Dwa organy i dwie różne interpretacje dotyczące przetwarzania danych osobowych pracowników

Konferencja bez wiedzy UODO

Zorganizowana przez Ministerstwo Cyfryzacji Konferencja nie była uzgadniana uprzednio z Urzędem Ochrony Danych Osobowych. Z uwagi na to, dzień przed planowaną konferencją Urząd Ochrony Danych Osobowych wydał publiczne oświadczenie, w którym stanowczo podkreślił, iż to on (a nie Ministerstwo Cyfryzacji) jest organem nadrzędnym oraz „jedynym właściwym i wyspecjalizowanym w sprawach dotyczących ochrony danych osobowych”. W oświadczeniu wydanym przez Dr Edytę Bielak – Jomaa - Prezesa UODO - wskazano ponadto, że to Prezes UODO [a nie inny urząd – przyp. aut.] ma status i kompetencje organu nadzorczego określone w RODO. Tym samym PUODO przestrzegł przedsiębiorców, aby nie narażali się na niepotrzebne straty i postępowali zgodnie z wytycznymi UODO, sugerując jednocześnie, że objaśnienia wydane przez Ministerstwo Cyfryzacji nie będą dla nich wiążące.

Zobacz: RODO w firmie

Dwie różne interpretacje

Wydawało się, że interpretacja przepisów może być tylko jedna. Jednakże analiza dokumentów przygotowanych przez UODO i Ministerstwo Cyfryzacji wskazuje na wyraźne różnice w zakresie interpretacji tego samego przepisu tj. art. 6 ust. 1 RODO odnośnie przetwarzania danych na potrzeby rekrutacji.

Ministerstwo Cyfryzacji w wydanych w dniu 23 stycznia br. objaśnieniach wskazało m.in., że pracodawca jest uprawniony do przetwarzania danych osobowych podczas procesu rekrutacji, a także po jego zakończeniu w ramach przyszłych naborów rekrutacyjnych, do momentu cofnięcia zgody przez kandydata. Urząd Ochrony Danych Osobowych w Poradniku RODO z października 2018 roku wydał odmienne stanowisko wskazując, że przetwarzanie danych osobowych odbywa się przez okres prowadzenia rekrutacji a po jego zakończeniu dane osobowe powinny zostać usunięte niezwłocznie. UODO wskazało ponadto, że przetwarzanie danych osobowych w zakresie aktualnych jak i przyszłych rekrutacji odbywa się na podstawie przepisów art. 6 ust 1 lit. a) RODO tj. na podstawie zgody a także że niedopuszczalne jest przetwarzanie danych tylko w celu zabezpieczenia przed ewentualnymi roszczeniami. Odmienne stanowisko wyraziło ministerstwo, które jako podstawę przetwarzania danych w konkretnej rekrutacji powołało się na przepis art. 6 ust 1. lit. b) RODO tj. przetwarzanie danych odbywa się w związku z dążeniem do zawarcia umowy oraz wskazało – odmiennie niż UODO, że podstawą prawną przetwarzania może być również prawnie uzasadniony interes administratora.

Polecamy: Kodeks pracy 2019 - komentarz

Plan kontroli sektorowych UODO na 2019 rok

24 stycznia br. na stronie internetowej urzędu pojawiła się informacja o zatwierdzeniu rocznego planu kontroli sektorowych w aspekcie RODO przez Prezesa UODO. Plan kontroli sektorowych obejmować będzie podmioty publiczne m.in. w zakresie przetwarzania danych na potrzeby prowadzenia monitoringu wizyjnego czy systemu identyfikacji monitoringu odpadów, a także podmioty prywatne w szczególności działające w branży telemarketingu oraz sektorze bankowym czy ubezpieczeniowym.

W tym roku Prezes UODO planuje również dokonać weryfikacji pracodawców w zakresie prowadzenia przez nich postępowań rekrutacyjnych. Z uwagi na plan kontroli w tym zakresie, trwający konflikt pomiędzy urzędem a ministerstwem jest bardzo niekorzystny.

Zagwozdka dla pracodawców

W obliczu pojawiającej się niezgodności pomiędzy dwoma organami odpowiedzialnymi za kwestie przetwarzania danych osobowych, z pewnością najbardziej ucierpią przedsiębiorcy. Prezes UDODO ostrzegł przedsiębiorców - w wydanym w dniu 22 stycznia br. oświadczeniu - przed stosowaniem się do objaśnień Ministerstwa Cyfryzacji, które są sprzeczne z linią interpretacyjną urzędu. W oświadczeniu Prezes UODO zwrócił uwagę, że „w świetle prawa UE Prezes UODO nie jest związany ‎jakimikolwiek formalnymi objaśnieniami prawnymi dotyczącymi stosowania RODO”. Prezes UODO zaapelował jednocześnie „o niepodejmowanie działań, które mogą narazić polskich przedsiębiorców na negatywne konsekwencje i w dłuższej perspektywie utrudnić im działalność, a w konsekwencji rodzić pytanie o możliwą odpowiedzialność Skarbu Państwa ‎ za takie szkody.” Ten apel z pewnością skierowany był przede wszystkim do Ministerstwa Cyfryzacji.

Wskazać jednocześnie trzeba, że zgodnie z przepisem art. 35 ust 1 i 2 ustawy prawo przedsiębiorców, objaśnienia prawne wydane przez Ministerstwo Cyfryzacji w dniu 23 stycznia br. nie są wiążące dla przedsiębiorców, z tym, że przedsiębiorca nie może być obciążony sankcjami administracyjnymi, finansowymi lub karami w zakresie, w jakim zastosował się do objaśnień. Jak zastosuje ten przepis UODO, skoro zgodnie z art. 52 ust. 1 RODO organ nadzorczy podczas wypełniania swoich zadań i wykonywania swoich uprawnień zgodnie z rozporządzeniem działa w sposób w pełni niezależny?

Jak zakończy się konflikt pomiędzy Ministrem Cyfryzacji a PUODO? - tego nie wiemy. Pewne jest jednak to, że na skutek braku uzgodnienia wspólnej wykładni art. 6 ust 1 RODO w zakresie prowadzonych rekrutacji z pewnością ucierpią pracodawcy, dla których już teraz przepisy RODO są trudne do właściwej interpretacji. Dwa różne stanowiska organów w zakresie wykładni tych samych przepisów wprowadzą jeszcze większą niepewność przedsiębiorców co do ich właściwego stosowania.

Autorzy:

Anna Hoffmann, radca prawny, Kancelaria Prawna Piszcz i Wspólnicy sp.k.

Daniel Dudek, prawnik, Kancelaria Prawna Piszcz i Wspólnicy sp.k.

Zobacz: Prawo dla firm