Dane osobowe pracowników w starych aktach osobowych a przepisy rozporządzenia RODO i nowej ustawy o ochronie danych osobowych
Obowiązek prowadzenia akt osobowych pracowników oraz dokumentacji pracowniczej jest jednym z podstawowych obowiązków pracodawców (art. 94 ust. 9a kodeksu pracy). Od 1 stycznia 2019 roku pracodawca będzie mógł wybrać, czy dokumentację pracowniczą, w tym akta osobowe pracowników, prowadzi w formie papierowej czy elektronicznej. Jedna i druga forma prowadzenia tej dokumentacji pracowniczej (akta osobowe papierowe i elektroniczne) wymagają od pracodawcy zapewnienia, że dane osobowe pracowników, pozyskane w procesie rekrutacji i w trakcie zatrudnienia są odpowiednio przetwarzane. Samo pojęcie przetwarzania w świetle regulacji RODO jest dość szerokie, w szczególności przechowywanie dokumentów z danymi osobowymi już samo w sobie jest przetwarzaniem danych osobowych. Powstaje zatem pytanie, co zrobić z dokumentami, które zostały zawarte w aktach osobowych pracowników jeszcze przed powszechnym wejściem w życie przepisów rozporządzenia RODO (przed 25 maja 2018 roku). Czy jeśli dokumenty te zawierają więcej danych, niż pozwala na to RODO, to czy trzeba je z akt osobowych usunąć?
Dane osobowe pracowników w starych aktach osobowych
Z obowiązkiem prowadzenia dokumentacji pracowniczej i akt osobowych pracowników wiąże się obowiązek pozyskania szeregu dokumentów (umów z poprzednich zakładów pracy, świadectw pracy, dyplomów, kserokopii certyfikatów i zaświadczeń itp.), w których zawarte są dane osobowe pracowników. W pierwszej kolejności należy zwrócić uwagę, iż przedłożone przez pracownika dokumenty mogą zawierać dane osobowe w zakresie szerszym niż pracodawca może pozyskać – mogą zawierać dane osobowe, które z punktu widzenia zatrudnienia czy przebiegu zatrudnienia są pracodawcy zbędne. Należy pamiętać o tym, że RODO wprowadziło zasadę minimalizacji danych osobowych – pracodawca powinien gromadzić wyłącznie te dane osobowe, które są mu rzeczywiście niezbędne do prawidłowej realizacji przebiegu zatrudnienia i obowiązków wobec organów państwowych (zgłoszenie do ubezpieczeń w ZUS, sporządzenie deklaracji PIT itp.).
O tym, jakich danych pracodawca może wymagać od osoby ubiegającej się o zatrudnienie czy pracownika, decyduje treść art. 22(1) kodeksu pracy. Stosownie do powołanego przepisu od osoby ubiegającej się o zatrudnienie pracodawca może żądać takich danych osobowych, jak imię i nazwisko, imiona rodziców, data urodzenia, miejsce zamieszkania czy adres do korespondencji, wykształcenie, przebieg dotychczasowego zatrudnienia. Z kolei od pracownika (a więc od osoby już zatrudnionej) pracodawca może żądać powyższych danych osobowych plus dodatkowo imion i nazwisk oraz dat urodzenia dzieci, numeru PESEL, a od 1 stycznia 2019 roku również numeru rachunku bankowego, jeśli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych (w gotówce).
Oprócz wskazanych powyżej danych osobowych pracodawca może żądać od osoby ubiegającej się o zatrudnienie czy od pracownika szeregu dokumentów, które również mogą zawierać dane osobowe pracowników. Zgodnie z §1 rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 roku w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika pracodawca może żądać wypełnionego kwestionariusza osobowego, świadectw pracy z poprzednich zakładów pracy, dokumentów potwierdzających kwalifikacje zawodowe, świadectwa ukończenia gimnazjum, orzeczenia lekarskiego, a także innych dokumentów, jeśli obowiązek ich przedłożenia wynika z przepisów szczególnych. W praktyce może okazać, się, że takie dokumenty pracodawca pozyskał od pracownika już wiele lat temu, załączył je do akt osobowych, a dopiero potem zmieniły się przepisy oraz weszło w życie rozporządzenie RODO i nagle okazuje się, że zakres danych osobowych w tych dokumentach jest szerszy niż dopuszczalny obecnie.
Czy usuwać z akt osobowych dokumenty ze zbędnymi danymi osobowymi?
Aby ustalić, czy określone dokumenty z akt osobowych usunąć, czy nie, należy zwrócić uwagę na fakt, kiedy w ogóle przetwarzanie danych osobowych jest dopuszczalne i w jakim zakresie. Przetwarzanie danych osobowych jest dopuszczalne m.in. jeśli osoba fizyczna, której dane dotyczą, wyrazi na to zgodę, jeśli jest ono niezbędne do wykonania umowy, której stroną jest osoba fizyczna, której z kolei dane osobowe dotyczą, a także jeśli jest to uzasadnione obowiązkami administratora danych (czyli np. obowiązkami zgłoszeniowymi). Co do zasady zatem do przetwarzania danych osobowych pracowników nie jest wymagana oddzielna zgoda, w szczególności pisemna. Pracodawca ma bowiem podstawę prawną (przepis art. 22(1) kodeksu pracy) pozwalającą mu na pozyskanie i przetwarzanie danych osobowych. Zgoda pracownika jest natomiast wymagana (najlepiej w formie pisemnej), jeśli pozyskany przez pracodawcę zakres danych osobowych, w tym danych zalegających w „starych” aktach osobowych jest szerszy niż zakres, wskazany w art. 22(1) kodeksu pracy.
Jeśli okazuje się, że w aktach osobowych zalegają dokumenty, zawierające szerszy zakres danych osobowych niż pozwalają na to obecnie obowiązujące przepisy, to takich dokumentów nie trzeba z akt osobowych usuwać. To bardzo ważne – jeśli w aktach osobowych są dokumenty, które powstały przed wejściem w życie przepisów rozporządzenia RODO, to one nadal w aktach osobowych mogą zostać. Nawet, jeśli zakres danych osobowych w nich zawartych jest szerszy niż na to pozwalają przepisy obowiązujące obecnie.
Najważniejsze jest, aby zakres danych osobowych, pozyskanych w przeszłości, był zgodny z tym, na co pozwalały przepisy obowiązujące w chwili pozyskania tych danych. Przykładowo, jeśli w aktach osobowych pracownika znajdują się dokumenty, które przedłożył on np. w 1993 roku, to dokumenty te w aktach osobowych mogą zostać, pod warunkiem, że zostały pozyskane zgodnie z przepisami obowiązującymi w 1993 roku. Nie ma potrzeby „działania w panice” i przeglądania każdych akt osobowych pod kątem tego, czy zawarte w nich dokumenty spełniają kryteria obowiązujące obecnie. Ważne, że spełniały kryteria przepisów obowiązujących w czasie ich pozyskania.
Oczywiście obecnie, pod rządami rozporządzenia RODO i nowej polskiej ustawy o ochronie danych osobowych od pracowników można pozyskiwać jedynie te dokumenty i dane osobowe, na które pozwala przepis art. 22(1) kodeksu pracy oraz przepisy rozporządzenia o aktach osobowych i przepisy szczególne. W praktyce zatem, jeśli pracownik np. ubiegając się o udzielenie mu urlopu okolicznościowego na ślub składa stosowny wniosek i do wniosku dołącza kopię aktu małżeństwa, to ta kopia aktu małżeństwa nie powinna zostać załączona do akt osobowych, gdyż zawiera szersze dane osobowe, niż pracodawca może od pracownika żądać, a których pracodawca nie powinien przetwarzać (dane osobowe małżonka). Wystarczające będzie zatem, aby pracownik jedynie okazał ten akt małżeństwa, a na wniosku pracownika można dopisać numer tego aktu.
Konkludując – jeśli pracodawca w chwili pozyskania określonych dokumentów z określonymi danymi osobowymi miał podstawę do ich pozyskania i przetwarzania, to dokumenty te (dane osobowe) mogą w aktach osobowych pracowników pozostać. Nie może jednak obecnie pozyskiwać danych, które zawierają zakres danych osobowych szerszy niż pozwalają na to obecnie obowiązujące przepisy.
Więcej informacji na ten temat w naszym szkoleniu online: Szkolenie „Inspektor Ochrony Danych – ochrona danych
osobowych w zakładzie pracy”. Szkolenie w całości odbywa się przez internet, uwzględnia obecnie obowiązujące przepisy, zawiera wszelkie niezbędne wzory pism, formularzy itp., przydatnych w codziennej praktyce kadrowej.
