Zatrudnienie wiąże się z koniecznością pozyskania informacji wyszczególnionych w Kodeksie pracy, przez co przetwarzanie danych osobowych pracownika staje się nieodłącznym elementem relacji służbowych. Pracodawca może ponadto planować wykorzystanie tych informacji w innych celach, na przykład marketingowych. Pojawia się zatem pytanie, czy podwładny ma prawo złożyć sprzeciw wobec takich działań oraz w jakich okolicznościach będzie to w pełni uzasadnione prawnie.
Przetwarzanie danych osobowych pracownika a żądanie ich przedstawienia przed zatrudnieniem
Dane osobowe, jakich pracodawca może wymagać od osoby ubiegającej się o zatrudnienie oraz od pracownika, są określone w przepisach Ustawy z dnia 26 czerwca 1974 roku – Kodeks pracy, zwanej dalej „kp”.
Na etapie rekrutacji pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:
- imię (imiona) i nazwisko,
- datę urodzenia,
- dane kontaktowe wskazane przez taką osobę.
Ponadto pracodawca żąda podania danych osobowych w zakresie wykształcenia, kwalifikacji zawodowych oraz przebiegu dotychczasowego zatrudnienia, z wyłączeniem informacji o wynagrodzeniu w obecnym stosunku pracy oraz w poprzednich stosunkach pracy – gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku.
Od pracownika pracodawca żąda podania dodatkowo danych osobowych obejmujących:
- adres zamieszkania;
- numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość;
- inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy;
- wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie;
- numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych.
Pracodawca żąda podania innych danych osobowych niż określone wyżej (art. 22(1) § 1 i 3 kp), gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.
Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której dane dotyczą, przy czym pracodawca może żądać udokumentowania danych osobowych osób ubiegających się o zatrudnienie i pracowników – w zakresie niezbędnym do ich potwierdzenia.
Przepisy kp określają inne dane osobowe, które mogą być przetwarzane za zgodą osoby ubiegającej się o zatrudnienie lub pracownika.
Oznacza to, że w myśl art. 22(1a) § 1 kp zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 22(1) § 1 i 3 kp, z wyjątkiem danych osobowych, o których mowa w art. 10 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej jako „RODO”). Wspomniany wyjątek (art. 10 RODO) odnosi się do przetwarzania danych osobowych dotyczących wyroków skazujących i naruszeń prawa.
Powyższe przetwarzanie dotyczy danych osobowych udostępnianych przez osobę ubiegającą się o zatrudnienie lub pracownika na wniosek pracodawcy lub danych osobowych przekazanych pracodawcy z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika.
Brak zgody, o której mowa w art. 22(1a) § 1 kp, lub jej wycofanie nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich żadnych negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę.
Ponadto zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych wymienionych w art. 9 ust. 1 RODO wyłącznie wtedy, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Również w tym przypadku brak zgody lub jej wycofanie nie może powodować żadnych negatywnych konsekwencji.
Czy sprzeciw pracownika w odniesieniu do danych osobowych wymaganych na podstawie kp jest dopuszczalny?
Powstaje zatem pytanie, czy pracownik może wnieść sprzeciw w sprawie przetwarzania danych osobowych wymaganych na podstawie przepisów kp?
Wymaga podkreślenia, że przetwarzanie danych osobowych pracownika jest zgodne z prawem, jeżeli są spełnione określone warunki wskazane w RODO (art. 6 ust. 1 lit. b i c).
Zgodność przetwarzania danych osobowych z prawem zachodzi zatem wówczas, gdy:
- przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
- przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.
Jakie dane osobowe mogą być przedmiotem sprzeciwu pracownika?
Jak już wspomnieliśmy, pracownik nie jest uprawniony do złożenia sprzeciwu w odniesieniu do danych osobowych wymaganych na podstawie przepisów kp. Jednocześnie może wnieść sprzeciw w stosunku do dodatkowych danych osobowych, czyli takich, które nie są niezbędne do wykonania umowy lub wypełnienia obowiązku prawnego wynikającego z zatrudnienia.
Podstawą prawną zgłoszenia sprzeciwu jest art. 21 RODO – zgodnie z jego treścią osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych, opartego na art. 6 ust. 1 lit. e lub f RODO, w tym profilowania na podstawie tych przepisów.
W tym przypadku chodzi więc o dane, których przetwarzanie jest niezbędne:
- do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
- do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych.
Jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania dotyczących jej danych osobowych na potrzeby takiego marketingu, w tym profilowania, w zakresie, w jakim przetwarzanie jest związane z takim marketingiem. Wniesienie sprzeciwu wobec przetwarzania do celów marketingu bezpośredniego oznacza, że danych osobowych nie wolno już przetwarzać do takich celów.
Istnieją jednocześnie okoliczności, w których sprzeciw wymaga uzasadnienia, a pracodawca może odmówić uwzględnienia woli pracownika w tej kwestii. Dotyczy to w szczególności sytuacji, gdy pracodawca wprowadził monitoring w miejscu pracy lub kontrolę służbowej poczty elektronicznej pracownika. W takich przypadkach pracownikowi przysługuje prawo sprzeciwu, które jednak nie ma bezwzględnego charakteru.
Przykład 1.
Ze względu na specyfikę prowadzonej działalności pracodawca wprowadził w jednostkach zakładu pracy szczególny nadzór nad terenem przedsiębiorstwa (monitoring). Nastąpiło to w zgodzie z przepisami art. 22(2) kp. Jeden z pracowników zgłosił sprzeciw wobec uruchomienia monitoringu, powołując się na art. 21 ust. 1 RODO. Działanie to uzasadnił swą szczególną sytuacją w postaci znacznego zmniejszenia komfortu pracy w związku z nadzorem oraz nieproporcjonalnością zastosowanych środków. Po pełnej analizie sytuacji pracodawca odrzucił sprzeciw pracownika, wykazując istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby (ochrona mienia przed kradzieżą i uszkodzeniem oraz konieczność ochrony pozostałych zatrudnionych osób).
W przypadku opisanym w przykładzie pracodawca jest obowiązany uzasadnić podjętą decyzję.
Oczywiście pracodawca może postąpić odwrotnie i uznać zasadność sprzeciwu – zależy to od przeprowadzonej przez niego oceny w konkretnej sytuacji.
Możliwe jest ponadto wystąpienie przez pracownika z pozwem do sądu cywilnego.
Czy pracownik może złożyć sprzeciw wobec przetwarzania jego danych osobowych? Podsumowanie
Pracodawca ma prawo żądać od kandydata do pracy i od pracownika określonych danych osobowych na podstawie przepisów kp. Pracownik może wnieść sprzeciw w stosunku do dodatkowych danych osobowych. W pewnych przypadkach sprzeciw wymaga uzasadnienia, a pracodawca może odmówić jego uwzględnienia. Dotyczy to m.in. sytuacji, gdy pracodawca wykaże istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą.
