Gromadzenie skanów dowodów osobistych stanowi naruszenie ochrony danych osobowych

Nie, ponieważ dowód osobisty zawiera szerszy zakres danych niż ten, do gromadzenia którego uprawniony jest pracodawca.

Kopiowanie dokumentów jest czynnością techniczną, która ze swojej istoty nie jest zakazana przepisami ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2002 r. nr 101, poz. 926 z późn. zm.). Z punktu widzenia tej ustawy istotne jest jednak, aby podmiot, który czynności tej dokonuje, legitymował się jedną z przesłanek legalności przetwarzania, w tym gromadzenia danych osobowych (art. 23 ust. 1 ustawy). Kopiowanie dokumentów nie może prowadzić do gromadzenia danych w szerszym zakresie, niż jest to konieczne dla realizacji celu, w jakim dane są przetwarzane (art. 26 ust. 1 pkt 3 ustawy). Powyższe stanowisko potwierdził Naczelny Sąd Administracyjny, który w wyroku z 19 grudnia 2001 r. (II SA 2869/00, ONSA 2003/1/29) uznał, iż gromadzenie danych osobowych przez wykonanie kopii dokumentu zawierającego te dane jest kwestią techniczną, obojętną dla pracodawcy reglamentującego w ustawie o ochronie danych osobowych przetwarzanie tego rodzaju danych. Inaczej mówiąc, posługiwanie się taką czy inną techniką utrwalania danych (kopiowanie lub przepisywanie), nie przesądza samo przez się o legalności bądź nielegalności takiego utrwalania (przetwarzania).

Dla oceny legalności przetwarzania danych osobowych istotne znaczenie mają przede wszystkim: podstawa prawna przetwarzania danych, jego rodzaj i granice. Analogiczne stanowisko zajął Naczelny Sąd Administracyjny w wyroku z 7 listopada 2003 r. (II SA 1432/02, niepublikowany) stanowiącym, iż ustawa o ochronie danych osobowych nie zajmuje się określaniem techniki gromadzenia danych osobowych, lecz zakresem ich przetwarzania.

Zatem z punktu widzenia przepisów ustawy o ochronie danych osobowych istotny jest nie fakt kopiowania dokumentów, lecz to, aby czynność gromadzenia danych znajdowała podstawę w jednej z ustawowych legalizujących ją przesłanek oraz aby nie prowadziła do pozyskania danych w szerszym zakresie, niż jest to konieczne dla celu, w jakim dane są zbierane.

Podstawę przetwarzania przez pracodawcę danych osobowych pracowników oraz kandydatów do pracy stanowi przepis art. 22¹ par. 1 k.p. określający zakres danych osobowych kandydata do pracy, jakie pracodawca może gromadzić w związku z procesem rekrutacji.

Przepis ten stanowi, iż pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących imię (imiona) i nazwisko, imiona rodziców, datę urodzenia, miejsce zamieszkania, adres do korespondencji, wykształcenie oraz przebieg dotychczasowego zatrudnienia. W myśl art. 22¹ par. 2 k.p. pracodawca ma prawo żądać od pracownika podania, niezależnie od danych osobowych, o których mowa powyżej, również innych danych osobowych pracownika, a także imion i nazwisko oraz dat urodzenia dzieci pracownika, jeżeli podanie takich dat jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy, oraz numeru PESEL.

Jednocześnie z przepisów tych wynika, że poza danymi wymienionymi w art. 22¹ k.p. pracodawca ma prawo żądać przekazania tylko tych danych osobowych, których obowiązek podania wynika z odrębnych przepisów.