Odpowiedzialność pracodawcy za naruszenie ochrony danych osobowych pracownika

• Pracodawca jako administrator danych
• Środki ochrony
• Cywilnoprawna ochrona danych jako dóbr osobistych

Obowiązujące przepisy umożliwiają pracodawcy pozyskanie pewnych informacji dotyczących pracownika, obejmujących jego dane osobowe. O rodzaju tych danych stanowią art. 22¹ k.p. oraz przepisy odrębne. Mając dostęp do pozyskanych danych osobowych, pracodawca powinien zadbać o ich ochronę zgodnie z ustawą o ochronie danych osobowych (zwaną dalej u.o.d.o.).

Pracodawca jako administrator danych

W związku z zatrudnianiem pracowników pracodawca tworzy zbiór danych o charakterze osobowym. W jego skład wchodzi dokumentacja związana ze stosunkiem pracy oraz akta personalne pracowników. Zadaniem pracodawcy jako tzw. administratora danych osobowych jest zarządzanie tym zbiorem oraz przetwarzanie danych w nim zawartych. Przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych (art. 7 u.o.d.o.).

Ochrona danych osobowych przez pracodawcę >>

Na administratorach danych ciążą szczególne obowiązki związane z zabezpieczeniem danych zawarte w art. 36–39a u.o.d.o. Przewidują one m.in., że administrator danych jest zobowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Administrator jest ponadto zobowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostają do zbioru wprowadzone oraz komu są przekazywane. Do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych.

Środki ochrony

Pracownikowi, którego dane osobowe zostały naruszone przez pracodawcę w związku z niewłaściwym przetwarzaniem lub ujawnieniem tych danych, przysługuje ochrona prawna.

Uprawnienia pracowników, których dane są przetwarzane, określają:

• ustawa o ochronie danych osobowych,
• Kodeks pracy,
• Kodeks cywilny.

Pracownikowi przysługuje roszczenie o uzupełnienie, uaktualnienie, sprostowanie danych osobowych, czasowe lub stałe wstrzymanie ich przetwarzania lub ich usunięcie, jeżeli są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy o ochronie danych osobowych albo są już zbędne do realizacji celu, dla którego zostały zebrane. W razie niespełnienia żądania przez pracodawcę–administratora danych, pracownik może zwrócić się do Generalnego Inspektora Ochrony Danych Osobowych z wnioskiem o nakazanie dopełnienia obowiązku.

Natomiast do prawnopracowniczych instrumentów ochrony należy zaliczyć prawo do rozwiązania stosunku pracy bez wypowiedzenia na podstawie art. 55 § 1¹ k.p. z powodu ciężkiego naruszenia obowiązków wobec pracownika. Pracownik może również żądać sprostowania świadectwa pracy, jeżeli podane w nim informacje naruszają jego dobra osobiste.

---

Cywilnoprawna ochrona danych jako dóbr osobistych

Poza roszczeniami wynikającymi z przepisów ustawy o ochronie danych osobowych i Kodeksu pracy pracownik może skorzystać także z cywilnoprawnej ochrony dóbr osobistych. Dane osobowe pracownika są bowiem jego dobrami osobistymi. Wynika to wprost z art. 23 k.c., który stanowi, że dobra osobiste człowieka (w szczególności zdrowie, wolność, cześć, swoboda sumienia, nazwisko lub pseudonim, wizerunek, tajemnica korespondencji, nietykalność mieszkania, twórczość naukowa, artystyczna, wynalazcza i racjonalizatorska) pozostają pod ochroną prawa cywilnego niezależnie od ochrony przewidzianej w innych przepisach.

Ochrona dóbr osobistych przewidziana jest tylko przed działaniami bezprawnymi. Chodzi więc o takie zachowania (zaniechania) pracodawcy, które będą sprzeczne z prawem lub zasadami współżycia społecznego.

Przykład

W maju 2010 r. odbył się firmowy wyjazd integracyjny na Mazury. Podczas imprezy jeden z pracowników robił pamiątkowe zdjęcia, które następnie pracodawca umieścił na stronie internetowej firmy. Opublikowanie fotografii pracownika bez jego zgody na stronie firmy można uznać za zachowanie bezprawne.

Ochrona dóbr osobistych może mieć zarówno charakter niemajątkowy, jak i majątkowy. Roszczeniami o charakterze niemajątkowym są żądanie zaniechania naruszeń oraz żądanie dopełnienia czynności potrzebnych do usunięcia skutków naruszenia (art. 24 § 1 k.c.). Zlikwidowanie skutków naruszenia dobra osobistego może nastąpić przez złożenie oświadczenia o odpowiedniej treści i formie (np. przeprosiny na zebraniu załogi), ale też przez usunięcie wpisu dotyczącego pewnych informacji o pracowniku z akt pracowniczych.

Udostępnianie przez pracodawcę danych osobowych pracownika >>

Środkami ochrony majątkowej są roszczenia o:

• naprawienie szkody majątkowej (art. 24 § 2 k.c.),
• zadośćuczynienie pieniężne za doznaną krzywdę (art. 445 § 1 k.c.),
• zapłatę odpowiedniej sumy pieniężnej na wskazany cel społeczny (art. 448 k.c.).

Przepisy różnicują sytuację dwóch kategorii osób. Z brzmienia pierwszego zdania art. 24 § 1 k.c. wynika, że osoba, której dobro osobiste zostało zagrożone cudzym działaniem, może żądać tylko zaniechania tego działania. W razie dokonanego już naruszenia dobra osobistego poszkodowany może – poza żądaniem zaniechania dalszych naruszeń – domagać się usunięcia skutków naruszenia, a ponadto – jeżeli pozwalają na to okoliczności danej sprawy – wysunąć roszczenia majątkowe. Odszkodowanie nie będzie wchodziło w grę wówczas, gdy naruszenie dobra osobistego nie spowoduje uszczerbku majątkowego po stronie pracownika. Podobnie zadośćuczynienie pieniężne powinno wiązać się z powstaniem po stronie pracownika negatywnych doznań psychicznych. Istnienia tych okoliczności pracownik musi dowieść przed sądem.

Dochodzący odszkodowania powinien przede wszystkim wykazać szkodę, zawinione działanie ze strony pracodawcy oraz normalny związek przyczynowo-skutkowy między działaniem a zaistniałą szkodą. W granicach normalnych następstw działania i zaniechania, z którego wynikła szkoda, naprawienie szkody obejmuje straty, które poszkodowany poniósł, oraz korzyści, które mógłby osiągnąć, gdyby mu szkody nie wyrządzono. Do ustalania odszkodowania w pełni znajdują zastosowanie art. 36¹–36³ i 415 k.c.

Przepisy nie wskazują jednak, jak należy ustalić wielkość kwot pieniężnych dochodzonych tytułem zadośćuczynienia i świadczenia na cel społeczny.

Podstawa prawna:

• art. 22¹, 55 Kodeksu pracy,
• art. 23, 24, 36¹–36³, 415, 445, 448 Kodeksu cywilnego,
• ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych (DzU z 2002 r. nr 101, poz. 926 ze zm.).