Rodzaj danych jakie może przetwarzać pracodawca

Pracodawca ma prawo przetwarzać dane zarówno osób ubiegających się o pracę, jak i pracowników. Jednakże zakres tych danych jest ograniczony przepisami Kodeksu pracy (art. 22¹ i następne K.p.), przepisami dotyczącymi ochrony dóbr osobistych, wynikającymi z Kodeksu cywilnego (art. 23 i 24 K.c.), a od 2018 r. także rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE... (Dz. Urz. UE L 119/1 z 4.5.2016), dalej RODO.

Zgodnie z art. 6 RODO, dane muszą być przetwarzane zgodnie z prawem, a to nastąpi w przypadkach, gdy spełniony zostanie co najmniej jeden z poniższych warunków, tj.:

• osoba, której one dotyczą wyrazi zgodę na ich przetwarzanie w jednym lub większej liczbie określonych celów (art. 6 ust. 1 lit. a RODO),
• przetwarzanie okaże się niezbędne do:
• wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b RODO),
• wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO),
• ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej (art. 6 ust. 1 lit. d RODO),
• wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e RODO),
• celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO).

Jeszcze bardziej chronione są dane szczególnej kategorii. Do takich należą: pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzanie danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. Z przepisu art. 9 RODO wynika, że zasadniczo ich przetwarzanie jest zabronione, a wyjątkowo dopuszczalne jest w razie zaistnienia sytuacji wskazanej w ustępie 2 tego przepisu, w tym np. gdy:

• osoba, której dane dotyczą, wyrazi wyraźną zgodę na ich przetwarzanie w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu,
• jest to niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody,
• jest to konieczne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej,
• przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia.

W praktyce często trudno jest ustalić granice przetwarzania danych.

Zgodnie z obowiązującym prawem, na etapie rekrutacji od kandydata na pracownika pracodawca ma prawo żądać podania danych osobowych obejmujących: imię (imiona) i nazwisko, datę urodzenia, dane kontaktowe wskazane przez taką osobę, wykształcenie, kwalifikacje zawodowe, przebieg dotychczasowego zatrudnienia, przy czym trzech ostatnich, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Natomiast od osoby już zatrudnionej dodatkowo może żądać podania: adresu zamieszkania, numeru PESEL, a w razie jego braku - rodzaju i numeru dokumentu potwierdzającego tożsamość, innych danych osobowych samego pracownika, ale również jego dzieci i innych członków jego najbliższej rodziny, gdy podanie takich danych jest konieczne ze względu na korzystanie przez zatrudnionego z uprawnień przewidzianych w prawie pracy. Ponadto pracodawca żąda informacji o wykształceniu i przebiegu dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie, jak również numeru rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych (art. 22¹ § 1-3 K.p.).

Uwaga! Jednym z podstawowych obowiązków spoczywających na pracodawcy jest zgłoszenie osoby zatrudnionej do ubezpieczeń społecznych i ubezpieczenia zdrowotnego. Tak wynika z art. 36 ust. 2 ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (Dz. U. z 2021 r. poz. 423 z późn. zm.) i art. 74 ust. 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach z opieki zdrowotnej finansowanych ze środków publicznych (Dz. U. z 2021 r. poz. 1285 z późn. zm.). Tym samym pracodawca może żądać od pracownika podania szerszego zakresu danych osobowych niż wymienione w art. 22¹ § 1 i 3 K.p., z tym że ich przetwarzanie jest dopuszczalne tylko w celu, do którego zostały pobrane (tu w celu dokonania zgłoszenia).

W trakcie istnienia stosunku pracy pracodawca może dysponować różnymi danymi pracownika, których pozyskanie w chwili, gdy do tego dochodzi, jest zgodne z prawem, ale które wraz ze zmianą przepisów mogą się okazać nadmiarowe. W praktyce kadrowej zatrudniający często staje więc przed dylematem, czy dane takie usuwać, zwłaszcza gdy stosunek pracy trwa długo lub zaistnieje możliwość kontynuowania dokumentacji pracowniczej. W tym zakresie wypowiedział się resort pracy, który w piśmie nadesłanym do naszego Wydawnictwa 16 września 2020 r. zauważył, że: "(...) wszystkie dane osobowe (dokumenty), które pracodawca pozyskał zgodnie z obowiązującym w dniu ich pozyskania prawem (na żądanie lub za zgodą pracownika), kierując się jednocześnie zasadą minimalizacji danych, określoną w art. 5 ust. 1 lit. c RODO (dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane), może przechowywać w dokumentacji pracowniczej. (...)". Resort pracy zastrzegł jednak, że: "(...) ostateczna opinia dotycząca przedmiotowego zagadnienia powinna należeć do Urzędu Ochrony Danych Osobowych jako organu uprawnionego do kontroli zgodności przetwarzania danych osobowych z prawem.".

Ze stanowiskiem resortu pracy zgodził się Urząd Ochrony Danych Osobowych, który w piśmie z 29 września 2020 r. stwierdził, że: "(...) dane osobowe wchodzące w skład dokumentacji pracowniczej nie muszą być usuwane z akt osobowych pracownika, jeżeli zostały zebrane zgodnie z przepisami obowiązującymi w chwili ich pozyskania. (...)".