Dane osobowe pracowników podlegają ustawowej ochronie, co oznacza, że powinny być przetwarzane przez pracodawcę zgodnie z prawem. Nie mogą być również udostępniane podmiotom nieupoważnionym. Jednak przekazywanie danych osobowych pracowników jest możliwe i dopuszczalne na zasadach określonych w ustawie o ochronie danych osobowych.
Dane osobowe mogą być przekazywane innym podmiotom, czyli odbiorcom danych osobowych.
Odbiorcą danych zgodnie z ustawą jest każdy, komu udostępnia się dane osobowe, jednak z wyłączeniem:
- osoby, której dane dotyczą,
- osoby upoważnionej do przetwarzania danych,
- wyznaczonego krajowego przedstawiciela administratora danych (na terenie Polski) – w przypadku gdy dane przetwarzane są przez podmioty mające siedzibę lub miejsce zamieszkania w państwie trzecim,
- podmiotu, któremu administrator danych, na podstawie pisemnej umowy, powierzył przetwarzanie danych osobowych,
- organów państwowych lub organów samorządu terytorialnego, którym dane udostępniane są w związku z prowadzonym postępowaniem.
WAŻNE!
Pracodawca jako administrator danych osobowych ma obowiązek zapewnienia kontroli nad tym, jakim podmiotom te dane są przekazywane.
Udostępnianie danych osobowych jest elementem definicji przetwarzania danych osobowych. Udostępnianie ich innym podmiotom może nastąpić za zgodą osoby, której te dane dotyczą. Zgoda taka powinna być wyraźna (najlepiej wyrażona w formie pisemnej) i obejmować zakres danych, które mogą być przekazane, oraz wskazywać podmiot będący ich odbiorcą.
Zgoda pracownika będzie wymagana, żeby przekazać organizacjom związkowym informacje o treści wiążącej strony umowy o pracę, w tym o uzyskiwanych zarobkach, a także w celu powierzenia bankowi przez pracodawcę informacji o warunkach zatrudnienia pracownika.
Pracodawca udostępniający dane osobowe pracownika, oprócz uzyskania jego zgody na ich przetwarzanie, musi również poinformować pracownika o podmiotach, które te dane otrzymają. Informację o tym, komu dane osobowe zostały udostępnione, przekazuje się na wniosek pracownika w terminie 30 dni.
Zasady udostępniania danych osobowych
Dane osobowe udostępnia się innym podmiotom na ich pisemny i umotywowany wniosek. Pracodawca powinien odmówić udostępnienia danych osobowych, jeżeli ich ujawnienie mogłoby stanowić istotne naruszenie dóbr osobistych pracownika lub innych osób. W konsekwencji np. bank, który chciałby uzyskać potwierdzenie zarobków pracownika, powinien zwrócić się do pracodawcy na piśmie, wskazując zakres danych, które chce poznać. Z kolei pracodawca, uzyskawszy uprzednio zgodę pracownika, wysyła do banku również w formie pisemnej informację o wnioskowanych danych.
Takie informacje powinny być udzielane na piśmie, ponieważ zarówno w czasie rozmowy telefonicznej, jak i w razie wymiany korespondencji pocztą elektroniczną brak jest pewności, że dane trafią do uprawnionego podmiotu.
Gdy organ państwowy lub samorządowy żąda informacji
Ustawa przewiduje nieco odmienne zasady postępowania w odniesieniu do organów państwowych i do organów samorządu terytorialnego, które chcą uzyskać dane osobowe pracowników w związku z prowadzonym przez nie postępowaniem. W takich przypadkach pracodawca ma obowiązek udzielenia danych pod warunkiem, że są one niezbędne do przeprowadzenia procedur.
Podkreślenia wymaga także to, że powyższe podmioty zostały wyłączone z definicji odbiorców danych osobowych. Nie istnieje zatem po stronie pracodawcy obowiązek informowania pracownika o tym, że jego dane osobowe zostały udzielone ww. podmiotom, a także o zakresie przekazanych informacji.
Przykład
Komornik zwrócił się do pracodawcy z pismem informującym o zajęciu wynagrodzenia, a także – powołując się na art. 761 k.p.c. – wezwał pracodawcę do wskazania oddziału banku i numeru rachunku bankowego, na który przekazywane jest wynagrodzenie za pracę tego pracownika. Pracodawca będzie w takim wypadku zobowiązany do przekazania komornikowi żądanych przez niego informacji, gdyż uprawnienie komornika do ich uzyskania jest oparte na przepisach ustawy i niezbędne do prowadzenia postępowania egzekucyjnego. Ponadto pracodawca nie będzie miał obowiązku poinformowania pracownika o tym, że jego dane zostały komornikowi udostępnione, gdyż komornik prowadzący postępowanie egzekucyjne jest organem państwowym.
Oprócz komornika wśród innych organów państwowych lub samorządowych uprawnionych do uzyskiwania danych osobowych pracowników można wskazać także:
- organy Policji,
- ABW,
- CBA,
- Żandarmerię Wojskową,
- Zakład Ubezpieczeń Społecznych i urząd skarbowy (oprócz ewentualnych dodatkowych informacji związanych z prowadzeniem przez te dwa organy postępowania, pracodawca ma obowiązek również przekazywania im danych osobowych pracownika, niezbędnych do realizacji swoich ustawowych obowiązków).
W przypadku gdy o udzielenie informacji zwraca się określony organ państwowy lub samorządowy, obowiązuje zasada pisemnego wniosku o udzielenie konkretnych informacji. Rozmowa telefoniczna lub poczta e-mailowa również nie gwarantuje pracodawcy pewności, że podmiotem występującym o udzielenie informacji jest uprawniona instytucja.
Wyżej wymienione organy państwowe czy samorządowe mogą uzyskiwać informacje o pracowniku tylko w związku z prowadzonym przez nie postępowaniem.
A zatem nie w każdym przypadku należy udzielać żądanych informacji pracownikowi ZUS, komornikowi czy innym osobom zatrudnionym w organach państwowych lub samorządowych. Sam fakt bycia pracownikiem jednego z ww. organów nie uprawnia do żądania przekazania wszelkich informacji, tym bardziej jeśli nie dotyczą prowadzonego przez tę instytucję postępowania lub gdy takie postępowanie w ogóle się nie toczy.
Odpowiedzialność administratora
Ustawodawca przewiduje dwa typy odpowiedzialności w zakresie udostępniania danych osobowych. Osoba administrująca zbiorem danych osobowych lub odpowiedzialna za ich ochronę odpowiada za udostępnianie danych lub umożliwianie dostępu do nich osobom nieuprawnionym. Oprócz odpowiedzialności pracowniczej (wypowiedzenie umowy lub rozwiązanie jej w trybie dyscyplinarnym) osoba taka może ponieść również odpowiedzialność karną zagrożoną sankcją grzywny, karą ograniczenia wolności albo karą pozbawienia wolności do lat 2.
Natomiast w przypadku gdy sprawca działa nieumyślnie, przepisy przewidują karę grzywny, karę ograniczenia wolności lub karę pozbawienia wolności do 1 roku.
Podstawa prawna:
- art. 7 pkt 6, art. 23, 29, 31, 31a, 38, 51 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (DzU z 2002 r. nr 101, poz. 926 ze zm.).