Co grozi pracodawcy za nieuprawnione przetwarzanie danych wrażliwych pracownika

W praktyce, podczas zatrudnienia pracownika, firma może pozyskać i przetwarzać jego dane wrażliwe. Zakres tych informacji wykracza poza informacje, które pracodawca może uzyskiwać w procesie zatrudnienia zgodnie z art. 22¹ Kodeksu pracy. Ponadto informacje wrażliwe są szczególnie chronione przez prawo, ponieważ dotyczą bezpośrednio sfer należących do prywatności czy nawet intymności osoby fizycznej.

Zakres danych wrażliwych

Wrażliwymi danymi osobowymi są informacje dotyczące:

• pochodzenia rasowego lub etnicznego,
• poglądów politycznych,
• przekonań religijnych lub filozoficznych (odnosi się to także do postawy ateistycznej lub agnostycznej, kategoria ta nie obejmuje natomiast zasad moralnych),
• przynależności wyznaniowej, partyjnej lub związkowej (także fakt nieprzynależności i wystąpienia z organizacji),
• stanu zdrowia,
• kodu genetycznego,
• nałogów (w tym poddania się leczeniu odwykowemu lub przerwania go, uczestniczenia w grupach i organizacjach stawiających sobie za cel walkę z uzależnieniami),
• życia seksualnego,
• skazań, orzeczeń o ukaraniu, mandatów karnych oraz innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym (art. 27 ust. 1 ustawy o ochronie danych osobowych).

(!)

Zakaz zbierania i przetwarzania danych wrażliwych pracownika dotyczy każdego pracodawcy bez względu na formę prowadzenia działalności (chodzi zarówno o przedsiębiorstwa państwowe, jak i prywatne, spółki prawa handlowego, osoby fizyczne) oraz odnosi się do każdej postaci przetwarzania danych (zautomatyzowanej czy manualnej), w tym także w formie tzw. ankiet personalnych.

W art. 27 ust. 2 ustawy o ochronie danych osobowych zawarty jest katalog przypadków, gdy zbieranie danych wrażliwych jest dozwolone. Jest to możliwe np. gdy osoba, której dane dotyczą, na piśmie wyrazi na to zgodę. W praktyce pracodawcy często korzystają z tego przepisu. Należy jednak wskazać, że podstawowym warunkiem skuteczności zgody na zbieranie danych wrażliwych jest wyraźna i swobodnie wyrażona zgoda osoby, której one dotyczą. W stosunkach pracy to właśnie wątpliwość co do swobody przy udzieleniu zgody wyłącza zbieranie danych wrażliwych w powołaniu na tę możliwość. Powyższe potwierdza wyrok Naczelnego Sądu Administracyjnego z 1 grudnia 2009 r. (sygn. akt I OSK 249/09). Zdaniem NSA, brak równowagi w relacji pracodawca – pracownik stawia pod znakiem zapytania dobrowolność wyrażenia zgody na pobieranie i przetwarzanie danych osobowych. Uznanie faktu wyrażenia zgody na podstawie art. 23 ust. 1 pkt 1 ustawy jako okoliczności legalizującej pobranie od pracownika innych danych, niż wskazane w art. 22¹ Kodeksu pracy, stanowiłoby obejście tego przepisu.

PRZYKŁAD

Od kandydata do pracy pobrano odciski palców. Wyjaśniono mu, że na tej podstawie, już po zatrudnieniu, za pomocą specjalnego czytnika będzie kontrolowany jego czas pracy. Kandydat wyraził na to zgodę. Przetwarzanie danych biometrycznych w postaci odcisków palców jest nielegalne nawet wtedy, gdy pracownik wyraził zgodę na ich udostępnienie.

Mając zapewne na względzie wskazane wyżej wątpliwości co do swobody wyrażenia zgody przez kandydatów do pracy i pracowników, ustawodawca w Kodeksie pracy uregulował kwestie związane z żądaniem przez pracodawcę od osób ubiegających się o zatrudnienie oraz od pracowników podania danych osobowych. Ogólną podstawą, na jakiej obecnie powinno odbywać się wspomniane żądanie, jest art. 22¹ Kodeksu pracy. Zgodnie z tym przepisem, pracodawca ma prawo żądać od kandydata do pracy podania następujących danych osobowych:

• imię (imiona) i nazwisko,
• imiona rodziców,
• data urodzenia,
• miejsce zamieszkania lub adres do korespondencji,
• wykształcenie oraz przebieg dotychczasowego zatrudnienia.

Katalog informacji, jakich pracodawca może żądać od osoby ubiegającej się o zatrudnienie w ramach stosunku pracy, jest zamknięty.

W praktyce najwięcej wątpliwości związanych z ochroną danych wrażliwych powstaje co do możliwości pozyskania i przetwarzania informacji o stanie zdrowia pracownika i jego karalności.

Dane o stanie zdrowia

Pracodawca nie może żądać od pracownika podania informacji o stanie jego zdrowia, chyba że informacje te są niezbędne w celu skorzystania przez zatrudnionego ze szczególnych uprawnień prawa pracy albo obowiązek podania takich informacji wynika z przepisów odrębnych ustaw. Potwierdza to wyrok Sądu Najwyższego z 5 sierpnia 2008 r. (sygn. akt I PK 37/08), zgodnie z którym pracodawca nakładający na pracownika obowiązek udzielenia informacji innych niż wskazane w art. 22¹ § 1 i § 2 Kodeksu pracy lub w odrębnych przepisach działa niezgodnie z prawem.

Pracodawca jest niekiedy upoważniony – w sytuacjach wyraźnie wskazanych w ustawach – do uzyskania informacji o stanie zdrowia swojego pracownika. Ma to miejsce w przypadku, gdy pracodawca chce skorzystać z oznaczonych uprawnień czy ulg.

(!)

Wyłącznie konkretny przepis konkretnej ustawy może upoważnić pracodawcę do uzyskania informacji o stanie zdrowia pracownika.

Szczególny wyjątek od obowiązku zachowania tajemnicy o stanie zdrowia pracownika wskazuje art. 57 ust. 1 ustawy z 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa. Przepis ten zezwala na umieszczenie na zaświadczeniu lekarskim informacji o rodzaju określonych chorób lub przyczyn stanu niezdolności do pracy. Ustawodawca reguluje w ten sposób zasady umieszczania na zaświadczeniu lekarskim tzw. kodów literowych (od A do E).

Pracodawca, zatrudniając np. osoby niepełnosprawne, może liczyć na ulgi we wpłatach na PFRON, ulgi podatkowe, może też otrzymać pomoc na organizację miejsca pracy dla osoby niepełnosprawnej. Pracownik z kolei może liczyć na dodatkowe przerwy w pracy czy krótszy czas pracy. W kontekście tych uprawnień pracodawcy przysługuje prawo żądania od pracownika informacji np. w zakresie orzeczenia o jego niepełnosprawności.

Kolejną sytuacją, kiedy dozwolone jest zbieranie i przetwarzania danych dotyczących stanu zdrowia pracownika, jest postępowanie dotyczące stwierdzenia istnienia choroby zawodowej. W trakcie tej procedury konieczne jest ujawnienie pracodawcy przez pracownika tajemnicy o jego stanie zdrowia. Obowiązkiem pracodawcy jest również prowadzenie rejestru przypadków stwierdzenia lub podejrzenia wystąpienia choroby zawodowej. Obowiązek taki stanowi upoważnienie dla pracodawcy do gromadzenia i przetwarzania danych osobowych wrażliwych, tj. informacji o stanie zdrowia pracowników w zakresie chorób zawodowych.

PRZYKŁAD

Prowadzone przez inspektora sanitarnego postępowanie w sprawie rozpoznania choroby zawodowej u Marii P. potwierdziło jej wystąpienie. Chorobę zawodową stwierdził także lekarz w wydanym orzeczeniu. Pracownik inspekcji poinformował pracodawcę o tym orzeczeniu. Maria P. uznała, że działanie inspektora naruszyło przepisy o ochronie jej wrażliwych danych osobowych. Pracownica nie ma racji. Pracodawca miał prawo zapoznać się z dokumentacją medyczną dotyczącą rozpoznania choroby zawodowej u pracownicy zatrudnionej w prowadzonej przez niego firmie (decyzja Głównego Inspektora Danych Osobowych z 31 marca 2006 r., sygn. GI-DEC-DS-112/06).

Zgodnie z art. 8 ust. 1 ustawy z 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych, przyznanie określonych ulg i świadczeń oraz wysokość wypłat z funduszu uzależnia się od sytuacji życiowej, rodzinnej i materialnej osoby uprawnionej do skorzystania z funduszu. Zasady i warunki przyznawania ulgowych i nieulgowych świadczeń pracodawca powinien w określonym trybie sformułować w regulaminie. W jego treści może wskazać rodzaje dokumentów, których przedstawienie stanowi przesłankę niezbędną do uzyskania określonego świadczenia czy usługi.

(!)

Pracodawca może przetwarzać wrażliwe dane osobowe (np. o stanie zdrowia) w związku z ubieganiem się o świadczenia socjalne przez pracownika tylko wtedy, gdy wyrazi on na to zgodę na piśmie.

Wrażliwe dane osobowe są także zawarte w zaświadczeniach wydawanych wskutek przeprowadzenia badań profilaktycznych, tj. wstępnych, okresowych i kontrolnych. Z uwagi na to, że zakres tych badań nie został określony w ustawie, pracodawca musi uzyskać zgodę pracownika na piśmie na przetwarzanie jego wrażliwych danych osobowych zawartych w zaświadczeniach wystawianych w następstwie przeprowadzenia badań profilaktycznych.

Istotne w praktyce są również informacje pracownicy dotyczące jej stanu zdrowia związane z rodzicielstwem i mające wpływ na uzyskanie zasiłku macierzyńskiego. Należy zaznaczyć, że pracodawca nie ma prawa żądać od pracownicy bądź kandydatki do pracy informacji, czy jest w ciąży, chyba że rodzaj pracy, którą ma ona wykonywać, jest pracą wzbronioną do wykonywania przez kobiety w tym stanie. W razie wykonywania pracy na stanowisku, na którym praca w ciąży jest dozwolona, pracownica nie ma obowiązku podawania pracodawcy tej informacji.

Dane o karalności pracownika

Chociaż art. 22¹ Kodeksu pracy nie wskazuje wprost na dopuszczalność żądania informacji o karalności pracownika, pracodawca może uzyskać informacje zgromadzone w Krajowym Rejestrze Karnym (KRK) w zakresie niezbędnym do zatrudnienia pracownika, jeżeli z przepisów ustawy wynika wymóg niekaralności, korzystania z pełni praw publicznych, a także ustalenia uprawnienia do zajmowania określonego stanowiska, wykonywania określonego zawodu lub prowadzenia określonej działalności gospodarczej.

Przykładowo – w służbie cywilnej może być zatrudniona osoba, która nie była skazana prawomocnym wyrokiem za umyślne przestępstwo lub umyślne przestępstwo skarbowe (art. 4 pkt 3 ustawy z 21 listopada 2008 r. o służbie cywilnej). Oznacza to, że pracodawca może żądać od osoby ubiegającej się o zatrudnienie w służbie cywilnej przedstawienia informacji o niekaralności. Wymóg niekaralności istnieje również m.in. w stosunku do licencjonowanych pracowników ochrony.

PRZYKŁAD

Bank zamierza zatrudnić studentkę na stanowisku kasjerki. Przepisy prawa bankowego nie upoważniają pracodawcy do wystąpienia do Krajowego Rejestru Karnego z prośbą o wydanie zaświadczenia o niekaralności kandydatki na kasjerkę. Pracodawca nie może żądać takiego dokumentu także od przyszłej pracownicy.

W konsekwencji pracodawca uzyska informacje z KRK tylko wtedy, gdy przepisy ustanawiają kryterium kwalifikacyjne w postaci wymogu niekaralności i korzystania z pełni praw publicznych. Ponadto KRK udziela informacji tylko w zakresie niezbędnym do zatrudnienia pracownika, czyli w zależności od tego, jak został sformułowany ustawowy wymóg niekaralności. Jeżeli przykładowo ustawa wyznacza wymaganie niekaralności za przestępstwo popełnione umyślnie, KRK powinien udzielić tylko informacji o niekaralności (karalności) za przestępstwo popełnione z winy umyślnej.

Informacje dotyczące niekaralności, osoba ubiegająca się o zatrudnienie może również przedstawić pracodawcy z własnej inicjatywy, po uzyskaniu ich z rejestru, jeżeli jej zdaniem mogą przyczynić się one do pozytywnej oceny przez pracodawcę i wyboru na dane stanowisko spośród wielu innych kandydatów (pismo Ministerstwa Pracy i Polityki Społecznej z 30 maja 2012 r., sygn. SPS-023–4705/12).

Skutki naruszenia zakazu

Skutki naruszenia przez pracodawcę zakazu pozyskiwania i przetwarzania danych wrażliwych pracownika mogą mieć charakter niemajątkowy lub majątkowy. Te pierwsze znajdują uzasadnienie w przepisach Kodeksu pracy, przewidującego na podstawie art. 55 § 1¹ możliwość rozwiązania z pracodawcą umowy o pracę bez wypowiedzenia w związku z ciężkim naruszeniem przez pracodawcę podstawowych obowiązków wobec pracownika.

W związku z możliwością rozwiązania przez pracownika umowy bez wypowiedzenia w powyższym trybie może on żądać od pracodawcy odszkodowania. Poza tym roszczeniem pracownik może domagać się zadośćuczynienia z tytułu naruszenia jego dóbr osobistych. Stosownie do treści art. 23 Kodeksu cywilnego należy uznać, że informacje o danych wrażliwych stanowią dobra chronione prawem, podlegające wymienionej regulacji. Warunkami możliwości wystąpienia z takim roszczeniem są: okoliczność naruszenia dobra osobistego, a także fakt bezprawności naruszenia.

Z zaistnieniem tego drugiego warunku będziemy mieć do czynienia zawsze, gdy dane wrażliwe zostały przetworzone czy zebrane bez podstawy prawnej wskazanej w akcie rangi ustawowej.

Szereg roszczeń niemajątkowych przewiduje również art. 32 ust. 1 pkt 6 ustawy o ochronie danych osobowych. Zgodnie z tym przepisem, możliwe jest m.in. żądanie czasowego lub stałego zaprzestania ich przetwarzania, a także usunięcia danych ze zbioru danych osobowych, jeśli są niekompletne, nieprawdziwe, nieaktualne, a przede wszystkim w razie ich tam bezprawnego umieszczenia.

Za powyższe naruszenia pracodawcy grozi także odpowiedzialność karna. Nieuprawnione przetwarzanie danych stanowi bowiem czyn zagrożony karą grzywny, ograniczenia wolności albo pozbawienia wolności do lat 2. Jak wynika z art. 49 ust. 2 ustawy, surowszy wymiar kary został przewidziany w przypadku, gdy niedopuszczalne lub nieuprawnione przetwarzanie danych dotyczy danych wrażliwych. Wówczas sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.

Pracodawca ponosi także odpowiedzialność karną w razie udostępnienia danych wrażliwych osobom nieuprawnionym, w tym także innym pracownikom, którzy nie zostali uprawnieni do dostępu do zbioru danych na podstawie art. 37 ustawy. Czyn ten zagrożony jest karą grzywny, karą ograniczenia wolności albo karą pozbawienia wolności do lat 2.

PRZYKŁAD

Na zebraniu z podwładnymi pracodawca poinformował, że jedna z pracownic jest w ciąży. Pracownica ta zawiadomiła właściwą miejscowo prokuraturę rejonową o podejrzeniu popełnienia przestępstwa. Pracodawca został ukarany przez sąd karą grzywny w wymiarze 500 stawek dziennych, przy określeniu wysokości jednej stawki na kwotę 10 zł, tj. 5000 zł.

PODSTAWA PRAWNA

• art. 22¹, art. 55 § 1¹ ustawy z 26 czerwca 1974 r. – Kodeks pracy (Dz.U. z 1998 r. Nr 21, poz. 94 ze zm.)
• art. 23 ust. 1 pkt 1, art. 27 ust. 1, art. 32 ust. 1 pkt 6, art. 37, art. 49 ust. 2, art. 51 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.).
• art. 4 pkt 3 ustawy z 21 listopada 2008 r. o służbie cywilnej (Dz.U. Nr 227, poz. 1505 ze zm.)
• art. 57 ust. 1 ustawy z 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa (Dz.U. z 2010 r. Nr 77, poz. 512 ze zm.)
• art. 8 ust. 1 ustawy z 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych (Dz.U. z 2012 r., poz. 592 ze zm.)
• art. 23 ustawy z 23 kwietnia 1964 r. – Kodeks pracy (Dz.U. Nr 116, poz. 93 ze zm.)