Nowy katalog danych osobowych, które mogą być przetwarzane przez pracodawców

W związku z wejściem w życie przepisów RODO rozpoczęto pracę nad zmianą szeregu innych ustaw, tak aby ich zapisy były zgodne z przepisami RODO. 21 lutego 2019 r. Sejm przyjął ustawę o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych – RODO), zwaną dalej: ustawą wprowadzającą RODO. Wskazana ustawa nowelizuje zapisy innych aktów prawnych, doprecyzowując je, uzupełniając lub zmieniając, dzięki czemu wiele niejas­ności i wątpliwości związanych ze stosowaniem RODO w polskim porządku prawnym zostanie rozwianych.

Ważne!

Wskazana wyżej ustawa wprowadzająca przepisy RODO została podpisana przez Prezydenta RP w dniu 3 kwietnia 2019 r. Przedmiotowa ustawa powinna wejść w życie 14 dni od dnia jej ogłoszenia. W chwili oddawania niniejszego tekstu do druku, dokładna data rozpoczęcia obowiązywania wskazanych przepisów nie była jeszcze znana. Jednakże niniejsze opracowanie bazuje na projekcie ustawy, który ostatecznie został uchwalony.

Ustawa wprowadzająca RODO zmienia zapisy Kodeksu pracy w zakresie zasad przetwarzania danych osobowych pracowników. Zgodnie ze zmienionym art. 221 § 1 Kodeksu pracy pracodawca może żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:

  1. imię (imiona) i nazwisko,
  2. datę urodzenia,
  3. dane kontaktowe wskazane przez taką osobę,
  4. wykształcenie,
  5. kwalifikacje zawodowe,
  6. przebieg dotychczasowego zatrudnienia.

W dotychczasowym brzmieniu tego przepisu pracodawca mógł żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:

  1. imię (imiona) i nazwisko,
  2. imiona rodziców,
  3. datę urodzenia,
  4. miejsce zamieszkania (adres do korespondencji),
  5. wykształcenie,
  6. przebieg dotychczasowego zatrudnienia.

Jak wynika z powyższego porównania, zgodnie z nowymi przepisami pracodawca nie może już żądać od kandydatów do pracy takich danych, jak imiona rodziców. Warto też zwrócić uwagę, że punkt „miejsce zamieszkania (adres do korespondencji)” został zmieniony na „dane kontaktowe wskazane przez taką osobę”. Powyższe oznacza, że na etapie rekrutacji pracodawca nie może żądać od kandydatów do pracy podania ich adresu zamieszkania lub do korespondencji, jeśli podadzą oni inne dane kontaktowe, np. numer telefonu lub adres e-mail.

Do zakresu danych, jakich może żądać przyszły pracodawca od kandydatów do pracy, dodano także punkt: „kwalifikacje zawodowe”. Poszukując pracownika na dane stanowisko, pracodawca oczekuje od niego posiadania określonych kwalifikacji, jednak w praktyce kandydaci do pracy i tak podawali te informacje w swoich CV. Zaproponowana zmiana jest zatem dostosowaniem przepisów do istniejącej już na rynku pracy praktyki.

Podkreślenia wymaga natomiast fakt, że w § 2 wskazanego przepisu ustawodawca dokonał zastrzeżenia, że pracodawca żąda podania danych osobowych, takich jak: wykształcenie, kwalifikacje zawodowe, przebieg dotychczasowego zatrudnienia, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku.
 

Ważne!

Zgodnie z zasadą minimalizacji danych, wynikającą z RODO, w nowych przepisach Kodeksu pracy przyjęto, że pracodawca może żądać od pracownika danych dotyczących wykształcenia, kwalifikacji zawodowych i przebiegu dotychczasowego zatrudnienia tylko w takim zakresie, w jakim jest to niezbędne do wykonywania danej pracy na wskazanym stanowisku pracy.

Każdorazowo żądanie informacji o wykształceniu lub doświadczeniu zawodowym kandydata do pracy musi być uzasadnione rodzajem pracy, jaką będzie on wykonywał. Pracodawca nie może żądać informacji, jeśli nie będzie w stanie wykazać, że mają one związek z obo wiązkami zawodowymi, jakie będzie wykonywał przyszły pracownik.

Przykładowo: jeśli dany rodzaj pracy nie wymaga prowadzenia samochodu, pracodawca nie może od kandydata do pracy żądać informacji o posiadaniu przez niego prawa jazdy.


W znowelizowanym art. 221 Kodeksu pracy zmieniono także treść § 3, określającego dodatkowe dane osobowe, jakich pracodawca może żądać od pracownika (czyli już po zakończeniu rekrutacji), oprócz tych wskazanych powyżej. Zgodnie z tym przepisem pracodawca żąda od pracownika podania dodatkowo danych
osobowych obejmujących:

  1. adres miejsca zamieszkania,
  2. numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość,
  3. inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy,
  4. wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie,
  5. numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych.

Dopiero zatem na etapie zatrudniania pracownika pracodawca może od niego żądać podania adresu zamieszkania. Dodatkowo, jeśli w momencie zatrudniania pracownika okazało się konieczne uzyskanie informacji o wykształceniu lub doświadczeniu zawodowym pracownika, pracodawca jest także uprawniony do żądania tych danych.
 

Wazne!

Zgodnie z § 4 powołanego artykułu pracodawca żąda podania innych danych osobowych niż wskazane powyżej, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.

W każdej zatem sytuacji, gdy istnieją szczególne przepisy nakładające na pracodawcę obowiązek uzyskania od pracownika innych danych niż wskazane powyżej, pracodawca może ich żądać. Należy jednak pamiętać o konieczności powołania się na określony przepis prawa.


Istotny jest również § 5 powołanego artykułu, zgodnie z którym udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której dane dotyczą. Pracodawca może żądać udokumentowania podanych danych osobowych kandydatów do pracy i pracowników w zakresie niezbędnym do ich potwierdzenia.
 

Ważne!

Co do zasady pracownik przekazuje pracodawcy informacje o sobie w formie oświadczenia. Jednak pracodawca może żądać od pracownika potwierdzenia posiadanych przez niego kwalifikacji lub doświadczenia zawodowego. W tym celu może żądać okazania stosownych dokumentów, np. dyplomów, zaświadczeń, certyfikatów.


Bardzo istotną kwestią, która została uregulowana w nowelizacji Kodeksu pracy, są podstawy prawne przetwarzania danych osobowych pracowników i kandydatów do pracy, a w szczególności konieczność lub brak konieczności odbierania zgody na przetwarzanie danych osobowych. Zagadnienie to budziło wiele wątpliwości i było szeroko komentowane w doktrynie. Obecnie dzięki wprowadzeniu nowych przepisów kwestia odbierania zgody od kandydatów do pracy i pracowników zostały wyjaśnione i doprecyzowane.

W ustawie wprowadzającej RODO znalazła się propozycja dodania do Kodeksu pracy art. 221a, zgodnie z którym zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 221 § 1 i 3, z wyjątkiem danych osobowych, o których mowa w art. 10 RODO (czyli danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych). Dopuszczalne jest zatem udostępnienie przez kandydata do pracy/pracownika innych danych osobowych niż te wskazane w Kodeksie pracy. Przetwarzania takich danych osobowych pracodawca dokonuje na podstawie zgody kandydata do pracy/pracownika.
 

Wskazówka!

Obecnie kandydaci do pracy podają w dokumentach aplikacyjnych szereg informacji o sobie, swoim wykształceniu, doświadczeniu zawodowym, a nawet zainteresowaniach. Warto zatem pamiętać, że dla pracodawcy podstawą prawną przetwarzania tych danych osobowych jest zgoda na przetwarzanie danych, czyli art. 6 ust. 1 pkt a RODO.

W tym miejscu warto wskazać, że Urząd Ochrony Danych Osobowych w opublikowanym w październiku 2018 r. poradniku „Ochrona Danych Osobowych w miejscu pracy. Poradnik dla pracodawców” [1] wskazał, że „zwykłe dane osobowe, które wykraczają poza zakres uregulowany przepisami prawa pracy, są przetwarzane przez pracodawcę na podstawie zgody kandydata, która przejawia się przez działanie polegające np. na przesłaniu pracodawcy życiorysu i listu motywacyjnego”.

Powyższe stanowisko Urzędu Ochrony Danych Osobowych ma duże znaczenie w codziennej praktyce osób zajmujących się rekrutacją. Prowadzi ono do wniosku, że przesłanie przez kandydata do pracy w swoim CV szeregu informacji i dodatkowych danych osobowych nie wymaga od pracodawcy odebrania od tej osoby dodatkowej zgody na przetwarzanie danych osobowych. Samo bowiem zawarcie ich w dokumentach aplikacyjnych i przesłanie pracodawcy oznacza zgodę na ich przetwarzanie. W takiej sytuacji kandydat do pracy nie musi podpisywać dodatkowej klauzuli zgody na przetwarzanie danych osobowych.

Trzeba jednak pamiętać, że tak wyrażona niejako „domniemana zgoda” dotyczy wyłącznie przetwarzania zwykłych danych osobowych. W tym samym poradniku Urząd Ochrony Danych Osobowych wyraźnie wskazał, że przetwarzanie przez pracodawcę szczególnych kategorii danych osobowych (tzw. danych wrażliwych), np. o stanie zdrowia, jest możliwe, jeśli kandydat do pracy wyraził odrębną zgodę na przetwarzanie takich danych osobowych, z tym że zgoda ta powinna być wyraźna (jak wskazuje Urząd: „np. w formie odrębnego oświadczenia”).

Przetwarzanie tego rodzaju danych osobowych jest także dopuszczalne, jeśli wynika ono z odrębnych przepisów prawa, które nakładają na pracodawcę obowiązek uzyskania od pracownika np. informacji o stanie zdrowia lub niekaralności.


Warto także wskazać, że w powołanym przepisie ustawodawca przyjął, iż brak zgody na przetwarzanie dodatkowych danych osobowych niż te, których podania wymaga Kodeks pracy, lub jej wycofanie, nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę.

Należy pamiętać, że przetwarzanie danych osobowych na podstawie zgody jest zawsze dobrowolne. Jeżeli zatem kandydat do pracy lub pracownik wycofa zgodę na przetwarzanie określonych danych osobowych, to pracodawca obowiązany jest zaprzestać dalszego ich przetwarzania. Co więcej, wycofanie zgody lub w ogóle jej niewyrażenie nie może być podstawą gorszego traktowania pracownika lub np. odrzucenia CV kandydata do pracy.

Ponadto w powołanym przepisie ustawodawca wskazał, że przetwarzanie danych osobowych na podstawie zgody dotyczy danych udostępnianych przez osobę ubiegającą się o zatrudnienie lub pracownika na wniosek pracodawcy lub danych osobowych przekazanych pracodawcy z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Możliwe jest zatem zwrócenie się do kandydata do pracy/prawnika o przekazanie określonego rodzaju zwykłych danych osobowych, np. zdjęcia, ale to od decyzji osoby, której dane dotyczą, zależy, czy zdecyduje się ona takie dane udostępnić pracodawcy. Natomiast pracodawca nie może wymagać przekazania takich danych pod rygorem poniesienia przez osobę, której dane dotyczą, negatywnych konsekwencji, np. pominięcia w rekrutacji. Niedopuszczalne jest zatem zamieszczenie w ogłoszeniu o pracę informacji, że CV bez zdjęcia nie będą brane pod uwagę w procesie rekrutacji. Pracodawca może od kandydatów do pracy/pracowników wymagać podania wyłącznie tych danych osobowych, które zostały wskazane w Kodeksie pracy. Wszelkie pozostałe dane osobowe mogą być podane z inicjatywy samego kandydata do pracy czy też pracownika. Pracodawca może jedynie wskazać, że mile widziane jest podanie innych danych osobowych, ale z zastrzeżeniem, że ich podanie nie jest wymogiem rekru­tacyjnym i ewentualny brak tych danych nie może rodzić negatywnych konsekwencji dla osób ubiegających się o pracę lub pracowników. Przetwarzanie takich danych odbywa się bowiem zawsze na podstawie dobrowolnie wyrażonej zgody, która w każdej chwili może zostać wycofana.
 

Wskazówka!

Zbierając dane od kandydatów do pracy i pracowników, warto dokładnie określić podstawy prawne, na których będzie opierało się przetwarzanie danych osobowych. Jest to konieczne nie tylko z uwagi na prowadzenie dokumentacji ochrony danych osobowych zgodnie z wymogami RODO (np. klauzule informacyjne, w których wpisuje się podstawy prawne przetwarzania danych).

Określenie podstaw przetwarzania danych ma także istotne znaczenie praktyczne. W razie ewentualnego wycofania zgody na przetwarzanie danych osobowych przez pracownika, pracodawca jest w stanie szybko zweryfikować, których danych rzeczywiście nie będzie mógł już przetwarzać, a które będzie przetwarzał dalej z uwagi na wymogi odrębnych przepisów prawa. Jak już to zostało wyżej wskazane, pracodawca co do zasady przetwarza dane osobowe pracowników w oparciu o dwie podstawy prawne, tj. przepisy prawa lub zgodę osoby, której dane dotyczą.

Warto pamiętać, że pracownicy często nie mają świadomości, które dane osobowe podają na podstawie zgody, a które na podstawie przepisów prawa. Dokładne określenie podstaw przetwarzania danych osobowych przez pracodawcę pozwala na szybkie reagowanie na żądania osób, których dane dotyczą, a także pozwala odpowiedzieć na pytanie, które dane osobowe pracodawca powinien usunąć z uwagi na brak podstaw prawnych do ich przetwarzania.


W kontekście zgody na przetwarzanie danych osobowych pracowników znaczenie będzie miał także kolejny
artykuł Kodeksu pracy, który został przyjęty w ustawie wprowadzającej RODO, tj. art. 221b, zgodnie z którym zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę szczególnej kategorii danych osobowych  (tzw. danych wrażliwych) wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. W przeciwieństwie zatem do udostępnienia zwykłych danych osobowych, pracodawca nie może ani żądać, ani zwracać się z wnioskiem do kandydata do pracy lub pracownika o przekazanie danych szczególnych kategorii, np. danych o stanie zdrowia. Oczywiście, pracodawca jest uprawniony do żądania takich danych, jeśli wynika to z odrębnych przepisów prawa, które np. uzależniają wykonywanie określonego rodzaju pracy od stanu zdrowia kandydata.

Co także istotne, ustawodawca również w przypadku dobrowolnego przekazania przez kandydata do pracy/pracownika danych osobowych szczególnych kategorii przyjął zasadę, że nieprzekazanie takich danych nie może powodować negatywnych konsekwencji dla pracownika czy też osoby ubiegającej się o zatrudnienie. Dobrowolne przekazanie pracodawcy danych szczególnych kategorii powinno wynikać z własnej inicjatywy osoby, której dane dotyczą.

Wyjątkiem od tej zasady będzie natomiast § 2 art. 221b, zgodnie z którym przetwarzanie danych biometrycznych pracownika jest dopuszczalne także wtedy, gdy podanie takich danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony. Jest to zatem szczególna sytuacja, w której pracodawca z uwagi na względy bezpieczeństwa informacji może wprowadzić taki rodzaj kontroli dostępu do pomieszczeń, która będzie wymagała wykorzystania danych biometrycznych pracownika. W takim wypadku dopuszczalne jest zwrócenie się do pracownika o możliwość uzyskania tego rodzaju danych, a także ich dalsze przetwarzanie. Podstawą prawną przetwarzania tego rodzaju danych osobowych będzie powołany przepis Kodeksu pracy.
 

Ważne!

Warto pamiętać, że bez względu na to, na jakiej podstawie prawnej pracodawca przetwarza szczególne kategorie danych osobowych pracowników, zawsze powinien zadbać o ich prawidłowe zabezpieczenie oraz o wdrożenie odpowiednich procedur dostępu do tych danych i zasad ich przetwarzania.

W tym miejscu należy wskazać, że ustawodawca w § 3 powołanego art. 221b Kodeksu pracy przyjął, że do przetwarzania szczególnej kategorii danych osobowych mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania takich danych wydane przez pracodawcę. Osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w tajemnicy.

Obowiązkiem pracodawcy jest zatem wydanie osobom, które będą przetwarzać tego rodzaju dane, odpowiednich upoważnień oraz zobowiązać je na piśmie do zachowania ich w tajemnicy. W tym kontekście należy pamiętać, żeby zadbać nie tylko o prawidłową dokumentację, ale także wdrożenie odpowiednich procedur, np. wydzielanie osobnych pomieszczeń, szaf, w których będą przetwarzanie i przechowywane te dane, tak aby inni pracownicy nie mieli do nich dostępu.


Z problematyką przetwarzania przez pracodawców danych szczególnych kategorii związana jest też kwestia przetwarzania danych o niekaralności. Zgodnie z przepisami ustawy o Krajowym Rejestrze Karnym prawo do uzyskania informacji o osobach, których dane osobowe zgromadzone zostały w KRK, przysługuje pracodawcom w zakresie niezbędnym dla zatrudnienia pracownika, co do którego z przepisów ustawy wynika wymóg niekaralności. Powyższy przepis należy interpretować bardzo ściśle, co oznacza, że pracodawca może żądać od pracownika danych o niekaralności tylko w sytuacji, gdy z przepisów prawa wynika wymóg zatrudniania na danym stanowisku osoby niekaranej.
 

Ważne!

Pracodawca może żądać zaświadcza o niekaralności od pracownika tylko wtedy, gdy zezwalają mu na to przepisy ustawy dotyczące zatrudniania na danym stanowisku.

Natomiast nie można od pracownika żądać zaświadczania o niekaralności w sytuacji, gdy zatrudnienie na danym stanowisku pracy wymaga posiadania nieposzlakowanej opinii. Przesłanka „nieposzlakowanej opinii” nie jest równoznaczna z posiadaniem zaświadczenia o niekaralności. Powyższe rozważania dotyczące przetwarzania danych szczególnych kategorii na podstawie odrębnej zgody pracownika dotyczyły danych osobowych z art. 9 ust. 1 RODO. Natomiast dane dotyczące karalności zostały ujęte w art. 10 RODO.

Jak wskazał Urząd Ochrony Danych Osobowych w opublikowanym w październiku 2018 r. poradniku „Ochrona Danych Osobowych w miejscu pracy. Poradnik dla pracodawców” [2]: „Pracodawca nie może przetwarzać danych, o których mowa w art. 10 RODO, nawet za zgodą pracownika”.

Powyższe oznacza, że nawet jeśli pracodawca otrzyma od pracownika informację o niekaralności, to w przypadku braku podstawy prawnej, która pozwalałyby pracodawcy pozyskiwać tego typu dane, pracodawca nie może takich danych przetwarzać i jest zobowiązany do ich usunięcia.


[1]//uodo.gov.pl/pl/138/545

[2]  //uodo.gov.pl/pl/138/545