Zmiany Kodeksu pracy w związku z RODO – 4 maja 2019 r.
W dniu 19 kwietnia 2019 r. opublikowana została w Dzienniku Ustaw ustawa z dnia 21.02.2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.2019.730), która wchodzi w życie po 14 dniach od ogłoszenia (z pewnymi wyjątkami niedotyczącymi przepisów Kodeksu pracy), tj. w dniu 04 maja 2019 r.
Zmiany w danych osobowych niezbędnych do pozyskania przez pracodawcę
W związku z wejściem w życie w dniu 4 maja 2019 r. ww ustawy, art. 22(1) Kodeksu pracy otrzymuje nowe brzmienie. Zgodnie z uzasadnieniem do projektu ustawy „nowe brzmienie przepisów Kodeksu pracy w art. 22(1) § 1 i 2 wskazuje na kategorie danych osobowych, które są niezbędne do pozyskania przez pracodawcę w związku z podejmowaniem przez niego działań przed zawarciem umowy o pracę oraz po jej zawarciu. W związku z tym, pracodawca żąda ich udostępnienia przez osobę ubiegającą się o zatrudnienie lub pracownika. Udokumentowanie danych osobowych pozyskanych od tych osób może nastąpić tylko w zakresie niezbędnym do ich potwierdzenia.
Polecamy: Kodeks pracy 2019. Praktyczny komentarz z przykładami + PDF.
Polecamy: RODO 2019. Plusy i minusy zmian od 4 maja
Katalog danych osobowych, których podania pracodawca może żądać
„Art. 22(1). § 1. Pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:
1) imię (imiona) i nazwisko;
2) datę urodzenia;
3) dane kontaktowe wskazane przez taką osobę;
4) wykształcenie;
5) kwalifikacje zawodowe;
6) przebieg dotychczasowego zatrudnienia.
Pracodawca może żądać wskazania danych kontaktowych osoby ubiegającej się o zatrudnienie, jednak to kandydat do pracy podejmuje decyzję w zakresie danych kontaktowych, które przekaże potencjalnemu pracodawcy. Dane kontaktowe mogą być wyrażone w postaci numeru telefonu, e-mail lub adresu zamieszkania.
Imiona rodziców i adres zamieszkania
Pracodawca nie ma już podstawy prawnej do żądania podania imion rodziców i adresu zamieszkania od osoby ubiegającej się o zatrudnienie.
Dane dotyczące wykształcenia, kwalifikacji zawodowych i dotychczasowego zatrudnienia
Art. 22(1). § 1
§ 2. Pracodawca żąda podania danych osobowych, o których mowa w § 1 pkt 4–6, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku.
Pracodawca żąda od kandydata do pracy wskazania danych dotyczących: wykształcenia, kwalifikacji zawodowych i przebiegu dotychczasowego zatrudnienia tylko wtedy takie informacje są niezbędne do wykonywania pracy na oferowanym stanowisku.
Dodatkowe dane osobowe
Dalsze przepisy ustawy brzmią:
Art. 22(1)§ 3. Pracodawca żąda od pracownika podania dodatkowo danych osobowych obejmujących:
1) adres zamieszkania;
2) numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość;
3) inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy;
4) wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie.
5) numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych.
§ 4. Pracodawca żąda podania innych danych osobowych niż określone w § 1 i 3, gdy jest to niezbędne do wypełniania obowiązku pracodawcy nałożonego przepisem prawa.
§ 5. Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której dane dotyczą. Pracodawca może żądać udokumentowania danych osobowych osób, o których mowa w § 1 i 3, w zakresie niezbędnym do ich potwierdzenia.”;
Pracodawca może żądać wskazania adresu zamieszkania dopiero od pracownika.
Ponadto, jeśli nie istniała podstawa do tego, aby żądać od kandydata do pracy danych dotyczących wykształcenia i przebiegu dotychczasowego zatrudnienia, to pracodawca może żądać wskazania tych danych od pracownika.
Ustawodawca przewiduje możliwość żądania podania również innych danych określonych w katalogu obligatoryjnych danych w przypadku, gdy jest to niezbędne do wypełnienia obowiązku pracodawcy nałożonego na niego przepisem prawa.
Warto wskazać, że przetwarzanie przez pracodawcę danych pracownika w zakresie adresu do korespondencji, poczty elektronicznej i numeru telefonu już po nawiązaniu stosunku pracy będzie wyłącznie możliwe, gdy pracownik wyrazi na to zgodę w oświadczeniu złożonym w postaci papierowej lub elektronicznej.
Zgoda na gromadzenie innych danych osobowych
„Art. 22(1a). § 1. Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 22(1) § 1 i 3, z wyjątkiem danych osobowych, o których mowa w art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.3)), zwanego dalej „rozporządzeniem 2016/679”.
§ 2. Brak zgody, o której mowa w § 1, lub jej wycofanie, nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę.
§ 3. Przetwarzanie, o którym mowa w § 1, dotyczy danych osobowych udostępnianych przez osobę ubiegającą się o zatrudnienie lub pracownika na wniosek pracodawcy lub danych osobowych przekazanych pracodawcy z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika.
Inne dane osobowe (niewymienione w katalogu obligatoryjnych danych pozyskiwanych przez pracodawcę) mogą być pobierane, gdy jest to niezbędne do wypełniania obowiązku pracodawcy nałożonego przepisem prawa.
Gromadzenie innych danych osobowych osoby ubiegającej się o zatrudnienie lub pracownika zostało także uzależnione od pozyskania na to ich zgody. Przepisy nie przesądzają jednak w jakiej formie ma zostać udzielona zgoda. Zatem w tej kwestii zastosowanie znajduje bezpośrednio art. 7 rozporządzenia nr 2016/679 (RODO). Zgoda powinna mieć charakter dobrowolnego, konkretnego, świadomego i jednoznacznego okazania woli osoby, której dane dotyczą, wyrażonego w formie oświadczenia lub wyraźnego działania.
Zgoda osoby ubiegającej się o zatrudnienie lub pracownika nie może obejmować danych osobowych, o których mowa w art. 10 RODO, czyli danych dotyczących wyroków skazujących i czynów zabronionych.
Brak zgody lub jej wycofanie
Jednocześnie zgodnie z ustawą: brak zgody lub jej późniejsze wycofanie, nie może powodować żadnych negatywnych konsekwencji dla osoby ubiegającej się o zatrudnienie lub pracownika w zakresie stosunku pracy, zwłaszcza nie będzie mogło być przyczyną wypowiedzenia umowy lub jej rozwiązania przez pracodawcę.
Pozyskanie danych z inicjatywy pracodawcy lub pracownika
Przepisy ustawy przesądzają jednoznacznie, że pozyskanie danych za zgodą kandydata do pracy lub pracownika, może nastąpić zarówno z inicjatywy pracodawcy jak również pracownika. Obejmie to zatem wszystkie dane osobowe, które kandydat do pracy lub pracownik dobrowolnie dostarczy pracodawcy (np. informacje o dodatkowych kwalifikacjach zawodowych), jak również przypadki, w których to pracodawca wystąpi z inicjatywą pozyskania określonych danych.
Przetwarzanie szczególnej kategorii danych osobowych
Art. 22(1b). § 1. Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679, wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Przepis art. 22(1a) § 2 stosuje się odpowiednio.
§ 2. Przetwarzanie danych biometrycznych pracownika jest dopuszczalne także wtedy, gdy podanie takich danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony.
§ 3. Do przetwarzania danych osobowych, o których mowa w § 1, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania takich danych wydane przez pracodawcę. Osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w tajemnicy.”;
Przetwarzanie szczególnej kategorii danych osobowych (wyszczególnionych w art. 9 ust. 1 i art. 10 rozporządzenia nr 2016/679) jest co do zasady niedopuszczalne, chyba, że ich pozyskanie jest niezbędne do wypełniania obowiązku pracodawcy nałożonego przepisem prawa lub wtedy, gdy osoba ubiegająca się o zatrudnienie lub pracownik wyrażą zgodę na przetwarzanie danych osobowych szczególnej kategorii.
Wyjątki od zakazu przetwarzania danych osobowych
Oczywiście art. 9 rodo wskazuje, kiedy też przepis zabraniający przetwarzanie danych nie ma zastosowania. W kontekście pracodawcy może on przetwarzać np. dane dotyczące zdrowia, gdyż jest to niezbędne do celów profilaktyki zdrowotnej, do oceny zdolności pracownika do pracy, ale także informacja, o niepełnosprawności, która jest niezbędna przy ustaleniu dodatkowych uprawnień pracowniczych. Pracodawcę może jeszcze ewentualnie interesować przynależność do związków zawodowych w kontekście ochrony przed zwolnieniem.
Artykuł 9 RODO
Przetwarzanie szczególnych kategorii danych osobowych
1. Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.
(…)
Pobieranie danych biometrycznych
Jedynie w przypadku danych biometrycznych ustawodawca zaproponował, aby mogły być one także pobierane od pracownika w sytuacjach, w których podanie takich danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę lub dostępu do pomieszczeń wymagających szczególnej ochrony.
Przetwarzanie danych osobowych szczególnej kategorii
Do przetwarzania danych osobowych szczególnej kategorii mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania takich danych wydane przez pracodawcę. Osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w tajemnicy.
W odrębnych artykułach: pozostałe zmiany w przepisach Kodeksu pracy od 4 maja 2019 r.:
- Zmiany w Kodeksie pracy od 4 maja 2019 r. (RODO) – część II (monitoring w miejscu pracy)
- Zmiany w Kodeksie pracy od 4 maja 2019 r. (RODO) – część III (prawo żądania orzeczenia lekarskiego o braku przeciwwskazań do pracy na danym stanowisku i skierowania będące podstawą wydania tego orzeczenia)