Ustawa wdrażająca RODO – o czym powinien wiedzieć dział kadr? Rekrutacja i zatrudnienie

Zmiany dotyczące kandydatów do pracy

W wyniku zmian w Kodeksie pracy pracodawca prowadzący rekrutację:

• zawsze żąda od kandydata podania imienia, nazwiska, daty urodzenia i danych kontaktowych (art. 22¹ § 1 pkt 1–3 Kodeksu pracy);

Wskazówka: Ustawodawca celowo użył pojęcia danych kontaktowych, aby to kandydat zdecydował, jakie dane kontaktowe udostępnia, tzn. czy będzie to adres pocztowy, adres e-mail, czy numer telefonu.

• żąda informacji o wykształceniu, kwalifikacjach zawodowych oraz przebiegu dotychczasowego zatrudnienia, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku (art. 22¹ § 2 Kodeksu pracy);

Przykład: Gdy do pracy niezbędna jest znajomość języka obcego lub uprawnienia do kierowania pojazdami, kandydat musi odpowiedzieć, czy posiada takie kwalifikacje.

• żąda podania innych danych osobowych niż wymienione powyżej tylko, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 22¹ § 4 Kodeksu pracy);

Przykład: Przedsiębiorca działający w branży ochrony osób i mienia ma obowiązek weryfikować karalność pracowników ochrony (art. 19 ust. 1 pkt 7 ustawy o ochronie osób i mienia).

• musi pamiętać, że podanie innych danych osobowych zależy od zgody kandydata do pracy. Brak zgody nie może powodować wobec niego jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia. Zgoda nie może obejmować danych o wyrokach skazujących, czynach zabronionych i powiązanych środkach bezpieczeństwa – tu wymagany jest odrębny przepis prawa (art. 22^1a § 1 i 2 Kodeksu pracy). W przypadku danych szczególnej kategorii ich podanie może nastąpić wyłącznie z inicjatywy osoby ubiegającej się o zatrudnienie (art. 22^1b § 1 Kodeksu pracy).

Przykład: Wielu kandydatów do pracy zamieszcza w CV swoje aktualne zdjęcie. Brak fotografii nie może być jednak przyczyną odrzucenia aplikacji.

Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której dane dotyczą. Pracodawca może żądać udokumentowania danych osobowych w zakresie niezbędnym do ich potwierdzenia (art. 22¹ § 5 Kodeksu pracy).

Polecamy: RODO w marketingu

Zmiany dotyczące pracowników

Od momentu, w którym kandydat do pracy staje się pracownikiem, pracodawca:

• żąda podania adresu zamieszkania, numeru PESEL (a w razie jego braku – rodzaju i numeru dokumentu tożsamości) oraz innych danych osobowych pracownika, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy (art. 22¹ § 3 pkt 1–3 Kodeksu pracy), a także podania numeru rachunku płatniczego – jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych (art. 22¹ § 3 pkt 5 Kodeksu pracy);

Przykład: Pracodawca przetwarza dane o stanie zdrowia do celów określonych w ustawie o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych (art. 2b ust. 1 tej ustawy).

• żąda podania dalszych informacji o wykształceniu i przebiegu dotychczasowego zatrudnienia, tzn. tych, które nie były niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku (art. 22¹ § 3 pkt 4 Kodeksu pracy);

Przykład: Kandydat do pracy biurowej nie podał przy rekrutacji informacji o okresach zatrudnienia jako pracownik fizyczny. Po przyjęciu do pracy pracodawca może żądać od pracownika podania pełnej historii zatrudnienia.

• żąda podania innych danych osobowych niż wymienione powyżej tylko, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 22¹ § 4 Kodeksu pracy);

Przykład: Pracodawca przetwarza dane o sytuacji życiowej, rodzinnej i materialnej w celu przyznania ulgowej usługi i świadczenia oraz dopłaty z funduszu świadczeń socjalnych i ustalenia ich wysokości (art. 8 ustawy o zakładowym funduszu świadczeń socjalnych).

• musi pamiętać, że podanie innych danych osobowych zależy od zgody pracownika. Zgoda powinna być wyrażona odrębnie od innych oświadczeń, a jej brak nie może powodować wobec niego jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę. Zgoda nie może obejmować danych o wyrokach skazujących, czynach zabronionych i powiązanych środkach bezpieczeństwa – tu wymagany jest odrębny przepis prawa (art. 22^1a § 1 i 2 Kodeksu pracy). W przypadku danych szczególnej kategorii ich podanie może nastąpić wyłącznie z inicjatywy pracownika (art. 22^1b § 1 Kodeksu pracy);

Przykład: Podanie prywatnego numeru telefonu w celu ułatwienia kontaktu lub podanie numeru rejestracyjnego prywatnego samochodu w celu korzystania ze służbowego parkingu wymaga zgody pracownika.

• musi pamiętać, że przetwarzanie danych biometrycznych pracownika jest dopuszczalne także wtedy, gdy podanie takich danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony (art. 22^1b § 2 Kodeksu pracy).

Przykład: Dopuszczalne jest pobranie odcisków palców w celu zapewnienia ścisłej kontroli dostępu do miejsc przechowywania kosztowności.

Do przetwarzania danych osobowych szczególnej kategorii wymagane jest pisemne upoważnienie pracodawcy. Do tej pory wymóg nadawania upoważnień był wywodzony z art. 29 RODO, teraz zaś występuje wprost w art. 22^1b § 3 Kodeksu pracy, a także w art. 8 ust. 1b ustawy o zakładowym funduszu świadczeń socjalnych.

Ponadto w art. 229 Kodeksu pracy wprowadzono zmiany doprecyzowujące, kiedy osoby przyjmowane do pracy oraz pracownicy przenoszeni na inne stanowiska pracy podlegają wstępnym badaniom lekarskim, a kiedy pracodawca żąda aktualnego orzeczenia lekarskiego.

Należy pamiętać, że zmiany w Kodeksie pracy odnoszą się do podania danych osobowych, a więc do zbierania danych od pracownika, najczęściej w formie oświadczenia. Pozyskiwanie danych osobowych pracownika w związku z wykonywaną przez niego pracą w dużej części podlega ogólnym zasadom RODO. Dział kadr powinien jednak śledzić sytuację prawną, by wiedzieć na przykład, że warto zbadać poprawność zapisów układu zbiorowego pracy, regulaminu, a w razie ich braku – obwieszczenia, w zakresie stosowanego monitoringu wizyjnego (art. 22² Kodeksu pracy). Zmiany w Kodeksie pracy przewidują, że monitoring nie może teraz obejmować pomieszczeń udostępnianych zakładowej organizacji związkowej, a także co do zasady nie powinien być stosowany w pomieszczeniach sanitarnych, szatniach, stołówkach i palarniach (możliwe są jednak wyjątki).

Zmiany dotyczące osób zgłaszanych przez pracowników

W trakcie zatrudnienia pracodawca żąda danych osobowych dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy (art. 22¹ § 3 pkt 3 Kodeksu pracy).

Przykład: Jeśli pracowniczka chce skorzystać z urlopu macierzyńskiego, to składając odpowiedni wniosek, musi podać m.in. imię, nazwisko i datę urodzenia dziecka (§ 2 rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej w sprawie wniosków dotyczących uprawnień pracowników związanych z rodzicielstwem oraz dokumentów dołączanych do takich wniosków).

Autor: Dr Paweł Mielniczek, Ekspert ds. ochrony danych, ODO 24