O to pytają administratorzy

Niekoniecznie. Zanim to zrobi, powinien w pierwszej kolejności ustalić, na jakiej podstawie monitoring wizyjny jest stosowany. Czy wynika to z obowiązku prawnego ciążącego na pracodawcy, czy jest jedynie wynikiem jego decyzji podjętej w jednym z celów wskazanych w kodeksie pracy, a więc w szczególności w celu zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Jeżeli stosowanie monitoringu wynika z obowiązku prawnego ustalonego na podstawie odrębnych przepisów, nie stosuje się wymogów wynikających z kodeksu pracy, w tym obowiązku wprowadzenia regulacji dotyczących monitoringu do regulaminu pracy lub układu zbiorowego. Przykładem takich odrębnych przepisów są przepisy, które nakładają na określone podmioty (np. z sektora bankowego) obowiązki w zakresie ochrony osób i mienia. Jednym ze środków zapewniających ochronę może być monitoring wizyjny. W takim przypadku podstawą jego stosowania jest obowiązek prawny ciążący na pracodawcy, a nie przepisy kodeksu pracy. W związku z tym do stosowania monitoringu nie jest konieczne wprowadzenie zmian do regulaminu pracy lub układu zbiorowego. Jeżeli natomiast podstawą stosowania monitoringu są przepisy kodeksu pracy i prawnie uzasadniony cel administratora danych (określony w tych przepisach), wszystkie przewidziane tam wymogi należy stosować, a więc w szczególności wprowadzić odpowiednie regulacje do regulaminu lub układu.

Czy w świetle celów wymienionych w kodeksie pracy monitoring wizyjny może być wykorzystywany do kontroli tego, czy dany pracownik pojawił się w pracy?

Zgodnie z przepisami kodeksu pracy monitoring wizyjny, o czym już wspominaliśmy, może służyć zapewnieniu bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Jeżeli ustalenie, czy pracownik pojawił się w pracy, jest niezbędne dla realizacji któregoś z wymienionych tutaj celów, to tak – można stosować monitoring wizyjny również w tym zakresie. Przykładowo zweryfikowanie za pomocą monitoringu, czy dany pracownik stawił się w pracy bądź czy nie opuszczał miejsca pracy, może w określonych okolicznościach być niezbędne do realizacji celu w postaci zapewnienia bezpieczeństwa pracowników lub ochrony mienia i mieścić się w zakresie tego celu. Wymaga to jednak indywidualnego podejścia i zbadania w każdym przypadku, czy rzeczywiście jest to niezbędne.

Kontrole zapowiadane są również co do przetwarzania danych w związku z rekrutacją. Jak długo pracodawca może przechowywać i przetwarzać dane osobowe znajdujące się w dokumentach rekrutacyjnych osób biorących udział w rekrutacji na konkretne stanowisko?

Prezes Urzędu Ochrony Danych Osobowych stoi na stanowisku, że co do zasady pracodawca powinien trwale usunąć dane osobowe kandydata, z którym nie zdecydował się zawrzeć umowy o pracę, niezwłocznie po zakończeniu procesu rekrutacji. Wyjątki od tej reguły powinny być szczególnie uzasadnione. Co do zasady pracodawca nie będzie więc uprawniony do przetwarzania danych kandydatów do pracy po zakończeniu procesu rekrutacji.

Ministerstwo Cyfryzacji w objaśnieniach z 23 stycznia 2019 r. wskazuje jednak, że po zakończonej rekrutacji pracodawca ma prawo przechowywać dokumentację zawierającą dane osobowe niezatrudnionych osób w celu obrony przed potencjalnymi roszczeniami (np. z tytułu dyskryminacji w procesie rekrutacji). Aby odpowiednio określić okres przechowywania takich danych, pracodawca powinien uprzednio przeprowadzić ocenę ryzyka opierającą się na jego dotychczasowych doświadczeniach w zakresie pojawiających się roszczeń.

Uważamy, że są podstawy do tego, aby przechowywać dokumenty rekrutacyjne po zakończeniu procesu rekrutacji. Takie działanie może być uznane za wykonywanie obowiązku prawnego wynikającego z art. 94 pkt 2b kodeksu pracy, zgodnie z którym pracodawca jest obowiązany przeciwdziałać dyskryminacji w zatrudnieniu. „Przeciwdziałanie” należy w tym przypadku rozumieć nie tylko jako powstrzymywanie się od działań dyskryminujących, ale również jako podejmowanie działań zmierzających do wyeliminowania ryzyka dyskryminacji. W pojęciu tym mieści się w szczególności umożliwienie przeprowadzenia skutecznej kontroli sądowej procesu rekrutacyjnego zakwestionowanego przez kandydata, który nie został zatrudniony. Kandydat, zarzucając pracodawcy dyskryminację, musi wskazać kryterium tej dyskryminacji. W tym celu powinien mieć możliwość uzyskania od pracodawcy odpowiedzi na pytania dotyczące przebiegu postępowania rekrutacyjnego. Z kolei pracodawca, aby mógł rzetelnie odpowiedzieć na takie pytania, musi mieć dostęp do dokumentów rekrutacyjnych. Co więcej, w takim procesie pracodawca musi wykazać obiektywne przyczyny, którymi kierował się, podejmując decyzję odmowną – do tego również niezbędne są wspomniane dokumenty.

Formą przeciwdziałania dyskryminacji może być także kontrola jakości pracy osób odpowiedzialnych za rekrutacje. W tym celu pracodawca powinien mieć możliwość wyrywkowego sprawdzenia przebiegu postępowania rekrutacyjnego, a w szczególności weryfikacji, czy kandydatom zadane zostały analogiczne zestawy pytań, czy właściwie zostały ocenione testy itd. A dokonanie takich czynności sprawdzających nie jest możliwe bez dokumentów aplikacyjnych złożonych przez kandydatów (patrz ramka: Uwaga na objaśnienia prawne Ministerstwa Cyfryzacji).

Wielu pracodawców korzysta z elektronicznych baz kandydatów. W jaki sposób postępować z dokumentacją gromadzoną w takich bazach?

Odpowiedź na to pytanie zależy w szczególności od tego, czy mamy do czynienia z własnymi bazami danych administratora czy z bazami danych zewnętrznych podmiotów (serwisów rekrutacyjnych) zajmujących się publikowaniem ofert zatrudnienia, a następnie gromadzeniem dokumentów rekrutacyjnych osób ubiegających się o zatrudnienie. W pierwszym przypadku pracodawca prowadzący bazę powinien zadbać o jasne i czytelne wyodrębnienie poszczególnych pozycji oraz zapewnienie możliwości bieżącego śledzenia przewidywanego okresu retencji danych dla konkretnych pozycji w bazie. Kontrolujący są uprawnieni do przeprowadzenia oględzin systemów informatycznych, a co za tym idzie do zweryfikowania poprawności przechowywania dokumentacji rekrutacyjnej (w tym okresu jej przechowywania). W przypadku korzystania z elektronicznych baz danych podmiotów zewnętrznych warto odebrać od takiego podmiotu stosowne oświadczenie o zobowiązaniu do usunięcia danych kandydatów po upływie okresu retencji danych. Ponadto pracodawcy powinni mieć zawarte umowy powierzenia przetwarzania danych w przypadku zlecenia rekrutacji na zewnątrz. Bezwzględnie należy uporządkować zawartość dotychczas zgromadzonych baz danych kandydatów – zarówno tych, które znajdują się we własnych zasobach, jak i prowadzonych i przechowywanych na zlecenie.

Niezależnie od powyższego pracodawcy powinni również zwrócić uwagę na sposób postępowania z dokumentacją prowadzoną w formie papierowej. W celu zweryfikowania, czy sposób prowadzenia tej dokumentacji jest zgodny z przepisami dotyczącymi ochrony danych osobowych, zalecane jest przeprowadzenie wewnętrznego audytu – aby uniknąć sytuacji, kiedy w dziale kadr są przechowywane dokumenty rekrutacyjne sprzed kilku lat.

Jakie kwestie mogą być weryfikowane przez kontrolujących w ramach prowadzenia kontroli w obszarze telemarketingu?

Plan kontroli został w tym zakresie sformułowany bardzo ogólnie, a zatem badane aspekty mogą być bardzo różne. Wydaje się jednak, że w czasie kontroli weryfikacji podlegać może legalność dysponowania bazą danych oraz posiadanie odpowiednich zgód marketingowych wynikających z ustawy o świadczeniu usług drogą elektroniczną. Kontrolujący mogą również weryfikować dopełnienie obowiązku informacyjnego czy sposób wykonywania praw przysługujących podmiotom danych (w szczególności prawa do sprzeciwu).

A kiedy będziemy mieli do czynienia z profilowaniem? Na co powinni zwrócić uwagę przedsiębiorcy z sektora bankowego i ubezpieczeniowego?

Profilowanie oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej. Przykładowo dane mogą być wykorzystywane do analizy lub prognozy efektów pracy osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, lokalizacji lub przemieszczania się.

W przypadku przedsiębiorców z sektora bankowego profilowanie może mieć miejsce przy analizie zdolności kredytowej czy doboru oferty produktów inwestycyjnych. W przypadku firm ubezpieczeniowych profilowanie może dotyczyć oceny analizy stopnia ryzyka ubezpieczeniowego. W jego efekcie może dojść do zautomatyzowanego podjęcia decyzji dotyczącej danej osoby (np. o odmowie przyznania kredytu) albo do przeanalizowania czy dokonania prognozy co do osobistych preferencji takiej osoby. W przypadku sektora ubezpieczeniowego poddanie się profilowaniu może wpłynąć np. na wysokość składki.

Profilowanie co do zasady jest dozwolone, ale może rodzić konieczność spełnienia szczególnych przesłanek – wówczas gdy jest podstawą do podejmowania decyzji – opartej na zautomatyzowanym przetwarzaniu w postaci profilowania – wobec konkretnej osoby. W pozostałych przypadkach profilowania podejmowanego środkami tradycyjnymi podlega ono ogólnym zasadom wynikającym z RODO. Wówczas istnieje jednak ograniczenie w postaci zakazu podejmowania automatycznych decyzji wobec osób, których dane dotyczą, opartych wyłącznie na przetwarzaniu tych danych.

Uwaga na objaśnienia prawne Ministerstwa Cyfryzacji

Resort wydał objaśnienia prawne dotyczące ochrony danych osobowych w procesach rekrutacyjnych. To nowy (wprowadzony przez Konstytucję biznesu), niezwykle cenny instrument gwarantujący tym, którzy się do nich zastosują, uniknięcie kary.

Ale wszystko wskazuje na to, że nie w przypadku kontroli UODO, bo urząd ten nie we wszystkich sprawach zgadza się z MC. I w spornych kwestiach tłumaczenie, że przedsiębiorca zastosował się do wytycznych resortu, nie zagwarantuje 100-proc. ochrony.