Lista pracowników spełnia w firmach ważne zadanie, ponieważ służy celom ewidencyjnym. Czy podanie imienia i nazwiska zatrudnionego, a nierzadko także jego numeru telefonu lub adresu e-mail może stanowić naruszenie przepisów z zakresu ochrony danych osobowych? Czy w takim przypadku znajdują zastosowanie odpowiednie regulacje RODO?
Lista pracowników
Pracownik ma obowiązek stawić się w zakładzie pracy w wyznaczonym dniu i godzinie oraz pozostawać do dyspozycji zatrudniającego przez umówiony okres. W przypadku niewielkich firm obecność pracownika można zweryfikować stosunkowo łatwo, w dużych zakładach pracy jest to trudniejsze zadanie. Listy pracownicze pozwalają przedsiębiorcy na poprawne ewidencjonowanie czasu pracy jego podwładnych. Odnotowuje się na nich wejście i wyjście pracownika w zakładzie pracy. Listy pracownicze spełniają jeszcze jeden ważny cel – służą do określania prawa do wynagrodzenia za pracę wykonaną w godzinach nadliczbowych oraz w porze nocnej.
Sporządzanie i prowadzenie pracowniczych list obecności nie jest obowiązkowe. Z drugiej strony pracodawcy mają obowiązek ewidencjonowania czasu pracy zatrudnionych, o czym wprost stanowi art. 149 Kodeksu pracy. Zgodnie z treścią tego przepisu pracodawca prowadzi ewidencję czasu pracy pracownika do celów prawidłowego ustalenia jego wynagrodzenia i innych świadczeń związanych z pracą. Pracodawca udostępnia tę ewidencję pracownikowi, na jego żądanie. W stosunku do pracowników objętych systemem zadaniowego czasu pracy, pracowników zarządzających w imieniu pracodawcy zakładem pracy oraz pracowników otrzymujących ryczałt za godziny nadliczbowe lub za pracę w porze nocnej nie ewidencjonuje się godzin pracy.
„Ciężar udowodnienia faktu spoczywa na osobie, która z faktu tego wywodzi skutki prawne. Skoro powód domaga się zasądzenia wynagrodzenia za pracę w godzinach nadliczbowych i dodatku nocnego, to jasne jest, że z faktów warunkujących te świadczenia wywodzi skutki prawne. Oznacza to, że to na nim spoczywa ciężar dowodu w zakresie wykonywania pracy w godzinach nadliczbowych i nocnych. Przerzucenie tego obowiązku na pracodawcę jest niemożliwe”.
Ustawodawca nie określa, w jaki sposób powinny wyglądać listy pracownicze, jednak praktyka pokazuje, że są to bardzo proste dokumenty. Widnieje na nich imię i nazwisko każdego zatrudnionego, miejsce na jego podpis, godziny przybycia i opuszczenia firmy, a niekiedy także dane kontaktowe zatrudnionego (e-mail lub telefon, rzadziej jego miejsce zamieszkania). Listy obecności mogą być przy tym sporządzane zarówno w tradycyjnej formie papierowej, jak i elektronicznej. Czy tego typu informacje mogą być jednak jawne dla pozostałych pracowników lub klientów firmy? Czy nie podlegają ochronie ze strony RODO?
Lista pracowników a ochrona danych osobowych
Imię i nazwisko, adres zamieszkania, numer telefonu lub adres e-mail stanowią co do zasady dane osobowe o charakterze wrażliwym. To z kolei oznacza, że podlegają ochronie prawnej chociażby na podstawie naszych rodzimych przepisów Ustawy z dnia 10 maja 2018 roku o ochronie danych osobowych. Jak stanowi art. 4 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), zwane dalej RODO – „dane osobowe” oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Z powyższego wynika, że imię i nazwisko człowieka co do zasady jest chronione przez przepisy RODO, podobnie jak numer telefonu i adres e-mail, o ile można je powiązać z daną osobą (np. wskutek indywidualnego charakteru adresu mailowego zawierającego nazwisko jego właściciela).
Informacje podawane na liście pracowników podlegają ochronie RODO, co w praktyce oznacza, że nie można umieszczać na nich wszystkich informacji. Przepisy unijnego rozporządzenia wprost zabraniają przetwarzania danych wskazujących na pochodzenie rasowe, etniczne, przekonania religijne czy przynależność partyjną lub wyznaniową danego pracownika. Dotyczy to także przyczyn nieobecności w pracy. O ile więc sama nieobecność w firmie powinna być odnotowana na liście pracowniczej, o tyle jej powód nie może być oficjalnie znany innym osobom. Nieobecność musi być zatem odnotowywana na liście tym samym znakiem dla wszystkich zatrudnionych, np. symbolem „Nb”. Dokładny powód absencji pracowniczej będzie znany wyłącznie pracodawcy oraz kadrze zarządzającej firmą i naliczającej wypłaty.
Przykład 1.
W firmie X funkcjonuje papierowa lista obecności. Pracodawca nakazał, aby każda nieobecność była na niej odnotowywana ze szczególnym uwzględnieniem. Pod listą widnieje legenda ze skrótami dotyczącymi konkretnej przyczyny nieobecności – m.in. NbUw (nieobecność z powodu urlopu wypoczynkowego), NbZ (nieobecność z powodu zwolnienia lekarskiego), NbŻ (nieobecność z powodu urlopu na żądanie), NbN (nieobecność nieusprawiedliwiona). Pracodawca zobowiązał swoich pracowników do tego, aby oprócz podania informacji o swojej nieobecności wpisywali oni na listę skróty będące objaśnieniem przyczyny absencji. Czy taka lista obecności jest zgodna z RODO? Nie, ponieważ wskazuje na przyczynę nieobecności pracownika, co nie powinno być podawane do wiadomości reszcie zatrudnionych. Pracodawca może wymagać wyłącznie podania faktu samej nieobecności w pracy, jednak stosowane skróty opisujące przyczynę absencji są niedopuszczalne. W obecnej formie sposób prowadzenia list pracowniczych narusza przepisy RODO.
Przykład 2.
W firmie Z prowadzona jest elektroniczna lista obecności pracowników. Podawane są na niej 2 maile zatrudnionych – służbowy oraz prywatny. Czy takie dane podlegają ochronie ze strony RODO i czy mogą być umieszczane na listach pracowniczych? Służbowe maile mogą być widoczne na listach pracowniczych dla wszystkich pozostałych osób, w tym także dla klientów firmy. Nie dotyczy to jednak prywatnych adresów e-mail, które ze względu na szczególną ochronę RODO powinny być usunięte z listy pracowniczej.
Aby lista pracownicza spełniała swoje zadania i była zgodna z przepisami RODO, mogą się na niej znaleźć tylko następujące informacje:
- imię i nazwisko pracownika;
- dane pracodawcy lub kierownika działu;
- obowiązujący okres pracy np. tygodniowy, miesięczny lub kwartalny;
- godziny rozpoczęcia i zakończenia pracy;
- liczba przepracowanych godzin;
- informacja o nieobecności pracownika bez podawania przyczyny absencji;
- podpis pracownika i jego przełożonego.
Przekazywanie listy pracowników podmiotom zewnętrznym
Listy pracownicze mogą spełniać jeszcze inną funkcję niż ewidencja czasu pracy. Chodzi przede wszystkim o przeprowadzane szkolenia wewnętrzne lub zewnętrzne. Czy w takim przypadku pracodawca może przekazać dane zatrudnionych osób podmiotowi odpowiedzialnemu za ich przeszkolenie? Tak, i nie będzie stanowiło to naruszenia RODO. Dane osobowe pracowników mogą być podane również na formularzu zewnętrznym firmy szkoleniowej, a nie tylko na listach sporządzonych przez samego pracodawcę.
Warto pamiętać, że zatrudniający ma prawo zgłosić pracownika na szkolenie również bez jego zgody i przekazać jego dane osobowe szkoleniowcowi. Powinno to jednak nastąpić pod pewnymi warunkami – przekazanie danych powinno być okrojone zakresowo, tzn. musi zawierać tylko niezbędne informacje na temat danego pracownika. Z reguły będzie to podanie jego imienia i nazwiska, względnie służbowego telefonu lub maila. Ponadto przekazanie danych może dotyczyć wyłącznie szkolenia.
Podsumowanie
Lista pracowników zawiera dane wrażliwe, które chronione są przez RODO. Są one dostępne do wglądu innym osobom zatrudnionym w firmie, przy czym nie mogą naruszać przepisów unijnego rozporządzenia o ochronie danych osobowych. W praktyce oznacza to, że na takich listach nie mogą znaleźć się informacje wskazujące na pochodzenie rasowe, etniczne, przekonania religijne czy przynależność partyjną lub wyznaniową danego pracownika, a także identyfikujące jego nieobecność w pracy. Listy pracowników mogą być przekazywane podmiotom trzecim, o ile służy to celom szkoleniowym.
