Przetwarzanie danych osobowych w zatrudnieniu nie polega na tym, że pracodawca może zbierać wszystkie informacje, które potencjalnie mogłyby mu się kiedyś przydać. W prawie pracy obowiązuje zasada odwrotna: wolno żądać tylko tych danych, które zostały wskazane w przepisach albo są rzeczywiście niezbędne do wykonania obowiązku wynikającego z prawa. Kluczowe znaczenie mają tu art. 22¹-22¹b Kodeksu pracy, które rozróżniają zakres danych możliwych do pozyskania od kandydata do pracy i od pracownika, regulują dopuszczalność zgody na dodatkowe dane oraz wyznaczają szczególne warunki przetwarzania danych wrażliwych i danych biometrycznych. Kodeks pracy zawiera też odrębne przepisy o monitoringu pracowników, co ma znaczenie przy takich danych jak obraz z kamer, dane z poczty służbowej czy informacje o lokalizacji pracownika pozyskiwane np. z GPS w aucie służbowym.
Spis treści
Dane kandydata do pracy i dane pracownika - podstawowa różnica
Na etapie rekrutacji katalog danych jest celowo ograniczony. Pracodawca może żądać od osoby ubiegającej się o zatrudnienie podania imienia i nazwiska, daty urodzenia oraz danych kontaktowych wskazanych przez kandydata. Może też pytać o wykształcenie, kwalifikacje zawodowe i przebieg dotychczasowego zatrudnienia, ale tylko wtedy, gdy informacje te są niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Oznacza to, że nie każde CV uzasadnia zbieranie pełnego życiorysu zawodowego i nie każde stanowisko pozwala pytać o wszystkie elementy doświadczenia zawodowego.
Szczególnie istotne jest to, że obecne brzmienie art. 22¹ § 1 wyraźnie wyłącza z zakresu dopuszczalnych informacji dane o wynagrodzeniu w obecnym i poprzednich stosunkach pracy. Pracodawca może więc pytać, gdzie kandydat pracował i jakie wykonywał obowiązki, ale nie powinien domagać się ujawnienia wcześniejszych zarobków. To rozwiązanie ma znaczenie nie tylko z perspektywy ochrony danych, ale również z punktu widzenia ograniczania utrwalania nierówności płacowych między pracownikami.
Po zatrudnieniu katalog danych staje się szerszy, ponieważ pojawiają się obowiązki kadrowe, płacowe, podatkowe i ubezpieczeniowe. Pracodawca może wtedy żądać od pracownika dodatkowo adresu zamieszkania, numeru PESEL, a w razie jego braku rodzaju i numeru dokumentu potwierdzającego tożsamość. Może także żądać innych danych pracownika oraz danych jego dzieci lub innych członków najbliższej rodziny, jeżeli jest to konieczne do korzystania ze szczególnych uprawnień przewidzianych w prawie pracy. Do tego dochodzi numer rachunku płatniczego, chyba że pracownik złoży wniosek o wypłatę wynagrodzenia do rąk własnych. Jeżeli wykształcenie lub przebieg zatrudnienia nie mogły być żądane wcześniej, pracodawca może pozyskać je już po nawiązaniu stosunku pracy, gdy pojawi się ku temu podstawa.
Warto też podkreślić, że udostępnienie danych pracodawcy co do zasady następuje w formie oświadczenia osoby, której dane dotyczą. Pracodawca może żądać ich udokumentowania, ale tylko w zakresie niezbędnym do potwierdzenia tych danych. W praktyce ma to duże znaczenie, bo ogranicza pokusę kopiowania całych dokumentów tożsamości albo pozyskiwania z nich większej liczby informacji, niż rzeczywiście potrzeba do celu kadrowego.
Pracodawca nie może zbierać danych „na wszelki wypadek”
Najczęstszy problem nie polega dziś na całkowitym braku podstawy prawnej, lecz na nadmiarowym zbieraniu danych. Dotyczy to zwłaszcza rekrutacji. W formularzach i rozmowach kwalifikacyjnych wciąż pojawiają się pytania o stan cywilny, plany rodzinne, pełny adres zamieszkania już przed zatrudnieniem, zdjęcie, zainteresowania, historię wynagrodzeń czy informacje zdrowotne, mimo że nie są one potrzebne do oceny przydatności kandydata do konkretnej pracy. Takie działanie może naruszać nie tylko Kodeks pracy, ale też zasadę minimalizacji danych wynikającą z RODO, zgodnie z którą dane muszą być adekwatne, stosowne i ograniczone do tego, co niezbędne dla celu przetwarzania.
Ryzyko związane z nadmiarem danych jest podwójne. Po pierwsze, pracodawca może przetwarzać dane bez właściwej podstawy prawnej. Po drugie, zbyt szeroki zakres informacji zwiększa ryzyko dyskryminacji lub nierównego traktowania. Jeżeli pracodawca pozyskuje dane, które nie powinny wpływać na decyzję rekrutacyjną, sam stwarza sobie ryzyko zarzutu, że brał je pod uwagę. W praktyce zgodność z przepisami o danych osobowych w HR nie jest więc wyłącznie kwestią formalną, lecz elementem uczciwego i bezpiecznego procesu zatrudnienia.
Zgoda na dodatkowe dane i dane szczególnych kategorii
Art. 22¹a Kodeksu pracy dopuszcza, aby zgoda kandydata albo pracownika była podstawą przetwarzania innych danych niż te wymienione w podstawowym katalogu. Nie oznacza to jednak pełnej swobody po stronie pracodawcy. Ustawa wyraźnie stanowi, że brak zgody albo jej cofnięcie nie może powodować negatywnych konsekwencji dla osoby ubiegającej się o zatrudnienie lub dla pracownika, w szczególności nie może uzasadniać odmowy zatrudnienia, wypowiedzenia umowy ani rozwiązania jej bez wypowiedzenia. W relacji pracodawca-pracownik zgoda jest oceniana bardzo restrykcyjnie właśnie dlatego, że między stronami występuje nierównowaga.
Z tego powodu zgoda może mieć znaczenie głównie tam, gdzie decyzja jest rzeczywiście dobrowolna i nie wpływa na sytuację zawodową danej osoby. Może chodzić np. o udział w przyszłych rekrutacjach, podanie dodatkowych informacji z własnej inicjatywy czy niektóre fakultatywne działania wizerunkowe. Jednocześnie przepisy wyraźnie wyłączają możliwość oparcia zgody na danych z art. 10 RODO, czyli danych dotyczących wyroków skazujących i naruszeń prawa. Pracodawca nie może więc posłużyć się zgodą jako narzędziem do obejścia ustawowych ograniczeń.
Jeszcze dalej idą ograniczenia dotyczące danych szczególnych kategorii, o których mowa w art. 9 ust. 1 RODO. Zgoda może być podstawą ich przetwarzania wyłącznie wtedy, gdy przekazanie tych danych następuje z inicjatywy kandydata albo pracownika. To rozróżnienie jest bardzo ważne, bo oznacza, że pracodawca nie powinien aktywnie wymuszać ujawniania danych o zdrowiu, przekonaniach czy innych szczególnie wrażliwych sferach życia.
Dane biometryczne i geolokalizacja pracownika - kiedy są dopuszczalne
Dane biometryczne pracownika mogą być przetwarzane wyjątkowo. Kodeks pracy pozwala na to wtedy, gdy jest to niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę, albo do pomieszczeń wymagających szczególnej ochrony. W praktyce oznacza to, że odcisk palca czy skan twarzy nie mogą być zwykłym zamiennikiem karty wejściowej tylko dlatego, że jest to rozwiązanie wygodne lub nowoczesne. Dodatkowo dostęp do takich danych mogą mieć wyłącznie osoby posiadające pisemne upoważnienie i zobowiązane do zachowania tajemnicy.
Warto dodać, że informacje o lokalizacji pracownika również są danymi osobowymi, jeżeli pozwalają ustalić, gdzie przebywa konkretna osoba albo odtworzyć jej trasę, sposób poruszania się lub miejsca pobytu. Kodeks pracy nie wymienia geolokalizacji w katalogu danych z art. 22¹, ale może ona być przetwarzana w ramach przepisów o monitoringu, o ile spełnione są ustawowe warunki. Art. 22³ § 1 i 4 pozwala stosować nie tylko monitoring poczty elektronicznej, ale także inne formy monitoringu, jeżeli są one niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwe użytkowanie udostępnionych pracownikowi narzędzi pracy. To właśnie ten przepis jest najczęściej przywoływany przy monitoringu GPS w pojazdach służbowych lub urządzeniach powierzonych pracownikowi.
Nie oznacza to jednak, że pracodawca może śledzić pracownika w sposób ciągły i nieograniczony. Monitoring lokalizacji musi być potrzebny, proporcjonalny i odpowiednio uregulowany wewnętrznie. Cele, zakres i sposób jego stosowania powinny być określone w układzie zbiorowym pracy, regulaminie pracy albo obwieszczeniu, a pracownik musi być o nim poinformowany przed uruchomieniem monitoringu. W przypadku monitoringu pracowniczego przepisy wymagają również wcześniejszego przekazania informacji pracownikowi i odpowiedniego oznaczenia monitorowanych obszarów tam, gdzie ma to zastosowanie.
Szczególnie wrażliwa jest sytuacja, gdy samochód służbowy albo inne narzędzie pracy może być wykorzystywane również prywatnie. Z materiałów publikowanych przy UODO wynika, że lokalizacja pojazdu służbowego używanego do celów prywatnych nie może być traktowana tak samo jak monitoring w czasie wykonywania obowiązków służbowych; organ zwracał uwagę na problemy związane z dobrowolnością zgody i na potrzebę bardzo ostrożnego podejścia do takich rozwiązań. Dodatkowo NSA w jednym z wyroków wskazał, że pracodawca nie może przetwarzać danych osobowych pracownika pozyskanych nielegalnie z użyciem monitoringu GPS, nawet jeśli chciałby później wykorzystać je jako dowód. To pokazuje, że przy geolokalizacji kluczowe znaczenie ma legalność już na etapie samego pozyskiwania danych.
Podsumowanie
Zakres danych osobowych, jakie może przetwarzać pracodawca, nie jest dowolny i został wyraźnie ograniczony przez przepisy Kodeksu pracy. Inne dane wolno pozyskiwać od kandydata do pracy, a inne od osoby już zatrudnionej, przy czym w obu przypadkach obowiązuje zasada niezbędności i minimalizacji. Pracodawca nie powinien zbierać informacji „na zapas”, pytać o wcześniejsze wynagrodzenie ani traktować zgody jako prostego sposobu na obejście ustawowych ograniczeń.
W praktyce szczególnej ostrożności wymagają nie tylko dane wrażliwe i dane biometryczne, ale również informacje o lokalizacji pracownika. Geolokalizacja może być dopuszczalna, ale tylko wtedy, gdy rzeczywiście służy organizacji pracy lub ochronie narzędzi pracy, została prawidłowo wdrożona i nie prowadzi do nieproporcjonalnej ingerencji w prywatność. Właśnie na takich detalach najczęściej rozstrzyga się, czy przetwarzanie danych w zatrudnieniu jest zgodne z prawem, czy tylko sprawia takie wrażenie.
