Subskrybuj nas na Youtube
RODO stosujemy już od ponad dwóch lat. W tym okresie na stronie Urzędu Ochrony Danych Osobowych (w zakładce „Aktualności”) opublikowano kilkanaście stanowisk dotyczących przetwarzania danych osobowych w zatrudnieniu. UODO w swoich wypowiedziach nie ogranicza się jednak tylko do wykładni przepisów o ochronie danych osobowych. Niejednokrotnie przesądza w dość kategoryczny sposób o istnieniu określonych uprawnień czy obowiązków, które nie znajdują uzasadnienia w prawie pracy. Bywa też, że odmawia pracodawcom prawa do podejmowania określonych działań, np. badania alkomatem, dokonywania pomiaru temperatury przy wejściu na teren zakładu pracy czy wywieszania w zakładzie pracy najlepszych wyników dotyczących wydajności pracy pracowników. Poniższa analiza ukazuje, że – patrząc przez pryzmat specyfiki prawa pracy – UODO w swoich interpretacjach nie musi mieć racji. Konkretne argumenty za tą tezą wskazujemy też w ramach skrótowego omówienia stanowisk organu.
ZADANIA PUBLICZNE
Prawo pracy nakłada na pracodawców cały szereg obowiązków, które w istocie stanowią wykonywanie określonych zadań publicznych. Jednym z nich jest zapewnienie bezpieczeństwa w procesie pracy oraz na terenie zakładu pracy. We wszystkich tych sytuacjach, w których przepisy określają cele przetwarzania danych osobowych, podstawą prawną takiego przetwarzania jest art. 6 ust. 1 lit. c RODO (przesłanka niezbędności do wypełnienia obowiązku prawnego administratora).
Wykonując zadania publiczne, pracodawca powinien mieć prawo decydowania o zakresie przetwarzania danych osobowych. Jeżeli uzna, że przetwarzanie określonej ich kategorii jest niezbędne, aby zadania publiczne zostały właściwie zrealizowane, to nie tyle może, ale musi je przetwarzać – oczywiście z zachowaniem zasad proporcjonalności.
Powyższe prowadzi do dość oczywistego wniosku, że prawo jednostki do autonomii informacyjnej nie może być nadrzędne nad prawem innych członków wspólnoty do bezpieczeństwa w pracy oraz zagwarantowania im właściwego poziomu ochrony zdrowa w miejscu pracy i bezpieczeństwa socjalnego. Ochrona prywatności i autonomii informacyjnej nie może również uniemożliwiać wykonywania nałożonych na pracodawców obowiązków, których przeważająca część ma charakter publicznoprawny. Pracownik, będąc częścią społeczności zakładowej, w ramach której ma obowiązek dbałości o dobro zakładu pracy, zmuszony jest bowiem do rezygnacji z części swoich praw i wolności.
Aby właściwie stosować przepisy RODO do relacji związanych z zatrudnieniem, nie wystarczy sama znajomość przepisów, lecz niezbędne jest rozumienie mechanizmów ochronnych prawa pracy z perspektywy gwarantowanych jednostkom przez państwo praw podstawowych, wśród których nadrzędnym jest prawo do ochrony życia i zdrowia ludzkiego. Dla skuteczności ich realizacji pracodawca został wyposażony w szczególnego rodzaju uprawnienia o charakterze władczym – w postaci „ustalania” porządku w zakładzie pracy (którego przestrzeganie jest jednym z podstawowych obowiązków pracownika – art. 100 par. 2 pkt 2 k.p.) oraz sankcjonowania nierespektowania przez pracownika ustalonej organizacji i porządku w procesie pracy, przepisów bhp i przeciwpożarowych, a także przyjętego sposobu potwierdzania przybycia i obecności w pracy oraz usprawiedliwiania nieobecności w pracy (art. 108 k.p.). Stosując sankcje w postaci upomnienia, nagany czy kary pieniężnej, pracodawca działa w interesie publicznym, na co wyraźnie wskazuje zakres przedmiotowy odpowiedzialności porządkowej. W jej ramach sankcjonowane przez pracodawcę jest m.in. nieprzestrzeganie przepisów bhp, stawienie się do pracy w stanie nietrzeźwości lub spożywanie alkoholu w czasie pracy. Zakres tej odpowiedzialności koresponduje też z odpowiedzialnością pracodawcy za stan bezpieczeństwa w zakładzie pracy. Przy czym pracodawca odpowiada nie tylko wobec osób przez siebie zatrudnionych, ale także wobec każdego, kto przebywa na terenie zakładu pracy (art. 207 par. 1 k.p.).
W ramach tego generalnego nakazu ochrony zdrowia i życia pracowników pracodawca jest zobowiązany do wykorzystywania w swoich działaniach osiągnięć technicznych i organizacyjnych, które jeszcze nie zostały przez ustawodawcę uwzględnione w normach prawnych. Oczywistym jest zatem, że wyłącznie w gestii pracodawcy powinno być decydowanie o tym, w jaki sposób będzie realizował nałożone na niego obowiązki o fundamentalnym znaczeniu dla realizacji konstytucyjnej zasady ochrony pracy. Co więcej, określając zakres obowiązków pracodawcy, ustawodawca odwołuje się nie tylko do przepisów, lecz również zasad bhp. Te ostatnie nie zostały zdefiniowane w przepisach. Sąd Najwyższy przyjmuje jednak, że są one regułami pozaprawnymi wynikającymi z doświadczenia życiowego oraz z osiągnięć nauki i techniki, które pracodawca jest zobowiązany wykorzystać także wtedy, gdy żaden przepis prawa nie nakazuje stosować określonych środków bezpieczeństwa.
(Nie)wiążący charakter
Aktywność organu nadzorczego w sferze interpretacji zasad przetwarzania danych osobowych w zatrudnieniu wymaga oceny wiążącego charakteru jego stanowisk. Z art. 51 RODO wynika, że organ nadzorczy odpowiada za monitorowanie stosowania tego rozporządzenia. Z kolei art. 57 RODO m.in. wskazuje, że jego zadaniem jest upowszechnianie:
- w społeczeństwie – wiedzy o ryzyku, przepisach, zabezpieczeniach i prawach związanych z przetwarzaniem oraz rozumienia tych zjawisk;
- wśród administratorów i podmiotów przetwarzających – wiedzy o obowiązkach spoczywających na nich na mocy rozporządzenia.
Z kolei na gruncie ustawy o ochronie danych osobowych (t.j. Dz.U. z 2019 r. poz. 1781) ewentualną podstawą prawną do publikacji takich stanowisk mógłby być jej art. 53. Zgodnie z nim prezes UODO udostępnia na swojej stronie podmiotowej w Biuletynie Informacji Publicznej rekomendacje określające środki techniczne i organizacyjne stosowane w celu zapewnienia bezpieczeństwa przetwarzania danych osobowych. Projekt tych rekomendacji prezes urzędu jest jednak obowiązany skonsultować z zainteresowanymi podmiotami, których zakresu działania on dotyczy. Problem w tym, że zakres przedmiotowy stanowisk prezesa UODO znacząco wykracza poza art. 57 RODO i art. 53 ustawy. Należy więc uznać, że – z powodu braku podstaw prawnych do ich publikowania – mają one niewiążący charakter. Oczywista obawa przed wysokimi karami pieniężnymi powoduje jednak, że wypowiedzi te wywierają bezpośredni wpływ na sferę stosunków zatrudnienia. Jest to szczególnie niepokojące tam, gdzie organ kategorycznie odmawia pracodawcom prawa do podejmowania określonych działań, których zasadność jest społecznie uzasadniona.
Dane kontaktowe
Treść stanowiska prezesa UODO z 17 sierpnia 2020 r. sprowadza się do odpowiedzi na pytanie, czy pracodawca może korzystać z prywatnych danych kontaktowych do pracownika. Stwierdza się, że aby pracodawca mógł przetwarzać w celach zawodowych dane kontaktowe pracownika, które pozyskał podczas rekrutacji (takie jak adres prywatnej poczty elektronicznej czy numer prywatnego telefonu komórkowego), musi uzyskać na to jego pisemną zgodę określającą zasady kontaktu. Taki wniosek to efekt niezbyt dokładnej analizy treści art. 221 par. 3 k.p., z którego wynika wyraźnie, że w katalogu danych osobowych wymaganych od pracownika znajdują się również jego dane kontaktowe – przepis mówi bowiem, że pracodawca żąda od pracownika podania „dodatkowo” tych danych osobowych. Potwierdzeniem słuszności takiej interpretacji jest pkt 4 art. 221 par. 3 k.p., który nakazuje uzupełnienie katalogu danych żądanych od pracownika o informacje dotyczące wykształcenia i przebiegu zatrudnienia. Wszystko to oznacza, że podstawą do przetwarzania tych danych pracownika nie powinna być zgoda, jak twierdzi prezes UODO, lecz realizacja obowiązku prawnego. Wydaje się zresztą, że to nie jedyny raz, gdy organ nadzorczy myli sferę uprawnienia do przetwarzania danych – np. na podstawie zgody, od przetwarzania danych jako niezbędnego dla wykonania obowiązku prawnego.
Podejście organu jest też niekonsekwentne, bo w stanowisku z 13 marca 2019 r. pt. „RODO pozwala pozyskać dane pracowników na potrzeby referendum strajkowego” nie miał on co do tego wątpliwości, nakazując pracodawcy przekazanie związkowi zawodowemu imion i nazwisk zatrudnionych wraz z informacją umożliwiającą nawiązanie z nimi kontaktu (adres e-mail, numer telefonu czy adres do korespondencji) w celu umożliwienia przeprowadzenia referendum strajkowego. W stanowisku tym stwierdzono, że pracodawca ma obowiązek przekazania danych pracowników, a podstawą legalizującą przetwarzanie otrzymanych danych przez związek zawodowy miałby być prawnie uzasadniony interes.
Uprawnienie a obowiązek
Wydaje się, że wypowiedź prezesa UODO nt. prywatnych danych kontaktowych pracownika to nie jedyny raz, gdy organ nadzorczy miesza sferę uprawnienia do przetwarzania danych – np. na podstawie zgody, z przetwarzaniem danych niezbędnym dla wykonania obowiązku prawnego. Przykładowo ze stanowiska z 14 lipca 2020 r. pt. „Pracodawca administratorem danych w dokumentacji pracowniczej” dowiadujemy się, że administrator przechowując dane w dokumentacji pracowniczej, „nie musi prosić pracownika o zgodę na przetwarzanie jego danych”. Mogłoby to sugerować, że o taką zgodę poprosić może, co w konsekwencji mogłoby doprowadzić do mylnego wyobrażenia pracownika o przysługujących mu prawach, w tym o prawie do cofnięcia zgody.
Z kolei w wypowiedzi nt. zakładowego funduszu świadczeń socjalnych z 6 lutego 2020 r. organ nadzorczy wskazuje, że jeżeli na potrzeby udokumentowania spełnienia określonych kryteriów przydatny byłby dostęp do różnych dokumentów – np. PIT-u małżonka, to powołana regulacja umożliwia pracodawcy jedynie wgląd do nich. Nie daje natomiast prawa do przechowywania ich kopii czy innego utrwalania, gdyż powodowałoby to gromadzenie danych w szerszym zakresie, niż jest to niezbędne do celu (np. PESEL współmałżonka, nazwa zakładu pracy). Co więcej, zdaniem organu przepisy ustawy o ZFŚS (t.j. Dz.U. z 2020 r. poz. 1070) nigdzie nie wskazują, by członkowie rodzin pracowników musieli podpisywać dodatkowe oświadczenia, gdyż z regulacji tych wynika, że oświadczenie na temat sytuacji rodzinnej, życiowej i materialnej przedstawia pracownik. Z takim stanowiskiem trudno jednak się zgodzić, gdyż nigdzie w ustawie nie jest napisane, że oświadczenie na potrzeby ZFŚS może być składane wyłącznie przez pracownika. W art. 8 ust. 1a ustawy o ZFŚS mowa jest o udostępnianiu pracodawcy danych osobowych osoby uprawnionej do korzystania z funduszu. Osobą tą zaś nie jest wyłącznie pracownik, na co wprost wskazuje art. 2 pkt 5 tej ustawy. Pod pojęciem osoby uprawnionej rozumie się również członków rodziny pracowników, emerytów i rencistów będących byłymi pracownikami i ich rodziny oraz inne osoby, którym pracodawca przyznał w regulaminie prawo korzystania ze świadczeń finansowanych z funduszu. Co więcej, ustawodawca przyznaje pracodawcy wyraźnie uprawnienie żądania „udokumentowania danych osobowych w zakresie niezbędnym do ich potwierdzenia”. Jeżeli więc mowa o udokumentowaniu, to nie można tego uprawnienia ograniczać jedynie do okazania określonych dokumentów. Organ nadzorczy, wypowiadając się tu odnośnie zasad przetwarzania danych osobowych w związku z działalnością socjalną pracodawcy, nie uwzględnia, że działalność ta ma charakter społeczny i wykonywana jest w interesie publicznym, a nie własnym pracodawcy. W konsekwencji z jego pola widzenia zupełnie umknęło, że z mocy ustawy o ZFŚS to pracodawca i przedstawiciele załogi określają w regulaminie zasady i warunki korzystania z usług i świadczeń finansowanych z funduszu. Oznacza to, że w tym zakresie treść regulaminu będzie stanowiła o istnieniu podstaw prawnych do przetwarzania określonych danych (podobnie należy ocenić regulacje zawarte w regulaminach pracy).
Wywieszanie ocen
W stanowisku z 31 lipca 2020 r. zatytułowanym „Pracownikiem miesiąca zostaje” organ nadzorczy stwierdził, iż „sam kodeks pracy nie uwzględnia dokonywania oceny pracowników”. To wniosek zaskakujący, bo w art. 94 pkt 9 k.p. wyraźnie napisano, że pracodawca obowiązany jest stosować obiektywne i sprawiedliwe kryteria oceny pracowniczej oraz wyników ich pracy. Co więcej, upublicznianie wyników najlepszych pracowników może być postrzegane jako przejaw realizacji obowiązku przeciwdziałania dyskryminacji w zatrudnieniu – bo oceny, zwłaszcza w zakresie wydajności pracy pracowników, mają przełożenie na wysokość ich wynagrodzenia. Mamy tu więc do czynienia z realizacją obowiązku prawnego pracodawcy, a nie z uzasadnionym interesem administratora, wobec czego wbrew stanowisku prezesa UODO, nie trzeba przeprowadzać testu równowagi (w postaci porównania prawnie uzasadnionego interesu administratora z interesami i prawami osoby, której dane są przetwarzane).
Badania alkomatem raz jeszcze
Warto jeszcze przypomnieć kategoryczne stanowiska prezesa UODO odmawiające pracodawcom prawa do samodzielnego prowadzenia kontroli stanu trzeźwości pracowników z uwagi na brzmienie art. 17 ustawy o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi (t.j. Dz.U. z 2019 r. poz. 2277, ost.zm. Dz.U. z 2020 r. poz. 1492, dalej: u.o.p.a.). Prezes UODO stwierdził, że „Nowelizacja Kodeksu pracy nie dała pracodawcom uprawnienia do badań alkomatem” (27 czerwca 2019 r.), a następnie, że „obecny stan prawny nie pozwala pracodawcy zbadać pracownika alkomatem” (16 września 2019 r.). Obowiązek, o którym mowa w art. 17 u.o.p.a., należy rozpatrywać z perspektywy wspomnianych na wstępie odpowiedzialności pracodawcy za stan bezpieczeństwa w zakładzie pracy i bezwzględnego obowiązku ochrony życia i zdrowia pracowników. Przepis ten zdaniem organu nadzorczego zamyka pracodawcom drogę do prowadzenia badań alkomatem. Zauważmy, że ustanawia on indywidualny obowiązek kierownika zakładu pracy (lub osoby przez niego upoważnionej) niedopuszczenia do pracy pracownika, jeżeli zachodzi uzasadnione podejrzenie, że stawił się on do pracy w stanie po użyciu alkoholu albo spożywał alkohol w czasie pracy. Osoba podejmująca decyzję o niedopuszczeniu pracownika do pracy dokonuje ingerencji w jego prawo do pracy za wynagrodzeniem. Ma więc prawo żądać przeprowadzenia badania stanu trzeźwości pracownika przez organ powołany do ochrony porządku publicznego. Temu uprawnieniu odpowiada zaś obowiązek organu przeprowadzenia badania trzeźwości. Artykuł 17 u.o.p.a. nie znajduje więc zastosowania do kontroli prewencyjnych, prowadzonych przy użyciu urządzeń niepozwalających na dokonanie pomiaru konkretnego stężenia alkoholu w wydychanym powietrzu, którym poddawani są pracownicy wchodzący na teren zakładu pracy, a więc tacy, co do których nie zachodzi uzasadnione podejrzenie, że są w stanie po użyciu alkoholu.
Z art. 221b k.p. wynika, że tzw. dane szczególnych kategorii, w tym o zdrowiu, pracodawca może przetwarzać, gdy pracownik wyrazi na to zgodę. Powołując się na ten przepis, prezes UODO stwierdził, że pracodawcy nie mogą samodzielnie prowadzić kontroli stanu trzeźwości pracowników, w tym wyrywkowych. Powraca tu jednak pytanie, czy RODO w ogóle do działań pracodawcy będzie miało zastosowanie – zgodnie z art. 2 ust. 1 RODO stosuje się je do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w inny sposób, o ile dane te stanowią lub mają stanowić część zbioru danych. Oznacza to, że zawsze wtedy, gdy kontrola jest przeprowadzana bez utrwalenia wyników, RODO nie ma zastosowania. Czynności kontrolne pracodawcy co najwyżej mogą być poddawane ocenie z perspektywy naruszenia dóbr osobistych, np. godności pracowników, do czego jednak organ nadzorczy nie jest uprawniony.
Co więcej, wbrew temu, co wynika ze stanowisk prezesa UODO, nie każdą informację uzyskaną podczas badania alkomatem należy klasyfikować jako daną szczególnej kategorii dotyczącą zdrowia. Możliwe jest bowiem zorganizowanie procesu kontroli trzeźwości w taki sposób, aby pracodawca ani nie pozyskiwał, ani nie utrwalał informacji pozwalających na określenie konkretnych wskazań zawartości alkoholu w organizmie. Jest to możliwe dzięki zastosowaniu alkomatu, który za pomocą kolorowych diod sygnalizuje jedynie przedziały stężenia alkoholu w wydychanym powietrzu. Zapalenie się np. czerwonej diody może zastąpić obserwację zachowania pracownika i uprawdopodobnić podejrzenie, że stawił się on do pracy po spożyciu alkoholu. W takiej sytuacji powstanie obowiązek niedopuszczenia go do pracy. Od decyzji upoważnionej osoby lub pracownika będzie zależało, czy w kolejnym kroku skorzystają z uprawnienia do przeprowadzenia badania np. przez policję.
Jak wskazuje SN, do celów postępowania w sprawach ze stosunku pracy nie jest konieczne ustalenie ściśle określonego stężenia alkoholu we krwi pracownika, jak to ma miejsce w postępowaniu karnym lub w postępowaniu dotyczącym wykroczeń, a stan nietrzeźwości pracownika w czasie i miejscu pracy może być dowodzony wszelkimi środkami dowodowymi (wyrok z 11 grudnia 2006 r., sygn. I PK 165/06). Co więcej, SN co do zasady uznaje badanie trzeźwości przeprowadzane przez pracodawcę za dopuszczalne, traktując je jako element potwierdzający uzasadnione podejrzenie co do nietrzeźwości pracownika, którego wynik – z racji nieprzeprowadzenia badania przez właściwy podmiot – może być kwestionowany (wyrok z 4 grudnia 2018 r., sygn. I PK 194/17). Zatem w sytuacji, w której z uwagi na charakter pracy lub rodzaj prowadzonej działalności pracodawca oceni, iż występuje duże ryzyko zagrożenia dla życia i zdrowia, nie tylko może, ale ma prawny obowiązek prowadzenia kontroli, w tym – jeśli to jest proporcjonalne do zagrożeń – kontroli prewencyjnej, wyrywkowej lub losowej.
Nawet gdyby uznać, że RODO ma zastosowanie do badania trzeźwości pracowników, to należy przypomnieć, że zgodnie z motywem 4 RODO prawo do ochrony danych osobowych nie jest prawem bezwzględnym; należy je postrzegać w kontekście jego funkcji społecznej i wyważyć względem innych praw podstawowych w myśl zasady proporcjonalności. A nie ulega wątpliwości, że życie i zdrowie pracowników jest wartością nadrzędną.
