REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.
RODO w BHP/ Fot. Shutterstock
RODO w BHP/ Fot. Shutterstock

REKLAMA

REKLAMA

Gdy analizujemy kwestie związane z przetwarzaniem danych osobowych pracowników, bardzo często skupiamy się na właściwym przeprowadzaniu rekrutacji (zwłaszcza w kontekście stosunkowo niedawnych zmian w Kodeksie pracy) i na pułapkach, w które można wpaść w trakcie procesu zatrudnienia. Poświęcamy więc czas i uwagę odpowiedniej konstrukcji klauzul informacyjnych, uregulowaniu monitoringu pracowników czy dostosowaniu regulaminu zakładowego funduszu świadczeń socjalnych do wymagań ustawy. Możemy jednak przeoczyć z pozoru nieistotne, wąskie zagadnienia związane z zapewnieniem pracownikom bezpiecznych i higienicznych warunków pracy.

Aby ułatwić prace nad dostosowaniem przetwarzania danych w ramach BHP do wymogów RODO, przygotowaliśmy zestawienie najważniejszych według nas problemów w tym zakresie (a przynajmniej najczęściej pojawiających się w audytowanych przez nas organizacjach) z punktu widzenia ochrony danych osobowych.

REKLAMA

Organizowanie szkoleń BHP

REKLAMA

Wyróżniamy dwa podstawowe modele organizacji szkoleń dla pracowników przy współpracy z zewnętrznymi firmami – zamknięte i otwarte. Szkolenia zamknięte prowadzi trener skierowany do organizacji przez podmiot specjalizujący się w szkoleniach BHP. Bierze w nich udział konkretna grupa osób wyznaczona przez pracodawcę. W takiej sytuacji to pracodawca, jako administrator danych zatrudnianych przez siebie osób, decyduje o celu (a celem jest przeszkolenie pracowników z zakresu BHP) oraz o sposobie przetwarzania ich danych osobowych (m.in. przez wybór firmy, która takie szkolenie ma przeprowadzić).

Po przeprowadzonym szkoleniu warto zadbać o wystawienie pracownikom zaświadczeń o odbyciu szkolenia. Z oczywistych powodów zewnętrzna firma ich nie dostarczy, jeśli nie będzie dysponować danymi osobowymi pracowników biorących udział w szkoleniu. Samą listę obecności można przekazać za pośrednictwem poczty elektronicznej (e-mail). Przekazanie danych osobowych drogą mailową jest bezpieczne, pod warunkiem że plik w formacie .xls lub .xlsx będzie zabezpieczony hasłem, które zostanie wysłane pod numer telefonu komórkowego w wiadomości tekstowej SMS. Listę można sporządzić również w wersji papierowej i dostarczyć ją firmie szkoleniowej pocztą lub osobiście do jej siedziby (znacznie spowalnia to jednak proces wystawiania zaświadczeń). Na tym etapie powstaje właśnie stosunek powierzenia: pracodawca (czyli administrator danych) przekazuje (czyli powierza) firmie szkoleniowej (jako podmiotowi przetwarzającemu) dane swoich pracowników, aby ta przetwarzała je w imieniu i na rzecz pracodawcy, zgodnie z jego instrukcjami. Stosunek ten bezwzględnie powinien zostać uregulowany umową powierzenia, zawierającą elementy wskazane w art. 28 RODO.

REKLAMA

Z kolei przez szkolenia otwarte rozumie się szkolenia organizowane w całości przez zewnętrzny podmiot. Takie szkolenia nie są kierowane do pracowników tylko jednej firmy – może zapisać się na nie tak naprawdę każdy. Wówczas dane są pozyskiwane najczęściej bezpośrednio od pracownika bądź przy niewielkim udziale pracodawcy (np. przy opłacaniu szkolenia pracodawca przekazuje firmie informacje o liczbie swoich pracowników i – siłą rzeczy – miejscu zatrudnienia, a wszelkie dane niezbędne do uzyskania zaświadczenia każdy pracownik przekazuje samodzielnie). To po stronie firmy szkoleniowej leżą wszelkie kwestie organizacyjne, w tym odnoszące się do tego, jakie dane osobowe uczestników przetwarzać, jak je przechowywać, komu udostępniać i po jakim czasie usuwać. W tym modelu firma szkoleniowa będzie odrębnym administratorem danych uczestników szkoleń.

Dane niezbędne do wystawienia zaświadczenia o ukończonym szkoleniu BHP to: imię, nazwisko, data urodzenia i typ zajmowanego stanowiska (robotnicze, administracyjno-biurowe itp.). Ani pracodawca, ani firma szkoleniowa nie mogą żądać od pracownika podania miejsca urodzenia (w związku z nowelizacją art. 221 Kodeksu pracy).

Dalszy ciąg materiału pod wideo

Dane osoby do kontaktu w razie wypadku

Obowiązek zbierania danych osoby do kontaktu w razie wypadku pracownika nie wynika z żadnych przepisów prawa. Wzorcowy kwestionariusz osobowy dla pracownika, opublikowany przez Ministerstwo Rodziny, Pracy i Polityki Społecznej, może wprowadzać w błąd, ponieważ sugeruje, że dane osoby do kontaktu możemy przetwarzać, „jeśli pracownik wyrazi zgodę na podanie danych takiej osoby” (patrz pkt 10 kwestionariusza). Przypominamy, że art. 6 ust. 1 lit. a RODO mówi o zgodzie osoby, której dane dotyczą, czyli w tym przypadku męża, żony, rodzica czy przyjaciela pracownika.

Najodpowiedniejszą podstawą prawną przetwarzania takich danych wydaje się art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes realizowany przez administratora lub stronę trzecią. I choć naturalnym wyborem byłby art. 6 ust. 1 lit. d RODO, czyli ochrona żywotnych interesów osoby trzeciej (przetwarzamy dane osoby do kontaktu, aby chronić żywotne interesy pracownika, który może uleć wypadkowi), to trzeba zauważyć, że motyw 46 RODO stanowi: „Żywotny interes innej osoby fizycznej powinien zasadniczo być podstawą przetwarzania danych osobowych wyłącznie w przypadkach, gdy ewidentnie przetwarzania tego nie da się oprzeć na innej podstawie prawnej”. Czy w analizowanej sytuacji ewidentnie nie da się oprzeć przetwarzania na art. 6 ust. 1 lit. f RODO? Trudno to założyć, stąd rekomendowaną podstawą prawną przetwarzania danych osoby do kontaktu w razie wypadku jest prawnie uzasadniony interes.

Wypadki i postępowania powypadkowe a RODO

W razie wypadku przy pracy dochodzi co do zasady do przetwarzania danych dwóch grup osób – pracowników, czyli ofiar (ewentualnie członków ich rodzin), oraz świadków zdarzenia, którymi nie zawsze są pracownicy. Dane zarówno jednych, jak i drugich z oczywistych powodów możemy przetwarzać, lecz różna może być podstawa prawna tego przetwarzania. W przypadku osób, które uległy wpadkowi, bez wątpienia przetwarzanie powinniśmy oprzeć na obowiązku prawnym ciążącym na administratorze, tj. na art. 6 ust. 1 lit. c RODO – przy danych zwykłych oraz art. 9 ust. 2 lit. b RODO – w odniesieniu do danych wrażliwych, w tym chociażby dokumentacji medycznej ze szpitala (mowa o obowiązku prawnym wynikającym z art. 234 § 1 Kodeksu pracy, doprecyzowanym w rozporządzeniu Ministra Rodziny, Pracy i Polityki Społecznej z dnia 24 maja 2019 r. w sprawie wzoru protokołu ustalenia okoliczności i przyczyn wypadku przy pracy).

Na jakiej podstawie prawnej przetwarzamy w takim razie dane osobowe świadków wypadku przy pracy? Z jednej strony powołanie się na art. 6 ust. 1 lit. c RODO (analogicznie do postępowania w przypadku ofiar wypadków) wydaje się rozwiązaniem słusznym, z drugiej – wątpliwości dotyczą faktu, że pozyskiwanie danych świadków nie jest wprost uregulowane w przepisach, a wynika z nich pośrednio. Tak samo przepisy żadnej rangi nie regulują, jakich danych można żądać od świadka. Zespół powypadkowy podczas ustalania okoliczności i przyczyn wypadku zbiera informacje od świadków zdarzenia, które stanowią najczęściej załącznik do protokołu powypadkowego (jego wzór określa wyżej wskazane rozporządzenie, przy czym sam protokół w żaden sposób nie uwzględnia świadków wypadku). W takiej sytuacji niektórzy administratorzy (pracodawcy) decydują się oprzeć przetwarzanie danych świadka na przesłance prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO). Zasługuje to na aprobatę, zwłaszcza w świetle stanowiska Urzędu Ochrony Danych Osobowych (UODO). Zgodnie z decyzją Prezesa UODO z 4 stycznia 2019 r. prawnie uzasadniony interes administratora ma być „prawnie usprawiedliwiony, a zatem taki, który znajduje uzasadnienie w konkretnych przepisach prawa”. Kodeks pracy zdecydowanie jest takim prawnym uzasadnieniem.

Ostatnia możliwość to zgoda, czyli oparcie przetwarzania na art. 6 ust. 1 lit. a RODO. Nie rekomendujemy jednak tego rozwiązania z uwagi na duże ryzyko, że trudno będzie udowodnić dobrowolny charakter takiej zgody.

W kontekście powyższego zwracamy uwagę na konieczność spełnienia obowiązku informacyjnego w stosunku do wszystkich osób, których dane są pozyskiwane – począwszy od pracowników, przez członków ich rodzin, a skończywszy na świadkach wypadku niebędących pracownikami administratora danych. Odpowiednio skonstruowana klauzula informacyjna mogłaby znaleźć się np. w protokole ustalenia okoliczności i przyczyn wypadku przy pracy (klauzula skierowana do ofiar wypadku i członków ich rodzin) czy w obowiązującym w organizacji wzorze dokumentu informacji świadka wypadku (klauzula skierowana do świadków).

Inspektor/specjalista ds. BHP w organizacji – upoważnienie czy powierzenie?

W zależności od tego, czy w zakładzie pracy zatrudniony jest specjalista ds. BHP, czy pracodawca korzysta z usług zewnętrznych ekspertów, inaczej należy uregulować dopuszczenie danej osoby do przetwarzania danych osobowych, których administratorem jest pracodawca. Etatowy pracownik wykonujący obowiązki z zakresu BHP powinien zostać upoważniony przez administratora do przetwarzania danych osobowych do tego niezbędnych.

Należy pamiętać, że upoważnienie do przetwarzania danych wrażliwych musi zostać udzielone na piśmie – zgodnie z art. 221b § 3 Kodeksu pracy.

Zewnętrzne firmy, do których pracodawca outsourcuje usługi związane z BHP, co do zasady będą pełnić funkcję podmiotów przetwarzających, a więc rozpoczęcie współpracy z nimi będzie nierozerwalnie związane z koniecznością zawarcia umowy powierzenia. Wyjątkiem mogą być osoby spoza organizacji (np. prowadzące jednoosobowe działalności gospodarcze), które wykonują swoje obowiązki jak pracownicy, działając na sprzęcie administratora i zgodnie z jego instrukcjami – wówczas upoważnienie można uznać za wystarczające.

Lista osób upoważnionych do udzielania pierwszej pomocy

Zgodnie z art. 2071 § 1 pkt 3 Kodeksu pracy pracodawca jest obowiązany przekazywać pracownikom informacje o pracownikach wyznaczonych do udzielania pierwszej pomocy i wykonywania działań w zakresie zwalczania pożarów i ewakuacji pracowników. Co więcej § 2 tego art. precyzuje, o jakie dane chodzi, tj.: imię, nazwisko, miejsce wykonywania pracy i numer telefonu służbowego lub innego środka komunikacji elektronicznej. Udostępnienie takich danych w łatwo dostępnych miejscach z zakładzie jest niezbędne, aby w razie potrzeby sprawnie powiadomić odpowiednie osoby i dzięki temu zapewnić pracownikom bezpieczeństwo. Ma to wartość nadrzędną nad ochroną danych osobowych osób upoważnionych. Dlatego nie traćmy rozsądku – zamiast udostępniać taką listę na piśmie każdemu z osobna, wywieśmy ją w odpowiednich miejscach w zakładzie pracy.

Informacje, które należy uwzględnić w klauzuli informacyjnej dla pracowników w związku z BHP

RODO wcale nie nakłada na pracodawców obowiązku przedstawiania pracownikom klauzuli informacyjnej przy każdorazowym zbieraniu od nich danych. Umiejętnie skonstruowana klauzula, przedstawiona na odpowiednim etapie, może pozwolić pracodawcy zrobić to raz, a skutecznie (np. pod kwestionariuszem osobowym dla pracownika). Ważne, aby uwzględniała ona wszystkie konieczne aspekty. Przede wszystkim powinna zawierać podstawy prawne, czyli wskazane wyżej art. 6 ust. 1 lit. c RODO oraz art. 9 ust. 2 lit. b RODO. Obowiązkowo należy uwzględnić także okres przechowywania dokumentacji związanej z BHP. Wiele danych pracownika będzie przetwarzanych przez okresy przechowywania dokumentacji prawniczej, wynoszące 10 lub 50 lat (wynikają one z art. 94 pkt 9b Kodeksu pracy oraz art. 125a ustawy emeryturach i rentach z Funduszu Ubezpieczeń Społecznych), ale pamiętajmy również o wyjątkach. Na przykład art. 234 § 3 Kodeksu pracy nakłada na pracodawcę obowiązek przechowywania protokołu ustalenia okoliczności i przyczyn wypadku przy pracy wraz z pozostałą dokumentacją powypadkową przez 10 lat (co ma znaczenie raczej w stosunku do pracowników, których dane musimy przechowywać na starych zasadach, tj. przez 50 lat).

Rekomendujemy, aby szczególną uwagę poświęcić katalogowi odbiorców (lub ich kategorii). Jego wskazanie jest obligatoryjnym elementem każdej klauzuli informacyjnej. Z jednej strony takimi odbiorcami mogą być zewnętrzne firmy szkoleniowe czy wspierające pracodawcę w wykonywaniu obowiązków związanych z BHP, a z drugiej – choćby Zakład Ubezpieczeń Społecznych.

Pozostałe zagadnienia związane z ochroną danych osobowych w dziale BHP

Zagadnienia związane z ochroną danych osobowych w dziale BHP oczywiście nie ograniczają się do podniesionych wyżej kwestii. Odrębne artykuły można by poświęcić przetwarzaniu danych osobowych w ramach wstępnych/okresowych badań lekarskich, badania trzeźwości pracowników, monitoringu w kontekście przepisów o bezpieczeństwie i higienie pracy czy w związku z zatrudnianiem pracowników tymczasowych. Proces przetwarzania danych w ramach zatrudnienia jest kluczowy z punktu widzenia działania organizacji, a przez sam swój charakter i szeroki zakres zbieranych w nim (często newralgicznych) danych pracowników niesie za sobą duże ryzyko popełnienia błędu przez administratora danych. W konsekwencji może to sprowadzić na administratora kontrolę Prezesa UODO. Państwowa Inspekcja Pracy (PIP) również posiada uprawnienia do kontroli kwestii związanych z ochroną danych osobowych, znajdujących odzwierciedlenie w przepisach prawa pracy (w tym przepisach i zasadach bezpieczeństwa i higieny pracy – zgodnie z art. 10 ust. 1 pkt 1 ustawy o Państwowej Inspekcji Pracy). Należy przy tym zauważyć, że widmo kontroli PIP-u jest znacznie wyraźniejsze niż kontroli Prezesa UODO.

Autor: Agata Kłodzińska, Specjalista ds. ochrony danych, ODO 24. Aplikant adwokacki. Swoje zainteresowania koncentruje na obszarze szeroko pojętego prawa cywilnego i administracyjnego, w tym w szczególności na zagadnieniach związanych z ochroną danych osobowych. W ODO 24 zajmuje się przeprowadzaniem audytów, tworzeniem dokumentacji związanej z przetwarzaniem danych osobowych oraz sporządzaniem opinii prawnych. Audytor wiodący ISO/IEC 27001.

Autopromocja

REKLAMA

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:

REKLAMA

QR Code
Moja firma
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Walka o przetrwanie. W ciągu dekady zniknie większość sklepów internetowych

Na rynku e-commerce, który jest niezwykle konkurencyjny, już w pierwszym roku działalności zanika 5% firm. Po upływie dziesięciu lat nadal funkcjonuje jedynie 37% z nich - informuje wtorkowe wydanie "Rzeczpospolitej".

Handel w dwie niedziele w każdym miesiącu - jest wniosek o odrzucenia projektu nowelizacji

Polska Izba Handlu wnioskuje o odrzucenie w całości poselskiego projektu przywracającego handel w 2 niedziele w miesiącu - wynika z opinii PIH złożonego w trakcie procesu legislacyjnego.

Dzień Matki. Jak wygląda rynek pracy kobiet?

W ciągu ostatnich kilku lat sytuacja kobiet na rynku pracy mocno ewoluowała. Pomimo podejmowania przez firmy działań na rzecz równouprawnienia płci panie bywają niejednokrotnie w nieco gorszej sytuacji zawodowej niż panowie. Jak wygląda rynek pracy kobiet? Czy pracodawcy oferują dodatkowe benefity dla rodziców? Co jest dla nich ważne u pracodawcy?

Pablo Escobar jako znak towarowy? Sąd odmawia

Sąd UE odmówił rejestracji oznaczenia słownego „Pablo Escobar” pod unijnym znakiem towarowym. Sąd uznał je za sprzeczne z porządkiem publicznym i dobrymi obyczajami. Za bardzo kojarzy się z handlem narkotykami i zbrodnią.

REKLAMA

Ogromne grzywny za niewdrożenie dyrektywy NIS2. Do kiedy trzeba to zrobić?

Dyrektywa Unii Europejskiej w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (NIS2) ma duże znaczenie dla poprawy cyberbezpieczeństwa UE. Jej wejście w życie nastąpiło w styczniu 2023 r. - z terminem na dostosowanie niezbędnych do wykonania niniejszej dyrektywy przepisów krajowych do 18 października 2024 r. Kto powinien przygotować się do działania w zgodzie z NIS2-  analizuje Michał Borowiecki, dyrektor Netskope na Polskę i Europę Wschodnią.

Nowa usługa dla indywidualnych przedsiębiorców w aplikacji mObywatel 2.0

W aplikacji mObywatel 2.0 pojawiła się usługa "Firma" skierowana do osób prowadzących jednoosobową działalność gospodarczą. Jak z niej skorzystać?

Onboarding w hybrydowym modelu pracy

Czym jest onboarding? Jak wygląda w pracy hybrydowej? 

Efekt Marywilskiej i fali pożarów: przedsiębiorcy pytają o ubezpieczenia i podatki pod względem strat

Tragedia tysięcy kupców, którzy prowadzili swoje biznesy często poniżej poziomu ryzyka skłania wielu przedsiębiorców do refleksji nad warunkami w jakich oni sami prowadzą swoją działalność. Efekt Marywilskiej i fali pożarów w ogóle: dwie ważne kwestie, w których doradzają eksperci to rozliczanie strat i inne aspekty podatkowe nieszczęścia oraz skuteczność polis jako zabezpieczenia przed skutkami nieszczęść.

REKLAMA

Jak zbudować dobre „candidate experience”

Czym jest candidate experience? Na co wpływa? Jak zmierzyć candidate experience i jak zbudować dobre?

31 maja 2024 r. upływa ważny termin dla rolników-przedsiębiorców

Do 31 maja 2024 r. należy złożyć zaświadczenie/oświadczenie o nieprzekroczeniu rocznej kwoty granicznej należnego podatku dochodowego za 2023 rok od przychodów z pozarolniczej działalności gospodarczej.

REKLAMA