Udostępniłeś dane pracownika? Słono zapłacisz

28 stycznia jest dniem Ochrony Danych Osobowych. Obchodzony jest on w rocznicę uchwalenia Konwencji 108 Rady Europy z 28 stycznia 1981 r. w sprawie ochrony osób w zakresie zautomatyzowanego przetwarzania danych osobowych. Data ta ma przypominać Europejczykom o ochronie danych osobowych oraz konieczności podnoszenia poziomu wiedzy w tym zakresie. W szczególności dotyczy to pracodawców. Już w momencie rozpoczęcia udziału procesie rekrutacji, pracownik przekazuje im swoje dane zawarte w CV lub innych dokumentach aplikacyjnych. Warto przy tym wiedzieć, że pracodawca może żądać od potencjalnego pracownika jedynie tych danych osobowych, które przewiduje Kodeks pracy, a są to: imię (imiona) i nazwisko, imiona rodziców, data urodzenia, miejsce zamieszkania (adres do korespondencji), wykształcenie oraz przebieg dotychczasowego zatrudnienia (par. 1 art. 221 ustawy z 26 czerwca 1974 r. - Kodeks pracy).
Od złożenia aplikacji to pracodawca zatem, jako Administrator Danych Osobowych, musi dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą (Dz.U. 1997 nr 133, poz. 883 art. 26 - Ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych).

Jakich danych może żądać pracodawca?

Po zatrudnieniu zakres danych, jakich ma prawo zażądać od pracownika pracodawca, może zostać poszerzony o imiona i nazwiska oraz daty urodzenia dzieci, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy oraz numeru PESEL pracownika (par. 2 art. 22 Kodeksu pracy). Ponadto, pracodawca jest uprawniony do uzyskania od pracownika innych danych osobowych niż wskazane wyżej, jeżeli obowiązek ich podania wynika z odrębnych przepisów (par. 4 cytowanego przepisu). Rozporządzanie Ministra Pracy i Polityki Socjalnej z 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz.U. nr 62, poz. 286 ze zm.), upoważnia pracodawcę do żądania dokumentów takich, jak: wypełniony kwestionariusz osoby wraz ze zdjęciami, potwierdzenie okresu zatrudnienia oraz dokumentów potwierdzających kwalifikacje zawodowe.

Czy pracodawca może umieścić imię, nazwisko oraz adres e-mailowy pracownika na swojej stronie internetowej?

- Imię, nazwisko, stanowisko oraz adres służbowy e-mail stanowią tzw. dane służbowe, których wykorzystywanie przez pracodawcę nie wymaga zgody osoby (pracownika), której dane dotyczą - wyjaśnia Małgorzata Kałużyńska-Jasak, rzecznik prasowy GIODO. Nie ma zatem prawnych przeszkód w umieszczeniu, np. na stronach internetowych pracodawcy, informacji o pracownikach, jeśli dane te nie dotyczą prywatnej sfery ich życia. Stanowisko takie zajął Sąd Najwyższy, który w wyroku z 19 listopada 2003 r. (sygn. akt I PK 590/02) orzekł, że: „(...) nazwisko i imię jest z natury rzeczy skierowanym na zewnątrz znakiem rozpoznawczym osoby fizycznej i wymienienie go (ujawnienie) przez inny podmiot w celu identyfikacji danej osoby nie może być zasadniczo uznane za bezprawne, o ile ze względu na okoliczności towarzyszące nie łączy się to z naruszeniem innego jej dobra, np. czci, godności osobistej lub prywatności (...)”.

Czy pracodawca może wykorzystać zdjęcie pracownika np. do reklamy firmy?

Aby pracodawca mógł zamieścić zdjęcie, przykładowo na stronie internetowej, musi uzyskać w tym celu zgodę pracownika. Przy czym, w myśl ustawy o ochronie danych osobowych, zgoda pracownika nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści. Wyrażenie zgody na wykorzystanie wizerunku musi zostać udzielone przez pracownika dobrowolnie. To oznacza, że pracownik miał możliwość odmowy jej udzielenia, bez ponoszenia konsekwencji. Zgodnie z art. 7 pkt 5 ustawy o ochronie danych osobowych, pracownik ma prawo odwołać wyrażoną zgodę w każdym czasie. Małgorzata Kałużyńska-Jasak, rzecznik prasowy GIODO wskazuje, że istnieją jednak sytuacje wyjątkowe, gdy wizerunek pracownika jest ściśle związany z wykonywanym przez niego zawodem czy charakterem pracy, jak choćby pracownicy ochrony. Ze względów bezpieczeństwa pracodawca ma możliwość identyfikacji takich pracowników.

Czy dopuszczalne jest wykorzystanie danych biometrycznych pracownika przy rejestracji jego czasu pracy?

Prowadzenie ewidencji obecności za pomocą nowych technologii, takich jak wykorzystywanie odcisków palców, jest prawnie zabronione. Jasne stanowisko w tej kwestii zajął Naczelny Sąd Administracyjny w wyroku z grudnia 2009 roku. W uzasadnieniu czytamy: „Wyrażona na prośbę pracodawcy pisemna zgoda pracownika na pobranie i przetworzenie jego danych osobowych narusza prawa pracownika i swobodę wyrażenia przez niego woli. Za tak sformułowanym stanowiskiem przemawia zależność pracownika od pracodawcy. Brak równowagi w relacji pracodawca - pracownik stawia pod znakiem zapytania dobrowolność w wyrażeniu zgody na pobieranie i przetworzenie danych osobowych (biometrycznych). Uznanie faktu wyrażenia zgody przez pracownika, jako okoliczności legalizującej pobranie od pracownika innych danych niż wskazane w art. 22 Kodeksu pracy, stanowiłoby obejście tego przepisu” (por. Wyrok NSA z 1.12.2009 r., sygn. akt I OSK 249/09).

Jakie instytucje państwowe mogą żądać od pracodawcy danych pracownika?

Prawo do pozyskiwania informacji o pracowniku od pracodawcy posiadają przedstawiciele różnych urzędów i instytucji. Lista podmiotów uprawnionych zawiera m.in. takie instytucje jak: Państwowa Inspekcja Pracy, Policja, Agencja Bezpieczeństwa Wewnętrznego, Agencja Wywiadu czy Służba Celna. Podstawą do pozyskania danych są zazwyczaj ogólne przepisy prawa. Pracodawca musi zatem, udzielając informacji o pracowniku, zwrócić szczególną uwagę czy instytucja, zwracająca się do niego o dane pracownika wskazuje mu odpowiednią podstawę prawną. Bardzo istotne jest, by wskazana podstawa prawna miała rangę ustawy. Tylko z takiego aktu prawnego mogą wynikać uprawnienia do wglądu w dane pracownika.

W jakich sytuacjach pracodawca jest zobowiązany do udzielenia informacji o pracowniku, bez jego wiedzy i zgody?

- Pracodawca ma obowiązek udzielać informacji i dostarczać wszelkie dokumenty na żądanie sądów i organów ścigania - informuje adwokat Wojciech Krawiec z Kancelarii Adwokackiej Lassota i Partnerzy, z Krakowa. W szczególności, pracodawca jest zobowiązany do udzielenia wszelkich informacji jakie posiada, kiedy jest przesłuchiwany jako świadek w postępowaniu cywilnym, karnym lub administracyjnym. Również w przypadku kontroli ze strony takich urzędów, jak urząd skarbowy albo inspekcja pracy, pracodawca jest zobowiązanych do dostarczenia wszystkich żądanych dokumentów i udzielenia wszelkich informacji, których żąda organ administracji.

Czy pracodawca może bez zgody i wiedzy pracownika powierzyć jego dane innym podmiotom?

- Pracodawca nie ma prawa udzielać informacji na temat swoich pracowników ani innym firmom, ani innym osobom, o ile sam pracownik nie wyrazi na to zgody - wyjaśnia adwokat Wojciech Krawiec. W szczególności, taka zgoda może być np. elementem umowy kredytowej zawartej z bankiem albo pracownik może wyrazić zgodę, by firma, o zatrudnienie w której zabiega, mogła zweryfikować u jego poprzednich pracodawców dane podane przez niego w CV. Udzielenie informacji o pracowniku bez jego zgody może stanowić zarówno naruszenie jego prawa do prywatności, które jest chronione, jako dobro osobiste na mocy art. 23 Kodeksu cywilnego, jak i w niektórych przypadkach może stanowić nieuprawnione przetwarzanie danych osobowych. Wyjątkową okolicznością jest przekazanie przez pracodawcę obsługi kadrowo-płacowej lub rachunkowej wyspecjalizowanym firmom zewnętrznym. W takiej sytuacji, firma macierzysta nadal pozostaje administratorem danych osobowych pracownika i nie zwalnia jej to z odpowiedzialności. Pracodawca zobowiązany jest zawrzeć z takim podmiotem tzw. umowę powierzenia przetwarzania danych, zawartą na piśmie. Zawiera w niej zakres i cel przetwarzania danych, a także prawa i obowiązki zarówno administratora danych, jak i podmiotu, któremu powierzono przetwarzanie danych (art. 31 ustawy o ochronie danych osobowych). Przy czym firma, której powierzone będą takie dane może je wykorzystywać wyłącznie w zakresie i celu przewidzianym w umowie.

Czy banki mogą telefonicznie weryfikować dane kredytobiorcy u pracodawcy?

Zdaniem adwokata Wojciecha Krawca, banki oraz inne instytucje finansowe, co do zasady, mogą występować o udzielenie informacji o pracowniku - tylko na podstawie zgody samego pracownika. Jeżeli pracownik przedłożył np. zaświadczenie od pracodawcy o wysokości zarobków, to bank lub inna instytucja może zwrócić się do pracodawcy o potwierdzenie, czy to jest oryginalny dokument wystawiony przez pracodawcę. W takiej sytuacji, pracodawca potwierdza jedynie autentyczność dokumentu, który bankowi przedłożył sam pracownik. W piśmie Narodowego Banku Polskiego do Generalnego Inspektora Nadzoru Bankowego z 6 kwietnia 2001 r.(NB/BPN214/01), skierowanego do osób kierujących bankami, urząd ten powołuje się na przepisy ustawy - Prawo bankowe oraz ustawy o ochronie danych osobowych i jednoznacznie stwierdza, że akty te nie przewidują telefonicznej formy pozyskiwania żądanych informacji. Przy czym Przewodniczący Komisji Nadzoru Bankowego stwierdza, że „W przypadku, kiedy problem dotyczy potwierdzania danych osobowych przez banki u pracodawców - ich kredytobiorców, odpowiedzialność spoczywa na pracodawcach, jako administratorach danych osobowych, a nie na bankach” (pismo z 1 października 2004 r. sygn. NB-BPN-I-077-15/05).

Jak komornik ustala miejsce pracy dłużnika?

- Ogólne przepisy prawa, czyli ustawa o komornikach sądowych i egzekucji - zobowiązują różnego rodzaju organy, urzędy i podmioty, w tym pracodawców do udzielenia komornikowi sądowemu na jego żądanie informacji niezbędnych do prawidłowego prowadzenia postępowania egzekucyjnego - mówi Sławomir Szynalik, rzecznik prasowy i wiceprzewodniczący Rady Izby Komorniczej w Krakowie. Komornik ustala też miejsce pracy dłużnika, na podstawie zapytania do Zakładu Ubezpieczeń Społecznych. Wyjątkową sytuacją jest windykacja alimentów. W tym przypadku możliwa jest egzekucja prowadzona przez komornika, a wierzyciel alimentacyjny może również zwrócić się z tytułem wykonawczym bezpośrednio do pracodawcy. Gdy nie ma już innych wcześniejszych zajęć, pracodawca jest zobowiązany potrącać alimenty bezpośrednio do wierzyciela - art. 88 Kodeksu pracy.

Jakie są najczęstsze nadużycia w zakresie pytań adresowanych do pracodawców o udzielenie informacji o pracownikach?

Najczęściej są to zapytania o dochody pracownika, ze strony współmałżonków tegoż pracownika (przede wszystkim w sytuacji konfliktu w małżeństwie), a także od firm windykacyjnych, które szukają sposobów na wyegzekwowanie spłaty długów od pracownika. W obu przypadkach pracodawca nie ma prawa udzielić informacji o wynagrodzeniu.

Jakie konsekwencje grożą pracodawcom za naruszenie zasad dotyczących ochrony danych osobowych?

Szczegółowy katalog kar, związanych z nieodpowiednim przetwarzaniem danych osobowych, określony został w rozdziale 8 ustawy o ochronie danych osobowych. Ustawodawca określił w nim zakres kar: od grzywny, przez ograniczenie wolności, do pozbawienia wolności. Co ważne, karze podlega zarówno osoba, która przetwarza dane bez uprawnienia, jak i administrator danych, umożliwiający dostęp do nich osobom nieupoważnionym. Karze podlega również sam fakt utrudniania wykonania czynności kontrolnej inspektorowi GIODO. Przy czym, na mocy porozumienia z 14 grudnia 2012 r. zawartego między Państwową Inspekcją Pracy (PIP) a Biurem Generalnego Inspektora Ochrony Danych Osobowych (GIODO), inspekcja pracy także ma możliwość kontroli pracodawców w zakresie zgodności przetwarzania danych z przepisami o ochronie danych osobowych. W 2013 roku PIP zaplanował 88 tys. kontroli pracodawców, podczas gdy inspektorzy GIODO skontrolowali 128 firm.