PORADNIKI KADROWE Obowiązki pracodawcy związane z ochroną danych osobowych pracownika Zamów książkę w księgarni internetowej Warszawa 2016
4 Magdalena Stojek-Siwi ska Marta Schodzi ska Ewa Fonkowicz Andrzej Gudowski Studio Kozak istockphoto.com/artvea Ta ksi ka jest wspólnym dzie em twórcy i wydawcy. Prosimy, by przestrzega przys uguj cych im praw. Ksi k mo esz udost pni osobom bliskim lub osobi cie znanym, ale nie publikuj jej w internecie. Je li cytujesz fragmenty, nie zmieniaj ich tre ci i koniecznie zaznacz, czyje to dzie o. A je li musisz skopiowa cz, rób to jedynie na u ytek osobisty. SZANUJMY PRAWO I W ASNO Wi cej na www.legalnakultura.pl POLSKA IZBA KSI KI
Spis treści Wykaz skrótów... 9 Część I Komentarze praktyczne...11 Rozdział 1 Ochrona danych osobowych w procesie rekrutacji... 13 1. Proces rekrutacji. Zakres uprawnień i obowiązków pracodawcy związanych z gromadzeniem, przetwarzaniem oraz weryfikowaniem danych osobowych kandydatów do pracy...14 1.1. Zakres danych, informacji i dokumentów pozyskiwanych od osób uczestniczących w procesie rekrutacji...14 1.2. Wyrażenie zgody na przetwarzanie danych osobowych... 19 1.3. Powierzanie przetwarzania danych osobowych osób rekrutowanych do pracy zewnętrznemu podmiotowi... 23 1.4. Weryfikowanie opinii za pośrednictwem byłego pracodawcy... 23 1.5. Zwracanie się do Krajowego Rejestru Karnego... 26 1.6. Przeprowadzanie testów... 27 2. Zakończenie procesu rekrutacji przechowywanie danych osobowych w postaci CV i listów motywacyjnych kandydatów, których pracodawca nie zatrudnił... 28
Spis treści 3. Odpowiedzialność pracodawcy za ujawnienie danych osobowych kandydata do pracy... 30 Rozdział 2 Obowiązki pracodawcy jako administratora danych osobowych... 33 1. Przesłanki dopuszczalności przetwarzania danych osobowych... 33 1.1. Udostępnianie danych... 36 2. Zasady przetwarzania danych osobowych (art. 26 u.o.d.o.)... 37 2.1. Zasada celowości... 37 2.2. Zasada adekwatności... 37 2.3. Zasada czasowości... 38 3. Dopełnienie obowiązku informacyjnego... 38 4. Umowa powierzenia przetwarzania danych osobowych... 39 5. Bierny obowiązek informacyjny udzielanie informacji na wniosek podmiotu danych (art. 32 u.o.d.o.)... 41 6. Rejestracja zbiorów w GIODO... 42 7. Dopełnienie obowiązku zabezpieczenia danych od strony formalno-organizacyjnej, fizycznej i technicznej... 43 Rozdział 3 Skuteczność zgody pracownika na przetwarzanie danych osobowych... 46 1. Zgoda jako jedna z przesłanek przetwarzania danych... 47 2. Specyfika zgody na przetwarzanie danych przez pracownika... 49 3. Możliwość odwołania zgody... 53 Rozdział 4 Rozpowszechnianie wizerunku pracownika... 55 1. Dobra osobiste pracownika... 55 2. Imię i nazwisko oraz wizerunek pracownika jako jego dobra osobiste... 56 2.1. Wykorzystanie imienia i nazwiska pracownika... 56 2.2. Wykorzystanie wizerunku pracownika... 58
Spis treści 2.2.1. Pojęcie wizerunku... 58 2.2.2. Wykorzystanie wizerunku za zgodą pracownika... 58 2.2.3. Przypadki, w których wizerunek może być wykorzystany bez zgody pracownika... 60 3. Konsekwencje naruszenia dóbr osobistych pracownika... 61 Rozdział 5 Administrator bezpieczeństwa informacji w zakładzie pracy... 63 1. Kim jest administrator bezpieczeństwa informacji (ABI)?... 63 2. Zadania administratora bezpieczeństwa informacji... 68 3. Sprawdzenie zgodności przetwarzania danych osobowych oraz sprawozdania... 69 4. Nadzorowanie opracowania i aktualizowania dokumentacji... 73 5. Prowadzenie rejestru zbiorów danych przetwarzanych przez administratora danych...74 6. Podsumowanie... 76 Część II Pytania i odpowiedzi... 79 1. Obowiązki w zakresie danych osobowych na etapie rekrutacji... 81 2. Obowiązki pracodawcy w zakresie danych osobowych... 84 3. Akta osobowe...101 Część III Wzory dokumentów...119 Część IV Akty prawne... 129 Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych...131
Wykaz skrótów k.c. k.p. k.p.c. r.k.k.d. r.s.a.d. r.t.p.o. r.z.p.p.d. u.k.r.k. u.n.z.a. ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny (tekst jedn.: Dz. U. z 2014 r. poz. 121 z późn. zm.) ustawa z dnia 26 czerwca 1974 r. Kodeks pracy (tekst jedn.: Dz. U. z 2014 r. poz. 1502) ustawa z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (tekst jedn.: Dz. U. z 2014 r. poz. 101) rozporządzenie Ministra Kultury i Dziedzictwa Narodowego z dnia 20 października 2015 r. w sprawie klasyfikowania i kwalifikowania dokumentacji, przekazywania materiałów archiwalnych do archiwów państwowych i brakowania dokumentacji niearchiwalnej rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych (Dz. U. z 2015 poz. 719) rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji rozporządzenie Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. Nr 62, poz. 286 z późn. zm.) ustawa z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym (tekst jedn.: Dz. U. z 2015 r. poz. 1036 z późn. zm.) ustawa z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach
10 Wykaz skrótów u.o.d.o. ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn.: Dz. U. z 2014 r. poz. 1182 z późn. zm.) u.o.o.m. ustawa o ochronie osób i mienia (tekst jedn.: Dz. U. z 2014 r. poz. 1099 z późn. zm.) u.p.a. ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (tekst.: Dz. U. z 2006 r. Nr 90, poz. 631) u.s.u.s. z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (tekst jedn.: Dz. U. z 2015 r. poz. 121) u.ś.p. ustawa z dnia 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa (tekst jedn.: Dz. U. z 2014 r. poz. 159)
11 Część I Komentarze praktyczne
12
13 Małgorzata Skibińska Rozdział 1 Ochrona danych osobowych w procesie rekrutacji Trudna sytuacja na rynku pracy powoduje, iż wiele osób poszukujących pracy decyduje się na przesyłanie swoich danych osobowych w postaci curriculum vitae, listu motywacyjnego czy też innych dokumentów różnym firmom poszukującym pracowników, często bez zastanowienia i sprawdzenia, co będzie się działo z ich danymi, ale też braku gwarancji, że dane nie zostaną wykorzystane przez osoby nieuprawnione. Z drugiej strony pracodawcy otrzymując setki CV na dane ogłoszenie o pracę, zapominają zarówno o sprawdzeniu, czy kandydat zawarł klauzulę o wyrażeniu zgody na przetwarzanie danych, jak i o zniszczeniu danych po zakończeniu procesu rekrutacji. Należy jednak zaznaczyć, iż świadomość zarówno osób poszukujących pracy, jak i firm poszukujących pracowników jest w tej chwili o wiele większa niż kilka, kilkanaście lat wcześniej, choć nadal wiele przepisów dotyczących ochrony danych osobowych wymaga doprecyzowania. Artykuły prasowe, wywiady oraz oświadczenia Generalnego Inspektora Ochrony Danych Osobowych (GIODO) zwracające uwagę na temat danych osobowych spowodowały, że kandydaci do pracy oraz pracownicy są świadomi wartości swoich danych osobowych, a pracodawcy są świadomi konsekwencji niezgodnego z prawem wykorzystania danych osobowych.
14 Część I. Komentarze praktyczne Kandydaci do pracy i pracodawcy powinni pamiętać, iż przebieg procesu rekrutacyjnego, w tym dostarczanie przez kandydatów do pracy licznych dokumentów, np. CV, listów motywacyjnych, kserokopii certyfikatów, dyplomów ukończenia studiów wyższych, studiów podyplomowych, zostały szczegółowo uregulowane w obowiązujących przepisach prawnych. 1. Proces rekrutacji. Zakres uprawnień i obowiązków pracodawcy związanych z gromadzeniem, przetwarzaniem oraz weryfikowaniem danych osobowych kandydatów do pracy 1.1. Zakres danych, informacji i dokumentów pozyskiwanych od osób uczestniczących w procesie rekrutacji Przepis art. 22 1 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (tekst jedn.: Dz. U. z 2014 r. poz. 1502 z późn. zm.) dalej k.p., oraz 1 ust. 1 i 2 rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. Nr 62, poz. 286 z późn. zm.) dalej r.z.p.p.d., wyraźnie definiują, jakich danych, informacji oraz dokumentów może żądać pracodawca od osoby ubiegającej się o pracę. Zgodnie z powyższymi regulacjami pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących: imię (imiona) i nazwisko, imiona rodziców, datę urodzenia, miejsce zamieszkania (adres do korespondencji), wykształcenie, przebieg dotychczasowego zatrudnienia.
Rozdział 1. Ochrona danych osobowych w procesie rekrutacji 15 Zgodnie z art. 22 1 3 k.p. udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której one dotyczą. Pracodawca ma prawo żądać udokumentowania danych osobowych. Jednak oświadczenie, o którym mowa powyżej, nie może być utożsamiane z wyrażeniem zgody na przetwarzanie danych osobowych. Pracodawca może również poprosić kandydata o następujące dokumenty: wypełniony kwestionariusz osobowy dla osoby ubiegającej się o zatrudnienie, świadectwa pracy z poprzednich miejsc pracy lub inne dokumenty potwierdzające okresy zatrudnienia, obejmujące okresy pracy przypadające w roku kalendarzowym, w którym pracownik ubiega się o zatrudnienie, dokumenty potwierdzające kwalifikacje zawodowe, wymagane do wykonywania oferowanej pracy, świadectwo ukończenia gimnazjum w przypadku osoby ubiegającej się o zatrudnienie w celu przygotowania zawodowego, orzeczenie lekarskie stwierdzające brak przeciwwskazań do pracy na określonym stanowisku, inne dokumenty, jeżeli obowiązek ich przedłożenia wynika z odrębnych przepisów. W kategorii inne dokumenty kryje się wiele różnych dodatkowych dokumentów, jednakże uprawnienie do ich żądania przysługuje pracodawcy wyłącznie z mocy przepisów prawa. Ten przepis nie może być dowolnie przez pracodawców interpretowany i rozszerzany w zależności od potrzeb. Żądanie od kandydata do pracy danych, informacji oraz dokumentów innych niż wymienione powyżej oraz takich, co do których nie ma obowiązku przedłożenia, może naruszać dobra osobiste kandydata do pracy. Należy zwrócić uwagę na fakt, iż nawet w przypadku, gdy pracodawca nie jest uprawniony do gromadzenia informacji, a podjął działania, w wyniku których uzyskał zgodę kandydata do pracy, jego działanie nie jest zgodne z prawem. Stanowisko NSA, wyrok z dnia 1 grudnia 2009 r., I OSK 249/09, ONSAiWSA 2011/2/39, wyraźnie wskazuje,