Zmiany do Kodeksu pracy obowiązujące od maja 2019 r. rozstrzygnęły dotychczasowe wątpliwości co do dopuszczalności pozyskiwania przez pracodawców zgody pracowników na przetwarzanie ich danych osobowych.
Dotychczas sądy dość jednoznacznie wskazywały, że uznanie wyrażenia przez pracownika zgody na przetwarzanie jego danych osobowych za okoliczność legalizującą pobranie od pracownika innych danych osobowych niż wskazane w art. 221 Kodeksu pracy stanowiłoby naruszenie tego przepisu i obejście przepisów prawa (por. wyrok NSA z 1 grudnia 2009 r., I OSK 249/09, wyrok NSA z 6 września 2011 r., I OSK 1476/10). Co do zasady zatem za niedopuszczalne uznawano pozyskiwanie innych danych osobowych niż wskazane w art. 221 k.p. w oparciu o zgodę pracownika.
To rygorystyczne stanowisko prezentowane w tezach orzeczeń było jednak nieco łagodzone w uzasadnieniach wyroków. Sądy orzekające podzieliły bowiem pogląd tzw. Grupy Roboczej Art. 29, że „pracodawca popełnia błąd, jeżeli próbuje zalegalizować przetwarzanie danych osobowych pochodzących od pracownika za pomocą uzyskanej od pracownika zgody. Można posłużyć się zgodą, jeżeli odnosi się ona do przypadku, w którym pracownik ma całkowitą swobodę jej udzielenia i może odmówić udzielenia takiej zgody bez poniesienia szkody”.
Wydaje się, że powyższy pogląd Grupy Roboczej Art. 29 podzielił także ustawodawca polski, wprowadzając do Kodeksu pracy nowe art. 221a i art. 221b przewidujące dopuszczalność przetwarzania przez pracodawcę danych osobowych pracowników w oparciu o ich zgodę, ale także ograniczenia w stosowaniu takiej zgody.
Na gruncie nowych przepisów zgoda pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych innych niż wskazane w art. 221 § 1 i § 3 k.p., z wyłączeniem jednak danych osobowych, o których mowa w art. 10 ogólnego rozporządzenia o ochronie danych (tzw. RODO), czyli danych dotyczących wyroków skazujących, czynów zabronionych lub powiązanych środków bezpieczeństwa. Dane te mogą być przekazane z inicjatywy pracownika lub na wniosek pracodawcy. Pracodawca nie może jednak wnioskować do pracownika o udostępnienie tzw. szczególnych kategorii danych osobowych (dawniej zwanych danymi wrażliwymi).
Aby zgoda pracownika była ważna, musi spełniać wymogi określone przez RODO. W szczególności musi być udzielona dobrowolnie, a także stanowić świadome i jednoznaczne przyzwolenie osoby na przetwarzanie jej danych osobowych. Obowiązek wykazania dowolności udzielenia zgody spoczywa na administratorze danych (tu pracodawcy). Osoba udzielająca zgody powinna, przed jej udzieleniem, zostać poinformowana o możliwości jej cofnięcia, ze skutkiem na przyszłość (por. motywy 32, 42, 43 i art. 7 RODO).
Brak zgody pracownika lub jej wycofanie nie może być podstawą niekorzystnego traktowania pracownika. Nie może też powodować wobec niego jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenia umowy o pracę lub jej rozwiązania bez wypowiedzenia przez pracodawcę.
Dopuszczenie przez polskiego ustawodawcę zgody pracownika jako przesłanki legitymizującej przetwarzanie przez pracodawcę danych osobowych pracownika nie oznacza, że to rozwiązanie powinno być stosowane powszechnie. Pracodawcy przetwarzają bowiem dane osobowe pracowników przede wszystkim w oparciu o przesłanki wypełnienia nałożonych na nich obowiązków prawnych, wykonania umowy z pracownikiem oraz swoich prawnie uzasadnionych interesów (jeżeli mają one nadrzędny charakter wobec interesów, praw i wolności pracowników). W oparciu o zgodę pracownika przetwarzają dane jedynie wyjątkowo.
Ostatnio zwrócił na to uwagę grecki organ nadzorczy ds. danych osobowych, nakładając karę w wysokości 150 000 EUR na pracodawcę za przetwarzanie danych osobowych pracowników w oparciu o ich zgodę w sytuacji, gdy zastosowanie mogły mieć inne podstawy prawne przetwarzania. Organ grecki zarzucił pracodawcy, obok naruszenia zasady rozliczalności, także naruszenie zasad zgodności z prawem, rzetelności i przejrzystości, jak również zasad minimalizacji danych i ograniczenia celu, gdyż pracodawca wprowadzał pracowników w błąd, że przetwarza ich dane osobowe na podstawie zgody, podczas gdy w rzeczywistości przetwarzał je na innej podstawie, o której pracowników nie poinformował.
Katarzyna Żukowska
