Wątpliwa dobrowolna zgoda na pozyskanie danych

06-12-2017, 22:00

Gromadzenie informacji o pracownikach powinno wiązać się z umową o pracę. Są opinie, że po reformie to nie będzie takie oczywiste

Nie tylko katalog pozyskiwanych przez pracodawcę informacji o pracownikach i osobach ubiegających się o pracę ma się zmienić, gdy wejdzie w życie reforma ochrony danych osobowych. Będzie też tak, a w każdym razie wynika to z projektu przyszłych nowych polskich przepisów, że ustawodawca pozwoli na zdobycie dodatkowej wiedzy o tych osobach za ich zgodą.

Wyświetl galerię [1/2]

NIEDOSTĘPNE KONTO: Projektowane przepisy są tak sformułowane, że nie wiadomo, czy pracodawca będzie mógł uzyskać np. numer rachunku bankowego pracownika — uważa Damian Karwala, radca prawny i starszy prawnik w Zespole Prawa Własności Intelektualnej i Nowych Technologii kancelarii CMS. Fot. ARC

Na potrzeby stosunku pracy

Obecnie Kodeks pracy stwierdza, że pracodawca ma prawo do uzyskania określonych informacji. Po zmianach będzie po prostu ich żądał. Kandydat do pracy ma podać oczywiście swoje imiona i nazwisko, datę urodzenia, a ponadto adres do korespondencji, adres poczty elektronicznej albo numer telefonu (to nowy wymóg), dane o wykształceniu i przebiegu dotychczasowego zatrudnienia. Osoba zatrudniona zostanie zobowiązana do podania adresu zamieszkania, numeru PESEL (w przypadku jego braku — rodzaju i numeru dokumentu potwierdzającego tożsamość, co będzie nowością) oraz innych danych osobowych, a także dzieci pracownika i pozostałych członków najbliższej rodziny, jeżeli to konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy. Dane osobowe mają być wykorzystywane tylko w zakresie niezbędnym do realizacji stosunku pracy i udostępniane w formie oświadczenia, przy czym pracodawca będzie mógł żądać ich udokumentowania, jeżeli uzna za konieczne ich potwierdzenie. Kodeks dopuści przetwarzanie przez pracodawcę informacji spoza ustawowej listy, jeżeli wiążą się ze stosunkiem pracy i osoba, której one dotyczą, zgodzi się na to w oświadczeniu złożonym w postaci papierowej lub elektronicznej. Po zatrudnieniu również zachowanie adresu do korespondencji, e-mail czy numeru telefonu przekazanych podczas rekrutacji będzie wymagało zgody.

Sporo wątpliwości

Damian Karwala, radca prawny i starszy prawnik w Zespole Prawa Własności Intelektualnej i Nowych Technologii kancelarii CMS, zauważa, że w relacjach pracowniczych gromadzenie i wykorzystywanie informacji o zatrudnionych będzie możliwe wyłącznie na podstawie przepisów prawa, a szczególnie Kodeksu pracy. Według projektodawcy, czyli resortu cyfryzacji, taka przesłanka stanowi główną podstawę legalizującą przetwarzanie danych osobowych pracowników lub kandydatów do pracy. W pozostałym zakresie potrzebna będzie wspomniana zgoda, co — zdaniem radcy — rodzi istotne zastrzeżenia i pytanie o zgodność z unijnym rozporządzeniem (RODO), które zacznie być stosowane we wszystkich krajach członkowskich od 25 maja przyszłego roku.

— Unijne regulacje nie ograniczają podstaw przetwarzania danych, możliwych do wykorzystania w obszarze HR. Wniosku takiego nie sposób wyprowadzić w szczególności z art. 6 rozporządzenia, który zawiera katalog możliwych do wykorzystania przesłanek (odnoszących się do tzw. danych zwykłych), z których ponadto wszystkie są równoprawne. Nie wydaje się też, aby było tak, jak wskazano w uzasadnieniu do projektowanych zmian, że regulacje RODO przyznają państwom członkowskim swobodę w określaniu zasad przetwarzania przez pracodawców danych osobowych ich podwładnych. Faktem jest, że art. 88 dopuszcza możliwość uregulowania na poziomie krajowym tych kwestii w kontekście zatrudnienia, jednak ten przepis pozwala jedynie na doprecyzowanie ogólnych reguł wynikających z rozporządzenia w celu zapewniania ochrony praw i wolności pracowników. Nie wydaje się natomiast, aby dopuszczalna była na tej podstawie tak daleko idąca ingerencja, jaką jest ograniczenie katalogu podstaw przetwarzania danych — wyjaśnia Damian Karwala.

Jego zdaniem, przyjęcie, że krajowi pracodawcy mogą przetwarzać dane pracowników jedynie na podstawie prawa lub zgody, może rodzić skutki trudne do zrozumienia i zaakceptowania. Nie wiadomo, czy w związku z obowiązkiem wykonania zawartej umowy o pracę byłoby dopuszczalne uzyskanie np. numeru konta bankowego pracownika albo informacji na temat jego nieobecności, czyli danych wprost nieprzewidzianych w przepisach.

— Krajowi pracodawcy nie mogliby również skorzystać z tzw. klauzuli prawnie uzasadnionego interesu przetwarzania danych, co budzić może tym większe zastrzeżenia, że RODO wyraźnie dopuszcza możliwość skorzystania z tej przesłanki w odniesieniu do informacji o pracownikach. Zgodnie z motywem 48 preambuły do RODO, administratorzy, którzy są częścią grupy kapitałowej, mogą mieć usprawiedliwioną potrzebę przesyłania danych osobowych wewnątrz grupy do tzw. celów administracyjnych — podkreśla prawnik.

Zwraca też uwagę, że Grupa Robocza Art. 29, która pracowała nad unijnym rozporządzeniem, w jednej ze swoich ostatnich opinii o gromadzeniu danych w pracy (w dokumencie roboczym WP 249 z czerwca 2017 r.) potwierdziła, że konieczność realizacji umowy oraz uzasadnione interesy pracodawcy (administratora danych) mogą go uprawniać w określonych sytuacjach do ich wykorzystywania z zachowaniem wymogów niezbędności i proporcjonalności. Ponadto po raz kolejny wyraziła zastrzeżenia co do dopuszczalności ich przetwarzania na podstawie zgody pracowników. Do tego ostatniego uprawnienia ma poważne zastrzeżenia dr Edyta Bielak-Jomaa, generalny inspektor ochrony danych osobowych (GIODO). Jej zdaniem, projekt zawiera szerokie upoważnienie do dokonywania za zgodą pracownika różnych operacji na jego danych, bo pozyskiwania czy udostępniania bliżej nieokreślonego zakresu informacji. Według niej, w żaden sposób nie precyzuje tego także stwierdzenie, że chodzi o dane dotyczące stosunku pracy — nie wiadomo, jakiego rodzaju mogą one być, z jakich źródeł pochodzić i na jakim etapie mogą być uzyskiwane.

Przyznaje ona, że motyw 155 rozporządzenia przewiduje możliwość uregulowania w prawie państwa członkowskiego warunków przetwarzania danych za zgodą pracownika do celów procedury rekrutacyjnej, wykonywania umowy o pracę, w tym obowiązków określonych w przepisach lub w porozumieniach zbiorowych, a także zarządzania, planowania i organizacji pracy, równości i różnorodności w miejscu pracy, bezpieczeństwa i higieny pracy oraz do celów indywidualnego lub zbiorowego wykonywania praw i korzystania ze świadczeń związanych z zatrudnieniem, a także do celów zakończenia stosunku pracy. Jednak w jej ocenie, projektowane regulacje nie wydają się czynić zadość tym wytycznym.

Konsekwencje odmowy

W swojej opinii do projektowanych przepisów GIODO podkreśla jeszcze jeden aspekt — konsekwencji braku zgody na pozyskanie określonych informacji.

— Korzystanie przez firmę z przesłanki zgody nie budzi wątpliwości, gdy osoba ubiegająca się o zatrudnienie lub pracownik z własnej inicjatywy i świadomie przekazują więcej informacji niż przewidziane w prawie. Już obecnie jest to powszechną praktyką, zwłaszcza na etapie rekrutacji. Zastanowić się jednak należy nad zgodą na przetwarzanie danych udostępnianych na wniosek pracodawcy. Nie sprecyzowano jednak, do kogo taki wniosek może być skierowany, co rodzi ryzyko rozszerzającej wykładni takiej możliwości i wykorzystywania go do weryfikowania wiedzy o danej osobie, tzw. background screeningu. Tego rodzaju praktyka wydaje się nadmierną ingerencją w prywatność, nieznajdującą podstaw w powszechnie obowiązujących przepisach, nieuzasadniona jest zatem jej pośrednia legalizacja poprzez ogólne sformułowanie w kodeksie — uważa dr Edyta Bielak-Jomaa.

GIODO proponuje zawężenie możliwości pozyskiwania danych osobowych na podstawie zgody do udostępniania ich z własnej inicjatywy pracownika czy osoby ubiegającej się o zatrudnienie, a także na żądanie pracodawcy, ale wyłącznie wtedy, gdy ich uzyskanie w szerszym zakresie jest niezbędne dla realizacji praw i obowiązków wynikających ze stosunku pracy.

— Zgoda musi być dobrowolna, konkretna i świadoma. Chodzi o to, aby swobodnie wyrazić przyzwolenie (lub nie) na konkretny sposób wykorzystania lub ujawnienia danych osobowych, bez żadnej presji lub przymusu. Jak podkreślono w motywie 43 rozporządzenia, „aby zapewnić dobrowolność, zgoda nie powinna stanowić ważnej podstawy prawnej przetwarzania danych osobowych w szczególnej sytuacji, w której istnieje wyraźny brak równowagi między osobą, której dane dotyczą, a administratorem”. To oznacza, że odmowa nie może powodować negatywnych implikacji — stwierdza generalny inspektor.

Przyznaje ona, że co prawda w projekcie polskich przepisów sformułowano takie zastrzeżenia, ale z uwagi na brak równowagi stron pracownicy prawie nigdy nie są w stanie swobodnie zgadzać się lub nie na różne sytuacje, biorąc pod uwagę zależność wynikającą z ich relacji z pracodawcą.

Na ten problem zwraca też uwagę Fundacja Panoptykon. Jej zdaniem, należy zmienić katalog informacji, które można dodatkowo pozyskać za zgodą pracownika i rozszerzyć listę danych, których przetwarzanie przez pracodawcę jest niedozwolone nawet za jego przyzwoleniem lub ewentualnie precyzyjnie określić dozwolony zakres, ale bez możliwości jego rozszerzania.

W ocenie fundacji, zależnie od przyjętego modelu zarządzania i funkcjonowania zakładu pracy, relacje między pracownikami a pracodawcą mogą być obarczone większą lub mniejszą nierównością.

— W takiej sytuacji trudno wyobrazić sobie, żeby zgoda spełniała kryterium dobrowolności. Jak wielokrotnie wskazywały sądy administracyjne, w tym układzie nie ma ona takiego charakteru — podkreśla Katarzyna Szymielewicz, założycielka i prezeska Panoptykona.

Całkowity zakaz

Według projektowanych przepisów, pracodawca nie będzie mógł pozyskiwać, nawet za zgodą, informacji o: — nałogach, — stanie zdrowia, — życiu seksualnym lub orientacji seksualnej. W ocenie Fundacji Panoptykon zabrakło w tym katalogu, a powinny się tam znaleźć informacje o pochodzeniu etnicznym, wyznaniu czy przynależności związkowej (w przypadku kandydatów do pracy). Projekt umożliwia natomiast zbieranie i przetwarzanie danych biometrycznych, o karalności czy zadłużeniu.

© ℗
Rozpowszechnianie niniejszego artykułu możliwe jest tylko i wyłącznie zgodnie z postanowieniami „Regulaminu korzystania z artykułów prasowych” i po wcześniejszym uiszczeniu należności, zgodnie z cennikiem.

Podpis: Iwona Jackowska

Najważniejsze dzisiaj

Polecane

Inspiracje Pulsu Biznesu

Puls Biznesu

Puls Firmy / Wątpliwa dobrowolna zgoda na pozyskanie danych