Jakie zasady obowiązują przy przetwarzaniu danych osobowych pracowników i kandydatów

RODO nie daje pracodawcy prawa do zbierania dowolnych informacji o kandydacie lub pracowniku. Zakres przetwarzanych danych ograniczają przede wszystkim przepisy Kodeksu pracy, przepisy szczególne oraz zasady wynikające z RODO, takie jak zgodność z prawem, celowość, minimalizacja, prawidłowość, ograniczenie okresu przechowywania oraz bezpieczeństwo danych.

Dane osobowe to wszelkie informacje dotyczące osoby zidentyfikowanej lub możliwej do zidentyfikowania. Przetwarzanie obejmuje działania takie jak zbieranie, przechowywanie, wykorzystywanie, udostępnianie czy usuwanie danych. Pracodawca powinien zawsze informować kandydatów i pracowników o celu i podstawie prawnej przetwarzania, o odbiorcach danych, okresie ich przechowywania oraz o przysługujących im prawach.

Jakie dane można zbierać w procesie rekrutacji?

W trakcie rekrutacji pracodawca może żądać od kandydata podstawowych danych, takich jak imię i nazwisko, data urodzenia oraz dane kontaktowe wskazane przez kandydata. Informacje dotyczące wykształcenia, kwalifikacji i historii zatrudnienia mogą być żądane tylko wtedy, gdy są niezbędne do wykonywania pracy na danym stanowisku.

Ważne jest, że informacje o wynagrodzeniu u obecnego lub poprzednich pracodawców nie należą do ustawowego zakresu danych, które pracodawca może wymagać. Kandydat może dobrowolnie udostępnić dodatkowe informacje, takie jak zdjęcie, jednak ich przetwarzanie wymaga wyraźnej i świadomej zgody, która musi być dobrowolna i konkretna.

Nie jest potrzebna zgoda na przetwarzanie danych, które pracodawca może zbierać na mocy prawa, co oznacza, że podstawę prawną stanowią przepisy prawa pracy, a nie zgoda kandydata.

Jakie dane pracodawca może przetwarzać po zatrudnieniu pracownika?

Po nawiązaniu stosunku pracy zakres danych, które może przetwarzać pracodawca, rozszerza się. Pracodawca ma prawo żądać adresu zamieszkania oraz numeru PESEL, a jeśli ten numer nie istnieje, może zażądać rodzaju i numeru dokumentu tożsamości. Ponadto pracodawca może przetwarzać dane o dzieciach lub najbliższej rodzinie, jeśli są one niezbędne do przyznania określonych uprawnień pracowniczych, a także numer rachunku bankowego pracownika, jeśli nie złożył on wniosku o wypłatę wynagrodzenia do rąk własnych.

W przypadku innych danych, pracodawca może je przetwarzać tylko wtedy, gdy są niezbędne do wykonania obowiązku prawnego lub skorzystania z przysługujących uprawnień pracowniczych. Przykładowo, może zweryfikować prawdziwość danych, które ma prawo zebrać, ale nie może zbierać informacji prywatnych niezwiązanych z pracą lub zbierać danych "na zapas".

Jakie zasady dotyczą przetwarzania danych szczególnych kategorii i monitoringu pracowników?

Dane szczególnych kategorii, takie jak dane dotyczące zdrowia, podlegają szczególnej ochronie. Pracodawca może je przetwarzać tylko w określonych sytuacjach i na podstawie odpowiedniej podstawy prawnej, np. gdy pracownik przekazuje takie dane z własnej inicjatywy i wyraża na to zgodę, która musi być jednoznaczna i świadoma.

Monitoring w miejscu pracy to również przetwarzanie danych osobowych i powinien być stosowany tylko wtedy, gdy jest niezbędny dla bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji lub ochrony tajemnicy przedsiębiorstwa. Monitoring nie może naruszać godności ani dóbr osobistych pracowników.

Kamera nie powinna obejmować pomieszczeń sanitarnych, szatni, stołówek ani palarni. Wyjątkiem jest sytuacja, gdy jest to niezbędne i zastosowane są odpowiednie środki ochrony prywatności. Pomieszczenia udostępnione organizacjom związkowym są wyłączone z monitoringu. Dostęp do nagrań powinien być ograniczony, a same nagrania usuwane po upływie określonego czasu, chyba że przepisy stanowią inaczej.

Jakie są obowiązki pracodawcy wobec pracowników w zakresie ochrony danych?

Pracodawca musi przestrzegać zasady minimalizacji danych, czyli przetwarzać tylko te dane, które są niezbędne do realizacji określonego celu. Dane kandydatów, którzy nie zostali zatrudnieni, nie powinny być przechowywane bezterminowo. Ich dalsze przetwarzanie, na przykład w celu przyszłych rekrutacji, wymaga odrębnej podstawy prawnej i uzasadnienia.

W aktach pracowniczych należy oddzielać dane niezbędne do zatrudnienia, wypłaty wynagrodzenia, rozliczeń i realizacji praw pracowniczych. Dostęp do danych powinien być ograniczony do osób, które ich potrzebują do wykonywania swoich obowiązków. Dane należy usuwać lub archiwizować zgodnie z obowiązującymi terminami prawnymi.

Coraz częściej w procesach zatrudnienia wykorzystywane są narzędzia cyfrowe i systemy rekrutacyjne. Niezależnie od technologii, obowiązują te same zasady: określony cel, niezbędny zakres danych, przejrzystość oraz ograniczony czas przechowywania danych.

Jakie znaczenie ma odpowiednia infrastruktura IT w ochronie danych pracowników?

Bezpieczeństwo danych osobowych pracowników i kandydatów wymaga zastosowania odpowiednich rozwiązań IT. Wybór serwera, na którym przechowywane są dane, powinien uwzględniać wysokie standardy bezpieczeństwa, takie jak szyfrowanie danych, regularne kopie zapasowe oraz odpowiednio zarządzana poczta firmowa, która chroni przed nieautoryzowanym dostępem.

Przechowywanie danych na niezabezpieczonych serwerach lub korzystanie z niesprawdzonych usług hostingowych może skutkować wyciekiem informacji i naruszeniem przepisów RODO. Dlatego wybór odpowiedniego dostawcy usług hostingowych oraz konfiguracja systemów w sposób zapewniający zgodność z przepisami o ochronie danych osobowych jest kluczowa dla każdego pracodawcy.

Wykorzystane materiały

• https://sip.lex.pl/akty-prawne/dzu-dziennik-ustaw/kodeks-pracy-16789274/art-22-1
• https://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU20250000277/T/D20250277L.pdf
• https://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU20260001245/T/D20261245L.pdf
• https://sip.lex.pl/akty-prawne/dzu-dziennik-ustaw/kodeks-pracy-16789274/art-22-2
• https://bip.uodo.gov.pl/pl/701/4471