Aby ułatwić prace nad dostosowaniem przetwarzania danych w ramach BHP do wymogów RODO, przygotowaliśmy zestawienie najważniejszych według nas problemów w tym zakresie (a przynajmniej najczęściej pojawiających się w audytowanych przez nas organizacjach) z punktu widzenia ochrony danych osobowych.
Organizowanie szkoleń BHP
Wyróżniamy dwa podstawowe modele organizacji szkoleń dla pracowników przy współpracy z zewnętrznymi firmami – zamknięte i otwarte. Szkolenia zamknięte prowadzi trener skierowany do organizacji przez podmiot specjalizujący się w szkoleniach BHP. Bierze w nich udział konkretna grupa osób wyznaczona przez pracodawcę. W takiej sytuacji to pracodawca, jako administrator danych zatrudnianych przez siebie osób, decyduje o celu (a celem jest przeszkolenie pracowników z zakresu BHP) oraz o sposobie przetwarzania ich danych osobowych (m.in. przez wybór firmy, która takie szkolenie ma przeprowadzić).
Po przeprowadzonym szkoleniu warto zadbać o wystawienie pracownikom zaświadczeń o odbyciu szkolenia. Z oczywistych powodów zewnętrzna firma ich nie dostarczy, jeśli nie będzie dysponować danymi osobowymi pracowników biorących udział w szkoleniu. Samą listę obecności można przekazać za pośrednictwem poczty elektronicznej (e-mail). Przekazanie danych osobowych drogą mailową jest bezpieczne, pod warunkiem że plik w formacie .xls lub .xlsx będzie zabezpieczony hasłem, które zostanie wysłane pod numer telefonu komórkowego w wiadomości tekstowej SMS. Listę można sporządzić również w wersji papierowej i dostarczyć ją firmie szkoleniowej pocztą lub osobiście do jej siedziby (znacznie spowalnia to jednak proces wystawiania zaświadczeń). Na tym etapie powstaje właśnie stosunek powierzenia: pracodawca (czyli administrator danych) przekazuje (czyli powierza) firmie szkoleniowej (jako podmiotowi przetwarzającemu) dane swoich pracowników, aby ta przetwarzała je w imieniu i na rzecz pracodawcy, zgodnie z jego instrukcjami. Stosunek ten bezwzględnie powinien zostać uregulowany umową powierzenia, zawierającą elementy wskazane w art. 28 RODO.
Z kolei przez szkolenia otwarte rozumie się szkolenia organizowane w całości przez zewnętrzny podmiot. Takie szkolenia nie są kierowane do pracowników tylko jednej firmy – może zapisać się na nie tak naprawdę każdy. Wówczas dane są pozyskiwane najczęściej bezpośrednio od pracownika bądź przy niewielkim udziale pracodawcy (np. przy opłacaniu szkolenia pracodawca przekazuje firmie informacje o liczbie swoich pracowników i – siłą rzeczy – miejscu zatrudnienia, a wszelkie dane niezbędne do uzyskania zaświadczenia każdy pracownik przekazuje samodzielnie). To po stronie firmy szkoleniowej leżą wszelkie kwestie organizacyjne, w tym odnoszące się do tego, jakie dane osobowe uczestników przetwarzać, jak je przechowywać, komu udostępniać i po jakim czasie usuwać. W tym modelu firma szkoleniowa będzie odrębnym administratorem danych uczestników szkoleń.
Dane niezbędne do wystawienia zaświadczenia o ukończonym szkoleniu BHP to: imię, nazwisko, data urodzenia i typ zajmowanego stanowiska (robotnicze, administracyjno-biurowe itp.). Ani pracodawca, ani firma szkoleniowa nie mogą żądać od pracownika podania miejsca urodzenia (w związku z nowelizacją art. 221 Kodeksu pracy).
Dane osoby do kontaktu w razie wypadku
Obowiązek zbierania danych osoby do kontaktu w razie wypadku pracownika nie wynika z żadnych przepisów prawa. Wzorcowy kwestionariusz osobowy dla pracownika, opublikowany przez Ministerstwo Rodziny, Pracy i Polityki Społecznej, może wprowadzać w błąd, ponieważ sugeruje, że dane osoby do kontaktu możemy przetwarzać, „jeśli pracownik wyrazi zgodę na podanie danych takiej osoby” (patrz pkt 10 kwestionariusza). Przypominamy, że art. 6 ust. 1 lit. a RODO mówi o zgodzie osoby, której dane dotyczą, czyli w tym przypadku męża, żony, rodzica czy przyjaciela pracownika.
Najodpowiedniejszą podstawą prawną przetwarzania takich danych wydaje się art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes realizowany przez administratora lub stronę trzecią. I choć naturalnym wyborem byłby art. 6 ust. 1 lit. d RODO, czyli ochrona żywotnych interesów osoby trzeciej (przetwarzamy dane osoby do kontaktu, aby chronić żywotne interesy pracownika, który może uleć wypadkowi), to trzeba zauważyć, że motyw 46 RODO stanowi: „Żywotny interes innej osoby fizycznej powinien zasadniczo być podstawą przetwarzania danych osobowych wyłącznie w przypadkach, gdy ewidentnie przetwarzania tego nie da się oprzeć na innej podstawie prawnej”. Czy w analizowanej sytuacji ewidentnie nie da się oprzeć przetwarzania na art. 6 ust. 1 lit. f RODO? Trudno to założyć, stąd rekomendowaną podstawą prawną przetwarzania danych osoby do kontaktu w razie wypadku jest prawnie uzasadniony interes.
Wypadki i postępowania powypadkowe a RODO
W razie wypadku przy pracy dochodzi co do zasady do przetwarzania danych dwóch grup osób – pracowników, czyli ofiar (ewentualnie członków ich rodzin), oraz świadków zdarzenia, którymi nie zawsze są pracownicy. Dane zarówno jednych, jak i drugich z oczywistych powodów możemy przetwarzać, lecz różna może być podstawa prawna tego przetwarzania. W przypadku osób, które uległy wpadkowi, bez wątpienia przetwarzanie powinniśmy oprzeć na obowiązku prawnym ciążącym na administratorze, tj. na art. 6 ust. 1 lit. c RODO – przy danych zwykłych oraz art. 9 ust. 2 lit. b RODO – w odniesieniu do danych wrażliwych, w tym chociażby dokumentacji medycznej ze szpitala (mowa o obowiązku prawnym wynikającym z art. 234 § 1 Kodeksu pracy, doprecyzowanym w rozporządzeniu Ministra Rodziny, Pracy i Polityki Społecznej z dnia 24 maja 2019 r. w sprawie wzoru protokołu ustalenia okoliczności i przyczyn wypadku przy pracy).
Na jakiej podstawie prawnej przetwarzamy w takim razie dane osobowe świadków wypadku przy pracy? Z jednej strony powołanie się na art. 6 ust. 1 lit. c RODO (analogicznie do postępowania w przypadku ofiar wypadków) wydaje się rozwiązaniem słusznym, z drugiej – wątpliwości dotyczą faktu, że pozyskiwanie danych świadków nie jest wprost uregulowane w przepisach, a wynika z nich pośrednio. Tak samo przepisy żadnej rangi nie regulują, jakich danych można żądać od świadka. Zespół powypadkowy podczas ustalania okoliczności i przyczyn wypadku zbiera informacje od świadków zdarzenia, które stanowią najczęściej załącznik do protokołu powypadkowego (jego wzór określa wyżej wskazane rozporządzenie, przy czym sam protokół w żaden sposób nie uwzględnia świadków wypadku). W takiej sytuacji niektórzy administratorzy (pracodawcy) decydują się oprzeć przetwarzanie danych świadka na przesłance prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO). Zasługuje to na aprobatę, zwłaszcza w świetle stanowiska Urzędu Ochrony Danych Osobowych (UODO). Zgodnie z decyzją Prezesa UODO z 4 stycznia 2019 r. prawnie uzasadniony interes administratora ma być „prawnie usprawiedliwiony, a zatem taki, który znajduje uzasadnienie w konkretnych przepisach prawa”. Kodeks pracy zdecydowanie jest takim prawnym uzasadnieniem.
Ostatnia możliwość to zgoda, czyli oparcie przetwarzania na art. 6 ust. 1 lit. a RODO. Nie rekomendujemy jednak tego rozwiązania z uwagi na duże ryzyko, że trudno będzie udowodnić dobrowolny charakter takiej zgody.
W kontekście powyższego zwracamy uwagę na konieczność spełnienia obowiązku informacyjnego w stosunku do wszystkich osób, których dane są pozyskiwane – począwszy od pracowników, przez członków ich rodzin, a skończywszy na świadkach wypadku niebędących pracownikami administratora danych. Odpowiednio skonstruowana klauzula informacyjna mogłaby znaleźć się np. w protokole ustalenia okoliczności i przyczyn wypadku przy pracy (klauzula skierowana do ofiar wypadku i członków ich rodzin) czy w obowiązującym w organizacji wzorze dokumentu informacji świadka wypadku (klauzula skierowana do świadków).
Inspektor/specjalista ds. BHP w organizacji – upoważnienie czy powierzenie?
W zależności od tego, czy w zakładzie pracy zatrudniony jest specjalista ds. BHP, czy pracodawca korzysta z usług zewnętrznych ekspertów, inaczej należy uregulować dopuszczenie danej osoby do przetwarzania danych osobowych, których administratorem jest pracodawca. Etatowy pracownik wykonujący obowiązki z zakresu BHP powinien zostać upoważniony przez administratora do przetwarzania danych osobowych do tego niezbędnych.
Należy pamiętać, że upoważnienie do przetwarzania danych wrażliwych musi zostać udzielone na piśmie – zgodnie z art. 221b § 3 Kodeksu pracy.
Zewnętrzne firmy, do których pracodawca outsourcuje usługi związane z BHP, co do zasady będą pełnić funkcję podmiotów przetwarzających, a więc rozpoczęcie współpracy z nimi będzie nierozerwalnie związane z koniecznością zawarcia umowy powierzenia. Wyjątkiem mogą być osoby spoza organizacji (np. prowadzące jednoosobowe działalności gospodarcze), które wykonują swoje obowiązki jak pracownicy, działając na sprzęcie administratora i zgodnie z jego instrukcjami – wówczas upoważnienie można uznać za wystarczające.
Lista osób upoważnionych do udzielania pierwszej pomocy
Zgodnie z art. 2071 § 1 pkt 3 Kodeksu pracy pracodawca jest obowiązany przekazywać pracownikom informacje o pracownikach wyznaczonych do udzielania pierwszej pomocy i wykonywania działań w zakresie zwalczania pożarów i ewakuacji pracowników. Co więcej § 2 tego art. precyzuje, o jakie dane chodzi, tj.: imię, nazwisko, miejsce wykonywania pracy i numer telefonu służbowego lub innego środka komunikacji elektronicznej. Udostępnienie takich danych w łatwo dostępnych miejscach z zakładzie jest niezbędne, aby w razie potrzeby sprawnie powiadomić odpowiednie osoby i dzięki temu zapewnić pracownikom bezpieczeństwo. Ma to wartość nadrzędną nad ochroną danych osobowych osób upoważnionych. Dlatego nie traćmy rozsądku – zamiast udostępniać taką listę na piśmie każdemu z osobna, wywieśmy ją w odpowiednich miejscach w zakładzie pracy.
Informacje, które należy uwzględnić w klauzuli informacyjnej dla pracowników w związku z BHP
RODO wcale nie nakłada na pracodawców obowiązku przedstawiania pracownikom klauzuli informacyjnej przy każdorazowym zbieraniu od nich danych. Umiejętnie skonstruowana klauzula, przedstawiona na odpowiednim etapie, może pozwolić pracodawcy zrobić to raz, a skutecznie (np. pod kwestionariuszem osobowym dla pracownika). Ważne, aby uwzględniała ona wszystkie konieczne aspekty. Przede wszystkim powinna zawierać podstawy prawne, czyli wskazane wyżej art. 6 ust. 1 lit. c RODO oraz art. 9 ust. 2 lit. b RODO. Obowiązkowo należy uwzględnić także okres przechowywania dokumentacji związanej z BHP. Wiele danych pracownika będzie przetwarzanych przez okresy przechowywania dokumentacji prawniczej, wynoszące 10 lub 50 lat (wynikają one z art. 94 pkt 9b Kodeksu pracy oraz art. 125a ustawy emeryturach i rentach z Funduszu Ubezpieczeń Społecznych), ale pamiętajmy również o wyjątkach. Na przykład art. 234 § 3 Kodeksu pracy nakłada na pracodawcę obowiązek przechowywania protokołu ustalenia okoliczności i przyczyn wypadku przy pracy wraz z pozostałą dokumentacją powypadkową przez 10 lat (co ma znaczenie raczej w stosunku do pracowników, których dane musimy przechowywać na starych zasadach, tj. przez 50 lat).
Rekomendujemy, aby szczególną uwagę poświęcić katalogowi odbiorców (lub ich kategorii). Jego wskazanie jest obligatoryjnym elementem każdej klauzuli informacyjnej. Z jednej strony takimi odbiorcami mogą być zewnętrzne firmy szkoleniowe czy wspierające pracodawcę w wykonywaniu obowiązków związanych z BHP, a z drugiej – choćby Zakład Ubezpieczeń Społecznych.
Pozostałe zagadnienia związane z ochroną danych osobowych w dziale BHP
Zagadnienia związane z ochroną danych osobowych w dziale BHP oczywiście nie ograniczają się do podniesionych wyżej kwestii. Odrębne artykuły można by poświęcić przetwarzaniu danych osobowych w ramach wstępnych/okresowych badań lekarskich, badania trzeźwości pracowników, monitoringu w kontekście przepisów o bezpieczeństwie i higienie pracy czy w związku z zatrudnianiem pracowników tymczasowych. Proces przetwarzania danych w ramach zatrudnienia jest kluczowy z punktu widzenia działania organizacji, a przez sam swój charakter i szeroki zakres zbieranych w nim (często newralgicznych) danych pracowników niesie za sobą duże ryzyko popełnienia błędu przez administratora danych. W konsekwencji może to sprowadzić na administratora kontrolę Prezesa UODO. Państwowa Inspekcja Pracy (PIP) również posiada uprawnienia do kontroli kwestii związanych z ochroną danych osobowych, znajdujących odzwierciedlenie w przepisach prawa pracy (w tym przepisach i zasadach bezpieczeństwa i higieny pracy – zgodnie z art. 10 ust. 1 pkt 1 ustawy o Państwowej Inspekcji Pracy). Należy przy tym zauważyć, że widmo kontroli PIP-u jest znacznie wyraźniejsze niż kontroli Prezesa UODO.
Autor: Agata Kłodzińska, Specjalista ds. ochrony danych, ODO 24. Aplikant adwokacki. Swoje zainteresowania koncentruje na obszarze szeroko pojętego prawa cywilnego i administracyjnego, w tym w szczególności na zagadnieniach związanych z ochroną danych osobowych. W ODO 24 zajmuje się przeprowadzaniem audytów, tworzeniem dokumentacji związanej z przetwarzaniem danych osobowych oraz sporządzaniem opinii prawnych. Audytor wiodący ISO/IEC 27001.