Poradnik RODO dla pracodawców – kilka słów komentarza

4 października Urząd Ochrony Danych Osobowych opublikował poradnik RODO dla pracodawców, dotyczący ochrony danych osobowych w miejscu pracy.

O ile z uznaniem należy odnieść się do próby odpowiedzi na wiele z podstawowych pytań, nad jakimi od miesięcy zastanawiają się działy HR, o tyle już niektóre rozstrzygnięcia proponowane przez autorów poradnika budzą niestety wiele wątpliwości. Poniżej kilka z tych, które w praktyce prawdopodobnie istotnie utrudnią (a czasem wręcz sparaliżują) realizację przynajmniej części procesów HR-owych u sporej liczby przedsiębiorców.

Kłopotliwy background screening

Autorzy poradnika jednoznacznie przesądzają, że nie jest dopuszczalna weryfikacja referencji przedstawionych „u źródła” (tzn. poprzedniego pracodawcy) czy autentyczności uzyskanych dokumentów (np. weryfikacja prawdziwości dyplomu) bez zgody pracownika.

Tak radykalne stanowisko stoi w sprzeczności z praktyką rynkową. Nie wydaje się też znajdywać wyraźnego jednoznacznego oparcia ani w przepisach RODO, ani kodeksu pracy (także tych projektowanych!).

Wydaje się, że taka weryfikacja co do zasady będzie mieścić się w graniach prawnie uzasadnionego interesu pracodawcy. Chodzi o możliwości podjęcia decyzji o zatrudnieniu w oparciu o informacje zgodne ze stanem rzeczywistym. Uzyskanie potwierdzenia kwalifikacji od osoby trzeciej jest racjonalnym działaniem pracodawcy, którego interesy nie godzą w sposób nadmierny w prawa kandydata. W szczególności kandydat składający określone oświadczenie lub dokument powinien liczyć się z tym, że jego prawdziwość może podlegać weryfikacji. Nie wyłącza to zresztą prawa wniesienia sprzeciwu względem takiej weryfikacji w szczególnie uzasadnionych przypadkach.

Co zatem powinien zrobić pracodawca, u którego złożone oświadczenia lub dokumenty wzbudziły podejrzenia?
Autorzy poradnika rekomendują w tym wypadku… złożenie zawiadomienia o podejrzeniu popełnienia przestępstwa.

Co z tą zgodą?

Autorzy poradnika nie mogą się zdecydować, czy wyrażenie zgody przez kandydata jest w pewnych przypadkach dopuszczalne, czy też nie. Np. w kontekście wspomnianej wyżej weryfikacji referencji wskazują na możliwość uzyskania zgody kandydata na takie działanie. Jednak już w odniesieniu do weryfikacji autentyczności dyplomu wykluczono możliwość dobrowolnego (swobodnego) wyrażenia przez kandydata zgody. Stało się tak z uwagi na możliwość odrzucenia kandydatury przez pracodawcę w razie odmowy wyrażenia zgody.

Podobnie – w odniesieniu do już zatrudnionych pracowników – wskazano na konieczność uzyskania zgody na zamieszczenie wizerunku na identyfikatorze. Jednoznacznie przyjęto dopuszczalność skorzystania z przesłanki uzasadnionego interesu w razie publikacji wizerunków w Intranecie, dostępnym wyłącznie w ramach organizacji (bez dostępu dla osób trzecich).

Niestety argumentacja stojąca za powyższymi stanowiskami jest niezwykle skąpa. Trudno powiedzieć, skąd miałaby wynikać rozbieżność stanowisk w tak zbliżonych do siebie sytuacjach. Dość wymowna jest jednak preferencja przesłanki zgody pracowniczej przy jednoczesnym podkreśleniu ryzyka związanego z brakiem możliwości zapewnienia jej dobrowolności.

Retencja danych i meandry procedury cywilnej

Niezwykle zaskakujące stwierdzenia znalazły się w wyjaśnieniach dotyczących przechowywania danych kandydatów po zakończeniu rekrutacji. Pracodawca zobowiązany byłby do usuwania danych w razie niezatrudnienia kandydata. Nie miałby on możliwości przechowywania dokumentów aplikacyjnych na wypadek ewentualnych roszczeń (np. związanych z dyskryminacją) – a to uwagi na fakt, że w przypadku tych roszczeń pierwotny ciężar dowodu obciąża osobę poszkodowaną (występującą w roli powoda).

Tego rodzaju podejście, zwłaszcza w razie jego rozciągnięcia na inne procesy przetwarzania danych osobowych, prowadzi do niemożliwych do zaakceptowania konsekwencji. Administrator powinien mianowicie za każdym razem zweryfikować, czy z określonego stosunku prawnego wynika możliwość wysuwania przez którąś ze stron takich roszczeń, które nakładałby na niego ciężar dowodu. Jedynie w razie odpowiedzi twierdzącej byłby uprawniony do przechowywania danych po zakończeniu tego stosunku prawnego.

Argumentacja autorów poradnika nie uwzględnia okoliczności, że – nawet w przypadku rekrutacji niezakończonej zatrudnieniem – ewentualne roszczenia mogą przysługiwać obu stronom, również pracodawcy. Nie przekonuje też stwierdzenie o braku możliwości retencji danych z uwagi na brak stosunku zobowiązaniowego pomiędzy kandydatem a niedoszłym pracodawcą. Konieczność zachowania dokumentacji może wiązać się bowiem także z ewentualnymi roszczeniami deliktowymi.

Trudno też powiedzieć, co powinien zrobić administrator w razie przerzucenia na niego ciężaru dowodu przez drugą stronę (na skutek wykazania określonych okoliczności). Obowiązek ujawnienia dokumentu w toku procesu cywilnego, wynikający z Kodeks postępowania cywilnego, obwarowany jest licznymi wyjątkami. Opieranie strategii procesowej na potencjalnym „wydobyciu” brakującego dokumentu od drugiej strony, zwłaszcza w stosunku pracowniczym, wydaje się wyjątkowo karkołomne.

Wreszcie – przyjęcie, że przechowywanie danych przez pracodawcę na wypadek roszczeń ze strony kandydata stanowi naruszenie zasady ograniczenia przetwarzania. Prowadzi to do przyjęcia, że przechowywanie danych w związku z roszczeniami jest możliwe tylko, gdy administrator zamierza wystąpić po stronie powoda. I to tylko, jeśli już w momencie zakończenia procesu przetwarzania ma świadomość konkretnego przysługującego mu roszczenia i zamierza je egzekwować.

Tajemniczy monitoring

Część poradnika poświęcona monitoringowi pracowniczemu swoją tajemniczością przypomina trochę odpowiedzi delfickiej Pytii. Proponowane rozstrzygnięcia kończą się bowiem tam, gdzie zaczynają się wątpliwości.

I tak w przypadku pojazdów monitorowanych przy wykorzystaniu GPS proponowanym rozwiązaniem zagadnienia użytku prywatnego jest… jego zakazanie.

W odniesieniu do problemu związanego z zakresem danych, zbieranych przez technologie trackujące, wskazano na ogólny zakaz pozyskiwania danych nadmiarowych.

Zakaz nie dotyczy sytuacji wyjątkowych – na przykład – do kradzieży pojazdu. Skąd jednak, w tym scenariuszu, pracodawca ma z góry wiedzieć, że do kradzieży dojdzie – już nie wyjaśniono…

W poradniku zabrakło też niestety odniesienia się do niezwykle powszechnego monitoringu bezpieczeństwa sieci i zasobów informatycznych. Zabrakło też choćby zamarkowania problemów związanych z korzystaniem narządzi typu MDM (mobile device management) czy DLP (data loss prevention).

Perspektywy na przyszłość

Poza powyższymi kwestiami poradnik zawiera szereg innych zaskakujących rozwiązań. Należy do nich np. obowiązek usunięcia z otrzymanej dokumentacji danych szczególnych, przesłanych przez kandydata z własnej woli. Występuje on jednak bez wyjaśnienia, jak miałoby się to faktycznie odbywać. Należą do nich rozstrzygnięcia dotyczące podstawy prawnej przetwarzania danych w rekrutacji, nie do końca spójne z projektem zmian Kodeksu pracy. Należy do nich konserwatywne i nie zawsze konsekwentne podejście do możliwości wykorzystywania wizerunku itd.

Do beczki dziegciu trzeba jednak dołożyć łyżkę miodu. Poradnik jest stosunkowo obszerny i istotnie adresuje szereg kwestii, które sygnalizowane były przez przedsiębiorców w toku konsultacji. W aspekcie merytorycznym – urząd potwierdził chociażby brak konieczności zawierania umów powierzenia z osobami fizycznymi, zatrudnianymi na umowach cywilnoprawnych (umowy zlecenia, kontrakty B2B) w przypadku, gdy osoby te działają w ramach organizacji pracodawcy czy dopuszczalność przekazywania danych pracowniczych w ramach grupy kapitałowej dla celów administracyjnych.

Należy mieć nadzieję, że wobec wątpliwości, jakie z pewnością szybko narosną wokół opublikowanego materiału, stanowisko Urzędu choć trochę się uelastyczni. W przeciwnym razie może się okazać, że szereg modeli biznesowych czy przyjętych praktyk będzie wymagać ponownego przemodelowania. Trzymajmy zatem kciuki!


Zobacz inne artykuły Małgorzaty Kurowskiej