STAN PRAWNY NA 18 PAŹDZIERNIKA 2019 Zmiany dotyczące przetwarzania danych osobowych związanych z zatrudnieniem Opracował: Tomasz Ptak, magister prawa, trener, audytor, specjalista z zakresu ochrony danych osobowych, Inspektor Ochrony Danych. Posiada sześcioletnie doświadczenie jako trener, ma w swoim dorobku kilkaset godzin szkoleń z zakresu ochrony danych osobowych Podstawa prawna: • Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U. UE.L. z 2016 r. Nr 119 poz. 1), • Ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. z 2019 r. poz. 730), • Ustawa z dnia 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych (t.j. Dz.U. z 2018 r. poz. 1316 ze zm.), • Ustawa z dnia 26 czerwca 1974 r. Kodeks pracy (t.j. Dz.U. z 2019 r. poz. 1040 ze zm.), • Ustawa z dnia 26 stycznia 1982 r. Karta nauczyciela (t.j. Dz.U. z 2018 r. poz. 967 ze zm.), • Rozporządzenie Ministra Edukacji Narodowej z dnia 1 sierpnia 2017 r. w sprawie szczegółowych kwalifikacji wymaganych od nauczycieli (Dz.U. z 2017 r. poz. 1575 ze zm.), • Rozporządzenie Ministra Rodziny, Pracy i Polityki Społecznej z dnia 10 grudnia 2018 r. w sprawie dokumentacji pracowniczej (Dz.U. z 2018 r. poz. 2369). Ustawa o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679 dotyka obszaru zatrudnienia. Zmiany w przepisach obejmujące jednostki oświatowe jako pracodawców po 4 maja 2019 r. w zakresie przetwarzania i ochrony danych osobowych pracowników dotyczą przede wszystkim art. 221 § 1 i § 2 Kodeksu pracy, czyli tych danych, których może żądać pracodawca od kandydata na dane stanowisko lub od osoby zatrudnionej. Karta nauczyciela a Kodeks pracy Zgodnie z art. 10 ust. 1 KN stosunek pracy z nauczycielem nawiązuje się w szkole, a w przypadku powołania zespołu szkół jako odrębnej jednostki organizacyjnej – w zespole szkół na podstawie umowy o pracę lub mianowania. Na podstawie art. 10a ust. 1 KN natomiast stwierdza się, że w przedszkolach, innych formach wychowania przedszkolnego, szkołach i placówkach, o których mowa w art. 1 ust. 2 pkt 2 KN, stosunek pracy nawiązuje się na podstawie umowy o pracę. Nowelizacja Kodeksu pracy obejmuje zatem dyrektorów szkół, przedszkoli i placówek – tak publicznych, jak i niepublicznych. Od osoby zatrudnionej bądź ubiegającej się o zatrudnienie pracodawca może żądać następujących informacji: • imię (imiona) i nazwisko, • data urodzenia, • dane kontaktowe wskazane przez taką osobę, • wykształcenie, • kwalifikacje zawodowe, • przebieg dotychczasowego zatrudnienia. Ważne! Dane dotyczące wykształcenia czy przebiegu dotychczasowego zatrudnienia pracodawca może przetwarzać jedynie wtedy, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku (np. prawny wymóg posiadania odpowiedniego wykształcenia czy określonych kwalifikacji). Przykładem prawnego wymogu jest art. 9 ust. 1 pkt 1 KN, zgodnie z którym stanowisko nauczyciela może zajmować osoba, która posiada wyższe wykształcenie z odpowiednim przygotowaniem pedagogicznym lub ukończyła zakład kształcenia nauczycieli i podejmuje pracę na stanowisku, do objęcia którego są to wystarczające kwalifikacje. Wymagania wynikające z tego przepisu wobec nauczycieli konkretyzuje Rozporządzenie w sprawie szczegółowych kwalifikacji wymaganych od nauczycieli. Jeśli pracodawca podejmie decyzję o zatrudnieniu konkretnego kandydata, wówczas żąda dodatkowo następujących danych: • adres zamieszkania, • numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość (paszport, prawo jazdy), • inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy, • wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie, • numer rachunku bankowego, chyba że pracownik złożył wniosek o wypłatę wynagrodzenia do rąk własnych. W celu spełnienia obowiązku prawnego na niego nałożonego pracodawca może wymagać od pracownika podania również innych danych (wynikających z KN i przepisów wykonawczych). Ważne! Inne dane poza wyżej wymienionymi (z wyjątkiem danych osobowych dotyczących karalności) pracodawca może przetwarzać tylko za wyraźną zgodą pracownika, a jej brak lub wycofanie nie mogą być podstawą do odmowy przyjęcia do pracy. Dane wrażliwe Co w takim razie z danymi wrażliwymi pracownika i kandydata do pracy (art. 9 RODO)? Również te dane pracodawca może przetwarzać, ale tylko za wyraźną zgodą pracownika i tylko w sytuacji, gdy pracownik udostępnił je z własnej inicjatywy. Wyjątkiem są tu dane biometryczne (odcisk palca, tęczówka/siatkówka oka) – pracodawca ma możliwość ich przetwarzania, jeśli podanie takich danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony (tajemnica przedsiębiorstwa, ochrona informacji niejawnych). Jednakże w kontekście zatrudniania w sektorze oświaty obowiązują szczególne regulacje. Ponownie należy przywołać art. 9 ust. 1 pkt 3 KN, zgodnie z którym stanowisko nauczyciela może zajmować osoba, która spełnia warunki zdrowotne niezbędne do wykonywania tego zawodu. Rozwinięcie tego zapisu stanowi art. 23 ust. 1 pkt 3 KN: stosunek pracy z nauczycielem zatrudnionym na podstawie mianowania ulega rozwiązaniu m.in. w razie orzeczenia przez lekarza przeprowadzającego badanie okresowe lub kontrolne o niezdolności nauczyciela do wykonywania dotychczasowej pracy. Oznacza to, że w opisanym przypadku gromadzenie danych szczególnych kategorii przez placówkę jako pracodawcę jest obligatoryjne i nie wymaga zgody pracownika. Ważne! Szczególnym obowiązkiem dyrektora zatrudniającego nauczyciela jest sprawdzenie, czy pracownik figuruje w rejestrze osób karanych za przestępstwa na tle seksualnym. Mamy zatem do czynienia z prawnym obowiązkiem wglądu do baz zawierających szczególne kategorie danych osobowych wskazanych w art. 9 RODO (zaburzenia seksualne) oraz danych dotyczących wyroków skazujących i naruszeń prawa (art. 10 RODO). Ustawa o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679, kierując się zasadą minimalizmu, pozostawia (z niewielkimi korektami) art. 229 § 11 Kodeksu pracy stanowiący, iż osoby przyjmowane do pracy u innego pracodawcy na dane stanowisko w ciągu 30 dni po rozwiązaniu lub wygaśnięciu poprzedniego stosunku pracy, jeżeli posiadają aktualne orzeczenie lekarskie stwierdzające brak przeciwwskazań do pracy w warunkach opisanych w skierowaniu na badania lekarskie i pracodawca ten stwierdzi, że warunki te odpowiadają warunkom występującym na danym stanowisku pracy (z wyłączeniem osób przyjmowanych do wykonywania prac szczególnie niebezpiecznych) nie podlegają wstępnym badaniom lekarskim. Pracodawca żąda od nich natomiast orzeczenia lekarskiego wydanego na wniosek poprzedniego pracodawcy. Kolejnym ważnym zapisem ww. Ustawy jest to, iż do przetwarzania szczególnych kategorii danych osobowych (wrażliwych) mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania takich danych wydane przez pracodawcę (art. 221b § 3 Kodeksu pracy). Osoby dopuszczone do przetwarzania takich danych są zobowiązane do zachowania ich w tajemnicy. Oznacza to, że do przetwarzania danych osobowych tzw. zwykłych pracownik nie musi posiadać odrębnego, pisemnego upoważnienia. Wątpliwość, jaka pojawia się w związku z regulacją dotyczącą upoważnień do przetwarzania danych, wynika ze sformułowania „pisemne upoważnienia”. Pisemne, czyli jakie? Wydaje się, że nie jest konieczne drukowanie setek upoważnień „papierowych” z własnoręcznym podpisem dyrektora poradni i że spełnią ten wymóg upoważnienia na papierze bez jakiegokolwiek podpisu (wydruk z systemu), nawet w formie zapisu w systemie informatycznym. Oczywiście wiążąca będzie interpretacja organu nadzorczego, jakim jest Prezes UODO, a w dalszej kolejności sądy, jednak interpretacja, zgodnie z którą przepis nakazuje nadawanie upoważnień w formie „papierowej”, stałaby w sprzeczności z postanowieniami ogólnego rozporządzenia w sprawie ochrony danych. Inne zmiany Kolejna zmiana dotyczy kwestii monitoringu wizyjnego. Jeżeli pracodawca uzna za konieczne (w celu zapewnienia bezpieczeństwa) zainstalowanie kamery w pomieszczeniu sanitarnym czy pomieszczeniu zakładowej organizacji związkowej, nie naruszając dóbr osobistych pracowników, może to zrobić po uzyskaniu zgody zakładowej organizacji związkowej, a w razie jej braku – przedstawicieli pracowników. Zmiany dotykają także zakładowego funduszu świadczeń socjalnych. Pracownik ubiegający się o ulgę, świadczenie czy dopłatę z funduszu składa oświadczenie o sytuacji rodzinnej i majątkowej, jednak pracodawca może żądać udokumentowania danych w zakresie koniecznym do ich potwierdzenia. Może więc domagać się oświadczeń i zaświadczeń o sytuacji życiowej (w tym zdrowotnej), rodzinnej i materialnej osoby uprawnionej do korzystania z funduszu. Nie jest jasne, czy pracodawca te zaświadczenia może przechowywać, czy tylko dysponuje nimi do wglądu. Wydaje się, że w ślad za dotychczasowymi interpretacjami, ustawodawca miał na myśli wgląd w dokumentację, a nie przechowywanie jej kserokopii czy oryginałów. Pojawia się tu pytanie o miejsce przechowywania upoważnienia do przetwarzania danych osobowych, jeżeli zdecydujemy się na ich „papierową” formę. Zgodnie z Rozporządzeniem w sprawie dokumentacji pracowniczej (§ 3 pkt 2) należałoby je umieścić w części B akt osobowych pracownika, gdzie przechowywane są oświadczenia lub dokumenty dotyczące danych osobowych, gromadzone w związku z nawiązaniem stosunku pracy. Nagminna w przypadku zakładowego funduszu świadczeń socjalnych jest praktyka odbierania zgód na przetwarzanie danych osobowych do celów wypłaty świadczeń. Dyrektorzy, tworząc regulaminy ZFŚS, muszą jednak pamiętać, że art. 8 Ustawy o zakładowym funduszu świadczeń socjalnych jest samodzielną podstawą przetwarzania danych osobowych pracownika oraz członków jego rodziny i, o ile zakres danych gromadzonych przez placówkę jako pracodawcę jest niezbędny w celu ustalenia prawa do świadczenia lub jego wysokości, nie wymaga wyrażenia zgody przez pracownika. Ustawa o zakładowym funduszu świadczeń socjalnych nie określa, jak długo pracodawca może przetwarzać te dane. W przepisie mowa jest o „okresie niezbędnym do przyznania ulgowej usługi i świadczenia, dopłaty z funduszu oraz ustalenia ich wysokości, a także (...) do dochodzenia praw lub roszczeń”. Dodatkowo ustawodawca (art. 8 ust. 1d ww. Ustawy) nakłada na pracodawcę obowiązek dokonywania przeglądu danych osobowych zbieranych do celów udzielenia pomocy materialnej pracownikowi nie rzadziej niż raz w roku kalendarzowym w celu ustalenia niezbędności ich dalszego przechowywania oraz, w razie ich zbędności, usuwania. Przepisy zmieniające Ustawę o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych nadają pracodawcy status administratora danych o stanie zdrowia konkretnych kategorii pracowników (m.in. stażyści, wykonujący pracę nakładczą, byli pracownicy, członkowie ich rodzin). Przepisy dają też możliwość zautomatyzowanego przetwarzania danych osobowych osób niepełnosprawnych, jeśli te korzystają ze świadczeń i refundacji z funduszu pracy. Pracodawca jest zobowiązany do przeglądu tych danych nie rzadziej niż raz w ciągu pięciu lat kalendarzowych. Zmiany są, jak widać, znaczne, a pracodawcy będą z ich wdrożenia rozliczani nie tylko przez Prezesa Urzędu Ochrony Danych Osobowych, ale także Państwową Inspekcję Pracy oraz sądy pracy.