Dziś, co do zasady, jest ona uznawana za niedopuszczalną. Zmieni się to dopiero pod rządami nowej ustawy i RODO. Ale wątpliwości i tak nie znikną, a wręcz może być tak, że pojawią się nowe.
Dziś drugi z cyklu artykułów przygotowywanych we współpracy z kancelarią Raczkowski Paruch, w których szczegółowo omawiamy zagadnienia związane z ochroną danych pracowników i kandydatów do pracy. Pierwszy ukazał się 12 października („Monitorowanie pracowników. Co można dziś i co przyniesie jutro” – DGP nr 198/2017).
Cykl jest inspirowany licznymi zmianami w tym obszarze prawa (projektowanymi i już przyjętymi). Już od 25 maja 2018 r. w państwach członkowskich UE, a tym samym również w Polsce, będzie bowiem stosowane ogólne rozporządzenie o ochronie danych osobowych (RODO). A to wymusza dostosowanie do niego polskich regulacji, co ma nastąpić na mocy ustawy o ochronie danych osobowych oraz ustawy zawierającej przepisy ją wprowadzające (obydwie są obecnie na etapie projektów). Ta druga, co warto podkreślić, obejmie m.in. nowelizację kodeksu pracy.
Na gruncie obecnie obowiązującej ustawy o ochronie danych osobowych zgoda może być podstawą przetwarzania zarówno zwykłych danych osobowych, jak i danych wrażliwych (zgodnie z odpowiednio art. 23 ust. 1 pkt 1 i art. 27 ust. 2 pkt 1 ustawy). Mimo tego w praktyce możliwość przetwarzania danych na jej podstawie budzi liczne kontrowersje, w szczególności w relacji pomiędzy pracodawcą a pracownikiem.
Spór o dobrowolność
Zarówno GIODO, jak i Naczelny Sąd Administracyjny kwestionują dobrowolność zgody udzielanej pracodawcy przez pracownika. Głównie ze względu na nierówność stron stosunku pracy, którego silniejszą stroną jest pracodawca. W świetle tych poglądów zgoda nie może być dobrowolna, gdyż pracodawca mógłby z łatwością wymusić na pracowniku jej wyrażenie (por. m.in. wyrok NSA z 1 grudnia 2009 r., sygn. akt I OSK 249/09). Z drugiej jednak strony pojawiały się też poglądy, że można posłużyć się zgodą, jeśli odnosi się ona do przypadku, w którym pracownik ma całkowitą swobodę jej udzielenia i może odmówić wyrażenia takiej zgody bez żadnych negatywnych konsekwencji (por. wyrok WSA w Warszawie z 20 czerwca 2011 r., sygn. akt II SA/Wa 719/11). Jednocześnie warto przypomnieć, że sam kodeks pracy dopuszcza posługiwanie się zgodą pracownika. Przykładowo zgody zatrudnionego wymaga potrącenie należności z jego wynagrodzenia (art. 91 k.p.). Zgoda wymagana jest też od pracownicy w ciąży, jeśli miałaby ona pracować w określonych systemach czasu pracy oraz zostać oddelegowaną poza stałe miejsce pracy (art. 178 par. 1 k.p.). Ponadto pracownika opiekującego się dzieckiem, które nie ukończyło jeszcze 4. roku życia, nie wolno bez jego zgody zatrudniać w godzinach nadliczbowych, w porze nocnej, w przerywanym systemie czasu pracy, jak również delegować poza stałe miejsce pracy (art. 178 par. 2 k.p.). Co więcej, w publikacjach GIODO również wskazuje się na sytuacje, w których zgoda pracownika jest nie tylko dopuszczalna, ale wręcz stanowi jedyną podstawę do przetwarzania jego danych osobowych. Tak jest np. w przypadku wykorzystania wizerunku pracownika na stronach internetowych pracodawcy czy na identyfikatorach w miejscu pracy. GIODO zauważa, że wśród wymienionych w art. 221 k.p. informacji o osobie zatrudnionej, których żądać może pracodawca, nie ma zdjęcia pracownika. Zatem aby pracodawca mógł legalnie je przetwarzać, musi pozyskać zgodę podwładnego. Oczywiście GIODO podkreśla, że zgoda nie może być domniemana lub dorozumiana oraz musi być udzielona dobrowolnie, czyli w okolicznościach, w których pracownik będzie miał możliwość odmowy jej udzielenia i nie spotkają go z tego powodu żadne negatywne konsekwencje.
Dotychczas przyjmowano też, że pracodawca może przetwarzać dane wykraczające poza katalog wskazany w art. 221 k.p., jeśli kandydat do pracy bądź pracownik sam, z własnej woli, nieproszony przez pracodawcę, przedstawi je pracodawcy. Podstawą do przetwarzania w takich sytuacjach była właśnie dorozumiana zgoda pracownika. O jej dobrowolności świadczył brak sugestii ze strony pracodawcy, co miało gwarantować, że jej uzyskanie nie było wymuszone na pracowniku.
Na gruncie unijnym...
Czy spory dotyczące zgody pracownika jako podstawy przetwarzania jego danych przez pracodawcę ustaną po reformie systemu ochrony danych osobowych? Wydaje się, że odpowiedź na to pytanie jest twierdząca, choć możliwe, iż nie zostaną wyjaśnione wszystkie wątpliwości, a być może nawet pojawią się nowe – o czym mowa poniżej.
Wśród ogólnych podstaw przetwarzania danych RODO, czyli rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, które będzie miało bezpośrednie zastosowanie w państwach członkowskich już od 25 maja 2018 r., wymienia zgodę podmiotu danych – w art. 6 ust. 1 pkt a w odniesieniu do danych zwykłych i w art. 7 ust. 2 pkt a w odniesieniu do szczególnych kategorii danych osobowych, np. ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, dane genetyczne, biometryczne itp. Ponadto zgodnie z motywem 155 RODO państwa członkowskie mogą wprowadzić szczegółowe regulacje dotyczące przetwarzania danych osobowych pracowników w kontekście zatrudnienia, w szczególności warunki, w oparciu o które można przetwarzać dane osobowe za zgodą pracownika. Tym samym RODO dopuściło co do zasady możliwość posłużenia się zgodą pracownika na przetwarzanie jego danych przez pracodawcę, pozostawiając krajom członkowskim możliwość doregulowania pewnych kwestii.
...i w świetle proponowanych zmian do kodeksu pracy
Polski ustawodawca skorzystał z możliwości przyjęcia szczegółowych krajowych regulacji odnoszących się do zgody pracownika. Propozycja zmian do kodeksu pracy (zawarta w projekcie przepisów wprowadzających nową ustawę o ochronie danych osobowych) legalizuje przetwarzanie przez pracodawcę innych danych osobowych niż wymienione w katalogu zawartym w art. 221 par. 1 i 2 k.p. na podstawie zgody pracownika bądź kandydata do pracy, jeżeli dane te dotyczą stosunku pracy (art. 222 par. 1 k.p.). Zgodę zatem dopuszczono co do zasady, ale nie do końca wiadomo, w jakim zakresie. Użyte sformułowanie jest bowiem dość niejasne i może być problematyczne w praktyce, gdyż trudno będzie jednoznacznie wskazać, jakie dane dotyczą stosunku pracy, a w konsekwencji jaki jest dopuszczalny zakres przetwarzania danych na podstawie takiej zgody pracownika. Tym bardziej że wcześniej ustawodawca wspomina o przetwarzaniu danych w zakresie niezbędnym do realizacji stosunku pracy (art. 221 par. 4 k.p.). Nie jest więc do końca jasne, czy celowo użyto różnych pojęć i jaki miałby być zakres każdego z nich. Obydwie frazy są niejasne i wymagają doprecyzowania (ewentualnie ujednolicenia i doprecyzowania) – chociażby przez wskazanie przykładowego katalogu czynności wchodzących w ich zakres, które pośrednio, ale już bardziej konkretnie wskazywałyby na intencję ustawodawcy.
Na gruncie projektu nowych krajowych regulacji zgodą będzie można się posłużyć także w innych przypadkach, które zostały wprost wskazane w przepisach. Przykładowo chociażby dalsze przetwarzanie takich informacji, jak adres do korespondencji oraz adres e-mail i numer telefonu pracownika, które zostały już wcześniej uzyskane od kandydata w procesie rekrutacji, będzie możliwe dopiero po udzieleniu zgody przez zatrudnionego.
Ponadto projekt nowelizacji kodeksu pracy przewiduje również, że odebranie zgody od pracownika będzie możliwe także w przypadku przetwarzania danych biometrycznych – znowu jeżeli dotyczą one stosunku pracy. Po raz kolejny użyto tu dość niejasnego sformułowania, które w praktyce najprawdopodobniej okaże się problematyczne.
We wszystkich powyższych przypadkach zgoda może być podstawą przetwarzania danych zarówno wówczas, gdy pracodawca sam wnioskuje o określone informacje, jak i wtedy gdy kandydat lub pracownik udostępnia je z własnej inicjatywy. Z kolei brak zgody pracownika czy osoby ubiegającej się o zatrudnienie nie będzie mógł powodować wobec niego jakichkolwiek negatywnych konsekwencji, np. stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenia stosunku pracy bądź też jego rozwiązania przez pracodawcę bez wypowiedzenia. Tym samym ustawodawca stara się wprowadzić gwarancję jej dobrowolności. [ramka poniżej] Zgoda będzie także podstawą zbierania danych na gruncie ustawy o zakładowym funduszu świadczeń socjalnych w związku z aplikowaniem o otrzymanie ulgowych usług i świadczeń. Na gruncie projektowanych regulacji ma być ona wyrażana przy poszanowaniu pełnej swobody w jej udzieleniu.
Problematyczna forma
Zgoda kandydata czy pracownika ma mieć postać papierową lub elektroniczną. Ustawodawca posłużył się zatem innymi pojęciami niż w kodeksie cywilnym, gdzie mowa jest o formie elektronicznej oraz formie pisemnej/dokumentowej. Wobec zastosowania innych definicji znowu powstaje pytanie, czy można odwoływać się do pojęć z k.c., czy należy uznać, że są to pojęcia odrębne. Postać papierowa oraz postać elektroniczna używane w omawianym projekcie zmian do k.p. sugerują odniesienie do materialnego substratu nośnika, na którym zapisana będzie zgoda (jakikolwiek kawałek papieru oraz w zasadzie jakakolwiek forma zapisu elektronicznego, włączając w to cyfrowe nagrania głosu, filmy wideo itp. oraz podpis pracownika na formularzu elektronicznym, np. na ekranie dotykowym).
Tymczasem zgodnie z RODO klauzula zgody powinna zostać przedstawiona w zrozumiałej i łatwo dostępnej formie, napisana jasnym i prostym językiem. Oświadczenie o wyrażeniu zgody powinno wskazywać podmiot przetwarzający oraz przede wszystkim obejmować cel, dla którego dane mają być przetwarzane, a także ich zakres. Dane, które pracodawca chce pozyskać, muszą być skonkretyzowane. Podmiot, którego dane dotyczą, powinien także zostać powiadomiony o możliwości wycofania zgody. Ponadto wycofanie musi być równie łatwe, jak jej wyrażenie. Osoba, której dane dotyczą, ma prawo w dowolnym momencie zgodę wycofać.
Zmierzając w dobrym kierunku
Dopuszczenie zgody pracownika jako instrumentu legalizującego przetwarzanie jego danych należy jednak ocenić pozytywnie. Jest to spójne z samym brzmieniem kodeksu pracy, który już wcześniej posługiwał się instytucją zgody pracownika.Patrząc na kierunek planowanych regulacji, wydaje się, że zgoda w stosunku pracy będzie stanowiła znacznie częstszą podstawę przetwarzania danych pracowników lub kandydatów do pracy przez pracodawców niż dotychczas. Powoli odchodzi się od argumentacji, że nie jest możliwe dobrowolne jej udzielenie w relacji pracowniczej. Gwarancji dobrowolności mają służyć wyraźne postanowienia kodeksu pracy, że udzielenie zgody nie może przysparzać zatrudnionym negatywnych konsekwencji. W praktyce regulacja ta zdobędzie pewnie swoich zwolenników, jak również przeciwników, którzy mimo wszystko będą wskazywali na brak dobrowolności zgody.
Nie zawsze dozwolona
Projektowane przepisy wprowadzają katalog danych, których pozyskanie nie będzie możliwe nawet na podstawie zgody pracownika. Będą to informacje o nałogach, stanie zdrowia oraz życiu seksualnym lub orientacji seksualnej pracownika lub kandydata do pracy. Bezwzględny zakaz ich pozyskiwania będzie wyłączony jedynie wtedy, gdy obowiązek ich podania będzie wynikał z odrębnych przepisów lub gdy będzie to konieczne dla wypełnienia obowiązku pracodawcy wynikającego z przepisu prawa. Na tych samych podstawach pracodawca będzie mógł żądać danych nieobjętych katalogiem wskazanym w art. 221 k.p. oraz danych biometrycznych.
Podstawa prawna
Ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2016 r. poz. 922).
Ustawa z 26 czerwca 1974 r. – Kodeks pracy (t.j. Dz.U. z 2016 r. poz. 1666 ze zm.).
Ustawa z 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych (t.j. Dz.U. z 2016 r. poz. 800 ze zm.).
Ustawa z 23 kwietnia 1964 r. – Kodeks cywilny (t.j. Dz.U. z 2017 r. poz. 459 ze zm.).