Czy można przetwarzać dane pracownika w oparciu o uzasadniony interes?

RODO wyróżnia sześć podstaw prawnych przetwarzania danych osobowych. Jedną z nich jest tzw. uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). W kontekście stosunku pracy pojawia się – w szczególności po nowelizacji Kodeksu pracy dostosowującej Kodeks do wymogów RODO – pytanie o możliwość stosowania tej podstawy prawnej przetwarzania danych osobowych w stosunku do pracowników.

Znowelizowany przepis art. 22(1) Kodeksu pracy wskazuje, jakich danych osobowych może pracodawca (chociaż przepis nie mówi o „możności”, a o „obowiązku” – to już temat na odrębny wpis) żądać od kandydata do pracy i od pracownika. Nie rozwodząc się na temat zakresu stosowania tego przepisu, nie sposób pominąć faktu, że zawiera on pewien katalog danych osobowych. W tym miejscu pojawia się kolejne pytanie: czy ten katalog jest przykładowy czy zamknięty? Nazwać go przykładowym, to tak jakby wskazać ustawodawcy: piszesz bzdury! Bo przecież nie widać w przywołanym przepisie charakterystycznych prawniczych zwrotów „w szczególności czy też „między innymi”. Nie traćmy jednak z pola widzenia kolejnego artykułu czyli art. 22(1a) Kodeksu pracy, który dopuszcza możliwość stosowania zgody (art. 6 ust. 1 lit. a RODO) jako podstawy przetwarzania danych pracownika. Oczywiście brak udzielenia takiej zgody przez pracownika nie może skutkować dla niego negatywnymi konsekwencjami.

Mamy zatem pewność, że ustawodawca w polskim porządku prawnym dopuszcza możliwość stosowania przepisu prawa (art. 6 ust. 1 lit. c RODO) oraz zgody (art. 6 ust. 1 lit. a RODO) do przetwarzania danych osobowych pracowników, przyznając jednak prymat przepisowi prawa (przy czym nie ogranicza się to tylko do samego Kodeksu pracy).

Jednak czy to aby na pewno wszystkie podstawy przetwarzania? Przecież w Kodeksie pracy nigdzie nie wyłączono innych podstaw, w tym uzasadnionego interesu? Czy ustawodawca czegoś nie dopatrzył?

Raczej mamy tu do czynienia z pewną luką lub niedopatrzeniem, które począwszy od wejścia w życie nowelizacji Kodeksu pracy wywołuje niemałe kontrowersje.

Spójrzmy zatem na przepis art. 88 ust. 1 RODO:

Państwa członkowskie mogą zawrzeć w swoich przepisach lub w porozumieniach zbiorowych bardziej szczegółowe przepisy mające zapewnić ochronę praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z zatrudnieniem, w szczególności do celów rekrutacji, wykonania umowy o pracę, w tym wykonania obowiązków określonych przepisami lub porozumieniami zbiorowymi, zarządzania, planowania i organizacji pracy, równości i różnorodności w miejscu pracy, bezpieczeństwa i higieny pracy, ochrony własności pracodawcy lub klienta oraz do celów indywidualnego lub zbiorowego wykonywania praw i korzystania ze świadczeń związanych z zatrudnieniem, a także do celów zakończenia stosunku pracy”.

Powyższy przepis mówi o „bardziej szczegółowych przepisach”. Tymi przepisami są na pewno przepisy Kodeksu pracy w obecnym brzmieniu. Zatem w zasadzie art. 88 ust. 1 RODO wydaje się nie wyłączać możliwości stosowania innych podstaw przetwarzania w kontekście zatrudnienia. Nie daje jednak jednocześnie wyraźnej odpowiedzi na postawione w tym artykule pytanie.

W opinii 2/2017 Grupy Roboczej art. 29 z dnia 8 czerwca 2017 r. na temat przetwarzania danych w miejscu pracy czytamy:

Niekiedy pracodawcy mogą powołać się na uzasadniony interes, wskazując go jako podstawę prawną podejmowanych działań, pod warunkiem że przetwarzanie danych jest bezwzględnie konieczne ze względów prawnych i zgodne z zasadami proporcjonalności i pomocniczości. Przed wdrożeniem jakiegokolwiek narzędzia monitorowania należy przeprowadzić analizę proporcjonalności, aby zbadać, czy wszystkie dane są niezbędne, czy konieczność przetwarzania danych przeważa nad ogólnymi prawami pracowników do prywatności, które przysługują im również w miejscu pracy, oraz czy w danym przypadku zachodzi potrzeba wdrożenia środków zapewniających ograniczenie skali naruszenia prawa do życia i poufności komunikacji do niezbędnego minimum”.

Na czym miałoby jednak polegać przetwarzania danych „bezwzględnie konieczne ze względów prawnych”? Nadal nie możemy znaleźć klarownej odpowiedzi.

Należałoby zatem skupić się na przepisach prawa polskiego czyli na Kodeksie pracy. Argument za tym, że w stosunkach pracy nie powinno stosować się uzasadnionego interesu jako podstawy przetwarzania danych osobowych pracowników wydaje się wynikać z zasad logiki i założenia racjonalności ustawodawcy: skoro ustawodawca sam wskazał wyraźnie katalog danych osobowych, których pracodawca żąda od pracownika w oparciu o przepis Kodeksu pracy, a dodatkowo może w pewnych warunkach przetwarzać inne dane na podstawie zgody pracownika, to jaki byłby w ogóle sens umieszczania tego przepisu w Kodeksie pracy, skoro i tak pracodawca mógłby powołać się na uzasadniony interes, względnie inne podstawy prawne przetwarzania? Liberalne podejście pozwalające na stosowanie uzasadnionego interesu w stosunkach pracy zatem nie wydaje się zasadne, gdyż rozbija wykładnię celowościową Kodeksu pracy, a z pewnością celem ustawodawcy było wyraźnie wskazanie, jakie dane osobowe pracowników i na jakiej podstawie mogą być przetwarzane.

Problem jednak póki co nie jest rozstrzygnięty w praktyce, a zatem pozostaje czekać na decyzje PUODO oraz orzeczenia sądów w tej materii.

Skomentuj

Wprowadź swoje dane lub kliknij jedną z tych ikon, aby się zalogować:

Logo WordPress.com

Komentujesz korzystając z konta WordPress.com. Wyloguj /  Zmień )

Zdjęcie na Google

Komentujesz korzystając z konta Google. Wyloguj /  Zmień )

Zdjęcie z Twittera

Komentujesz korzystając z konta Twitter. Wyloguj /  Zmień )

Zdjęcie na Facebooku

Komentujesz korzystając z konta Facebook. Wyloguj /  Zmień )

Połączenie z %s