➕Dbamy o Twój biznes

Jedną z najbardziej doniosłych kwestii, które uregulowała tzw. ustawa wdrażająca RODO (ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679), jest dopuszczalność przetwarzania danych osobowych pracowników i kandydatów do pracy w oparciu o ich zgodę, co dotąd było kwestionowane w orzecznictwie sądowym. Kodeks pracy określa zasady udzielania takiej zgody, jak również konsekwencje odmowy jej wyrażenia lub cofnięcia. Zmiany obowiązują od 4 maja 2019 r. i już teraz budzą ogromne emocje wśród pracowników działów HR.

Ratio legis nowych regulacji

W poprzednich wpisach wskazywaliśmy jakie dane osobowe pracodawca może przetwarzać podczas rekrutacji (piszemy o tym tutaj), a jakie już po zatrudnieniu pracownika (wpis dostępny tutaj). Dane te pracodawca ma prawo przetwarzać bez zgody samego zainteresowanego, gdyż na to zezwala mu (a obecnie już nie tylko dopuszcza, ale wręcz nakazuje) konkretny przepis prawa (art. 22¹ k.p.). Na gruncie prawa pracy często jednak dochodzi do przetwarzania danych osobowych wykraczających poza ustawowy katalog i aby było to legalne, istnieć musi ku temu podstawa prawna. Tą podstawą jest zgoda, jakiej może udzielić podmiot danych – odpowiednio kandydat do pracy lub pracownik. Jest to istotne novum, bowiem przed omawianą nowelizacją przepisów sądy administracyjne kwestionowały dopuszczalność opierania przetwarzania danych pracownika w oparciu o jego zgodę, gdyż ten – jako słabsza strona stosunku pracy, podporządkowana finansowo i organizacyjnie pracodawcy – nie ma swobody w wyrażaniu woli. Wedle tych zapatrywań pracownik, w obawie przed negatywnymi konsekwencjami odmowy udzielenia zgody bądź jej cofnięcia, zawsze będzie czuł przymus i wyrazi zgodę przez co jego oświadczenie będzie pozbawione dobrowolności, a więc jednej z czterech (obok świadomości, konkretności i jednoznaczności) fundamentalnych cech, jakie zgoda winna posiadać. Rozwiązanie to jednak stanowiło broń obosieczną, pozbawiając pracownika prawa do wyrażania woli w sprawach go dotyczących. Praktyka zresztą zignorowała wytyczne sądów, czego najlepszym dowodem było choćby zamieszczanie zdjęć pracowników na stronach internetowych czy w stopkach maili, za ich zgodą właśnie, co w ten sposób sprzyjało promowaniu wizerunku samych pracowników. W takich wypadkach trudno doszukać się elementu przymusu ze strony pracodawców.

Ustawodawca, dążąc do wyważenia obu wyżej wskazanych racji, uregulował powyższą kwestię w art. 22^1a k.p. Od 4 maja 2019 r. zgoda będzie mogła stanowić podstawę przetwarzania danych osobowych rekruta i pracownika, jednak pracodawca nie będzie mógł wyciągać ujemnych konsekwencji, gdy podmiot danych odmówi udzielenia zgody bądź udzieloną już zgodę cofnie.

Zgoda na przetwarzanie „zwykłych” danych osobowych i dane „karne”

Zgodnie z treścią art. 22^1a § 1 k.p. zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 22¹ § 1 i 3, z wyjątkiem danych osobowych, o których mowa w art. 10 rozporządzenia 2016/679. Tym samym ustawodawca wykluczył możliwość przetwarzania danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych (lub powiązanych środków bezpieczeństwa) nawet gdyby pracownik (rekrut) wyraził na to zgodę lub, co więcej, sam dostarczył takich danych. Przykładowo, gdyby kandydat do pracy przesłał skan zaświadczenia o niekaralności lub złożył kopię do swoich akt z własnej woli, pracodawca ma obowiązek niezwłocznie te dane usunąć ze swych zasobów. Oczywiście zabronione jest także wypytywanie rekrutów i pracowników na okoliczność ich niekaralności. Tylko gdy konkretny przepis prawa upoważnia pracodawcę do gromadzenia takich informacji o osobie, ich przetwarzanie będzie dopuszczalne (np. w przypadku pracowników ochrony osób i mienia). Co istotne, przepisy mówiące o konieczności „nieskazitelnego charakteru” kandydata do pracy i inne podobne regulacje nie dopuszczające wprost zbadania niekaralności kandydata, nie upoważniają do przetwarzania danych dotyczących wyroków skazujących czy czynów zabronionych – nie można w takiej sytuacji żądać od kandydata zaświadczenia o niekaralności.

Wyżej wskazany przepis przesądził zatem dopuszczalność wyrażenia przez pracownika i rekruta zgody na przetwarzanie danych osobowych. Mając na względzie wyrażone w orzecznictwie sądowym obawy w przedmiocie dobrowolności tego oświadczenia osoba ubiegająca się o zatrudnienie oraz pracownik zyskali gwarancje bezpieczeństwa ze strony ustawodawcy. W myśl bowiem art. 22^1a § 2 k.p. brak zgody lub jej wycofanie, nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę. Przepis ten już działa na wyobraźnię pracowników agencji rekrutacyjnych i działów HR, zwłaszcza zachodnich korporacji, wśród których tak popularne jest przeprowadzanie rozmaitych testów, które sprawdzają nie tylko kwalifikacje zawodowe, ale mają na celu np. określenie profilu osobowościowego kandydata, jego odporności na stres, itp. Łatwo wyobrazić sobie sytuację, w której kandydat do pracy nie zgodzi się na poddanie takiemu testowi, wskutek czego nie będzie miał szans na zatrudnienie. Jeśli odmowa zgody będzie powodem braku angażu (czy przejścia do kolejnej fazy rekrutacji), sformułowanie pod adresem pracodawcy zarzutu dyskryminacji będzie w pełni uprawnione.

Ważne jest także zastrzeżenie zawarte w art. 22^1a § 3 k.p., zgodnie z którym przetwarzanie na podstawie zgody dotyczy danych osobowych udostępnianych przez osobę ubiegającą się o zatrudnienie lub pracownika na wniosek pracodawcy lub danych osobowych przekazanych pracodawcy z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Oznacza to, że pracodawca może wystąpić o wyrażenie zgody na przetwarzanie danych, „dopytując” o informacje wykraczające poza Kodeks pracy i nie musi czekać na inicjatywę pracownika, która oczywiście także może mieć miejsce. Pamiętać jednakże należy, iż regulacja ta dotyczy wyłącznie danych „zwykłych”.

Zgoda na przetwarzanie danych szczególnych kategorii

Przetwarzanie danych osobowych szczególnych kategorii (tzw. dane wrażliwe), o których mowa w art. 9 ust. 1 RODO, zostało uregulowane odrębnie. Co do zasady, zgodnie z art. 22^1b § 1 k.p., zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę tych danych osobowych, wyłącznie w przypadku, gdy ich przekazanie następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Tym samym pracodawca nie może podczas rekrutacji zwracać się m.in. o podanie danych dotyczących zdrowia, wyznania, poglądów politycznych czy przynależności związkowej. Inicjatywa w tym zakresie należeć będzie do rekruta, przy czym pamiętać należy o tym, iż zgodnie z art. 9 ust. 2 lit. a) zgoda ta musi być „wyraźna”, więc najlepiej ją odebrać na piśmie lub w formie dokumentowej (np. w korespondencji mailowej), by w myśl zasady rozliczalności (art. 5 ust. 2 RODO) móc wykazać dochowanie wymogów. W wypadku natomiast pracowników sytuacja będzie bardziej złożona, gdyż w czasie zatrudnienia bardzo często podają oni dane dotyczące zdrowia, by móc skorzystać ze szczególnych uprawnień przewidzianych w prawie pracy. Wówczas jednak zgoda nie będzie wymagana, gdyż podstawę prawną pracodawca odnajdzie w art. 22¹ § 3 pkt 3 k.p.

Wyjątkowa regulacja dotyczy także danych biometrycznych, które także zaliczają się do szczególnych kategorii danych osobowych. Odnosi się ona wyłącznie do pracowników, a nie rekrutów. Zgodnie z art. 22^1b § 2 k.p. „przetwarzanie danych biometrycznych pracownika jest dopuszczalne także wtedy, gdy podanie takich danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony”. Zgoda pracownika na przetwarzanie tych wrażliwych danych nie będzie wymagana, ale jeden z dwóch wskazanych w przepisie warunków musi zostać spełniony. Pamiętać należy, iż w/w możliwości nie można rozciągać na rejestrowanie czasu pracy pracowników, który to cel nie uzasadnia wystarczająco przetwarzania danych biometrycznych pracowników.

Podobnie jak w wypadku danych „zwykłych” brak zgody na przetwarzanie danych szczególnych kategorii (lub jej wycofanie) nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę.

Na marginesie warto jeszcze zwrócić uwagę na fakt, iż – zgodnie z art. 22^1b § 3 k.p. – do przetwarzania „wrażliwych” danych osobowych mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania takich danych wydane przez pracodawcę, a osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w tajemnicy.

Podsumowanie

Mając na względzie nowe regulacje Kodeksu pracy w zakresie ochrony danych osobowych pracowników i rekrutów wyłania nam się podział na:

• dane, które można przetwarzać bez zgody podmiotu danych – chodzi o dane wymienione w katalogu ujętym w art. 22¹ k.p. oraz dane biometryczne w sytuacji, o której mowa w art. 22^1b § 2 k.p.;

• dane, które można przetwarzać za zgodą podmiotu danych z jego inicjatywy bądź na wniosek pracodawcy – do nich zaliczać się będą wyłącznie dane osobowe „zwykłe”;

• dane, które można przetwarzać za zgodą podmiotu danych wyłącznie z jego inicjatywy (pracodawca nie może prosić o ich podanie ani sugerować ich podania) – dotyczy to szczególnych kategorii danych osobowych;

• dane, których nie można przetwarzać nawet za zgodą podmiotu danych (nawet gdyby zgłaszał inicjatywę w tym zakresie) – chodzić tu będzie o dane osobowe „karne”, tj. dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa).

Data publikacji: 14.05.2019.