozporządzenia RODO jest ustawa z 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych.
…zwłaszcza w stosunkach pracy
Szczególne znaczenie w zakresie przetwarzania danych osobowych mają regulacje dotyczące relacji pracodawca – pracownicy, które to relacje występują w przypadku licznej grupy administratorów danych. Uwzględniwszy pojawiające się wątpliwości oraz kwestie sporne na gruncie przetwarzania danych osobowych w procesie zatrudnienia, niezbędne stało się doprecyzowanie zarówno zakresu, jak i zasad przetwarzania danych w relacjach pracowniczych.
Modyfikacji oraz uzupełnieniu uległy przepisy prawa pracy w następującym zakresie:
danych osobowych osoby przyjmowanej do pracy oraz pracownika,
nierównego traktowania w związku z brakiem udzielenia zgody na przetwarzanie nieobowiązkowych danych osobowych,
zasad stosowania monitoringu zakładowego,
przetwarzania danych osobowych na potrzeby działalności socjalnej.
Sprecyzowany zakres danych kandydata do zatrudnienia oraz pracownika
Rzeczą naturalną jest, że przyszły pracodawca chce mieć maksimum informacji od ewentualnego przyszłego pracownika – w tym często bez jego udziału. Każdy pracodawca, który zatrudnia na podstawie otwartej, konkurencyjnej i z góry nieustawionej rekrutacji, zmierza bowiem do dokonania wyboru najlepszego kandydata do pracy. Ogłoszenie o pracę stanowi zaproszenie do podjęcia rokowań w sprawie zatrudnienia, a w szczególności kształtu przyszłej umowy o pracę w zakresie warunków pracy i płacy. Szczególnym rodzajem rekrutacji jest nabór, który występuje w szeroko rozumianej służbie publicznej – przykładowo w służbie cywilnej czy jednostkach samorządowych. Przyjmuje się, że nabór jest sformalizowaną procedurą zatrudniania w danej jednostce organizacyjnej. Proces naboru w praktyce zaczyna się z momentem określenia zapotrzebowania na zatrudnienie nowego pracownika, a kończy zatrudnieniem osoby wybranej.
Przeprowadzenie procesu rekrutacji czy naboru bez pozyskania danych osobowych od osób zainteresowanych zatrudnieniem jest niemożliwe. Rekrutacja, w tym rokowania dotyczące kształtu przyszłych warunków zatrudnienia, toczą się zawsze między oznaczonymi stronami – pracodawcą oferującym zatrudnienie a osobami, które przepisy prawa pracy określają jako „osoby ubiegające się o zatrudnienie”. Pracodawca jeszcze zanim formalnie zatrudni pracownika, ma możliwość pozyskania od osoby ubiegającej się o zatrudnienie następujących danych osobowych:
W przypadku danych osobowych obejmujących wykształcenie, kwalifikacje zawodowe, przebieg dotychczasowego zatrudnienia możliwość ich żądania jest uzależniona od tego, czy dane te są niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku.
Przykładem uzasadniającym pozyskanie przez zatrudniającego większego spektrum danych osobowych jest zatrudnianie nauczycieli w szkołach. Osobą zatrudnioną na stanowisku nauczyciela nie może być wyłącznie ten, kto lubi dzieci, ma z nimi dobry kontakt i uważa, że sobie poradzi w roli nauczyciela. Przepisy rozporządzenia Ministra Edukacji Narodowej z 1 sierpnia 2017 r. w sprawie szczegółowych kwalifikacji wymaganych od nauczycieli określają precyzyjnie szczegółowe kwalifikacje wymagane od nauczycieli, w szczególności poziom wykształcenia i jego zakres w odniesieniu do poszczególnych typów szkół i rodzajów placówek. Tym samym osoba ubiegająca się o zatrudnienie w szkole na stanowisku nauczyciela musi być przygotowana na konieczność przetwarzania jej danych osobowych w zakresie szerszym niż przykładowo osoba starająca się o pracę w prywatnej firmie, do której nie są wymagane szczególne kwalifikacje – jak również w szkole na stanowisko pracownika „pomocniczego”.
W praktyce w placówkach edukacyjnych są stosowane procedury naboru na wolne stanowiska nauczycieli. Ich zapisy powinny korespondować nie tylko z pragmatykami − czyli aktami prawnymi takimi jak Karta Nauczyciela czy przedstawione wyżej rozporządzenie w sprawie szczegółowych kwalifikacji wymaganych od nauczycieli, ale również z zasadami legalnego przetwarzania danych osobowych.
W momencie zatrudnienia osoby ubiegającej się o pracę osoba taka staje się pracownikiem. Od tego momentu strony realizują swoje prawa i obowiązki wynikające ze stosunku pracy. Zyskanie statusu pracownika powoduje, że pracodawca ma prawo żądać od osoby zatrudnionej podania dodatkowych danych osobowych, niezależnie od danych już udostępnionych przez osobę, która ubiegała się o zatrudnienie.
Pracodawca żąda od pracownika danych osobowych obejmujących:
numer PESEL, a w przypadku jego braku rodzaj i numer dokumentu potwierdzającego tożsamość,
inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie tych danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy,
wykształcenie i przebieg dotychczasowego zatrudnienia − jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie,
numer rachunku płatniczego, jeśli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych.
Możliwe pozyskiwanie danych pozaustawowych?
Obok opisanych danych osobowych udostępnianych przez kandydata na pracownika oraz pracownika pracodawca żąda podania innych danych osobowych, gdy jest to niezbędne do realizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisów prawa. Problemem jest to, że ta regulacja, której źródłem jest znowelizowany Kodeks pracy, odwołuje się do ogólnego pojęcia „przepisów prawa” − bez jednoznacznego określenia, jakiego rzędu akt prawny może być źródłem tych przepisów. Należy bowiem przypomnieć, że przykładowo prawem pracy jest nie tylko Kodeks pracy jako podstawowe źródło prawa pracy, jak również pozostałe przepisy rangi ustawowej − przykładowo Karta Nauczyciela, ale również pozostałe przepisy zawarte w licznych rozporządzeniach wykonawczych, odnoszące się na przykład do kwestii technicznego bezpieczeństwa pracy. Prawo pracy to nie tylko przepisy powszechnie obowiązującego rangi ustawowej czy rozporządzeń – pod zbiorczym pojęciem „prawa pracy” kryją się również przepisy zakładowe − statuty, zarządzenia, regulaminy układy zbiorowe pracy.
Powstaje zatem wątpliwość: czy źródłem przepisów prawa, które uzasadniają pozyskanie dodatkowych danych osobowych (poza tymi, które wynikają bezpośrednio z Kodeksu pracy), mogą być przepisy zakładowe? Odnosząc się do tej wątpliwości, wydaje się, że nie ma przeciwwskazań, aby regulacje zakładowe nakładały obowiązek udostępnienia danych osobowych wykraczających poza te, które wynikają z przepisów podstawowego źródła prawa pracy, jakim jest Kodeks pracy − pod warunkiem jednak że nie pozostają w sprzeczności z przepisami szczegółowymi rangi ustawowej lub przepisami wykonawczymi. Nie można bowiem uznać za legalną sytuację, w ramach której pracodawca w przepisach zakładowych wprowadza obowiązek udostępnienia danych osobowych o praktycznie dowolnym zakresie. W takiej sytuacji niezależnie od tego, że przepis prawa (prawa zakładowego), który jest prawem pracy, wymagałby udostępnienia określonych danych, osoba zatrudniona w żadnym razie nie miałaby obowiązku ich udostępnienia, ponieważ przepis prawa zakładowego nie miałby oparcia w regulacjach krajowych określających zakres danych osobowych, jakie mogą być przetwarzane w procesie zatrudniania. Przepis prawa zakładowego pozostawałby również w sprzeczności z obowiązującą na gruncie RODO zasadą minimalizmu przetwarzania danych.
Pracodawca kształtując normy prawa zakładowego, w tym te dotyczące przetwarzania danych osobowych, ma prawo określać zakres danych osobowych udostępnianych przez osoby zatrudnione. Przepisy prawa zakładowego nie mogą jednak pozostawać w sprzeczności z zasadą minimalizmu przetwarzania danych, co powoduje, że na ich podstawie pracodawca ma prawo oczekiwać przedstawienia danych osobowych niezbędnych i wynikających z przepisów powszechnie obowiązujących oraz takich, które sankcjonują uzasadniony interes pracodawcy jako administratora danych.
Dane powinny być przekazane w formie pisemnej
Uprawnieniem pracodawcy jako podmiotu zatrudniającego jest nie tylko żądanie podania określonych danych osobowych, ale również żądanie ich udostępnienia w określonej formie. Kodeks pracy przewiduje formę oświadczenia osoby, której dane dotyczą. Problem w tym, że przepis mówiący o świadczeniu nie wskazuje w sposób precyzyjny na formę, w jakiej owo oświadczenie może być złożone. Niezależnie od tego należy przyjąć, że oświadczenie zawierające dane osobowe zarówno na etapie przyjmowania do pracy, jak i w ramach udostępniania ich przez pracownika powinno być sporządzone w postaci pisemnej.
Warto pamiętać, że wraz z uchyleniem rozporządzenia Ministra Pracy i Polityki Socjalnej z 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika nie mają waloru obowiązującego załączone do tego rozporządzenia wzory kwestionariuszy osobowych − zarówno dla osoby ubiegającej się o zatrudnienie, jak i dla pracownika. Obecne kwestionariusze osobowe zamieszczone w Biuletynie Informacji Publicznej resortu pracy są wyłącznie o charakterze posiłkowym i nieobligatoryjnym. Tym samym poszczególni pracodawcy mają prawo modyfikować je do swoich potrzeb, pamiętając jednak, aby nie wiązało się to z rozszerzeniem z zakresu oczekiwanych danych osobowych, który musi być zgodny z przepisami określającymi ich zakres − w tym zasadą minimalizmu wynikającą z rozporządzenia RODO.
W praktyce nie można wykluczyć, że wraz z nowelizacją przepisów prawa pracy w kwestii danych osobowych udostępnianych przez osoby ubiegające się o zatrudnienie, jak również przez pracowników dojdzie do opracowania nowych wzorów kwestionariuszy osobowych. Mogą stać się częścią nowego rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej z 10 grudnia 2018 r. w sprawie dokumentacji pracowniczej, co wówczas sprawi, że będą obowiązujące. Nowe ewentualne kwestionariusze dla ubiegających się o zatrudnienie oraz pracowników będą mogły zastąpić obecne proponowane w ramach Biuletynu Informacji Publicznej, dzięki temu będą mogły być stosowane na zasadzie dobrowolności.
Pozyskanie i dalsze przetwarzanie danych osobowych, o których mowa bezpośrednio w przepisach prawa pracy na potrzeby zatrudnienia, jest niezależne od udzielenia zgody osoby ubiegającej się o zatrudnienie oraz pracownika. Brak takiej zgody uniemożliwiałby bowiem realizowanie wzajemnych praw i obowiązków stron stosunku pracy.
Fakultatywne dane osobowe pozyskiwane od kandydatów do zatrudnienia oraz pracowników
Kodeks pracy wskazuje na konkretne dane osobowe, których pracodawca żąda od osoby ubiegającej się o zatrudnienie, jak również od zatrudnionego już pracownika. Ponieważ przepisy nie odwołują się do konstrukcji „uprawnienia”, nie posługują się bowiem zwrotem pracodawca „może żądać” − obowiązkiem prawnym pracodawcy jest pozyskanie danych osobowych w niezbędnym zakresie wynikającym z Kodeksu pracy. Obowiązkowi pracodawcy pozyskania danych osobowych odpowiada jednocześnie obowiązek pracownika w zakresie udostępnienia tych danych. Brak ich podania na etapie przyjmowania do pracy spowoduje odstąpienie pracodawcy od rokowań w sprawie kształtu przyszłej umowy, co spowoduje nienawiązanie stosunku pracy. Brak podania określonych danych przez pracownika spowoduje natomiast naruszenie podstawowych obowiązków pracowniczych, co może skutkować rozwiązaniem umowy w trybie dyscyplinarnym.
Dane pozyskiwane za zgodą kandydatów do pracy i podwładnych
Obok danych, które pracodawca ma obowiązek pozyskać, a pracownik ma obowiązek podać, istnieje możliwość podania fakultatywnych danych osobowych − innych niż te, które bezpośrednio wynikają z przepisów Kodeksu pracy, jak również te, które są niezbędne do realizacji uprawnień i obowiązków pracodawcy, przewidzianych w innych regulacjach powszechnie obowiązujących. Zgodnie z nowym rozwiązaniem przyjętym na gruncie Kodeksu pracy zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych − z wyjątkiem danych osobowych, o których mowa w art. 10 RODO (dane osobowe dotyczące wyroków skazujących oraz naruszeń prawa).
Brak wyrażenia zgody lub jej wycofanie na przetwarzanie innych danych osobowych nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować jakichkolwiek negatywnych konsekwencji − zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę.
Przepisy prawa pracy nie wskazują, jaką formę powinna mieć zgoda pracownika na przetwarzanie fakultatywnych danych osobowych. W tym zakresie niezbędne będzie odwołanie się do reguł obowiązujących na gruncie rozporządzenia RODO. Z przepisów rozporządzenia wynika, że zgoda osoby, której dane dotyczą, oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli i nim osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzająco przyzwala na przetwarzanie dotyczących jej danych osobowych. Warto pamiętać, że jeżeli przetwarzanie odbywa się na podstawie zgody osoby, której dane dotyczą, administrator − w omawianym przypadku pracodawca − powinien być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na konkretne operacje w zakresie przetwarzania. Tym samym na gruncie fakultatywnych danych osobowych, które może udostępnić pracownik, należy przyjąć, że zgoda pracownika powinna mieć formę pisemną − w przeciwnym razie pracodawca może mieć problem z wykazaniem, iż ten faktycznie zgodę wyraził.
Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych, o których mowa w art. 9 ust. 1 RODO. Przywołany przepis odnosi się do przetwarzania szczególnych kategorii danych osobowych − ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.
Dane biometryczne pracownika przetwarzane bez jego zgody
Szczególną kategorię danych osobowych stanowią dane biometryczne. Nowe przepisy Kodeksu pracy dopuszczają przetwarzanie takich danych w stosunku do pracowników przy zachowaniu odpowiednich warunków bezpieczeństwa przetwarzania takich danych, wskazują jednocześnie przesłanki uzasadniające przetwarzanie danych biometrycznych.
Przepisy prawa pracy, w tym wprowadzone nowelizacją, nie definiują, czym są dane biometryczne. Oznacza to, że w tym zakresie konieczne będzie odwołanie się do przepisów rozporządzenia RODO, które definicję „danych biometrycznych” zawierają. Zgodnie z art. 4 pkt 14 RODO dane biometryczne oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne.
Przetwarzanie danych biometrycznych pracownika jest dopuszczalne, gdy podanie takich danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony.
Uwzględniwszy brak przykładowego katalogu danych, jakie zasługują na szczególną ochronę, uzasadniających pozyskanie danych biometrycznych bez zgody pracownika można uznać, że takimi szczególnymi danymi mogą być informacje handlowe, techniczne technologiczne czy związane z danymi wrażliwymi.
Drugą przesłanką uzasadniającą pozyskanie i przetwarzanie danych biometrycznych pracowników bez ich zgody to dostęp do pomieszczeń wymagających szczególnej ochrony. Ich przykładem mogą być pomieszczenia, w których przechowywane są wartości pieniężne, jak również związane z bezpieczeństwem administratora jako jednostki organizacyjnej − przykładowo pomieszczenia, gdzie przechowywane są klucze do pomieszczeń administratora – w tym pomieszczeń, w których przetwarzane są dane osobowe. Uwzględniając szczególny charakter danych biometrycznych, przepisy prawa pracy ograniczają dostęp do takich danych.
Zgodnie z nowymi regulacjami Kodeksu pracy do przetwarzania danych biometrycznych mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania takich danych wydane przez pracodawcę. Osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w tajemnicy.
Konieczne szczególne środki bezpieczeństwa
W kontekście tej regulacji pojawia się wątpliwości − czy wystarczającym upoważnieniem do przetwarzania danych biometrycznych jest przykładowo treść umowy o pracę lub zakres czynności pracownika wydany w formie pisemnej, z którego wynika, że pracownik będzie wykorzystywał w procesie pracy szczególnie ważne informacje. A ich ujawnienie może narazić pracodawcę na szkodę lub będzie świadczył pracę w pomieszczeniach wymagających szczególnej ochrony.
Przepisy nie rozstrzygają tego istotnego dla praktyki sporu. Należy jednak uznać, że niezależnie od postanowień umowy o pracę czy pisemnych zapisów zakresu obowiązków, z którego może wynikać konieczność przetwarzania danych biometrycznych, upoważnienie do ich przetwarzania powinno stanowić odrębny dokument i z jego treści pracodawca określi, jakie dane biometryczne będą przetwarzane, w jakim zakresie oraz zobowiąże pracownika do zachowania w tajemnicy danych biometrycznych.
Zachowanie w tajemnicy danych biometrycznych, jak również pozostałych danych osobowych stanowi podstawowy obowiązek pracowniczy osób, które takie dane przetwarzają. Mimo że nie wynika to bezpośrednio z przepisów prawa pracy dotyczących przetwarzania danych, naruszenie zasad przetwarzania danych, w tym obowiązku zachowania tajemnicy, może stanowić przesłankę uruchomienia postępowania przewidzianego w RODO na wypadek incydentu naruszenia ochrony danych, jak również postępowania dyscyplinarnego względem pracownika regulowanego przepisami prawa pracy.
Doprecyzowane rozwiązania w zakresie monitoringu w szkołach niepublicznych
Rolą każdego pracodawcy jest zapewnienie bezpiecznych i higienicznych warunków pracy, o których mowa w art. 207 § 2 Kodeksu pracy, osobom fizycznym wykonującym pracę na innej podstawie niż stosunek pracy w zakładzie pracy lub w miejscu wyznaczonym przez pracodawcę, a także osobom prowadzącym w zakładzie pracy lub w miejscu wyznaczonym przez pracodawcę na własny rachunek działalność gospodarczą.
Szczególnym przypadkiem w kontekście obowiązku zapewnienia bezpieczeństwa są placówki oświatowe, gdzie rolą dyrektora szkoły jest zapewnienie z jednej strony bezpieczeństwa pracy osobom zatrudnionym, z drugiej strony zagwarantowanie bezpieczeństwa dla osób będących pod opieką szkoły.
Nadzór pracodawcy nad bezpieczeństwem pracy może być realizowany z uwzględnieniem środków organizacyjnych i technicznych. Szczególną formą takiego nadzoru jest monitoring. Podstawową postacią monitoringu, jaką może zastosować każdy pracodawca, z uwzględnieniem specyfiki prowadzonej działalności, jest monitoring wizyjny za pomocą kamer. Monitoring taki zwany często wideonadzorem umożliwia zarówno bieżące monitorowanie zakładu pracy oraz terenu wokół zakładu, jak i dokonywanie zapisów rejestrowanych obrazów oraz ich późniejszy odczyt. Monitoring w szkołach i placówkach oświatowych podlega regulacji Prawa oświatowego – przy czym dotyczy to wyłącznie szkół i placówek publicznych. Natomiast w szkołach i placówkach niepublicznych zachodzi konieczność stosowania ogólnych regulacji, tj. przepisów Kodeksu pracy.
Monitoring wizyjny przy użyciu kamer okaże się dopuszczalny, tylko w przypadku gdy jest niezbędny do zapewnienia bezpieczeństwa pracowników lub ochrony mienia lub kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę.
Sam fakt, iż przepisy prawa pracy pozwalają pracodawcom stosować monitoring wizyjny, nie oznacza, że każdy pracodawca może go wprowadzić. Zanim podjęte zostaną działania zmierzające do uregulowania problematyki monitoringu na szczeblu zakładu pracy, a następnie zakupienia niezbędnej infrastruktury, pracodawca musi odpowiedzieć sobie na pytanie: czy monitoring jest niezbędny do osiągnięcia jednego celu lub kilku celów uzasadniających wprowadzenie monitoringu. Przykładowo, jeżeli cel, jakim jest zapewnienie bezpieczeństwa pracowników oraz osób będących pod opieką placówek oświatowych może być skuteczne realizowany przez stosowanie innych środków technicznych i organizacyjnych, wówczas stosowanie monitoringu wizyjnego jest działaniem na wyrost.
Kwestią nabierającą szczególnego znaczenia zarówno w kontekście ochrony danych osobowych (w omawianym przypadku wizerunków osób będących w zasięgu monitoringu), jak i ochrony ich dóbr osobistych jest lokalizacja kamer. Zgodnie z ogólną zasadą monitoring pracowniczy jest instalowany na terenie zakładu pracy oraz terenie wokół zakładu. Gdyby trzymać się ogólnej regulacji, można by uznać, że kamera może być zainstalowana w każdym miejscu, które wpisuje się w pojęcie „terenu zakładu pracy”.
Definicja „terenu zakładu pracy” znajduje się w przepisach rozporządzenia Ministra Pracy i Polityki Socjalnej z 26 września 1997 r. w sprawie ogólnych przepisów bezpieczeństwa i higieny pracy. Zgodnie z § 2 pkt 7a przywołanego rozporządzenia teren zakładu pracy to przestrzeń wraz z obiektami budowlanymi, będąca w dyspozycji pracodawcy, w której pracodawca organizuje miejsca pracy. Uwzględniwszy tę definicję terenu zakładu pracy, można przyjąć, że w jej ramach mieści się zarówno siedziba pracodawcy, jak i wszelka pozostała przestrzeń wraz z obiektami budowlanymi będąca w dyspozycji pracodawcy, w której pracodawca zorganizował proces pracy.
Przepisy prawa pracy dające prawo instalowania kamery na terenie zakładu pracy oraz na terenie wokół zakładu zawierają regulacje szczególne, wyłączające spod zakresu monitoringu miejsca i pomieszczenia, które zostały wprawdzie usytuowane na terenie zakładu pracy, ale nie są związane bezpośrednio z zadaniami typowo pracowniczymi.
Zgodnie z nowymi zasadami monitoring nie obejmuje pomieszczeń udostępnianych zakładowej organizacji związkowej. Jak wiadomo, pracodawca obowiązany jest umożliwić zakładowej organizacji związkowej wykonywanie jej zadań − między innymi przez udostępnienie pomieszczeń przeznaczonych na taką działalność. Warto pamiętać, że obowiązkiem pracodawcy nie jest udostępnienie takich pomieszczeń nieodpłatnie − sposób, jaki pracodawca realizuje swój obowiązek w omawianym zakresie, uregulowany jest w umowie między pracodawcą a zakładową organizacją związkową. Należy przy tym pamiętać, że pracodawca nie ma prawa uzależniać udostępnienia zakładowej organizacji związkowej pomieszczeń, jak również łaczyć kwestię odpłatności za użyczenie pomieszczeń od tego, czy zakładowa organizacja związkowa zdecyduje się na możliwość monitorowania pomieszczeń związkowych.
Pracodawca nie ma prawa instalować monitoringu w pomieszczeniach udostępnionych zakładowej organizacji związkowej niezależnie od tego, czy organizacja taka wyraziłaby na to swoją zgodę, czy też nie.
Obok pomieszczeń zakładowej organizacji związkowej monitoring nie może być co do zasady stosowany w miejscach, w których pracownicy mają prawo do prywatności. Monitoring nie obejmuje zatem pomieszczeń sanitarnych, szatni, stołówek oraz palarni – chyba że stosowanie monitoringu w tych pomieszczeniach jest niezbędne do realizacji prawnie uzasadnionych celów, co do których monitoring przez pracodawcę jest stosowany − przykładowo związanych z bezpieczeństwem zatrudnionych. Stosowanie monitoringu w tych pomieszczeniach jest możliwe tylko wówczas, jeżeli nie naruszy to godności oraz innych dóbr osobistych pracownika, w szczególności poprzez stosowanie technik uniemożliwiających rozpoznanie przebywających w tych pomieszczeniach osób.
Monitoring pomieszczeń sanitarnych wymaga uzyskania uprzedniej zgody zakładowej organizacji związkowej, jeżeli u pracodawcy nie działa zakładowa organizacja związkowa − uprzedniej zgody przedstawicieli pracowników wybranych w trybie przyjętym u danego pracodawcy.
Warto zauważyć, że nowe przepisy Kodeksu pracy regulujące dopuszczalność stosowania monitoringu w pomieszczeniach sanitarnych nie odnoszą się do możliwości cofnięcia zgody na monitorowanie pomieszczeń. Wydaje się zatem, że decyzja zakładowej organizacji związkowej zezwalająca pracodawcy na monitoring pomieszczeń sanitarnych powinna być dobrze przemyślana. Możliwości cofnięcia może zostać przez pracodawcę skutecznie zablokowana, uwzględniając fakt nakładów poczynionych na zainstalowanie monitoringu na podstawie zgody zakładowej organizacji związkowej.
Nie tylko RODO. Zmiany w zakresie badań profilaktycznych
Nowa ustawa przewiduje także zmiany w zakresie obowiązku kierowania na profilaktyczne badania lekarskie. Otóż badania lekarskie, które obowiązkowo muszą przechodzić pracownicy, zaliczają się do szczególnie istotnych środków profilaktycznych w zakresie ochrony zdrowia osób zatrudnionych. Pozwalają – bywa, że tylko teoretycznie, zapobiegać wykonywaniu pracy przez osoby, które ze względów zdrowotnych jej świadczyć nie powinny. Badania takie są zatem rodzajem monitoringu stanu zdrowia pracownika, zapewniającego mu bezpieczeństwo zdrowotne w zakresie wykonywanych obowiązków, jak również przy okazji jego współpracownikom. Celem badań profilaktycznych jest zatem ochrona zdrowia oraz życia pracownika, ograniczenie wystąpienia choroby zawodowej oraz ryzyka związanego z wypadkiem przy pracy.
Pracodawca nie może dopuścić do pracy pracownika bez aktualnego orzeczenia lekarskiego stwierdzającego brak przeciwwskazań do pracy na określonym stanowisku w warunkach pracy opisanych w skierowaniu na badania lekarskie. Jeżeli się na to zdecyduje, naraża się na odpowiedzialność z tytułu popełnionego wykroczenia uregulowanego w art. 283 § 1 Kodeksu pracy. Za takie postępowanie grozi kara grzywny od 1.000 do 30.000 zł.
Przyjmowanie do pracy wiąże się z koniecznością przeprowadzenia badań wstępnych. Badaniom tym podlegają również pracownicy młodociani oraz pozostali pracownicy przenoszeni na inne stanowiska pracy, na których występują czynniki szkodliwe dla zdrowia lub warunki uciążliwe.
Warto pamiętać, że nie każde przyjęcie do pracy będzie wiązało się z koniecznością kierowania pracownika na wstępne badania profilaktyczne. Wstępnym badaniom lekarskim nie podlegają osoby przyjmowane do pracy u innego pracodawcy na dane stanowisko w ciągu 30 dni po rozwiązaniu lub wygaśnięciu poprzedniego stosunku pracy, jeżeli posiadają aktualne orzeczenie lekarskie stwierdzające brak przeciwwskazań do pracy w warunkach pracy opisanych w skierowaniu na badania lekarskie i pracodawca ten stwierdzi, że warunki te odpowiadają warunkom występującym na danym stanowisku pracy, z wyłączeniem osób przyjmowanych do wykonywania prac szczególnie niebezpiecznych.
Do prac szczególnie niebezpiecznych zaliczają się prace stwarzające duże zagrożenia wypadkami przy pracy lub chorobami zawodowymi. To np. prace na wysokości, prace w warunkach narażenia na działanie substancji chemicznych (w tym o działaniu rakotwórczym lub mutagennym). Uwzględniając fakt, że wykonywanie tego rodzaju prac nawet przez krótki okres może powodować pogorszenie stanu zdrowia i tym samym wystąpienie przeciwwskazań do zatrudnienia przy określonych pracach, niezwykle istotna jest kontrola stanu zdrowia. Z tego powodu pracodawca przyjmujący do prac niebezpiecznych pracownika będzie obowiązany do skierowania go na badanie wstępne niezależnie od legitymowania się przez niego aktualnym orzeczeniem z poprzedniego miejsca pracy.
Pracodawca przechowuje orzeczenia wydane na podstawie badań lekarskich – zrealizowanych zarówno na podstawie skierowań przez siebie wystawionych, jak i na podstawie skierowań wydanych przez innych pracodawców.
Decydując się na podjęcie decyzji w sprawie zwolnienia osoby przyjmowanej do pracy z profilaktycznych badań wstępnych, kluczową kwestią jest porównanie warunków pracy w nowym miejscu pracy z warunkami pracy, jakie towarzyszyły pracy w poprzednim miejscu pracy. Warto zwrócić uwagę, że przepisy Kodeksu pracy, posługując się zwrotem „warunki pracy”, nie definiują użytego sformułowania. Pojęcie „warunków pracy” wydaje się być pojemniejsze. W jego ramach mogą występować np. warunki pracy wynikające z umowy o pracę, np. czasu pracy, którego zwiększony wymiar w poszczególnych dniach nie jest bez znaczenia dla bezpieczeństwa pracy. Warto w tymi miejscu odwołać się do uregulowań zawartych w rozporządzeniu Ministra Zdrowia i Opieki Społecznej z 30 maja 1996 r. w sprawie przeprowadzania badań lekarskich pracowników, zakresu profilaktycznej opieki zdrowotnej nad pracownikami oraz orzeczeń lekarskich wydawanych do celów przewidzianych w Kodeksie pracy. Z przywołanego rozporządzenia wynika, że skierowanie na badania lekarskie powinno zawierać, między innymi, opis warunków pracy uwzględniający informacje o występowaniu na stanowisku lub stanowiskach pracy, czynników niebezpiecznych, szkodliwych dla zdrowia lub czynników uciążliwych i innych wynikających ze sposobu wykonywania pracy, z podaniem wielkości narażenia oraz aktualnych wyników badań i pomiarów czynników szkodliwych dla zdrowia, wykonanych na tych stanowiskach.
Nauczyciel wychowania fizycznego oraz języka polskiego są przyjmowani do pracy w nowej szkole. Wcześniej zarówno jeden, jak i drugi świadczyli pracę w niewielkiej wiejskiej szkole. Szkoła, w której będą wykonywać pracę, stanowi duży kompleks, z rozwiniętym zapleczem sportowym w postaci między innymi basenu oraz siłowni. Tak jeden, jak drugi nauczyciel przedstawili orzeczenia o braku przeciwwskazań do pracy, jak również skierowania na badania wystawione przez poprzedniego pracodawcę.
W przedstawionym przypadku zachodzi duże prawdopodobieństwo, że przyjmowany nauczyciel języka polskiego nie będzie musiał przechodzić wstępnych badań profilaktycznych. Inaczej rzecz się będzie przedstawiała w przypadku nauczyciela wychowania fizycznego. Praca w nowej szkole ze względu na znacznie bardziej rozbudowaną infrastrukturę sportową wiąże się ze znaczną modyfikacją warunków środowiska pracy. Tym samym zasadnym postępowaniem pracodawcy będzie skierowanie nauczyciela wychowania fizycznego na wstępne badania profilaktyczne.
W przypadku stwierdzenia, że warunki określone w skierowaniu na badania wydanym przez innego pracodawcę nie odpowiadają warunkom występującym na danym stanowisku pracy, pracodawca zwraca osobie przyjmowanej do pracy to skierowanie oraz orzeczenie lekarskie wydane w wyniku tego skierowania.
Nowe rozwiązania dotyczące przetwarzania danych w ramach ZFŚS
Przepis art. 16 Kodeksu pracy nakłada na pracodawców obowiązek zaspokajania bytowych, socjalnych oraz kulturalnych potrzeb pracowników – stosownie do możliwości i warunków. Do instrumentów, które korespondują z tym przepisem, zalicza się zakładowy fundusz świadczeń socjalnych; jego problematyka nie jest jednak uregulowana w Kodeksie pracy, ale w ustawie z 4 marca 1996 r. o zakładowym funduszu świadczeń socjalnych. Ustawa określa zasady tworzenia przez pracodawców zakładowego funduszu świadczeń socjalnych i zasady gospodarowania środkami funduszu, przeznaczonego na finansowanie działalności socjalnej organizowanej na rzecz osób uprawnionych do korzystania z funduszu.
W kontekście działalności socjalnej i pracodawców istotnym problemem jest przetwarzanie danych osobowych − tym bardziej że w ramach działalności socjalnej dochodzi do przetwarzania danych osobowych nie tylko pracowników zatrudnionych przez pracodawcę prowadzącego działalność socjalną, ale również członków rodziny. Zgodnie z art. 8 ustawy o zakładowym funduszu świadczeń socjalnych przyznawanie ulgowych usług i świadczeń oraz wysokość dopłat z funduszu uzależnia się od sytuacji życiowej, rodzinnej i materialnej osoby uprawnionej do korzystania z funduszu. Problem w tym, że przepisy ustawy o zakładowym funduszu świadczeń socjalnych nie odnosiły się zupełnie do kwestii związanych z legalnym przetwarzaniem danych osobowych na potrzeby gospodarowania funduszem, co wymagało odwoływania się do ogólnych zasad obowiązujących w ramach RODO.
Zgodnie z nową regulacją udostępnienie pracodawcy danych osobowych osoby uprawnionej do korzystania z funduszu w celu przyznania ulgowej usługi i świadczenia oraz dopłaty z funduszu i ustalenia ich wysokości następuje w formie oświadczenia. Pracodawca może żądać udokumentowania danych osobowych w zakresie niezbędnym do ich potwierdzenia. Potwierdzenie może odbywać się w szczególności na podstawie oświadczeń i zaświadczeń o sytuacji życiowej (w tym zdrowotnej), rodzinnej i materialnej osoby uprawnionej do korzystania z funduszu.
Na potrzeby działalności socjalnej może zachodzić konieczność przetwarzania danych osobowych dotyczących stanu zdrowia, o których mowa w art. 9 ust. 1 RODO. W przypadku tych danych nowe przepisy ustawy o zakładowym funduszu świadczeń socjalnych wprowadzają dodatkowe zabezpieczenie w postaci wymogu posiadania pisemnego upoważnienia przez osoby, które będą dane dotyczące stanu zdrowia na potrzeby działalności socjalnej przetwarzały. Pisemne upoważnienie będzie musiała posiadać każda osoba, która na potrzeby działalności socjalnej będzie przetwarzać dane wrażliwe dotyczące stanu zdrowia. Tym samym warto o takie upoważnienia zadbać, zarówno w stosunku do pracowników, którzy na bieżąco przetwarzają dane osobowe na potrzeby działalności socjalnej, jak i względem osób wyznaczonych w celu doraźnych zastępstw w nagłych przypadkach − kiedy przetwarzanie danych na potrzeby socjalne nie będzie mogło być dokonywane przez osoby, które zwykle się tym zajmują.
W szkole wyznaczona osoba w dziale kadr zajmuje się zbieraniem oświadczeń osób uprawnionych do korzystania z funduszu. Na podstawie nowych przepisów ustawy o zakładowym funduszu świadczeń socjalnych dyrektor szkoły jako osoba reprezentująca szkołę, czyli administratora danych osobowych, wydał tej osobie pisemne upoważnienie, które ma charakter odrębny od upoważnienia związanego z przetwarzaniem danych osobowych w zwykłych czynnościach dotyczących prawa pracy. Osoba posiadająca to upoważnienie uległa wypadkowi przy pracy, w wyniku którego uzyskała orzeczenie o czasowej niezdolności do pracy z powodu choroby. Pracodawca postanowił, że na czas nieobecności pracownicy, która zwykle zajmuje się zbieraniem oświadczeń od osób uprawnionych do korzystania ze świadczeń funduszu, oświadczenia będzie zbierała inna osoba działu kadr. W takiej sytuacji, chcąc, aby osoba czasowo delegowana do tych zadań mogła przetwarzać dane osobowe, w tym dane dotyczące stanu zdrowia, niezbędne będzie wydanie uprzedniego pisemnego upoważnienia przez pracodawcę. Za niewystarczające należy tym samym uznać posługiwanie się upoważnieniem ogólnym, w tym domniemanym wynikającym z faktu, że osoba zastępująca z racji pracy w dziale kadr jest uprawniona do przetwarzania danych osobowych pracowników. Należy przyjąć, że upoważnienie do przetwarzania danych na potrzeby działalności socjalnej powinno mieć charakter odrębny od upoważnienia związanego z przetwarzaniem danych, o którym mowa w przepisach Kodeksu pracy.
Nowe przepisy ustawy o zakładowym funduszu świadczeń socjalnych zawierają regulację wskazującą na dopuszczalny czas przetwarzania danych osobowych na potrzeby działalności socjalnej. Dane osobowe zbierane w formie oświadczeń mogą być przetwarzane maksymalnie przez okres niezbędny do przyznania ulgowej usługi i świadczenia dopłaty z funduszu oraz ustalenia ich wysokości, a także przez okres niezbędny do dochodzenia praw lub roszczeń.
Z ograniczonym okresem przetwarzania danych osobowych na potrzeby działalności socjalnej wiąże się obowiązek pracodawcy dokonywania przeglądu danych osobowych. Powinien być \ przeprowadzany nie rzadziej niż raz w roku kalendarzowym. Jego celem jest ustalenie niezbędności (w tym zbędności) dalszego przechowywania danych osobowych. Dane, których przechowywanie jest zbędne, powinny podlegać usuwaniu.
Przetwarzanie danych osobowych pod kontrolą PIP
Problematyka przetwarzania danych osobowych, sytuacje związane z naruszeniem zasad ich przetwarzania kojarzą się z organem nadzorczym, jakim jest Urząd Ochrony Danych Osobowych. Niezależnie od zadań oraz kompetencji tego urzędu nie można uznać, że będzie on jedyną właściwą instytucją, która może zająć stanowisko w kwestiach dotyczących przetwarzania danych osobowych na potrzeby zatrudnienia. Należy bowiem pamiętać, że zasady dotyczące przetwarzania danych osobowych, w niezbędnym zakresie na potrzeby relacji pracodawca − pracownik wynikają z przepisów należących do źródeł prawa pracy − w szczególności Kodeksu pracy.
Organem kontroli i nadzoru nad przestrzeganiem przepisów prawa pracy jest Państwowa Inspekcja Pracy. Uwzględniwszy fakt, że podstawowe zasady przetwarzania danych osobowych, w tym ich zakres na potrzeby związane z zatrudnieniem, regulują źródła prawa pracy, nie można uznać, że Państwowa Inspekcja Pracy nie jest organem uprawnionym i obowiązanym do sankcjonowania naruszeń w obrębie zasad przetwarzania danych uregulowanych w źródłach prawa pracy. Żaden przepis, w tym ustawa o Państwowej Inspekcji Pracy, nie daje podstaw, aby uznać, że inspektor pracy jest organem kontroli i nadzoru w obrębie prawa pracy − z wyłączaniem unormowanych w przepisach prawa pracy zasad dotyczących przetwarzania danych osobowych na potrzeby zatrudnienia. Uzasadnieniem tej tezy jest nie tylko obowiązujący stan prawny, ale także fakt, że Główny Inspektor Pracy na etapie wnoszenia zastrzeżeń i uwag do projektu ustawy z 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania (RODO) nie wskazał na zasadność wyłączenia spod jurysdykcji PIP przepisów dotyczących ochrony danych osobowych – na potrzeby zatrudnienia.
W konsekwencji należy uznać, że inspektor pracy w ramach kontroli przestrzegania przez pracodawców przepisów prawa pracy − w tym pracodawców, jakimi są placówki edukacyjne, ma prawo zbadać kwestie przestrzegania przepisów dotyczących ochrony danych osobowych w zakresie uregulowanym przepisami prawa pracy, w szczególności Kodeksu pracy.
Inspektor pracy ma prawo w czasie kontroli zakwestionować nieprawidłowości dotyczące przetwarzania danych osobowych, przykładowo podczas kontroli dokumentów, w tym dokumentacji pracowniczej. Inspektor jest organem właściwym do kontrolowania prawidłowości stosowanego monitoringu pracowniczego, tym samym może dokonać oceny zarówno w kwestii zasadności jego wprowadzenia, wypełniania przez pracodawców obowiązków informacyjnych względem pracowników, jak i w kwestiach przetwarzania zapisów monitoringu przez dopuszczalny okres trzech miesięcy.
Możliwe składanie zastrzeżeń do protokołu kontroli
Wszelkie nieprawidłowości związane z zasadami przetwarzania danych osobowych na potrzeby zatrudnienia będą opisane przez inspektora pracy w protokole z kontroli. Każdy pracodawca, w tym placówka edukacyjna, ma prawo wnieść zastrzeżenia do protokołu − w terminie 7 dni od daty jego przedstawienia. Zastrzeżenia powinny być wniesione w formie pisemnej i być należycie uargumentowane. Samo wyrażanie niezadowolenia w treści protokołu z pewnością nie spowoduje zmiany lub uzupełnienia zapisów w nim zawartych.
Na bazie zapisów zawartych w protokole inspektor pracy wydaje środki prawne, zobowiązujące podmiot kontrolowany do usunięcia stwierdzonych nieprawidłowości. Uwzględniwszy charakter uchybień mających związek z przetwarzaniem danych, w zakresie uregulowanym prawem pracy, można przyjąć, że inspektor pracy ma prawo zastosować wystąpienie lub ewentualnie polecenie ustne. Wystąpienia pisemne i polecenia ustne stosowane są zawsze tam, gdzie stwierdzone nieprawidłowości nie mają związku z naruszeniem przepisów bhp − a tak jest w przypadku nieprawidłowości związanych z przetwarzaniem danych na potrzeby zatrudnienia.
Co w praktyce będzie przedmiotem wniosku zawartego w wystąpieniu? Otóż inspektor może zobowiązać do stosowania pisemnych upoważnień związanych z przetwarzaniem danych osobowych szczególnej kategorii, a także zobowiązywać pracodawcę do zwrotu zbędnych orzeczeń lekarskich oraz skierowań na badania profilaktyczne − w sytuacji gdy nie są przydatne w kwestii zwolnienia pracownika z obowiązku badań profilaktycznych. Ponadto inspektor może w treści wystąpienia zobowiązać pracodawcę do przestrzegania zasad dotyczących przetwarzania zapisów monitoringu wizyjnego.
Wnioski zawarte w wystąpieniach dotyczących naruszeń w obrębie przetwarzania danych osobowych na potrzeby zatrudnienia powinny być przez podmiot kontrolowany zrealizowane. Fakt realizacji wystąpień nie jest prywatną sprawą skontrolowanego pracodawcy − ma on obowiązek prawny zawiadomić o fakcie i
ustawa z 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych),
art. 221, art. 222, art. 229 ustawy z 26 czerwca 1974 r. − Kodeks pracy (tekst jedn.: Dz.U. z 2018 r. poz. 917 ze zm.),
ustawa z 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy (tekst jedn.: Dz.U. z 2018 r. poz. 623 ze zm.).