Podstawą przetwarzania danych osobowych pracowników i kandydatów do pracy są przepisy Kodeksu pracy. Został on w ostatnim czasie został zaktualizowany. Przyczyną tych zmian była konieczność uzyskania większej przejrzystości oraz dostosowanie przepisów krajowych do RODO. Czy wymagana jest zgoda na przetwarzanie danych osobowych kandydata do pracy i pracownika?
Kiedy wymagana jest zgoda na przetwarzanie danych osobowych kandydata do pracy?
Mówiąc o danych osobowych kandydata do pracy, mamy na myśli przede wszystkim informacje, które udostępnia on w CV lub liście motywacyjnym. Kodeks pracy wprost wskazuje, które dane pracodawca musi pozyskać. Do ich uzyskania nie jest wymagana zgoda. Do tej grupy należą:
- imię (imiona) i nazwisko;
- data urodzenia;
- dane kontaktowe wskazane przez kandydata do pracy.
Poza powyższym, pracodawca może wymagać też podania informacji o:
- wykształceniu;
- kwalifikacjach zawodowych;
- przebiegu dotychczasowego zatrudnienia.
Przykład 1.
Przedsiębiorca poszukuje osoby na stanowisko kierownika produkcji. Oczywiste jest, że oczekuje się od niej odpowiednich, często wysokich kwalifikacji. Dlatego, żądanie informacji potwierdzających te kwalifikacje (w tym wykształcenie i przebieg dotychczasowego zatrudnienia) jest uzasadnione i nie wymaga zgody.
Z drugiej strony przepisy Kodeksu pracy pozwalają na przetwarzanie również innych danych osobowych osoby ubiegającej się o zatrudnienie, na podstawie wyrażonej zgody. Nie można przy tym zapomnieć o bardzo ważnym warunku. Otóż niewyrażenie zgody przez kandydata do pracy lub jej wycofanie nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie oraz nie może powodować wobec niej żadnych negatywnych konsekwencji. Przede wszystkim nie może to być przyczyną odmowy zatrudnienia.
Przykład 2.
Pracodawca poszukuje osoby na stanowisko recepcjonistki. Ponieważ uważa, że wygląd pracownika kontaktującego się bezpośrednio z klientem ma duże znaczenie, bezwzględnie wymaga od kandydatów zamieszczenia zdjęcia w CV, a tym samym wyrażenia zgody na przetwarzanie wizerunku. Takie działanie jest niezgodne z prawem. Dopuszczalna byłaby natomiast sytuacja, w której zamieszczenie zdjęcia byłoby całkowicie dobrowolne i nie wiązałoby się to z żadną formą dyskryminacji kandydatów, którzy zdjęcia nie zamieścili.
Przetwarzanie danych osobowych na podstawie zgody może odbywać się na podstawie:
- danych udostępnianych przez osobę ubiegającą się o zatrudnienie na wniosek pracodawcy
- lub danych osobowych przekazanych pracodawcy z inicjatywy osoby ubiegającej się o zatrudnienie.
Dane osobowe pracownika – kiedy zgoda jest wymagana?
Gdy kandydat do pracy staje się pracownikiem, na pracodawcę spada szereg obowiązków prawnych, które wynikają z nawiązania stosunku pracy. Aby skutecznie je realizować, pracodawca musi mieć dostęp do szerszego zakresu informacji, niż te uzyskane w trakcie procesu rekrutacji. Katalog danych, do przetwarzania których nie jest wymagana zgoda, wygląda następująco:
- adres zamieszkania;
- numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość;
- inne dane osobowe pracownika, a także dane osobowe dzieci i innych członków jego najbliższej rodziny (jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy);
- wykształcenie i przebieg dotychczasowego zatrudnienia (jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie);
- numer rachunku płatniczego (jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych).
Poza powyższym, podobnie jak w przypadku kandydatów do pracy, pracodawca może przetwarzać inne dane na podstawie zgody wyrażonej przez pracownika. Zgoda pracownika jest zatem wymagana za każdym razem, gdy pracodawca chce przetwarzać dane wykraczające poza zamknięty katalog danych zaprezentowany powyżej.
Warunki uzyskania wiążącej zgody pracownika
Aby zgoda została uznana za wiążącą, musi spełniać kilka warunków. Powinna ona być:
- dobrowolna;
- świadoma;
- konkretna;
- jednoznacznym okazaniem woli.
W przypadku relacji pracodawca – pracownik największym wyzwaniem dla pracodawcy jest zapewnienie warunku dobrowolności zgody. Pracodawca pozostaje silniejszą stroną wobec pracownika, dlatego zakłada się, że ma on wiele możliwości wpływu na pracownika. Na brak równowagi sił w kontekście zatrudnienia zwróciła uwagę Grupa Robocza art. 29 (obecnie Europejska Rada Ochrony Danych), która wskazuje, że jest mało prawdopodobne, aby osoba, której dane dotyczą, była w stanie odmówić swojemu pracodawcy wyrażenia zgody na przetwarzanie danych bez doświadczenia obawy przed wystąpieniem lub rzeczywistego ryzyka wystąpienia szkodliwych skutków w wyniku odmowy.
Z powyższego powodu pracodawca powinien bardzo ostrożnie podchodzić do kwestii przetwarzania danych osobowych pracowników na podstawie zgody. Każdorazowo powinien on udowodnić, że została ona wyrażona dobrowolnie.
Przykład 3.
Dyrektor przedszkola prywatnego, w celu prowadzenia kampanii marketingowej, zamierza fotografować pracowników podczas organizowanego na terenie przedszkola wydarzenia kulturalnego. Fotografie mają zostać zamieszczone na stronie internetowej. Dyrektor umożliwia pracownikom, którzy nie chcą udostępnić swojego wizerunku wyjście poza kadr w momencie fotografowania. Jeśli nie stosuje z tego powodu żadnych restrykcji, przetwarzanie wizerunku pracowników może opierać się na zgodzie.
Przetwarzanie danych wrażliwych kandydata do pracy i pracownika na podstawie zgody
Dane wrażliwe (w RODO nazwane szczególnymi kategoriami danych) to dane dotyczące pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych lub światopoglądowych, przynależności do związków zawodowych, zdrowia, seksualności lub orientacji seksualnej. Są to również dane genetyczne oraz biometryczne. Obwarowane są one szczególnym restrykcjami dotyczącymi ich przetwarzania.
Wszystkie powyższe dane (poza danymi biometrycznymi, które zostaną omówione później) można przetwarzać na podstawie zgody pracownika. Podstawowa różnica pomiędzy danymi zwykłymi a wrażliwymi polega na tym, iż zgodnie z art. 9 RODO zgoda dotycząca danych wrażliwych powinna być wyrażona w sposób „wyraźny”.
Przykład 4.
Kandydat do pracy zawiera w CV informacje o swoich cechach charakteru lub zainteresowaniach. Ponieważ są to dane zwykłe, pracodawca nie musi żądać dodatkowej zgody na ich przetwarzanie. Można przyjąć, że zgoda została wyrażona poprzez dobrowolne przesłanie CV.
Kandydat do pracy zawiera w CV informację o tym, że jest chory na nieuleczalną chorobę i w związku z tym, musi mieć zapewnione szczególne warunki pracy. Ponieważ jest to informacja o stanie zdrowia i zalicza się ją do kategorii danych wrażliwych, pracodawca powinien zażądać od kandydata precyzyjnej, pisemnej zgody na przetwarzanie danych dotyczących jego stanu zdrowia.
Ponadto, z Kodeksu pracy wynika jeszcze jeden warunek dotyczący legalnego przetwarzania danych wrażliwych pracowników. Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych wrażliwych wyłącznie w przypadku, gdy ich przekazanie następuje z inicjatywy tych osób.
Przykład 5.
Dopuszczalna jest sytuacja, w której ze względu na specyficzne warunki pracy pracownik z własnej inicjatywy informuje pracodawcę o swoim stanie zdrowia. Pracodawca, po uzyskaniu jego wyraźnej zgody, może te dane przetwarzać.
Niedopuszczalna jest sytuacja, w której pracodawca, chcąc efektywniej zarządzać pracownikami, zachęca do podawania informacji o stanie zdrowia. Takie działanie nie będzie zgodne z prawem, nawet jeśli spełni się warunek dobrowolności zgody.
Przetwarzanie danych biometrycznych pracowników
Dane biometryczne oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, a dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby (np.wizerunek twarzy lub dane daktyloskopijne).
Mimo że RODO traktuje dane biometryczne jako rodzaj danych wrażliwych, w Kodeksie pracy zostały one wyodrębnione z tego katalogu. Przy obecnych uwarunkowaniach prawnych pracodawca może przetwarzać dane biometryczne bez zgody pracownika, jeżeli podanie takich danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, a także w przypadku dostępu do pomieszczeń wymagających szczególnej ochrony.
Pracodawca powinien jednak wówczas pamiętać o tym, by do przetwarzania takich danych dopuścić tylko osoby posiadające pisemne upoważnienie. Są one zobowiązane do zachowania ich w tajemnicy.
Podsumowanie
Pracodawca może przetwarzać dane zwykłe pracowników i kandydatów do pracy wykraczające poza katalog danych określony w Kodeksie pracy na podstawie zgody. Dane wrażliwe (inne niż biometryczne) można przetwarzać jedynie na podstawie wyraźnie udzielonej zgody i tylko z inicjatywy pracownika lub kandydata do pracy. Dane biometryczne pracowników można przetwarzać bez ich zgody po wystąpieniu okoliczności dotyczących systemu zabezpieczeń szczególnie ważnych informacji. Dane biometryczne kandydatów do pracy można przetwarzać na takich samych warunkach jak inne dane wrażliwe. Danych dotyczących wyroków skazujących i naruszeń prawa nie można przetwarzać na podstawie udzielonej zgody.
