REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

RODO w HR - o czym warto pamiętać?

Subskrybuj nas na Youtube
RODO w HR - o czym warto pamiętać? Przetwarzanie danych osobowych pracowników. /fot. Shutterstock
RODO w HR - o czym warto pamiętać? Przetwarzanie danych osobowych pracowników. /fot. Shutterstock

REKLAMA

REKLAMA

RODO wyznacza granice przetwarzania danych osobowych przez działy HR. Czy można zamieścić prywatny e-mail pracownika, jego numer telefonu czy zdjęcie w bazie osobowej? Jakie rejestry należy prowadzić? Jak długo można przetwarzać dane?

RODO – kilka szczegółów, o których warto pamiętać w HR

Czy można rejestrować firmowe spotkanie wigilijne? Czy dział HR ma prawo do przesyłania drogą mailową fotografii z imprezy integracyjnej? Czy szef działu może poprosić podwładnych o zaopiniowanie otrzymanego CV? I jak długo można przechowywać w aktach informacje o naganie? Wejście w życie przepisów RODO uporządkowało wiele problemów związanych z przetwarzaniem danych osobowych w firmach, ale też wygenerowało nowe pytania, wynikające z bardzo szerokiego zakresu nowych przepisów.

REKLAMA

Tylko tyle danych, ile potrzeba

W porównaniu do czasów sprzed RODO pracodawcy przetwarzają znacznie mniej danych osobowych, gdyż nowe przepisy nakładają ograniczenia w tym zakresie. „Pracodawca może żądać od pracownika udostępnienia tylko danych określonych przepisami, które są niezbędne do nawiązania stosunku pracy. Wymaga to od firmy w pierwszej kolejności przeprowadzenia wewnętrznego audytu, którego zadaniem jest wyłonienie zakresu potrzebnych danych osobowych ze szczególnym uwzględnieniem tych wrażliwych” – wyjaśnia Maciej Kabaciński, szef Pionu HR w Quercus.

Polecamy: RODO Jak przygotować się do kontroli

Pracodawca nie ma więc prawa do gromadzenia danych „na zapas”, na wszelki wypadek, choć w tej chwili nie są one potrzebne. „Na przykład podczas rekrutacji nie mamy prawa wymagać od kandydatów udostępniania danych, które nie mają żadnego znaczenia podczas rekrutacji, jak np. informacje o stanie cywilnym, poglądach religijnych, politycznych czy dodatkowych dokumentów tożsamości” – wyjaśnia Olga Dura-Nowicka, ekspertka Quercus, specjalizująca się we wdrażaniu rozwiązań dotyczących RODO.

Zgodnie z przepisami, jeśli pracodawca chce skonsultować CV kandydata do pracy z członkami zespołu, może to zrobić tylko pod warunkiem anonimizacji kwestionariusza. „Musimy usunąć wszystkie dane, które mogłyby pozwolić na identyfikację tej osoby, a więc imię, nazwisko, zdjęcie oraz inne informacje, które kandydaci zwykle umieszczają w CV. A trzeba przyznać, że podają więcej danych, niż wynika to z przepisów. W tej sytuacji z pomocą przychodzi wspomniany wcześniej audyt RODO, który dostarcza nam wiedzy, jakie dane możemy udostępnić do oceny kwalifikacji potencjalnego pracownika” – dodaje Maciej Kabaciński.

Dalszy ciąg materiału pod wideo

Dodatkowe dane – tylko za zgodą

Przepisy stanowią, że dane osobowe, których posiadanie jest niezbędne do nawiązania stosunku pracy, nie wymagają specjalnej zgody na przetwarzanie. Jednak wszystko ponad to, co niezbędne, już tak. Oświadczenia takiego potrzebujemy, jeśli chcemy zamieścić w bazie/teczce osobowej prywatny e-mail pracownika, numer telefonu albo jego zdjęcie. I każda zgoda musi być koniecznie rejestrowana.

To ważne, gdyż administrator danych osobowych (ADO) zobowiązany jest do prowadzenia rejestrów zgód na przetwarzanie danych pracownika – tych, które nie wynikają z konieczności ich posiadania w myśl przepisów. Pracodawca musi umieć wykazać, że pracownik dobrowolnie wyraził zgodzę na przetwarzanie dodatkowych danych, jak np. podanie prywatnego numeru telefonu, i poświadczyć to stosownymi dokumentami” – podkreśla Olga Dura-Nowicka. Dodaje, że tak naprawdę osobne zgody są potrzebne, np. aby móc publicznie świętować urodziny współpracownika (data urodzin jest częścią danych osobowych), wykorzystać informację o szczególnych wymaganiach dietetycznych (np. podczas organizacji firmowej wigilii), rozesłać film z wigilii lub zdjęcia z imprezy integracyjnej, a nawet opublikować listę osób, które w najbliższym czasie będą uczestniczyć w szkoleniu. „Wiele osób te czynności traktuje w sposób naturalny, na zasadzie – że zawsze tak było. Dziś wymagają one osobnych zgód (na każdą czynność), odpowiednio zarejestrowanych, dostępnych do wglądu i z możliwością ich cofnięcia” – podkreśla Olga Dura-Nowicka.

Rejestry są koniecznością

Rozporządzenie RODO wyraźnie informuje o konieczności prowadzenia rejestru czynności przetwarzania oraz rejestru kategorii przetwarzania danych osobowych. Przepis ten nie dotyczy wszystkich administratorów, ale zalecane jest jego zastosowanie. Z tego obowiązku, w określonych przypadkach, mogą być zwolnione podmioty zatrudniające mniej niż 250 pracowników.

W Internecie można znaleźć kilka przykładowych szablonów, jak mogą wyglądać takie rejestry, lecz nie należy ich traktować jako jedyny prawidłowy wzór. Z uwagi na różnorodność struktur przedsiębiorstw, lepiej, aby taki dokument był przygotowany indywidualnie, tak aby można było bez problemu odnieść się do procedur zawartych w artykule 30 RODO. Rejestry to proste, ale i skuteczne narzędzie, pozwalające zapanować nad istotnymi danymi, jakie gromadzimy w firmie, zapewniające administratorowi bezpieczeństwo w tym zakresie” – mówi ekspert Quercus ds. RODO.

W rejestrach musimy uwzględnić informacje, jakie dane osobowe są przetwarzane w firmie i przez kogo, jakie dane są wysyłane do podmiotów zewnętrznych i w jakim celu (np. Medicover, MultiSport) oraz jakie dane otrzymane z firm zewnętrznych, np. z agencji pracy tymczasowej, przetwarzamy” – dodaje Maciej Kabaciński.

Usuwanie danych, terminy i anonimizacja

Największym problemem, przed jakim obecnie stoją pracodawcy, jest usuwanie danych bądź ich anonimizacja po zakończeniu okresu retencji danych. Co ważne, jako ADO powinniśmy ograniczać czas przechowywania danych pracowniczych do niezbędnego minimum.

Dane osobowe możemy przetwarzać w czasie, kiedy są nam niezbędne, chyba że przepisy stanowią inaczej. Na przykład informacje o kandydacie do pracy możemy przechowywać wyłącznie w okresie rekrutacji, zaś kartotekę pracowniczą – w zależności od daty zatrudnienia i faktu złożenia formularza RIA – przez 10 lub 50 lat. Z kolei informacje o nałożonych karach i udzielonych naganach możemy przetwarzać tylko przez okres ich trwania” – komentuje Olga Dura-Nowicka.

Maciej Kabaciński zaś dodaje, że nie sposób pilnować tych terminów bez odpowiedniego narzędzia informatycznego, które będzie na bieżąco śledzić daty ważności poszczególnych danych i kiedy minie okres retencji, automatycznie je usuwać lub anonimizować. „Im więcej pracowników w firmie, tym bardziej złożone procesy z tym związane. Dlatego wiele firm decyduje się na wdrożenie rozwiązań, które większość procesów związanych z RODO wykonują automatycznie, odciążając kadry, a przy tym zapewniając zgodność procedur z wymogami RODO. W Quercus, tworząc autorskie rozwiązanie, jakim jest Q-Solutions RODO, właśnie takimi przesłankami się kierowaliśmy”.

INSPEKTOR OCHRONY DANYCH

Wejście w życie przepisów RODO sprawiło, że administratorzy danych osobowych (ADO) musieli podnieść swoje kwalifikacje w tym zakresie lub – w przypadkach wymaganych przez ustawę – powołać inspektora ochrony danych (IOD), odpowiedzialnego za zgodność działania firmy z RODO. Obowiązek powołania IOD mają instytucje państwowe, podmioty przetwarzające dane, w tym dane wrażliwe, na dużą skalę. Pozostałe firmy mogą również powołać IOD, ale nie jest to obowiązkowe. Najczęściej na stanowisko IOD zostaje powołana osoba z firmy (w ramach rekrutacji wewnętrznej i szkoleń podnoszących kwalifikacje w tym zakresie), albo osoba z zewnątrz (o odpowiednich kwalifikacjach, która z kolei musi poznać system zabezpieczeń i sposób działania firmy).

3 najważniejsze cechy inspektora ochrony danych

  1. Odpowiedni poziom wiedzy: im większy zakres przetwarzania danych i im bardziej skomplikowany charakter tych danych, tym oczywiście wiedza powinna być większa. Dotyczy to m.in. sytuacji, gdy dane osobowe są przekazywane do państw trzecich lub gdy zawierają dużo tzw. danych wrażliwych.
  2. Znajomość firmy: osoba powołana na to stanowisko powinna w krótkim czasie pozyskać wiedzę na temat systemów informatycznych oraz wszelkich zabezpieczeń stosowanych u administratora danych osobowych (a więc w firmie), poznać wszystkie procedury i sposób funkcjonowania organizacji.
  3. Niezależność i etyka zawodowa: inspektor ochrony danych ma przede wszystkim dbać o bezpieczeństwo danych i zgodność z przepisami. Ponieważ są to cele nadrzędne, osoba ta powinna potrafić przeciwstawić się opinii administratora, jeśli miałoby dojść do naruszenia prawa. Dobrze jest, aby stanowisko IDO było niezależne, a osoba piastująca tę funkcję postępowała zawsze zgodnie z zasadami etyki zawodowej.

Źródło: Quercus Sp. z o.o.

Zapisz się na newsletter
Najlepsze artykuły, najpoczytniejsze tematy, zmiany w prawie i porady. Skoncentrowana dawka wiadomości z różnych kategorii: prawo, księgowość, kadry, biznes, nieruchomości, pieniądze, edukacja. Zapisz się na nasz newsletter i bądź zawsze na czasie.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

REKLAMA

Prawo
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Czy NBP oprócz rezerw złota utworzy rezerwę bitcoina?

Narodowy Bank Polski zgromadził już blisko 520 ton złota, co plasuje nasz kraj w czołówce największych posiadaczy kruszcu na świecie. W obliczu globalnych zmian pojawia się jednak pytanie: czy złoto wystarczy, by zapewnić bezpieczeństwo finansowe kraju i kiedy Polska zdecyduje się sięgnąć także po bitcoina? Eksperci podpowiadają kiedy i jak tego dokonać!

Nowe uprawnienia PIP od 1 stycznia 2026 r. - decyzje zamiast sądu, wyższe kary i kontrole zdalne

Od początku 2026 roku wejdą w życie przepisy znacząco rozszerzające kompetencje Państwowej Inspekcji Pracy (PIP). Zmiany te w istotny sposób wpłyną na relacje między pracodawcami, zleceniobiorcami i osobami współpracującymi w modelu B2B. Nowe regulacje mają zwiększyć skuteczność kontroli i ograniczyć nadużycia w zatrudnieniu, ale mogą też oznaczać poważne wyzwania dla firm. W artykule omawiamy najważniejsze założenia nowelizacji oraz jej praktyczne konsekwencje dla przedsiębiorców.

Chcesz mieć byle jaką emeryturę? Wypłacaj pieniądze z PPK na bieżące wydatki

Polska się starzeje, a pracowników ubywa. Co to oznacza dla przyszłych emerytów? Raport GUS nie pozostawia złudzeń - obciążenie systemu emerytalnego będzie coraz większe. W obliczu tych wyzwań Pracownicze Plany Kapitałowe (PPK) stają się kluczem do finansowej stabilności na jesień życia. Tomasz Orlik, Członek Zarządu ds. Operacyjnych, PFR TFI wyjaśnia dlaczego PPK to nie tylko oszczędności, ale i inwestycja w Twoją przyszłość, którą warto potraktować długoterminowo.

Nieobowiązkowe prace domowe - krzywda liczona w miliardach złotych. Kto poniesie odpowiedzialność za decyzje w edukacji?

Jeśli każde dziecko w Polsce straciło jeden rok edukacji przez wadliwe decyzje resortu, to nie mówimy o reformie, lecz o krzywdzie narodowej – wartej ponad 15 miliardów złotych. Waldemar Żurek zapowiada pozwy wobec sędziów, którzy – jego zdaniem – „nie są sędziami” i powinni odpowiadać własnym majątkiem. Wreszcie ktoś głośno mówi o osobistej odpowiedzialności za decyzje publiczne. Problem w tym, że pan Żurek patrzy jedynie tam, gdzie politycznie wygodnie. Jeśli naprawdę chcemy rozmawiać o odpowiedzialności za wyrządzanie krzywdy, to nie w sądach, lecz w Ministerstwie Edukacji trzeba jej szukać - pisze adwokat Grzegorz Prigan.

REKLAMA

Jest limit kontroli – mogą trwać tyle i ani dnia dłużej. NSA potwierdza – wtedy można kazać kontrolerom pocałować klamkę

Przedsiębiorcy, także działający w formie jednoosobowych działalności gospodarczych, mogą być kontrolowani przez szereg państwowych instytucji. Czas trwania kontroli to nie tylko stres co do tego, czy kontroler nie będzie dokonywał innej, mniej korzystnej interpretacji przepisów, niż przedsiębiorca stosował, ale też uciążliwość. W toku kontroli urzędnicy żądają masy dokumentów, a także wyjaśnień, odpowiedzi na pytania. Jednak czas kontroli jest limitowany.

Wniosek o zasiłek pogrzebowy – duże zmiany od 2026 roku

Od 1 stycznia 2026 r. zmienią się zasady składania wniosku o zasiłek pogrzebowy. Wynika to zarówno z nowelizacji ustawy o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych, jak i zmienionych przepisów rozporządzenia w sprawie postępowania o świadczenia emerytalno–rentowe. Gotowy jest już projekt rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej w tej sprawie. Przypomnijmy, że od przyszłego roku wzrośnie też kwota zasiłku pogrzebowego z 4000 zł do 7000 zł.

Odpowiedzialność solidarna przy delegowaniu pracowników do Niemiec. Obowiązki pracodawcy i pracodawcy użytkownika

W przypadku delegowania pracowników do Niemiec - zarówno w modelu pracy tymczasowej, jak i świadczenia usług - szczególnego znaczenia nabiera zagadnienie odpowiedzialności solidarnej. Choć temat ten nie zawsze znajduje się w centrum uwagi przedsiębiorców, jego praktyczne skutki mogą być bardzo poważne. W razie stwierdzenia nieprawidłowości przez instytucje kontrolne, zarówno agencja delegująca pracowników do Niemiec, jak i klient końcowy mogą zostać pociągnięci do odpowiedzialności - również finansowej.Podstawą prawną dla agencji pracy jest Arbeitnehmerüberlassungsgesetz (AÜG) – niemiecka ustawa o zatrudnieniu tymczasowym, natomiast w przypadku firm podwykonawczych zastosowanie ma § 631 niemieckiego Kodeksu cywilnego (BGB). W artykule eksperckim przygotowanym przez Euro-lohn odpowiadamy na pytania: Kto odpowiada za wynagrodzenie, składki i podatki - pracodawca czy użytkownik? Jaka jest rola dokumentów: PIT-4, PIT-28, Lohnsteuerbeschanigung, o czym należy wiedzieć podczas rozliczeń podatkowych i jakie są obowiązki księgowe przy delegowaniu pracowników do Niemiec.

Długi weekend i wysyp wolnego na szybko. Co może zrobić pracownik, gdy wizyta w rodzinnych stronach nie pójdzie zgodnie z planem?

Dzień Wszystkich Świętych zajmuje szczególne miejsce w sercach Polaków. Wielu z nich w czasie zbliżającego się weekendu wyjedzie w rodzinne strony. Nie tylko odwiedzą cmentarze, ale i spotkają się z rodziną. Pracodawcy mogą się spodziewać, że 3 listopada nie każdy stawi się do pracy.

REKLAMA

Listopad to ostatni miesiąc na skorzystanie z tego uprawnienia. Aby zaoszczędzić w grudniu, trzeba szybko złożyć wniosek

Aby skorzystać z wakacji składkowych w grudniu 2025 roku, trzeba złożyć wniosek w listopadzie. Oznacza to, że czas na porządki na koncie ubezpieczonego i zawnioskowanie o ulgę, dobiega końca. Zainteresowani przedsiębiorcy powinni więc przystąpić do działania.

Sąd ogłosił upadłość znanej spółki finansowej. Co powinni zrobić wierzyciele?

W dniu 27 października 2025 roku Sąd Rejonowy w Zielonej Górze (Wydział Gospodarczy) wydał postanowienie o ogłoszeniu upadłości spółki Cinkciarz.pl Sp. z o.o. Sąd wezwał wierzycieli do zgłoszenia roszczeń, powołano także sędziego komisarza i wyznaczono syndyka. Jak poinformował PAP rzecznik Sądu Okręgowego w Zielonej Górze sędzia Bogumił Hoszowski - wszystkie postępowania o charakterze cywilnym, zarówno przed wydziałami cywilnymi, jak też przed wydziałami gospodarczymi z mocy prawa ulegają zawieszeniu.

REKLAMA