Obserwowany w ostatnim okresie wzmożony ruch, szczególnie na rynku kredytowym, pociąga za sobą coraz powszechniejszą, ale podkreślmy, złą praktykę, metod weryfikowania przez podmioty udzielające takich kredytów (głównie banki) danych kredytobiorcy (np. pracownika). Pośpiech, oszczędność czasu zmusza do podejmowanych prób zdobycia niezbędnych informacji w sposób możliwie szybki i bez zbędnych formalności. Z pomocą wielu instytucjom kredytującym przychodzą najnowsze środki techniki, głównie e-mail, ale również wysłużone, sprawdzone telefony. Niestety pracodawcy - udzielając żądanych informacji - często działają na pograniczu prawa czy wręcz z jego naruszeniem.
Zgoda pracownika
Pracodawca może udzielić informacji np. instytucjom udzielającym kredytu o danych osobowych pracownika tylko w przypadku odpowiedniego umocowania go przez tego pracownika do podejmowania tego typu czynności. Może to zrobić mianowicie, gdy pracownik w sposób niebudzący wątpliwości wyrazi uprzednio stosowną zgodę (najlepiej w formie pisemnej) na ich udostępnienie osobie reprezentującej daną instytucję lub też wyrazi zgodę na potwierdzenie tych danych u pracodawcy.
Niestety, tak wygląda tylko teoria. W praktyce przedstawia się to zupełnie inaczej. Podmioty udzielające kredytów uznają za najprostszą i najszybszą formę zweryfikowania danych swoich klientów przez telefon. Niejednokrotnie nieświadomi prawnie pracodawcy udzielają odpowiedzi osobie pytającej z danej instytucji.
Taki pracodawca popełnia wówczas dwa podstawowe błędy. Po pierwsze, pracodawcy robią to bez wiedzy i zgody pracownika, po drugie zaś - udzielając informacji telefonicznej, nie tyle nie są w stanie, co nawet nie starają się weryfikować tożsamości osoby, która zwraca się telefonicznie z wnioskiem o potwierdzenie faktu zatrudnienia i wysokości wynagrodzenia pracownika.
A zatem, zgoda pracownika na udostępnienie jego danych osobowych nie rozwiązuje od razu wszystkich problemów. Pracodawca, udzielając informacji z zakresu danych osobowych, powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane te dotyczą, w taki sposób, aby przy udzielaniu tych informacji nie doszło do ich przekazania osobom nieuprawnionym. Przyjęta forma udzielenia informacji o danych osobowych musi wykluczać możliwość ich udostępnienia osobie innej niż objęta zgodą pracownika, tzn. udzielenie informacji nie może nastąpić przypadkowo osobie nieupoważnionej. Stąd przekazanie tych danych przez telefon wyłącznie na telefonicznie wyrażoną prośbę powoduje ryzyko, że może dojść do naruszenia obowiązków należytej ochrony danych osobowych. Pracodawca, udzielając informacji w tej formie, nie ma przecież możliwości weryfikacji - komu naprawdę udziela tej informacji.
Tym samym najbezpieczniej i zgodnie z literą prawa byłoby, aby udzielanie informacji o danych osobowych pracownika (czy też potwierdzenie tych danych) następowało pisemnie - zgodnie z pisemną prośbą instytucji czy też osoby, jeśli oczywiście pracodawca posiada zgodę pracownika na udzielanie takich informacji.
Dane osobowe pod ochroną
Pracodawca, który w myśl przepisów ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. Nr 101, poz. 926 z późn.zm.) dysponuje aktami osobowymi pracownika, a tym samym podlegającymi ochronie jego danymi osobowymi, jest zobowiązany stosować się do przepisów tej ustawy w zakresie ochrony tych danych.
Pracodawca, który z mocy prawa znajduje się w posiadaniu danych osobowych swoich pracowników, jest administratorem tych danych, a to pociąga za sobą pewne konsekwencje. Przede wszystkim ma on obowiązek należytego ich zabezpieczenia oraz ich ochrony przed dostępem ze strony osób niepowołanych. Pracodawca - poza przypadkami wyraźnie wskazanymi w wymienionej ustawie - zobowiązany jest do nierozpowszechniania tych danych.
Co do zasady, zgodnie z art. 23 ust. 1 ustawy o ochronie danych osobowych przetwarzanie (tj. zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie) danych jest dopuszczalne tylko wtedy, gdy:
• osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych,
• jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,
• jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą,
• jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,
• jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
W konsekwencji potwierdzanie informacji zawartych w wydanym przez pracodawcę zaświadczeniu, jeżeli nie ma on możliwości jednoznacznej weryfikacji tożsamości rozmówcy, będzie stanowić naruszenie ciążącego na pracodawcy (występującym w roli administratora danych) obowiązku zabezpieczenia danych przed ich udostępnieniem osobom nieupoważnionym (art. 36 ust. 1 ustawy o ochronie danych osobowych). Naruszenie tego obowiązku może stanowić jednocześnie naruszenie przepisów karnych ustawy o ochronie danych osobowych. Zgodnie z art. 51 ust. 1 ustawy, kto - administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych - udostępnia je lub umożliwia dostęp do nich osobom nieupoważnionym, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Przestępstwo to może być również popełnione z winy nieumyślnej i jest wówczas zagrożone grzywną, karą ograniczenia wolności lub pozbawienia wolności do roku.
Wniosek o udostępnienie danych
Udostępnienie przez pracodawcę danych osobowych pracownika bankom i podmiotom je reprezentującym powinno - jak wspomniano wcześniej - następować po złożeniu przez te podmioty pisemnego umotywowanego wniosku (art. 29 ustawy).
Wniosek powinien zawierać informacje umożliwiające wyszukanie w zbiorze żądanych danych osobowych oraz wskazywać ich zakres i przeznaczenie. Ponadto, powinien w sposób wiarygodny wskazywać na potrzebę posiadania tych danych, a ich udostępnienie nie może naruszać praw i wolności osoby, której dane dotyczą.
Podstawa prawna:
ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych (j.t. Dz.U. z 2002 r. Nr 101, poz. 926 z późn.zm.).