Firmy będą zbierać znacznie mniej informacji o kandydatach do pracy niż obecnie. Nie są to jednak jedyne zmiany Kodeksu pracy, które resort cyfryzacji zaproponował w związku z dostosowywaniem przepisów branżowych do wymagań unijnego ogólnego rozporządzenia o ochronie danych (RODO).
Zmiany w tym kodeksie składają się na projekt nowelizujący ponad 100 ustaw. Obecnie, po pierwszym czytaniu w Sejmie, zajmują się nim dwie komisje. To drugi polski akt dostosowujący krajowe prawo do RODO. Pierwszy obowiązuje od 25 maja tego roku i też zawiera rozwiązania związane z ochroną danych osobowych w relacjach pracodawca-pracownik. Regulują one głównie zasady stosowania monitoringu wizyjnego. Kolejne będą dotyczyć przede wszystkim gromadzenia danych osobowych.
Zasada minimalizmu
Kandydat do pracy będzie musiał podać imię i nazwisko, datę urodzenia oraz dane do kontaktu z nim. Firma ma żądać tego od wszystkich osób, które obejmie rekrutacją. Pracodawcę mogą interesować: wykształcenie, przebieg wcześniejszego zatrudnienia, o które obecnie ma prawo pytać, oraz kwalifikacje zawodowe — pod warunkiem, że jest to niezbędne do wykonywaniapracy określonego rodzaju lub na określonym stanowisku. Tylko wówczas może wymagać przedstawienia tego rodzaju informacji. Jeśli jednak nie będą miały takiego znaczenia, o przedstawienie dotychczasowego stażu i edukacji dział kadr zwróci się dopiero po przyjęciu do pracy. Na taki wniosek wskazuje stwierdzenie w projekcie, że pracodawca zażąda od pracownika danych obejmujących wykształcenie i przebieg wcześniejszego zatrudnienia — jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o pracę.
— To zastanawiające. Jeśli w trakcie rekrutacji nie było potrzeby pozyskania takich informacji, to co może sprawić, że okażą się niezbędne dopiero po zatrudnieniu. Nie wykluczam istnienia sytuacji, w których taka praktyka może być uzasadniona, niemniej przepisy te nie są jasne — komentuje dr Damian Karwala, radca prawny i starszy prawnik zespołu prawa własności intelektualnej i nowych technologii w kancelarii CMS.
Jego zdaniem, także przy prostych czynnościach zawodowych, wykształcenie, czy chociażby kwalifikacje zawodowe, mogą mieć znaczenie dla pracodawcy, a proponowane rozwiązania mogą rodzić kłopoty z interpretacją. Dr Maciej Kawecki, dyrektor Departamentu Zarządzania Danymi w Ministerstwie Cyfryzacji (MC), wyjaśnia, że nie każda praca wymaga szczególnych kwalifikacji.
— Pozyskiwanie podczas rekrutacji w każdym przypadku informacji o wykształceniu jako obligatoryjnego kryterium zatrudnienia byłoby naruszeniem zasady minimalizmu, wynikającej z RODO. Dlatego projekt wskazuje, że żądanie ich powinno być uzasadnione — mówi dr Maciej Kawecki.
Tłumaczy, że po zakończonej rekrutacji wiedza o wykształceniu osoby przyjętej do pracy i jej wcześniejszym stażu zawodowym jest konieczna, ponieważ od tego mogą zależeć uprawnienia przysługujące pracownikom na podstawie prawa pracy.
— Jeśli te dane nie są niezbędne do wykonywania określonej pracy, pracodawca nie może o nie pytać kandydata, nie ma więc prawa od tego uzależniać decyzji o zatrudnieniu. Niższy stopień wykształcenia czy krótszy staż pracy może jedynie oznaczać, że ktoś nie skorzysta w danej chwili z pewnych uprawnień pracowniczych, np. z określonego wymiaru urlopu — dodaje.
Jak zauważa, kontrola i ocena, czy pracodawcy będą stosować się do tych ograniczeń, pozostanie w gestii Państwowej Inspekcji Pracy (PIP) i Urzędu Ochrony Danych Osobowych (UODO).
Nowe uprawnienie
Dr Damian Karwala, mimo pewnych wątpliwości co do przejrzystości sformułowania nowego katalogu danych pozyskiwanych obowiązkowo przed i po rekrutacji, uważa jednak, że większy problem mogą sprawiać regulacje, które pozwolą zbierać inne dodatkowe informacje na podstawie zgody kandydata do pracy lub pracownika.
— Różne organy wielokrotnie podnosiły, że w zatrudnieniu i na etapie rekrutacji należy ostrożnie podchodzić do zgody, bo mamy tu swoistą relację podporządkowania. Możliwość pozyskiwania zgody, wynikająca z proponowanych przepisów, jest dobrym rozwiązaniem, ale z zastrzeżeniem, że to nie oznacza zarazem wyłączenia innych podstaw do przetwarzania danych. Moim zdaniem brakuje potwierdzenia, choćby w uzasadnieniu do projektu, które odnosiłoby się do możliwości przetwarzania danych w celu wykonania umowy w relacjach zatrudnienia, do czego mogą być potrzebne inne dane niż tylko te wprost przewidziane w przepisach. To w zasadzie dość oczywiste, ale przydałaby się jakaś „kropka nad i” — ocenia radca z CMS.
— W uzasadnieniu zwracamy uwagę, że przepisy kodeksu pracy nie wyłączają powoływania się na inne niż w nim określone podstawy przetwarzania danych wynikające z RODO. Głównie chodzi o przesłankę żywotnych interesów, czyli np. kiedy pracodawca musi pozyskać dane osoby bliskiej, żeby chronić życie czy zdrowie pracownika. Będzie to w takim przypadku prawnie uzasadnione. Podobnie, gdy jakaś informacja okaże się niezbędna dla wykonania umowy. Projektowane przepisy i regulacje rozporządzenia unijnego się uzupełniają — wyjaśnia przedstawiciel ministerstwa.
Projekt nie pozwala jednak uzyskać — nawet za zgodą danej osoby — wiedzy o tym, czy była karana. Wyłączono bowiem z takiej możliwości informacje wymienione w art. 10 RODO, czyli o wyrokach skazujących i naruszeniach prawa. Według dr Damiana Karwali na tym tle może być spór, ponieważ istnieją dwa sposoby interpretacji tego przepisu. Jeden nakazuje wąskie rozumienie — to znaczy, że nawet zgoda nie uprawnia do zbierania takich informacji. Drugi, liberalny, dopuszcza ją, ponieważ art. 10 odsyła zarazem do art. 6 rozporządzenia, które wymienia wszystkie podstawy przetwarzania danych, w tym zgodę. Projektodawca stwierdza w uzasadnieniu, że przy silnym dążeniu pracodawców do pozyskiwania tego rodzaju danych oraz nierówności stron stosunku pracy, istnieje wysokie ryzyko, że byłyby one w stosunkach pracy pobierane nadmiarowo.
— Nie spotkałem się z tym, aby takie dane zbierano na zasadzie „sztuka dla sztuki”, a miałoby to uzasadnienie biznesowe. Przykładowo poza Polską takie wymagania są nakładane na duże grupy przedsiębiorstw międzynarodowych. Również nie bez znaczenia jest to dla działalności lokalnych firm z sektora finansowego, które chcą potwierdzenia, że ktoś, komu jest powierzana szczególna odpowiedzialność, nie miał wcześniej przygód z prawem. Jeśli pracodawcy zostaną pozbawieni takiej możliwości, mogą mieć niemały problem — ocenia dr Damian Karwala.
Wrażliwe i zwykłe
Jednocześnie zastanawia go, dlaczego informacje z art. 10 RODO potraktowano inaczej niż dane wrażliwe, do których należą m.in. informacje o stanie zdrowia, poglądach, wyznaniu czy dane biometryczne. Te, za uprzednią zgodą, pracodawca będzie mógł zbierać, aczkolwiek nie wiadomo, jak proceduralnie powinno to przebiegać. Sam nie powinien prosić o ich przekazanie, nie ma prawa wyjść z takim wnioskiem. Projekt wyraźnie zapowiada, że inicjatywę w tym zakresie może wykazać jedynie kandydat albo pracownik. To stawia pod znakiem zapytania możliwość stosowania w firmach gotowych formularzy z klauzulami wyrażenia zgody na przetwarzanie informacji wrażliwych, nawet jako punkty opcjonalne do zaznaczenia i podpisania przez rekrutowanego czy zatrudnionego. Taki kwestionariusz mógłby być potraktowany jako przejaw sugestii czy wniosku ze strony pracodawcy. Wydaje się więc, że dopiero gdy ktoś z własnej woli ujawni takie szczegóły ze swego życia prywatnego, obowiązkiem przedstawiciela działu HR będzie upewnić się co do zgody na ich przetwarzanie.
Zbieranie danych zwykłych, wykraczających poza katalog kodeksowy, będzie natomiast możliwe zarówno na wniosek pracodawcy, jak i gdy zostaną przedstawione mu z inicjatywy osoby, której dotyczą, np. w przesłanym CV. Pod warunkiem, że się na to zgodzi.
— To jest największa zmiana merytoryczna w przepisach, uprawniająca pracodawcę do odbierania zgody. RODO pozwala na takie działanie i daje państwom członkowskim UE prawo do uregulowania tej kwestii. W Polsce jednak do tej pory i orzecznictwo, i praktyka organu nadzoru wskazywała na to, że ze względu na podległość w relacjach związanych z zatrudnieniem pracodawca nie może występować o zgodę na przetwarzanie danych pracownika. Byliśmy pod tym względem bardzo restrykcyjni — podkreśla dr Maciej Kawecki.
Zastrzega przy tym, że brak takiej zgody czy jej wycofanie nie mogą nieść żadnych negatywnych konsekwencji dla osób ubiegających się o zatrudnienie i pracowników, szczególnie nie mogą wpływać na takie decyzje, jak odmowa przyjęcia do pracy czy zwolnienie z niej. Z projektu zniknęły natomiast pierwotnie proponowane zasady wykorzystania danych biometrycznych.
— Zrezygnowaliśmy z odrębnego uregulowania wykorzystania biometrii, ponieważ do tego wystarczy zgoda, co wynika bezpośrednio z RODO. Skoro w relacjach pracowniczych dopuścimy odbieranie zgody jako podstawy do przetwarzania dodatkowych danych, nie ma potrzeby wyróżniać tej kwestii w projektowanych przepisach — wyjaśnia przedstawiciel resortu cyfryzacji.
Według dr Damiana Karwali, widać tu ukłon projektodawcy wobec rynku i praktyki, przy czym w tym przypadku możliwość przetwarzania danych biometrycznych ma być podyktowana także względami bezpieczeństwa, a nie potrzebami związanymi ze stosunkiem pracy. Jak wynika z projektu skierowanego do Sejmu, pracodawca będzie mógł pobierać je od pracownika, jeśli okaże się to niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić firmę na szkodę lub dostępu do pomieszczeń wymagających szczególnej ochrony.