W aktach osobowych jest gromadzonych szereg dokumentów, zawierających dane osobowe pracowników stąd tak istotne jest właściwe ich przechowywanie.
W aktach osobowych gromadzone są dokumenty związane z wykształceniem pracownika, jego doświadczeniem zawodowym, kwalifikacjami, stanem zdrowia a także wszelkie dokumenty istotne z punktu widzenia historii zatrudnienia, w tym szczegółowe informacje na temat warunków zatrudnienia i wiele innych, które powinni być należycie chronione i przetwarzane jedynie zgodnie z przeznaczeniem.
Podstawa prawna ochrony danych osobowych
Podstawowym aktem prawnym regulującym kwestie ochrony danych osobowych jest Ustawa o ochronie danych osobowych. Przepisy Kodeksu pracy dotyczące ochrony danych osobowych pracownika nie zawierają definicji podstawowych pojęć związanych z tą problematyką. W tym zakresie należy posiłkować się przepisami ustawy o ochronie danych osobowych. W ustawie znajdziemy definicje: danych osobowych, osoby możliwej do zidentyfikowania, przetwarzania danych osobowych oraz administratora danych.
Polecamy książkę: Świadczenia na rzecz pracowników – podatki, ZUS, ewidencja
Podstawowy obowiązek ochrony danych osobowych wynika z przepisów Konstytucji, która wyraźnie wskazuje: Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby, a zasady i tryb gromadzenia oraz udostępniania informacji określa ustawa. Na tej podstawie ustawodawca zdecydował się na wprowadzenie do systemu prawnego ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, która jest podstawowym aktem prawnym regulującym zasady gromadzenia, przechowywania oraz przetwarzania danych osobowych.
Kwestie związane z pozyskiwaniem i przechowywaniem przez pracodawców danych osobowych pracowników są uregulowane w rozporządzeniu Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika.
Przepisem o szczególnym znaczeniu jest art. 22(1), ustawy Kodeks pracy, który wyraźnie wskazuje jakich danych może żądać pracodawca od osoby ubiegającej się od pracownika i od pracownika.
Administrator danych osobowych
Zgodnie z przepisami wspomnianej ustawy, administratorem danych osobowych jest organ, jednostka organizacyjna, podmiot lub osoba decydująca o celach i środkach przetwarzania danych osobowych. W przypadku nawiązanego stosunku prawnego jakim jest stosunek pracy to pracodawca staje się administratorem danych osobowych ponieważ gromadzi udostępniane przez pracownika dane osobowe, a następnie nimi zarządza i je przetwarza w celach związanych z całokształtem zatrudnienia pracownika. Oczywiście pracodawca może wskazać inną osobę, która przejmie wszelkie obowiązki administratora danych osobowych. Administrator danych czyli pracodawca powołuje w tym celu Administratora Bezpieczeństwa Informacji tzw. ABI, który w jego imieniu czuwa nad przestrzeganiem przepisów ustawy o ochronie danych osobowych.
Do zadań administratora bezpieczeństwa informacji należy:
1) zapewnianie przestrzegania przepisów o ochronie danych osobowych, w szczególności przez:
a) sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych,
b) nadzorowanie opracowania i aktualizowania dokumentacji opisującej sposób przetwarzania danych oraz środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną,
c) zapewnianie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych;
2) prowadzenie rejestru zbiorów danych przetwarzanych przez administratora danych.
Przetwarzaniem danych są wszelkie operacje wykonywane na danych, do których zalicza się ich zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie.
Natomiast pracodawca jako administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów pracowników poprzez:
- przetwarzanie danych zgodnie z prawem,
- zbieranie danych dla zgodnych z prawem celów,
- niepoddawanie dalszemu przetwarzaniu niezgodnymi z celami, dla których dane zostały zgromadzone,
- przechowywanie danych w postaci umożliwiających identyfikację osób, których dane dotyczą, nie dłużej niż jest to potrzebne do osiągnięcia celu ich przetwarzania.
Upoważnienie
Zgodnie z art. 37 ustawy o ochronie danych osobowych, do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. Wobec tego pracodawca jako administrator danych powinien udzielić pracownikowi działu kadr specjalnego upoważnienia do przetwarzania danych osobowych pracowników. Najczęściej jest tak, że sprawami kadrowymi w firmie zajmują się osoby specjalnie do tego celu zatrudnione, tj. specjaliści do spraw kadrowych, personalnych a nie sam pracodawca. Oni przetwarzają dane osobowe, czyli wykonują operacje na danych np. zbieranie, przechowywanie, opracowywanie, itp.
Upoważnienie do przetwarzania danych osobowych pracowników powinno być sporządzone na piśmie i podpisane przez pracodawcę. Ma ono charakter imienny wobec tego wskazuje osobę upoważnioną do przetwarzania danych oraz zakres ich przetwarzania. Należy je sporządzić w dwóch egzemplarzach, z których jeden otrzymuje upoważniony pracownik na wypadek kontroli a drugi umieszcza się w aktach osobowych pracownika upoważnionego do przetwarzania danych osobowych (część B jego akt osobowych).
Pracownik upoważniony przez administratora danych do przetwarzania danych osobowych pracowników powinien potwierdzić, że zapoznał się z przepisami dotyczącymi ochrony danych osobowych, zapoznał się z obowiązującą u pracodawcy instrukcją przetwarzania danych oraz, że został poinformowany o obowiązku zachowania w tajemnicy danych osobowych, z którymi będzie zapoznawał się podczas procesu ich przetwarzania.
Pracodawca powinien również prowadzić ewidencję osób dopuszczonych do przetwarzania danych osobowych pracowników, która powinna zawierać:
1) imię i nazwisko osoby upoważnionej;
2) datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych;
3) identyfikator nadany w systemie, jeżeli dane są przetwarzane w systemie informatycznym.
Osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia.
Ponadto pracodawca jako administrator danych osobowych pracowników może również powierzyć ich przetwarzanie zewnętrznemu podmiotowi. Zakres przetwarzania danych zawarty jest w odpowiedniej umowie między pracodawcą a firmą zajmująca się przetwarzaniem danych.
Dane wrażliwe
Zgodnie z art. 27 ustawy o ochronie danych osobowych, zabrania się przetwarzania danych tzw. wrażliwych - ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym.
Przetwarzanie danych wrażliwych jest jednak dopuszczalne w wymienionych w ustawie następujących przypadkach:
1) osoba, której dane dotyczą, wyrazi na to zgodę na piśmie, chyba że chodzi o usunięcie dotyczących jej danych;
2) przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony;
3) przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, gdy osoba, której dane dotyczą, nie jest fizycznie lub prawnie zdolna do wyrażenia zgody, do czasu ustanowienia opiekuna prawnego lub kuratora;
4) jest to niezbędne do wykonania statutowych zadań kościołów i innych związków wyznaniowych, stowarzyszeń, fundacji lub innych niezarobkowych organizacji lub instytucji o celach politycznych, naukowych, religijnych, filozoficznych lub związkowych, pod warunkiem, że przetwarzanie danych dotyczy wyłącznie członków tych organizacji lub instytucji albo osób utrzymujących z nimi stałe kontakty w związku z ich działalnością i zapewnione są pełne gwarancje ochrony przetwarzanych danych;
5) przetwarzanie dotyczy danych, które są niezbędne do dochodzenia praw przed sądem;
6) przetwarzanie jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie;
7) przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych;
8) przetwarzanie dotyczy danych, które zostały podane do wiadomości publicznej przez osobę, której dane dotyczą;
9) jest to niezbędne do prowadzenia badań naukowych, w tym do przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego; publikowanie wyników badań naukowych nie może następować w sposób umożliwiający identyfikację osób, których dane zostały przetworzone;
10) przetwarzanie danych jest prowadzone przez stronę w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym.
GIODO
Co do zasady administrator danych jest obowiązany zgłosić zbiór danych do rejestracji Generalnemu Inspektorowi Danych Osobowych, jednak na podstawie art. 43 ust. 1 pkt 4 Ustawy o ochronie danych osobowych z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych przetwarzanych w związku z zatrudnieniem, świadczeniem im usług na podstawie umów cywilnoprawnych, a także dotyczących osób u nich zrzeszonych lub uczących się, a więc m.in. pracodawcy.
Podstawa prawna:
- Konstytucja Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz.U.1997.78.483 z dnia 1997.07.16)
- ustawa z dnia 26 czerwca 1974 r. Kodeks pracy (Dz.U.2016.1666 t.j. z dnia 2016.10.12),
- ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U.2016.922 t.j. z dnia 2016.06.28).