Jak przygotować procesy przetwarzania danych osobowych do kontroli Prezesa UODO?

Rekrutacja

Podstawowym obowiązkiem administratora jest zapewnienie, aby do przetwarzania dochodziło w oparciu o prawidłową podstawę prawną przetwarzania. Dane kandydatów do pracy przetwarzamy w oparciu o: obowiązek prawny ciążący na administratorze (wynikający z art. 22¹ Kodeksu pracy, a także z ustaw szczególnych – przykładowo art. 10 ust. 8a Karty nauczyciela nakłada obowiązek przedstawienia dyrektorowi szkoły informacji z KRK) i zgodę kandydata (dot. danych innych niż niezbędne do przeprowadzenia rekrutacji, takich jak wizerunek kandydata czy referencje od byłych pracodawców). Należy pamiętać, że zgoda na przetwarzanie danych osobowych powinna:

1) wskazywać administratora danych i cel przetwarzania,

2) precyzować zakres danych, których dotyczy,

3) odnosić się do konkretnego celu (każdy cel przetwarzania danych = odrębna zgoda).

Ponadto fundamentalnym aspektem zgodnego z RODO przetwarzania jest prawidłowe spełnienie obowiązku informacyjnego (zarówno jeśli chodzi o treść, jak i moment spełnienia – tu kluczowe jest rozróżnienie na art. 13 i art. 14 RODO). Natomiast z punktu widzenia zakończenia przetwarzania, szczególną uwagę trzeba poświęcić okresowi przechowywania danych – według UODO w rekrutacji dane kandydatów powinny być usunięte niezwłocznie po zakończeniu rekrutacji, a w przypadku rekrutacji przyszłych UODO jako przykładowy okres wskazuje 9 miesięcy (natomiast nie wyklucza uzasadnionego wydłużenia tego okresu).

Polecamy: Przewodnik po zmianach przepisów 2019/2020

Zatrudnienie

W procesie zatrudnienia ustalenie podstawy prawnej przetwarzania z reguły nie jest kwestią problematyczną. W przypadku pracowników co do zasady przesłanką przetwarzania będzie art. 6 ust. 1 lit. c RODO, czyli obowiązek wynikający z przepisu prawa. Z kolei dane osób zatrudnionych w oparciu o umowy cywilnoprawne przetwarzane są przede wszystkim w związku z dążeniem do zawarcia umowy i późniejszą jej realizacją tj. w oparciu o art. 6 ust. 1 lit. b RODO.

W przypadku gromadzenia danych osobowych pracowników istotną kwestią pozostaje, zgodnie z ostatnimi rekomendacjami Ministerstwa Rodziny, Pracy i Polityki Społecznej ws. przechowywania dokumentacji pracowniczej, konieczność pozyskiwania danych potrzebnych do zgłoszenia pracownika do ubezpieczeń społecznych z ZUS w odrębnym od kwestionariusza osobowego dokumencie, z uwagi na krótszy okres przechowywania od pozostałej dokumentacji pracowniczej. Pracodawca jest zobowiązany przechowywać akta osobowe pracowników zatrudnionych przed 1 stycznia 2019 r. przez okres 50 lat, natomiast zatrudnionych po 1 styczna 2019 r. przez okres 10 lat od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł. Dane osobowe inne niż znajdujące się w aktach osobowych np. zbierane celem zgłoszenia pracownika do ubezpieczenia czy też pozyskane w związku z funkcjonującym u pracodawcy Zakładowym Funduszem Świadczeń Socjalnych będą przechowywane krócej, tj. przez okres 5 lat.