Czy prywatne dane kontaktowe znajdują się w katalogu danych, których podania może żądać pracodawca?

Wiele działów HR nadal chętnie zbierałoby od pracowników szeroki wachlarz ich danych osobowych „na wszelki wypadek”. Jednak przepisy Kodeksu pracy wyraźnie wskazują, jakiego rodzaju danych osobowych może od pracownika żądać pracodawca. Żądanie przekazania przez pracownika danych spoza tego katalogu, w szczególności na etapie zatrudnienia, może więc stanowić naruszenie obowiązujących przepisów.

Wśród wskazanych w Kodeksie pracy danych, których może wymagać pracodawca, brak jest prywatnych danych kontaktowych pracownika. Owszem, pracodawca ma prawo żądać podania danych kontaktowych, ale jedynie na etapie rekrutacji, kiedy to kandydat decyduje, jakiego rodzaju dane kontaktowe poda pracodawcy w celu umożliwienia kontaktów w sprawie rekrutacji. Takiego uprawnienia pracodawca nie ma już na etapie zatrudnienia.

Czy to znaczy, że pracodawca nie może w ogóle przetwarzać prywatnych danych kontaktowych pracownika?

Nie. Przetwarzanie będzie zasadniczo dopuszczalne, jeśli pracownik wyrazi dobrowolną zgodę na przetwarzanie tego rodzaju danych osobowych. Potwierdza to Urząd Ochrony Danych Osobowych, który wskazuje: Żeby pracodawca mógł przetwarzać w celach zawodowych dane kontaktowe do pracownika, które pozyskał podczas rekrutacji, takie jak np. adres prywatnej poczty elektronicznej czy numer prywatnego telefonu komórkowego, musi uzyskać na to jego zgodę (pisemną, określająca zasady kontaktu). Podobne stanowisko zajął Urząd w newsletterze z września 2023 r.

Decydując się na zbieranie od pracowników zgód na przetwarzanie prywatnych danych kontaktowych pracownika, pracodawca powinien pamiętać, że:

• z zapytania o zgodę powinno wyraźnie wynikać, że udzielenie zgody jest dobrowolne (jest to szczególnie istotne w relacjach pracodawca-pracownik, w których zaburzona jest równowaga pomiędzy stronami),
• zapytanie o zgodę powinno zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii oraz powinno być napisane jasnym i prostym językiem,
• pracownik ma prawo wycofać zgodę w dowolnym momencie i powinien zostać o tym poinformowany przed wyrażeniem zgody,
• zgoda powinna wyraźnie wskazywać, jaki będzie cel, w którym dane prywatne miałyby być wykorzystywane. Jeśli cele/okoliczności mają być różne (np. kontakty w sytuacjach nadzwyczajnych, podczas pandemii, kontakt podczas długotrwałych nieobecności), to rekomendowane jest zbieranie odrębnych zgód na dany cel wykorzystania. Ogólna wskazówka w tym zakresie jest taka, żeim mniej precyzyjna jest zgoda, tym wyższe będzie ryzyko jej zakwestionowania.

Pracodawca powinien nadto pamiętać, że zgodnie z RODO musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych. Dlatego odebranie zgody powinno zostać należycie udokumentowane, tak aby móc wykazać, że dana osoba wyraziła zgodę w określonej dacie i określonej treści.

Obowiązek informacyjny dotyczący przetwarzania prywatnych danych kontaktowych pracownika

Jedną z głównych zasad wynikających z przepisów o ochronie danych osobowych jest tzw. zasada przejrzystości, która nakłada na wszystkich administratorów danych obowiązek zapewnienia osobom, których dane przetwarzają, odpowiedniej informacji o planowanym przetwarzaniu ich danych osobowych stosownie do wymogów zawartych w art. 13 RODO.

Pracodawca powinien więc, co do zasady, przy okazji odbierania zgody przekazać swoim pracownikom informacje o przetwarzaniu ich prywatnych danych kontaktowych. Informacje te powinny obejmować m.in. ww. informacje o celu, podstawie i okresie planowanego przetwarzania danych osobowych (jeśli pracodawca przekazał wcześniej pracownikowi szeroką klauzulę informacyjną dotyczącą przetwarzania danych osobowych w celach związanych z zatrudnieniem, to dopuszczalne będzie przekazanie dodatkowo jedynie informacji unikatowych dla tego konkretnego przetwarzania).

A co jeśli pracownik odmówi udzielenia zgody lub ją wycofa?

Kodeks pracy wyraźnie wskazuje, że brak zgody lub jej wycofanie nie może być podstawą niekorzystnego traktowania pracownika oraz nie może powodować dla niego jakichkolwiek negatywnych konsekwencji – zwłaszcza nie może stanowić przyczyny uzasadniającej wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę. Pracodawca nie powinien zatem nakłaniać do udzielenia zgody. Nie powinien również w jakikolwiek sposób szykanować pracownika z powodu braku udzielenia lub wycofania zgody ani pogarszać jego sytuacji pracowniczej.

Wycofanie zgody powinno, co do zasady, powodować usunięcie prywatnych danych kontaktowych pracownika przez pracodawcę w zakresie, w którym pracownik wycofał zgodę. Co istotne, wycofanie zgody nie wpływa na legalność przetwarzania danych na podstawie zgody, którego pracodawca dokonywał przed wycofaniem zgody.

Czy zgoda jest jedyną dopuszczalną podstawą przetwarzania prywatnych danych kontaktowych?

Przetwarzanie prywatnych danych kontaktowych pracownika będzie także dopuszczalne, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Na przykład w związku z obowiązkiem zawarcia umowy o prowadzenie pracowniczych planów kapitałowych z wybraną instytucją finansową. Kwestia właściwej podstawy prawnej przetwarzania danych będzie wymagać odrębnej analizy w sytuacji, w której prywatne dane kontaktowe pracownika miałyby być wykorzystywane w innych celach niż cel kontaktowy.

Co to oznacza w praktyce?

Pracodawcy bardzo często zmagają się z problemem korzystania z prywatnych danych kontaktowych pracownika dopiero w momencie, gdy ten przebywa już dłuższy czas na zwolnieniu lekarskim lub gdy z innego powodu kontakt z pracownikiem jest utrudniony. W takiej sytuacji, jeśli pracodawca na wcześniejszym etapie nie zadbał o odebranie od pracownika stosownych zgód i tego nie udokumentował, wykorzystanie prywatnych danych kontaktowych pracownika bez ryzyk na gruncie przepisów o ochronie danych osobowych może nie być możliwe. Dlatego warto już wcześniej przygotować się na taką okoliczność i przygotować odpowiednie kwestionariusze z zapytaniem pracowników o zgodę na wykorzystanie ich prywatnych danych kontaktowych.

***

W kontekście przetwarzania danych osobowych w związku z zatrudnieniem warto wspomnieć, że pracodawcy powinni monitorować stronę Urzędu Ochrony Danych Osobowych, który ogłosił rozpoczęcie prac nad aktualizacją poradnika „Ochrona danych osobowych w miejscu pracy, Poradnik dla pracodawców”. Będziemy Państwa informować na bieżąco o postępach tych prac.

Karolina Romanowska, Łukasz Rutkowski