Prawo pracy a RODO

Prawo pracy a Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), tzw. RODO.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), tzw. RODO będzie miało swoje bezpośrednie przełożenie również na przepisy z zakresu prawa pracy.

W pierwszej kolejności należy wskazać na przepisy samego rozporządzenia, które będą miały zastosowanie z punktu widzenia stosowania przepisów prawa pracy. Zgodnie z motywem 2 rozporządzenia zasady i przepisy dotyczące ochrony osób fizycznych w związku z przetwarzaniem ich danych osobowych nie mogą – niezależnie od obywatelstwa czy miejsca zamieszkania takich osób – naruszać ich podstawowych praw i wolności, w szczególności prawa do ochrony danych osobowych.

Motyw 155 RODO wskazuje także, że w prawie państwa członkowskiego lub w porozumieniach zbiorowych, w tym zakładowych porozumieniach z przedstawicielami pracowników, mogą być przewidziane przepisy szczegółowe o przetwarzaniu danych osobowych pracowników w związku z zatrudnieniem, w szczególności warunki, na których dane osobowe w związku z zatrudnieniem można przetwarzać za zgodą pracownika do celów procedury rekrutacyjnej, wykonywania umowy o pracę, w tym wykonywania obowiązków określonych w przepisach lub w porozumieniach zbiorowych, zarządzania, planowania i organizacji pracy, równości i różnorodności w miejscu pracy, bezpieczeństwa i higieny pracy oraz do celów indywidualnego lub zbiorowego wykonywania praw i korzystania ze świadczeń związanych z zatrudnieniem, a także do celów zakończenia stosunku pracy. Oznacza to, że o ile RODO nie reguluje pewnych kwestii związanych z przetwarzaniem danych osobowych, powinny one zostać uregulowane w przepisach prawa krajowego. Na gruncie prawa polskiego odpowiednie regulacje powinny zostać wprowadzone przepisami Kodeksu pracy. Jeśli więc w Kodeksie pracy nie zostaną wpisane podstawy przetwarzania danych i jednocześnie nie zostaną zawarte zapisy, że poza podstawami wskazanymi w k.p. dane pracowników można pozyskiwać także na podstawach wskazanych w RODO, to ta druga ewentualność nie będzie możliwa.

Aktualnie w parlamencie trwają pracę nad projektem ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679. Art. 4 projektu ustawy zakłada dokonanie zmian w Kodeksie pracy. W projekcie przewidziano następujące zmiany przepisów KP:

1) dokonuje się zmiany treści art. 22¹ k.p., który będzie miał następujące brzmienie:

Art. 221. §1. Pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:

1)   imię (imiona) i nazwisko;

2)   datę urodzenia;

3)   dane kontaktowe wskazane przez taką osobę;

4)   wykształcenie;

5)   przebieg dotychczasowego zatrudnienia.

2. Pracodawca żąda od pracownika podania dodatkowo danych osobowych obejmujących:

1)   adres zamieszkania;

2)   numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość;

3)   inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy.

3. Pracodawca żąda podania innych danych osobowych niż określone w §1 i 2, gdy jest to niezbędne do wypełniania obowiązku pracodawcy nałożonego przepisem prawa.

4. Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której one dotyczą. Pracodawca może żądać udokumentowania danych osobowych osób, o których mowa w §1 i 2, w zakresie niezbędnym do ich potwierdzenia.

Projektowana zmiana pozbawi pracodawcę przykładowo, na etapie rekrutacji, możliwości żądania od kandydata na pracownika imion rodziców kandydata.

Wskazać należy, że podane przez pracownika dane kontaktowe, czyli numer telefonu oraz adres mailowy, podane na etapie rekrutacji, nie będą uprawniać pracodawcy do przetwarzania ich podczas zatrudnienia. O ile na etapie rekrutacji pracodawca może ich żądać (nie jest wymagana zgoda kandydata), o tyle już na etapie zatrudnienia pracodawca będzie musiał posiadać pisemną zgodę. Jeśli pracownik nie wyrazi zgody na przetwarzanie tych danych, pracodawca będzie zobowiązany je usunąć. Pracownik powinien w tym zakresie udokumentować udzielenie zgody. Będzie to również przydatne z punktu widzenia pracodawcy i obowiązku wykazywalności zrealizowania przepisów RODO.

Dane osobowe udostępnione przez pracownika bądź kandydata, niezależnie czy będą mieściły się katalogu zawartym w przepisach, czy będą poza niego wykraczały, mogą być przetwarzane tylko w zakresie niezbędnym do realizacji stosunku pracy lub przeprowadzenia procesu rekrutacyjnego. Jest to związane z zapisami rozporządzenia dot. m.in. celu przetwarzania danych osobowych. Pracodawca nie jest zatem uprawniony do wykorzystywania danych pracownika do jakichkolwiek innych celów (chyba, że uzyska na to odrębną zgodę pracownika). Za inny cel należy rozumieć chociażby podjęcie działań zmierzających do zapewnienia pracownikowi dodatkowych korzyści związanych ze stosunkiem pracy, np. zagwarantowanie prywatnej opieki medycznej, karty multisport czy innych tego typu przywilejów.

2) po art. 221 dodaje się art. 222 – 225 w brzmieniu:

„Art. 222. §1. Przetwarzanie przez pracodawcę innych danych osobowych niż wymienione w art. 221 §1 i 2 jest dopuszczalne za zgodą osoby ubiegającej się o zatrudnienie lub pracownika i tylko wtedy, gdy jest to dla nich korzystne. 

2. Brak zgody, o której mowa w §1 lub jej wycofanie, nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę.

3. Przetwarzanie, o którym mowa w §1, dotyczy danych osobowych udostępnianych przez osobę ubiegającą się o zatrudnienie lub pracownika na wniosek pracodawcy lub danych osobowych przekazanych pracodawcy z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika.

Art. 223. §1. Przetwarzanie danych osobowych, o których mowa w art. 9 ust. 1 i art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1), zwanego dalej „rozporządzeniem 2016/679”, jest dopuszczalne tylko wtedy, gdy jest to niezbędne do wypełniania obowiązku pracodawcy nałożonego przepisem prawa.

2. Przetwarzanie danych biometrycznych pracownika jest dopuszczalne także wtedy, gdy podanie takich danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę lub dostępu do pomieszczeń wymagających szczególnej ochrony.

Art. 224. §1. Jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pracowników lub ochrony mienia lub kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę, pracodawca może wprowadzić szczególny nadzór nad terenem zakładu pracy lub terenem wokół zakładu pracy w postaci środków technicznych umożliwiających rejestrację obrazu (monitoring). 

2. Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek, palarni lub pomieszczeń udostępnianych zakładowej organizacji związkowej, chyba, że stosowanie monitoringu w tych pomieszczeniach jest niezbędne do realizacji celu określonego § 1 i nie naruszy to godności oraz innych dóbr osobistych pracownika, a także zasady wolności i niezależności związków zawodowych, w szczególności poprzez zastosowanie technik uniemożliwiających rozpoznanie przebywających w tych pomieszczeniach osób.

3. Nagrania obrazu pracodawca przetwarza wyłącznie do celów, dla których zostały zebrane i przechowuje przez okres nieprzekraczający 3 miesięcy.

4. W przypadku, w którym nagrania obrazu stanowią dowód w postępowaniu lub pracodawca powziął wiadomość, iż mogą one stanowić dowód w postępowaniu, termin określony w §3 ulega przedłużeniu do czasu prawomocnego zakończenia postępowania.

5. Po upływie okresów, o których mowa w §3 lub 4, uzyskane w wyniku monitoringu nagrania obrazu, podlegają zniszczeniu.

6. Cele, zakres oraz sposób zastosowania monitoringu ustala się w układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy.

7. Pracodawca informuje pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego pracodawcy, nie później niż 2 tygodnie przed jego uruchomieniem.

8. Pracodawca przed dopuszczeniem pracownika do pracy przekazuje mu na piśmie informacje, o których mowa w § 6.

9. W przypadku wprowadzenia monitoringu pracodawca oznacza pomieszczenia monitorowane w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem.

10. Przepis §9 nie narusza art. 12 i 13 rozporządzenia 2016/679.

Art. 225. §1. Jeżeli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy, pracodawca może wprowadzić kontrolę służbowej poczty elektronicznej pracownika (monitoring poczty elektronicznej).

2. Monitoring poczty elektronicznej nie może naruszać tajemnicy korespondencji oraz innych dóbr osobistych pracownika.

3. Przepis art. 224§6 – 10 stosuje się odpowiednio.

4. Przepisy §1 – 3 stosuje się odpowiednio do innych form monitoringu, jeśli ich zastosowanie jest konieczne do realizacji celów, określonych w §1.”. 

W oparciu o powyższe regulacje, projekt ustawy umożliwia pozyskiwanie danych za zgodą pracownika (lub kandydata do zatrudnienia), ale szerzej określa wyjątki od tej reguły. Informacje m.in. o pochodzeniu etnicznym lub rasowym, poglądach politycznych, przekonaniach religijnych lub światopoglądowych, przynależności do związków zawodowych, zdrowiu, seksualności i orientacji seksualnej oraz wyrokach skazujących i naruszeniach prawa będą możliwe do otrzymania od pracownika jedynie w przypadku, gdy jest to konieczne do wykonania przez pracodawcę obowiązku wynikającego z przepisów.

Należy także wskazać, że możliwe będzie pozyskiwanie tych informacji, które są dla pracownika korzystne. Przedstawienie przez pracownika szeregu informacji, które są korzystne z punktu widzenia możliwości awansu zawodowego, a które nie są wprost wymagane przez pracodawcę, będzie dopuszczalne na gruncie znowelizowanych przepisów. Jako przykład można wskazać bądź szczególne osobiste predyspozycje pracownika (np. umiejętność szybkiego przyswajania informacji bądź szczególne zdolności językowe), bądź też inne umiejętności, które nie są wprost wymagane przez pracodawcę, ale dają pracownikowi szansę na przyspieszoną ścieżkę awansu zawodowego (np. posiadanie konkretnych kategorii prawa jazdy).

W nowelizacji przewidziano ponadto, że odmowa udzielenia przez pracownika poszczególnych informacji, danych, których żąda pracodawca bądź potencjalny pracodawca, nie może wiązać się z wyciąganiem wobec pracownika negatywnych konsekwencji, np. poprzez odmowę zatrudnienia.

Problematyka kolejnych zmian dokonywanych w prawie pracy pod kątem RODO zostanie omówiona w następnych wpisach na blogu.