REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.
RODO w BHP/ Fot. Shutterstock
RODO w BHP/ Fot. Shutterstock

REKLAMA

REKLAMA

Gdy analizujemy kwestie związane z przetwarzaniem danych osobowych pracowników, bardzo często skupiamy się na właściwym przeprowadzaniu rekrutacji (zwłaszcza w kontekście stosunkowo niedawnych zmian w Kodeksie pracy) i na pułapkach, w które można wpaść w trakcie procesu zatrudnienia. Poświęcamy więc czas i uwagę odpowiedniej konstrukcji klauzul informacyjnych, uregulowaniu monitoringu pracowników czy dostosowaniu regulaminu zakładowego funduszu świadczeń socjalnych do wymagań ustawy. Możemy jednak przeoczyć z pozoru nieistotne, wąskie zagadnienia związane z zapewnieniem pracownikom bezpiecznych i higienicznych warunków pracy.

Aby ułatwić prace nad dostosowaniem przetwarzania danych w ramach BHP do wymogów RODO, przygotowaliśmy zestawienie najważniejszych według nas problemów w tym zakresie (a przynajmniej najczęściej pojawiających się w audytowanych przez nas organizacjach) z punktu widzenia ochrony danych osobowych.

REKLAMA

Organizowanie szkoleń BHP

REKLAMA

Wyróżniamy dwa podstawowe modele organizacji szkoleń dla pracowników przy współpracy z zewnętrznymi firmami – zamknięte i otwarte. Szkolenia zamknięte prowadzi trener skierowany do organizacji przez podmiot specjalizujący się w szkoleniach BHP. Bierze w nich udział konkretna grupa osób wyznaczona przez pracodawcę. W takiej sytuacji to pracodawca, jako administrator danych zatrudnianych przez siebie osób, decyduje o celu (a celem jest przeszkolenie pracowników z zakresu BHP) oraz o sposobie przetwarzania ich danych osobowych (m.in. przez wybór firmy, która takie szkolenie ma przeprowadzić).

Po przeprowadzonym szkoleniu warto zadbać o wystawienie pracownikom zaświadczeń o odbyciu szkolenia. Z oczywistych powodów zewnętrzna firma ich nie dostarczy, jeśli nie będzie dysponować danymi osobowymi pracowników biorących udział w szkoleniu. Samą listę obecności można przekazać za pośrednictwem poczty elektronicznej (e-mail). Przekazanie danych osobowych drogą mailową jest bezpieczne, pod warunkiem że plik w formacie .xls lub .xlsx będzie zabezpieczony hasłem, które zostanie wysłane pod numer telefonu komórkowego w wiadomości tekstowej SMS. Listę można sporządzić również w wersji papierowej i dostarczyć ją firmie szkoleniowej pocztą lub osobiście do jej siedziby (znacznie spowalnia to jednak proces wystawiania zaświadczeń). Na tym etapie powstaje właśnie stosunek powierzenia: pracodawca (czyli administrator danych) przekazuje (czyli powierza) firmie szkoleniowej (jako podmiotowi przetwarzającemu) dane swoich pracowników, aby ta przetwarzała je w imieniu i na rzecz pracodawcy, zgodnie z jego instrukcjami. Stosunek ten bezwzględnie powinien zostać uregulowany umową powierzenia, zawierającą elementy wskazane w art. 28 RODO.

REKLAMA

Z kolei przez szkolenia otwarte rozumie się szkolenia organizowane w całości przez zewnętrzny podmiot. Takie szkolenia nie są kierowane do pracowników tylko jednej firmy – może zapisać się na nie tak naprawdę każdy. Wówczas dane są pozyskiwane najczęściej bezpośrednio od pracownika bądź przy niewielkim udziale pracodawcy (np. przy opłacaniu szkolenia pracodawca przekazuje firmie informacje o liczbie swoich pracowników i – siłą rzeczy – miejscu zatrudnienia, a wszelkie dane niezbędne do uzyskania zaświadczenia każdy pracownik przekazuje samodzielnie). To po stronie firmy szkoleniowej leżą wszelkie kwestie organizacyjne, w tym odnoszące się do tego, jakie dane osobowe uczestników przetwarzać, jak je przechowywać, komu udostępniać i po jakim czasie usuwać. W tym modelu firma szkoleniowa będzie odrębnym administratorem danych uczestników szkoleń.

Dane niezbędne do wystawienia zaświadczenia o ukończonym szkoleniu BHP to: imię, nazwisko, data urodzenia i typ zajmowanego stanowiska (robotnicze, administracyjno-biurowe itp.). Ani pracodawca, ani firma szkoleniowa nie mogą żądać od pracownika podania miejsca urodzenia (w związku z nowelizacją art. 221 Kodeksu pracy).

Dalszy ciąg materiału pod wideo

Dane osoby do kontaktu w razie wypadku

Obowiązek zbierania danych osoby do kontaktu w razie wypadku pracownika nie wynika z żadnych przepisów prawa. Wzorcowy kwestionariusz osobowy dla pracownika, opublikowany przez Ministerstwo Rodziny, Pracy i Polityki Społecznej, może wprowadzać w błąd, ponieważ sugeruje, że dane osoby do kontaktu możemy przetwarzać, „jeśli pracownik wyrazi zgodę na podanie danych takiej osoby” (patrz pkt 10 kwestionariusza). Przypominamy, że art. 6 ust. 1 lit. a RODO mówi o zgodzie osoby, której dane dotyczą, czyli w tym przypadku męża, żony, rodzica czy przyjaciela pracownika.

Najodpowiedniejszą podstawą prawną przetwarzania takich danych wydaje się art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes realizowany przez administratora lub stronę trzecią. I choć naturalnym wyborem byłby art. 6 ust. 1 lit. d RODO, czyli ochrona żywotnych interesów osoby trzeciej (przetwarzamy dane osoby do kontaktu, aby chronić żywotne interesy pracownika, który może uleć wypadkowi), to trzeba zauważyć, że motyw 46 RODO stanowi: „Żywotny interes innej osoby fizycznej powinien zasadniczo być podstawą przetwarzania danych osobowych wyłącznie w przypadkach, gdy ewidentnie przetwarzania tego nie da się oprzeć na innej podstawie prawnej”. Czy w analizowanej sytuacji ewidentnie nie da się oprzeć przetwarzania na art. 6 ust. 1 lit. f RODO? Trudno to założyć, stąd rekomendowaną podstawą prawną przetwarzania danych osoby do kontaktu w razie wypadku jest prawnie uzasadniony interes.

Wypadki i postępowania powypadkowe a RODO

W razie wypadku przy pracy dochodzi co do zasady do przetwarzania danych dwóch grup osób – pracowników, czyli ofiar (ewentualnie członków ich rodzin), oraz świadków zdarzenia, którymi nie zawsze są pracownicy. Dane zarówno jednych, jak i drugich z oczywistych powodów możemy przetwarzać, lecz różna może być podstawa prawna tego przetwarzania. W przypadku osób, które uległy wpadkowi, bez wątpienia przetwarzanie powinniśmy oprzeć na obowiązku prawnym ciążącym na administratorze, tj. na art. 6 ust. 1 lit. c RODO – przy danych zwykłych oraz art. 9 ust. 2 lit. b RODO – w odniesieniu do danych wrażliwych, w tym chociażby dokumentacji medycznej ze szpitala (mowa o obowiązku prawnym wynikającym z art. 234 § 1 Kodeksu pracy, doprecyzowanym w rozporządzeniu Ministra Rodziny, Pracy i Polityki Społecznej z dnia 24 maja 2019 r. w sprawie wzoru protokołu ustalenia okoliczności i przyczyn wypadku przy pracy).

Na jakiej podstawie prawnej przetwarzamy w takim razie dane osobowe świadków wypadku przy pracy? Z jednej strony powołanie się na art. 6 ust. 1 lit. c RODO (analogicznie do postępowania w przypadku ofiar wypadków) wydaje się rozwiązaniem słusznym, z drugiej – wątpliwości dotyczą faktu, że pozyskiwanie danych świadków nie jest wprost uregulowane w przepisach, a wynika z nich pośrednio. Tak samo przepisy żadnej rangi nie regulują, jakich danych można żądać od świadka. Zespół powypadkowy podczas ustalania okoliczności i przyczyn wypadku zbiera informacje od świadków zdarzenia, które stanowią najczęściej załącznik do protokołu powypadkowego (jego wzór określa wyżej wskazane rozporządzenie, przy czym sam protokół w żaden sposób nie uwzględnia świadków wypadku). W takiej sytuacji niektórzy administratorzy (pracodawcy) decydują się oprzeć przetwarzanie danych świadka na przesłance prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO). Zasługuje to na aprobatę, zwłaszcza w świetle stanowiska Urzędu Ochrony Danych Osobowych (UODO). Zgodnie z decyzją Prezesa UODO z 4 stycznia 2019 r. prawnie uzasadniony interes administratora ma być „prawnie usprawiedliwiony, a zatem taki, który znajduje uzasadnienie w konkretnych przepisach prawa”. Kodeks pracy zdecydowanie jest takim prawnym uzasadnieniem.

Ostatnia możliwość to zgoda, czyli oparcie przetwarzania na art. 6 ust. 1 lit. a RODO. Nie rekomendujemy jednak tego rozwiązania z uwagi na duże ryzyko, że trudno będzie udowodnić dobrowolny charakter takiej zgody.

W kontekście powyższego zwracamy uwagę na konieczność spełnienia obowiązku informacyjnego w stosunku do wszystkich osób, których dane są pozyskiwane – począwszy od pracowników, przez członków ich rodzin, a skończywszy na świadkach wypadku niebędących pracownikami administratora danych. Odpowiednio skonstruowana klauzula informacyjna mogłaby znaleźć się np. w protokole ustalenia okoliczności i przyczyn wypadku przy pracy (klauzula skierowana do ofiar wypadku i członków ich rodzin) czy w obowiązującym w organizacji wzorze dokumentu informacji świadka wypadku (klauzula skierowana do świadków).

Inspektor/specjalista ds. BHP w organizacji – upoważnienie czy powierzenie?

W zależności od tego, czy w zakładzie pracy zatrudniony jest specjalista ds. BHP, czy pracodawca korzysta z usług zewnętrznych ekspertów, inaczej należy uregulować dopuszczenie danej osoby do przetwarzania danych osobowych, których administratorem jest pracodawca. Etatowy pracownik wykonujący obowiązki z zakresu BHP powinien zostać upoważniony przez administratora do przetwarzania danych osobowych do tego niezbędnych.

Należy pamiętać, że upoważnienie do przetwarzania danych wrażliwych musi zostać udzielone na piśmie – zgodnie z art. 221b § 3 Kodeksu pracy.

Zewnętrzne firmy, do których pracodawca outsourcuje usługi związane z BHP, co do zasady będą pełnić funkcję podmiotów przetwarzających, a więc rozpoczęcie współpracy z nimi będzie nierozerwalnie związane z koniecznością zawarcia umowy powierzenia. Wyjątkiem mogą być osoby spoza organizacji (np. prowadzące jednoosobowe działalności gospodarcze), które wykonują swoje obowiązki jak pracownicy, działając na sprzęcie administratora i zgodnie z jego instrukcjami – wówczas upoważnienie można uznać za wystarczające.

Lista osób upoważnionych do udzielania pierwszej pomocy

Zgodnie z art. 2071 § 1 pkt 3 Kodeksu pracy pracodawca jest obowiązany przekazywać pracownikom informacje o pracownikach wyznaczonych do udzielania pierwszej pomocy i wykonywania działań w zakresie zwalczania pożarów i ewakuacji pracowników. Co więcej § 2 tego art. precyzuje, o jakie dane chodzi, tj.: imię, nazwisko, miejsce wykonywania pracy i numer telefonu służbowego lub innego środka komunikacji elektronicznej. Udostępnienie takich danych w łatwo dostępnych miejscach z zakładzie jest niezbędne, aby w razie potrzeby sprawnie powiadomić odpowiednie osoby i dzięki temu zapewnić pracownikom bezpieczeństwo. Ma to wartość nadrzędną nad ochroną danych osobowych osób upoważnionych. Dlatego nie traćmy rozsądku – zamiast udostępniać taką listę na piśmie każdemu z osobna, wywieśmy ją w odpowiednich miejscach w zakładzie pracy.

Informacje, które należy uwzględnić w klauzuli informacyjnej dla pracowników w związku z BHP

RODO wcale nie nakłada na pracodawców obowiązku przedstawiania pracownikom klauzuli informacyjnej przy każdorazowym zbieraniu od nich danych. Umiejętnie skonstruowana klauzula, przedstawiona na odpowiednim etapie, może pozwolić pracodawcy zrobić to raz, a skutecznie (np. pod kwestionariuszem osobowym dla pracownika). Ważne, aby uwzględniała ona wszystkie konieczne aspekty. Przede wszystkim powinna zawierać podstawy prawne, czyli wskazane wyżej art. 6 ust. 1 lit. c RODO oraz art. 9 ust. 2 lit. b RODO. Obowiązkowo należy uwzględnić także okres przechowywania dokumentacji związanej z BHP. Wiele danych pracownika będzie przetwarzanych przez okresy przechowywania dokumentacji prawniczej, wynoszące 10 lub 50 lat (wynikają one z art. 94 pkt 9b Kodeksu pracy oraz art. 125a ustawy emeryturach i rentach z Funduszu Ubezpieczeń Społecznych), ale pamiętajmy również o wyjątkach. Na przykład art. 234 § 3 Kodeksu pracy nakłada na pracodawcę obowiązek przechowywania protokołu ustalenia okoliczności i przyczyn wypadku przy pracy wraz z pozostałą dokumentacją powypadkową przez 10 lat (co ma znaczenie raczej w stosunku do pracowników, których dane musimy przechowywać na starych zasadach, tj. przez 50 lat).

Rekomendujemy, aby szczególną uwagę poświęcić katalogowi odbiorców (lub ich kategorii). Jego wskazanie jest obligatoryjnym elementem każdej klauzuli informacyjnej. Z jednej strony takimi odbiorcami mogą być zewnętrzne firmy szkoleniowe czy wspierające pracodawcę w wykonywaniu obowiązków związanych z BHP, a z drugiej – choćby Zakład Ubezpieczeń Społecznych.

Pozostałe zagadnienia związane z ochroną danych osobowych w dziale BHP

Zagadnienia związane z ochroną danych osobowych w dziale BHP oczywiście nie ograniczają się do podniesionych wyżej kwestii. Odrębne artykuły można by poświęcić przetwarzaniu danych osobowych w ramach wstępnych/okresowych badań lekarskich, badania trzeźwości pracowników, monitoringu w kontekście przepisów o bezpieczeństwie i higienie pracy czy w związku z zatrudnianiem pracowników tymczasowych. Proces przetwarzania danych w ramach zatrudnienia jest kluczowy z punktu widzenia działania organizacji, a przez sam swój charakter i szeroki zakres zbieranych w nim (często newralgicznych) danych pracowników niesie za sobą duże ryzyko popełnienia błędu przez administratora danych. W konsekwencji może to sprowadzić na administratora kontrolę Prezesa UODO. Państwowa Inspekcja Pracy (PIP) również posiada uprawnienia do kontroli kwestii związanych z ochroną danych osobowych, znajdujących odzwierciedlenie w przepisach prawa pracy (w tym przepisach i zasadach bezpieczeństwa i higieny pracy – zgodnie z art. 10 ust. 1 pkt 1 ustawy o Państwowej Inspekcji Pracy). Należy przy tym zauważyć, że widmo kontroli PIP-u jest znacznie wyraźniejsze niż kontroli Prezesa UODO.

Autor: Agata Kłodzińska, Specjalista ds. ochrony danych, ODO 24. Aplikant adwokacki. Swoje zainteresowania koncentruje na obszarze szeroko pojętego prawa cywilnego i administracyjnego, w tym w szczególności na zagadnieniach związanych z ochroną danych osobowych. W ODO 24 zajmuje się przeprowadzaniem audytów, tworzeniem dokumentacji związanej z przetwarzaniem danych osobowych oraz sporządzaniem opinii prawnych. Audytor wiodący ISO/IEC 27001.

Autopromocja

REKLAMA

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:

REKLAMA

Komentarze(0)

Pokaż:

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code
    Moja firma
    Zapisz się na newsletter
    Zobacz przykładowy newsletter
    Zapisz się
    Wpisz poprawny e-mail
    Koszty zatrudnienia to główne wyzwanie dla firm w 2024 roku. Jak więc pozyskać specjalistów i jednocześnie zadbać o cash flow?

    W pierwszym półroczu 2024 roku wiele firm planuje rozbudowanie swoich zespołów – potwierdzają to niezależne badania ManpowerGroup czy Konfederacji Lewiatan. Jednocześnie pracodawcy mówią wprost - rosnące koszty zatrudnienia to główne wyzwanie w 2024 roku. Jak więc pozyskać specjalistów i jednocześnie zadbać o cash flow?

    Nauka języka obcego poprawi zdolność koncentracji. Ale nie tylko!

    Ostatnia dekada przyniosła obniżenie średniego czasu skupienia u człowieka aż o 28 sekund. Zdolność do koncentracji spada i to wina głównie social mediów. Czy da się to odwrócić? 

    Nowe przepisy: Po świętach rząd zajmie się cenami energii. Będzie bon energetyczny

    Minister klimatu i środowiska Paulina Hennig-Kloska zapowiedziała, że po świętach pakiet ustaw dotyczących cen energii trafi pod obrady rządu. Dodała też, że proces legislacyjny musi zakończyć się w pierwszej połowie maja.

    Wielkanoc 2024. Polacy szykują się na święta przed telewizorem?

    Jaka będzie tegoroczna Wielkanoc? Z badania online przeprowadzonego przez firmę Komputronik wynika, że leniwa. Polacy są zmęczeni i marzą o odpoczynku. 

    REKLAMA

    Biznes kontra uczelnie – rodzaj współpracy, korzyści

    Czy doktorat dla osób ze świata biznesu to synonim synergii? Wielu przedsiębiorców może zadawać sobie to pytanie podczas rozważań nad podjęciem studiów III stopnia. Na ile świat biznesu przenika się ze światem naukowym i gdzie należy szukać wzajemnych korzyści?

    Jak cyberprzestępcy wykorzystują sztuczną inteligencję?

    Hakerzy polubili sztuczną inteligencję. Od uruchomienia ChataGPT liczba złośliwych wiadomości pishingowych wzrosła o 1265%! Warto wiedzieć, jak cyberprzestępcy wykorzystują rozwiązania oparte na AI w praktyce.

    By utrzymać klientów tradycyjne sklepy muszą stosować jeszcze nowocześniejsze techniki marketingowe niż e-commerce

    Konsumenci wciąż wolą kupować w sklepach stacjonarnych produkty spożywcze, kosmetyki czy chemię gospodarczą, bo chcą je mieć od razu, bez czekania na kuriera. Jednocześnie jednak oczekują, że tradycyjne markety zapewnią im taki sam komfort kupowania jak sklepy internetowe.

    Transakcje bezgotówkowe w Polsce rozwijają się bardzo szybko. Gotówka jest wykorzystywana tylko do 35 proc. transakcji

    W Polsce około 2/3 transakcji jest dokonywanych płatnościami cyfrowymi. Pod tym względem nasz kraj jest w światowej czołówce - gotówka jest wykorzystywana tylko do ok. 35 proc. transakcji.

    REKLAMA

    Czekoladowa inflacja (chocoflation) przed Wielkanocą? Trzeci rok z rzędu produkcja kakao jest mniejsza niż popyt

    Ceny kakao gwałtownie rosną, ponieważ 2024 r. to trzeci z rzędu rok, gdy podaż nie jest w stanie zaspokoić popytu. Z analiz Allianz Trade wynika, że cenę za to będą płacić konsumenci.

    Kończy się najostrzejsza zima od 50 lat. Prawie 5 mln zwierząt hodowlanych zginęło z głodu w Mongolii

    Dobiegająca końca zima w Mongolii, najostrzejsza od pół wieku, doprowadziła do śmierci niemal 5 mln kóz, owiec i koni, które nie są w stanie dotrzeć do pożywienia. To duży cios w gospodarkę kraju zamieszkanego przez ok. 3,3 mln ludzi, z których ok. 300 tys. utrzymuje się z hodowli zwierząt - podkreśliło Radio Swoboda.

    REKLAMA