Przetwarzanie danych osobowych pracownika po zakończeniu stosunku pracy, wycofanie zgody a obowiązki pracodawcy

Czy pracownik może wycofać zgodę na przetwarzanie danych po otrzymaniu wypowiedzenia?

Co do zasady, przetwarzanie danych osobowych jest dopuszczalne m.in. tylko wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę, chyba że zażąda usunięcia dotyczących jej danych. Zgoda ta może obejmować również przetwarzanie danych w przyszłości, jeżeli nie zmienia się cel przetwarzania. Należy pamiętać, że dane osoby można przetwarzać tak długo, jak długo istnieje cel ich przetwarzania lub do momentu, kiedy ta osoba zażąda zaprzestania przetwarzania.

Zgodnie z art. 22¹ i nast. Kodeksu pracy (K.p.):

§ 1. Pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:

1) imię (imiona) i nazwisko;

2) datę urodzenia;

3) dane kontaktowe wskazane przez taką osobę;

4) wykształcenie;

5) kwalifikacje zawodowe;

6) przebieg dotychczasowego zatrudnienia.

§ 2. Pracodawca żąda podania danych osobowych, o których mowa w § 1 pkt 4-6, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku.

§ 3. Pracodawca żąda od pracownika podania dodatkowo danych osobowych obejmujących:

1) adres zamieszkania;

2) numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość;

3) inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy;

4) wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie;

5) numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych. (…)

Zgoda na przetwarzanie danych – kiedy jest niezbędna?

Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której dane dotyczą. Pracodawca może żądać udokumentowania danych osobowych osób, o których mowa w § 1 i 3, w zakresie niezbędnym do ich potwierdzenia.

Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 22¹ § 1 i 3, z wyjątkiem danych osobowych, o których mowa w art. 10 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych); zwanego dalej „RODO”.

Art. 22^1a K.p. (…)

§ 2. Brak zgody, o której mowa w § 1, lub jej wycofanie, nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę.

§ 3. Przetwarzanie, o którym mowa w § 1, dotyczy danych osobowych udostępnianych przez osobę ubiegającą się o zatrudnienie lub pracownika na wniosek pracodawcy lub danych osobowych przekazanych pracodawcy z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika.

Zakres przetwarzania danych po zakończeniu zatrudnienia

Powyższe przepisy wskazują zamknięty katalog danych osobowych, których pracodawca może żądać od kandydatów do pracy oraz od pracowników oraz określa tryb udostępniania tych danych. Ustalenie przedmiotowej granicy uprawnienia pracodawcy do pozyskiwania i przetwarzania danych osobowych chroni kandydatów do pracy i pracowników przed ewentualnymi nadużyciami podmiotu zatrudniającego. Nie może on bowiem żądać innych danych osobowych niż wymienione w art. 22¹. Pracodawca przechowuje dane osobowe, które są niezbędne do zatrudnienia, właśnie w celach rozliczeniowych z ZUS i US. Po zakończeniu zatrudnienia i po wycofaniu przez pracownika zgody na przetwarzanie jego danych osobowych, jest on jednak obowiązany przetwarzać je do zakończenia wszelkich rozliczeń i formalności niezbędnych do dokonania rozliczeń z ZUS i US. Jeżeli chodzi o dane osobowe, to zostaną one zarchiwizowane i zanonimizowane. Pieczątka imienna w dniu zakończenia stosunku pracy powinna zostać zniszczona i powinien zostać sporządzony z tej czynności stosowny protokół zniszczenia z uwagi na fakt, iż zawiera ona takie dane osobowe jak imię i nazwisko.

Ochrona danych osobowych a prawo do prywatności pracownika

Problematyka ochrony danych osobowych ściśle wiąże się z ochroną konstytucyjnego prawa do prywatności (art. 51 ust. 1 Konstytucji RP), w szczególności prawa do tzw. prywatności informacyjnej, na które składają się uprawnienia jednostki do kontrolowania treści i obiegu informacji, które jej dotyczą oraz uprawnienia do poprawiania swoich danych osobowych i ich aktualizacji. Prawa i obowiązki stron stosunku pracy związane z pozyskiwaniem i przetwarzaniem danych osobowych reguluje bezpośrednio stosowane RODO. Krajowy porządek prawny, w tym K.p., został dostosowany do tego aktu ustawą z 21.2.2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. z 2019 r. poz. 730). Obowiązki pracodawcy związane z przetwarzaniem danych osobowych dotyczą, po pierwsze, zasad postępowania przy przetwarzaniu danych oraz, po drugie, praw osób fizycznych, których dane osobowe są przetwarzane. Przetwarzanie danych osobowych ograniczone zostało przez wymóg przestrzegania podstawowych zasad, do których zgodnie z RODO należą: legalność (przetwarzanie danych musi odbywać się zgodnie z prawem, rzetelnie, uczciwie i w sposób przejrzysty dla osoby, której dane dotyczą), celowość (pracodawca może przetwarzać dane tylko w ściśle określonym celu, który musi być konkretny, wyraźny i zgodny z prawem), adekwatność (przetwarzanie danych możliwe jest tylko w takim zakresie, w jakim jest to absolutnie niezbędne do osiągnięcia celu przetwarzania), prawidłowość (pracodawca powinien podejmować działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane), ograniczenie czasowe (pracodawca nie może przechowywać danych przez czas dłuższy, niż jest to niezbędne do celów przetwarzania), integralność (konieczność ochrony danych przed wyciekiem czy dostępem osób nieupoważnionych przez wdrożenie odpowiednich środków technicznych i organizacyjnych), poufność (obowiązek pełnego zabezpieczenia przetwarzanych danych) i rozliczalność (obowiązek wykazania, że zasady i przepisy o ochronie danych osobowych są przestrzegane). Wszelkie czynności pracodawcy związane z pozyskiwaniem danych osobowych, a następnie z ich przetwarzaniem i przechowywaniem, należy oceniać z perspektywy wymienionych powyżej zasad (art. 5 RODO).

Zgodnie z zasadą minimalizacji pobierania i przetwarzania danych osobowych (art. 5 ust. 1 lit. c RODO) pracodawca powinien gromadzić tylko te dane, które są konieczne do celu, jakim jest zatrudnienie danej osoby. Jeśli na danym stanowisku informacje o wykształceniu, kwalifikacjach zawodowych czy dotychczasowym przebiegu zatrudnienia nie mają znaczenia, to pracodawca nie powinien domagać się ich przekazania od kandydata do pracy. Pracodawca musi zatem oceniać, czy wymienione dane są potrzebne do wykonywania pracy określonego rodzaju lub na określonym stanowisku (art. 22¹ § 2). Żądanie danych o dotychczasowym zatrudnieniu jest niezbędne, gdy wykonywanie danego zawodu zależy od spełnienia kryteriów wskazanych w powszechnie obowiązujących przepisach, np. nauczyciel, zawody medyczne, pracownicy samorządowi. Za niezbędne mogą być też uznane wymagania ustalone w przepisach wewnątrzzakładowego prawa pracy, o ile nie naruszają obiektywnego wzorca wykonywania pracy danego rodzaju.

Przechowywanie danych po zakończeniu umowy – jak długo pracodawca ma obowiązek przechowywać dane osobowe?

Od zasady gromadzenia i przetwarzania danych osobowych kandydata do pracy wyłącznie w zakresie określonym w K.p. i innych przepisach istnieje wyjątek, mianowicie pozyskiwanie i przetwarzanie innych danych niż wskazane w art. 22¹ jest możliwe na podstawie zgody kandydata (art. 22¹a § 1 K.p.). „Zgoda” taka oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych. Możliwość przetwarzania danych na podstawie zgody kandydata dotyczy tzw. zwykłych danych osobowych. Natomiast dane osobowe tzw. szczególne mogą być pozyskiwane i przetwarzane wyłącznie, w przypadku gdy ich przekazanie następuje z inicjatywy kandydata do pracy lub pracownika (art. 22¹b § 1 K.p.). W tym ostatnim przypadku wymagana jest więc zgoda „wyraźna” osoby, której dane są przetwarzane (art. 9 ust. 1 RODO), np. w postaci oświadczenia woli, wskazującego na inicjatywę kandydata do pracy lub pracownika. Waloru takiego nie będzie miało „wyraźne” przyzwolenie na przetwarzanie danych osobowych.

Źródła:

1. Ustawa z dnia 26 czerwca 1974 r. Kodeks pracy - Dz.U. 1974 nr 24 poz. 141
2. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE - (ogólne rozporządzenie o ochronie danych)

3. Ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), Dz.U. 2019 poz. 730