Dostęp do odcisków palców tylko dla uprawnionych

Od 4 maja 2019 r. obowiązuje ustawa z 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem prawidłowego stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (tzw. RODO). Nowelizacja wprowadza zmiany m.in. w kodeksie pracy, dostosowując jego przepisy do RODO, które wprowadziło przesłankę istnienia „obowiązku prawnego” jako podstawy pobierania danych osobowych.

Zmienione przepisy pozwalają pracodawcy pytać również o inne dane osobowe niż te, które enumeratywnie wymienia kodeks pracy, jeśli jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisów prawa (art. 221 § 4 k.p.). Oznacza to, że firmy mogą gromadzić dodatkowe informacje w prowadzonych przez siebie aktach osobowych.

Nie zmieniła się forma, w jakiej dane osobowe pracowników mają być udostępniane pracodawcom – wciąż jest to oświadczenia osoby, której one dotyczą.

Oznacza to, że pracodawca może żądać przedłożenia do wglądu np. oryginałów stosownych certyfikatów, dyplomów i zaświadczeń potwierdzających kwalifikacje zawodowe. Nie powinno być też przeszkód, aby zweryfikował dane udostępnione przez pracownika w internecie, jeśli ten udostępnił je publicznie (np. referencje) na zawodowych portalach społecznościowych (np. LinkedIn).

W praktyce oznacza to, że pracodawcy nie mają prawa żądać od kandydatów do pracy i już zatrudnionych poddania się różnego rodzaju testom psychologicznym, kompetencyjnym, na inteligencję czy ocenom okresowym, chyba że taki wymóg wynika z przepisów rangi ustawy.

Art. 221a § 3 k.p. wskazuje, że dane udostępnia pracownik lub kandydat na pracownika. Uniemożliwia to praktykę pozyskiwania przez pracodawców danych osobowych od osób trzecich (np. opinii od byłych pracodawców) z pominięciem pracownika lub kandydata do pracy. Z tego samego powodu niedopuszczalne jest przeprowadzanie badań pracowników – nawet za ich zgodą – za pomocą poligrafu (wariografu), chyba że pozwalają na to przepisy ustawy.

Pracodawcy mają jedynie upoważnienie do żądania podania danych osobowych wymienionych w art. 221 § 3 k.p. lub też wyjątkowo (na podstawie art. 221 § 3 k.p.) innych danych tych osób, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisów prawa.

Jedynie zgoda pracownika na przetwarzanie danych osobowych innych niż wymienione w art. 221 § 3 k.p. może stanowić podstawę tego przetwarzania. Zgoda ta musi być dobrowolna, konkretna, świadoma, jak również jednoznacznie wskazywać na przyzwolenie do przetwarzania danych.

Z kolei w przypadku przetwarzania szczególnych kategorii danych (tzw. danych wrażliwych), o których mowa w art. 9 ust. 1 rozporządzenia 2016/679, ujawniających m.in. pochodzenie rasowe lub etniczne, przekonania religijne, orientację seksualną, czy też danych biometrycznych służących do zidentyfikowania osoby, zgoda może stanowić podstawę do ich przetwarzania wyłącznie w przypadku, gdy przekazanie tych danych nastąpiło z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika.

Do przetwarzania szczególnych kategorii danych osobowych na podstawie zgody pracownika mogą być dopuszczone wyłącznie osoby, które posiadają pisemne upoważnienie do przetwarzania takich danych wydane przez pracodawcę, z jednoczesnym obowiązkiem zachowania ich w tajemnicy (art. 221b § 3 k.p.).

Przepisy kodeksu pracy nie przesądzają, w jakiej formie ma zostać udzielona zgoda. Jednak administrator tych danych musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie szczególnej kategorii danych (art. 9 ust. 2a RODO).

Brak zgody na przetwarzanie dodatkowych danych osobowych bądź też wycofanie tej zgody nie mogą być podstawą do niekorzystnego traktowania pracownika, powodować dla niego jakichkolwiek negatywnych konsekwencji, jak również uzasadniać wypowiedzenia mu umowy o pracę lub jej rozwiązania bez wypowiedzenia przez pracodawcę.

Dane, których zasady przetwarzania przez pracodawców określa dodany art. 221b § 2 k.p, to dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne (art. 4 pkt 14 RODO). Do takich danych należy zaliczyć m.in. odciski linii papilarnych, geometrię dłoni, DNA czy skan tęczówki oka.

Nadal nie ma prawnej możliwości przetwarzania danych biometrycznych pracowników np. w celu kontroli czasu pracy. Taka forma kontroli w nowym stanie prawnym wciąż jest nieproporcjonalna do zamierzonego celu przetwarzania tych danych (wyrok Naczelnego Sądu Administracyjnego z 1 grudnia 2009 r., I OSK 249/09).

Brak zgody lub jej wycofanie nie może być podstawą niekorzystnego traktowania pracownika. Nie może także powodować wobec niego jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny wypowiedzenia umowy o pracę lub jej rozwiązania bez wypowiedzenia przez pracodawcę.

Artykuł ukazał się w dzienniku „Rzeczpospolita” w dniu 23-05-2019 r.