W ramach ostatniego RODO Alertu sygnalizowaliśmy, że zakończył się proces legislacyjny ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679. Nowelizacja przepisów nastąpiła 4 maja br. Pierwszy z cyklu artykułów poświęcamy zmianom w Kodeksie pracy.
Podsumowanie
- Określenie podstaw prawnych przetwarzania danych osobowych m.in. w procesach rekrutacyjnych.
- Zmiana zakresu danych osobowych pracownika i kandydata do pracy, które może przetwarzać pracodawca.
- Konieczność nadania upoważnień do przetwarzania danych dotyczących stanu zdrowia.
RODO istotnie wpłynęło na procesy rekrutacyjne. Jeszcze w 2017 r., pomimo istnienia podobnych przepisów dotyczących przekazania tzw. obowiązku informacyjnego, w przeciętnym ogłoszeniu o pracę próżno było szukać szczegółowych informacji o administratorze danych osobowych, jak i o szczegółach samego przetwarzania. Powszechnym zjawiskiem było także pobieranie zgód na przetwarzanie danych osobowych, które dotyczyły całości katalogu danych przesyłanych pracodawcy w ramach CV.
Prawo do żądania danych
Istotna jest także zmiana pierwszego zdania §1 omawianego art. 221 Kodeksu pracy. Ustawodawca postanowił dostosować jego treść do art. 6 ust. 1 lit. c RODO, gdzie wskazuje się jako podstawę przetwarzania danych osobowych niezbędność przetwarzania dla realizacji obowiązku prawnego ciążącego na administratorze danych. Reasumując: do tej pory pracodawca miał prawo żądać od kandydata danych w określonym zakresie (ale nie musiał), a obecnie będzie takich danych obowiązkowo żądał.
Zatem zmiany Kodeksu pracy będą miały istotny wpływ na kształt klauzuli informacyjnej. W przypadku klauzuli na potrzeby rekrutacji, będzie w niej należało wskazać przede wszystkim zarówno zgodę kandydata, jak i potrzebę realizacji obowiązku prawnego ciążącego na administratorze.
Nadmierny katalog danych kandydata
Ustawodawca poszedł także o jeden krok dalej i wydaje się, że nareszcie uwzględniono scenariusze, w których kandydaci przekazują pracodawcom dane osobowe w nadmiernym katalogu. Dlatego też w Kodeksie pracy pojawi się art. 221a, w którym wskazuje się, że zgoda osoby ubiegającej się o zatrudnienie może stanowić podstawę przetwarzania szerszego, niż wymieniony w art. 221 § 1 pkt. 1 – 6. Z tym zastrzeżeniem, że brak zgody, tj. przekazanie katalogu danych tylko w zakresie przewidzianym Kodeksem pracy lub wycofanie takiej zgody, nie może być podstawą niekorzystanego traktowania takiego kandydata.
Dane o stanie zdrowia
Podobnie ustawodawca odniósł się do kwestii udostępnienia pracodawcy nadmiernego katalogu danych osobowych, które będę zawierały informacje dotyczące stanu zdrowia. Podstawą upoważniającą pracodawcę do przetwarzania tych danych jest również zgoda kandydata, ale tylko w sytuacji, gdy ujawnienie takich danych następuje z inicjatywy kandydata. Inne sytuacje, w których pracodawca jest upoważniony do przetwarzania szczególnych kategorii danych osobowych powinny wynikać wprost z przepisu prawa. Warto zaznaczyć, że w przypadku zgody odnoszącej się do szczególnych kategorii danych, tj. art. 9 ust. 2 lit. a RODO, mowa jest o zgodzie wyraźnej, a zatem wydaje się, że popularne „klauzule zgód” nadal będą miały rację bytu w treści ogłoszeń dotyczących zatrudnienia.
Dane dotyczące karalności
Podobne zapisy dotyczące zgody, jako podstawy do przetwarzania danych osobowych, sformułowano także dla późniejszej relacji pracownika z pracodawcą. Przy czym zgoda osoby ubiegającej się o zatrudnienie, jak i późniejsza zgoda pracownika, nie będzie mogła stanowić podstawy do przetwarzania danych osobowych dotyczących skazań i wyroków skazujących. Zatem nie będzie możliwe przetwarzanie takich kategorii danych osobowych, jeżeli nie wynika to z przepisów prawa.
Taka postawa ustawodawcy jest zapewne podyktowana nierównym układem pomiędzy pracodawcą a pracownikiem w trakcie realizacji stosunku pracy, czy rekrutacji. Pracodawcy mieli tendencje do pobierania tego typu informacji nawet, jeżeli nie było to konieczne. Przykładem obrazującym uzasadnienie przetwarzania danych dotyczących karalności są zapisy wynikające np. z Karty Nauczyciela, gdzie wskazano wprost, iż w celu potwierdzenia warunku niekaralności, dyrektor szkoły, przed nawiązaniem stosunku pracy, zasięga informacji z Krajowego Rejestru Karnego. Albo zapisy ustawy o transporcie drogowym, gdzie przewoźnik jest uprawniony do pozyskania danych osobowych o środkach karnych zastosowanych wobec zatrudnionych, czy też rekrutowanych kierowców.
Upoważnienie do przetwarzania danych osobowych
Istotną zmianą jest zawarte w § 3 art. 221b wskazanie potrzeby formułowania pisemnych upoważnień do przetwarzania danych osobowych dla osób, które w imieniu administratora przetwarzają dane osobowe, o których mowa w art. 9 RODO (tj. także dane dotyczące stanu zdrowia). Ten krok ustawodawcy budzi wiele emocji, ponieważ nawet uchylona już ustawa z roku 1997 nie wskazywała bezpośrednio na potrzebę formułowania odrębnych upoważnień. Oczywiście pojawia się pytanie, czy sporządzenie upoważnień w formie elektronicznej jest możliwe, a jeśli tak, czy będą musiały być opatrzone bezpiecznym podpisem elektronicznym (weryfikowanym przy pomocy ważnego kwalifikowanego certyfikatu). W uzasadnieniu do „ustawy zmieniającej” znalazła się jednak informacja, że ustawodawca nie miał na myśli formy pisemnej w rozumieniu Kodeksu cywilnego, a zamiarem była potrzeba stworzenia upoważnień w formie literalnej, tj. także w postaci pliku tekstowego czy wiadomości mailowej. Takie dookreślenie jest jednak umieszczone w tekście uzasadnienia do ustawy, a nie w zasadniczej treści ustawy.
Z całą pewnością pisemność upoważnień będzie powodowała wiele dyskusji. Dodatkowo pojawia się konieczność zobowiązania pracowników upoważnionych do zachowania danych w tajemnicy. Będziemy Państwa na bieżąco informować.
