Konferencja bez wiedzy UODO
Zorganizowana przez Ministerstwo Cyfryzacji Konferencja nie była uzgadniana uprzednio z Urzędem Ochrony Danych Osobowych. Z uwagi na to, dzień przed planowaną konferencją Urząd Ochrony Danych Osobowych wydał publiczne oświadczenie, w którym stanowczo podkreślił, iż to on (a nie Ministerstwo Cyfryzacji) jest organem nadrzędnym oraz „jedynym właściwym i wyspecjalizowanym w sprawach dotyczących ochrony danych osobowych”. W oświadczeniu wydanym przez Dr Edytę Bielak – Jomaa - Prezesa UODO - wskazano ponadto, że to Prezes UODO [a nie inny urząd – przyp. aut.] ma status i kompetencje organu nadzorczego określone w RODO. Tym samym PUODO przestrzegł przedsiębiorców, aby nie narażali się na niepotrzebne straty i postępowali zgodnie z wytycznymi UODO, sugerując jednocześnie, że objaśnienia wydane przez Ministerstwo Cyfryzacji nie będą dla nich wiążące.
Zobacz: RODO w firmie
Dwie różne interpretacje
Wydawało się, że interpretacja przepisów może być tylko jedna. Jednakże analiza dokumentów przygotowanych przez UODO i Ministerstwo Cyfryzacji wskazuje na wyraźne różnice w zakresie interpretacji tego samego przepisu tj. art. 6 ust. 1 RODO odnośnie przetwarzania danych na potrzeby rekrutacji.
Ministerstwo Cyfryzacji w wydanych w dniu 23 stycznia br. objaśnieniach wskazało m.in., że pracodawca jest uprawniony do przetwarzania danych osobowych podczas procesu rekrutacji, a także po jego zakończeniu w ramach przyszłych naborów rekrutacyjnych, do momentu cofnięcia zgody przez kandydata. Urząd Ochrony Danych Osobowych w Poradniku RODO z października 2018 roku wydał odmienne stanowisko wskazując, że przetwarzanie danych osobowych odbywa się przez okres prowadzenia rekrutacji a po jego zakończeniu dane osobowe powinny zostać usunięte niezwłocznie. UODO wskazało ponadto, że przetwarzanie danych osobowych w zakresie aktualnych jak i przyszłych rekrutacji odbywa się na podstawie przepisów art. 6 ust 1 lit. a) RODO tj. na podstawie zgody a także że niedopuszczalne jest przetwarzanie danych tylko w celu zabezpieczenia przed ewentualnymi roszczeniami. Odmienne stanowisko wyraziło ministerstwo, które jako podstawę przetwarzania danych w konkretnej rekrutacji powołało się na przepis art. 6 ust 1. lit. b) RODO tj. przetwarzanie danych odbywa się w związku z dążeniem do zawarcia umowy oraz wskazało – odmiennie niż UODO, że podstawą prawną przetwarzania może być również prawnie uzasadniony interes administratora.
Polecamy: Kodeks pracy 2019 - komentarz
Plan kontroli sektorowych UODO na 2019 rok
24 stycznia br. na stronie internetowej urzędu pojawiła się informacja o zatwierdzeniu rocznego planu kontroli sektorowych w aspekcie RODO przez Prezesa UODO. Plan kontroli sektorowych obejmować będzie podmioty publiczne m.in. w zakresie przetwarzania danych na potrzeby prowadzenia monitoringu wizyjnego czy systemu identyfikacji monitoringu odpadów, a także podmioty prywatne w szczególności działające w branży telemarketingu oraz sektorze bankowym czy ubezpieczeniowym.
W tym roku Prezes UODO planuje również dokonać weryfikacji pracodawców w zakresie prowadzenia przez nich postępowań rekrutacyjnych. Z uwagi na plan kontroli w tym zakresie, trwający konflikt pomiędzy urzędem a ministerstwem jest bardzo niekorzystny.
Zagwozdka dla pracodawców
W obliczu pojawiającej się niezgodności pomiędzy dwoma organami odpowiedzialnymi za kwestie przetwarzania danych osobowych, z pewnością najbardziej ucierpią przedsiębiorcy. Prezes UDODO ostrzegł przedsiębiorców - w wydanym w dniu 22 stycznia br. oświadczeniu - przed stosowaniem się do objaśnień Ministerstwa Cyfryzacji, które są sprzeczne z linią interpretacyjną urzędu. W oświadczeniu Prezes UODO zwrócił uwagę, że „w świetle prawa UE Prezes UODO nie jest związany jakimikolwiek formalnymi objaśnieniami prawnymi dotyczącymi stosowania RODO”. Prezes UODO zaapelował jednocześnie „o niepodejmowanie działań, które mogą narazić polskich przedsiębiorców na negatywne konsekwencje i w dłuższej perspektywie utrudnić im działalność, a w konsekwencji rodzić pytanie o możliwą odpowiedzialność Skarbu Państwa za takie szkody.” Ten apel z pewnością skierowany był przede wszystkim do Ministerstwa Cyfryzacji.
Wskazać jednocześnie trzeba, że zgodnie z przepisem art. 35 ust 1 i 2 ustawy prawo przedsiębiorców, objaśnienia prawne wydane przez Ministerstwo Cyfryzacji w dniu 23 stycznia br. nie są wiążące dla przedsiębiorców, z tym, że przedsiębiorca nie może być obciążony sankcjami administracyjnymi, finansowymi lub karami w zakresie, w jakim zastosował się do objaśnień. Jak zastosuje ten przepis UODO, skoro zgodnie z art. 52 ust. 1 RODO organ nadzorczy podczas wypełniania swoich zadań i wykonywania swoich uprawnień zgodnie z rozporządzeniem działa w sposób w pełni niezależny?
Jak zakończy się konflikt pomiędzy Ministrem Cyfryzacji a PUODO? - tego nie wiemy. Pewne jest jednak to, że na skutek braku uzgodnienia wspólnej wykładni art. 6 ust 1 RODO w zakresie prowadzonych rekrutacji z pewnością ucierpią pracodawcy, dla których już teraz przepisy RODO są trudne do właściwej interpretacji. Dwa różne stanowiska organów w zakresie wykładni tych samych przepisów wprowadzą jeszcze większą niepewność przedsiębiorców co do ich właściwego stosowania.
Autorzy:
Anna Hoffmann, radca prawny, Kancelaria Prawna Piszcz i Wspólnicy sp.k.
Daniel Dudek, prawnik, Kancelaria Prawna Piszcz i Wspólnicy sp.k.
Zobacz: Prawo dla firm