Pracodawca nie może przetwarzać dowolnych danych o pracowniku

Większość z metod nadzoru stosowanych przez pracodawców w celu monitorowania pracowników należy uznać za legalne pod jednym warunkiem. Jest nim poinformowanie pracowników o tym, że taka konkretna forma monitoringu jest stosowana.

Opinia GIODO nie budzi żadnych wątpliwości i w pełni się z nią zgadzam. Jako że temat jest bardzo ciekawy (jego aktualność, a zarazem brak konkretnych przepisów, które by regulowały omawiane zagadnienie), warto zwrócić uwagę na to, co jest powszechnie akceptowalne i nie budzi wątpliwości (także ze strony GIODO):

● Pracownicy powinni być co do zasady uprzednio poinformowani o wprowadzeniu monitoringu przy użyciu kamer oraz powinni znać cel tego działania, a także o istnieniu monitoringu powinny przypominać znaki ostrzegawcze przy wejściu do pomieszczeń monitorowanych.

● Ukryte monitorowanie jest dopuszczalne jedynie wyjątkowo, gdy służy realizacji celu niemożliwego do osiągnięcia przy zastosowaniu innych metod.

● Wykluczone jest co do zasady umieszczanie kamer w single rooms. Pod tym pojęciem można rozumieć np. toalety, szatnie czy pojedyncze biura, w których to pracownicy w sposób naturalny powinni czuć się swobodnie. Incydentalny monitoring w tych pomieszczeniach w przypadku podejrzenia popełniania przestępstwa np. handel narkotykami, molestowanie seksualne, wymaga zaangażowania policji.

● Nie jest dopuszczalny monitoring systematyczny.

● Zapisy nagrań powinny być przechowywane przez okres nie dłuższy niż ściśle wyznaczony celem tego działania.

Temat ten okazał się na tyle istotny, że wypowiadał się w tej sprawie Sąd Najwyższy. W wyroku z 19 listopada 2003 r. (sygn. akt I PK 590/02, OSNP 2004/20/351) znalazło się stwierdzenie, że najistotniejszym składnikiem zakładu pracy są ludzie, a jego funkcjonowanie wiąże się nierozłącznie z kontaktami zewnętrznymi - z kontrahentami, klientami. Dlatego pracodawca nie może być pozbawiony możliwości ujawniania nazwisk pracowników, zajmujących określone stanowiska. Przeciwne stanowisko prowadzi do sparaliżowania lub poważnego ograniczenia możliwości działania pracodawcy, bez żadnego rozsądnego uzasadnienia w ochronie interesów i praw pracownika.

GIODO w pełni przychyla się do tej opinii i wyraźnie podkreśla, że w takich przypadkach nie jest potrzebna zgoda pracownika.

Podzielam opinię zarówno Sądu Najwyższego, jak i GIODO. Mimo wszystko należy jednak dodać pewne zastrzeżenie. Otóż wyrok sądu odnosił się do pracownika zatrudnionego na podstawie umowy o pracę. Jak doskonale wiemy, w obecnie bardzo powszechną formą zatrudnienia jest umowa cywilnoprawna i tutaj wydaje się, że ani wspomniany wcześniej wyrok, ani opinia GIODO nie uwzględniają tego problemu. W moim przekonaniu, jeśli pracodawca chciałby publikować na swojej stronie internetowej dane osobowe osoby współpracującej z nim na podstawie np. umowy-zlecenia, powinien pozyskać wpierw zgodę na takie działania.

GIODO wyraźnie podkreśla, że na każdym pracodawcy ciąży obowiązek zabezpieczenia danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.

Poza ogólnymi brak jest jakiegoś praktycznego poradnika, który rozwiałby wszelkie wątpliwości w tym zakresie. Moim zdaniem najlepszym rozwiązaniem jest poniższy mechanizm:

● Każde wydane przez dział HR zaświadczenie o zarobkach/zatrudnieniu powinno posiadać odrębny numer, tak by podczas rozmowy telefonicznej z pracownikiem banku, rola działu HR ograniczała się wyłącznie do potwierdzenia wydania zaświadczenia o numerze X, który to numer podawałby pracownik banku.

● Powinien być prowadzony rejestr wydanych zaświadczeń, by istniała możliwość ich szybkiej weryfikacji. Numery powinny być nadawane zarówno na drukach pracodawcy, jak i na drukach bankowych, które do wypełnienia przedstawiają pracownicy.

● Bardzo często pracownik składa w banku tylko oświadczenie o tym, że pracuje na etat i np. deklaruje swoje zarobki. W takim przypadku dział HR powinien uzyskiwać zgodę od zatrudnionego na udzielanie o nim pewnych informacji (np. możliwości potwierdzenia wynagrodzenia/zatrudnienia) przez telefon w odpowiedzi na zapytanie z banku. Dla celów dowodowych zgoda taka powinna być zbierana w formie pisemnej

Pracodawca nie może przetwarzać takich danych, ponieważ zgodnie z art. 22 ¹ k.p.) wykraczają one poza zakres informacji wymaganych od pracownika.

Jak wskazano wcześniej, pracodawca nie może przetwarzać dowolnych danych osobowych dotyczących pracownika, a tylko te, na które zezwalają mu przepisy prawa, w szczególności zaś kodeks pracy. Problemem może być zalegalizowanie przetwarzania wykraczających poza dopuszczalny zakres danych poprzez zebranie zgód od pracowników, ponieważ możemy mieć wówczas do czynienia z wadą oświadczenia woli. Moim zdaniem są też takie sytuacje, gdzie zebranie zgody nie powinno budzić wątpliwości. Można tu zaliczyć m.in. następujące przypadki:

● Udostępnienie danych do firmy szkoleniowej w celu wzięcia udziału przez pracownika w organizowanym przez taką firmę szkoleniu.

● Udostępnienie danych pracownika w celu uzyskania dla niego karnetu na zajęcia sportowe (jeżeli zdecyduje się on skorzystać z takiego benefitu zapewnianego przez pracodawcę).

● Udostępnienie danych w celu uzyskania dla zatrudnionego karnetu prywatnej opieki medycznej (analogicznie jak sytuacja opisana powyżej).

● Zgoda pracownika na potwierdzenie przez pracodawcę jego danych o zatrudnieniu w przypadku zapytania z banku (ustalenie zdolności kredytowej pracownika).

Jednak wątpliwa wydaje się sytuacja, w której pracownik na podstawie zgody daje możliwość przetwarzania przez pracodawcę jego prywatny numer telefonu (nie przewidują tego ani przepisy kodeksu pracy, ani podanego wcześniej rozporządzenia).

Na mocy art. 43 ust. 1 pkt 4 u.o.d.o. z obowiązku zgłoszenia zbioru danych do rejestracji zwolnieni zostali m.in. administratorzy danych przetwarzanych w związku z zatrudnieniem u nich. Oznacza to, że zbiór danych pracowników nie wymaga rejestracji w Biurze GIODO. Wyjątek, o którym mowa powyżej, ma zastosowanie również do kandydatów do pracy oraz byłych pracowników, a także członków rodzin, jeśli dane te przetwarzane były w związku z zatrudnieniem u pracodawcy.

Właściwie ciężko dodać coś więcej do stanowiska prezentowanego przez GIODO. Ten aspekt nie budzi w nauce prawa żadnych wątpliwości, dlatego chciałbym podkreślić za GIODO, że taki zbiór nie wymaga zgłoszenia.

To, co warto zaakcentować, to konieczność stosowania do danych osobowych pracowników wszystkich innych wymogów ustawy, w tym obowiązek pozyskiwania ich zgodnie z prawem, konieczność ich zabezpieczenia etc. Z praktyki wynika, że brak przymusu rejestracji w GIODO zbioru pracowników często interpretowany jest przez pracodawców jako ogólne wyłączenie przepisów ustawy do tej kategorii danych, co jest oczywistym błędem i nadinterpretacją.

Z wyjaśnień GIODO wynika wprost, że komornik jest organem egzekucyjnym egzekucji sądowej, ponieważ zgodnie z art. 758 ustawy z 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz.U. nr 43, poz. 296 z późn. zm., dalej k.p.c.) sprawy egzekucyjne należą do właściwości sądów rejonowych i działających przy tych sądach komorników. Zgodnie z art. 759 par. 1 k.p.c. czynności egzekucyjne są wykonywane przez komorników z wyjątkiem tych zastrzeżonych dla sądów. Ponadto GIODO wskazuje, iż organ egzekucyjny może żądać od uczestników postępowania złożenia wyjaśnień oraz zasięgać od organów administracji publicznej, organów wykonujących zadania z zakresu administracji publicznej, organów podatkowych, organów rentowych, banków, spółdzielczych kas oszczędnościowo-kredytowych, przedsiębiorstw maklerskich, organów spółdzielni mieszkaniowych, zarządów wspólnot mieszkaniowych oraz innych podmiotów zarządzających mieszkaniami i lokalami użytkowymi, jak również innych instytucji i osób nieuczestniczących w postępowaniu informacji niezbędnych do prowadzenia egzekucji (art. 761 par. 1 k.p.c.).

Tego typu zapytania bardzo często pojawiają się w rozmowach z pracownikami i odpowiedź może być tylko jedna - jest dokładnie tak, jak wskazuje GIODO.

Warto dodać, że pracodawca może zostać ukarany przez komornika grzywną, jeśli nie będzie z nim współpracował, co wynika z art. 761 k.p.c.

Pracodawca nie ma prawa do tego, żeby przeżyciu takiej technologii rejestrować czas pracy zatrudnionego, w tym sprawdzania jego przyjścia i wyjścia z zakładu pracy, nawet jeśli wyraziłby on na takie postępowanie zgodę. Opinię tę podzielił również sąd administracyjny

To stanowisko koresponduje z moimi wcześniejszymi uwagami odnośnie wad oświadczenia woli w odniesieniu do zgód wyrażanych przez pracowników (patrz: wyjątki wskazane przy zagadnieniu o przetwarzaniu danych dotyczących nazwiska rodowego matki pracownika).

Na stronie GIODO znaleźć można pytanie dotyczące konieczności zawarcia umowy powierzenia przetwarzania danych osobowych z biurem rachunkowym. W odpowiedzi GIODO w sposób jednoznaczny wskazało, że taka umowa, na podstawie art. 31 u.o.d.o. powinna zostać sporządzona.

Temat wydaje się oczywisty, jednak w praktyce wynika, że biura te cały czas w dużej mierze nie mają świadomości istnienia ustawy. Tym samym w umowach, jakie pracodawcy zawierają z nimi, prawie w ogóle nie ma żadnych zapisów wymaganych przez art. 31 u.o.d.o., czyli:

● Nie ma określonego celu powierzenia przetwarzania danych.

● Brak wskazania zakresu danych, jaki został powierzony do przetwarzania.

● Brak wzmianki na temat zabezpieczenia danych czy choćby oświadczenia o spełnianiu wymogów odnoszących się do tego zagadnienia.

W tym miejscu należy podkreślić, że obowiązek zawarcia takiej umowy ciąży na pracodawcy zlecającym obsługę kadrowo-płacową firmie księgowej i to on powinien wystąpić z taką inicjatywą.

Takie działanie pracodawcy jest dopuszczalne, pod warunkiem że pracownik wyrazi na to zgodę

Kolejny przykład skutecznej zgody, którą pracodawca może odebrać od pracownika. Stanowisko GIODO w pełni koresponduje z przepisami ustawy z 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (t.j. Dz.U. z 2006 r. nr 90, poz. 631 z późn. zm.), gdzie w art. 81, który odnosi się do wizerunku, jest mowa o tym, że jego rozpowszechnianie wymaga zezwolenia osoby na nim przedstawionej.

Moim zdaniem analogiczna zgoda będzie potrzebna, jeśli pracodawca chciałby zamieścić zdjęcie pracownika na firmowej stronie www czy w intranecie.

Co do zasady administratorem danych dla pracownika tymczasowego jest agencja pracy tymczasowej. Pracodawca, który korzysta z pracowników tymczasowych, będzie występował tu jako procesor, czyli podmiot, któremu agencja pracy tymczasowej powierzyła przetwarzanie danych osobowych w trybie art. 31 u.o.d.o.

Temat w zasadzie nie budzi żadnych wątpliwości. Oczywiście można sobie wyobrazić sytuację, w której pracodawca jako podmiot, który podpisał umowę z agencją pracy tymczasowej na korzystanie z pracowników tymczasowych, w jakimś zakresie i w stosunku do jakiś danych może pełnić funkcję administratora danych, np. w odniesieniu do danych z ewidencji czasu pracy.

GIODO stoi na stanowisku, że nie ma wątpliwości, iż taki obowiązek ciąży również na pracodawcy.

Zgodnie z brzmieniem art. 24 ust. 1 u.o.d.o. na obowiązek informacyjny składają się następujące elementy:

● adres siedziby i pełna nazwa administratora danych, a w przypadku gdy administratorem danych jest osoba fizyczna - miejsce jego zamieszkania oraz imię i nazwisko,

● cel zbierania danych, a także (w szczególności) informacje o przewidywanych odbiorcach lub kategoriach odbiorców danych,

● prawo dostępu do treści swoich danych oraz ich poprawiania,

● dobrowolność albo obowiązek podania danych, a jeżeli taki obowiązek istnieje, to wskazanie jego podstawy prawnej.

Pierwszy z ww. elementów jest oczywisty i nie wymaga komentarza. Drugi nakazuje podanie przez administratora danych celu przetwarzania danych. W przypadku kandydata do pracy cel ten moglibyśmy określić np. jako udział w procesie rekrutacyjnym (aktualnym i przyszłych), a w odniesieniu do pracowników można opisać go na co najmniej kilka sposobów np. dopełnienie wymogów zawartych w przepisach prawa pracy i ubezpieczeń społecznych, w celu realizacji umowy o pracę etc. Trzeci element obowiązku informacyjnego jest ważny, ponieważ zawiera informacje umożliwiające skorzystanie z ustawowych uprawnień do kontroli przetwarzania danych przez administratora danych. Uprawnienia te zostały wskazane w art. 32 u.o.d.o. Ostatni z elementów doprecyzowuje, czy podanie danych pracodawcy (potencjalnemu pracodawcy) ma charakter obowiązkowy czy dobrowolny. W tym pierwszym przypadku konieczne jest wskazanie w obowiązku informacyjnym konkretnego przepisu prawa, z którego taki przymus podania danych wynika.

Poniżej przykładowy obowiązek informacyjny dla pracownika, który pracodawca może zamieścić np. w umowie o pracę lub kwestionariuszu osobowym: "Administratorem danych osobowych jest XYZ S.A. z siedzibą w Warszawie przy ul. Kwiecistej 10. Dane osobowe zamieszczane w dokumentach kadrowych (umowa o pracę, kwestionariusz osobowy, oświadczenia wynikające z przepisów prawa) przetwarzane są w celu nawiązania stosunku pracy. Pracownik ma prawo dostępu do treści swoich danych oraz możliwość ich poprawiania. Obowiązek podania danych osobowych wynika z art. 22 ¹ kodeksu pracy".