Ewidencja czasu pracy wchodzi w zakres danych osobowych

Artykuł 2 lit. a dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób, że ewidencja czasu pracy, zawierająca godziny rozpoczęcia i zakończenia pracy, jak również przerwy lub odpoczynek każdego pracownika, wchodzi w zakres pojęcia danych osobowych w rozumieniu tego przepisu.

Artykuł 6 ust. 1 lit. b i c oraz art. 7 lit. c i e dyrektywy 95/46 należy interpretować w ten sposób, że nie stoją one na przeszkodzie uregulowaniu krajowemu, które nakłada na pracodawcę obowiązek udostępnienia krajowemu organowi właściwemu w sprawach nadzoru nad warunkami pracy ewidencji czasu pracy w sposób umożliwiający natychmiastowy wgląd do tej ewidencji, o ile obowiązek ten jest konieczny dla potrzeb sprawowania przez ten organ nadzoru nad stosowaniem przepisów dotyczących warunków pracy, w szczególności z zakresu czasu pracy.

Sprawa dotyczyła sporu pomiędzy portugalskim zakładem pracy a tamtejszym Urzędem ds. Warunków Pracy (dalej: urząd), który 9 marca 2010 r. przeprowadził kontrolę w tym zakładzie. Protokół pokontrolny stwierdzał, że:

współka zatrudniała czterech pracowników w systemie zmianowym;

wewidencja czasu pracy, w której powinny być rejestrowane dzienne okresy czasu pracy, dzienne i tygodniowe przerwy w pracy, jak również obliczenie dziennego i tygodniowego czasu pracy pracowników, nie była dostępna do natychmiastowego wglądu;

wpracownicy rejestrowali swój czas pracy poprzez przesunięcie karty magnetycznej przez czytnik znajdujący się w pomieszczeniach sklepu położonego obok tego zakładu;

wwgląd do tej ewidencji nie tylko nie był dostępny dla żadnego pracownika, ale ponadto był zastrzeżony dla osoby, która miała do niego dostęp informatyczny, to jest dla regionalnego zarządcy zakładu, który był nieobecny w zakładzie - w takiej sytuacji informacje zawarte w ewidencji mogła przedstawić wyłącznie centralna komórka zakładu ds. zasobów ludzkich.

Po wezwaniu urzędu kontrolowany pracodawca 15 marca 2010 r. przekazał do wglądu ewidencję czasu pracy. W decyzji z 14 marca 2012 r. urząd uznał, że zatrudniający dopuścił się poważnego wykroczenia z zakresu prawa pracy, gdyż naruszył przepisy dotyczące ewidencji czasu pracy zawarte w art. 202 ust. 1 portugalskiego kodeksu pracy.

Naruszenie polegało na uniemożliwieniu inspektorowi natychmiastowego wglądu do ewidencji czasu pracy pracowników zatrudnionych w tym zakładzie. Zdaniem inspekcji wykroczenie to było poważne, gdyż ewidencja pozwala na bezpośrednie i szybkie ustalenie, czy działalność zakładu jest prowadzona zgodnie z przepisami regulującymi czas pracy.

W konsekwencji na pracodawcę została nałożona grzywna w wysokości 2000 euro. Ukarany wniósł skargę do sądu pracy o stwierdzenie nieważności tej decyzji. Po zbadaniu okoliczności sąd pracy skierował do Europejskiego Trybunału Sprawiedliwości następujące pytanie: czy art. 2 dyrektywy 95/46 powinien być interpretowany w ten sposób, że ewidencja czasu pracy (czyli rejestr wskazujący w odniesieniu do każdego pracownika godziny rozpoczęcia i zakończenia pracy, jak również przerwy lub okresy spoczynku, które nie są wliczane do czasu pracy) wchodzi w zakres pojęcia danych osobowych?

Trybunał luksemburski orzekł, że dane zawarte w ewidencji czasu pracy, która zawiera dzienne okresy pracy i okresy odpoczynku każdego pracownika, są danymi osobowymi w rozumieniu art. 2 lit. a dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, s. 31), ponieważ mamy tutaj do czynienia z "informacjami dotyczącymi zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej". Gromadzenie, rejestracja, porządkowanie, przechowywanie, konsultowanie, wykorzystywanie takich danych przez pracodawcę lub ich przekazywanie organom krajowym właściwym w sprawach nadzoru nad warunkami pracy jest zatem przetwarzaniem danych osobowych w rozumieniu art. 2 lit. b tej dyrektywy.

Trybunał wyjaśnił także, że zgodnie z art. 17 ust. 1 dyrektywy 95/46, dotyczącym bezpieczeństwa przetwarzania danych państwa członkowskie powinny zapewnić, by administrator danych wprowadził odpowiednie środki techniczne i organizacyjne, które zagwarantują poziom bezpieczeństwa odpowiedni do zagrożeń wynikających z przetwarzania oraz charakteru danych objętych ochroną. Trybunał podkreślił jednak, że ten sam artykuł nie nakłada na państwa członkowskie - chyba że mają one status administratora danych - obowiązku wprowadzania takich środków technicznych i organizacyjnych, który to obowiązek ciąży wyłącznie na administratorze danych (czyli w omawianej sprawie na pracodawcy). Przepis ten obliguje jednak państwa członkowskie do wprowadzenia w ich prawie krajowym uregulowań ustanawiających taki obowiązek.

Kontrolowany pracodawca podniósł, że obowiązek udostępnienia ewidencji czasu pracy w celu umożliwienia natychmiastowego do niej wglądu, przewidzianego w art. 202 ust. 1 portugalskiego kodeksu pracy, jest w praktyce niezgodny z obowiązkiem wprowadzenia właściwego systemu ochrony danych osobowych zawartych w tym rejestrze. Trybunał wyjaśnił jednak, że obowiązek natychmiastowego udzielenia inspektorowi dostępu do danych zawartych w ewidencji w żaden sposób nie oznacza, że wyłącznie z tego powodu dane te powinny koniecznie stać się dostępne dla osób do tego nieupoważnionych. Jednocześnie trybunał wyjaśnił, że ciążący na pracodawcy obowiązek udzielenia krajowemu organowi natychmiastowego dostępu do ewidencji czasu pracy może się okazać konieczny, jeżeli przyczynia się do skuteczniejszego stosowania przepisów z zakresu warunków pracy. Umożliwienie przez pracodawcę natychmiastowego wglądu do ewidencji czasu pracy może wyeliminować wszelką możliwość zmiany danych w okresie między kontrolą na miejscu przeprowadzaną przez właściwe organy krajowe a rzeczywistą kontrolą tych danych przez te organy.

Pracodawca twierdził jednak, że obowiązek ten jest nadmierny, ponieważ za bardzo ingeruje w prywatne życie pracowników. Z jednej strony bowiem ewidencja czasu pracy ma na celu udostępnienie pracownikom narzędzia dowodowego w celu weryfikacji czasu rzeczywiście przepracowanego. Z drugiej strony ewidencja ta pozwala na ocenę przeciętnego czasu rzeczywiście przepracowanego w celu w szczególności skontrolowania odstępstw od harmonogramów czasu pracy. Zdaniem zatrudniającego natychmiastowa dostępność tych rejestrów nie przynosi w tym aspekcie żadnej wartości dodanej.

Trybunał, odsyłając sprawę do sądu pytającego, wskazał, aby ustalił on, czy ciążący na pracodawcy obowiązek udzielenia dostępu krajowemu organowi dostępu do ewidencji czasu może zostać uznany za konieczny dla potrzeb wykonywania przez ten organ jego zadań nadzorczych i wpływających na skuteczniejsze stosowanie przepisów dotyczących warunków pracy. W sytuacji gdyby obowiązek taki został uznany za konieczny dla potrzeb osiągnięcia tego celu, kary nakładane na pracodawcę powinny być zgodne z zasadą proporcjonalności.

Wyrok w sprawie C-342/12, Worten - Equipamentos para o Lar SA przeciwko Autoridade para as Condiçoes de Trabalho (ACT)

Oprac. Katarzyna Dąbrowska

KOMENTARZ EKSPERTA

@RY1@i02/2013/118/i02.2013.118.217001200.802.jpg@RY2@

Sławomir Paruch radca prawny i partner z kancelarii Raczkowski i Wspólnicy

Definicja danych osobowych w polskiej ustawie z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2002 r. nr 101, poz. 926 z późn. zm.) jest identyczna jak w dyrektywie PE i Rady 95/46/WE, do której odnosi się komentowane orzeczenie. Za dane osobowe uznaje się "wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej". W tym znaczeniu danymi osobowymi są w szczególności informacje zawarte w ewidencji czasu pracy, skoro możliwe jest na ich podstawie zidentyfikowanie osoby, której dotyczą. W tym zakresie polska regulacja jest spójna z prawem unijnym oraz z poglądem wyrażonym przez trybunał.

Odnosząc się zaś do kwestii udostępniania tych danych - pracodawca ma prawo ich udostępniania w szczególności wówczas, gdy jest to niezbędne dla spełnienia obowiązku wynikającego z przepisu prawa. Obowiązek taki wynika z przepisów ustawy z 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy (t.j. Dz.U. z 2012 r. poz. 404 z późn. zm.). Inspekcja prowadzi m.in. kontrolę przestrzegania przepisów dotyczących czasu pracy. W celu dokonania kontroli inspektor pracy może żądać przedłożenia wszelkich dokumentów związanych z wykonywaniem pracy przez pracowników, a więc w szczególności kart ewidencji czasu pracy (do których prowadzenia pracodawca jest zobowiązany na mocy art. 149 par. 1 kodeksu pracy oraz przepisów wykonawczych). Udostępnianie danych osobowych pracowników zawartych w ewidencji czasu pracy jest zatem dopuszczalne i uzasadnione na potrzeby kontroli prowadzonej przez Państwową Inspekcję Pracy. Pracodawca ma obowiązek zapewnić inspektorowi pracy warunki i środki niezbędne do sprawnego przeprowadzenia kontroli, a w szczególności niezwłocznie przedstawić żądane dokumenty i materiały. Należy zwrócić szczególną uwagę na obowiązek niezwłocznego udostępnienia tych dokumentów (co ma na celu w szczególności zapewnić skuteczność kontroli i wyeliminować fałszowanie dokumentacji przez pracodawcę). Odnosząc się zatem do rozważań zawartych w uzasadnieniu komentowanego orzeczenia (dotyczących tego, w jakim czasie dokumenty zawierające ewidencję czasu pracy mają być udostępnione oraz jak to się ma do wymogu zabezpieczenia tych dokumentów przed dostępem osób niepowołanych), należy uznać, że ewidencja czasu pracy powinna być prowadzona w taki sposób, aby był możliwy szybki do niej dostęp, co nie uchybia w żaden sposób obowiązkowi zachowania wymogów dotyczących zabezpieczenia danych osobowych przed ich udostępnieniem osobom nieupoważnionym.