Dane osobowe przetwarzane przez działy HR to nie tylko imię i nazwisko czy adres zamieszkania. To również informacje o stanie zdrowia, wykształceniu, sytuacji rodzinnej czy przebiegu zatrudnienia – dane, które nieodpowiednio zabezpieczone lub przetwarzane mogą prowadzić do poważnych naruszeń prywatności i konsekwencji prawnych. Odpowiedzialność nie kończy się na poprawnym zebraniu zgód czy zamieszczeniu klauzuli informacyjnej – kluczowe jest pełne wdrożenie zasad rozliczalności, minimalizacji danych, celowości przetwarzania i zapewnienia ich bezpieczeństwa.
Spis treści:
- Pracownicy a RODO – jaki zakres danych można zbierać?
- Czy zgoda to zawsze dobre rozwiązanie?
- Wizerunek pracownika – kiedy można go użyć?
- Strona internetowa, social media, eventy – gdzie czyhają pułapki?
- Cyfrowy „delete” – jak skutecznie usuwać dane ze zbiorów elektronicznych?
- Błąd ludzki – najsłabsze ogniwo procesu zabezpieczenia danych.
Pracownicy a RODO – jaki zakres danych można zbierać?
Czy pracodawca powinien wiedzieć wszystko o swoich pracownikach? Zdecydowanie nie. Zakres danych, które pracodawca może pozyskać, jasno określa art. 22(1) §1 i §3 Kodeksu pracy. Obejmuje on m.in. imię, nazwisko, PESEL, dane kontaktowe, informacje o wykształceniu i przebiegu dotychczasowego zatrudnienia.
Pozyskiwanie innych danych – np. dotyczących sytuacji rodzinnej, hobby, czy preferencji zdrowotnych – może być uznane za nieuprawnione, chyba że istnieje ku temu konkretna podstawa prawna. RODO przewiduje sześć podstaw przetwarzania danych osobowych, wskazanych w art. 6, z których należy skorzystać, gdy katalog kodeksowy jest niewystarczający:
- zgoda osoby, której dane dotyczą,
- zawarcie i wykonanie umowy,
- wykonanie obowiązku prawnego,
- ochrona żywotnego interesu osoby,
- wykonanie zadania realizowanego w interesie publicznym,
- realizacja prawnie uzasadnionego interesu administratora.
Pracodawca, nawet kierując się dobrą wolą czy chęcią lepszego poznania zespołu, powinien zachować szczególną ostrożność przy gromadzeniu informacji wykraczających poza obowiązujący katalog. Zamiast zadawać pytanie: „czy mogę to wiedzieć?”, warto zapytać: „czy rzeczywiście muszę to wiedzieć?”. Każde przetwarzanie danych osobowych wymaga bowiem wskazania konkretnej podstawy prawnej – czy to z Kodeksu pracy, czy jednej z przesłanek określonych w RODO. Świadome i zgodne z prawem przetwarzanie danych to nie tylko obowiązek, ale też wyraz szacunku wobec prywatności pracowników.
Czy zgoda to zawsze dobre rozwiązanie?
Zgoda na przetwarzanie danych osobowych bywa często postrzegana jako najprostsza i najpewniejsza podstawa prawna do działań w obszarze HR. Jednak w rzeczywistości jest to rozwiązanie „subsydiarne” — stosowane jedynie wtedy, gdy inne podstawy prawne nie mają zastosowania. Oznacza to, że zgoda nie powinna być stosowana automatycznie, „na wszelki wypadek” lub wyłącznie dla wygody administratora..
Co więcej, zgoda musi być dobrowolna i może zostać wycofana w dowolnym momencie przez osobę, której dane dotyczą. Wycofanie zgody oznacza, że dalsze przetwarzanie danych na tej podstawie przestaje być możliwe. To rodzi pewne wyzwania w zarządzaniu danymi – organizacje muszą być przygotowane na takie sytuacje i posiadać odpowiednie procedury oraz narzędzia, aby szybko zareagować i usunąć lub zmienić sposób przetwarzania danych.
W procesach kadrowych i rekrutacyjnych zgoda nie zawsze jest wymagana. Przykład: przesłanie CV przez kandydata nie wymaga wyrażenia zgody – akt ten jest jednoznacznym wyrażeniem woli udziału w procesie rekrutacyjnym. Firma może więc przetwarzać dane w ramach tego konkretnego celu bez konieczności pytania o zgodę.
Problem pojawia się natomiast, gdy administrator chciałby zachować CV i inne dane kandydatów „na przyszłość”, na potrzeby kolejnych rekrutacji czy innych działań. Wówczas, z uwagi na nowy cel przetwarzania danych zgoda staje się niezbędna.
Wizerunek pracownika – kiedy można go użyć?
Wizerunek to dana osobowa, a więc jego przetwarzanie wymaga ostrożności. Najłatwiej tę kwestię wytłumaczyć na konkretnych przykładach.
Zdjęcie na identyfikatorze pracowniczym –zamieszczenie wizerunku na identyfikatorze wymaga wyraźnej, dobrowolnej zgody pracownika. Wizerunek bowiem wykracza poza katalog art. 22(1) Kodeksu pracy. To pracownik powinien zdecydować zatem, czy chce, aby jego zdjęcie znalazło się na tego typu dokumencie, który jest używany w codziennym funkcjonowaniu firmy.
Wizerunek na identyfikatorze pracownika ochrony – w tym przypadku przepisy ustawy o ochronie osób i mienia wymagają zamieszczenia wizerunku pracowników ochrony na legitymacjach służbowych dla celów identyfikacyjnych,
Oznacza to, że w tym przypadku zgoda nie jest wymagana, ponieważ przetwarzanie odbywa się na podstawie obowiązku prawnego. Warto pamiętać, że zgoda może zostać w każdej chwili wycofana, a jej brak nie może wpływać negatywnie na sytuację zawodową pracownika. Co istotne, w sytuacjach, gdy przetwarzanie danych wynika z obowiązku prawnego – jak w przypadku pracowników ochrony – pozyskiwanie zgody byłoby nie tylko zbędne, ale wręcz poważnym błędem. Taka zgoda mogłaby bowiem zostać w każdej chwili wycofana, co prowadziłoby do nieuzasadnionych komplikacji, mimo że obowiązek przetwarzania danych nadal by istniał. Dlatego kluczowe jest zawsze prawidłowe ustalenie podstawy prawnej – zanim sięgniemy po zgodę, upewnijmy się, że rzeczywiście jest ona konieczna.
Strona internetowa, eventy, wizytówki – gdzie czyhają pułapki?
Publikacja zdjęcia pracownika w zakładce „Nasz zespół” na stronie internetowej lub w materiałach promocyjnych wymaga uzyskania jego zgody. Sam fakt zatrudnienia nie upoważnia pracodawcy do publicznego udostępniania wizerunku pracownika.
Podobnie sytuacja wygląda w przypadku zdjęć z eventów firmowych. Nawet jeśli pracownik sam udostępnił swoje zdjęcie na prywatnym profilu w mediach społecznościowych, nie oznacza to automatycznej zgody na publikację tego zdjęcia przez pracodawcę w oficjalnych kanałach firmy.
W relacjach zawodowych warto stawiać na transparentność i szacunek wobec prywatności – każdorazowe zapytanie o zgodę nie tylko chroni przed naruszeniem przepisów, ale też buduje zaufanie i poczucie bezpieczeństwa w zespole.
Cyfrowy „delete” – jak skutecznie usuwać dane ze zbiorów elektronicznych?
W erze cyfrowej usunięcie danych nie zawsze oznacza ich trwałe zniszczenie. Kliknięcie „usuń” często jedynie ukrywa informacje w systemie, a nie eliminuje je fizycznie z baz danych, kopii zapasowych czy logów. Tymczasem RODO wymaga skutecznego i nieodwracalnego usunięcia danych, jeśli nie ma już podstaw do ich dalszego przetwarzania.
Administrator danych musi być w stanie udokumentować ten proces – np. poprzez procedury anonimizacji lub techniczne zniszczenie danych. W praktyce oznacza to konieczność wdrożenia odpowiednich polityk i narzędzi, które umożliwią skuteczne usuwanie danych z głównych systemów operacyjnych, ale także z kopii zapasowych, chmur i innych środowisk przetwarzania.
Co więcej, proces ten powinien być okresowo testowany i udoskonalany, tak aby administrator mógł nie tylko wykazać zgodność z RODO, ale również zagwarantować realną ochronę prywatności osób, których dane dotyczą.
Błąd ludzki – najsłabsze ogniwo procesu zabezpieczenia danych
Nawet najlepsze systemy informatyczne i wdrożone procedury RODO nie zagwarantują bezpieczeństwa danych, jeśli pracownicy nie będą świadomi swojej roli w ich ochronie. To właśnie człowiek jest najsłabszym – ale i najważniejszym – ogniwem każdego systemu bezpieczeństwa. Dlatego kluczowe są:
- regularne szkolenia pracowników,
- jasne procedury wewnętrzne,
- przemyślane nadawanie uprawnień dostępu,
- oraz stała kontrola i audyty.
🔐 Chcesz uniknąć błędów i zwiększyć bezpieczeństwo danych osobowych w firmie?
Pobierz bezpłatnie nagranie z webinaru, który przeprowadziliśmy wspólnie z Omni Modo, i sprawdź, jak skutecznie szkolić zespół z ochrony danych w HR.
Kontakt:
