Na łamach Dziennika Gazeta Prawna opublikowano ostatnio szereg wypowiedzi dotyczących prawa pracodawcy do pozyskiwania adresu zamieszkania przyszłego pracownika na potrzeby podpisania umowy. Sprawa jest banalna i nie byłaby warta uwagi, gdyby nie to, że ukazuje jak w soczewce problemy polskiej dyskusji o RODO.
Przypomnijmy więc, że Ministerstwo Rodziny, Pracy i Polityki Społecznej wydało rzekomo komunikat (trudno go znaleźć), z którego wynika, że osoba, co do której podjęto pozytywną decyzję o zatrudnieniu i co do której podjęto niezbędne czynności celem zawarcia umowy o pracę, w istocie już nie jest kandydatem i na potrzeby „żądania” danych osobowych można ją już tratować jako pracownika. Jak donosi Gazeta, powyższe stanowisko spotkało się z przychylnością komentatorów, i zamieszcza stosowne wypowiedzi.
Z ogromnym szacunkiem dla prawników Ministerstwa, których niezwykle szanuję z czasów mojej pracy w Komisji Kodyfikacyjnej, muszę się do powyższego stanowiska odnieść krytycznie, zaczynając od drobnej i nieistotnej uwagi, jaką jest użycie przez resort słowa „kandydat”. Jakkolwiek czytelnik zapewne wie, o kogo chodzi, to jednak ministerstwu nie przystoi używać języka prawniczego, czyli potocznego wśród prawników, skoro tekst ustawy używa języka prawnego. A kodeks pracy nie zna słowa „kandydat”.
Przejdźmy jednak do problemu poważniejszego. Rzecz w tym, że resort oraz komentujący jego wypowiedź specjaliści robią to, co ogromna większość polskich prawników zajmujących się, a raczej wypowiadających się na temat przetwarzania danych osobowych, a mianowicie nie zadaje pytań podstawowych. A to tutaj brzmi: co to znaczy, że ktoś na podstawie ustawy ma prawo, a nawet obowiązek czegoś „żądać”?
Aby powyższe zrozumieć, trzeba najpierw powiedzieć to, co pomimo kilkunastu lat obowiązywania przepisów o ochronie danych osobowych wciąż nie dociera do znakomitej większości interpretatorów. Otóż regulacje te stanowią część prawa administracyjnego. Pomijam zupełnie wyjątkowe normy prawa karnego i cywilnego, które jedynie potwierdzają postawioną tezę. Powyższe oznacza, że przy interpretacji powyższych przepisów należy stosować odpowiednie adekwatne narzędzia oraz wypracowane przez dziesiątki lat konstrukcje. Nie rozwijając tu wykładu i przechodząc do rzeczy, należy stwierdzić, jeśli ktoś na podstawie ustawy ma prawo, a nawet obowiązek „żądać”, to korzysta on z uprawnienia prawotwórczego w sprawie indywidualnej, zwanego najczęściej kompetencją.
Innymi słowy podmiot „żądający” nakłada na osobę, do której żądanie jest skierowane, obowiązek prawny. Niewykonanie obowiązku skutkuje sankcją, która w przypadku ubiegających się o zatrudnienie polega na legalnej jego odmowie, czyli na ingerencji w prawo do pracy. W przypadku pracownika będzie skutkować utratą zatrudnienia, czyli ingerencją w dokładnie to samo – jak powiada doktryna – publiczne prawo podmiotowe. Ujmując rzecz inaczej, przepisy dotyczące „żądania” nie są przepisami dotyczącymi „prawa do proszenia”, bo prawa do „proszenia” nie trzeba regulować. Nie są także przepisami ograniczającymi dostęp do innych danych, na podstawie innych przepisów lub na podstawie wymiany danych z woli podmiotów danych. Przepisy te regulują jedynie ten fragment relacji pomiędzy pracodawcą a ubiegającym się o zatrudnienie oraz pracownikiem, które mają charakter władczy do tego stopnia, że adresatem aktu władzy jest także pracodawca, który ma obowiązek danych żądać.
Z powyższego wynikają ważne wnioski. Po pierwsze, nie wolno w tym przypadku stosować wykładni rozszerzającej, albowiem podstawy działań władczych, jak i podstawy i zakres ustalania obowiązków (np. obowiązku żądania) muszą być wykładane ściśle. W kontekście wypowiedzi ministerstwa należy stwierdzić, że osoba, która nie podpisała umowy o pracę, nie jest pracownikiem i nie wolno na nią nałożyć obowiązku przekazania danych. Innymi słowy, nie wolno od niej „żądać” danych osobowych. Analogia jest niedopuszczalna. Podjęcie decyzji o zatrudnieniu jest bez znaczenia.
Po drugie, postawą przetwarzania danych owego kandydata pozornie mógłby być art. 6 ust. 1 lit. b RODO. Tyle że nie jest. Nie tylko dlatego, że nie zachodzi przesłanka niezbędności (konieczności), bo umowa o pracę będzie ważna i wykonywalna także bez adresu zamieszkania. Nie tylko dlatego, że umowa o pracę nie musi mieć formy pisemnej, albowiem jej warunki mogą być tylko jednostronnie potwierdzone przez pracodawcę. Przede wszystkim dlatego, że w typowych, „nieelektronicznych” sytuacjach kontraktowych dane osobowe przekazywane są przez strony w ramach ich autonomii informacyjnej, co oznacza, że RODO nie ma w ogóle zastosowania. Ujmując rzecz inaczej, podmiot danych najczęściej ustala cele przetwarzania danych wspólnie z kontrahentem, co dzieje się z reguły w sposób dorozumiany. Sytuacja stanie się odmienna, gdy jedna ze stron zakaże „przetwarzania danych” w trakcie obowiązywania kontraktu, ale to zagadnienie na odrębną wypowiedź.
Dlatego art. 6 ust. 1 lit. b ma zastosowanie głównie w obrocie internetowym, gdzie przekazanie danych jest warunkiem kontraktowania, co oznacza, że tylko jedna strona ustanawia i cel, i sposoby przetwarzania danych. Taki przypadek nie zachodzi w wypadku umowy o pracę już z tego powodu, że pracodawca nie może uzależnić jej podpisania od otrzymania adresu pracownika. Zresztą przyjmując odmienną logikę, pracownik, który stworzyłby zbiór swoich umów o pracę lub posiadający na swoim komputerze maila od potencjalnego pracodawcy powinien być tratowany jako administrator danych osób podpisujących umowę o pracę lub korespondujących w ramach procesu rekrutacji.
Pomijam w tym miejscu to, że zastosowanie art. 6 ust. 1 lit. b do umowy o pracę jest w moim przekonaniu całkowicie nieuzasadnione także dlatego, że umowa ta nie jest umową prawa cywilnego. Ale i tutaj muszę zawiesić swój wywód, albowiem nie ma dla niego miejsca.
W tym miejscu trzeba jednak czytelnika uspokoić. Moja krytyczna ocena powyższych wypowiedzi nie oznacza bowiem, że przyszły pracodawca nie może wejść w „posiadanie” danych kandydata. Jeśli zechce on te dane przekazać w celu sporządzenia umowy, to oczywiście może to uczynić, a RODO ani kodeks pracy nie będą miały tu żadnego zastosowania. Jak długo człowiek decyduje lub choćby współdecyduje o celu, w jakim dane będą wykorzystane, tak długo nie mamy do czynienia z RODO. Innymi słowy, życie wygląda wiąż normalnie. Z faktu podpisywania umów – co przecież robimy całkiem często – nie stajemy się jeszcze administratorami danych osobowych.
Inna sprawa dotyczy oceny prawnej momentu, gdy dana osoba będzie już pracownikiem, i kiedy możemy, a właściwie „mamy obowiązek” już powyższych danych „żądać”. Tu niestety docieramy do problemu jeszcze głębszego, jakim są kolejne nieudane nowelizacje kodeksu pracy. Nie ukrywam, że narasta we mnie przekonanie, że wszystkie przepisy dotyczące danych osobowych w kodeksie pracy są dotknięte poważnymi wadami. Regulacje dotyczące monitoringu są katastrofą co najmniej w kontekście tzw. obowiązków informacyjnych. Przepisy dotyczące przetwarzania na podstawie zgody „z inicjatywy” pracownika są trudne do obrony, sugerując, że można kogoś zmusić do przetwarzania danych osobowych, czyli do dokonywania ingerencji w cudze prawa i wolności.
Wreszcie zmiana dotychczasowych regulacji, które przyznawały pracodawcy „możliwość żądania” i nałożenie „obowiązku żądania”, jest mocno problematyczna. Twórcy przepisów najwyraźniej nie zauważyli, że jeśli w prawie administracyjnym podmiot administrujący coś „może”, to znaczy, że jeśli nie da się inaczej osiągnąć celu, to „ma obowiązek”. Innymi słowy, pracodawca, który posiadał już dane wymagane przez przepisy, „mógł nie żądać”, albowiem mógł wykonać zadanie publiczne w postaci prowadzenia akt osobowych. Pracodawca, który danych takich nie miał, „miał obowiązek żądać”, aby owo zadanie wykonać.
Tymczasem obecnie pracodawca ma obowiązek „żądać”, nawet jeśli dane już posiada. Wyższość poprzedniej regulacji widać np. przy znacznej liczbie osób ubiegających się o zatrudnienie, co do których obecnie – przynajmniej teoretycznie – istnieje obowiązek żądania danych, podczas gdy pracodawca już wie, że co najmniej częścią osób nie jest już zainteresowany.
Kończąc, dodam dwie ostatnie uwagi. Pierwsza, że powyższa, jak wspomniałem dość banalna sprawa warta jest znacznie głębszej refleksji, albowiem ma ogromy potencjał dotyczący interpretacji RODO zarówno w relacjach zatrudnienia, jak i w tradycyjnym obrocie gospodarczym. Dlatego ucieczka w analogię lub uproszczenia jest najgorszym, co możemy zrobić. Nie wolno się bać twierdzenia, że dostęp do cudzych danych osobowych nie oznacza, że od razu stosujemy RODO.
I druga, o której wspominałem publicznie już wiele razy, ale w kontekście tego tekstu powinienem przypomnieć. Otóż w moim przekonaniu w zakresie danych „żądanych”, jak i w zakresie dokumentacji pracowniczej, RODO w prawie polskim nie ma w ogóle zastosowania. Cele i sposoby przetwarzania ustala bowiem ustawa, nie nadając zarazem pracodawcy statusu administratora danych osobowych. Według mojej nieformalnej wiedzy inaczej jest w Niemczech, gdzie prawo czyni pracodawcę administratorem wprost. A piszę o tym tylko dlatego, abyśmy w dyskusjach o RODO zachowali ostrożność, porównując naszą wykładnię z wykładnią z innych krajów unijnych.
