RODO w kadrach i płacach: definicja i znaczenie w praktyce prawnej

Przetwarzanie danych osobowych w obszarze kadr i płac stanowi jeden z najbardziej wymagających i wrażliwych aspektów działalności każdego pracodawcy. Codzienna praktyka działów HR wiąże się z operowaniem ogromną ilością informacji o charakterze prywatnym, finansowym, a niejednokrotnie także medycznym. Wdrożenie Ogólnego Rozporządzenia o Ochronie Danych (RODO) zrewolucjonizowało podejście do zarządzania tymi zasobami, nakładając na pracodawców szereg rygorystycznych obowiązków. Zrozumienie, jak przepisy te korelują z krajowym prawem pracy, jest kluczem do bezpiecznego i zgodnego z prawem prowadzenia przedsiębiorstwa.

Czym jest RODO w kadrach i płacach? Definicja i ramy prawne

Pojęcie "RODO w kadrach i płacach" odnosi się do ogółu norm prawnych, procedur oraz zabezpieczeń technicznych i organizacyjnych, które pracodawca (jako administrator danych osobowych) musi zastosować przy przetwarzaniu danych kandydatów do pracy, obecnych pracowników, a także byłych zatrudnionych i ich rodzin. Głównym celem tych regulacji jest ochrona prawa do prywatności osób fizycznych przy jednoczesnym umożliwieniu pracodawcy realizacji jego ustawowych obowiązków wynikających z zatrudnienia.

W polskim porządku prawnym kluczowe znaczenie ma powiązanie przepisów unijnego rozporządzenia z ustawą z dnia 26 czerwca 1974 r. – Kodeks pracy. To właśnie Kodeks pracy, a w szczególności jego artykuły od 221 do 223, precyzyjnie określa, jakich danych pracodawca może żądać od kandydata oraz pracownika, a także w jaki sposób może prowadzić monitoring w miejscu pracy. RODO stanowi tu ogólne ramy i nakłada obowiązki proceduralne, natomiast Kodeks pracy wyznacza konkretne granice dopuszczalności pozyskiwania informacji.

Podstawowe zasady przetwarzania danych w działach HR

Aby przetwarzanie danych w obszarze kadr i płac było zgodne z prawem, musi opierać się na fundamentalnych zasadach określoncych w art. 5 RODO. W praktyce działów personalnych najważniejsze z nich to:

Zasada zgodności z prawem, rzetelności i przejrzystości: Każde działanie na danych pracownika musi mieć jasną podstawę prawną (np. przepis prawa, wykonanie umowy lub zgoda), a pracownik musi być w pełni poinformowany o tym, kto, w jakim celu i jak długo przetwarza jego dane.
Zasada ograniczenia celu: Dane mogą być zbierane wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach (np. naliczenie wynagrodzenia, zgłoszenie do ZUS) i nie mogą być przetwarzane dalej w sposób niezgodny z tymi celami.
Zasada minimalizacji danych: Pracodawca powinien żądać tylko tych danych, które są absolutnie niezbędne do osiągnięcia celu. Zbieranie informacji "na zapas" jest rażącym naruszeniem prawa.
Zasada prawidłowości: Dane muszą być poprawne i w razie potrzeby uaktualniane. Działy płacowe muszą dbać o to, by np. numery rachunków bankowych czy adresy zamieszkania były zawsze aktualne.
Zasada ograniczenia przechowywania (retencji): Dane nie mogą być przechowywane dłużej, niż jest to konieczne. Po upływie okresów przedawnienia roszczeń lub ustawowych terminów przechowywania akt osobowych, dokumenty muszą zostać trwale zniszczone lub zanonimizowane.
Zasada integralności i poufności: Pracodawca musi wdrożyć odpowiednie środki techniczne (np. szyfrowanie, zabezpieczenia haseł) i organizacyjne (np. upoważnienia do przetwarzania danych, szafy zamykane na klucz), aby chronić dane przed przypadkowym lub niezgodnym z prawem zniszczeniem, utratą czy dostępem osób nieuprawnionych.

Zakres danych osobowych w procesie rekrutacji i zatrudnienia

Jednym z najczęstszych Źródeł wątpliwości interpretacyjnych jest zakres danych, jakie pracodawca może pozyskać na poszczególnych etapach relacji z pracownikiem. Polskie przepisy wyraźnie dzielą ten proces na etap rekrutacji oraz etap właściwego zatrudnienia.

Dane kandydatów do pracy

Zgodnie z art. 221 § 1 Kodeksu pracy, od osoby ubiegającej się o zatrudnienie pracodawca może żądać podania wyłącznie następujących danych osobowych:

imię (imiona) i nazwisko;
data urodzenia;
dane kontaktowe wskazane przez takś osobę;
wykształcenie, kwalifikacje zawodowe oraz przebieg dotychczasowego zatrudnienia (gdy jest to niezbędne do wykonywania pracy określongo rodzaju lub na określonym stanowisku).

Żądanie innych danych, takich jak stan cywilny, plany rodzinne, poglądy polityczne czy orientacja seksualna, jest niedopuszczalne i może zostać uznane za dyskryminację oraz naruszenie przepisów RODO.

Dane pracowników

Z chwilą nawiązania stosunku pracy, zakres danych, których pracodawca może (a wręcz musi) żądać, ulega rozszerzeniu. Na podstawie art. 221 § 3 Kodeksu pracy są to dodatkowo:

adres zamieszkania;
numer PESEL (oraz rodzaj i numer dokumentu tożamości w przypadku braku PESEL);
inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest niezbędne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy (np. ubezpieczenie zdrowotne, ZFŚAS);
wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie było podstawy do ich żądania od kandydata;
numer rachunku płatniczego, chyba że pracownik złożył wniosek o wypłatę wynagrodzenia do ręk własnych.

Obowiązek informacyjny pracodawcy

Każdy pracodawca ma bezwzględny obowiązek poinformowania pracownika oraz kandydata do pracy o szczegółach przetwarzania ich danych osobowych. Obowiązek ten realizuje się poprzez tzw. klauzulę informacyjną (zgodną z art. 13 RODO). Powinna być ona przedstawiona kandydatowi już na etapie zbierania aplikacji (np. jako link lub treść pod ogłoszeniem o pracę), a pracownikowi – najpźniej w dniu rozpoczęcia pracy.

Klauzula informacyjna musi zawierać m.in. tożsamość i dane kontaktowe administratora (pracodawcy), dane kontaktowe Inspektora Ochrony Danych (jeśli został powołany), cele i podstawy prawne przetwarzania, informacje o odbiorcach danych (np. biuro rachunkowe, dostawcy systemów IT), okres przechowywania danych, a także pouczenie o prawach przysługujących osobie, której dane dotyczą (w tym o prawie do wniesienia skargi do organu nadzorczego).

Wniosek pracownika a realizacja jego praw

RODO wyposaża pracowników w szereg uprawnień, które mogą realizować poprzez złożenie odpowiedniego dokumentu, jakim jest wniosek o realizację praw. Pracodawca ma obowiązek rozpatrzyć taki wniosek bez zbędnej zwłoki, a w każdym razie w terminie jednego miesiąca od jego otrzymania. W skomplikowanych przypadkach termin ten może zostać przedłużony o kolejne dwa miesiące, o czym należy pracownika poinformować.

Do najważniejszych praw pracownika należą:

Prawo dostępu do danych (art. 15 RODO): Pracownik ma prawo uzyskać od pracodawcy potwierdzenie, czy przetwarza jego dane, a także otrzymać kopię tych danych (np. kopię akt osobowych).
Prawo do sprostowania danych (art. 16 RODO): Jeśli dane są nieaktualne lub błędne, pracownik może żądać ich poprawienia.
Prawo do usunięcia danych ("prawo do bycia zapomnianym" - art. 17 RODO): Uprawnienie to ma ograniczone zastosowanie w stosunkach pracy. Pracownik nie może żądać usunięcia danych, które pracodawca ma obowiązek przechowywać na podstawie przepisów prawa (np. dokumentacji płacowej dla celów emerytalno-rentowych). Może jednak żądać usunięcia danych przetwarzanych na podstawie zgody (np. zdjęcia na identyfikatorze) po jej wycofaniu.
Prawo do ograniczenia przetwarzania (art. 18 RODO): Pracownik może żądać wstrzymania operacji na jego danych w określoncych sytuacjach, np. gdy kwestionuje ich prawidłowość.

Przetwarzanie danych szczególnych kategorii (danych wrażliwych)

W kadrach i płacach niezwykle istotną kwestią jest przetwarzanie danych szczególnych kategorii, o których mowa w art. 9 RODO (dawniej określancych jako dane wrażliwe). Należą do nich m.in. dane dotyczące zdrowia (np. orzeczenia o stopniu niepełnosprawności, zaświadczenia lekarskie o zdolności do pracy, zwolnienia lekarskie ZLA) czy przynależności związkowej.

Przetwarzanie takich danych jest co do zasady zabronione, chyba że zachodzi jedna z przesłanek określoncych w art. 9 ust. 2 RODO. W kontekście zatrudnienia najczęstszą podstawĕ stanowi niezbędność do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej (art. 9 ust. 2 lit. b RODO). Przykładowo, pracodawca musi przetwarzać dane o niepełnosprawności pracownika, aby prawidłowo naliczyć wymiar urlopu wypoczynkowego czy ustalić czas pracy, co bezpośrednio wynika z przepisów prawa.

Warto pamiętać, że zgodnie z polskim Kodeksem pracy, przetwarzanie przez pracodawcę danych szczególnych kategorii (z wyjątkiem danych dotyczących wyroków skazujących i naruszeń prawa) jest dopuszczalne także wtedy, gdy przekazanie tych danych następuje z inicjatywy pracownika lub kandydata i za jego zgodą. Zgoda ta musi być wyrażona w formie pisemnej lub elektronicznej. Pracodawca nie może jednak w żaden sposób wymuszać takiej zgody ani wyciągać negatywnych konsekwencji w przypadku jej braku.

Monitoring w miejscu pracy a ochrona prywatności pracownika

Wprowadzenie monitoringu wizyjnego, monitoringu poczty elektronicznej czy innych form kontroli pracowników (np. GPS w samochodach służbowych) to kolejny obszar, w którym RODO ściśle współgra z Kodeksem pracy. Zgodnie z art. 222 Kodeksu pracy, monitoring wizyjny może być wprowadzony wyłącznie wtedy, gdy jest to niezbędne do zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę.

Pracodawca ma obowiązek poinformować pracowników o wprowadzeniu monitoringu w sposób przyjęty u danego pracodawcy (np. poprzez obwieszczenie, regulamin pracy) nie pźniej niż 2 tygodnie przed jego uruchomieniem. Dodatkowo, przed dopuszczeniem pracownika do pracy, należy przekazać mu pisemną informację o celach, zakresie oraz sposobie zastosowania monitoringu. Wszystkie nagrania z monitoringu mogą być przechowywane przez okres nieprzekraczający 3 miesięcy, chyba że stanowią one dowód w postępowaniu – własnie wtedy termin ten ulega przedłużeniu do czasu prawomocnego zakończenia sprawy. Po tym terminie nagrania muszą zostać trwale zniszczone.

Przechowywanie dokumentacji kadrowo-płacowej i terminy retencji

Jednym z kluczowych wyzwaś w kadrach i płacach jest przestrzeganie okresów przechowywania dokumentacji. RODO nakazuje, aby dane były przechowywane nie dłużej, niż jest to niezbędne do celów, w których są przetwarzane. W przypadku dokumentacji pracowniczej terminy te są ściśle regulowane przez polskie prawo krajowe.

Dla pracowników zatrudnionych po 1 stycznia 2019 r. okres przechowywania akt osobowych oraz dokumentacji w sprawach związanych ze stosunkiem pracy wynosi co do zasady 10 lat, liczący od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł. Dla pracowników zatrudnionych przed tą datą okres ten może wynosić 50 lat, chyba że pracodawca złożył odpowiednie raporty informacyjne do ZUS (ZUS OSW oraz ZUS RIA), co pozwala na skrăcenie tego okresu do 10 lat dla osób zatrudnionych w latach 1999-2018.

Po upływie tych terminów pracodawca ma obowiązek trwale zniszczyć dokumentację w sposób uniemożliwiający odtworzenie danych osobowych. Pozostawienie dokumentów w archiwum "na wszelki wypadek" po upływie okresu retencji stanowi bezpośrednie naruszenie zasad RODO.

Rola organu nadzorczego (UODO) i konsekwencje naruszeń

Instytucją odpowiedzialną za monitorowanie stosowania przepisów o ochronie danych osobowych w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (PUODO) – centralny organ administracji rządowej. Organ ten posiada szerokie uprawnienia kontrolne i śledcze. Może przeprowadzać kontrole w siedzibie pracodawcy, żądać dostępu do dokumentów oraz nakładać administracyjne kary pieniężne.

W przypadku stwierdzenia naruszenia przepisów RODO w kadrach i płacach (np. wyciek danych płacowych, brak upoważnień dla pracowników działu HR, nielegalny monitoring), organ nadzorczy może nałożyć karę finansową sięgającą do 20 000 000 EUR lub do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego. Ponadto pracodawca musi pamiętać o obowiązku zgłoszenia każdego poważnego naruszenia ochrony danych osobowych do PUODO w terminie 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

Praktyczny przykład: Obsługa wniosku o usunięcie danych po zakończonej rekrutacji

Aby lepiej zobrazować funkcjonowanie przepisów RODO w codziennej praktyce kadrowej, przeanalizujmy następujący scenariusz:

Pani Anna brała udział w procesie rekrutacyjnym na stanowisko specjalisty ds. marketingu w firmie XYZ. Rekrutacja zakończyła się 15 marca, a stanowisko objął inny kandydat. W ogłoszeniu o pracę firma XYZ zamieściła klauzulę informacyjną wskazującą, że dane kandydatów będą przechowywane przez okres 3 miesięcy od zakończenia rekrutacji w celu obrony przed ewentualnymi roszczeniami (np. z tytułu dyskryminacji). Dnia 10 kwietnia pani Anna złożyła pisemny wniosek o natychmiastowe usunięcie jej CV oraz wszelkich danych osobowych z bazy firmy.

Analiza prawna i postępowanie pracodawcy:

Weryfikacja podstawy prawnej: Pracodawca przetwarza dane pani Anny po zakończeniu rekrutacji na podstawie swojego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), jakim jest zabezpieczenie dowodów na wypadek zarzutu dyskryminacji w procesie rekrutacji (roszczenia takie przedawniają się z upływem 3 lat, jednak pracodawca sam ograniczył w klauzuli ten termin do 3 miesięcy).
Ocena wniosku: Ponieważ podstawą przetwarzania jest prawnie uzasadniony interes, wniosek pani Anny należy potraktować jako sprzeciw wobec przetwarzania danych (art. 21 RODO). Pracodawca musi dokonać tzw. testu wyważenia – ocenić, czy jego interes (obrona przed roszczeniami) przeważa nad prawami i wolnościami pani Anny.
Decyzja i termin: Pracodawca ma prawo odmówić natychmiastowego usunięcia danych, jeśli wykaże, że istnieją ważne, prawnie uzasadnione podstawy do ich dalszego przetwarzania (np. realne ryzyko sporu prawnego). Jeśli jednak takie ryzyko nie zachodzi, a standardowy okres 3 miesięcy jeszcze nie upłynął, pracodawca może przychylić się do wniosku. Odpowiedź na wniosek musi zostać udzielona w nieprzekraczalnym terminie jednego miesiąca.
Realizacja: Jeśli pracodawca decyduje się na usunięcie danych, musi trwale skasować plik CV z dysków sieciowych, skrzynek e-mail oraz zniszczyć ewentualne wydruki papierowe. O fakcie tym należy pisemnie lub elektronicznie poinformować panię Annę.

Najczęstsze błędy w obszarze kadr i płac

Praktyka pokazuje, że działy kadr i płac, mimo rosnącej świadomości prawnej, wciąż popełniają błędy, które mogą skutkować dotkliwymi konsekwencjami. Do najpowszechniejszych należą:

Brak upoważnień do przetwarzania danych: Pracownicy działu HR, księgowości czy kadra zarządzająca mająca dostęp do danych podwladnych muszą posiadać pisemne upoważnienia wydane przez administratora. Brak takich dokumentów to rażące naruszenie procedur.
Przesyłanie pasków płacowych otwartym tekstem: Wysyłanie informacji o wynagrodzeniach drogą mailową bez zabezpieczenia pliku hasłem (np. pliku PDF z paskiem płacowym) jest niedopuszczalne. Hasło nie powinno być przesyłane w tej samej wiadomości.
Kserowanie dowodów osobistych: Pozyskiwanie kopii dokumentów tożamości pracowników lub kandydatów jest co do zasady nielegalne. Pracodawca ma prawo jedynie wględu do dowodu w celu weryfikacji danych.
Niewłaściwe przechowywanie dokumentów: Pozostawianie akt osobowych na biurkach (tzw. brak polityki czystego biurka) czy przechowywanie ich w niezamykanych szafach, do których dostęp mają osoby trzecie (np. personel sprzątający).

Podsumowanie

Zapewnienie zgodności z RODO w obszarze kadr i płac to nie jednorazowy projekt, ale ciągły proces wymagający czujności, regularnych szkoleń personelu oraz stałego monitorowania zmian w przepisach prawnych. Kluczem do sukcesu jest ścisłe powiązanie wymogąw unijnego rozporządzenia z polskim Kodeksem pracy oraz wdrożenie jasnych procedur wewnętrznych. Pracodawca, który dba o transparentność, minimalizację danych oraz bezpieczeństwo systemów IT, nie tylko chroni się przed dotkliwymi karami ze strony organu nadzorczego, ale również buduje wizerunek rzetelnego i odpowiedzialnego partnera w oczach swoich pracowników.