KOLEJNE ZMIANY W OCHRONIE DANYCH OSOBOWYCH WAŻNE DLA PRACODAWCÓW

Takie rozwiązania przewiduje ustawa z 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), dalej: ustawa zmieniająca. Jej przepisy wejdą w życie po 14 dniach od jej ogłoszenia, czyli 4 maja. 

Jakich danych pracodawca zażąda od kandydata do pracy

Lista danych osobowych, których przedstawienia pracodawca może wymagać od osoby ubiegającej się o pracę ma nie tylko zmienioną treść, ale i mniej pozycji niż dotychczasowy wykaz – patrz tabela 1. Zniknęły z niej imiona rodziców kandydata do pracy oraz jego adres zamieszkania (adres do korespondencji), który został zastąpiony danymi kontaktowymi. Z kolei wykształcenie i przebieg zatrudnienia były do tej pory wymagane bez względu rodzaj i stanowisko pracy. Nowe przepisy uzależniają ich podanie od rodzaju lub stanowiska pracy, a gdy taka zależność występuje – rozbudowują o kwalifikacje zawodowe.

Przykład

W związku z rozszerzaniem działalności pracodawca zaplanował na czerwiec 2019 r. przeprowadzenie rekrutacji na stanowiska: kierowca tira, operator wózka widłowego, logistyk. Od wszystkich kandydatów do pracy może wymagać przedłożenia dokumentów potwierdzających kwalifikacje, tj. odpowiednio: prawa jazdy kategorii C+E, uprawnienia operatora wózka widłowego, przygotowania logistycznego. Wolno mu też zażądać przedstawienia dotychczasowego przebiegu zatrudnienia. 
 

Tabela 1.    Dane obowiązkowo przekazywane przez kandydata do pracy po zmianach*
 

Lp.	Zakres danych osobowych	Rodzaj danych osobowych
1.	Dane przekazywane bez względu na rodzaj  lub stanowisko pracy	Imię̨ (imiona) i nazwisko  Data urodzenia Dane kontaktowe wskazane przez kandydata do pracy – nie ma definicji takich danych, ale przyjmuje się, że obejmują one numer telefonu, adres poczty elektronicznej albo inne, wybrane przez kandydata do pracy dane pozwalające na kontakt elektroniczny
2.	Dane niezbędne do wykonywania pracy określonego rodzaju lub na konkretnym  stanowisku	Wykształcenie Kwalifikacje zawodowe Przebieg dotychczasowego zatrudnienia
3.	Inne dane osobowe, konieczne do  zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z prawa	2,39 zł

* na podstawie art. 221 § 1, § 2 i § 4 Kodeksu pracy po nowelizacji (dalej k.p.)

Jakich danych pracodawca może wymagać od pracownika

Pracownik, tak jak dotychczas, jest zmuszony przedkładać na żądanie pracodawcy – oprócz danych przekazanych na etapie rekrutacji – dodatkowe dane osobowe – patrz tabela 2. W ich zestawieniu pojawiły się dwie nowe dane: 

• rodzaj i numer dokumentu potwierdzającego tożsamość, jeśli pracownik nie ma numeru PESEL,
• adres zamieszkania, który w poprzednim stanie prawnym był podawany przez kandydata do pracy. 

Utrzymana została zasada, na mocy której pracodawca ma prawo żądać innych danych osobowych niż zawarte w katalogach podstawowych (rekrutacyjnym i pracowniczym), jeżeli jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z prawa.

Przykład

Jeśli pracodawca z poprzedniego przykładu zawrze umowy o pracę na stanowiska: kierowca tira, operator wózka widłowego, logistyk, będzie musiał zgłosić tych pracowników do ubezpieczeń społecznych i zdrowotnych, a wykorzystywany w tym celu formularz ZUS ZUA wymaga podania: adresu zameldowania na stałe – miejsca pobytu pracownika (pkt XI formularza), adresu zamieszkania – jeśli jest inny niż adres zameldowania (pkt XII formularza) oraz adresu do korespondencji – jeżeli jest inny niż zameldowania lub zamieszkania (pkt XIII formularza). Do spełnienia tego obowiązku pracodawca ma prawo zażądać od pracownika przedstawienia adresu zameldowania lub korespondencyjnego, mimo że nie znajdują się one w katalogu obowiązkowych danych kodeksowych. Podstawę stanowią przepisy o ubezpieczeniach społecznych i zdrowotnych oraz oficjalny wzór zgłoszenia ZUS ZUA, zawarty w załączniku do rozporządzenia wykonawczego do tych regulacji. 

 

Tabela 2.    Dodatkowe dane obowiązkowo przekazywane przez pracownika po zmianach*
 

Lp.	Zakres danych osobowych	Rodzaj danych osobowych
1.	Dane przekazywane na podstawie k.p.	Adres zamieszkania   Numer PESEL, a w razie jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość Inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i  innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy Wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie istniała podstawa  do ich żądania od osoby ubiegającej się̨  o zatrudnienie Numer rachunku płatniczego, jeżeli  pracownik nie złożył wniosku o wypłatę̨  wynagrodzenia do rąk własnych
2.	Inne dane osobowe, przekazywane  na podstawie innych przepisów niż k.p.	Dane konieczne do zrealizowania  uprawnienia lub spełnienia obowiązku wynikającego z prawa – brak wykazu,  ponieważ dane te będą wynikać  z konkretnych przepisów w określonych przypadkach

*na podstawie art. 221 § 3 i § 4 k.p. po nowelizacji

 

Ważne: Dane osobowe zgromadzone pod rządami dotychczasowych przepisów mogą być przechowywane, ale ich przetwarzanie może wymagać zgody pracownika. 

 

W jakiej formie dane mają być przedłożone

Oświadczenie kandydata do pracy i pracownika – to wymagana i niezmieniona forma udostępniania przez nich danych osobowych. Może być składane w drodze kwestionariuszy osobowych, których pomocnicze wzory (oficjalne zostały skasowane 1 stycznia 2019 r.) są dostępne na stronie ministerstwa rodziny, pracy i polityki społecznej, ale też wymagają dostosowania do aktualnych przepisów, np. kwestionariusz osoby ubiegającej się o zatrudnienia wciąż zawiera imiona rodziców, które to dane zostały usunięte z katalogu danych obowiązkowych. Dane osobowe mogą też być przekazane bez użycia takich formularzy. 

Żądanie udokumentowania przedłożonych danych osobowych kandydata do pracy i pracownika – takie prawo przysługiwało do tej pory pracodawcy. 
W nowych realiach prawnych zostało zachowane, ale pracodawca może z niego skorzystać tylko wtedy, gdy będzie niezbędne potwierdzenie danych osobowych (art. 221 § 5 k.p. po nowelizacji). 

Kiedy potrzebna zgoda na udostępnienie danych

Wszystkie inne dane osobowe niż wymienione art. 221 § 1 i § 3 k.p. (dane wymienione w tabeli 1 w pkt 1 i 2 oraz w tabeli 2 w pkt 1) mogą być przez pracodawcę przetwarzane wyłącznie za zgodą osoby ubiegającej się o pracę lub pracownika. Jest to konieczne zarówno wtedy, gdy pracodawca pozyska te dane w efekcie inicjatywy własnej tych osób, jak i na swój wniosek. W obu przypadkach zgoda ma by dobrowolnym, konkretnym, świadomym i jednoznacznym wyrażeniem woli w formie oświadczenia lub określonego działania (art. 4 pkt 11 i art. 7 RODO).

Przykład

Pracodawca może umieścić na swojej stronie internetowej imiona i nazwiska pracowników, zajmowane przez nich stanowiska oraz służbowe dane kontaktowe (numer telefonu, adres e–mail) – są to bowiem dane ściśle związane z wykonywaniem zadań. Na publikację ich zdjęć (szerzej wizerunku) musi mieć natomiast ich zgody. Takie jest stanowisko Urzędu Ochrony Danych Osobowych, zawarte w publikacji: Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców (www.uodo.gov.pl). Zachowuje ono aktualność również po wejściu w życie ustawy zmieniającej. 

Udzielenie zgody jest wykluczone przy danych wrażliwych, określonych w art. 10 RODO. Dane osobowe dotyczące wyroków skazujących i naruszeń prawa mogą być zatem przetwarzane przez pracodawcę wyłącznie wtedy, gdy prawo będzie przewidywać obowiązek ich żądania ich udostępnienia przez kandydata do pracy/pracownika. 

Zgoda jest natomiast dopuszczalna, gdy chodzi o dane wrażliwe, wymienione w art. 9 ust. 1 RODO, czyli pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, dane biometryczne w celu jednoznacznego zidentyfikowania osoby fizycznej, a także dane dotyczące zdrowia, seksualności lub orientacji seksualnej tej osoby. W myśl nowego art. 221b § 1 i § 3 k.p. są jednak dwa warunki, aby uznać ją za wystarczającą podstawą do przetwarzania tych danych:

• zgoda musi być udzielona z inicjatywy osoby ubiegającej się o pracę lub pracownika,
• dane będą przetwarzane wyłącznie przez osoby do tego upoważnione, które są zobowiązane do zachowania w tajemnicy przetwarzanych danych. 

Przetwarzanie danych biometrycznych jest dopuszczalne, gdy ich udostępnienie musi nastąpić ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę lub dostępu do pomieszczeń wymagających szczególnej ochrony (nowy art. 221b § 2 k.p.). 

Przykład

Pracodawca rozważa użycie odcisków palców do ewidencjonowania czasu pracy. Powinien ten pomysł odrzucić. Odcisk palca jest bowiem daną biometryczną, która mogłaby być przekazana przez pracownika wyłącznie z jego inicjatywy. Byłoby to trudne do wykazania, ponieważ prowadzenie ewidencji czasu pracy należy do obowiązków pracodawcy, które może zrealizować przy użyciu innych środków niż dane biometryczne. Jeśli pracodawca zbierze zgody od wszystkich osób pozostających w stosunkach pracy, może spotkać się z zarzutem obejścia/naruszenia przepisów o ochronie danych osobowych. 

Z powodu nieudzielenia zgody lub jej wycofania pracodawca nie może niekorzystnie traktować kandydata do pracy lub pracownika. Nie wolno mu z tych powodów wyciągać jakichkolwiek negatywnych konsekwencji, a w szczególności użyć jako przyczyny odmowy zatrudnienia, wypowiedzenia umowy o pracę lub jej rozwiązania bez wypowiedzenia. 

Kiedy powinny być przedstawione dokumenty dotyczące badań lekarskich 

Nowym uprawnieniem pracodawcy jest żądanie przedłożenia aktualnego orzeczenia lekarskiego stwierdzającego brak przeciwwskazań do pracy na danym stanowisku oraz skierowania na badania będącego podstawą wydania tego orzeczenia (dodany do art. 229 § 13 k.p.). Może je zrealizować w razie przyjmowania do pracy osoby posiadającej takie orzeczenie, która jest:

• zatrudniana w ciągu 30 dni po rozwiązaniu lub wygaśnięciu poprzedniego stosunku pracy u tego samego pracodawcy,
• jednocześnie w stosunku pracy u innego pracodawcy.

Są dwa rodzaje skutków stwierdzenia przez pracodawcę, że warunki określone w otrzymanym skierowaniu na badania nie odpowiadają warunkom występującym na danym stanowisku pracy. 
Pierwszy dotyczy pracownika, który będzie musiał przejść wstępne badania lekarskie. 
Drugi pojawi się u pracodawcy, który będzie miał obowiązek zwrotu obu dokumentów osobie przyjmowanej do pracy (dodany do art. 229 § 71 k.p.).

Przykład

Umowa o pracę na czas określony na stanowisku montera rozwiązała się 30 kwietnia 2019 r. wskutek upływu terminu, na jaki została zawarta. Początkowo pracodawca nie zamierzał kontynuować zatrudnienia pracownika, z którym łączyła go ta umowa, ale po upływie 2 tygodni zmienił zdanie i 20 maja podpisał kolejną umowę o pracę na to samo stanowisko, tym razem na czas nieokreślony, ponieważ łączne zatrudnienie terminowe między nim a tym pracownikiem trwało 33 miesiące. Przy jej zawieraniu nie musiał kierować pracownika na wstępne badania lekarska, bo posiada on wciąż aktualne orzeczenie lekarskie o braku przeciwwskazań do pracy jako monter. Przedłożone przez pracownika orzeczenie i skierowanie, na podstawie którego zostało wydane, pracodawca musi przechowywać w aktach osobowych. 
 

Których pomieszczeń nie wolno monitorować 

Dotychczasowy wykaz pomieszczeń, w których pracodawca nie może zainstalować monitoringu został rozszerzony o pomieszczenia udostępniane zakładowej organizacji związkowej (dodany do art. 222 § 11 k.p.). Jeśli je monitoruje, to musi zaprzestać tych czynności w ciągu 14 dni od wejścia w życie ustawy zmieniającej i poinformować niezwłocznie o tym fakcie związek zawodowy. 

Zakładowa organizacja związkowa uzyskała także prawo do decydowania o tym, czy zostanie wprowadzony monitoring pomieszczeń sanitarnych. Bez jej zgody pracodawca nie może go wdrożyć. Jeśli u pracodawcy nie ma związków zawodowych, wówczas taką zgodę musi uzyskać od przedstawicieli pracowników wybranych w trybie u niego przyjętym. Zgodę ma także otrzymać, jeżeli w dniu wejścia w życie ustawy zmieniającej już stosował monitoring. Ma na to 30 dni, liczonych od daty początkowej obowiązywania ustawy zmieniającej. Brak zgody w tym terminie lub zgoda odmowna, powoduje, że w ciągu 3 dni musi zaprzestać monitoringu w pomieszczeniach sanitarnych i niezwłocznie poinformować o tym organizację związkową albo przedstawicieli pracowników (art. 163 ust. 2 ustawy zmieniającej).

Przykład

Od 1 czerwca 2018 r. pracodawca stosował monitoring wizyjny (kamery) we wszystkich pomieszczeniach firmowych ze względu na ochronę bezpieczeństwa pracowników i mienia, w tym pomieszczeniach sanitarnych i związkowych. Musiał odinstalować kamery w tych obu rodzajach pomieszczeń, ponieważ zakładowa organizacja związkowa nie zgodziła się na monitorowanie pomieszczeń sanitarnych, a pomieszczenia związkowe zostały wykreślone z listy pomieszczeń monitorowanych. 

Jak gromadzić i przetwarzać dane dla celów ZFŚS

Dotychczas ustawa o zakładowym funduszu świadczeń socjalnych (dalej: ustawa ZFŚS) nie zawierała przepisów dotyczących pozyskiwania danych osobowych osób uprawnionych do korzystania ze świadczeń zakładowego funduszu świadczeń socjalnych (dalej: ZFŚS). To się zmieniło na skutek dodania do art. 8 ust. 1a–1d ustawy zfśś (art. 27 ustawy zmieniającej). W efekcie osoby te muszą udostępniać w formie oświadczeń swoje dane w celu przyznania ulgowej usługi i świadczenia oraz dopłaty z ZFŚS, a także ustalenia ich wysokości. Z kolei pracodawca może żądać udokumentowania w celu ich potwierdzenia, co może zwłaszcza następować na podstawie oświadczeń i zaświadczeń o sytuacji życiowej (w tym zdrowotnej), rodzinnej i materialnej osoby uprawnionej. Jeśli wśród przekazanych danych będą dane wrażliwe wymienione w art. 9 ust. 1 RODO, wówczas ich przetwarzaniem mogą zajmować się wyłącznie osoby wyposażone w pisemne upoważnione i zobowiązane do zachowania tajemnicy. 

Przykład

U pracodawcy działa 3–osobowa komisja socjalna, która została przez pracodawcę upoważniona do decydowania o rozdziale środków ZFŚS w jego imieniu, na zasadach określonych w ustawie ZFŚS i regulaminie ZFŚS. Ponieważ wszyscy członkowie mają dostęp do danych wrażliwych osób uprawnionych do świadczeń ZFŚS (np. o stanie zdrowia), każdy z nich otrzymał od pracodawcy pisemne upoważnienie do przetwarzania tych danych oraz innych danych osobowych, 
a także zobowiązanie do zachowania ich w tajemnicy. 

Pracodawca może przetwarzać dane osobowe osób uprawnionych do świadczeń z ZFŚS przez okres do przyznania i ustalenia wysokości świadczenia z ZFŚS oraz przez okres niezbędny do dochodzenia praw lub roszczeń (zasadniczo 3 lata od dnia wymagalności). Ma także obowiązek dokonywania przeglądu tych danych przynajmniej raz w roku kalendarzowym. Celem przeglądu jest ustalenie, czy przechowywanie zebranych danych jest konieczne dla dalszej realizacji uprawnień z ZFŚS oraz dochodzenia praw i roszczeń. Jeśli pracodawca stwierdzi brak takiej konieczności, powinien niepotrzebne dane usunąć. 

Ważne: Nowe zasady gromadzenia i archiwizowania danych osobowych osób uprawnionych do świadczeń z zfśś mają być uwzględnione w regulaminie tego funduszu.

Co z danymi osób niepełnosprawnych 

W ustawie o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych (dalej ustawa o zatrudnieniu niepełnosprawnych) również pojawiły się przepisy dotyczące ochrony danych osobowych. To dodany art. 2b zobowiązuje pracodawcę do przetwarzania danych osobowych (w tym udostępnionych dobrowolnie – o stanie zdrowia) osób wyłącznie wskazanych w tym akcie prawnym i do celów w nim określonych – patrz tabela 3. Mogą to robić tylko osoby z pisemnym upoważnieniem od pracodawcy jako administratora danych, zobowiązane do zachowania poufności. Dane te będą mogły być przetwarzane w sposób zautomatyzowany przy wykonywaniu ściśle określonych zadań (np. przy obliczaniu składek ZUS do refundacji) i zachowaniu zasad ustawowych. 

Pracodawca powinien przechowywać dane nie dłużej niż to będzie niezbędne do realizacji celów przetwarzania. Co najmniej raz na 5 lat ma dokonać przeglądu przydatności przetwarzania danych osobowych. 
 

Tabela 3.    Lista osób, których dane osobowe mogą być przetwarzane przez pracodawcę

Lp.	Kategorie osób
1.	Pracownicy (bez względu na podstawę powstania stosunku pracy)
2.	Niepracujący byli pracownicy
3.	Niepełnosprawni wykonujący pracę nakładczą
4.	Uczestniczący w procesie rekrutacji, odbywający szkolenie, staż̇,  przygotowanie zawodowe albo praktyki zawodowe lub absolwenckie
5.	Należący do grup wymienionych w art. 5 załącznika nr 1 do rozporządzenia Komisji (WE)  nr 800/2008 z 6 sierpnia 2008 r. uznającego niektóre rodzaje pomocy za zgodne  ze wspólnym rynkiem w zastosowaniu art. 87 i 88 Traktatu (ogólne rozporządzenie  w sprawie włączeń́ blokowych) (Dz. Urz. WE L 214 z 09.08.2008, str. 3, ze zm.)  oraz do rozporządzenia Komisji (UE) nr 651/2014 z 17 czerwca 2014 r. uznającego niektóre rodzaje pomocy za zgodne z rynkiem wewnętrznym w zastosowaniu art. 107 i 108 Traktatu (Dz. Urz. UE L 187 z 26.06.2014, str. 1 ze zm.)
6.	Członkowie rodzin pracowników i niepracujących byłych pracowników
7.	Niepełnosprawni zatrudnieni w publicznych i niepublicznych: uczelniach, szkołach, przedszkolach, żłobkach i innych formach wychowania przedszkolnego oraz placówkach opiekuńczo–wychowawczych, regionalnych placówkach opiekuńczo–terapeutycznych, interwencyjnych ośrodkach preadopcyjnych, placówkach resocjalizacyjnych, a także klubach dziecięcych
8.	Osoby korzystające z usług publicznych i niepublicznych jednostek organizacyjnych, których wyłącznym przedmiotem prowadzonej działalności jest rehabilitacja społeczna i lecznicza osób niepełnosprawnych, edukacja osób niepełnosprawnych lub opieka nad osobami niepełnosprawnymi

 

Podstawa prawna: art. 4, art. 27, art. 43, art. 163, art. 173 ustawy z 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. z 2019 r. poz. 730); art. 221, art. 221a, art. 221b, art. 222, art. 229 ustawy z 26 czerwca 1974 r. – Kodeks pracy (tekst jednolity:  Dz.U. z 2018 r. poz. 917 ze zm.); art. 36 ust. 2 ustawy z ustawy z 13 października 1998 r. o systemie ubezpieczeń społecznych (tekst jednolity: Dz.U. z 2019 r. poz. 300); art. 67 ust. 1 ustawy z 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych (tekst jednolity: Dz.U. z 2018 r. poz. 1510 ze zm.); załącznik nr 1 do rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej z 20 grudnia 2018 r. w sprawie określenia wzorów zgłoszeń do ubezpieczeń społecznych i ubezpieczenia zdrowotnego, imiennych raportów miesięcznych i imiennych raportów miesięcznych korygujących, zgłoszeń płatnika składek, deklaracji rozliczeniowych i deklaracji rozliczeniowych korygujących, zgłoszeń danych o pracy w szczególnych warunkach lub o szczególnym charakterze, raportów informacyjnych, oświadczeń o zamiarze przekazania raportów informacyjnych oraz innych dokumentów (Dz.U. z 2018 r. poz. 2495); art. 8 ustawy z 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych (tekst jednolity: Dz.U. z 2018 r. poz. 1316 ze zm.); art. 2b ustawy 27 sierpnia 1997 r. o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych (tekst jednolity: Dz.U. z 2018 r. poz. 511 ze zm.); art. 9–10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 119 z 04.05.2016, str. 1 ze zm.).