Ochrona danych osobowych a prowadzenie akt osobowych pracownika

W aktach osobowych jest gromadzonych szereg dokumentów, zawierających dane osobowe pracowników stąd tak istotne jest właściwe ich przechowywanie.

W aktach osobowych gromadzone są dokumenty związane z wykształceniem pracownika, jego doświadczeniem zawodowym, kwalifikacjami, stanem zdrowia a także wszelkie dokumenty istotne z punktu widzenia historii zatrudnienia, w tym szczegółowe informacje na temat warunków zatrudnienia i wiele innych, które powinni być należycie chronione i przetwarzane jedynie zgodnie z przeznaczeniem.

Podstawa prawna ochrony danych osobowych

Podstawowym aktem prawnym regulującym kwestie ochrony danych osobowych jest Ustawa o ochronie danych osobowych. Przepisy Kodeksu pracy dotyczące ochrony danych osobowych pracownika nie zawierają definicji podstawowych pojęć związanych z tą problematyką. W tym zakresie należy posiłkować się przepisami ustawy o ochronie danych osobowych. W ustawie znajdziemy definicje: danych osobowych, osoby możliwej do zidentyfikowania, przetwarzania danych osobowych oraz administratora danych.

Polecamy książkę: Świadczenia na rzecz pracowników – podatki, ZUS, ewidencja

Podstawowy obowiązek ochrony danych osobowych wynika z przepisów Konstytucji, która wyraźnie wskazuje: Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby, a zasady i tryb gromadzenia oraz udostępniania informacji określa ustawa. Na tej podstawie ustawodawca zdecydował się na wprowadzenie do systemu prawnego ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, która jest podstawowym aktem prawnym regulującym zasady gromadzenia, przechowywania oraz przetwarzania danych osobowych.

Kwestie związane z pozyskiwaniem i przechowywaniem przez pracodawców danych osobowych pracowników są uregulowane w rozporządzeniu Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika.

Przepisem o szczególnym znaczeniu jest art. 22(1), ustawy Kodeks pracy, który wyraźnie wskazuje jakich danych może żądać pracodawca od osoby ubiegającej się od pracownika i od pracownika.

Administrator danych osobowych

Zgodnie z przepisami wspomnianej ustawy, administratorem danych osobowych jest organ, jednostka organizacyjna, podmiot lub osoba decydująca o celach i środkach przetwarzania danych osobowych. W przypadku nawiązanego stosunku prawnego jakim jest stosunek pracy to pracodawca staje się administratorem danych osobowych ponieważ gromadzi udostępniane przez pracownika dane osobowe, a następnie nimi zarządza i je przetwarza w celach związanych z całokształtem zatrudnienia pracownika. Oczywiście pracodawca może wskazać inną osobę, która przejmie wszelkie obowiązki administratora danych osobowych. Administrator danych czyli pracodawca powołuje w tym celu Administratora Bezpieczeństwa Informacji tzw. ABI, który w jego imieniu czuwa nad przestrzeganiem przepisów ustawy o ochronie danych osobowych.

Do zadań administratora bezpieczeństwa informacji należy:

1) zapewnianie przestrzegania przepisów o ochronie danych osobowych, w szczególności przez:

a) sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych,

b) nadzorowanie opracowania i aktualizowania dokumentacji opisującej sposób przetwarzania danych oraz środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną,

c) zapewnianie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych;

2) prowadzenie rejestru zbiorów danych przetwarzanych przez administratora danych.

Przetwarzaniem danych są wszelkie operacje wykonywane na danych, do których zalicza się ich zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie.

Natomiast pracodawca jako administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów pracowników poprzez:

- przetwarzanie danych zgodnie z prawem,

- zbieranie danych dla zgodnych z prawem celów,

- niepoddawanie dalszemu przetwarzaniu niezgodnymi z celami, dla których dane zostały zgromadzone,

- przechowywanie danych w postaci umożliwiających identyfikację osób, których dane dotyczą, nie dłużej niż jest to potrzebne do osiągnięcia celu ich przetwarzania.

Upoważnienie

Zgodnie z art. 37 ustawy o ochronie danych osobowych, do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. Wobec tego pracodawca jako administrator danych powinien udzielić pracownikowi działu kadr specjalnego upoważnienia do przetwarzania danych osobowych pracowników. Najczęściej jest tak, że sprawami kadrowymi w firmie zajmują się osoby specjalnie do tego celu zatrudnione, tj. specjaliści do spraw kadrowych, personalnych a nie sam pracodawca. Oni przetwarzają dane osobowe, czyli wykonują operacje na danych np. zbieranie, przechowywanie, opracowywanie, itp.

Upoważnienie do przetwarzania danych osobowych pracowników powinno być sporządzone na piśmie i podpisane przez pracodawcę. Ma ono charakter imienny wobec tego wskazuje osobę upoważnioną do przetwarzania danych oraz zakres ich przetwarzania. Należy je sporządzić w dwóch egzemplarzach, z których jeden otrzymuje upoważniony pracownik na wypadek kontroli a drugi umieszcza się w aktach osobowych pracownika upoważnionego do przetwarzania danych osobowych (część B jego akt osobowych).

Pracownik upoważniony przez administratora danych do przetwarzania danych osobowych pracowników powinien potwierdzić, że zapoznał się z przepisami dotyczącymi ochrony danych osobowych, zapoznał się z obowiązującą u pracodawcy instrukcją przetwarzania danych oraz, że został poinformowany o obowiązku zachowania w tajemnicy danych osobowych, z którymi będzie zapoznawał się podczas procesu ich przetwarzania.

Pracodawca powinien również prowadzić ewidencję osób dopuszczonych do przetwarzania danych osobowych pracowników, która powinna zawierać:

1) imię i nazwisko osoby upoważnionej;

2) datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych;

3) identyfikator nadany w systemie, jeżeli dane są przetwarzane w systemie informatycznym.

Osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia.