Przetwarzanie danych pracowników w e-dokumentacji

Dokumentacja pracownicza, jako zestaw danych o charakterze osobowym (wskazujących na konkretną osobę), dostępnych według określonych kryteriów, jest zbiorem danych osobowych. Zatem przetwarzając dane osobowe pracownika w niej zawarte, należy stosować przepisy ustawy o ochronie danych osobowych.

Bez wątpienia prowadzenie dokumentacji pracowniczej w formie elektronicznej niesie zwiększone obowiązki pracodawcy. Pierwszy z nich wiąże się z decyzją o prowadzeniu elektronicznej ewidencji danych pracowniczych. Przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę albo na takie przetwarzanie danych pozwalają odrębne przepisy prawa.

Takim przepisem jest na przykład art. 22¹ Kodeksu pracy, który umożliwia pracodawcy żądanie od osoby ubiegającej się o zatrudnienie oraz pracownika określonych w tym przepisie danych osobowych. Przepis ten jest dla pracodawców podstawą do przetwarzania danych osobowych i prowadzenia akt pracowniczych.

Pracodawca może żądać od osoby ubiegającej się o zatrudnienie podania:

• imienia (imion) i nazwiska,
• imion rodziców,
• daty urodzenia,
• miejsca zamieszkania (adres do korespondencji),
• wykształcenia,
• przebiegu dotychczasowego zatrudnienia.

Z kolei pracownik jest zobowiązany podać dodatkowo:

• inne dane osobowe, a także imiona i nazwiska oraz daty urodzenia swoich dzieci, jeżeli ich podanie jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy,
• swój numer PESEL.

Część prawników uważa, że aby pracodawca mógł dodatkowo prowadzić dokumentację w systemie elektronicznym, konieczna jest ich osobna zgoda, skoro ustawodawca nie przewiduje obligatoryjnej formy dokumentacji papierowej i nie pozwala jej całkowicie zastąpić e-dokumentacją.

Taka interpretacja wydaje się dość ostrożna. Do innych wniosków zdaje się prowadzić chociażby teza wyroku Naczelnego Sądu Administracyjnego z 1 grudnia 2009 r. (I OSK 249/09). Wynika z niej, że „brak równowagi w relacji pracodawca – pracownik stawia pod znakiem zapytania dobrowolność wyrażenia zgody na pobieranie i przetworzenie danych osobowych (…). Z tego względu ustawodawca ograniczył (…) katalog danych, których pracodawca może żądać od pracownika”.

Zwolennicy uzyskiwania zgody pracownika na prowadzenie e-dokumentacji argumentują jednak, że zgoda pracownika na przetwarzanie danych osobowych może być podstawą przetwarzania danych osobowych, jeżeli pracownik miał prawdziwie wolny wybór jej udzielenia (w szczególności brak zgody nie prowadziłby do negatywnych dla niego konsekwencji).

Zasady ochrony danych osobowych stosuje się do danych osobowych niezależnie od formy, w jakiej są one przechowywane (przetwarzane). Zarówno więc w przypadku danych papierowych, jak i elektronicznych pracodawca musi zapewnić tzw. środki techniczne i organizacyjne pozwalające na ochronę tych danych.

Ustawa nakazuje bowiem administratorowi danych chronić je przed:

• udostępnieniem osobom nieupoważnionym,
• zabraniem przez osobę nieuprawnioną,
• przetwarzaniem z naruszeniem ustawy oraz
• zmianą,
• utratą,
• uszkodzeniem lub
• zniszczeniem.

Stosowane środki mają zapewnić ochronę odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. W przypadku dokumentacji elektronicznej systemy informatyczne i urządzenia powinny spełniać wymogi określone w rozporządzeniu ministra spraw wewnętrznych i administracji z 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.