RODO w HR — jakie dane pracownika można zbierać i jak długo je przechowywać

RODO w HR – jakie dane pracownika można zbierać i jak długo je przechowywać

Ochrona danych osobowych pracowników od kilku lat znajduje się w centrum zainteresowania zarówno pracodawców, jak i organów nadzoru. Wejście w życie ogólnego rozporządzenia o ochronie danych (RODO) wymusiło rewizję dotychczasowych praktyk kadrowych, od etapu rekrutacji, przez cały okres zatrudnienia, aż po archiwizację dokumentacji pracowniczej. W obszarze HR RODO nie działa jednak w próżni – ściśle przeplata się z przepisami prawa pracy, w szczególności z Kodeksem pracy oraz rozporządzeniami wykonawczymi dotyczącymi dokumentacji pracowniczej.

Celem niniejszego artykułu jest przedstawienie, jakie dane osobowe kandydata i pracownika pracodawca może legalnie pozyskiwać, na jakich podstawach prawnych je przetwarzać oraz jak długo może (a czasem – musi) je przechowywać. Omówione zostaną również przykładowe orzeczenia sądów i praktyczne case studies ilustrujące typowe problemy pojawiające się w działach HR.

Podstawy prawne przetwarzania danych pracowników w świetle RODO i Kodeksu pracy

Podstawowym aktem prawnym jest oczywiście RODO, czyli Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679. W obszarze HR kluczowe znaczenie mają w szczególności art. 6, 9 i 88 RODO, dotyczące m.in. podstaw przetwarzania, danych szczególnych kategorii oraz przetwarzania danych w kontekście zatrudnienia. Jednocześnie rola tzw. „lex specialis” przypada przepisom prawa pracy, przede wszystkim art. 22¹–22³ Kodeksu pracy, a także przepisom wykonawczym dotyczącym prowadzenia dokumentacji pracowniczej.

Art. 6 ust. 1 RODO: „Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: (…) c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; (…) b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą (…)”.

W kontekście HR w praktyce dominują dwie podstawy: niezbędność do wykonania umowy o pracę (lub jej zawarcia) oraz niezbędność do wypełnienia obowiązków prawnych ciążących na pracodawcy (m.in. z zakresu prawa pracy, ubezpieczeń społecznych, prawa podatkowego). Rzadziej stosowaną, ale nadal istotną podstawą jest zgoda pracownika – przy czym, jak słusznie podkreśla się w doktrynie i orzecznictwie, w stosunku pracy ma ona charakter wyjątkowy ze względu na trudności w zapewnieniu jej dobrowolności.

Kluczowe znaczenie dla odpowiedzi na pytanie, jakie dane pracownika można zbierać, ma art. 22¹ Kodeksu pracy:

Art. 22¹ § 1 Kodeksu pracy: „Pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących: imię (imiona) i nazwisko; datę urodzenia; dane kontaktowe wskazane przez tę osobę; wykształcenie; kwalifikacje zawodowe; przebieg dotychczasowego zatrudnienia.”

Art. 22¹ § 2 Kodeksu pracy: „Pracodawca żąda od pracownika podania, niezależnie od danych osobowych, o których mowa w § 1, także innych danych osobowych pracownika, a także danych osobowych dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy.”

Co istotne, art. 22¹ § 5 Kodeksu pracy stanowi, że podanie innych danych osobowych niż wskazane w § 1 i 2 jest dopuszczalne tylko wtedy, gdy odbywa się na podstawie zgody osoby, której dane dotyczą, i gdy nie narusza to przepisów szczególnych:

Art. 22¹ § 5 Kodeksu pracy: „Pracodawca może żądać podania innych danych osobowych niż określone w § 1 i 2, jeżeli jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Inne dane osobowe niż określone w § 1–3 oraz w ust. 4 pracodawca pozyskuje od osoby, której one dotyczą, na podstawie jej zgody.”

W praktyce oznacza to, że katalog danych pracownika, które pracodawca może żądać obligatoryjnie, jest w dużej mierze wyznaczony przez Kodeks pracy oraz inne przepisy szczególne (np. ustawa o systemie ubezpieczeń społecznych). RODO stanowi „ramę”, która nakłada na pracodawcę obowiązek wykazania legalności, celowości, adekwatności i minimalizacji przetwarzanych danych.

Jakie dane można zbierać na etapie rekrutacji

Etap rekrutacji jest jednym z newralgicznych momentów przetwarzania danych osobowych. Z jednej strony pracodawca potrzebuje określonych informacji, aby ocenić przydatność kandydata, z drugiej – musi ograniczyć się do danych, które są obiektywnie niezbędne do podjęcia decyzji o zatrudnieniu.

Zgodnie z przytoczonym art. 22¹ § 1 Kodeksu pracy, od osoby ubiegającej się o zatrudnienie pracodawca może obligatoryjnie żądać danych dotyczących:

– imienia (imion) i nazwiska,
– daty urodzenia,
– danych kontaktowych wskazanych przez kandydata (np. adres e-mail, numer telefonu),
– wykształcenia,
– kwalifikacji zawodowych,
– przebiegu dotychczasowego zatrudnienia.

Wszystkie inne dane – w tym w szczególności numer PESEL, adres zamieszkania, stan cywilny, liczba dzieci – nie mogą być co do zasady wymagane na etapie rekrutacji. Mogą pojawić się dopiero w momencie zawierania umowy o pracę, gdy są niezbędne do realizacji obowiązków pracodawcy (np. zgłoszenie do ZUS).

W orzecznictwie podkreślono, że pracodawca nie ma uprawnienia do pozyskiwania informacji wykraczających poza niezbędne minimum. Sąd Najwyższy w wyroku z 5 sierpnia 2008 r. (I PK 37/08) wskazał:

„Pracodawca może żądać od osoby ubiegającej się o zatrudnienie tylko takich danych osobowych, które są niezbędne do oceny przydatności do pracy na określonym stanowisku, przy czym zakres tych danych jest określony przepisami prawa pracy. Wykraczanie poza ten zakres, w szczególności wkraczanie w sferę życia prywatnego kandydata, jest niedopuszczalne.”

Na etapie rekrutacji często pojawia się również zagadnienie zgody na przyszłe procesy rekrutacyjne. Zgoda ta, o ile jest konkretnie sformułowana, dobrowolna, świadoma i udokumentowana, może stanowić podstawę do przechowywania CV po zakończeniu konkretnego procesu rekrutacji w celu wykorzystania go w kolejnych naborach. Z punktu widzenia RODO kluczowe jest przestrzeganie zasady ograniczenia celu i minimalizacji przechowywanych danych.

Case study: nadmiarowe dane w formularzu rekrutacyjnym

Pracodawca wprowadził elektroniczny formularz rekrutacyjny, w którym obligatoryjnie żądano podania stanu cywilnego, liczby dzieci, numeru PESEL oraz adresu zameldowania. Kandydat odmówił uzupełnienia tych pól, powołując się na przepisy o ochronie danych osobowych. Dział HR utrzymywał, że dane te „będą potrzebne w razie zatrudnienia” i dlatego zbiera je z wyprzedzeniem.

Z perspektywy RODO oraz art. 22¹ Kodeksu pracy takie postępowanie jest nieprawidłowe. Dane, które są potrzebne dopiero po zawarciu umowy o pracę, powinny być pozyskiwane dopiero na tym etapie. UODO mógłby w takim przypadku uznać, że pracodawca naruszył zasadę minimalizacji danych (art. 5 ust. 1 lit. c RODO) i wydać stosowną decyzję nakazową.

Jakie dane można przetwarzać w okresie zatrudnienia

Po zawarciu umowy o pracę zakres danych osobowych, które pracodawca może przetwarzać, ulega rozszerzeniu. Nadal jednak podstawowy wyznacznik stanowi art. 22¹ § 2 Kodeksu pracy, a także inne przepisy szczególne. Pracodawca żąda od pracownika m.in.:

– adresu zamieszkania (do celów korespondencyjnych, doręczeń),
– numeru PESEL lub rodzaju i numeru dokumentu tożsamości,
– danych niezbędnych do zgłoszenia do ZUS (np. dane dotyczące dzieci, jeśli pracownik korzysta z określonych uprawnień),
– numeru rachunku bankowego (jeśli wynagrodzenie jest wypłacane przelewem),
– danych członków rodziny, jeśli jest to konieczne do przyznania uprawnień pracowniczych (np. z tytułu urlopu wychowawczego, zasiłków),
– danych dotyczących przebiegu zatrudnienia, ocen okresowych, szkoleń BHP, badań profilaktycznych.

Należy przy tym pamiętać, że katalog danych jest pochodną konkretnych celów przetwarzania. Pracodawca nie może „na zapas” gromadzić informacji, które potencjalnie mogłyby mu się kiedyś przydać. Przykładowo, żądanie od wszystkich pracowników informacji o niepełnosprawności, bez związania ich z konkretnymi uprawnieniami (np. ulgi we wpłatach na PFRON), jest nieuzasadnione.

Szczególną kategorię stanowią dane wrażliwe (szczególne kategorie danych osobowych) w rozumieniu art. 9 RODO, takie jak dane o zdrowiu, pochodzeniu rasowym lub etnicznym, poglądach politycznych, przynależności związkowej, wyznaniu, orientacji seksualnej.

Art. 9 ust. 1 RODO: „Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych (…) oraz danych dotyczących zdrowia (…) lub orientacji seksualnej osoby fizycznej.”

W stosunku pracy najczęściej spotykamy się z przetwarzaniem danych dotyczących zdrowia (np. zaświadczenia lekarskie, informacje o niezdolności do pracy, dane o niepełnosprawności). Przetwarzanie tych danych jest dopuszczalne m.in. w oparciu o art. 9 ust. 2 lit. b i h RODO, a więc w zakresie, w jakim jest to niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw administratora lub osoby, której dane dotyczą, w dziedzinie prawa pracy i zabezpieczenia społecznego.

Przykład orzecznictwa: dane o stanie zdrowia

W wyroku z 1 grudnia 2016 r., I PK 242/15, Sąd Najwyższy analizował kwestię ujawnienia przez pracodawcę danych o stanie zdrowia pracownika szerszemu gronu osób niż to konieczne. W uzasadnieniu wskazał:

„Pracodawca jest uprawniony do przetwarzania danych dotyczących stanu zdrowia pracowników, jeżeli jest to niezbędne dla realizacji obowiązków wynikających z przepisów prawa pracy. Nie oznacza to jednak, że informacje te mogą być dowolnie rozpowszechniane w zakładzie pracy. Zakres udostępnienia danych powinien być ograniczony do osób, którym są one niezbędne do wykonywania zadań służbowych.”

Orzeczenie to dobrze ilustruje jedną z naczelnych zasad RODO – zasadę ograniczenia dostępu „need to know”. Dane osobowe pracownika, zwłaszcza wrażliwe, powinny być dostępne wyłącznie dla osób bezpośrednio zaangażowanych w ich przetwarzanie z uwagi na zakres obowiązków.

Zgoda pracownika a RODO w kontekście HR

Kwestia zgody pracownika na przetwarzanie danych osobowych wywołuje wiele wątpliwości praktycznych. RODO definiuje zgodę jako dobrowolne, konkretne, świadome i jednoznaczne okazanie woli osoby, której dane dotyczą. Problem w stosunkach pracy polega na relacji podporządkowania, która podważa dobrowolność zgody.

Grupy Robocza Art. 29 (obecnie EROD) oraz polski UODO wielokrotnie podkreślali, że zgoda pracownika powinna być stosowana wyjątkowo – przede wszystkim w sytuacjach, gdy brak zgody nie może pociągać za sobą żadnych negatywnych konsekwencji dla pracownika, a alternatywnie istnieją inne podstawy przetwarzania (np. prawnie uzasadniony interes).

Przykładowymi sytuacjami, w których można rozważać oparcie przetwarzania na zgodzie, są m.in.:

– zamieszczenie zdjęcia pracownika na stronie internetowej pracodawcy (o ile nie jest to warunek istotny dla wykonywania obowiązków służbowych, np. funkcja rzecznika prasowego),
– wykorzystanie wizerunku w materiałach promocyjnych,
– prowadzenie programów benefitowych niewynikających z przepisów prawa,
– przechowywanie CV po zakończeniu określonego procesu rekrutacyjnego w celu wykorzystania w przyszłości.

Nie jest natomiast dopuszczalne zastępowanie wymogu ustawowej podstawy przetwarzania (np. obowiązku prowadzenia dokumentacji pracowniczej) zgodą pracownika. Zgoda nie może też „legitymizować” przetwarzania danych, do których pozyskania pracodawca nie ma podstawy ustawowej, gdy przepisy prawa wprost zakazują ich przetwarzania.

Case study: zgoda na monitoring poczty elektronicznej

Pracodawca planuje wprowadzenie monitoringu służbowej poczty elektronicznej. Dział HR przygotowuje formularz „zgody na monitoring”, przewidując, że pracownik podpisze dokument przy zatrudnieniu. W razie odmowy podpisu zawarcie umowy miałoby być uzależnione od wyrażenia zgody.

Taka koncepcja jest nieprawidłowa. Monitoring poczty elektronicznej jest uregulowany w art. 22³ Kodeksu pracy. Stanowi on, że pracodawca może wprowadzić monitoring m.in. w celu zapewnienia organizacji pracy, kontroli wykorzystania narzędzi pracy, ochrony informacji. Podstawą przetwarzania tych danych jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes pracodawcy) w związku z art. 22³ Kodeksu pracy, a nie zgoda pracownika. Zgoda w takiej sytuacji byłaby pozorna i nie mogłaby stanowić ważnej podstawy przetwarzania.

Okres przechowywania danych pracowniczych – zasada ograniczenia przechowywania

RODO wprowadza zasadę ograniczenia przechowywania, zgodnie z którą dane osobowe powinny być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, nie dłużej niż jest to niezbędne do celów, w których dane te są przetwarzane (art. 5 ust. 1 lit. e RODO).

Art. 5 ust. 1 lit. e RODO: „Dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane (…)”.

W przypadku danych pracowniczych okresy przechowywania wynikają w znacznej mierze z przepisów szczególnych, przede wszystkim z Kodeksu pracy oraz rozporządzenia w sprawie dokumentacji pracowniczej (rozporządzenie Ministra Rodziny, Pracy i Polityki Społecznej z dnia 10 grudnia 2018 r., Dz.U. z 2018 r. poz. 2369).

Zgodnie z art. 94 pkt 9b Kodeksu pracy, pracodawca jest obowiązany prowadzić i przechowywać dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracownika w sposób zapewniający poufność, integralność, kompletność oraz dostępność, przez okres wynikający z przepisów.

Z kolei art. 94⁵ Kodeksu pracy wprowadza rozróżnienie pomiędzy dokumentacją pracowników zatrudnionych po 1 stycznia 2019 r. a zatrudnionych wcześniej. Zasadniczo:

– dla pracowników zatrudnionych po 1 stycznia 2019 r. okres przechowywania dokumentacji pracowniczej wynosi 10 lat od końca roku kalendarzowego, w którym stosunek pracy ustał (z wyjątkami, gdy zastosowanie mają 50-letnie okresy przechowywania),
– dla pracowników zatrudnionych przed 1 stycznia 2019 r. stosuje się co do zasady 50-letni okres przechowywania (z możliwością skrócenia, jeśli pracodawca prześle do ZUS raporty informacyjne).

Dane kandydatów do pracy – jak długo można przechowywać CV

W przypadku danych kandydatów, którzy nie zostali zatrudnieni, brak jest szczegółowej regulacji ustawowej w zakresie okresu przechowywania. Okres ten powinien wynikać z przyjętych przez pracodawcę celów przetwarzania, ocenionych w oparciu o zasadę proporcjonalności.

Jeżeli przetwarzanie danych odbywa się wyłącznie w celu przeprowadzenia konkretnego procesu rekrutacyjnego, po jego zakończeniu pracodawca powinien co do zasady usunąć dane kandydatów, którzy nie zostali zatrudnieni. Dopuszczalne jest natomiast przechowywanie tych danych przez rozsądny okres w celu obrony przed ewentualnymi roszczeniami (np. dyskryminacja w zatrudnieniu). Tu często przyjmuje się, że adekwatny jest okres dochodzenia roszczeń z tytułu naruszenia zasady równego traktowania (art. 291 § 1 KP – podstawowy termin przedawnienia roszczeń ze stosunku pracy wynosi 3 lata).

Jeżeli pracodawca chce przechowywać CV na potrzeby przyszłych rekrutacji, powinien uzyskać od kandydata odrębną, wyraźną zgodę (art. 6 ust. 1 lit. a RODO). Okres przechowywania powinien wtedy wynikać z zakresu zgody (np. „do 2 lat od zakończenia niniejszego procesu rekrutacyjnego”) i być proporcjonalny do potrzeb.

UODO w swoich wytycznych zwraca uwagę, że przechowywanie CV „w nieskończoność” jest sprzeczne z RODO. Po upływie okresu przewidzianego w zgodzie pracodawca powinien dane usunąć lub zanonimizować.

Okres przechowywania dokumentacji płacowej i podatkowej

Poza przepisami prawa pracy, istotne znaczenie dla okresów przechowywania danych pracowniczych mają przepisy podatkowe i ubezpieczeniowe. Księgi rachunkowe oraz dowody księgowe (w tym listy płac) należy przechowywać co do zasady przez 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 70 § 1 Ordynacji podatkowej). W praktyce oznacza to zwykle około 6 lat kalendarzowych od końca roku, w którym dokonano wypłaty wynagrodzenia.

Z kolei dokumenty ubezpieczeniowe (m.in. raporty imienne, zgłoszenia ZUS) podlegają własnym regulacjom wynikającym z ustawy o systemie ubezpieczeń społecznych oraz rozporządzeń wykonawczych, które również przewidują wieloletnie okresy przechowywania (często 10 lat, w określonych przypadkach 5 lat lub więcej).

Usuwanie i anonimizacja danych po zakończeniu zatrudnienia

Po ustaniu stosunku pracy pracodawca staje przed obowiązkiem dostosowania zakresu i okresu dalszego przechowywania danych do aktualnych celów przetwarzania. Dane, które były potrzebne do bieżącej obsługi stosunku pracy, mogą już nie być niezbędne. Z drugiej strony część dokumentów musi być przechowywana ze względu na obowiązki prawne (np. archiwizacja dokumentacji pracowniczej, przepisy podatkowe, ubezpieczeniowe).

Kluczowe jest opracowanie w organizacji polityki retencji danych, w której zostaną określone:

– kategorie danych (np. akta osobowe, ewidencja czasu pracy, e-maile służbowe, dane z systemów informatycznych),
– podstawy prawne dalszego przechowywania (obowiązek prawny, dochodzenie roszczeń, prawnie uzasadniony interes),
– konkretne okresy przechowywania,
– sposób usuwania lub anonimizowania danych po upływie okresów retencji.

Przykładowo, korespondencja e-mailowa byłego pracownika, która nie ma znaczenia dla obrony przed roszczeniami ani nie stanowi dokumentacji niezbędnej dla pracodawcy, powinna zostać usunięta w rozsądnym czasie po zakończeniu pracy (zwykle mierzonym w miesiącach, a nie latach). Natomiast akta osobowe będą przechowywane przez 10 lub 50 lat w zależności od daty zatrudnienia, a dokumenty podatkowe – przez 5 lat od końca roku, w którym powstał obowiązek podatkowy.

Przykład orzecznictwa: prawo do bycia zapomnianym a obowiązki archiwizacyjne

Trybunał Sprawiedliwości UE oraz krajowe sądy wielokrotnie podkreślały, że prawo do usunięcia danych („prawo do bycia zapomnianym”) nie ma charakteru absolutnego. Zgodnie z art. 17 ust. 3 RODO, administrator może odmówić usunięcia danych m.in. wtedy, gdy ich przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze lub do ustalenia, dochodzenia lub obrony roszczeń.

Art. 17 ust. 3 lit. b i e RODO: „Ust. 1 i 2 (prawo do usunięcia danych) nie mają zastosowania, w zakresie w jakim przetwarzanie jest niezbędne: (…) b) do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego (…) e) do ustalenia, dochodzenia lub obrony roszczeń.”

W praktyce oznacza to, że były pracownik nie może domagać się usunięcia z akt osobowych dokumentów, których przechowywanie jest wymagane przez Kodeks pracy. Może natomiast żądać usunięcia takich danych, dla których nie istnieje już podstawa prawna przetwarzania (np. usunięcia jego CV z bazy „na przyszłe rekrutacje” po wycofaniu zgody).

RODO w HR – najczęstsze błędy pracodawców

W praktyce kontroli prowadzonych przez UODO oraz audytów wewnętrznych w organizacjach wskazuje się na kilka powtarzających się naruszeń w obszarze HR. Do najistotniejszych należą:

– zbieranie nadmiarowych danych na etapie rekrutacji (np. PESEL, stan cywilny, zdjęcie, informacje o zdrowiu),
– brak zróżnicowania okresów przechowywania – „wieczne” przechowywanie wszystkich danych kadrowych,
– nieprawidłowe oparcie przetwarzania na zgodzie (np. przy monitoringu, kontroli trzeźwości, przetwarzaniu danych, do których pozyskania pracodawca nie ma podstawy ustawowej),
– brak realizacji obowiązku informacyjnego wobec kandydatów i pracowników (art. 13 i 14 RODO),
– niewystarczające zabezpieczenie danych (np. brak kontroli dostępu do dokumentacji kadrowej, pozostawianie akt osobowych w ogólnodostępnych miejscach),
– brak polityki retencji danych i brak procedur usuwania lub anonimizacji dokumentów po upływie okresów przechowywania.

Konsekwencje naruszeń mogą być poważne – od zaleceń i upomnień UODO, przez nakazy usunięcia danych, aż po kary finansowe. W kontekście HR szczególnie dotkliwe mogą być także roszczenia pracowników o naruszenie dóbr osobistych (np. naruszenie prywatności, ujawnienie danych wrażliwych) oraz utrata zaufania pracowników i kandydatów.

Case study: nadmiernie rozbudowane kwestionariusze osobowe

Duży pracodawca stosował rozbudowany kwestionariusz osobowy dla kandydatów i pracowników, w którym żądano m.in. informacji o stanie cywilnym, planach prokreacyjnych, przebytej chorobie nowotworowej oraz przynależności do związków zawodowych. Pytania te były uzasadniane „potrzebą lepszego poznania pracownika” i „zapewnieniem odpowiednich benefitów”.

Taka praktyka narusza zarówno przepisy Kodeksu pracy, jak i RODO. Informacje o planach prokreacyjnych czy chorobie nowotworowej stanowią dane szczególnej kategorii (dane o zdrowiu, życie rodzinne), które mogą być przetwarzane wyłącznie w ściśle określonych przypadkach i w granicach niezbędnych do korzystania ze szczególnych uprawnień (np. zasiłki, urlopy). Pytanie o przynależność związkową jest wręcz wprost zakazane, chyba że pracownik sam ją ujawni w związku z pełnieniem funkcji związkowej. UODO, badając taki przypadek, mógłby nałożyć istotną karę finansową oraz nakazać zmianę formularzy i usunięcie pozyskanych nielegalnie informacji.

RODO w HR a nowe technologie – monitoring, kontrola trzeźwości, systemy informatyczne

Nowelizacje Kodeksu pracy oraz dynamiczny rozwój narzędzi IT sprawiły, że szczególnego znaczenia nabrały kwestie monitoringu pracowników, pracy zdalnej, systemów do rejestracji czasu pracy, geolokalizacji czy kontroli trzeźwości.

Przykładowo, art. 22² i 22³ Kodeksu pracy regulują kwestie monitoringu wizyjnego i monitoringu innych form komunikacji. Monitoring może być stosowany m.in. w celu zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji, zachowania w tajemnicy informacji. Jednak jego zakres i sposób prowadzenia musi być proporcjonalny i nie może prowadzić do nadmiernej ingerencji w prywatność (np. zakaz monitorowania pomieszczeń sanitarnych, szatni, pomieszczeń socjalnych, z wyjątkiem szczególnych przypadków).

Z kolei od 2023 r. obowiązują szczególne przepisy dotyczące kontroli trzeźwości pracowników (art. 221c–221h Kodeksu pracy). Pracodawca może wprowadzić kontrolę trzeźwości lub na obecność środków działających podobnie do alkoholu, jeżeli jest to niezbędne do zapewnienia ochrony życia i zdrowia pracowników lub innych osób lub ochrony mienia. Dane dotyczące wyników kontroli, będąc danymi o zdrowiu, podlegają reżimowi art. 9 RODO i powinny być przechowywane nie dłużej niż przez 1 rok od dnia ich zebrania, chyba że są potrzebne do postępowań, wtedy do czasu ich zakończenia.

Wszystkie te procesy wymagają od pracodawcy:

– przeprowadzenia analizy ryzyka i – w razie potrzeby – oceny skutków dla ochrony danych (DPIA),
– ustalenia jasnych zasad retencji danych (np. przez jaki okres przechowywany jest obraz z monitoringu wizyjnego),
– zapewnienia odpowiednich zabezpieczeń technicznych i organizacyjnych,
– poinformowania pracowników o zakresie i celach monitoringu.

Najważniejsze zasady dla działów HR w świetle RODO

Podsumowując, stosowanie RODO w obszarze HR wymaga od pracodawcy nie tylko znajomości przepisów, ale także przyjęcia określonej kultury organizacyjnej opartej na szacunku dla prywatności pracowników. Kluczowe zasady to w szczególności:

– Zasada legalności – każde przetwarzanie danych musi mieć podstawę prawną (najczęściej obowiązek prawny, umowa, prawnie uzasadniony interes). Zgoda pracownika – tylko wyjątkowo.
– Zasada celowości i minimalizacji – zbieramy tylko takie dane, które są niezbędne do jasno określonych celów związanych z zatrudnieniem.
– Zasada ograniczenia przechowywania – dane przechowujemy nie dłużej, niż jest to konieczne. Po upływie okresów retencji dane należy usunąć lub zanonimizować.
– Zasada integralności i poufności – dane kadrowe powinny być odpowiednio zabezpieczone, a dostęp do nich ograniczony do osób uprawnionych.
– Zasada rozliczalności – pracodawca musi być w stanie wykazać, że przestrzega zasad RODO (dokumentacja, rejestry czynności, polityki, procedury, szkolenia).

Z perspektywy praktycznej jednym z najważniejszych narzędzi jest przygotowanie i wdrożenie kompleksowej polityki ochrony danych osobowych w obszarze HR, obejmującej m.in. zasady rekrutacji, prowadzenia dokumentacji pracowniczej, korzystania z systemów IT, monitoringu, pracy zdalnej i retencji danych.

Q&A – najczęstsze pytania dotyczące RODO w HR

Czy mogę wymagać od kandydata podania numeru PESEL w CV?

Co do zasady – nie. Na etapie rekrutacji katalog danych, których może żądać pracodawca, wynika z art. 22¹ § 1 Kodeksu pracy i nie obejmuje numeru PESEL. PESEL będzie potrzebny dopiero przy zawieraniu umowy o pracę i zgłoszeniu do ZUS. Jeżeli kandydat sam dobrowolnie umieści PESEL w CV, pracodawca może go przetwarzać, ale nie powinien żądać podania tej informacji jako warunku udziału w rekrutacji.

Jak długo mogę przechowywać CV kandydatów, którzy nie zostali zatrudnieni?

Jeśli CV są przetwarzane wyłącznie na potrzeby konkretnej rekrutacji, należy je usunąć niezwłocznie po jej zakończeniu, chyba że pracodawca uzasadni dłuższy okres przechowywania potrzebą obrony przed roszczeniami (np. 3 lata odpowiadające ogólnemu terminowi przedawnienia roszczeń ze stosunku pracy). Przechowywanie CV na potrzeby przyszłych rekrutacji wymaga odrębnej, wyraźnej zgody kandydata, z określonym, rozsądnym okresem (np. 12–24 miesiące).

Czy mogę przechowywać akta osobowe pracownika dłużej niż 10 lub 50 lat?

Okresy 10- i 50-letnie wynikające z Kodeksu pracy dotyczą obowiązkowego okresu przechowywania dokumentacji pracowniczej. Po ich upływie co do zasady pracodawca powinien dokumentację zniszczyć (z zachowaniem zasad archiwizacji), chyba że szczególne przepisy nakazują dłuższe przechowywanie określonych dokumentów lub istnieją wyjątkowe okoliczności (np. toczące się postępowanie sądowe). „Na wszelki wypadek” przechowywanie dokumentów dłużej, niż wynika to z przepisów, jest sprzeczne z zasadą ograniczenia przechowywania.

Czy potrzebuję zgody pracownika na zamieszczenie jego zdjęcia na stronie internetowej?

Co do zasady – tak. Zamieszczenie wizerunku pracownika na stronie internetowej pracodawcy w celach promocyjnych wymaga zgody pracownika (art. 6 ust. 1 lit. a RODO oraz art. 81 ust. 1 ustawy o prawie autorskim i prawach pokrewnych). Zgoda powinna być dobrowolna, konkretna i możliwa do wycofania w każdym czasie. Wyjątek dotyczy sytuacji, gdy wykorzystanie wizerunku jest obiektywnie niezbędne do wykonywania obowiązków (np. funkcja rzecznika prasowego), ale nawet wtedy zalecane jest pozyskanie zgody lub oparcie się na prawnie uzasadnionym interesie po przeprowadzeniu testu równowagi.

Czy mogę żądać od pracownika informacji o jego wyznaniu lub przynależności związkowej?

Nie. Są to dane szczególnej kategorii (art. 9 RODO) i pracodawca co do zasady nie ma prawa ich pozyskiwać. Wyjątkiem może być sytuacja, gdy pracownik sam ujawnia przynależność związkową w związku z pełnieniem funkcji związkowej lub gdy informacje te wynikają z przepisów szczególnych (np. w odniesieniu do niektórych duchownych). Pytanie o wyznanie czy przynależność związkową w kwestionariuszu osobowym lub w trakcie rekrutacji jest niedopuszczalne.

Czy po odejściu pracownika mogę zachować dostęp do jego służbowej skrzynki e-mail?

Po ustaniu stosunku pracy co do zasady należy zamknąć skrzynkę e-mail pracownika. Dopuszczalne jest ustanowienie automatycznego przekierowania wiadomości na skrzynkę ogólną przez krótki, z góry określony okres (np. 30 dni), jeśli jest to niezbędne w celu zapewnienia ciągłości działalności i jeśli pracownik był wcześniej o tym poinformowany. Długotrwałe monitorowanie treści korespondencji byłego pracownika jest nieproporcjonalne i narusza jego prywatność. Przed usunięciem skrzynki warto wyodrębnić i zarchiwizować wiadomości istotne dla spraw służbowych (bez nadmiernej ingerencji w korespondencję prywatną, jeśli była dopuszczalna).

Czy mogę żądać od kandydata zamieszczenia zdjęcia w CV?

Nie ma podstawy prawnej, aby pracodawca żądał zamieszczenia zdjęcia w CV. Zdjęcie może ujawniać szereg informacji wrażliwych (m.in. pochodzenie etniczne, stan zdrowia) i zwiększać ryzyko dyskryminacji. Kandydat może dobrowolnie dołączyć fotografię, ale nie powinno to być warunkiem udziału w rekrutacji. Z punktu widzenia RODO i zasady minimalizacji danych rekomendowane jest prowadzenie rekrutacji bez wymogu zdjęcia, chyba że charakter stanowiska obiektywnie tego wymaga (np. aktor, model).

Czy mogę przechowywać dokumenty z kontroli trzeźwości pracowników przez cały okres zatrudnienia?

Nie. Dane dotyczące wyników kontroli trzeźwości są danymi o zdrowiu i podlegają szczególnym zasadom. Zgodnie z Kodeksem pracy powinny być one przechowywane nie dłużej niż 1 rok od dnia ich zebrania, chyba że stanowią dowód w postępowaniu (np. dyscyplinarnym, sądowym) – wówczas do czasu prawomocnego zakończenia tego postępowania. Przechowywanie takich danych „na zapas” przez cały okres zatrudnienia narusza zasadę ograniczenia przechowywania.

Czy pracownik może zażądać usunięcia wszystkich swoich danych po odejściu z firmy?

Nie. Były pracownik może żądać usunięcia jedynie tych danych, które nie są już niezbędne do celów, w jakich były przetwarzane, i dla których nie istnieje żadna podstawa prawna dalszego przetwarzania. Pracodawca ma obowiązek przechowywać akta osobowe przez 10 lub 50 lat, a dokumenty podatkowe przez 5 lat od końca roku, w którym powstał obowiązek podatkowy. W stosunku do tych danych prawo do bycia zapomnianym jest wyłączone na mocy art. 17 ust. 3 RODO.

Czy muszę informować pracownika o każdym nowym celu przetwarzania jego danych?

Tak. Jeżeli pracodawca zamierza przetwarzać dane pracownika w nowym celu, który jest niezgodny z celem, w jakim dane zostały pierwotnie zebrane, musi poinformować pracownika o tym nowym celu i jego podstawie prawnej (art. 13 ust. 3 RODO). W wielu przypadkach nowe cele da się jednak zakwalifikować jako zgodne z pierwotnymi (np. dochodzenie roszczeń po zakończeniu zatrudnienia), co nie wymaga nowej zgody, ale powinno być przewidziane w klauzulach informacyjnych.

Jak w praktyce wykazać, że stosuję zasadę minimalizacji danych w HR?

Warto przygotować i utrzymywać aktualne:

– rejestr czynności przetwarzania obejmujący procesy HR,
– wzory formularzy (kwestionariusze osobowe, wzory umów, oświadczenia) dostosowane do art. 22¹–22³ Kodeksu pracy,
– politykę retencji danych, z wyszczególnieniem kategorii danych i okresów przechowywania,
– procedury rekrutacyjne, kadrowo-płacowe i związane z monitoringiem zawierające wymogi RODO,
– dokumentację szkoleń dla działu HR.

W razie kontroli UODO lub sporu z pracownikiem dokumenty te pomogą wykazać, że pracodawca świadomie ogranicza zakres zbieranych danych do niezbędnego minimum i przestrzega zasady rozliczalności.

Na koniec warto podkreślić, że RODO w HR nie jest jednorazowym „wdrożeniem”, lecz ciągłym procesem. Zmiany w prawie pracy, technologiach czy organizacji pracy wymagają regularnego przeglądu procedur i dostosowywania ich do aktualnych wymogów prawnych oraz standardów ochrony danych osobowych. Dzięki temu dział HR może pełnić nie tylko funkcję administracyjną, ale również rolę strażnika zgodności i zaufania w relacjach pracodawca–pracownik.