Od dnia 25 maja 2018 r. Ogólne rozporządzenie o ochronie danych, zwane dalej: „RODO”, stanie się aktem prawnym bezpośrednio stosowanym w państwach członkowskich Unii Europejskiej, w tym w Polsce. Zgodnie z jego art. 88 ust. 3 każde państw członkowskie do ww. terminu ma obowiązek zawiadomić Komisję o swoich przepisach przyjętych w zakresie przetwarzania danych osobowych pracowników w związku z zatrudnieniem, a następnie ma niezwłocznie zawiadamiać o każdej późniejszej ich zmianie. W Polsce istnieją obecnie dwa projekty ustaw na podstawie których, zmieniony ma zostać m.in. Kodeks pracy.

Najprawdopodobniej jednak, żaden z nich nie zostanie przyjęty do ww. terminu, co może niestety prowadzić do wielu nieprawidłowości i nadużyć oraz rodzić daleko idącą niepewność prawną. W niniejszym artykule zostaną omówione głównie zmiany Kodeksu pracy proponowane w najnowszym projekcie, a związane z dwoma podstawami przetwarzania danych osobowych, jakimi są: obowiązek prawny oraz zgoda pracownika lub kandydat na pracownika. Tylko na marginesie zostaną wskazane zmiany proponowane w starszym projekcie.

Przechodząc do konkretów, to na wstępie należy wskazać, iż w dniu 14 września 2018 r. na stronie Ministerstwa Cyfryzacji pojawił się projekt z dnia 12 września 2017 r. ustawy – Przepisy wprowadzające ustawę o ochronie danych osobowych. Natomiast w dniu 30 marca 2018 r. pojawił się kolejny projekt ustawy  o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679 z dnia 28 marca 2018 r. Oba projekty przewidują zmiany w Kodeksie pracy związane z wdrożeniem głównych założeń RODO. Dotyczą one przede wszystkim wprowadzenia instytucji zgody jako podstawy legalizującej przetwarzanie danych osobowych pracownika lub kandydata na pracownika oraz możliwości stosowania przez pracodawcę różnego rodzaju monitoringu. Niestety ich szczegółowe założenia różnią się od siebie.

Odnosząc się do  pierwszej podstawy przetwarzania danych osobowych jaką jest wypełnianie obowiązku prawnego (zgodnej z art. 6 ust. 1 lit c. RODO), to najpierw należy wskazać, że na podstawie obecnie jeszcze obowiązującego art. 22(1) § 1 i 2 Kodeksu pracy pracodawca ma tylko uprawnienie do żądania podania określonych danych osobowych od pracownika lub kandydata na pracownika. Natomiast nowe brzmienie tych przepisów, proponowane przez oba projekty będzie wskazywało na obowiązek prawny pracodawcy w zakresie pozyskiwania określonych kategorii danych osobowych od pracownika lub kandydata na pracownika. Pracodawca będzie, więc mógł żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:

1. imię (imiona) i nazwisko;

2. datę urodzenia;

3. dane kontaktowe wskazane przez taką osobę;

4. wykształcenie;

5. przebieg dotychczasowego zatrudnienia.

W starszym projekcie zamiast ogólnego sformułowania „dane kontaktowe”, zostały wskazane szczegółowo – adres do korespondencji, adres poczty elektronicznej albo numer telefonu.

Natomiast zgodnie z § 2 art. 22(1) Kodeksu pracy, pracodawca będzie mógł żądać od pracownika podania danych osobowych obejmujących:

1. adres zamieszkania;

2. numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość;

3. inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych będzie konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy.

Ze starszego projektu wynika natomiast, że pracodawca będzie mógł żądać od pracownika podania tylko tych danych, które wynikają bezpośrednio z art. 22(1) § 2, gdyż treść propozycji tego przepisu nie zawiera przysłówka „dodatkowo”. Trudno w tym miejscu jednolicie wskazać, czy jest to omyłka pisarska, czy zapis ten ma głębszy sens np. niepowielania danych osobowych, a tym samym ich minimalizacji w funkcjonujących obecnie dwóch kwestionariuszach osobowych (dla osoby ubiegającej się o zatrudnienie i pracownika). Natomiast odnośnie adresu do korespondencji, adresu poczty elektronicznej albo numeru telefonu w starszym projekcie wskazano ponadto, że pracodawca będzie mógł przetwarzać te dane po nawiązaniu stosunku pracy tylko w przypadku, gdy pracownik wyrazi na to zgodę.

W obu projektach zgodnie wskazano, że udostępnienie pracodawcy danych osobowych będzie następowało w formie oświadczenia osoby, której dotyczy. Natomiast według nowszego pracodawca będzie mógł żądać udokumentowania danych osobowych pozyskanych od tych osób tylko w zakresie niezbędnym do ich potwierdzenia. Natomiast na podstawie starszego projektu pracodawca będzie mógł żądać udokumentowania danych osobowych, jeśli uzna za konieczne ich potwierdzenie.

Inne dane osobowe (niewymienione w katalogu obligatoryjnych danych pozyskiwanych przez pracodawcę) będą mogły być pobierane, gdy będzie to niezbędne do wypełniania obowiązku pracodawcy nałożonego przepisem prawa. Podobna regulacja znajduje się również w starszym projekcie. Dotyczy to np. informacji o niekaralności w przypadku pracowników służby cywilnej czy samorządowych.

Przechodząc do drugiej podstawy przetwarzania danych osobowych, jaką jest zgoda pracownika lub kandydata na pracownika (zgodnej z art. 6 ust. 1 lit. a RODO) należy wskazać, że zgodnie z projektowanym przepisem art. 22(2) Kodeksu pracy, gromadzenie innych niż obligatoryjne danych osobowych osoby ubiegającej się o zatrudnienie lub pracownika zostanie uzależnione również od pozyskania na to ich zgody, jednak zostanie ograniczone do sytuacji, w których przetwarzanie takich danych będzie korzystne dla tych osób. O tym, czy podanie określonych danych będzie spełniało przesłankę „bycia korzystnym” dla kandydata lub pracownika, będą oceniały obie strony stosunku pracy. Natomiast ostateczną decyzję, czy podanie tych danych rzeczywiście leży w interesie pracownika, będzie podejmował sam pracownik, udzielając zgody na ich przetwarzanie lub odmawiając jej udzielenia. Natomiast w starszym projekcie – przetwarzanie danych osobowych za zgodą pracownika lub kandydata na pracownika ma być dopuszczalne tylko wtedy, gdy dane te będą dotyczyły stosunku pracy. Również to określenie jest bardzo ogólne i może budzić liczne kontrowersje.

Następnie, należy wskazać, że oba projekty przewidują, iż brak zgody lub jej późniejsze wycofanie, nie będzie mogło być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie będzie mogło powodować wobec nich jakichkolwiek negatywnych konsekwencji, zwłaszcza nie będzie mogło stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę.

Przepisy będą także wyraźnie przesądzać, iż pozyskanie danych za zgodą kandydata do pracy lub pracownika, będzie mogło nastąpić zarówno z inicjatywy pracodawcy jak również pracownika. Obejmie to zatem wszystkie dane osobowe, które kandydat do pracy lub pracownik dobrowolnie dostarczy pracodawcy (np. informacje o dodatkowych kwalifikacjach zawodowych), jak również przypadki, w których to pracodawca wystąpi z inicjatywą pozyskania określonych danych, a ich udostępnienie będzie korzystne dla pracownika. Na przykład informacja dotycząca posiadania przez pracownika prawa jazdy, w sytuacji, w której pracodawca przewiduje na danym stanowisku pracy przyznanie samochodu służbowego, a pracownik uzna, iż jest to dla niego korzystne. Kandydat do pracy lub pracownik nie zawsze bowiem muszą mieć świadomość jakich danych podanie może jeszcze polepszyć ich sytuację pracowniczą. Ponadto wskazanie w przepisie, iż dane „za zgodą” można pobrać bezpośrednio od kandydata lub pracownika uniemożliwi pracodawcom stosowanie praktyki tzw. „backgroud screeningu”, czyli pozyskiwania danych osobowych od osób trzecich (np. byłych pracodawców).

Zgodnie z nowym projektem przetwarzanie danych osobowych wyszczególnionych w art. 9 ust. 1 (tzw. danych wrażliwych ujawniających m.in. pochodzenie rasowe lub etniczne, poglądy polityczne, przynależność do związków zawodowych, dane genetyczne, biometryczne, czy dotyczące zdrowia) i art. 10 RODO (dotyczących wyroków skazujących i naruszeń prawa) będzie co do zasady niedopuszczalne, chyba, że ich pozyskanie będzie niezbędne do wypełniania obowiązku pracodawcy nałożonego przepisem prawa. Jedynie w przypadku danych biometrycznych projektodawca w nowym projekcie zaproponował, aby mogłyby być one także pobierane od pracownika w sytuacjach, w których podanie takich danych będzie niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę lub dostępu do pomieszczeń wymagających szczególnej ochrony. Brak będzie jednak podstawy dla pozyskiwania danych biometrycznych od osób ubiegających się o zatrudnienie. W starszym projekcie kwestia danych biometrycznych uregulowana została zgoła inaczej, gdyż można byłoby je pozyskać tylko za zgodą pracownika i tylko gdyby one dotyczyły stosunku pracy. Projektodawca dodatkowo przewidział w tym projekcie delegację ustawową do wydania przez ministra właściwego do spraw informatyzacji rozporządzenia określającego sposób gromadzenia danych biometrycznych, uwzględniający zapewnienie ochrony przetwarzania tych danych odpowiednio do zagrożeń. Ponadto wyróżnił kategorię danych osobowych, których przetwarzanie z uwagi na ich szczególny związek ze sferą intymną człowieka nie powinno następować za zgodą. Dotyczyć ma to danych o nałogach, o stanie zdrowia, o życiu seksualnym lub orientacji seksualnej. Ich gromadzenie będzie możliwe wyłącznie w przypadkach, gdy będzie to konieczne dla wypełnienia obowiązku wynikającego z przepisu prawa.

Wpis nie stanowi porady ani opinii prawnej w rozumieniu przepisów prawa  oraz ma charakter wyłącznie  informacyjny. Stanowi  wyraz poglądów jego  autora na tematy prawnicze związane z treścią przepisów prawa, orzeczeń sądów, interpretacji organów państwowych i publikacji prasowych. Kancelaria Ostrowski i Wspólnicy Sp.K. i autor wpisu nie ponoszą odpowiedzialności za ewentualne skutki decyzji podejmowanych na jego podstawie.