Ochrona danych osobowych w pracy — prawa pracownika

Dane osobowe praca to temat, który dotyczy każdego zatrudnionego — niezależnie od branży i wielkości firmy. Pracodawca przetwarza nasze dane od momentu rekrutacji aż po lata po zakończeniu stosunku pracy, a zakres tych informacji jest szerszy, niż większość pracowników zdaje sobie sprawę. Imię i nazwisko to tylko wierzchołek góry lodowej — pracodawcy zbierają dane o zdrowiu, wynagrodzeniu, lokalizacji, a nierzadko monitorują też aktywność na służbowych urządzeniach. Wiedza o tym, co jest zgodne z prawem, a co stanowi naruszenie Twoich praw, ma realne znaczenie dla codziennego komfortu i bezpieczeństwa w pracy.

Jakie dane osobowe może zbierać pracodawca i na jakiej podstawie

Zakres danych, które pracodawca ma prawo przetwarzać, precyzuje zarówno RODO, jak i polska ustawa o ochronie danych osobowych oraz Kodeks pracy. Pracodawca nie działa tu dowolnie — każda kategoria przetwarzanych informacji musi mieć oparcie w konkretnej podstawie prawnej.

Dane wymagane przepisami Kodeksu pracy

Podczas rekrutacji pracodawca może żądać wyłącznie danych wyraźnie wskazanych w art. 22¹ Kodeksu pracy. Należą do nich: imię i nazwisko, data urodzenia, dane kontaktowe, wykształcenie, przebieg dotychczasowego zatrudnienia. Żądanie numeru PESEL jest dopuszczalne dopiero po zatrudnieniu — na etapie rekrutacji pracodawca nie ma do tego prawa.

Po podpisaniu umowy lista danych się poszerza. Pracodawca przetwarza numer rachunku bankowego, NIP (przy umowach B2B), dane do ZUS i urzędu skarbowego, informacje o przynależności do związków zawodowych (o ile pracownik sam je ujawni), a w określonych przypadkach — dane o stanie zdrowia. Te ostatnie należą do kategorii danych wrażliwych i mogą być przetwarzane wyłącznie w ściśle określonych sytuacjach, np. przy ocenie zdolności do pracy na konkretnym stanowisku.

Zgoda pracownika jako podstawa przetwarzania

Zgoda pracownika na przetwarzanie danych to w praktyce najbardziej problematyczna podstawa prawna w środowisku pracy. RODO pracownik — i to warto zapamiętać — nie musi wyrażać zgody dobrowolnie, gdy rzeczywistość pokazuje wyraźną nierównowagę sił między nim a pracodawcą. Europejska Rada Ochrony Danych wprost wskazuje, że zgoda pracownika rzadko bywa dobrowolna w prawnym rozumieniu, bo odmowa może się wiązać z negatywnymi konsekwencjami.

Oznacza to, że pracodawca nie powinien opierać przetwarzania danych służbowych na zgodzie tam, gdzie ma do dyspozycji inną podstawę, np. wykonanie umowy lub obowiązek prawny. Jeśli pracodawca prosi Cię o zgodę na przetwarzanie danych, masz prawo zapytać, dlaczego nie korzysta z innej podstawy i co się stanie, jeśli zgody odmówisz.

Monitoring w pracy — gdzie kończy się kontrola, a zaczyna inwigilacja

Monitoring w pracy jest jednym z najbardziej drażliwych aspektów stosunku pracy. Pracodawca ma prawo kontrolować efektywność pracowników, ale ta kontrola ma wyraźne granice wyznaczone przez przepisy.

Dozwolone formy monitoringu według Kodeksu pracy

Od 2019 roku Kodeks pracy reguluje monitoring pracowników bezpośrednio. Pracodawca może prowadzić monitoring wizyjny (kamery), monitoring poczty elektronicznej oraz inne formy monitoringu aktywności na urządzeniach służbowych. Każda z tych form wymaga spełnienia kilku warunków:

• Cel monitoringu musi być konkretny i uzasadniony — np. zapewnienie bezpieczeństwa mienia lub kontrola czasu pracy.
• Pracodawca musi poinformować pracowników o stosowaniu monitoringu przed jego uruchomieniem, a nowo zatrudnionych — przed dopuszczeniem do pracy.
• Nagrania z kamer nie mogą być przechowywane dłużej niż 3 miesiące od daty nagrania, chyba że stanowią dowód w postępowaniu.
• Kamery nie mogą obejmować pomieszczeń sanitarnych, szatni, stołówek ani pomieszczeń przeznaczonych do odpoczynku.
• Monitoring poczty służbowej nie może naruszać tajemnicy korespondencji i dóbr osobistych pracownika.

Nagrywanie rozmów pracowników bez ich wiedzy co do zasady narusza przepisy — zarówno Kodeksu pracy, jak i ustawy o ochronie danych osobowych.

GPS i monitoring poza miejscem pracy

Coraz więcej pracodawców śledzi lokalizację pojazdów służbowych lub urządzeń mobilnych. GPS w samochodzie służbowym jest dopuszczalny, gdy pracodawca poinformował o tym pracownika i cel monitoringu jest uzasadniony (np. zarządzanie flotą, rozliczanie czasu pracy w terenie). Śledzenie lokalizacji pracownika poza godzinami pracy — np. przez całą dobę — narusza prywatność biuro i prywatność poza nim i nie ma podstawy prawnej.

Prywatność biuro to skrót myślowy, ale odnosi się do szerszego zagadnienia: pracownik zachowuje prawo do prywatności nawet w miejscu pracy. Pracodawca nie może zaglądać do prywatnych wiadomości wysłanych ze służbowego telefonu w przerwie lunchowej, jeśli uprzednio nie zastrzegł w regulaminie, że takie korzystanie jest zakazane i objęte kontrolą.

Prawa pracownika wynikające z RODO — co Ci przysługuje

RODO pracownik obdarza szerokim katalogiem uprawnień względem administratora danych, którym jest pracodawca. Te prawa nie są teorią — można z nich korzystać w praktyce, składając pisemny wniosek do działu HR lub bezpośrednio do inspektora ochrony danych (IOD), jeśli firma go powołała.

Jako pracownik masz prawo do:

• Dostępu do danych — możesz zażądać kopii wszystkich danych osobowych, które pracodawca przetwarza na Twój temat, wraz z informacją o celu i podstawie prawnej przetwarzania.
• Sprostowania danych — jeśli Twoje dane są nieprawidłowe lub nieaktualne, pracodawca ma obowiązek je poprawić na Twoje żądanie.
• Usunięcia danych — w pewnych przypadkach możesz żądać usunięcia danych, jednak przy stosunku pracy prawo to jest mocno ograniczone przez inne przepisy (np. obowiązki archiwizacyjne).
• Ograniczenia przetwarzania — możesz wnioskować o wstrzymanie aktywnego przetwarzania danych do czasu wyjaśnienia sporu co do ich prawidłowości.
• Sprzeciwu wobec przetwarzania — gdy podstawą przetwarzania jest uzasadniony interes pracodawcy, możesz wyrazić sprzeciw, jeśli Twoja sytuacja na to uzasadnienie nie pozwala.

Pracodawca ma 30 dni na odpowiedź. Jeśli sprawa jest złożona, termin może wydłużyć się do 3 miesięcy, ale musisz otrzymać o tym informację przed upływem pierwszego miesiąca.

Naruszenia ochrony danych w pracy — co robić i dokąd się zgłosić

Gdy masz uzasadnione podejrzenie, że pracodawca przetwarza Twoje dane osobowe niezgodnie z prawem, masz kilka ścieżek postępowania. Znajomość tych ścieżek sprawia, że nie jesteś bezradny nawet wobec dużego pracodawcy.

Zgłoszenie do Inspektora Ochrony Danych w firmie

Pierwszym krokiem powinno być skontaktowanie się z IOD, jeśli firma go wyznaczyła. Duże przedsiębiorstwa i podmioty przetwarzające dane wrażliwe w dużych ilościach mają obowiązek powołania IOD. Jego dane kontaktowe pracodawca ma obowiązek udostępnić pracownikom — zazwyczaj w regulaminie pracy lub na intranecie.

IOD działa niezależnie od zarządu i nie może być zwolniony ani karany za rzetelne pełnienie swojej funkcji. Zgłoszenie do IOD często rozwiązuje problem szybciej niż droga zewnętrzna, bez eskalacji i bez narażania relacji z pracodawcą na szwank.

Skarga do Prezesa UODO

Jeśli kontakt z IOD nie przyniósł rezultatu lub firma go nie wyznaczyła, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO). Skarga jest bezpłatna i można ją złożyć przez formularz online lub tradycyjnie, pisemnie. Prezes UODO ma uprawnienia do przeprowadzenia kontroli u pracodawcy i nałożenia administracyjnych kar pieniężnych — maksymalnie do 20 milionów euro lub 4% rocznego obrotu firmy.

Warto dokumentować potencjalne naruszenia przed złożeniem skargi: zachowywać wiadomości e-mail, robić zrzuty ekranu, notować daty i okoliczności zdarzeń. Skarga ogólna („pracodawca robi coś złego”) jest trudna do rozpatrzenia — konkretne fakty to podstawa skutecznego postępowania.

Naruszenie ochrony danych może być też podstawą roszczenia o zadośćuczynienie na drodze cywilnej, jeśli spowodowało realną szkodę — materialną lub niematerialną. Sądy w Polsce i krajach UE coraz częściej zasądzają odszkodowania w takich sprawach, choć kwoty zależą od okoliczności konkretnej sprawy.

Dane osobowe po zakończeniu zatrudnienia — jak długo pracodawca je przechowuje

Stosunek pracy się kończy, ale dane osobowe nie znikają razem z wypowiedzeniem. Pracodawca ma obowiązek przechowywać akta pracownicze przez ściśle określony czas, wynikający z przepisów o ubezpieczeniach społecznych i Kodeksu pracy.

Dla pracowników zatrudnionych od 1 stycznia 2019 roku dokumentacja pracownicza jest przechowywana przez 10 lat od końca roku kalendarzowego, w którym stosunek pracy ustał. Dla wcześniej zatrudnionych — nierzadko przez 50 lat, choć nowelizacja przepisów stworzyła możliwość skrócenia tego okresu do 10 lat przy spełnieniu określonych warunków.

Po upływie okresu przechowywania pracodawca ma obowiązek usunąć dane lub je zanonimizować. Jeśli jednak Twoje dane są przetwarzane po upływie wymaganego okresu — w celach marketingowych, do kontaktu w sprawie innych propozycji pracy bez Twojej zgody — masz pełne prawo żądać ich usunięcia, a RODO daje Ci konkretne narzędzia, by to wyegzekwować.

Warto pamiętać, że po zakończeniu zatrudnienia zachowujesz wszystkie prawa podmiotów danych przewidziane przez RODO. Były pracodawca nadal jest administratorem Twoich danych przez czas przechowywania dokumentacji i musi odpowiedzieć na każdy Twój wniosek w ustawowym terminie. Dane osobowe praca to temat, który nie kończy się wraz z ostatnim dniem w biurze.