RODO obowiązuje od 25 maja 2018 roku, ale dostosowanie kodeksu pracy do jego wymogów wymagało kolejnej nowelizacji. Zmiany zaczęły obowiązywać od 4 maja 2019 roku, kiedy weszła w życie ustawa z 21 lutego 2019 roku o zmianie niektórych ustaw w związku z zapewnieniem stosowania RODO. Nowe przepisy trafiły do ponad 160 aktów prawnych i zaczęły działać niemal natychmiast. Organizacje miały zaledwie kilka tygodni na przegląd procedur kadrowych, wzorów dokumentów i systemów informatycznych obsługujących dane zatrudnionych.
Nowe przepisy precyzują katalog danych, jakie pracodawca może żądać przed i po zawarciu umowy o pracę. Pracodawca może żądać tylko podstawowych danych: imienia i nazwiska, daty urodzenia, wykształcenia, kwalifikacji zawodowych oraz przebiegu dotychczasowego zatrudnienia. Nie może pytać o imiona rodziców czy adres zamieszkania kandydata. Dane kontaktowe podaje kandydat według własnego wyboru, może wskazać numer telefonu komórkowego lub adres e-mail, ale nie musi podawać adresu zameldowania.
Doprecyzowanie katalogu eliminuje praktykę zbierania informacji "na wszelki wypadek". Wcześniej pracodawcy często wymagali pełnego zestawu dokumentów aplikacyjnych zawierającego dane zbędne w procesie rekrutacji. Teraz żądanie wykraczające poza ustawowy katalog wymaga wyraźnej zgody kandydata i wskazania konkretnego celu przetwarzania.
Pracodawca przetwarza dane osobowe pracownika bez jego zgody tylko w zakresie niezbędnym do wypełniania obowiązków wynikających z przepisów prawa pracy, ubezpieczeń społecznych lub podatków. Dane dotyczące zdrowia, konieczne do oceny zdolności do pracy i profilaktyki zdrowotnej, przetwarza się na podstawie odrębnych regulacji, bez dodatkowej zgody. Informacje o niepełnosprawności pracodawca przetwarza, gdy są niezbędne do ustalenia dodatkowych uprawnień: wydłużonego urlopu wypoczynkowego, skróconego czasu pracy czy dodatkowych przerw w pracy.
Dostęp do danych wrażliwych powinien mieć wyłącznie krąg osób realizujących konkretne zadania z nimi związane. Specjalista działu kadr przetwarza orzeczenie o niepełnosprawności, żeby naliczyć uprawnienia urlopowe, ale kierownik działu produkcji nie powinien mieć wglądu w te informacje, chyba że wiążą się bezpośrednio z organizacją stanowiska pracy.
Przepisy o orzeczeniach lekarskich doprecyzowano w zakresie przenoszenia dokumentacji między pracodawcami. Pracodawca może żądać aktualnego orzeczenia lekarskiego razem ze skierowaniem na badania wydanym przez poprzedni zakład pracy. Kandydat może dzięki temu uniknąć wstępnych badań lekarskich, jeśli orzeczenie z poprzedniego miejsca pracy jest wciąż aktualne i odpowiada warunkom nowego zatrudnienia, w szczególności gdy stanowisko wiąże się z identycznymi zagrożeniami zawodowymi.
Mechanizm oszczędza czas i koszty obu stron, ale pod pewnymi warunkami. Orzeczenie musi być wydane nie wcześniej niż 30 dni przed rozpoczęciem pracy u nowego pracodawcy, a skierowanie na badania musi zawierać informacje o czynnikach szkodliwych i uciążliwych na danym stanowisku. Jeśli nowe stanowisko wiąże się z dodatkowymi zagrożeniami, na przykład pracą na wysokości lub kontaktem z substancjami chemicznymi, pracownik poddaje się uzupełniającym badaniom.
Nowelizacja wprowadza zakaz instalacji kamer w przestrzeniach chronionych. Monitoring nie może obejmować pomieszczeń związków zawodowych działających w firmie. Ustawa nie definiuje tych pomieszczeń precyzyjnie, ale chodzi o miejsca, gdzie związki wykonują codzienne czynności: biura zarządu, sale posiedzeń komisji zakładowych, punkty konsultacyjne dla członków związku. Interpretacja obejmuje też ciągi komunikacyjne, przez które związkowcy muszą przechodzić w drodze do swoich biur, jeśli obsługują wyłącznie te przestrzenie.
Ważne: zakaz monitorowania pomieszczeń związkowych ma charakter bezwzględny i nie można go obejść nawet za zgodą przedstawicieli związkowych. Wynika to z konstytucyjnej ochrony swobody działalności związkowej i prawa do prywatności rozmów prowadzonych w ramach reprezentacji pracowniczej.
Naruszenie tego zakazu może skutkować sankcjami administracyjnymi nałożonymi przez Państwową Inspekcję Pracy oraz roszczeniami cywilnoprawnymi ze strony związków zawodowych.
Zmiany w kodeksie pracy wymusiły aktualizację wzorów dokumentów: kwestionariuszy osobowych dla kandydatów, oświadczeń o zgodzie na przetwarzanie danych, klauzul informacyjnych załączanych do umów o pracę. Konieczne stało się także przeszkolenie działów kadr i menedżerów liniowych z zasad pozyskiwania i przechowywania danych osobowych.
Okresy przechowywania dokumentacji kadrowej określone w przepisach archiwalnych nie uległy zmianie, ale sposób zabezpieczenia dokumentów musi odpowiadać wymogom RODO. Dotyczy to dokumentacji papierowej (zamykane szafy, ograniczony dostęp) i elektronicznej (szyfrowanie, logi dostępu, kopie zapasowe z kontrolowanym dostępem). Audyt zasad przetwarzania danych osobowych w całej organizacji pomaga wykryć nieprawidłowości przed ewentualną kontrolą.
Nieprzestrzeganie przepisów o ochronie danych osobowych w zatrudnieniu może skutkować sankcjami administracyjnymi nakładanymi przez Prezesa Urzędu Ochrony Danych Osobowych, sięgającymi 20 milionów euro lub 4 proc. rocznego światowego obrotu przedsiębiorstwa, w zależności od tego, która kwota jest wyższa. W praktyce pracodawców najczęściej kontroluje Państwowa Inspekcja Pracy, która może nałożyć mandat karny lub skierować sprawę do sądu.
Pracodawca może ponieść też odpowiedzialność cywilną wobec pracownika lub kandydata, którego dane przetworzono niezgodnie z przepisami. Poszkodowany może dochodzić odszkodowania za szkodę majątkową (na przykład kosztów związanych z wyciekiem danych) oraz zadośćuczynienia za szkodę niemajątkową z tytułu naruszenia prywatności czy dobrego imienia. Wysokość zasądzanych kwot zależy od skali naruszenia i jego konsekwencji dla poszkodowanego.
jedna odpowiedź do “RODO - zmiany w 2019 roku”
No z tymi związkami zawodowymi to zaskoczenie. Przecież powszechnie wiadomo, kto do nich należy. Po co się ukrywać także w przejściach?