RODO a zaświadczenie o zarobkach

• Problem
• Rada
• Uzasadnienie

Problem

Nasi pracownicy często wnioskują o wystawienie im zaświadczeń o zatrudnieniu i zarobkach. Czy od dnia obowiązywania RODO pracownicy powinni wyrażać dodatkowe zgody na przetwarzanie swoich danych zawartych w tych zaświadczeniach?

Rada

Nie. Wydawanie pracownikom na ich prośbę zaświadczeń o zatrudnieniu lub zarobkach nie wymaga uzyskiwania od nich dodatkowej zgody na przetwarzanie danych zawartych w tych dokumentach. Szczegóły w uzasadnieniu.

Uzasadnienie

Od 25 maja 2018 r. obowiązuje rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej RODO). Przetwarzanie danych jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - jest spełniony co najmniej jeden z warunków wskazanych w art. 6 i art. 9 RODO w odniesieniu do szczególnych kategorii danych osobowych, takich jak np. pochodzenie rasowe, poglądy polityczne czy przekonania religijne.

KONFERENCJA: Outsourcing kadrowo-księgowy. Praktyczne wskazówki z budowania oraz realizacji kontraktów outsourcingowych

Przetwarzanie danych osobowych uznaje się za dokonywane w zgodzie z prawem m.in. wtedy, gdy:

• jest ono niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (np. pracodawcy) lub
• osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie w jednym lub większej liczbie określonych celów (art. 6 ust. 1 RODO).

Należy przy tym zauważyć, że wymóg wydania przez pracodawcę zaświadczenia o zatrudnieniu lub wynagrodzeniu:

• wynika niekiedy z powszechnie obowiązujących przepisów prawa (np. z art. 125a ust. 3 ustawy o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych, który obliguje pracodawców do wystawiania zaświadczeń dla celów emerytalno-rentowych, np. ZUS Rp-7),
• w przypadku braku odpowiedniego (konkretnego) przepisu (np. w odniesieniu do zaświadczeń o zarobkach wystawianych w celu przedłożenia w instytucji finansowej, np. w banku) należy uzasadnić obowiązkiem pracodawcy dbałości o dobro pracownika wynikającej z zasad współżycia społecznego. Uzasadnienie tego poglądu można odnaleźć m.in. w postanowieniu Sądu Najwyższego z 16 września 1999 r. (I PKN 331/99, OSNP 2001/9/314), w którym przypomniano, że pracodawca jest zobowiązany szanować godność i inne dobra osobiste pracownika (art. 111 Kodeksu pracy) oraz wpływać na kształtowanie w zakładzie pracy zasad współżycia społecznego (art. 94 pkt 10 Kodeksu pracy).

Zatem przygotowanie zaświadczeń o zatrudnieniu lub zarobkach jest jednym z obowiązków pracodawcy mających swoje źródło w przepisach prawa pracy. Należy uznać, że wystawianie pracownikom takich zaświadczeń na ich prośbę nie wymaga wyrażania przez nich dodatkowych zgód na przetwarzanie danych wykazywanych w tych dokumentach.

Warto zaznaczyć, że w rozumieniu RODO "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takich jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Tak szeroka definicja przetwarzania danych osobowych oznacza w praktyce, że pracodawca jako administrator danych powinien upoważnić do ww. przetwarzania wszystkie osoby, które mają dostęp do przedmiotowych danych. Dotyczy to głównie osób zajmujących się u pracodawcy sprawami kadrowo-płacowymi (w tym wystawianiem zaświadczeń o zatrudnieniu lub zarobkach). Do celów dowodowych wskazane upoważnienie powinno zostać udzielone na piśmie.

Podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora (bądź podmiotu przetwarzającego) i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii Europejskiej lub prawo państwa członkowskiego (art. 29 RODO).

Przed 25 maja 2018 r. podstawą prawną do udzielania upoważnień do przetwarzania danych osobowych był art. 37 ustawy o ochronie danych osobowych. Wobec tego zasadne jest pytanie, czy należy sporządzać nowe upoważnienia do przetwarzania danych osobowych. Trzeba przyjąć, że jeżeli w treści poprzednio wydanego upoważnienia jako podstawę jego udzielenia podano art. 37 ww. ustawy, takie upoważnienie należy zaktualizować.

Pracownik zwrócił się 4 czerwca 2018 r. do działu kadr zatrudniającej go spółki z prośbą o wystawienie zaświadczenia o zatrudnieniu i zarobkach w celu przedstawienia w banku. Dokument ten został mu wydany 2 dni później, a przygotował go specjalista ds. kadrowo-płacowych na podstawie imiennego upoważnienia do przetwarzania danych osobowych podpisanego przez prezesa zarządu. W tej sytuacji pracownik, dla którego sporządzono wspomniane zaświadczenie, nie musiał wyrażać żadnej dodatkowej zgody na przetwarzanie swoich danych zawartych w tym zaświadczeniu.

Problemem, który może się pojawić przy wystawianiu dla pracowników zaświadczeń o zatrudnieniu lub wynagrodzeniu, jest wymagane najczęściej przez banki dodatkowe telefoniczne potwierdzenie jego treści. Za zgodą pracownika wyrażoną dla celów dowodowych na piśmie pracodawca może potwierdzić jego zatrudnienie lub wynagrodzenie oraz pozostałe dane wskazane w zaświadczeniu. Należy jednak mieć na uwadze, że osoba udzielająca informacji w zakresie danych osobowych np. pracownika musi potwierdzić tożsamość swojego rozmówcy, aby z całą pewnością móc stwierdzić, że osoba telefonująca do niej w celu zweryfikowania danych jest rzeczywiście przedstawicielem określonej instytucji, w imieniu której posiada upoważnienie do uzyskania podanych informacji (stanowisko ówczesnego GIODO, które zachowuje aktualność po wejściu w życie RODO dostępne na www.giodo.gov.pl).

GIODO przytoczył ponadto pismo Narodowego Banku Polskiego do Generalnego Inspektora Nadzoru Bankowego (obecnie Komisja Nadzoru Finansowego) z 6 kwietnia 2001 r. (NB/BPN/I/214/01) adresowane do osób kierujących bankami, w którym zawarto stwierdzenie, że "przepisy ustawy - Prawo bankowe i ustawy o ochronie danych osobowych nie przewidują telefonicznej formy pozyskiwania żądanych informacji. Banki nie mogą więc uzależniać przyznania kredytu od udzielenia informacji w tej formie".

Zatem jeżeli pracodawca ma wątpliwości dotyczące osoby, z którą rozmawia, może bez żadnych konsekwencji odmówić potwierdzenia danych z wystawionego dla pracownika zaświadczenia. Jednocześnie pracodawca nie ponosi odpowiedzialności, np. odszkodowawczej, z tytułu nieprzyznania pracownikowi kredytu czy pożyczki, w przypadku gdy warunkiem ich przyznania było telefoniczne potwierdzenie danych z zaświadczenia.