Wejście w życie unijnych przepisów o ochronie danych osobowych wprowadziło rewolucję w wielu obszarach działalności firm. Szczególnym wyzwaniem stało się stosowanie RODO w HR, gdzie prawidłowe przetwarzanie danych pracowników i kandydatów do pracy jest kluczowe dla legalności działań. Jakie obowiązki spoczywają na pracodawcy i jak bezpiecznie zarządzać informacjami o zespole zgodnie z nowymi regulacjami?
Czym jest RODO i dlaczego jest tak ważne w HR?
RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE) to akt prawny Unii Europejskiej, który ujednolica przepisy dotyczące ochrony danych osobowych na terenie całej UE. Jego głównym celem jest wzmocnienie praw osób fizycznych w zakresie ich danych, a także nałożenie na administratorów danych (w tym przypadku pracodawców) konkretnych obowiązków.
W kontekście HR RODO ma szczególne znaczenie, ponieważ pracodawca przetwarza szeroki zakres danych, często o charakterze wrażliwym, takich jak:
dane identyfikacyjne (imię, nazwisko, PESEL, adres);
dane kontaktowe (numer telefonu, adres e-mail);
dane dotyczące wykształcenia i doświadczenia zawodowego;
dane finansowe (numer konta bankowego, wynagrodzenie);
dane dotyczące zdrowia (np. orzeczenia lekarskie, zwolnienia lekarskie);
dane biometryczne (np. odciski palców w systemach kontroli dostępu – tylko w ściśle określonych i uzasadnionych przypadkach);
informacje o karalności (tylko w przypadkach, gdy przepisy prawa na to zezwalają).
Naruszenie przepisów RODO może skutkować wysokimi karami finansowymi, ale również utratą reputacji i zaufania zarówno wśród obecnych, jak i potencjalnych pracowników.
Podstawowe zasady przetwarzania danych osobowych w HR zgodnie z RODO
Zgodnie z art. 5 RODO dane osobowe muszą być:
legalnie, rzetelnie i w sposób przejrzysty przetwarzane (zasada legalności, rzetelności i przejrzystości), co w praktyce oznacza to, że każde działanie z danymi musi mieć podstawę prawną, a osoby, których dane dotyczą, muszą być informowane o tym, jak ich dane są przetwarzane;
zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami (zasada ograniczenia celu). Pracodawca może zbierać tylko te dane, które są niezbędne do realizacji określonego celu, np. zatrudnienia pracownika;
adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (zasada minimalizacji danych). Nie można zbierać danych „na zapas” ani gromadzić informacji, które nie są potrzebne do realizacji konkretnego celu;
prawidłowe i w razie potrzeby uaktualniane (zasada prawidłowości). Pracodawca ma obowiązek dbać o to, by przetwarzane dane były aktualne i zgodne ze stanem faktycznym;
przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane (zasada ograniczenia przechowywania). Dane nie mogą być przechowywane w nieskończoność. Po upływie okresu niezbędnego do realizacji celu powinny zostać usunięte lub zanonimizowane;
przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych (zasada integralności i poufności). Pracodawca musi wdrożyć środki bezpieczeństwa chroniące dane przed dostępem osób nieuprawnionych, utratą czy zniszczeniem;
administrator jest odpowiedzialny za przestrzeganie zasad i musi być w stanie wykazać ich przestrzeganie (zasada rozliczalności). Pracodawca musi być w stanie udowodnić, że działa zgodnie z RODO.
Podstawy prawne przetwarzania danych w HR
Przetwarzanie danych osobowych musi opierać się na jednej z podstaw prawnych wymienionych w art. 6 RODO. W kontekście HR najczęściej wykorzystywane są:
zgoda osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO). Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. W relacji pracownik – pracodawca zgoda jest często trudna do uzyskania w pełni dobrowolny sposób ze względu na nierówność stron. W praktyce stosuje się ją głównie do przetwarzania danych wykraczających poza Kodeks pracy (np. wizerunek pracownika na stronie internetowej firmy, dane o hobby do celów integracyjnych).
Przykład 1.
Pracodawca chce opublikować zdjęcie pracownika na firmowej stronie internetowej. Czy musi uzyskać wyraźną zgodę pracownika na przetwarzanie wizerunku w tym celu?
Tak, ponieważ taki obowiązek wynika z RODO.
niezbędność do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO). Wiele przepisów prawa nakłada na pracodawców obowiązek zbierania i przetwarzania określonych danych (np. Kodeks pracy, przepisy podatkowe, ubezpieczeniowe).
Przykład 2.
Pracodawca chce przetwarzać dane dotyczące wynagrodzenia i składek ZUS swoich pracowników – czy ma do tego prawo?
Tak, co więcej – jest to jego obowiązek prawny wynikający z ustawy o systemie ubezpieczeń społecznych oraz Kodeksu pracy.
niezbędność do wykonania umowy lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b RODO). Przetwarzanie danych jest niezbędne do zawarcia i realizacji umowy o pracę.
Przykład 3.
Jan kandyduje na stanowisko specjalisty w firmie X. Czy potencjalny pracodawca może przetwarzać dane, które znajdują się w CV i liście motywacyjnym kandydata?
Tak, ponieważ jest to konieczne w celu przeprowadzenia rekrutacji i ewentualnego zawarcia umowy o pracę z Janem.
niezbędność do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią (art. 6 ust. 1 lit. f RODO). Ta podstawa jest stosowana ostrożnie i tylko wtedy, gdy interes administratora przeważa nad interesami lub podstawowymi prawami i wolnościami osoby, której dane dotyczą.
Przykład 4.
Monitoring wizyjny w miejscu pracy w celu zapewnienia bezpieczeństwa mienia lub pracowników, pod warunkiem spełnienia wszystkich wymogów prawnych (przejrzysta informacja, proporcjonalność).
Kluczowe obowiązki pracodawcy (administratora danych) w HR
Zgodnie z obowiązującymi przepisami pracodawca musi w jasny i zrozumiały sposób poinformować pracowników i kandydatów do pracy o:
swojej tożsamości i danych kontaktowych;
danych kontaktowych Inspektora Ochrony Danych (jeśli został powołany). Obowiązek ten dotyczy m.in. podmiotów publicznych oraz firm, których główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych (art. 37 RODO);
celach i podstawach prawnych przetwarzania danych;
odbiorcach danych;
okresie przechowywania danych;
prawach osób, których dane dotyczą (prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu);
prawie do wniesienia skargi do organu nadzorczego (Prezesa Urzędu Ochrony Danych Osobowych);
informacji, czy podanie danych jest wymogiem ustawowym lub umownym.
Zatrudniający jest również zobowiązany do wdrożenia odpowiednich środków technicznych i organizacyjnych. Obejmuje to m.in.:
szyfrowanie danych;
pseudonimizację;
regularne tworzenie kopii zapasowych;
ograniczenie dostępu do danych tylko do upoważnionych osób;
szkolenia dla personelu HR;
fizyczne zabezpieczenia (zamknięte pomieszczenia, szafy, sejfy).
W przypadku naruszenia danych osobowych (np. wyciek danych, nieuprawniony dostęp), administrator ma obowiązek zgłosić ten fakt Prezesowi Urzędu Ochrony Danych Osobowych w ciągu 72 godzin od stwierdzenia naruszenia. W niektórych przypadkach (gdy naruszenie może powodować wysokie ryzyko dla praw lub wolności osób fizycznych) musi również zawiadomić osoby, których dane dotyczą.
Podsumowanie - RODO w HR
RODO w HR to nie tylko zbiór skomplikowanych przepisów, lecz przede wszystkim filozofia odpowiedzialnego i świadomego zarządzania danymi osobowymi. Prawidłowe wdrożenie zasad RODO w procesach rekrutacji i zatrudnienia to inwestycja w bezpieczeństwo, zaufanie i pozytywny wizerunek pracodawcy. Regularne audyty, szkolenia dla personelu HR oraz bieżące śledzenie zmian w przepisach to klucz do zachowania zgodności z RODO i uniknięcia kosztownych konsekwencji prawnych i wizerunkowych. Warto pamiętać, że ochrona danych osobowych to wspólna odpowiedzialność, a każda osoba mająca dostęp do danych powinna być świadoma swojej roli w zapewnianiu ich bezpieczeństwa.
