Aby przetwarzać dane osobowe, trzeba mieć podstawę. Kłopot w tym, że nie wiadomo do końca, czy w tym zakresie trzeba będzie stosować tylko przepisy kodeksu pracy, czy również rozporządzenie UE.

Jeśli zostanie przyjęty w obecnej wersji, firmy mogą stracić niektóre możliwości przetwarzania danych pracowników i kandydatów do pracy. Zagrożone będą m.in. oceny okresowe.

Jak wiadomo, danych osobowych nie można przetwarzać tak po prostu, a w każdym przypadku potrzebna jest do tego podstawa prawna. Dziś sprawa jest jasna – nie dość, że kodeks pracy mówi, iż w zatrudnieniu można zbierać i przetwarzać dane wskazane w tym kodeksie oraz te, których obowiązek podania wynika z przepisów odrębnych, to jeszcze wyraźnie wskazuje, że w pozostałym zakresie można sięgać do ogólnych przepisów o ochronie danych osobowych. Takiego odesłania brakuje natomiast w projekcie ustawy zmieniającej m.in. kodeks pracy, która ma dostosować polskie przepisy do RODO, czyli ogólnego rozporządzenia unijnego o ochronie danych.

Efekt może być taki, że po 25 maja (kiedy to unijne rozporządzenie musi być u nas już w pełni stosowane) pracodawca, który będzie chciał pozyskać jakieś inne dane pracownika niż wyraźnie wymienione w kodeksie pracy, nie będzie mógł tego zrobić, jeśli w tym kodeksie nie znajdzie do tego odpowiedniej podstawy. I to mimo że w RODO jest przepis, który by mu na to pozwalał. Problem może dotyczyć np. pozyskiwania zdjęć do identyfikatorów pracowniczych czy na potrzeby bazy pracowników w intranecie, a także oceny rocznej zatrudnionych. Jak to możliwe? Otóż RODO przewiduje, że państwa członkowskie (w tym Polska) mogą u siebie zmodyfikować zasady i podstawy przetwarzania danych osobowych pracowników. Jeśli więc do kodeksu pracy wpiszemy podstawy przetwarzania danych i jednocześnie nie napiszemy, że poza nimi dane pracowników można pozyskiwać także na podstawach wskazanych w RODO, to ta druga ewentualność nie będzie możliwa. A na to się właśnie zanosi.

Obecna wersja projektu zmian w kodeksie pracy wymienia trzy podstawy. Po pierwsze: będzie można pozyskać dane wyraźnie wymienione w kodeksie, po drugie: te, które są pracodawcy niezbędne do spełnienia obowiązku nałożonego na niego przez prawo, i po trzecie: te, na których przetwarzanie zgodzi się pracownik i dodatkowo odniesie z tego korzyść. Tymczasem w RODO podstaw przetwarzania danych jest aż sześć. A wśród nich m.in. możliwość powołania się na usprawiedliwiony cel albo na konieczność wykonania umowy. Są one zresztą popularne wśród pracodawców również dziś. Zarówno usprawiedliwiony cel, jak i konieczność wykonania umowy są powoływane przy przetwarzaniu danych we wspomnianych już ocenach rocznych. Jeśli pod rządami nowych przepisów nie byłoby takiej możliwości, powstałby duży problem. Kodeks pracy nic o ocenach rocznych nie wspomina, a obowiązek ich przeprowadzenia nie wynika też z innych regulacji. Do rozpatrzenia pozostawałaby więc podstawa w postaci zgody połączonej z korzyścią dla pracownika. Tymczasem z jednej strony uzyskanie zgody pracownika, by móc go oceniać, byłoby dosyć kuriozalne (można założyć, że zatrudniony raczej by odmawiał), z drugiej zaś taka ocena mogłaby nie być dla niego korzystna – a to również wykluczałoby możliwość jej przeprowadzenia

28 marca 2018 r. światło dzienne ujrzał kolejny już projekt ustawy dostosowującej wiele polskich przepisów do RODO – unijnego rozporządzenia 2016/679 dotyczącego ochrony danych osobowych. W projekcie pojawiły się propozycje zmian do kodeksu pracy, które określają podstawy przetwarzania danych osobowych pracowników. A zmiany te nie są bez znaczenia dla pracodawców.
Problem jednak w tym, że w obecnej wersji projektu nie jest jasne, które podstawy przetwarzania danych trzeba będzie stosować w stosunku do pracowników – czy tylko te z kodeksu pracy, czy obok siebie te z kodeksu i te z RODO? Wątpliwości mogłoby rozwiać np. zamieszczone w przepisach kodeksowych odpowiednie odesłanie do RODO. Kwestia ta powinna zostać rozstrzygnięta na etapie prac legislacyjnych.
Wybieramy trzy podstawy
Jeśli projekt zostanie uchwalony w zaproponowanym brzmieniu, to na podstawie nowego art. 221 par. 1 i 2 k.p. pracodawca będzie dysponował następującymi danymi pracownika: imię (imiona) i nazwisko, data urodzenia, dane kontaktowe wskazane przez kandydata do pracy, wykształcenie, przebieg dotychczasowego zatrudnienia, adres zamieszkania, numer PESEL (w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość). Inne dane osobowe pracownika oraz dane osobowe jego dzieci i innych członków najbliższej rodziny będą podawane pracodawcy, jeżeli okaże się to konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy.
Pracodawca będzie mógł jednak żądać podania innych danych osobowych niż określone powyżej, gdy będzie to niezbędne do wypełnienia jego obowiązku nałożonego przepisem prawa. Takim obowiązkiem jest np. zgłoszenie pracownika do obowiązkowych ubezpieczeń społecznych. Formularz zgłoszenia ZUS ZUA przewiduje obowiązek podania innych danych pracownika niż wymienione w kodeksie pracy, np. adresu zameldowania czy nazwiska rodowego. W takim przypadku ich pozyskiwanie od pracownika również będzie dopuszczalne i zgodne z prawem.
Wykonanie przez pracodawcę obowiązku nałożonego na niego przepisem prawa będzie też jedyną podstawą do przetwarzania danych osobowych wrażliwych, czyli dotyczących np. stanu zdrowia czy pochodzenia rasowego.
Dodatkowo projektowany art. 222 par. 1 i 3 k.p. stanowi, że przetwarzanie przez pracodawcę innych danych osobowych niż wymienione w art. 221 par. 1 i 2 k.p. będzie dopuszczalne za zgodą osoby ubiegającej się o zatrudnienie lub pracownika i tylko wtedy, gdy jest to dla niej korzystne. Ponadto będzie ono mogło dotyczyć tylko danych osobowych udostępnionych przez kandydata do pracy lub pracownika na wniosek pracodawcy lub przekazanych mu z inicjatywy kandydata lub pracownika.
Zatem z projektowanych przepisów wynikają trzy podstawy do przetwarzania danych osobowych pracowników, a mianowicie:
1) art. 221 par. 1 i 2 k.p., który wprost wskazuje katalog danych, jakich może żądać pracodawca,
2) wypełnienie obowiązku pracodawcy nałożonego przepisem prawa,
3) zgoda pracownika, pod warunkiem, że przetwarzanie danych jest dla niego korzystne.
Takie ukształtowanie przepisów skłania do zadania fundamentalnego pytania: czy możliwe będzie przetwarzanie danych osobowych pracownika na innych podstawach niż te trzy wymienione powyżej, np. wtedy, gdy przetwarzanie określonych danych jest konieczne do realizacji umowy lub gdy po stronie pracodawcy istnieje usprawiedliwiony interes.
A możemy sześć
RODO wskazuje kilka podstaw przetwarzania danych, które odnoszą się również do pracowników (art. 6). Można to robić, gdy:
1) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów,
2) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie takiej osoby przed zawarciem umowy,
3) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze,
4) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej,
5) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi,
6) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią (z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba ta jest dzieckiem).
Rozporządzenia unijne są stosowane bezpośrednio w państwach członkowskich. A zatem aby obowiązywać, nie muszą być implementowane do krajowych porządków prawnych, w tym do polskiego. Mają też pierwszeństwo przed ustawą krajową w razie sprzeczności pomiędzy dwoma aktami. To oznacza, że podstawy przetwarzania danych osobowych wskazane w RODO pozostają aktualne na gruncie polskiego porządku prawnego. Niemniej jednak zgodnie z art. 88 RODO państwa członkowskie mogą zawrzeć w swoich przepisach lub w porozumieniach zbiorowych bardziej szczegółowe przepisy mające zapewnić ochronę praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z zatrudnieniem. W szczególności takie przepisy mogą wprowadzić do celów rekrutacji, wykonania umowy o pracę (w tym wykonania obowiązków określonych przepisami lub porozumieniami zbiorowymi), zarządzania, planowania i organizacji pracy, równości i różnorodności w miejscu pracy, bhp, ochrony własności pracodawcy lub klienta oraz do celów indywidualnego lub zbiorowego wykonywania praw i korzystania ze świadczeń związanych z zatrudnieniem, a także do celów zakończenia stosunku pracy.
Przepis zatem dopuszcza wprost możliwość modyfikowania zasad i podstaw przetwarzania danych osobowych pracowników przez państwa członkowskie w ustawodawstwie krajowym.
Wzajemna relacja
Polski ustawodawca skorzystał z możliwości szczegółowego uregulowania zagadnienia danych osobowych pracowników. Projekt zmian w kodeksie pracy wskazuje wyłącznie na trzy podstawy przetwarzania danych (katalog danych zawartych wprost w kodeksie, wypełnienie obowiązku prawnego i zgoda pracownika). Tymczasem RODO wymienia ich aż sześć, w tym konieczność wykonania umowy i usprawiedliwiony cel pracodawcy, które to podstawy dotychczas były często wykorzystywane przez pracodawców. Wielu z nich będzie musiało rozstrzygnąć, czy podstawę przetwarzania danych pracowników będą mogły stanowić tylko te z kodeksu pracy, czy również te wynikające wprost z RODO. Innymi słowy: czy projektowane przepisy kodeksu pracy wyłączają w tym zakresie stosowanie RODO, a tym samym podstawy przetwarzania danych niewymienione w kodeksie? W praktyce odpowiedź na te wątpliwości może okazać się kluczowa, albowiem postępowanie pracodawcy w konkretnej sytuacji będzie zdeterminowane podstawą przetwarzania danych osobowych.
Posługując się przykładem: w przypadku przedsiębiorstw zatrudniających bardzo wielu pracowników, pracownicy ze względów bezpieczeństwa są wyposażani w identyfikatory opatrzone m.in. imieniem, nazwiskiem, stanowiskiem służbowym i zdjęciem pracownika. Pracodawcy często wskazywali na swój usprawiedliwiony interes jako podstawę do żądania zdjęcia od pracownika. Faktycznie w takim przypadku były ku temu podstawy – można było mówić o konieczności zapewnienia bezpieczeństwa. Jednakże jeśli przyjmiemy, że projekt zmian do k.p. wyklucza możliwość powołania się na inne podstawy przetwarzania danych osobowych niż zawarte w kodeksie, usprawiedliwiony interes pracodawcy nie będzie mógł już być podstawą przetwarzania zdjęcia pracownika i umieszczania go na identyfikatorach. Zatem, skoro zdjęcie nie znajduje się w katalogu wymienionym w nowym art. 221 par. 1 i 2 k.p. oraz jego żądanie nie wynika z obowiązujących przepisów prawa, to jedyną podstawą przetwarzania tej danej będzie zgoda pracownika. I tutaj może pojawić się problem z jej uzyskaniem, gdyż nietrudno sobie wyobrazić sytuację, w której pracownik odmówi takiej zgody. Jeszcze większy problem pojawi się wtedy, gdy w trakcie zatrudnienia pracownik najpierw zgody udzieli, a następnie taką zgodę cofnie i przetwarzanie zdjęcia nie będzie już możliwe.
WAŻNE
RODO dopuszcza wprost możliwość modyfikowania określonych w nim zasad i podstaw przetwarzania danych osobowych pracowników przez państwa członkowskie w ustawodawstwie krajowym.
Uszczegółowienie, czyli wyłączenie
W mojej opinii uszczegółowienie kwestii przetwarzania danych osobowych w polskich przepisach oznacza, że podstawy prawne przetwarzania wskazane w RODO są wyłączone w odniesieniu do stosunków z pracownikami. Przyjęcie innej interpretacji oznaczałoby, że przepisy kodeksu pracy nie miałyby racji bytu, skoro RODO zawiera wszystkie podstawy przetwarzania i są one stosowane bezpośrednio. Jednocześnie w projekcie ustawodawca kategorycznie przesądza, że przetwarzanie danych innych niż wymienione w art. 221 par. 1 i 2 jest możliwe, gdy jest to niezbędne do wypełnienia obowiązku pracodawcy nałożonego przepisem prawa lub za zgodą pracownika, ale tylko wtedy, gdy jest to dla niego korzystne. Żaden przepis kodeksu pracy jednocześnie nie odsyła do innych przepisów w zakresie podstaw przetwarzania danych.
Na marginesie warto też zwrócić uwagę na niespójność przepisów projektu zmian w kodeksie pracy. Artykuł 221 par. 3 mówi bowiem o możliwości żądania innych danych niż wymienione w par. 1 i 2 (katalog), gdy jest to niezbędne do wypełnienia obowiązku nałożonego przepisem prawa. Natomiast art. 222 par. 2 stanowi, że przetwarzanie danych innych niż wymienione w katalogu jest dopuszczalne za zgodą pracownika i gdy jest dla niego korzystne. Dla porządku legislacyjnego art. 222 par. 2 powinien wyłączać również podstawę dotyczącą obowiązku prawnego (art. 221 par. 3), bo literalnie przepisy te można odczytywać jako sprzeczne ze sobą – a zapewne nie taka była intencja ustawodawcy.
Reasumując, od 25 maja 2018 r. i po wejściu w życie projektowanych zmian w kodeksie pracy pracodawca będzie miał wyłącznie trzy podstawy do przetwarzania danych pracowników (katalog wynikający z art. 221 par. 1 i 2 k.p., konieczność wykonania obowiązku prawnego oraz zgodę pracownika, pod warunkiem korzystności dla pracownika). Tym samym powoływanie się na usprawiedliwiony interes pracodawcy i konieczność wykonania umowy nie będzie już możliwe. Życie i różnorodność przypadków każe przypuszczać, że w praktyce korzystanie tylko i wyłącznie z trzech wymienionych podstaw do przetwarzania danych może być niewystarczające, jak np. w przypadku omawianego identyfikatora. Uchwalenie projektu w zaproponowanym brzmieniu może faktycznie utrudnić pracodawcom wiele kwestii związanych z funkcjonowaniem zakładu pracy, zatem zmiany legislacyjne w tym zakresie są wskazane.
Jak jest obecnie
Obecnie obowiązujące przepisy kodeksu pracy jako podstawę przetwarzania danych wskazują:
1 art. 22 1 par. 1 i 2 (katalog danych możliwych do pozyskania przez pracodawcę na etapie rekrutacji i zatrudnienia),
2 odrębne przepisy, jeśli obowiązek podania dodatkowych danych z nich wynika,
3 w zakresie nieuregulowanym w kodeksie pracy, na podstawie art. 22 1 par. 5 – ustawę z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2016 r. poz. 922 ze zm.; dalej: u.o.d.o.).
Natomiast u.o.d.o. w art. 23 wymienia przesłanki dopuszczalności przetwarzania danych osobowych, wskazując, że przetwarzanie jest dopuszczalne tylko wtedy, gdy:
1 osoba, której dane dotyczą, wyrazi na to zgodę (chyba że chodzi o usunięcie dotyczących jej danych);
2 jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa;
3 jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą;
4 jest niezbędne do wykonania określonych prawem zadań, realizowanych dla dobra publicznego;
5 jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
Dlatego też obecnie pracodawcy przetwarzają dane osobowe pracownika nie tylko na podstawie kodeksu pracy, lecz także na podstawie u.o.d.o. W praktyce rozszerza to katalog możliwych podstaw przetwarzania danych, np. o usprawiedliwiony cel pracodawcy lub konieczność realizacji umowy.
Podstawa prawna
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych; Dz.Urz. UE z 2016 r. L 119, s. 1).
Rządowy projekt ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679 z 28 marca 2018 r.