Dr Jacek Borowicz

PRZEWTARZANIE DANYCH CHRONIONYCH W RAMACH STOSUNKU PRACY  Tajemnica pracodawcy  Tajemnica przedsiębiorcy  Informacje niejawne  Dane osobowe  Tajemnice sektorowe

Z ZAGADNIEŃ PRZETWARZANIA PRACOWNICZYCH DANYCH OSOBOWYCH

4 Prawo pracy i prawo ochrony danych osobwych Podstawy prawne przetwarzania pracowniczych danych osobowych  KONSTYTUCJA RP: art. 51  KODEKS PRACY: art. 22 z ind.1.  USTAWA Z DNIA 29 SIERPNIA 1997 R. O OCHRONIE DANYCH OSOBOWYCH  INNE USTAWOWE PRZEPISY O OCHRONIE DANYCH OSOBOWYCH  PRZEPISY WYKONAWCZE

 Art Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby. 2. Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym.

 Art. 51.  Każdy ma prawo dostępu do dotyczących go urzędowych dokumentów i zbiorów danych. Ograniczenie tego prawa może określić ustawa.  4. Każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą.  5. Zasady i tryb gromadzenia oraz udostępniania informacji określa ustawa.

7 Przepisy wykonawcze ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.

8 Przepisy wykonawcze ROZPORZĄDZENIE MINISTRA ADMINISTRACJI I CYFRYZACJI z dnia 10 grudnia 2014 r. w sprawie wzorów zgłoszeń powołania i odwołania administratora bezpieczeństwa informacji

9 Przepisy wykonawcze ROZPORZĄDZENIE MINISTRA ADMINISTRACJI I CYFRYZACJI z dnia 11 maja 2015 r. w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych

10 Przepisy wykonawcze ROZPORZĄDZENIE MINISTRA ADMINISTRACJI I CYFRYZACJI z dnia 11 maja 2015 r. w sprawie trybu i sposobu realizacji zadań w celu zapewniania przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji

11 Przepisy wykonawcze - Prawo Pracy ROZPORZĄDZENIE MINISTRA PRACY I POLITYKI SOCJALNEJ z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika.

12 Prawo Pracy USTAWA Z DNIA 29 SIERPNIA 1997 R. O OCHRONIE DANYCH OSOBOWYCH

13 Prawo Pracy Art Każdy ma prawo do ochrony dotyczących go danych osobowych. Art Przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą.

14 Prawo Pracy Art Ustawa określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych.

15 Prawo Pracy Art Ustawę stosuje się do przetwarzania danych osobowych: 1) w kartotekach, skorowidzach, księgach, wykazach i w innych zbiorach ewidencyjnych; 2) w systemach informatycznych, także w przypadku przetwarzania danych poza zbiorem danych.

16 Prawo Pracy Art Ustawę stosuje się do organów państwowych, organów samorządu terytorialnego oraz do państwowych i komunalnych jednostek organizacyjnych.

17 Prawo Pracy Art Ustawę stosuje się również do: 1) podmiotów niepublicznych realizujących zadania publiczne, 2) osób fizycznych i osób prawnych oraz jednostek organizacyjnych niebędących osobami prawnymi, jeżeli przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych

18 Prawo Pracy Podstawowe pojęcia z zakresu ochrony danych osobowych

19 Prawo Pracy DANE OSOBOWE : 1/wszelkie informacje dotyczące 2/osoby fizycznej 3/zidentyfikowanej lub 4/możliwej do zidentyfikowania

20 Prawo Pracy KIEDY OSOBA JEST UWAŻANA JEST ZA MOŻLIWĄ DO IDENTYFIKACJI?

21 Prawo Pracy Kiedy jej tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy:  fizyczne,  fizjologiczne,  umysłowe,  ekonomiczne,  kulturowe lub  społeczne.

22 Prawo Pracy Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to:  nadmiernych kosztów,  czasu  działań.

23 Prawo Pracy TZW. WRAŻLIWE DANE OSOBOWE dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym.

24 Prawo Pracy PODSTAWOWE POJĘCIA  zbiór danych osobowych  przetwarzanie danych osobowych  system informatyczny  usuwanie danych osobowych  administrator danych osobowych  zgoda na przetwarzanie danych osobowych

25 Prawo Pracy DOPUSZCZALNOŚĆ PRZETWARZANIA DANYCH OSOBOWYCH

26 Prawo Pracy KLAUZULA ZGODY - osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych,

27 Prawo Pracy PRZEPIS PRAWA - jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,

28 Prawo Pracy ALBO - jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, ALBO - jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,

29 Prawo Pracy ALBO - jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

30 Prawo Pracy Za prawnie usprawiedliwiony cel, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych, 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej

31 Prawo Pracy WZGLĘDNY ZAKAZ PRZETWARZANIA WRAŻLIWYCH DANYCH OSOBOWYCH Nie wolno ich przetwarzać chyba, że…

32 Prawo Pracy KLAUZLA ZGODY - osoba, której dane dotyczą, wyrazi na to zgodę na piśmie, chyba że chodzi o usunięcie dotyczących jej danych,

33 Prawo Pracy UPOWAŻNIENIE USTAWOWE - przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony,

34 Prawo Pracy ZATRUDNIENIE - przetwarzanie jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie,

35 Prawo Pracy POSTĘPOWANIE SĄDOWE - przetwarzanie dotyczy danych, które są niezbędne do dochodzenia praw przed sądem,

36 Prawo Pracy OCHRONA INTERESÓW OSOBY FIZYCZNEJ - przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, gdy osoba, której dane dotyczą, nie jest fizycznie lub prawnie zdolna do wyrażenia zgody, do czasu ustanowienia opiekuna prawnego lub kuratora,

37 Prawo Pracy - jest to niezbędne do wykonania statutowych zadań kościołów i innych związków wyznaniowych, stowarzyszeń, fundacji lub innych niezarobkowych organizacji lub instytucji o celach politycznych, naukowych, religijnych, filozoficznych lub związkowych, pod warunkiem, że przetwarzanie danych dotyczy wyłącznie członków tych organizacji lub instytucji albo osób utrzymujących z nimi stałe kontakty w związku z ich działalnością i zapewnione są pełne gwarancje ochrony przetwarzanych danych,

38 Prawo Pracy - przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych, - przetwarzanie dotyczy danych, które zostały podane do wiadomości publicznej przez osobę, której dane dotyczą,

39 Prawo Pracy - jest to niezbędne do prowadzenia badań naukowych (…) - przetwarzanie danych jest prowadzone przez stronę w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym.

40 Prawo Pracy REJESTRACJA ZBIORÓW DANYCH OSOBOWYCH

41 Prawo Pracy Administrator danych osobowych jest obowiązany zgłosić zbiór danych do rejestracji Generalnemu Inspektorowi. Jakieś wyjątki?

42 Prawo Pracy Szereg wyjątków od obowiązku rejestracji, w tym : Zbiory danych przetwarzanych w związku z zatrudnieniem u administratorów danych osobowych, świadczeniem im usług na podstawie umów cywilnoprawnych, a także dotyczących osób u nich zrzeszonych lub uczących się,

43 Prawo Pracy …a co z danymi osobowych kandydatów do pracy, których do tejże pracy nie przyjęto?

44 Prawo Pracy PRZETWARZANIE DANYCH OSOBOWYCH W ZWIĄZKU Z ZATRUDNIANIEM PRACOWNIKÓW W ROZUMIENIU KODEKSU PRACY Art. 22 z ind.1 k.p.

45 Prawo Pracy Art. 22 z ind.1. § 1. Pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych… Art. 22 z ind.1. § 2. Pracodawca ma prawo żądać od pracownika podania danych osobowych… Obowiązek kandydtat/pracownika? Upoważnienie pracodawcy?

46 Prawo Pracy Obowiązek kandydata/pracownika? NIE! Upoważnienie dla pracodawcy? TAK!

47 Prawo Pracy gromadzenie danych musi być adekwatne do celu (co do swego zakresu, metod i czasu ) ZWIĄZEK Z ZATRUDNIENIEM

48 Prawo Pracy Zakres danych osobowych:  kandydata do pracy  pracownika

49 Prawo Pracy Art. 22 z ind.1. § 1. Pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych: obejmujących: 1) imię (imiona) i nazwisko, 2) imiona rodziców, 3) datę urodzenia, 4) miejsce zamieszkania (adres do korespondencji), 5) wykształcenie, 6) przebieg dotychczasowego zatrudnienia. CZEGO TUTAJ NIE MA?

Dane o karalności W świetle art. 22[1] kp żądanie od osoby ubiegającej się o zatrudnienie (pracownika) informacji o jej karalności jest bezprawne. Pozyskanie informacji z KRK przez pracodawcę jest dopuszczalne tylko wtedy, gdy ma on w tym usprawiedliwiony interes. ALE… 50

Ustawa z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym Art Prawo do uzyskania informacji o osobach, których dane osobowe zgromadzone zostały w Rejestrze, przysługuje (…) 10) pracodawcom, w zakresie niezbędnym dla zatrudnienia pracownika, co do którego z przepisów ustawy wynika wymóg niekaralności, korzystania z pełni praw publicznych, a także ustalenia uprawnienia do zajmowania określonego stanowiska, wykonywania określonego zawodu lub prowadzenia określonej działalności gospodarczej; 51

Ustawa z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym Art Każdemu przysługuje prawo do uzyskania informacji, czy jego dane osobowe zgromadzone są w Rejestrze. Osobie, której dane osobowe znajdują się w zbiorach danych zgromadzonych w Rejestrze, na jej wniosek, udostępnia się informację o treści wszystkich zapisów dotyczących tej osoby. 52

Zakaz żądania wszelkich innych danych o kandydacie do pracy niż wymienione w art. 22[1] § 1 k.p] obejmuje m.in.: wizerunek (np. utrwalony na zdjęciu), oraz informacje o zainteresowaniach, informacje o predyspozycjach kandydata, informacje o praktycznych umiejętnościach, które nie są potwierdzone wykształceniem lub przebiegiem dotychczasowego zatrudnienia, o stanie rodzinnym i planach prokreacyjnych, o stosunku do służby wojskowej. 53

W mojej ocenie z przepisów art. 22[1] k.p. wynika również zakaz żądania: poddania się przez kandydata testom mającym określić jego profil osobowościowy, czy też nawet testom wiedzy lub umiejętności. Ich wynik, a w konkretnych przypadkach dane podawane w samym teście, stanowią bowiem dane osobowe w rozumieniu art. 6 ustawy, Z punktu widzenia ubiegającego się o zatrudnienie udział w teście jest równoznaczny z obowiązkiem ujawnienia danych na swój temat 54

 PRZETWARZANIE DANYCH OSOBOWYCH ZA ZGODĄ W przypadku gdy konieczne jest uzyskanie zgody od konkretnej osoby na wykorzystanie jej dóbr osobistych (np. badanie nowymi technikami), zgoda taka dla celów dowodowych powinna zostać udzielona na piśmie. 55

56 Prawo Pracy Art. 22 z ind.1. § 1. Pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych: obejmujących: 1) imię (imiona) i nazwisko, 2) imiona rodziców, 3) datę urodzenia, 4) miejsce zamieszkania (adres do korespondencji), 5) wykształcenie, 6) przebieg dotychczasowego zatrudnienia.

57 Prawo Pracy Art. 22 z ind.1. § 2. Pracodawca ma prawo żądać od pracownika podania, niezależnie od danych osobowych, o których mowa w § 1, także: 1) innych danych osobowych pracownika, a także imion i nazwisk oraz dat urodzenia dzieci pracownika, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy,

58 Prawo Pracy Art. 22 z ind.1. § 2. 2) numeru PESEL pracownika nadanego przez Rządowe Centrum Informatyczne Powszechnego Elektronicznego Systemu Ewidencji Ludności (RCI PESEL).

59 Prawo Pracy PROBLEM Poszerzenie zakresu przetwarzanych danych osobowych za zgodą: - kandydata do pracy - pracownika

wyrok SN z , I PK 37/08 Polecenie pracodawcy nakładające na pracownika obowiązek udzielenia informacji (danych osobowych) niewymienionych w k.p. lub w przepisach odrębnych jest niezgodne z prawem (art. 100 § 1 k.p.) i dlatego odmowa jego wykonania nie może stanowić podstawy rozwiązania umowy o pracę w trybie art. 52 § 1 pkt 1 k.p. 60

61 Prawo Pracy wyrok NSA Warszawa z dn I OSK 249/09 Czy wyrażenia przez pracownika zgody na przetwarzanie jego danych (art. 23 ust. 1 pkt 1 ustawy o.d.o.) legalizuje pobranie od pracownika innych danych niż wskazane w art. 22 z ind.1 kp? Stanowiłoby to naruszenie tego przepisu Kodeksu pracy!

62 Prawo Pracy wyrok WSA w Warszawie z dn II SA/Wa 903 Czy możliwe jest wyznaczenie zakresu innych danych osobowych niż wskazane w kp jakie można by przetwarzać w związku z zatrudnieniem pracownika?

63 Prawo Pracy wyrok WSA w Warszawie z dn II SA/Wa 903  W zakresie innych danych pracowniczych, niż wymienione w art § 1-4 k.p., zastosowanie mają przepisy ustawy o ochronie danych osobowych. Wypływa z tego następujący wniosek:  pracodawca żąda jedynie tych danych, które wymaga od pracownika prawo pracy i pracodawca może żądać od pracownika także danych, które wymagane są przez inne przepisy prawa

64 Prawo Pracy GIP Żądanie przez pracodawcę podania innych danych osobowych kandydata do pracy, niż te wymienione w art. 22(1) § 1 k.p. (np. przedstawienia referencji), może prowadzić do naruszenia prawa, w tym ustawy o ochronie danych osobowych.

65 Prawo Pracy Typowe kategorie pracowniczych danych osobowych np.: - dane identyfikacyjne - dane rodzinne - dane służbowe - dane biometryczne

66 Prawo Pracy Ustawa z dn. 29 lipca 2011 r. o zmianie ustawy o zasadach ewidencji i identyfikacji podatników i płatników oraz niektórych innych ustaw, od 1 września 2011 r. nie można wymagać numeru NIP od osób nieprowadzących działalności gospodarczej lub niebędących zarejestrowanymi podatnikami podatku VAT.

67 Prawo Pracy Jedynym identyfikatorem „numerycznym” :  kandydata do pracy  pracownika …jest obecnie numer PESEL.

68 Prawo Pracy ALE… Rozporządzenie Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika. …wciąż NIP!?

69 Prawo Pracy PRZYPADEK 1 Czy należy potwierdzać dane na temat pracowników na żądanie banków ? Kto ma prawo dostępu do zbiorów pracowniczych danych osobowych?

70 Prawo Pracy PRZYPADEK 2 …pracodawca w związku z udzielaniem świadczeń z ZFŚS na zasadzie regulaminu tego funduszu oczekuje podania składu rodziny pracownika wraz z datami urodzenia i wskazaniem pokrewieństwa. Czy konieczna jest odrębna zgoda tych członków rodziny na przetwarzanie tych danych osobowych?

71 Prawo Pracy PRZYPADEK 3 …pracodawca wprowadza identyfikatory ze zdjęciem. W przypadku pracowników, którzy nie dostarczą fotografii w określonym terminie przyjmuje się, że do sporządzenia identyfikatorów użyte zostaną zdjęcia przechowywane w ich aktach osobowych…

72 Prawo Pracy PRZYPADEK 4 …pracodawca wprowadza urządzenia techniczne, które dla potrzeb pomiaru czasu identyfikują pracowników za pomocą ich odcisków palców…

73 Prawo Pracy wyrok WSA w Warszawie z dn II SA/Wa 903 Przetworzone do postaci cyfrowej informacje o charakterystycznych punktach linii papilarnych palców pracowników są ich danymi osobowymi.

74 Prawo Pracy wyrok WSA w Warszawie z dn II SA/Wa 903 Jeśli chodzi o dane pracownika takie, jak linie papilarne czy wzór siatkówki oka, pobieranie tych danych, ich gromadzenie, czyli przetwarzanie - co do zasady - nie jest zabronione, lecz odbywać się musi z poszanowaniem przepisów ustawy o ochronie danych osobowych!!!

75 Prawo Pracy wyrok NSA W-wa z dn I OSK 249/09 1. Uznanie faktu wyrażenia przez pracownika zgody na przetwarzanie jego danych za okoliczność legalizującą pobranie od pracownika innych danych niż wskazane w art. 22 z ind.1 kp pracy stanowiłoby naruszenie tego przepisu kp 2. Wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników jest nieproporcjonalne do zamierzonego celu ich przetwarzania w rozumieniu art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych.

Przesłanki legalnego przetwarzania pracowniczych danych osobowych 1.Podstawa prawna (przepis lub zgoda) 2.Spełnienie uprzedniego obowiązku informacyjnego ( podstawa, cel, czas, ADO, prawa) 76

77 Prawo Pracy Art ustawy o ochronie danych osobowych W przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o: 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku, 2) celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych, 3) prawie dostępu do treści swoich danych oraz ich poprawiania, 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.

Przesłanki legalnego przetwarzania pracowniczych danych osobowych 3.Ochrona techniczna, organizacyjna, informatyczna danych osobowych 4. Dokumentacja ochrony danych osobowych 78

Przesłanki legalnego przetwarzania pracowniczych danych osobowych 5.Ochrona osobowa – ograniczenie dostępu do kręgu „właścicieli danych” oraz osób dysponujących upoważnieniem ADO. 6. Użytkowanie zgodnie z celem/czasem. 79

80 Prawo Pracy ADMINISTRUJĄCY DANYMI OSOBOWYMI Pracownik przetwarzający dane osobowe u pracodawcy: - upoważniony na piśmie (art. 37 ustawy o.d.o.) - ujęty w ewidencji (art o.d.o.) - objęty powinnością zachowania tajemnicy (art o.d.o.)

81 Prawo Pracy ADMINISTRATOR BEZPIECZEŃSTWA INFORMACJI

Art § 3. Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której one dotyczą. Pracodawca ma prawo żądać udokumentowania danych osobowych osób, o których mowa w § 1 i 2. 82

Art § 4. Pracodawca może żądać podania innych danych osobowych niż określone w § 1 i 2, jeżeli obowiązek ich podania wynika z odrębnych przepisów. 83

Art § 5. W zakresie nieuregulowanym w § 1-4 do danych osobowych, o których mowa w tych przepisach, stosuje się przepisy o ochronie danych osobowych. Przede wszystkim: Ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych 84

85 Prawo Pracy Odpowiedzialność z tytułu naruszenia przepisów o ochronie danych osobowych

86 Prawo Pracy ODPOWIEDZIALNOŚĆ KARNA

87 Prawo Pracy ODPOWIEDZIALNOŚĆ ADMINISTRACYJNA

88 Prawo Pracy ODPOWIEDZIALNOŚĆ PRACOWNICZA

89 Prawo Pracy ODPOWIEDZIALNOŚĆ CYWILNA