Jakich danych osobowych można żądać w związku z przeprowadzaniem postępowania rekrutacyjnego

Podstawowym aktem prawnym odnoszącym się do ochrony danych osób fizycznych jest ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2002 r. nr 101, poz. 926 z późn. zm.). Jednocześnie jednak stanowi ona, że jeżeli w systemie prawnym istnieją regulacje, które w sposób bardziej rozbudowany chronią takie dane, to te rozwiązania należy stosować jako pierwsze. Dotyczy to m.in. stosunków pracy, dla których szczególne rozwiązania wynikają z kodeksu pracy. Artykuł 221 ustawy z 26 czerwca 1974 r. - Kodeks pracy (t.j. Dz.U. z 1998 r. nr 21, poz. 94 z późn. zm.) wprost wskazuje, jakich danych pracodawca może żądać, po pierwsze, od osoby ubiegającej się o zatrudnienie, po drugie - od zatrudnionego pracownika. I tak od kandydata do pracy może on żądać podania imienia i nazwiska, imion rodziców, daty urodzenia, adresu zamieszkania, adresu do korespondencji, informacji o wykształceniu oraz o przebiegu dotychczasowego zatrudnienia. Natomiast do osoby, która już jest pracownikiem, pracodawca może zwrócić się o przekazanie dodatkowych danych, np. numeru PESEL, także danych dotyczących innych osób - przede wszystkim rodziny, jeżeli pracownik będzie chciał korzystać ze szczególnych uprawnień przewidzianych w prawie pracy dotyczących opieki nad rodziną czy uzyskiwania dodatkowych dni urlopowych w związku z ważnymi zdarzeniami rodzinnymi.

Tak, również w takich przypadkach. Istotne jest przy tym to, że jeżeli pracownik chce od pracodawcy bądź od ubezpieczycieli żądać pewnych działań przewidzianych w prawie pracy, musi się godzić na to, że dla potwierdzenia swoich uprawnień trzeba podać dodatkowe informacje.

Zbieranie innych danych od pracownika jest natomiast dopuszczalne jedynie po wykazaniu się inną podstawą niż art. 221 k.p. Może być nią np. uzyskanie zgody osoby fizycznej na przetwarzanie jej danych, której wymaga ustawa o ochronie danych osobowych. Jest to bardzo chętnie wykorzystywana przesłanka uprawniająca do przetwarzania, a więc i do pozyskiwania oraz gromadzenia danych, ale w relacjach pracodawca pracownik pojawia się pewien problem. Zgoda na przetwarzanie danych osobowych - zgodnie z ustawą o ochronie danych osobowych - musi być wyrażona dobrowolnie przez prawidłowo poinformowaną osobę. W stosunkach pracowniczych nie ma pewności, czy zawsze można mówić o dobrowolności. Z kilku orzeczeń sądowych wynika, że sądy z dużą ostrożnością podchodzą do stwierdzenia, że pracownik dobrowolnie udzielił zgody na zbieranie o nim dodatkowych informacji. Często trudno jest bowiem mówić o równości dwóch podmiotów, jakimi są pracodawca i pracownik, bo kandydat do pracy jest skłonny zgodzić się na wiele, żeby ją uzyskać, a z kolei pracownik - żeby utrzymać pracę, awansować albo zachować dobre stosunki z pracodawcą.

Sądy zwracały uwagę, że nie ma w tych relacjach równowagi stron, a o zgodzie dobrowolnej można mówić tylko wtedy, gdy taka równowaga istnieje. Ten sam problem występuje w prawie pracy innych państw członkowskich UE i niekiedy prowadzi wręcz do nieuznawania zgody za właściwą podstawę prawną w stosunkach pracowniczych.

Podam przykład wynikający z działań GIODO. Byliśmy w sporze z kilkoma podmiotami, które stosowały biometryczne metody badania czasu pracy, powołując się na uzyskaną na to zgodę pracowników. Sprawę rozpatrywał Naczelny Sąd Administracyjny, który zgodził się z naszym stanowiskiem, że w takim przypadku trudno mówić o dobrowolnej zgodzie - do jej wyrażenia pracownicy mogli zostać przymuszeni.

Co prawda, biometria sama w sobie nie jest zakazana, ale w przepisach prawa pracy nie ma uregulowań, które uprawniają pracodawców do jej stosowania.

Biometryczne metody identyfikacji są natomiast dopuszczalne, a nawet wskazane, gdy wymagają tego szczególne względy bezpieczeństwa, np. wobec pracowników zatrudnionych przy materiałach wybuchowych, łatwopalnych, w pomieszczeniach, gdzie znajdują się przedmioty radioaktywne, pieniądze albo takie informacje jak know-how czy pewne tajemnice handlowe przedsiębiorstwa. Przy czym tego typu identyfikacja powinna dotyczyć nie tylko pracowników, lecz także wszystkich osób, które przebywają w danym pomieszczeniu. I każdą z tych osób można zobowiązać do stosowania metody biometrycznej. Jednak podstawą do tego na pewno nie jest kodeks pracy. Wspomniany art. 221 k.p. tego nie dopuszcza. To oznacza, że powody wynikające z prawa pracy, np. badanie czasu pracy, nie uzasadniają wprowadzenia takich rozwiązań.

I jednocześnie pamiętać, że to, co pracodawca może robić na podstawie kodeksu pracy, jest wyraźnie określone w art. 221 k.p. W innych przypadkach podstawy uprawniającej do zastosowania określonych rozwiązań musi szukać w innych aktach prawnych.

Nie. Regulacje odnoszące się do stosunku pracy dotyczą tylko stosunków nawiązanych na podstawie umowy o pracę, wyboru czy mianowania. Nie będą zaś dotyczyły umowy-zlecenia ani innych umów cywilnych, nawet umowy menedżerskiej, która jest szczególną umową cywilnoprawną zawieraną z konkretną osobą bądź z przedsiębiorcą.

Wśród zasad dotyczących ochrony danych osobowych gromadzonych na podstawie prawa pracy jest niewiele wspólnych reguł dla ochrony danych osób, z którymi pracodawcę łączą umowy cywilnoprawne. Do takich należy zwolnienie zbioru danych od jego rejestracji u GIODO.

Może, ale musi to być jego inicjatywa, a nieprzekazanie takich informacji nie może wpływać negatywnie na sytuację pracownika.

Pracownik lub kandydat do pracy może chcieć się pochwalić swoimi umiejętnościami i to jest częste w listach motywacyjnych, życiorysach. Jest tam wiele informacji wykraczających poza zakres określony w art. 221 k.p. Przepis ten np. pozwala pracodawcy na zbieranie informacji o przebiegu zatrudnienia. Do tej kategorii nie zalicza się praca społeczna wykonywana np. na rzecz organizacji pozarządowych. Kandydaci do pracy nierzadko natomiast informują, że są np. wolontariuszami. Tego kodeks pracy nie przewiduje, ale jeśli kandydat takie dane przekazuje z własnej woli, trudno powiedzieć, że pracodawca uzyskuje je nielegalnie. Z drugiej strony ich wymaganie od kandydata będzie naruszeniem ustawy o ochronie danych osobowych.

Każda informacja, którą można kojarzyć z konkretną osobą fizyczną, jest uznawana za dane osobowe i podlega ochronie.

Jednak w CV i listach motywacyjnych pojawią się też inne informacje, np. o posiadaniu prawa jazdy kategorii B. Wówczas klauzula o wyrażeniu zgody na przetwarzanie danych stanowi dla pracodawcy potwierdzenie, że uzyskał je zgodnie z prawem.

Może, ale w takim zakresie, w jakim jest to niezbędne dla działania jego firmy i w jakim te adresy czy numery telefonów zostały im udostępnione przez pracodawcę. Jeżeli np. pracodawca podaje, że w jego przedsiębiorstwie reklamacje są przyjmowane pod określonym adresem i numerem telefonu, który został przez niego przydzielony np. pani Kowalskiej, to pracodawca może nim dysponować i podawać go na zewnątrz. Zalecamy, aby tego typu kontakt z firmą miał jak najbardziej anonimową formę - np. w brzmieniu: reklamacje@firma, ale też zdajemy sobie sprawę, że czasami z punktu widzenia interesów firmy może być istotne, czy złożenie reklamacji albo zgłoszenie do punktu serwisowego ma konkretnego adresata.

Nie są, jeśli zostały dostarczone przez pracodawcę, ale od razu dodam, że pracodawca ma obowiązek poszanowania prywatności pracownika, korzystającego z firmowego telefonu czy e-maila. Nie może podsłuchiwać jego rozmów ani co chwila sprawdzać poczty elektronicznej. Jeśli jednak pracodawca, który przecież dostarczył pracownikowi narzędzia pracy w postaci telefonu lub komputera, przewiduje prowadzenie takiej kontroli, to pracownik musi być wcześniej o tym poinformowany i znać zasady, na jakich będzie się ona odbywać.

Czy imię i nazwisko są danymi osobowymi? Nie ma jednej prawidłowej odpowiedzi na to pytanie. Jeżeli ktoś nazywa się Jan Kowalski, to jego imię i nazwisko nie stanowi danych, które wyraźnie identyfikują konkretną osobę. Natomiast kiedy ja podaję nie tylko swoje pierwsze imię, ale także drugie imię i nazwisko - Wojciech Rafał Wiewórowski - to wiadomo, że odnoszą się tylko do jednej osoby. Doradzamy zatem pracodawcom, aby jeśli to nie jest konieczne, nie ujawniali na swoich stronach internetowych adresów mailowych, które zawierają imiona i nazwiska. Należy też pamiętać o zawartej w ustawie o ochronie danych osobowych zasadzie adekwatności użycia danych do celu, jaki ma być osiągnięty. Pracodawca powinien sam decydować, czy w kontaktach z przedsiębiorstwem konieczne jest publiczne podawanie imion i nazwisk pracowników. Zachęcam także pracowników, aby pytali pracodawców, czy na stronie internetowej muszą znajdować się ich nazwiska.

Pracodawca musi zastanowić się, na ile jest konieczne podanie takich informacji. Taki problem mają np. instytucje oświatowe. Czy to, że jedna z nauczycielek jest wychowawczynią klasy Ia, jest daną, którą należy podać wszystkim do publicznej wiadomości? Czy to jest informacja dla rodziców dzieci z innych klas?

To regulują szczegółowe przepisy. Generalna zasada jest taka, że żadne dane nie mogą być przechowywane dłużej niż są potrzebne dla zrealizowania celu, dla którego zostały zebrane. Niektóre dane pracodawca musi przechowywać przez wiele lat, a później przekazać do archiwów. W innych przypadkach pracodawca powinien zadać sobie pytanie, czy zbiór informacji o pracowniku jest mu wciąż przydatny. Jeśli nie, powinien być usuwany.

Przede wszystkim zaktualizować je.

Z kontroli GIODO wynika, że uaktualnienia wymagają np. upoważnienia wydawane pracownikom, których uprawniono do przetwarzania danych osobowych. Bardzo często upoważnienia te posiadają osoby, które już nie pracują w danym przedsiębiorstwie, bo o tym po prostu zapomniano. Poza tym trzeba ustalić, na kiedy określone dane są aktualne. Jeśli jakieś informacje muszą znajdować się w zbiorach pracodawcy po ustaniu zatrudnienia konkretnej osoby, należy zaktualizować je najpóźniej na dzień rozwiązania umowy o pracę.

Wystarczy. Nigdy nie wiadomo, kiedy ktoś do tych informacji będzie musiał zajrzeć, a przecież były pracownik mógł zmienić miejsce zamieszkania, numer telefonu, nazwisko.

@RY1@i02/2011/204/i02.2011.204.217000300.802.jpg@RY2@

Wojciech Górski

dr Wojciech Rafał Wiewiórowski, eneralny inspektor ochrony danych osobowych

Rozmawiała: Iwona Jackowska