Zatrudnienie pracowników a RODO cz. II


Udostępnianie danych pracowników podmiotom zewnętrznym.

W czasie trwania stosunku pracy pracodawca niejednokrotnie zmuszony jest udostępnić dane pracowników innym podmiotom w celu realizacji przez nie ich uprawnień bądź w związku z oferowaniem przez nie na rzecz pracodawcy jak i jego pracowników pewnych usług. W każdej takiej sytuacji pracodawca musi mieć podstawę prawną zarówno do udostępnienia danych pracownika jak i żądania ich od innego podmiotu.

Przetwarzanie danych osobowych pracowników w ramach relacji pracodawcy z organizacją związkową.

Kwestie dotyczące uprawnień związków zawodowych oraz wzajemnych relacji między nimi a pracodawcą, które w sposób oczywisty wiążą się z przetwarzaniem danych pracowników, określają przepisy prawa. Wy-daje się jednak, że nie regulują w sposób wyczerpujący sposobu udostępnienia i zakresu danych, które te podmioty mogą między sobą wymieniać.

Czy pracodawca ma prawo zażądać od organizacji związkowej przedstawienia pełnej listy osób pozostających pod jej ochroną, gdy nie ma zamiaru zwolnić ich z pracy?

Przepisy prawa pracy przewidują współdziałanie pracodawcy z zakładową organizacją związkową w indywidualnych sprawach ze stosunku pracy. Pracodawca ma obowiązek współdziałać w takich sprawach z zakładową organizacją związkową reprezentującą pracownika z tytułu jego członkostwa w związku zawodowym albo wyrażenia zgody na obronę praw pracownika niezrzeszonego w związku – zgodnie z ustawą o związkach zawodowych. Jednak przepisy te nie mogą stanowić podstawy do pozyskiwania przez pracodawcę od związku zawodowego, wszystkich danych osobowych pracowników korzystających z ochrony tego związku. Odnoszą się one bowiem do ochrony stosunku pracy indywidualnego pracownika, w stosunku, do którego pracodawca chce np. wypowiedzieć umowę o pracę. Oznacza to, że pozyskiwanie informacji o przynależności związkowej pracownika w toku konsultacji ze związkami zawodowymi jest uzasadnione w razie zamiaru rozwiązania umowy o pracę z konkretnym pracownikiem. Jednak brak jest podstaw do pozyskiwania przez praco-dawcę od związku zawodowego danych osobowych w odniesieniu do wszystkich pracowników korzystających z ochrony danego związku zawodowego, w sytuacji, gdy pracodawca nie ma zamiaru ich zwolnić z pracy.

Przetwarzanie danych pracowników w ramach realizacji zadań z za-kresu medycyny pracy

Kodeks pracy zobowiązuje pracodawcę do kierowania pracowników na wstępne, okresowe i kontrolne badania lekarskie (zwane łącznie badaniami profilaktycznymi) i przechowywania orzeczeń wydanych na ich pod-stawie. Z kolei kwestię sposobu kierowania pracownika na te badania regulują przepisy ustawy o służbie medycyny pracy, które stanowią, że badania wstępne, okresowe i kontrolne pracowników oraz inne świadczenia zdrowotne są wykonywane na podstawie pisemnej umowy zawartej przez podmiot obowiązany do ich zapewnienia (pracodawcę) z podstawową jednostką służby medycyny pracy (podmioty wykonujące działalność leczniczą w celu sprawowania profilaktycznej opieki zdrowotnej nad pracującymi).

Czy kierując pracowników na badania profilaktyczne pracodawca musi zawrzeć z jednostką służby medycyny pracy umowę powierzenia?

Nie. Pracodawca i podstawowa jednostka służby medycyny pracy zawierając umowę, o której mowa powyżej, działają niezależnie od siebie (każdy z nich samodzielnie ustala cele i środki przetwarzania danych osobowych). A zatem są jak oddzielnymi administratorami danych.

Czy, a jeśli tak, to w jakim zakresie pracodawca może przetwarzać dane pracowników związane z przeprowadzonymi wobec nich badaniami profilaktycznymi?

Po przeprowadzonym badaniu profilaktycznym lekarz przeprowadzający badanie profilaktyczne dokonuje w dokumentacji medycznej pracownika opisu badania oraz wpisu treści orzeczenia, a następnie wydaje orzeczenie lekarskie osobie badanej oraz pracodawcy. Do przechowywania dokumentacji badań profilaktycznych stosuje się odpowiednio ogólnie obowiązujące przepisy o dokumentacji medycznej. Należy pamiętać przy tym, że dane zawarte w dokumentacji medycznej oraz dane zawarte w dokumentacji (dokumentacji badań i orzeczeń psychologicznych), są objęte tajemnicą zawodową i służbową. Dane te mogą być udostępniane wyłącznie podmiotom określonym w odrębnych przepisach i na zasadach określonych w tych przepisach.

Przetwarzanie danych pracowników w ramach organizowanych przez pracodawców szkoleń

Każdy pracodawca dąży do podnoszenia kwalifikacji swoich pracowników poprzez kierowanie ich na różnego rodzaju szkolenia. Oprócz szkoleń, do których przeprowadzenia pracodawca zobowiązany jest na podstawie przepisów prawa, np. z zakresu bhp, pracodawcy mogą zaoferować pracownikom szkolenia podnoszące ich kwalifikacje zawodowe (np. regulowane postanowieniami układów zbiorowych pracy, porozumień zbiorowych, regulaminów pracy, statutów pracy, umów o pracę). Ze względu na podmiot, który szkolenie organizuje, wyróżnić możemy szkolenia wewnętrzne – organizowane u pracodawcy i przez pracodawcę przy po-mocy własnych pracowników lub osób najętych (z zewnątrz) lub zewnętrzne – organizowane przez firmy szkoleniowe lub inne instytucje. Skierowanie pracownika na szkolenie wiąże się zaś w sposób oczywisty z przetwarzaniem jego danych.

Czy osoby szkolące z zakresu bhp mogą przetwarzać dane pracowników szkolonych?

Szkolenia z zakresu bhp mogą być przeprowadzone przez pracownika pracodawcy wyznaczonego np. ds. bhp lub podmiot zewnętrzny (osobę fizyczną lub firmę). Pracownik ds. bhp lub podmiot zewnętrzny będący osobą fizyczną powinni posiadać upoważnienie do przetwarzania danych osób biorących udział w szkoleniu. Z kolei firma zewnętrzna będzie musiała zawrzeć z pracodawcą umowę powierzenia przetwarzania danych osobowych.

Pracodawca chce zaoferować pracownikom szkolenia podnoszące ich kwalifikacje zawodowe. Jak się to ma do przetwarzania ich danych osobowych przez podmioty szkolące?

Podobnie jak w przypadku szkoleń z zakresu bhp, jeśli szkolenie prowadzi pracownik pracodawcy wyznaczony do przeprowadzania takich szkoleń, może szkolić pracowników. Jeżeli zewnętrzna firma szkoleniowa prześle do pracodawcy ofertę szkoleń i pracownicy pracodawcy zdecydują się na skorzystanie z tych szkoleń i następ-nie firma ta przekaże za pośrednictwem pracodawcy formularze (zgłoszenia) do wypełnienia przez pracowników (poprzez wpisanie ich danych osobowych), wówczas firma taka będzie administratorem ich danych osobowych. W tym przypadku firma szkoleniowa może przetwarzać dane osobowe pracownika na podstawie jego zgody. Natomiast, jeżeli pracodawca zajmie się rozdysponowaniem ww. formularzy do pracowników i następnie uzupełnione formularze odbierze od nich (by je przekazać firmie szkoleniowej) wówczas firma szkoleniowa będzie musiała zawrzeć z tym pracodawcą umowę powierzenia przetwarzania danych osobowych pracowników.

Jakie obowiązki wobec pracowników będzie miał pracodawca w przypadku zlecenia ich przeszkolenia firmie zewnętrznej?

Jeżeli szkolenie odbywa się w taki sposób, że pracownik bierze udział w szkoleniu, na które sam się zapisał w firmie zewnętrznej, natomiast pracodawca jedynie finansuje udział tego pracownika w szkoleniu, to firma zewnętrzna, jako odrębny administrator, przetwarza dane osobowe pracownika i będzie musiała wykonywać w stosunku do niego obowiązki informacyjne oraz pozostałe zadania określone w RODO.

Jeżeli firma szkoleniowa zewnętrzna będzie podmiotem, któremu pracodawca powierzy przetwarzanie danych osobowych, wówczas będzie musiała spełnić obowiązki spoczywające na takim podmiocie oraz zawarte w umowie powierzenia.

Jakie dane pracowników może przetwarzać podmiot zewnętrzny prowadzący szkolenie?

Adekwatne do celu pozyskania, czyli np.: imię, nazwisko, stanowisko służbowe, miejsce pracy. Dane takie mogą być niezbędne np. do sporządzenia listy obecności, jej sprawdzenia lub wydania zaświadczenia ze szkolenia. Należy pamiętać, że tzw. dane służbowe pracownika to też dane osobowe.

W jaki sposób można przekazać dane pracowników zewnętrznemu podmiotowi w celu ich prze-szkolenia?

Dane pracowników mogą być przekazane w formie listy pracowników. Przekazanie może nastąpić również w formularzach firmy zewnętrznej, wypełnionych przez pracowników.

Czy pracodawca może zgłosić pracownika na szkolenie bez jego zgody i w związku z tym również bez jego zgody przekazać jego dane osobowe?

Tak, ale pod pewnymi warunkami. Jeżeli pracodawca prowadzi szkolenie wewnętrzne lub zawiera umowę powierzenia przetwarzania danych z firmą zewnętrzną, to jest on uprawniony do udostępnienia danych osobowych pracownika w tym celu, również do firmy zewnętrznej. Powierzenie przetwarzania danych osobowych nie zmienia podstawy przetwarzania danych osobowych, skutkując jedynie tym, że przetwarza je pod-miot trzeci na polecenie pracodawcy.