Source: https://www.e-regulaminy.pl/2019/03/12/ochrona-danych-osobowych-miejscu-pracy-poradnik-dla-pracodawcow/
Timestamp: 2019-07-16 04:23:47
Legal References Found: art. 22
 art. 13
 art. 22
 art. 22
 art. 13
 art. 5
 art. 13

Document Content:
Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców. - e-Regulaminy.pl
4 października 2018 r. opublikowany został poradnik „Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców” wydany przez Urząd Ochrony Danych Osobowych. Poradnik wskazuje, jak przetwarzać dane osobowe zarówno podczas rekrutacji, jak i w ciągu całego okresu zatrudnienia. Nie ogranicza się jedynie do zatrudnienia na podstawie stosunku pracy, odnajdziemy w nim bowiem również informacje dot. umów cywilnoprawnych. Przeznaczony jest dla pracodawców ale jest również ważnym źródłem informacji dla agencji zatrudnienia i pracowników, którzy chcą dowiedzieć się, jakie prawa przysługują im na mocy RODO. Wiele wyjaśnień odnosi się też do relacji między pracodawcą a innymi podmiotami – związkami zawodowymi, podmiotami świadczącymi usługi z zakresu medycyny pracy czy firmami szkoleniowymi.
Zachęcamy do zaznajomienia się z całym poradnikiem (do pobrania pod artykułem). Poniżej przedstawiamy najważniejsze (naszym zdaniem) informacje i wnioski.
Nie ważne, w jaki sposób pracodawca będzie poszukiwał kandydatów do pracy, proces ten zawsze będzie wiązał się z pozyskiwaniem przez niego danych osobowych zawartych w dokumentach rekrutacyjnych (CV, listach motywacyjnych, świadectwach pracy, listach referencyjnych, zaświadczeniach itd.). Pracodawca powinien przetwarzać tylko takie dane, które są niezbędne ze względu na cel ich zbierania, jakim jest podjęcie przez niego decyzji o zatrudnieniu nowego pracownika. Pracodawca nie może żądać od kandydata danych wykraczających poza zakres, który został wskazany w przepisach prawa, danych nadmiarowych, w szczególności takich, które nie mają związku z celem, jakim jest zatrudnienie pracownika (np. danych o stanie cywilnym, wyznaniu).
Pracodawca może wymagać od kandydata do pracy podania mu danych, które ogólnie możemy określić, jako dane:
Uwaga! Ustawa wdrażająca RODO zmienia brzmienie dotychczasowego art. 22[1] Kodeksu pracy, który precyzuje zakres danych, który pracodawca może wymagać!
Pracodawca jest uprawniony do pozyskania szerszego katalogu informacji tylko w przypadku, gdy przepis szczególny mu na to pozwala, np. w zakresie zaświadczenia o niekaralności.
Podmiot rozpoczynający rekrutację ma obowiązek wywiązać z postanowień art. 13 RODO – tzn. spełnić obowiązek informacyjny. Za niezgodne z przepisami ochrony danych osobowych należy uznać poszukiwanie pracowników w ramach tzw. rekrutacji „ślepych”, „ukrytych”.
Nie jest wymagana klauzula zgody na przetwarzanie danych osobowych. Przesyłając swoje CV i list motywacyjny kandydat do pracy wyraża zgodę na przetwarzanie udostępnionych tam danych. Wyjątek stanowi sytuacja przekazania w ten sposób szczególnych kategorii danych (np. danych dotyczących zdrowia). Jeżeli kandydat do pracy nie wyrazi odrębnej zgody na przetwarzanie tego rodzaju danych osobowych, a pracodawca nie legitymuje się przepisem prawa, który zobowiązuje go do ich przetwarzania, pracodawca musi usunąć te dane ze swoich zasobów.
Bez osobnej zgody pracodawca nie powinien wykorzystywać danych kandydata na potrzeby innych/późniejszych rekrutacji. Co do zasady pracodawca powinien trwale usunąć dane osobowe kandydata (np. poprzez zniszczenie bądź odesłanie), z którym nie zdecydował się zawrzeć umowy o pracę, niezwłocznie po zakończeniu procesu rekrutacji. Niedopuszczalne jest przetwarzanie danych tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem osoby, której dotyczą.
W czasie rozmowy kwalifikacyjnej pracodawca może zadawać szereg szczegółowych pytań odnoszących się do informacji, jakie kandydat na pracownika zawarł w swoim CV. Należy jednak pamiętać, że powinny się one odnosić wyłącznie do kwestii związanych ze stanowiskiem, na które on aplikuje.
Niedopuszczalna jest próba uzyskania przez potencjalnego pracodawcę informacji o kandydacie na pracownika od jego poprzedniego pracodawcy, jeśli nie posiada on zgody kandydata na powyższe. Podobnie, potencjalny pracodawca nie może zwrócić się do uczelni wyższej z prośbą o potwierdzenie, czy kandydat do pracy rzeczywiście uzyskał w niej dyplom.
Niedopuszczalne jest również tworzenie tzw. „czarnych list” osób ubiegających się o zatrudnienie.
Wraz z powstaniem stosunku pracy powstają określone prawa i obowiązki pracodawcy i pracownika, których realizacja w sposób naturalny wiąże się z koniecznością przetwarzania danych pracownika.
Zgodnie z art. 22[1] § 2 i 4 Kodeksu pracy pracodawca ma prawo żądać od pracownika, którego zatrudnił, podania, niezależnie od danych osobowych, które mógł od niego pozyskać w toku rekrutacji, także:
Uwaga! Ustawa wdrażająca RODO zmienia brzmienie dotychczasowego art. 22[1] Kodeksu pracy, który precyzuje zakres danych, który pracodawca może żądać!
Pracodawca nie może kopiować dokumentu tożsamości pracownika, za wyjątkiem ewentualnych sytuacji kiedy może na to zezwalać przepis prawa szczególnego.
Ze względu na to, że dane pracownika już zatrudnionego pracodawca będzie przetwarzał w innym celu aniżeli kandydata oraz zmieni się krąg odbiorców tych danych, pracownik powinien pozyskać informacje w tym zakresie (należy uzupełnić obowiązek informacyjny wynikający z art. 13 RODO).
Dane pracownika są poufne oraz nie mogą być ujawniane bez jego zgody bądź innej podstawy prawnej.
Informacje o pracowniku takie jak np. jego imię i nazwisko, czy też służbowy adres e-mail są ściśle związane z życiem zawodowym pracownika i z wykonywaniem przez niego obowiązków służbowych. Dane te mogą być wykorzystywane (np. udostępniane) przez pracodawcę nawet bez zgody pracownika, którego one dotyczą (np. na stronie internetowej, wizytówkach). Ponieważ wizerunku pracownika nie ma wśród danych wskazanych w Kodeksie pracy, aby pracodawca mógł je pozyskać i umieścić np. na identyfikatorze czy stronie internetowej musi legitymować się zgodą pracownika (o ile nie traktują o tym przepisy szczególne).
Prawo uzależnia przyznawanie ulgowych usług i świadczeń oraz wysokość dopłat z Zakładowego Funduszu Świadczeń Socjalnych od określonych kryteriów, tj. sytuacji życiowej, rodzinnej i materialnej osoby uprawnionej. Przyznanie świadczeń oraz ich wysokość, uzależniona jest od spełnienia przez osobę ubiegającą się o to świadczenie określonych kryteriów socjalnych. W związku z tym pracodawca może pozyskiwać niezbędne dane, jednakże przetwarzanie tych danych nie może prowadzić do gromadzenia ich w zakresie szerszym, niż jest to konieczne dla realizacji celu. W przypadkach kiedy jest to możliwe należy ograniczyć się do wglądu do dokumentów (np. PIT) bez dalszego ich przechowywania.
Pozyskiwanie informacji o przynależności związkowej pracownika w toku konsultacji ze związkami zawodowymi jest dozwolone w razie zamiaru rozwiązania umowy o pracę z konkretnym pracownikiem. Jednak brak jest podstaw do pozyskiwania przez pracodawcę od związku zawodowego danych osobowych w odniesieniu do wszystkich pracowników korzystających z ochrony danego związku zawodowego, w sytuacji, gdy pracodawca nie ma zamiaru ich zwolnić z pracy.
Nie powinno się zawierać umów powierzenia z jednostką służby medycyny pracy. Mamy w tym przypadku do czynienia z osobnymi administratorami danych.
Umowy powierzenia należy zawierać z zewnętrznymi firmami szkoleniowymi jeśli pracodawca samodzielnie przesyła im dane swoich pracowników.
Coraz częściej pracodawcy, aby zachęcić pracowników do zatrudnienia się w ich firmach oferują różnego rodzaju udogodnienia np. karnety na siłownię, prywatną opiekę zdrowotną czy też dodatkowe ubezpieczenia pracownicze. W związku z faktem, że korzystanie z tych udogodnień jest w pełni dobrowolne, pracodawca nie może udostępnić danych osobowych pracowników bez ich wiedzy i zgody na rzecz podmiotów świadczących te usługi. Udostępnienie danych osobowych przez pracodawcę odbywa się na podstawie zgody wyrażonej przez pracownika (art. 6 ust 1 lit a RODO).
Administratorzy, którzy są częścią grupy przedsiębiorstw lub instytucji powiązanych z podmiotem centralnym, mogą mieć prawnie uzasadniony interes w przesyłaniu danych osobowych w ramach grupy przedsiębiorstw do wewnętrznych celów administracyjnych, co tyczy się też przetwarzania danych osobowych klientów lub pracowników. Ma miejsce w tym przypadku sytuacja współadministrowania danymi (art. 26 RODO).
Pracodawca może monitorować pocztę elektroniczną swoich pracowników, lecz musi pamiętać, iż uprawnienie to dotyczy tylko służbowej poczty elektronicznej. Należy pamiętać o prawnie do prywatności. Materię monitoringu wizyjnego i innych form monitorowania pracowników regulują
Ze względu na mnogość dostępnych form prawnych i charakteru współpracy między stronami, różny będzie zestaw danych osobowych, który jest niezbędny do zawarcia i realizacji takich umów (zasada minimalizacji danych – art. 5 RODO). Podmiot zatrudniający musi dokonać analizy zakresu danych, których zebranie jest konieczne w związku z realizacją umowy i ciążącymi na nim obowiązkami wynikającymi z umowy (np. wypłata wynagrodzenia) lub z przepisów prawa (np. płatność składek na ubezpieczenie społeczne).
Zgodnie z zasadą ograniczenia przechowywania, dane osobowe mogą być przechowywane przez czas nie dłuższy, niż jest to niezbędne do celów, w których te dane są przetwarzane.
Podmiot zatrudniający powinien spełnić obowiązek informacyjny wobec takiej osoby zgodnie z art. 13 RODO. Obowiązek informacyjny może być spełniony w wersji pisemnej lub elektronicznej (np. w treści umowy, w ogłoszeniu), jak również okoliczności mogą przemawiać za ustnym poinformowaniem lub wywieszeniem tych informacji w miejscu, gdzie bezpośrednio zbiera się dane od takich osób.
W przypadku posiadania przez administratora własnej bazy kontrahentów (osób fizycznych), podstawę przetwarzania ich danych w celach przyszłej współpracy należy upatrywać w udzielonej zgodzie.
Wyjątkową cechą zatrudnienia pracowników tymczasowych jest to, że agencja pracy tymczasowej zatrudnia pracownika na podstawie umowy o pracę na czas określony lub umowy o pracę na czas wykonania pracy tylko i wyłącznie w celu delegowania go do pracodawcy użytkownika, który z pracy tej korzysta i ją nadzoruje. Zarówno agencja pracy tymczasowej, jak i pracodawca użytkownik są osobnymi administratorami danych. Pracodawca użytkownik, jako administrator danych, powinien uregulować kwestię dostępu do danych osobowych bezpośrednio z pracownikiem tymczasowym i wydać mu stosowne upoważnienie do przetwarzania danych osobowych, o ile oczywiście w ramach wykonywania powierzonych mu obowiązków służbowych ma do nich dostęp.
← „Decyzje administracyjne bez numeru PESEL – wytyczne organu nadzorczego”	„Pierwsza kara RODO” →