RODO-zmiany w ochronie danych osobowych w praktyce HR

RODO-zmiany w ochronie danych osobowych w praktyce HR kujawsko pomorskie forum HR 16 maja 2018 roku

Prawne uregulowania przetwarzania danych osobowych pracowników Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/279 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchyleniu dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) - ustawa o ochronie danych osobowych uchwalona przez Sejm w dniu 10 maja 2018 roku - prace legislacyjne nad projektem z dnia 28 marca 2018 r. polskiej ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679, który przewiduje m. in. zmiany w przepisach prawa pracy (projekt wraz z uzasadnieniem liczy prawie 900 stron, zmienia kilkaset ustaw)

Prawne uregulowania przetwarzania danych osobowych pracowników RODO jest aktem powszechnie obowiązującym wszystkie kraje członkowskie UE RODO nie musi być implementowane (wdrażane) ustawą do krajowych przepisów, aby mogło skutecznie funkcjonować jakkolwiek RODO samo wymaga aktywności państw członkowskich pozostawiając im pewne kwestie do szczegółowego uregulowania RODO ujednolica ustawodawstwa krajów członkowskich w zakresie ochrony danych RODO składa się z dwóch części stanowiących całość: z motywów przyjęcia aktu prawnego i przepisów regulujących podstawowe zagadnienia

Projekty nowej polskiej ustawy wdrażającej założenia RODO prace legislacyjne nad nową polską ustawą wdrażającą założenia RODO bezpośrednio do ustaw sektorowych (w tym do Kodeksu pracy, czy do ustawie o ZFŚS) zaowocowały dwoma odmiennymi projektami obecnie opublikowany projekt z dnia 28 marca 2018 r. ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679 w znaczący sposób zmienił projekt z dnia 12 września 2017 r. ustawy - przepisy wprowadzające ustawę o ochronie danych osobowych, na który wszyscy się przygotowywali takie działanie legislatora budzi zasadne obawy jak skutecznie przygotować się na nowe przepisy, jeżeli ich koncepcja ulega tak częstym zmianom? Tym bardziej, że Ministerstwo Cyfryzacji nie widzi szans na wprowadzenie tych zmian do 25 maja 2018 r.

Definicja danych osobowych w RODO Dane osobowe oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ( osobie, której dane dotyczą ); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak: imię i nazwisko numer identyfikacyjny dane o lokalizacji identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej art. 4 pkt 1 RODO RODO pozostawia podział na dane zwykłe i wrażliwe.

Kategorie danych osobowych Dane wrażliwe to dane wyraźnie wskazane w art. 9 ust 1 RODO, a mianowicie: - pochodzenie rasowe lub etniczne - poglądy polityczne - przekonania religijne lub światopoglądowe - przynależność do związków zawodowych - dane genetyczne - dane biometryczne - dane dot. zdrowia, seksualności, orientacji seksualnej Generalnie przetwarzanie danych wrażliwych jest zakazane, chyba że administrator może wykazać się jedną z przesłanek przewidzianych prawem. Dane zwykłe to wszelkie inne dane, których nie można uznać za wrażliwe, a których posiadanie pozwala zidentyfikować tożsamość osoby fizycznej

Przetwarzanie danych osobowych - definicja Przetwarzanie danych osobowych oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak: - zbieranie - utrwalanie - organizowanie - porządkowanie - przechowywanie - adaptowanie lub modyfikowanie - pobieranie - przeglądanie - wykorzystywanie - ujawnianie poprzez przesyłanie - rozpowszechnianie lub innego rodzaju udostępnianie - dopasowywanie lub łączenie - ograniczanie, usuwanie lub niszczenie

Podstawy przetwarzania danych osobowych Dane zwykłe (art. 6 RODO): - zgoda na przetwarzanie w jednym lub większej ilości określonych celów (art. 6 ust. 1 lit. a RODO oraz motyw 42-43) - realizacja umowy (art. 6 ust. 1 lit. b oraz motyw 44), - wykonanie obowiązku prawnego ciążącego na administratorze (art. 6 lit. c i e oraz motyw 45) - żywotne interesy osoby (art. 6 ust. 1 lit. d oraz motyw 46) - realizacja zadania leżącego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 lit. e oraz motyw 45) - prawnie uzasadnione interesy administratora lub osoby trzeciej (art. 6 ust. 1 lit. f oraz motyw 47, nie dotyczy podmiotów publicznych)

Podstawy przetwarzania danych osobowych Dane wrażliwe (art. 9 ust. 2 RODO): - wyraźna zgoda w jednym lub kilku konkretnych celach; - obowiązek z zakresu enumeratywnie wskazanych dziedzin prawa: prawa pracy, zabezpieczenia społecznego i ochrony socjalnej; - żywotne interesy osoby, której dane dotyczą, jeżeli nie ma ona zdolności (fizycznej lub prawnej) do wyrażenia zgody; - działalność fundacji i innych podobnych podmiotów o charakterze niezarobkowym o celach politycznych, światopoglądowych, religijnych lub związkowych w zakresie dotyczących członków lub byłych członków oraz osób utrzymujących z takimi podmiotami stałe kontakty pod warunkiem zastosowanie określonych zabezpieczeń; - dane powszechnie upublicznione przez osobę, której dotyczą; - przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy; - ważny interes publiczny; - świadczenie usług zdrowotnych - profilaktyka, medycyna pracy, opieka zdrowotna - przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych, historycznych lub statystycznych na podstawie prawa UE lub przepisów krajowych

Zasady przetwarzania danych osobowych art. 5 RODO Administrator musi być w stanie wykazać, iż przetwarza dane zgodnie z przepisami RODO w myśl podstawowych zasad RODO: Zgodność z prawem, rzetelność i przejrzystość (art. 5 ust. 1 lit. a) Ograniczenie celu (art. 5 ust. 1 lit. b) Minimalizacja danych (art. 5 ust. 1 lit. c) Prawidłowość (art. 5 ust. 1 lit. d) Ograniczenie przechowywania (art. 5 ust. 1 lit. e) Integralność i poufność (art. 5 ust. 1 lit. f)

Przetwarzanie w kontekście zatrudnienia Motyw 155 w preambule do RODO W prawie państwa członkowskiego lub w porozumieniach zbiorowych, w tym zakładowych porozumieniach z przedstawicielami pracowników, mogą być przewidziane przepisy szczegółowe o przetwarzaniu danych osobowych pracowników w związku z zatrudnieniem, w szczególności warunki, na których dane osobowe w związku z zatrudnieniem można przetwarzać za zgodą pracownika do celów procedury rekrutacyjnej, wykonywania umowy o pracę, w tym wykonywania obowiązków określonych w przepisach lub w porozumieniach zbiorowych, zarządzania, planowania i organizacji pracy, równości i różnorodności w miejscu pracy, bezpieczeństwa i higieny pracy oraz do celów indywidualnego lub zbiorowego wykonywania praw i korzystania ze świadczeń związanych z zatrudnieniem, a także do celów zakończenia stosunku pracy. Artykuł 88 RODO 1. Państwa członkowskie mogą zawrzeć w swoich przepisach lub w porozumieniach zbiorowych bardziej szczegółowe przepisy mające zapewnić ochronę praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z zatrudnieniem, w szczególności do: celów rekrutacji, wykonania umowy o pracę, w tym wykonania obowiązków określonych przepisami lub porozumieniami zbiorowymi, zarządzania, planowania i organizacji pracy, równości i różnorodności w miejscu pracy, bezpieczeństwa i higieny pracy, ochrony własności pracodawcy lub klienta, celów indywidualnego lub zbiorowego wykonywania praw i korzystania ze świadczeń związanych z zatrudnieniem, celów zakończenia stosunku pracy. 2. Przepisy te muszą obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych, w szczególności pod względem przejrzystości przetwarzania, przekazywania danych osobowych w ramach grupy przedsiębiorstw lub grupy przedsiębiorców prowadzących wspólną działalność gospodarczą oraz systemów monitorujących w miejscu pracy. 3. Do dnia 25 maja 2018 r. każde państwo członkowskie zawiadamia Komisję o swoich przepisach przyjętych na mocy ust. 1, a następnie niezwłocznie o każdej dotyczącej ich późniejszej zmianie.

Rekrutacja o czym musi pamiętać pracodawca Obecna treść art. 22(1) 1 Kodeksu pracy uprawnienie pracodawcy Wzór kwestionariusza kandydata na pracownika rozporządzenie Ministra Pracy i Polityki Społecznej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika Zgoda kandydata na pracownika na przetwarzanie danych osobowych zawartych w dokumentach rekrutacyjnych Długość przechowywania dokumentów rekrutacyjnych a dodatkowa zgoda na udział w kolejnych rekrutacjach art. 5 ust. 1 lit. e RODO Obowiązek informacyjny art. 13 RODO Rejestr czynności przetwarzania art. 30 RODO Umowa powierzenia przetwarzania danych osobowych z portalami rekrutacyjnymi art. 28 ust. 3 RODO

Rekrutacja NOWE BRZMIENIE art. 22(1) Kodeksu pracy (projekt z 28.03.2018 r.) Pracodawca żąda od osoby ubiegającej się o zatrudnienie podania osobowych obejmujących: 1) imię (imiona) i nazwisko; 2) datę urodzenia; 3) dane kontaktowe wskazane przez taką osobę; 4) wykształcenie; 5) przebieg dotychczasowego zatrudnienia. danych Pracodawca żąda podania innych danych osobowych niż określone powyżej, gdy jest to niezbędne do wypełniania obowiązku pracodawcy nałożonego przepisem prawa. Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której one dotyczą. Pracodawca może żądać udokumentowania danych osobowych kandydata na pracownika w zakresie niezbędnym do ich potwierdzenia. Zmiany: uprawnienie zostaje zamienione na obowiązek pracodawcy; brak obowiązku podania imion rodziców; miejsce zamieszkania (adres do korespondencji) został zastąpiony danymi kontaktowymi wskazanymi przez kandydata

Wykonywanie umowy o pracę o czym powinien pamiętać pracodawca Obecna treść art. 22(1) 1 i 2 Kodeksu pracy uprawnienie pracodawcy Wzór kwestionariusz dla pracownika rozporządzenie Ministra Pracy i Polityki Społecznej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika Klauzula informacyjna art. 13 RODO Zgoda na przetwarzanie wizerunku art. 17 RODO Umowy powierzenia z podmiotami zewnętrznymi świadczącymi dodatkowe benefity dla pracowników (pracodawca jako procesor) art. 28 ust. 3 RODO Umowy powierzenia przetwarzania danych osobowych z podmiotami zewnętrznymi świadczącymi dla pracodawcy usługi np. w zakresie IT, księgowości, bhp (pracodawca jako administrator) art. 28 ust. 3 RODO Upoważnienie do przetwarzania danych osobowych dla pracowników art. 29 RODO Rejestr czynności przetwarzania art. 30 RODO

Wykonywanie umowy o pracę NOWE BRZMIENIE art. 22(1) Kodeksu pracy (projekt z 28.03.2018 r.) Pracodawca żąda od pracownika podania dodatkowo (poza danymi wskazanymi w 1, o których była mowa na slajdzie 14) danych osobowych obejmujących: 1) adres zamieszkania; 2) numer PESEL, a w przypadku jego braku rodzaj i numer dokumentu potwierdzającego tożsamość; 3) inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy; 4) numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych. (dodany ustawą z dnia 10 stycznia 2018 r. o zmianie niektórych ustaw w związku ze skróceniem okresu przechowywania akt pracowniczych oraz ich elektronizacją, która wejdzie w życie 1 stycznia 2019 r. Pracodawca żąda podania innych danych osobowych niż określone powyżej, gdy jest to niezbędne do wypełniania obowiązku pracodawcy nałożonego przepisem prawa. Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której one dotyczą. Pracodawca może żądać udokumentowania danych osobowych osób, o których mowa powyżej, w zakresie niezbędnym do ich potwierdzenia.

Wykonywanie umowy o pracę DANE WRAŻLIWE - art. 22(3) Kodeksu pracy (projekt z 28.03.2018 r.) Przetwarzanie danych osobowych, o których mowa w art. 9 ust. 1 i art. 10 RODO (ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby oraz dotyczących wyroków skazujących i naruszeń prawa) jest dopuszczalne tylko wtedy, gdy jest to niezbędne do wypełniania obowiązku pracodawcy nałożonego przepisem prawa. Przetwarzanie danych biometrycznych pracownika będzie dopuszczalne także wtedy, gdy podanie takich danych jest niezbędne ze względu na: kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę lub dostępu do pomieszczeń wymagających szczególnej ochrony.

Wykonywanie umowy o pracę MONITORING - (art. 111 ustawy z dnia 10 maja 2018 r. dodaje po aktualnym art. 22 (1) art. 22 (2) i 22 (3) k.p. ) Jeżeli jest to niezbędne do zapewnienia: - bezpieczeństwa pracowników, - ochrony mienia, - kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę, pracodawca może wprowadzić szczególny nadzór nad terenem zakładu pracy lub terenem wokół zakładu pracy w postaci środków technicznych umożliwiających rejestrację obrazu. Zakaz stosowania monitoringu Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek, palarni lub pomieszczeń udostępnianych zakładowej organizacji związkowej, chyba, że stosowanie monitoringu w tych pomieszczeniach jest niezbędne do realizacji ww. celu i nie naruszy to godności oraz innych dóbr osobistych pracownika, a także zasady wolności i niezależności związków zawodowych, w szczególności poprzez zastosowanie technik uniemożliwiających rozpoznanie przebywających w tych pomieszczeniach osób.

Wykonywanie umowy o pracę MONITORING Okres przechowywania Nagrania obrazu pracodawca przetwarza wyłącznie do celów, dla których zostały zebrane i przechowuje przez okres nieprzekraczający 3 miesięcy. W przypadku, w którym nagrania obrazu stanowią dowód w postępowaniu lub pracodawca powziął wiadomość, iż mogą one stanowić dowód w postępowaniu, termin określony powyżej ulega przedłużeniu do czasu prawomocnego zakończenia postepowania. Po upływie okresów, o których mowa powyżej, uzyskane w wyniku monitoringu nagrania obrazu, podlegają zniszczeniu. Unormowanie Cele, zakres oraz sposób zastosowania monitoringu ustala się w układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy. Pracodawca przed dopuszczeniem pracownika do pracy przekazuje mu na piśmie ww. informacje. Pracodawca informuje pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego pracodawcy, nie później niż 2 tygodnie przed jego uruchomieniem. Dodatkowe oznaczenia W przypadku wprowadzenia monitoringu pracodawca oznacza pomieszczenia monitorowane w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem. Powyższe nie narusza art. 12 i 13 rozporządzenia 2016/679.

Wykonywanie umowy o pracę MONITORING Monitoring poczty elektronicznej Jeżeli jest to niezbędne do zapewnienia: organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy właściwego użytkowania udostępnionych pracownikowi narzędzi pracy pracodawca może wprowadzić kontrolę służbowej poczty elektronicznej pracownika. Monitoring poczty elektronicznej nie może naruszać tajemnicy korespondencji oraz innych dóbr osobistych pracownika. Kwestie dotyczące unormowania i dodatkowego oznaczenia monitoringu wizyjnego stosuje się odpowiednio do monitoringu poczty elektronicznej. Inne formy monitoringu Powyższe założenia stosuje się odpowiednio do innych form monitoringu, jeśli ich zastosowanie jest konieczne do realizacji celów, określonych powyżej.

ZGODA - art. 22(2) Kodeksu pracy (projekt z 28.03.2018 r.) Przetwarzanie przez pracodawcę innych danych osobowych niż wymienione w art. 22(1) 1 i 2 Kodeksu pracy jest dopuszczalne za zgodą osoby ubiegającej się o zatrudnienie lub pracownika i tylko wtedy, gdy jest to dla nich korzystne. Brak zgody, o której mowa powyżej lub jej wycofanie, nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę. Przetwarzanie, o którym mowa powyżej, dotyczy danych osobowych udostępnianych przez osobę ubiegającą się o zatrudnienie lub pracownika na wniosek pracodawcy lub danych osobowych przekazanych pracodawcy z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika.

Wykonywanie umowy o pracę Ustawa o zakładowym funduszu świadczeń socjalnych (projekt z 28.03.2018 r.) Udostępnienie pracodawcy danych osobowych osób uprawnionych do korzystania z Funduszu w celu przyznania ulgowej usługi i świadczenia oraz dopłaty z Funduszu następuje w formie oświadczenia. Pracodawca może żądać udokumentowania danych osobowych w zakresie niezbędnym do ich potwierdzenia. Potwierdzenie może odbywać się w szczególności na podstawie oświadczeń i zaświadczeń o sytuacji życiowej (w tym zdrowotnej), rodzinnej i materialnej osoby uprawnionej Przetwarzanie danych osobowych, o których mowa powyżej, może być dokonywane wyłącznie w celu i w zakresie niezbędnym do przyznania ulgowych usług i świadczeń oraz dopłat z Funduszu, a także do ustalenia ich wysokości. Pracodawca przechowuje dane osobowe, o których mowa powyżej, przez okres nie dłuższy niż jest to niezbędne w celu przyznania ulgowej usługi i świadczenia oraz dopłaty z Funduszu oraz ustalenia ich wysokości, a także przez okres dochodzenia do nich praw lub roszczeń. Zasady i warunki korzystania z usług i świadczeń finansowanych z Funduszu, z uwzględnieniem ww. regulacji oraz zasady przeznaczania środków Funduszu na poszczególne cele i rodzaje działalności socjalnej określa pracodawca w regulaminie ustalanym zgodnie z art. 27 ust. 1 albo z art. 30 ust. 50 ustawy o związkach zawodowych. Pracodawca, u którego nie działa zakładowa organizacja związkowa, uzgadnia regulamin z pracownikiem wybranym przez załogę do reprezentowania jej interesów.

Zakończenie stosunku pracy o czym musi pamiętać pracodawca Prawo do bycia zapomnianym art. 17 RODO, a obowiązek pracodawcy przechowywania akt osobowych pracownika; Umowa powierzenia z podmiotem zewnętrznym świadczącym usługi w zakresie archiwizacji art. 28 ust. 3 RODO Ustawa z dnia 10 stycznia 2018 r. o zmianie niektórych ustaw w związku ze skróceniem okresu przechowywania akt pracowniczych oraz ich elektronizacją (Dz.U. 2018 poz. 357), która wejdzie w życie z dniem 1 stycznia 2019 r.

Zakończenie stosunku pracy okres przechowywania dokumentacji pracowniczej (ustawa z dnia 10 stycznia 2018 roku wejście w życie 1 stycznia 2019 roku) Obecnie okres przechowywania dokumentacji osobowej i płacowej w systemie prawa polskiego wynosi obecnie 50 lat od zakończenia pracy u danego pracodawcy (art. 51u ust. 1 ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach, art. 125a ust. 4 ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych) Zgodnie z nowym brzmieniem przepisu art. 94 pkt 9b Kodeks pracy Pracodawca będzie zobowiązany do przechowywania dokumentacji pracowniczej w sposób gwarantujący zachowanie jej poufności, integralności, kompletności oraz dostępności, w warunkach niegrożących uszkodzeniem lub zniszczeniem przez okres zatrudnienia, a także przez okres 10 lat, licząc od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł, chyba że odrębne przepisy przewidują dłuższy okres przechowywania dokumentacji pracowniczej.

Zakończenie stosunku pracy okres przechowywania dokumentacji pracowniczej (ustawa z dnia 10 stycznia 2018 roku wejście w życie 1 stycznia 2019 roku) UWAGA PRZEPISY PRZEJŚCIOWE!!! Zgodnie z art. 7 ustawy z dnia 10 stycznia 2018 r. I. Do stosunków pracy nawiązanych od dnia 1 stycznia 2019 r. stosuje się 10-letni termin przechowywania dokumentacji pracowniczej, liczony od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygaśnięciu; II. Do stosunków pracy nawiązany przed dniem 1 stycznia 2019 r. trwających nadal w tej dacie lub już zakończonych stosuje się dotychczasowe przepisy, a więc 50-letni termin przechowywania dokumentacji pracowniczej, liczony od zakończenia pracy u danego pracodawcy NATOMIAST odnosząc się do stosunków pracy nawiązanych w okresie poczynając od dnia 1 stycznia 1999 r. do dnia 31 grudnia 2018 r. włącznie i trwających nadal w dniu 1 stycznia 2019 r. okres przechowywania dokumentacji pracowniczej, w przypadku złożenia przez pracodawcę raportu informacyjnego, może być skrócony do 10 lat, licząc od końca roku kalendarzowego, w którym raport informacyjny został złożony. Były pracownik, za którego został złożony raport informacyjny może odebrać dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracownika w terminie miesiąca kalendarzowego następującego po upływie 10- letniego okresu, liczonego od końca roku kalendarzowego w którym raport informacyjny został złożony (art. 8 ustawy z dnia 10 stycznia 2018 r.).

Zakończenie stosunku pracy inne istotne regulacje w zakresie przechowywania dokumentacji pracowniczej Okres przechowywanie dokumentacji, a wytoczenie powództwa lub wszczęcie postępowania - art. 94(4) Kodeksu pracy Jeżeli przechowywana dokumentacja pracownicza może stanowić lub stanowi dowód w postępowaniu, a pracodawca: 1) jest stroną tego postępowania - przechowuje dokumentację pracowniczą do czasu jego prawomocnego zakończenia, nie krócej jednak niż do upływu 10-letniego okresu przechowywania dokumentacji pracowniczej, liczonego od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł; 2) powziął wiadomość o wytoczeniu powództwa lub wszczęciu postępowania 10-letni okres przechowywania dokumentacji pracowniczej przedłuża się o 12 miesięcy, po upływie których pracodawca zawiadamia, w postaci papierowej lub elektronicznej, byłego pracownika o możliwości odbioru tej dokumentacji w terminie 30 dni od dnia otrzymania zawiadomienia oraz, w przypadku jej nieodebrania, o zniszczeniu dokumentacji pracowniczej. Możliwość kontynuacji prowadzenia dotychczasowej dokumentacji pracowniczej - art. 94(5) Kodeksu pracy W przypadku ponownego nawiązania stosunku pracy z tym samym pracownikiem w trakcie 10- leniego okresu przechowywania dokumentacji pracowniczej, pracodawca kontynuuje prowadzenie dla tego pracownika dotychczasowej dokumentacji. Natomiast okres przechowywania dokumentacji pracowniczej liczy się od końca roku kalendarzowego, w którym kończący się najpóźniej stosunek pracy rozwiązał się lub wygasł.

Zakończenie stosunku pracy Inne istotne regulacje w zakresie przechowywania dokumentacji pracowniczej Obowiązek poinformowania o możliwości odbioru dokumentacji pracowniczej - art. 94(6) Kodeksu pracy W przypadku rozwiązania lub wygaśnięcia stosunku pracy pracodawca wraz ze świadectwem pracy wydaje pracownikowi w postaci papierowej lub elektronicznej informację o: 1) okresie przechowywania dokumentacji pracowniczej; 2) możliwości odbioru przez pracownika dokumentacji pracowniczej do końca miesiąca kalendarzowego następującego po upływie okresu przechowywania dokumentacji pracowniczej; 3) zniszczeniu dokumentacji pracowniczej w przypadku jej nieodebrania w okresie, o którym mowa w pkt 2. Procedura postepowania z dokumentacja pracowniczą po upływie okresu jej przechowywania - art. 94(7) Kodeksu pracy Pracodawca niszczy dokumentację pracowniczą w sposób uniemożliwiający odtworzenie jej treści, w terminie do 12 miesięcy po upływie okresu przeznaczonego na odbiór dokumentacji pracowniczej. Do czasu zniszczenia dokumentacji pracowniczej, pracodawca może wydać ją byłemu pracownikowi.

Rejestr czynności przetwarzania - art. 30 RODO Od momentu obowiązywania RODO znika obowiązek zgłoszenia zbiorów do rejestru. Pojawia się za to rejestr czynności przetwarzania Każdy administrator danych osobowych oraz podmiot przetwarzający zobowiązany będzie prowadzić rejestr czynności przetwarzania RODO nie przewiduje zwolnienia z tego obowiązku w przypadku powołania inspektora danych osobowych Forma pisemna lub elektroniczna Nie ma obowiązku jego prowadzenia gdy podmiot spełnia łącznie następujące warunki: zatrudnia mniej niż 250 osób przetwarzanie nie powoduje ryzyka naruszenia praw lub wolności osób, których dane dotyczą przetwarzanie ma charakter sporadyczny nie obejmuje danych wrażliwych lub dotyczących wyroków skazujących i naruszeń prawa

Obowiązek informacyjny art. 13 RODO Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje: 1) swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela; 2) gdy ma to zastosowanie - dane kontaktowe inspektora ochrony danych; 3) cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania; 4) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) - prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią; 5) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją; 6) gdy ma to zastosowanie - informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii danych lub o miejscu udostępnienia danych. Poza informacjami, o których mowa, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania: 1) okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu; 2) informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych; 3) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) - informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem; 4) informacje o prawie wniesienia skargi do organu nadzorczego; 5) informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych; 6) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.

Umowa powierzenia art. 28 ust. 3 RODO Umowa powierzenia przetwarzania danych osobowych powinna zawierać: 1) przedmiot i czas trwania przetwarzania, 2) charakter i cel przetwarzania, 3) rodzaj danych osobowych oraz kategorii osób, których dane dotyczą 4) obowiązki i praw administratora, 5) zapisy zgodnie z którymi podmiot przetwarzający: - przetwarza dane wyłącznie na udokumentowane polecenie administratora, - zapewnia, że osoby upoważnione przez niego do przetwarzania danych osobowych zostały zobowiązane do zachowania tajemnicy lub podlegają jej z mocy przepisów prawa, -wdraża odpowiednie środki techniczne i organizacyjne, o których mowa w art. 32 ust 1 RODO, - korzysta z podprocesorów (tj. jego podmiotów przetwarzających, którym powierza dalej dane osobowe objęte umową z administratorem), jeżeli posiada zgodę administratora w tym zakresie oraz zobowiązuje ich do tożsamych obowiązków jak te które wynikają z umowy powierzenia łączącej go z administratorem, - udziela pomocy administratorowi w zakresie wywiązania się przez administratora z obowiązku odpowiadania na żądania osoby, której dane dotyczą, - udziela pomocy administratorowi w zakresie wywiązania się przez administratora z obowiązków dotyczących wdrożenia odpowiednich zabezpieczeń, obowiązku informowania o wycieku danych czy też dokonania oceny skutków dla ochrony danych osobowych, - usuwa lub zwraca przetwarzane w imieniu administratora dane w zależności od decyzji administratora - udostępnienia administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków związanych z powierzeniem przetwarzania danych osobowych oraz umożliwienie administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich.

Upoważnienie do przetwarzania art. 29 RODO Podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego.

Dziękuję za uwagę Izabela Błaszkiewicz radca prawny, wspólnik i.blaszkiewicz@ostrowski-legal.net Kancelaria Ostrowski i Wspólnicy