Na stronie internetowej Ministerstwa Cyfryzacji pojawiła się informacja o konsultacjach społecznych, dotyczących projektu nowej ustawy o ochronie danych osobowych.
Wraz z nią opublikowano projekt ustawy, która zmieni przepisy kilkudziesięciu aktów prawnych, aby dostosować je do wymogów stawianych przez unijne ogólne rozporządzenie o ochronie danych.
Ustawą, która zawsze wzbudzała dużo emocji i burzliwych dyskusji w odniesieniu do ochrony danych osobowych był Kodeks Pracy. Dlatego zdecydowałem się dziś właśnie napisać o zmianach, które w nim mają nastąpić.
Podstawową kwestią jest zmiana zakresu danych osobowych, których może zażądać pracodawca od pracownika oraz kandydata na pracownika. Zagadnienie to uregulowane jest (i będzie nadal) w treści przepisu art. 22(1) K.p., który wskazywał, że pracodawca ma prawo żądać od kandydata takich danych jak imię i nazwisko, imiona rodziców, datę urodzenia, adres do korespondencji, wykształcenie oraz przebieg dotychczasowego zatrudnienia. Do tej listy nowa ustawa ma dołożyć możliwość uzyskania numeru telefonu albo adresu e-mail kandydata. Ich przetwarzanie po nawiązaniu stosunku pracy możliwe będzie tylko po uzyskaniu zgody pracownika. Dodatkowo, od pracownika (już po zatrudnieniu) można żądać (zarówno obecnie, jak i po 25 maja 2018 r.) nr PESEL a także innych danych osobowych pracownika, gdyby mógł on korzystać z szczególnych uprawnień wynikających z przepisów prawa pracy.
Co ulegnie istotnej zmianie po 25 maja 2018 r.? Przede wszystkim, pracodawca już nie będzie „mógł żądać” a po prostu będzie musiał „żądać” tych danych od pracownika. Dlaczego tak się dzieje? Przesłanką do przetwarzania danych osobowych w tym przypadku był fakt, niezbędności pozyskania informacji o kandydacie do pracy lub pracowniku w celu zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. To uprawnienie wynikało właśnie ze stosownego przepisu Kodeksu Pracy.
Ta przesłanka do przetwarzania danych uległa w RODO zmianie – od 25 maja 2018 r. nie będzie już mowy o uprawnieniu, wynikającym z przepisów prawa, a jedynie o obowiązku. Stąd też konieczność dostosowania przepisów Kodeksu pracy w tym zakresie i zmiany z prawa do żądania informacji na obowiązek jej zażądania.
Ponadto przepisy dotyczące ochrony danych osobowych w Kodeksie pracy mają ulec rozszerzeniu. Przewidziano m.in. wyraźną możliwość zbierania od pracowników również innych danych osobowych. Wystarczy, że dane te będą dotyczyły stosunku pracy i pracownik wyrazi zgodę na ich przetwarzanie. W projekcie wskazano, że nie będzie można przetwarzać danych o orientacji seksualnej, nałogach i stanie zdrowia, nawet za zgodą.
Co więcej, możliwe będzie również przetwarzanie danych biometrycznych, takich jak np. odcisk palca, skan siatkówki oka albo wysokiej jakości zdjęcie, umożliwiające skanowanie twarzy (jak w nowym Iphone X :) ). Dane biometryczne wymagały będą jednak zgody pracownika udzielonej w formie papierowej (to dziwne stwierdzenie, ale tak jest w projekcie) albo elektronicznej.
Brak takiej zgody nie będzie mógł stanowić przyczyny negatywnego traktowania pracownika ani być podstawą do jego zwolnienia. Rodzą się tu pytania dotyczące ewentualnych problemów, które mogą się pojawić w przyszłości. Przykładowo, jeśli pracodawca będzie chciał zabezpieczyć dostęp do swojego biura za pomocą systemu wykorzystującego np. skanowanie odcisku palca, pracownicy będą musieli wyrazić zgodę na zeskanowanie ich odcisków i przechowywanie ich w systemie. Jeśli któryś nie wyrazi zgody, nie będzie mógł wejść do biura, a jednocześnie... nie można go z tego powodu zwolnić. Oczywiście będą pewnie inne możliwości wejścia (np. poprzez wpisanie PINu) ale to niestety kłóci się z budową systemu bezpieczeństwa opartego o biometrię.
Na koniec zostawiłem szczególnie interesującą mnie kwestię monitoringu w miejscu pracy. Nowe przepisy KP mają regulować również to zagadnienie. Dotychczas możliwość monitorowania pracowników budziła kontrowersje i była przedmiotem licznych dyskusji. Projekt nowelizacji Kodeksu pracy jednoznacznie wskazuje, że utrwalanie obrazu z miejsca pracy może być stosowane wyłącznie w celu zapewnienia pracownikom bezpieczeństwa bądź też zabezpieczeniu mienia albo tajemnic przedsiębiorstwa. Monitoring taki nie będzie mógł być stosowany w celu kontroli wykonywania pracy przez pracownika. Nie będzie mógł też objąć takich miejsc jak stołówki, szatnie, toalety itp. O instalacji monitoringu pracodawca będzie oczywiście musiał pracowników powiadomić.
Jak widać, zmian (a to i tak tylko część), które dotyczą danych osobowych pracowników jest całkiem sporo. Dobrze, że rozstrzygają one (przynajmniej częściowo) niektóre spory, związane z przetwarzaniem tych danych. Już widać jednak, że na gruncie nowych przepisów mogą powstać kolejne kontrowersje i rozbieżności w ich stosowaniu.
Pewne jest jedno – osoby zarządzające organizacjami, które zatrudniają pracowników, jak również podległe im działy HR, będą miały sporo pracy, aby zapewnić przestrzeganie nowych przepisów w miejscu pracy. Zmiana reguł jest na tyle istotna, że może ona wpłynąć również na kulturę organizacji stosowaną w niektórych firmach.
Oczywiście muszę rzetelnie wspomnieć, że to dopiero projekt ustawy – a ten może ulec zmianie. Pozostaje czekać na to, co przyniesie przyszłość.
