Choć od wejścia w życie RODO minęło już kilka miesięcy, to duża liczba pracodawców nadal ma wątpliwości, czy ich działania są zgodne z obowiązującym prawem. Wiele informacji pojawiających się w związku z obowiązującymi przepisami jest sprzecznych i czasami trudno znaleźć odpowiednie rozwiązanie. Jednym z takich problemów, który nadal sprawia kłopoty, jest kwestia tego jakie dane osobowe można przetwarzać w związku z zatrudnieniem pracownika. Czy można od niego żądać podania imion rodziców? Obowiązujący wzór świadectwa pracy zawiera bowiem miejsce na podanie właśnie tych danych. Także protokół powypadkowy, który musi wypełnić służba BHP, zawiera dane o imieniu ojca pracownika. Jak należy postąpić w sytuacji, gdy z jednej strony przepisy RODO zabraniają przetwarzania wymienionych danych, a przepisy Kodeksu pracy (kp) nadal ich wymagają?
RODO – jakie dane osobowe może przetwarzać pracodawca?
RODO, czyli Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych), obowiązuje od 25 maja 2018 roku i nakłada na podmioty przetwarzające dane osobowe szereg nowych obowiązków. Już w pierwszym punkcie rozporządzenia czytamy, że „ochrona osób fizycznych w związku z przetwarzaniem danych osobowym jest jednym z praw podstawowych (…), każda osoba ma prawo do ochrony danych osobowych jej dotyczących”.
Jedną z podstawowych zasad RODO jest zasada adekwatności do celu przetwarzania danych. Pkt. 39 wspomnianego rozporządzenia mówi, że dane osobowe „powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne dla celów, dla których są one przetwarzane”. Pozyskiwanie danych o imionach rodziców pracownika, zdaniem wielu ekspertów (m.in. z Urzędu Ochrony Danych Osobowych), stoi w sprzeczności właśnie z wyrażoną w RODO zasadą adekwatności. Stanowisko RODO jest niespójne z nadal obowiązującym art. 22¹ § 1 kp, który mówi, że pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:
-
imię (imiona) i nazwisko,
-
imiona rodziców,
-
datę urodzenia,
-
miejsce zamieszkania (adres do korespondencji),
-
wykształcenie,
-
przebieg dotychczasowego zatrudnienia.
§ 2 tego artykułu dodatkowo precyzuje, że od osoby już zatrudnionej pracodawca ma prawo żądać – oprócz danych takich samych, jak od osoby ubiegającej się o zatrudnienie – także:
-
innych danych osobowych pracownika, także imion i nazwisk oraz dat urodzenia jego dzieci, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy;
-
numeru PESEL pracownika nadanego przez Rządowe Centrum Informatyczne Powszechnego Elektronicznego Systemu Ewidencji Ludności (RCI PESEL).
Zgodnie z nadal obowiązującymi przepisami pracy imiona rodziców można zatem pozyskiwać i od pracowników, i od kandydatów na pracowników. Stawia to pracodawców w trudnej sytuacji – z jednej strony muszą bowiem wystawić świadectwo pracy lub wypełnić protokół powypadkowy, w którym należy podać imiona rodziców pracownika, a z drugiej muszą być w zgodzie z obowiązującym Rozporządzeniem RODO, które każe im kierować się zasadą adekwatności w przetwarzaniu danych. Jeżeli bowiem zastanowimy się nad każdą z danych osobowych zawartych w katalogu danych w kp, to rzeczywiście imiona rodziców nie wydają się być „niezbędne dla celów, dla których są przetwarzane”.
Celem zbierania danych od kandydata na pracownika jest poznanie jego przydatności do pracy na danym stanowisku, a więc oprócz danych umożliwiających identyfikację niezbędne są również dane dotyczące jego wykształcenia czy przebiegu dotychczasowego zatrudnienia. Natomiast od już zatrudnionej osoby niezbędne i adekwatne do celu – jakim jest między innymi zgłoszenie pracownika do ZUS – jest podanie nr PESEL czy danych dzieci, które pracownik chciałby zgłosić do ubezpieczenia zdrowotnego. Imiona rodziców nie mieszczą się zatem w katalogu danych, które obecnie powinno się żądać od pracowników.
Co zrobić z już wypisanymi kwestionariuszami zawierającymi imiona rodziców?
Wszyscy pracownicy zatrudnieni przed 25 maja 2018 roku, a więc jeszcze przed wejściem przepisów RODO, mają w swoich teczkach osobowych kwestionariusze z imionami rodziców i nie ma potrzeby ich wymieniać. Problem dotyczy pracowników zatrudnionymi już po wejściu w życie nowej ustawy. Od nich nie należy pobierać danych dotyczących imion ich rodziców, co oznacza, że jeżeli świadectwo pracy będzie wystawiane osobie, która była zatrudniona przed 25 maja 2018 roku – dane o imionach jej rodziców mogą się znaleźć w świadectwie pracy, a u tych zatrudnionych po tej dacie – nie będzie można wpisać w świadectwie pracy imion rodziców. Zatem przy wystawianiu świadectw pracy trzeba będzie sprawdzić datę zatrudnienia i rodzaj kwestionariusza osobowego, który jest podstawą pozyskiwania danych od kandydata lub pracownika. Wiadomo, że jeżeli damy pracownikom do wypełnienia kwestionariusz zgodny z RODO, to nie będzie tam informacji o imionach rodziców, w związku z czym i na świadectwie pracy takiej osoby nie będą mogły się one znaleźć.
Imiona rodziców w protokole powypadkowym – jak należy postąpić?
Imię ojca pracownika jest wykorzystywane także w protokole powypadkowym. Ten zaś sporządza się, gdy pracownik ulegnie wypadkowi w pracy. Sporządza go zespół powypadkowy, w którego skład wchodzi pracownik odpowiedzialny za bezpieczeństwo i higienę pracy oraz społeczny inspektor pracy w ciągu 14 dni od wypadku, a dokument zatwierdza pracodawca. Wzór protokołu powypadkowego określa Rozporządzenie Ministra Gospodarki i Pracy z dnia 16 września 2004 roku w sprawie wzoru protokołu ustalenia okoliczności i przyczyn wypadku przy pracy z dnia 16 września 2004 roku.
W protokole powypadkowym należy podać dane osobowe dotyczące poszkodowanego w wypadku pracownika, takie jak:
-
imię i nazwisko,
-
datę i miejsce urodzenia,
-
miejsce zamieszkania,
-
PESEL,
-
imię ojca.
W związku z tym osoba sporządzająca protokół zwraca się najczęściej do komórki kadrowej z prośbą o podanie tych danych. Problemem będzie zatem wypełnienie protokołu powypadkowego dotyczącego osoby, która została zatrudniona po 25 maja 2018 roku, gdyż osobie takiej przekazano do wypełnienia kwestionariusz dla osoby ubiegającej się o zatrudnienie oraz kwestionariusz dla pracownika zgodny z RODO, a więc niezawierający danych dotyczących imion rodziców. W tej sytuacji konieczne wydaje się uzyskanie zgody od pracownika na podanie tych danych. Powinna ona dotyczyć tylko tej konkretnej sytuacji, gdyż – jak wynika z RODO – powinna być ona wyrażona „w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą , na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia”.
To, czy można żądać od pracownika imion jego rodziców po wejściu w życie przepisów RODO, wydaje się być kwestia skomplikowaną. Aby nie popaść w przesadę można jednak stwierdzić, że dopóki nie został zmieniony art. 22¹ kp, to nie będzie błędem, jeżeli te dane osobowe będą nadal przetwarzane. Choć, jak było wspomniane wcześniej, Urząd Ochrony Danych Osobowych przedstawił w tej kwestii inny pogląd. Brak zmiany przepisów kp w tym zakresie powoduje niepotrzebny chaos i zamieszanie. Należy tylko mieć nadzieję, że nowy kp wejdzie wkrótce w życie i pracodawcy nie będą mieli kłopotów z tym problemem. Do tego czasu każdy podmiot przetwarzający dane osobowe musi sam zdecydować, czy powinien te dane przetwarzać.
