REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

RODO w BHP

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
RODO w BHP/ Fot. Shutterstock
RODO w BHP/ Fot. Shutterstock

REKLAMA

REKLAMA

Gdy analizujemy kwestie związane z przetwarzaniem danych osobowych pracowników, bardzo często skupiamy się na właściwym przeprowadzaniu rekrutacji (zwłaszcza w kontekście stosunkowo niedawnych zmian w Kodeksie pracy) i na pułapkach, w które można wpaść w trakcie procesu zatrudnienia. Poświęcamy więc czas i uwagę odpowiedniej konstrukcji klauzul informacyjnych, uregulowaniu monitoringu pracowników czy dostosowaniu regulaminu zakładowego funduszu świadczeń socjalnych do wymagań ustawy. Możemy jednak przeoczyć z pozoru nieistotne, wąskie zagadnienia związane z zapewnieniem pracownikom bezpiecznych i higienicznych warunków pracy.

Aby ułatwić prace nad dostosowaniem przetwarzania danych w ramach BHP do wymogów RODO, przygotowaliśmy zestawienie najważniejszych według nas problemów w tym zakresie (a przynajmniej najczęściej pojawiających się w audytowanych przez nas organizacjach) z punktu widzenia ochrony danych osobowych.

REKLAMA

Organizowanie szkoleń BHP

REKLAMA

Wyróżniamy dwa podstawowe modele organizacji szkoleń dla pracowników przy współpracy z zewnętrznymi firmami – zamknięte i otwarte. Szkolenia zamknięte prowadzi trener skierowany do organizacji przez podmiot specjalizujący się w szkoleniach BHP. Bierze w nich udział konkretna grupa osób wyznaczona przez pracodawcę. W takiej sytuacji to pracodawca, jako administrator danych zatrudnianych przez siebie osób, decyduje o celu (a celem jest przeszkolenie pracowników z zakresu BHP) oraz o sposobie przetwarzania ich danych osobowych (m.in. przez wybór firmy, która takie szkolenie ma przeprowadzić).

Po przeprowadzonym szkoleniu warto zadbać o wystawienie pracownikom zaświadczeń o odbyciu szkolenia. Z oczywistych powodów zewnętrzna firma ich nie dostarczy, jeśli nie będzie dysponować danymi osobowymi pracowników biorących udział w szkoleniu. Samą listę obecności można przekazać za pośrednictwem poczty elektronicznej (e-mail). Przekazanie danych osobowych drogą mailową jest bezpieczne, pod warunkiem że plik w formacie .xls lub .xlsx będzie zabezpieczony hasłem, które zostanie wysłane pod numer telefonu komórkowego w wiadomości tekstowej SMS. Listę można sporządzić również w wersji papierowej i dostarczyć ją firmie szkoleniowej pocztą lub osobiście do jej siedziby (znacznie spowalnia to jednak proces wystawiania zaświadczeń). Na tym etapie powstaje właśnie stosunek powierzenia: pracodawca (czyli administrator danych) przekazuje (czyli powierza) firmie szkoleniowej (jako podmiotowi przetwarzającemu) dane swoich pracowników, aby ta przetwarzała je w imieniu i na rzecz pracodawcy, zgodnie z jego instrukcjami. Stosunek ten bezwzględnie powinien zostać uregulowany umową powierzenia, zawierającą elementy wskazane w art. 28 RODO.

REKLAMA

Z kolei przez szkolenia otwarte rozumie się szkolenia organizowane w całości przez zewnętrzny podmiot. Takie szkolenia nie są kierowane do pracowników tylko jednej firmy – może zapisać się na nie tak naprawdę każdy. Wówczas dane są pozyskiwane najczęściej bezpośrednio od pracownika bądź przy niewielkim udziale pracodawcy (np. przy opłacaniu szkolenia pracodawca przekazuje firmie informacje o liczbie swoich pracowników i – siłą rzeczy – miejscu zatrudnienia, a wszelkie dane niezbędne do uzyskania zaświadczenia każdy pracownik przekazuje samodzielnie). To po stronie firmy szkoleniowej leżą wszelkie kwestie organizacyjne, w tym odnoszące się do tego, jakie dane osobowe uczestników przetwarzać, jak je przechowywać, komu udostępniać i po jakim czasie usuwać. W tym modelu firma szkoleniowa będzie odrębnym administratorem danych uczestników szkoleń.

Dane niezbędne do wystawienia zaświadczenia o ukończonym szkoleniu BHP to: imię, nazwisko, data urodzenia i typ zajmowanego stanowiska (robotnicze, administracyjno-biurowe itp.). Ani pracodawca, ani firma szkoleniowa nie mogą żądać od pracownika podania miejsca urodzenia (w związku z nowelizacją art. 221 Kodeksu pracy).

Dalszy ciąg materiału pod wideo

Dane osoby do kontaktu w razie wypadku

Obowiązek zbierania danych osoby do kontaktu w razie wypadku pracownika nie wynika z żadnych przepisów prawa. Wzorcowy kwestionariusz osobowy dla pracownika, opublikowany przez Ministerstwo Rodziny, Pracy i Polityki Społecznej, może wprowadzać w błąd, ponieważ sugeruje, że dane osoby do kontaktu możemy przetwarzać, „jeśli pracownik wyrazi zgodę na podanie danych takiej osoby” (patrz pkt 10 kwestionariusza). Przypominamy, że art. 6 ust. 1 lit. a RODO mówi o zgodzie osoby, której dane dotyczą, czyli w tym przypadku męża, żony, rodzica czy przyjaciela pracownika.

Najodpowiedniejszą podstawą prawną przetwarzania takich danych wydaje się art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes realizowany przez administratora lub stronę trzecią. I choć naturalnym wyborem byłby art. 6 ust. 1 lit. d RODO, czyli ochrona żywotnych interesów osoby trzeciej (przetwarzamy dane osoby do kontaktu, aby chronić żywotne interesy pracownika, który może uleć wypadkowi), to trzeba zauważyć, że motyw 46 RODO stanowi: „Żywotny interes innej osoby fizycznej powinien zasadniczo być podstawą przetwarzania danych osobowych wyłącznie w przypadkach, gdy ewidentnie przetwarzania tego nie da się oprzeć na innej podstawie prawnej”. Czy w analizowanej sytuacji ewidentnie nie da się oprzeć przetwarzania na art. 6 ust. 1 lit. f RODO? Trudno to założyć, stąd rekomendowaną podstawą prawną przetwarzania danych osoby do kontaktu w razie wypadku jest prawnie uzasadniony interes.

Wypadki i postępowania powypadkowe a RODO

W razie wypadku przy pracy dochodzi co do zasady do przetwarzania danych dwóch grup osób – pracowników, czyli ofiar (ewentualnie członków ich rodzin), oraz świadków zdarzenia, którymi nie zawsze są pracownicy. Dane zarówno jednych, jak i drugich z oczywistych powodów możemy przetwarzać, lecz różna może być podstawa prawna tego przetwarzania. W przypadku osób, które uległy wpadkowi, bez wątpienia przetwarzanie powinniśmy oprzeć na obowiązku prawnym ciążącym na administratorze, tj. na art. 6 ust. 1 lit. c RODO – przy danych zwykłych oraz art. 9 ust. 2 lit. b RODO – w odniesieniu do danych wrażliwych, w tym chociażby dokumentacji medycznej ze szpitala (mowa o obowiązku prawnym wynikającym z art. 234 § 1 Kodeksu pracy, doprecyzowanym w rozporządzeniu Ministra Rodziny, Pracy i Polityki Społecznej z dnia 24 maja 2019 r. w sprawie wzoru protokołu ustalenia okoliczności i przyczyn wypadku przy pracy).

Na jakiej podstawie prawnej przetwarzamy w takim razie dane osobowe świadków wypadku przy pracy? Z jednej strony powołanie się na art. 6 ust. 1 lit. c RODO (analogicznie do postępowania w przypadku ofiar wypadków) wydaje się rozwiązaniem słusznym, z drugiej – wątpliwości dotyczą faktu, że pozyskiwanie danych świadków nie jest wprost uregulowane w przepisach, a wynika z nich pośrednio. Tak samo przepisy żadnej rangi nie regulują, jakich danych można żądać od świadka. Zespół powypadkowy podczas ustalania okoliczności i przyczyn wypadku zbiera informacje od świadków zdarzenia, które stanowią najczęściej załącznik do protokołu powypadkowego (jego wzór określa wyżej wskazane rozporządzenie, przy czym sam protokół w żaden sposób nie uwzględnia świadków wypadku). W takiej sytuacji niektórzy administratorzy (pracodawcy) decydują się oprzeć przetwarzanie danych świadka na przesłance prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO). Zasługuje to na aprobatę, zwłaszcza w świetle stanowiska Urzędu Ochrony Danych Osobowych (UODO). Zgodnie z decyzją Prezesa UODO z 4 stycznia 2019 r. prawnie uzasadniony interes administratora ma być „prawnie usprawiedliwiony, a zatem taki, który znajduje uzasadnienie w konkretnych przepisach prawa”. Kodeks pracy zdecydowanie jest takim prawnym uzasadnieniem.

Ostatnia możliwość to zgoda, czyli oparcie przetwarzania na art. 6 ust. 1 lit. a RODO. Nie rekomendujemy jednak tego rozwiązania z uwagi na duże ryzyko, że trudno będzie udowodnić dobrowolny charakter takiej zgody.

W kontekście powyższego zwracamy uwagę na konieczność spełnienia obowiązku informacyjnego w stosunku do wszystkich osób, których dane są pozyskiwane – począwszy od pracowników, przez członków ich rodzin, a skończywszy na świadkach wypadku niebędących pracownikami administratora danych. Odpowiednio skonstruowana klauzula informacyjna mogłaby znaleźć się np. w protokole ustalenia okoliczności i przyczyn wypadku przy pracy (klauzula skierowana do ofiar wypadku i członków ich rodzin) czy w obowiązującym w organizacji wzorze dokumentu informacji świadka wypadku (klauzula skierowana do świadków).

Inspektor/specjalista ds. BHP w organizacji – upoważnienie czy powierzenie?

W zależności od tego, czy w zakładzie pracy zatrudniony jest specjalista ds. BHP, czy pracodawca korzysta z usług zewnętrznych ekspertów, inaczej należy uregulować dopuszczenie danej osoby do przetwarzania danych osobowych, których administratorem jest pracodawca. Etatowy pracownik wykonujący obowiązki z zakresu BHP powinien zostać upoważniony przez administratora do przetwarzania danych osobowych do tego niezbędnych.

Należy pamiętać, że upoważnienie do przetwarzania danych wrażliwych musi zostać udzielone na piśmie – zgodnie z art. 221b § 3 Kodeksu pracy.

Zewnętrzne firmy, do których pracodawca outsourcuje usługi związane z BHP, co do zasady będą pełnić funkcję podmiotów przetwarzających, a więc rozpoczęcie współpracy z nimi będzie nierozerwalnie związane z koniecznością zawarcia umowy powierzenia. Wyjątkiem mogą być osoby spoza organizacji (np. prowadzące jednoosobowe działalności gospodarcze), które wykonują swoje obowiązki jak pracownicy, działając na sprzęcie administratora i zgodnie z jego instrukcjami – wówczas upoważnienie można uznać za wystarczające.

Lista osób upoważnionych do udzielania pierwszej pomocy

Zgodnie z art. 2071 § 1 pkt 3 Kodeksu pracy pracodawca jest obowiązany przekazywać pracownikom informacje o pracownikach wyznaczonych do udzielania pierwszej pomocy i wykonywania działań w zakresie zwalczania pożarów i ewakuacji pracowników. Co więcej § 2 tego art. precyzuje, o jakie dane chodzi, tj.: imię, nazwisko, miejsce wykonywania pracy i numer telefonu służbowego lub innego środka komunikacji elektronicznej. Udostępnienie takich danych w łatwo dostępnych miejscach z zakładzie jest niezbędne, aby w razie potrzeby sprawnie powiadomić odpowiednie osoby i dzięki temu zapewnić pracownikom bezpieczeństwo. Ma to wartość nadrzędną nad ochroną danych osobowych osób upoważnionych. Dlatego nie traćmy rozsądku – zamiast udostępniać taką listę na piśmie każdemu z osobna, wywieśmy ją w odpowiednich miejscach w zakładzie pracy.

Informacje, które należy uwzględnić w klauzuli informacyjnej dla pracowników w związku z BHP

RODO wcale nie nakłada na pracodawców obowiązku przedstawiania pracownikom klauzuli informacyjnej przy każdorazowym zbieraniu od nich danych. Umiejętnie skonstruowana klauzula, przedstawiona na odpowiednim etapie, może pozwolić pracodawcy zrobić to raz, a skutecznie (np. pod kwestionariuszem osobowym dla pracownika). Ważne, aby uwzględniała ona wszystkie konieczne aspekty. Przede wszystkim powinna zawierać podstawy prawne, czyli wskazane wyżej art. 6 ust. 1 lit. c RODO oraz art. 9 ust. 2 lit. b RODO. Obowiązkowo należy uwzględnić także okres przechowywania dokumentacji związanej z BHP. Wiele danych pracownika będzie przetwarzanych przez okresy przechowywania dokumentacji prawniczej, wynoszące 10 lub 50 lat (wynikają one z art. 94 pkt 9b Kodeksu pracy oraz art. 125a ustawy emeryturach i rentach z Funduszu Ubezpieczeń Społecznych), ale pamiętajmy również o wyjątkach. Na przykład art. 234 § 3 Kodeksu pracy nakłada na pracodawcę obowiązek przechowywania protokołu ustalenia okoliczności i przyczyn wypadku przy pracy wraz z pozostałą dokumentacją powypadkową przez 10 lat (co ma znaczenie raczej w stosunku do pracowników, których dane musimy przechowywać na starych zasadach, tj. przez 50 lat).

Rekomendujemy, aby szczególną uwagę poświęcić katalogowi odbiorców (lub ich kategorii). Jego wskazanie jest obligatoryjnym elementem każdej klauzuli informacyjnej. Z jednej strony takimi odbiorcami mogą być zewnętrzne firmy szkoleniowe czy wspierające pracodawcę w wykonywaniu obowiązków związanych z BHP, a z drugiej – choćby Zakład Ubezpieczeń Społecznych.

Pozostałe zagadnienia związane z ochroną danych osobowych w dziale BHP

Zagadnienia związane z ochroną danych osobowych w dziale BHP oczywiście nie ograniczają się do podniesionych wyżej kwestii. Odrębne artykuły można by poświęcić przetwarzaniu danych osobowych w ramach wstępnych/okresowych badań lekarskich, badania trzeźwości pracowników, monitoringu w kontekście przepisów o bezpieczeństwie i higienie pracy czy w związku z zatrudnianiem pracowników tymczasowych. Proces przetwarzania danych w ramach zatrudnienia jest kluczowy z punktu widzenia działania organizacji, a przez sam swój charakter i szeroki zakres zbieranych w nim (często newralgicznych) danych pracowników niesie za sobą duże ryzyko popełnienia błędu przez administratora danych. W konsekwencji może to sprowadzić na administratora kontrolę Prezesa UODO. Państwowa Inspekcja Pracy (PIP) również posiada uprawnienia do kontroli kwestii związanych z ochroną danych osobowych, znajdujących odzwierciedlenie w przepisach prawa pracy (w tym przepisach i zasadach bezpieczeństwa i higieny pracy – zgodnie z art. 10 ust. 1 pkt 1 ustawy o Państwowej Inspekcji Pracy). Należy przy tym zauważyć, że widmo kontroli PIP-u jest znacznie wyraźniejsze niż kontroli Prezesa UODO.

Autor: Agata Kłodzińska, Specjalista ds. ochrony danych, ODO 24. Aplikant adwokacki. Swoje zainteresowania koncentruje na obszarze szeroko pojętego prawa cywilnego i administracyjnego, w tym w szczególności na zagadnieniach związanych z ochroną danych osobowych. W ODO 24 zajmuje się przeprowadzaniem audytów, tworzeniem dokumentacji związanej z przetwarzaniem danych osobowych oraz sporządzaniem opinii prawnych. Audytor wiodący ISO/IEC 27001.

Zapisz się na newsletter
Zakładasz firmę? A może ją rozwijasz? Chcesz jak najbardziej efektywnie prowadzić swój biznes? Z naszym newsletterem będziesz zawsze na bieżąco.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

REKLAMA

Moja firma
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Webinar: Architekci zmiany

Jak dobrać zespół, który skutecznie przeprowadzi transformację?

Ponad 156 mln zł na zagraniczną ekspansję firm! PARP ogłasza wyniki naboru "Promocja marki innowacyjnych MŚP"

Polska Agencja Rozwoju Przedsiębiorczości (PARP) opublikowała wyniki naboru w konkursie „Promocja marki innowacyjnych MŚP”, realizowanym w ramach programu Fundusze Europejskie dla Nowoczesnej Gospodarki (FENG). Wsparcie trafi do 183 projektów na łączną kwotę ponad 156 mln zł, które pomogą polskim przedsiębiorstwom w promocji produktów i usług na rynkach międzynarodowych.

Kim jest rzecznik patentowy i jak wspiera przedsiębiorców?

Do 5 września trwa nabór na aplikację rzecznikowską. To ścieżka kariery m.in. dla absolwentów kierunków prawniczych, technicznych i ścisłych. Problem w tym, że wielu studentów nie ma świadomości, że taki zawód zaufania publicznego istnieje i jaka jest jego rola. W Polsce jest dziś 1 tys. rzeczników patentowych.

Weto prezydenta dla ustawy wiatrakowej a weto dla ustawy o deregulacji w energetyce

Jakie znaczenie ma weto prezydenta dla ustawy wiatrakowej? Najbardziej poszkodowani są mieszkańcy posiadający domy w bezpośrednim sąsiedztwie farm wiatrowych. Mieli otrzymać nawet do 20 tys. zł do podziału dla mieszkańców posiadających nieruchomości w promieniu 1 km od turbiny. Natomiast bardziej problematyczne dla rozwoju OZE jest weto dla Ustawy o deregulacji w energetyce.

REKLAMA

Poławianie pereł. W jaki sposób łączyć technologię z autentycznością, by pozyskiwać jak najlepszych kandydatów?

Wyobraź sobie świat, w którym rekrutacja to już nie tylko „polowanie” na talenty, lecz dynamiczny ekosystem przewidywania i kreowania przyszłości organizacji. To scena, na której algorytmy AI nie tylko analizują CV, ale z chirurgiczną precyzją tropią osoby, które za moment zmienią rolę. Czy rekruterzy są gotowi na to, by wykorzystać potencjał AI mądrze, z korzyścią zarówno dla firmy, jak i kandydata?

Fundusz Bezpieczeństwa i Obronności oraz Spółka Specjalnego Przeznaczenia. Ważne zmiany dla polskiej gospodarki i przedsiębiorców [PROJEKT]

W obliczu dynamicznych zmian geopolitycznych i rosnących zagrożeń dla stabilności europejskiej, Polska podejmuje zdecydowane kroki w kierunku wzmocnienia swojej odporności. Jednym z najważniejszych elementów tej strategii jest powołanie Funduszu Bezpieczeństwa i Obronności – inicjatywy, która nie tylko odpowiada na wymogi Krajowego Planu Odbudowy i Zwiększania Odporności (KPO), ale także stanowi istotny element w budowaniu nowoczesnej, bezpiecznej i innowacyjnej gospodarki.

Dlaczego warto posiadać konto bankowe za granicą?

Wielu przedsiębiorców w Polsce skupia się na bieżącym prowadzeniu biznesu, dbając o sprzedaż, marketing czy rozwój produktów. Jednak nie zawsze równie dużą wagę przykładają do kwestii związanych z bezpieczeństwem finansowym firmy. W praktyce to właśnie sprawy bankowe i podatkowe mogą przesądzić o stabilności przedsiębiorstwa, a nawet o jego być albo nie być.

Jak chronić tajemnicę przedsiębiorstwa transportowego? Co zrobić w przypadku naruszenia poufności?

Współczesny rynek transportowy charakteryzuje się rosnącą konkurencją, wysoką dynamiką zmian oraz presją na efektywność kosztową. Przedsiębiorstwa działające w tym sektorze muszą nie tylko inwestować we flotę, nowoczesne technologie i kwalifikacje pracowników, ale także skutecznie chronić informacje, które stanowią o ich przewadze rynkowej.

REKLAMA

Tańsze tankowanie od września – ORLEN wprowadza nową promocję dla kierowców

Od 1 września 2025 roku na stacjach ORLEN w całej Polsce rusza nowa akcja promocyjna. Kierowcy mogą liczyć na zniżki nawet do 20 zł przy jednym tankowaniu, a co ważne – promocja obowiązuje codziennie, przez cały miesiąc. To kontynuacja wakacyjnych rabatów, ale w nieco innej, bardziej elastycznej formie.

Czy firmy wolą pozyskiwać nowych klientów czy utrzymywać relacje ze starymi?

Trzy czwarte firm w Europie planuje zwiększyć wydatki na narzędzia lojalnościowe, jak karty podarunkowe. W Polsce tylko 4% firm B2B stawia na budowanie relacji w marketingu, co – zdaniem ekspertów – jest niewykorzystanym potencjałem, zwłaszcza przy rosnących kosztach pozyskania klientów.

REKLAMA