Nieuprawnione przetwarzanie danych osobowych przez pracodawcę

Ochrona danych osobowych to jeden z istotnych obowiązków każdego pracodawcy, który do wspomnianych danych uzyskuje dostęp już w procesie rekrutacji pracowników. Przetwarzanie danych osobowych przez pracodawcę ma jednak miejsce w całym okresie zatrudnienia pracownika, w szczególności przy czynnościach związanych z zakończeniem stosunku pracy, w tym w trybie wypowiedzenia.

Wypowiedzenie umowy o pracę

Zgodnie z art. 30 § 1 pkt 2 Kodeksu pracy (kp) umowa o pracę rozwiązuje się przez oświadczenie jednej ze stron z zachowaniem okresu wypowiedzenia – tzw. rozwiązanie umowy o pracę za wypowiedzeniem. Aby wypowiedzenie było skuteczne, pismo z jego treścią należy doręczyć pracownikowi. Od dnia doręczenia wypowiedzenia biegnie okres wypowiedzenia, po którego upływie stosunek pracy ustaje.

W praktyce w przypadku wypowiedzenia dokonywanego ze strony pracodawcy na spotkaniu przedstawiciela pracodawcy ze zwalnianym pracownikiem następuje przekazanie pracownikowi pisemnego oświadczenia w tej sprawie. Niekiedy obecne są na nim również inne osoby, np. w roli świadków. Zazwyczaj nie dokonuje się wypowiedzenia umowy o pracę drogą korespondencyjną, gdyż skuteczne rozwiązanie z pracownikiem umowy o pracę wymaga jego obecności w pracy – jak bowiem stanowi art. 41 kp, pracodawca nie może wypowiedzieć umowy o pracę w czasie urlopu pracownika, a także w czasie innej usprawiedliwionej nieobecności w pracy, jeżeli nie upłynął jeszcze okres uprawniający do rozwiązania umowy o pracę bez wypowiedzenia. Można się jednak spodziewać, że w związku z rozwojem elastycznych form zatrudnienia (np. pracy zdalnej) coraz częściej stosowane będzie przesyłanie wypowiedzeń z wykorzystaniem różnych dróg komunikowania się na odległość. 

Pamiętać należy przy tym, że prawidłową formą dokonania wypowiedzenia jest forma pisemna lub równoważna z nią forma elektroniczna polegająca na złożeniu oświadczenia woli w postaci elektronicznej i opatrzeniu go kwalifikowanym podpisem elektronicznym (art. 30 § 3 kp oraz art. 78 i 78¹ Kodeksu cywilnego).

Przetwarzanie danych osobowych przez pracodawcę

Zakres przedmiotowy dopuszczalnego przetwarzania danych osobowych przez pracodawcę został uregulowany przede wszystkim w art. 221–221b kp. Od osoby ubiegającej się o zatrudnienie pracodawca może żądać podania danych osobowych obejmujących: imię (imiona) i nazwisko, datę urodzenia, dane kontaktowe wskazane przez taką osobę, wykształcenie, kwalifikacje zawodowe i przebieg dotychczasowego zatrudnienia. Natomiast od pracownika pracodawca może żądać dodatkowo danych osobowych obejmujących:

• adres zamieszkania;

• numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość;

• inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy;

• numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych;

• a także innych danych osobowych niż wymienione wyżej, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. 

Inne dane osobowe mogą być przetwarzane za zgodą osoby zainteresowanej. Przetwarzanie danych biometrycznych pracownika jest dopuszczalne wtedy, gdy ich podanie jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony.

Decyzja Generalnego Inspektora Ochrony Danych Osobowych

Do Biura Generalnego Inspektora Ochrony Danych Osobowych (organu, który nie funkcjonuje już w obecnym stanie prawnym) wpłynęła w 2011 roku skarga dotycząca nieprawidłowego wręczenia wypowiedzenia umowy o pracę, które – zdaniem skarżącego –  odbyło się w obecności nieupoważnionych osób trzecich, bez zgody skarżącego: osoba wręczająca wypowiedzenie w imieniu pracodawcy (dyrektor oddziału banku) dokonała tego w obecności innego pracownika oddziału, udostępniając tym samym dane dotyczące tego wypowiedzenia osobie nieupoważnionej.

W toku postępowania administracyjnego Generalny Inspektor Ochrony Danych Osobowych (GIODO) ustalił, że:

• skarżący był zatrudniony w banku na podstawie umowy o pracę;

• przełożona skarżącego, będąca dyrektorem oddziału banku, wręczyła mu pismo wypowiadające umowę o pracę – treść pisma została skarżącemu odczytana, a przy dokonywaniu tych czynności obecny był inny pracownik;

• zgodnie z obowiązującą w banku instrukcją służbową w sprawie zatrudniania, przenoszenia, przeszeregowania i rozwiązywania umów o pracę w banku, pismo w sprawie rozwiązania umowy o pracę wręcza pracownikowi dyrektor, bezpośredni przełożony lub nadzorujący dyrektor banku, w obecności drugiego wskazanego przez siebie pracownika;

• pracownikowi, który był obecny przy wręczaniu wypowiedzenia skarżącemu, bank nadał wcześniej upoważnienie do przetwarzania danych osobowych pracowników oddziału banku w ramach udziału w czynnościach związanych z wręczeniem skarżącemu wypowiedzenia umowy o pracę (w dniu dokonania wypowiedzenia upoważnienie to obowiązywało).

W związku z powyższym, rozpatrując skargę, decyzją z 23 listopada 2011 roku (DOLiS/DEC-997/11 dot. DOLiS-440-1011/10), GIODO stwierdził, że skoro pracownik obecny przy wręczaniu wypowiedzenia skarżącemu przez jego przełożoną posiadał upoważnienie do przetwarzania danych osobowych w ramach udziału w czynnościach związanych z wręczeniem wspomnianego wypowiedzenia, nie można uznać, iż uzyskując dostęp do danych osobowych skarżącego w okolicznościach wskazanych w skardze, był osobą do tego nieupoważnioną. Bank jako administrator danych nie naruszył zatem przepisów o ochronie danych osobowych.

Na marginesie GIODO zauważył, że nie posiada on kompetencji do ewentualnego cofnięcia nieprawidłowo wręczonego wypowiedzenia, czego domagał się skarżący. Zarówno o tym, czy wypowiedzenie umowy o pracę jest skuteczne, jak i o konsekwencjach uznania takiego wypowiedzenia za bezskuteczne orzekają sądy pracy, o których mowa w art. 262 § 1 kp. Jest to bowiem kwestia dotycząca roszczeń ze stosunku pracy, nie zaś sprawa z zakresu ochrony danych osobowych.

Czy pogląd GIODO jest nadal aktualny?

Analizując rozstrzygnięcie i argumentację GIODO przedstawione w omówionej wyżej decyzji, należy uznać, że organ ten uznał za prawnie dopuszczalne uczestniczenie w czynnościach związanych z wręczeniem pracownikowi wypowiedzenia umowy o pracę, obok osoby dokonującej wręczenia, także innego pracownika, o ile został on wyposażony w stosowne upoważnienie ze strony administratora danych osobowych (pracodawcy). A contrario, uczestniczenie w takich czynnościach bez wspomnianego upoważnienia należy uznać za nieuprawnione przetwarzanie danych osobowych.

Omawiana decyzja GIODO była wydana w czasie obowiązywania Ustawy z dnia 29 sierpnia 1997 roku o ochronie danych osobowych, która utraciła moc 6 lutego 2019 roku. Obecnie zagadnienia związane z ochroną danych osobowych regulują:

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) – dalej „RODO”;

• Ustawa z dnia 10 maja 2018 roku o ochronie danych osobowych.

Obecnie organem powołanym do prowadzenia postępowań w sprawie naruszenia przepisów o ochronie danych osobowych nie jest GIODO, lecz Prezes Urzędu Ochrony Danych Osobowych.

Pomimo wspomnianej zmiany przepisów normujących problematykę danych osobowych można uznać, że pogląd GIODO o konieczności posiadania upoważnienia do uczestniczenia w czynnościach związanych z wręczeniem wypowiedzenia przez wszystkie osoby biorące udział w tych czynnościach ze strony pracodawcy, pozostaje aktualny. 

Do takiego wniosku skłania brzmienie art. 29 RODO, który stanowi, że podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego. Przepis ten interpretowany jest w orzecznictwie w ten sposób, że do przetwarzania danych osobowych nie można dopuszczać osób, które nie posiadają w tym zakresie odpowiedniego upoważnienia.

Wręczenie wypowiedzenia pracownikowi jest czynnością, przy której dokonywaniu dochodzi do przetwarzania danych osobowych pracownika związanych ze stosunkiem pracy. Osoby obecne przy dokonywaniu wspomnianej czynności uzyskują dostęp do tych danych, a w konsekwencji, aby działać zgodnie z przepisami o ochronie danych osobowych, muszą posiadać upoważnienia do ich przetwarzania w stosownym zakresie, udzielone przez pracodawcę (administratora danych).