Autor: Urząd Marszałkowski Województwa Śląskiego

Dzień dobry

W nawiązaniu do ogłoszenia: https://uodo.gov.pl/pl/138/3098 przedstawiam uwagi.

Uwagi ogólne

1)    Sposób prowadzenia konsultacji

Zasadne wydaje się być na przyszłość skanalizowanie uwag do materiałów UODO w postaci formularza. Rozumiem obawy UODO dot. przesyłania plików, jednak tego typu formularze są szeroko stosowane w procesach urzędowych (konsultacje aktów prawnych, konsultacje publiczne) i ułatwiają procedowanie po obu stronach procesu. Ew. można wykorzystywać formularz elektroniczny. Zasadne byłoby także sporządzenie raportu z konsultacji z odniesieniem do uwag.

2)    Forma poradnika

Proszę rozważyć zmianę formy tego typu poradników. Poradniki UODO mogłyby mieć moim zdaniem przede wszystkim formę podstron internetowych (pracodawcy, szkolnictwo itd.) gdzie kolejne działy tematyczne (rozdziały/podstrony niższego poziomu) zawierałyby na wstępie omówienie danej kwestii, wyjaśnienia ogólne a następnie odpowiedzi na bardziej szczegółowe pytania. Wręcz możliwe wydaje się przyjęcie rozwiązania na wzór Wikipedii.

Takie rozwiązanie miałoby szereg zalet względem sporządzanego raz jakiś czas pliku PDF. Przede wszystkim ułatwiłoby wyszukiwanie treści czy odnoszenie się do nich przez zainteresowanych bez konieczności linkowania całego pliku a tylko interesujących w danym momencie elementów.

Organ nadzorczy mógłby też w prosty sposób i na bieżąco budować użyteczną dla wszystkich bazę wiedzy: dodawać czy punktowo aktualizować treści z zachowaniem transparentności co do zakresu, czasu czy powodów aktualizacji bez konieczności wydawania kolejnej wersji jednolitego wydawnictwa, co jest pracochłonne i powoduje, że treści przez długi czas pozostają częściowo nieaktualne czy niespójne z wydanymi stanowiskami po wydaniu poradnika lub po nowelizacji przepisów prawa.

3)    Uzupełnienie zakresu poradnika

Poradnik wymaga uzupełnienia o elementy zmienione i dodane nowelizacjami KP od czasu jego wydania (np. praca zdalna, badanie nietrzeźwości) oraz o wydane stanowiska UODO w dziedzinie relacji pracodawca – pracownik.

Warto także uzupełnić poradnik o elementy dot. pracodawców poruszone w stanowiskach UODO po opublikowaniu poradnika.

1. Miejsce w poradniku

Cały dokument

Uwagi/propozycje

Uzupełnienie numeracji podrozdziałów

Uzasadnienie

W przypadku gdy utrzymana zostanie forma PDF poradnika (uwaga ogólna), wskazane byłoby, aby każdy podrozdział / odpowiedź na pytanie w treści poradnika miał swój numer/oznaczenie, co ułatwi nawigację i odnoszenie się do treści dokumentu

2. Miejsce w poradniku

Pkt 2.1, s. 7

Pkt 3.12, s. 20

Uwagi/propozycje

Uzupełnienie zakresu przetwarzanych danych

Uzasadnienie

Warto poruszyć kwestię jak rozumieć przepis „dane kontaktowe wskazane przez taką osobę”.

Wydaje się, że pracodawca może ograniczyć wybór do zamkniętego katalogu powszechnych danych kontaktowych (np. email, telefon). W przypadku innej interpretacji osoba miałaby dowolność, np. podanie kontaktu w „egzotycznym” komunikatorze.

3. Miejsce w poradniku

Pkt 2.1, str. 9

„Czy pracodawca, który poszukuje pracowników cieszących się nieposzlakowaną opinią, może żądać od nich informacji o karalności?”

Uwagi/propozycje

Warto odnieść do sytuacji, gdy wymóg cieszenia się „nieposzlakowaną opinią” wynika z przepisu prawa. Takim przepisem jest np. art. 6 ust. 3 pkt 3 ustawy o pracownikach samorządowych.

Uzasanienie

W mojej ocenie, w takim przypadku, w określonych sytuacjach przetwarzanie przez pracodawcę samorządowego dodatkowych danych, niekoniecznie nawet związanych z karalnością, będzie miało swoje uzasadnienie prawne (zarówno na etapie naboru czy późniejszego zatrudnienia).

4. Miejsce w poradniku

Pkt 2.1, str. 9

„Czy pracodawca, który poszukuje pracowników cieszących się nieposzlakowaną opinią, może żądać od nich informacji o karalności?”

Uwagi/propozycje

Warto odnieść się do zbierania oświadczeń o niekaralności.

Uzasadnienie

W newsletterze 7/2020 wskazano w kontekście postępowań PZP, że oświadczenie o niekaralności to także dane z art. 10 RODO.

Wydaje się, że warto wyjaśnić tę kwestię oświadczeń także w kontekście rekrutacji przez pracodawców chcących „obejść” brak możliwości żądania zaświadczenia o niekaralności, bez szczególnej podstawy prawnej w przepisach prawa za pomocą oświadczenia.

5. Miejce w poradniku

Str. 10, przykład klauzuli

Uwagi/propozycje

Opatrzenie przykładu klauzuli dodatkowymi wyjaśnieniami.

Przykładowa klauzula wymaga uaktualnienia.

Uzasadnienie

Ogólnie w mojej ocenie art. 6 ust. 1 lit. b nie powinien być wskazywany jako podstawa w procesie rekrutacji. Argumenty:

a) proces rekrutacji jest realizowany na podstawie przepisów prawa (KP + ew. ustawy szczególne),

b) trudno twierdzić, że działania są podejmowane na żądanie osoby, której dane dotyczą, gdyż stroną aktywną jest pracodawca szukający pracownika. Taka sytuacja różni się istotnie od sytuacji chęci zawarcia umowy cywilnoprawnej z usługodawcą,

c) dane na etapie rekrutacji nie są niezbędne do wykonania umowy tylko do samego jej zawarcia, są warunkiem wstępnym. Danymi niezbędnymi do realizacji umowy o pracę będzie np. ewidencja czasu pracy.

Ponadto w przypadku JST podstawą prawną przetwarzania jest, w mojej ocenie, przede wszystkim art. 6 ust. 1 lit. c, a nie art. 6 ust. 1 lit. b RODO, gdyż oprócz przepisów KP dochodzą przepisy ustawy o pracownikach samorządowych regulujących zasady naboru i przepisy archiwalne.

Wskazany wzór klauzuli w przypadku np. JST wymaga zmian/uzupełnienia, a bez wskazania tego zastrzeżenia w poradniku istnieje ryzyko, że może być stosowany przez te podmioty bez zmian, bez uwzględnienia ich specyfiki.

Warto także skomentować w poradniku art. 22(1) §5 KP. Dane są ujawniane w formie oświadczenia, ale pracodawca może żądać ich udokumentowania co może doprowadzić do ujawnienia kolejnych danych osobowych kandydata (np. na kopii dyplomu).

W tym zakresie powstaje pytanie jaka jest właściwa podstawa prawna tego nieobowiązkowego celu przetwarzania polegającego na udokumentowaniu oświadczeń - w mojej ocenie jest nią art. 6 ust. 1 lit. f RODO.

6. Miejce w poradniku

Pkt 3.4, s. 17

Pkt 3.5, s. 17

Pkt 3.6, s. 17

Uwagi/propozycje 

Dopuszczenie mniej restrykcyjnej interpretacji okresu przechowywania danych.

 Uzasadnienie

Zasadna wydaje się ocena, że pracodawca mógłby przyjąć, że rekrutacja kończy się dopiero z końcem okresu próbnego osoby, która została wybrana do zatrudnienia, a nie z momentem zatrudnienia.

W przypadku gdy ten pierwszy kandydat nie sprawdzi się, możliwe byłoby zaproszenie do zawarcia umowy kolejnego kandydata z naboru, bez ponawiania całego długotrwałego procesu rekrutacji.

Takie rozwiązanie w przypadku JST wynika z art. 15 ust. 3 ustawy o pracownikach samorządowych.

Należałoby także zmodernizować w poradniku kwestie przetwarzania w kontekście przeciwdziałania dyskryminacji i ew. roszczeń ze względu na orzecznictwo, które pojawiło się już w okresie po wydaniu poradnika (III OSK 2700/22).

Warto także wskazać, że w przypadku zatrudnienia dokumentacja z naboru wybranego kandydata zostanie włączona do jego akt pracowniczych i będzie przechowywana zgodnie z przepisami prawa dot. dokumentacji pracowniczej.

7 .Miejce w poradniku

Pkt 3.7, s. 18

Pkt 3.10, s. 19

 Uwagi/propozycje

Uogólnienie zasady usuwania niechcianych danych

 Uzasadnienie

Należy wyjaśnić czy wszelkie dane nadmiarowe, niechciane czy pomyłkowe przekazane na etapie rekrutacji czy zatrudnienia powinny być zwracane/usuwane/anonimizowane przez administratora.

Nie należy ograniczać tych kwestii wyłącznie do sektora służby cywilnej.

Wydaje się, że pkt. 3.7 i 3.10 poradnika mogłyby zostać połączone.

Dotychczasowe stanowiska organu wydają się częściowo niekonsekwentne w kontekście przepisów archiwalnych w podmiotach publicznych:

https://archiwum.uodo.gov.pl/pl/225/1485 (nie należy usuwać)

https://archiwum.uodo.gov.pl/pl/225/2247 (należy usuwać)

8. Miejce w poradniku

Pkt 4.1.2, s. 24

 Uwagi/propozycje

Uzupełnienie poradnika

 Uzasadnienie

Warto uzupełnić poradnik o kwestie dotyczące ujawniania danych poruszone w stanowiskach organu:

https://archiwum.uodo.gov.pl/pl/225/878

https://archiwum.uodo.gov.pl/pl/225/1991

https://archiwum.uodo.gov.pl/pl/225/1869

Warto także rozważyć uzupełnienie poradnika o link do wytycznych EROD ws. rozumienia pojęć administratora i podmiotu przetwarzającego jako wskazówki gdzie należy szukać wskazówek dla odpowiedzi na tego typu pytania.

9. Miejce w poradniku

Pkt 4.1.2, s. 25

„Czy pracodawca może umieścić na swojej stronie internetowej wraz z danymi kontaktowymi wizerunek pracownika?”

 Uwagi/propozycje

Dodanie odniesienia do art. 81 prawa autorskiego

 Uzasadnienie

W przypadku publikowania w Internecie, w odróżnieniu od publikowania w Intranecie, zastosowanie znajdzie dodatkowo zezwolenie z art. 81 prawa autorskiego.

Warto wyjaśnić relację zezwolenia z prawa autorskiego do zgody z RODO.

W mojej ocenie zgoda z RODO może mieć równoległe zastosowanie do zezwolenia z prawa autorskiego ale nie musi, w przypadku gdy pracodawca ma inną podstawę przetwarzania wizerunku (np. identyfikatory pracowników ochrony czy konieczność udokumentowania przeprowadzenia pewnych działań np. w kontekście kwalifikowalności środków w projektach finansowanych ze środków UE).

10. Miejce w poradniku 

Pkt 4.1.2, s. 25

„Czy pracodawca może umieszczać zdjęcia pracowników w Intranecie?”

 Uwagi/propozycje

Uzupełnienie o dodatkowe elementy dot. przetwarzania wizerunków

Warto także odnieść się do następujących kwestii związanych z wizerunkiem:

- czy pracodawca może wymagać od pracownika zamieszczenia zdjęcia profilowego w używanych systemach wewnętrznych (typu Microsoft 365);

- czy pracodawca może wymagać od pracownika włączenia kamery na spotkaniach zdalnych (także w kontekście pracy zdalnej);

- kwestia nagrywania spotkań online.

11. Miejce w poradniku

Pkt 4.1.3, s. 26

 Uwagi/propozycje

Uzupełnienie rozdziału o dodatkowe informacje

 Uzasadnienie

Warto uzupełnić i uspójnić poradnik ze stanowiskami:

https://archiwum.uodo.gov.pl/pl/225/1617

https://archiwum.uodo.gov.pl/pl/138/1360

https://archiwum.uodo.gov.pl/pl/225/1734

12. Miejce w poradniku

Pkt 4.2, s. 27

 Uwagi/propozycje

Uzupełnienie o dodatkowe elementy

 Uzasadnienie

Warto odnieść się do relacji z KZP utworzoną na podstawie Ustawy o kasach zapomogowo-pożyczkowych.

https://archiwum.uodo.gov.pl/pl/225/1619

13. Miejce w poradniku

Pkt 4.2.3, s. 29

„Czy osoby szkolące z zakresu bhp mogą przetwarzać dane pracowników szkolonych?”

Uwagi/propozycje

Wyjaśnienie relacji z firmą szkolącą z BHP

Uzasadnienie 

Warto uzupełnić poradnik i uspójnić ze stanowiskiem:
https://archiwum.uodo.gov.pl/pl/225/1736

14. Miejce w poradniku

Pkt 4.2.4, s. 32

„Czy należy zawrzeć umowę powierzenia z podmiotem oferującym benefity?”

„Jakie dane pracowników pracodawca może udostępnić?”

 Uwagi/propozycje

Uzupełnienie kwestii konieczności zawarcia umowy powierzenia

 Uzasadnienie

Tak jak wskazano, pracodawca może zebrać i przekazać np. listę chętnych do skorzystania z usługi pracowników, za ich zgodą.

W przypadku jednak gdy pracodawca bierze na siebie część działań realizowanych w imieniu dostawcy benefitu (np. obsługa procesu reklamacji), zasadne wydaje się być powierzenie przez dostawcę tego przetwarzania w kierunku pracodawcy.

Warto byłoby też wyjaśnić kwestię podstawy prawnej przetwarzania w zakresie potrącania przez pracodawcę należności z pensji pracownika w celu wykonania umowy, z jednej strony pomiędzy pracodawcą a zewnętrznym dostawcą (np. karnetów czy ubezpieczenia na życie), a z drugiej pomiędzy pracownikiem, który także staje się ich klientem.

15. Miejce w poradniku

Pkt 4.3, s. 34

 Uwagi/propozycje

Uzupełnienie poradnika o kwestię innych form monitoringu niż monitoring wizyjny czy poczty elektronicznej

 Uzasadnienie

Proszę rozważyć poruszenie kwestii z art. 22(3) par. 4 KP - innych form monitoringu, np. korzystanie z oprogramowania do monitorowania efektywności pracy pracowników, przerw w pracy czy specjalnych urządzeń montowanych w biurach (przykład: https://gaorfid.com/pl/rfid-personal-tracking-system/).

16. Miejce w poradniku

Pkt 4.3.2, s. 36

„Czy pracodawca może skanować indywidualne cechy ludzkiego organizmu (np. linie papilarne) należące do swoich pracowników w ramach sprawdzenia obecności?

 Uwagi/propozycje

Uzupełnienie o kwestię użycia biometrii jako dodatkowego składnika uwierzytelnienia

 Uzasadnienie

Warto uzupełnić poradnik o kwestię uwierzytelnienia biometrycznego, nie w celu ewidencji czasu pracy, ale w celach związanych z bezpieczeństwem informacji. Przykładowo czy możliwe jest wdrożenie zgodnie z RODO funkcji Windows Hello czy Face ID na urządzeniach służbowych?

17. Miejce w poradniku

Pkt 5.1, s. 39

 Uwagi/propozycje

Uzupełnienie poradnika o kwestie praktyk/staży

 Uzasadnienie

Warto poruszyć w poradniku kwestie praktykantów i stażystów.
https://archiwum.uodo.gov.pl/pl/225/1129

https://archiwum.uodo.gov.pl/pl/225/1454

Wydaje się zasadne rozciągnięcie powyższych opinii, że pracodawca jest odrębnym administratorem, także na praktykantów innych niż studentów oraz wolontariuszy.

18. Miejce w poradniku

Pkt 5.1, s. 41

„Czy jest dopuszczalne przetwarzanie danych dotyczących kontrahentów, z którymi aktualnie się już nie współpracuje, lecz taka współpraca może być nawiązana na nowo w przyszłości?”

 Uwagi/propozycje

Kwestia zgody dot. bazy kontrahentów

 Uzasadnienie

Proszę rozważyć, czy prowadzenie bazy kontrahentów nie może być uzasadnione prawnie uzasadnionym interesem administratora danych.

19. Miejce w poradniku

 Uzupełnienie poradnika

 Uwagi/propozycje

Dodanie nowych (pod)rozdziałów

 Uzasadnienie

Wydaje się, że warto by było uzupełnić poradnik o takie elementy jak:

- etap rozwiązywania stosunku pracy. Przykładowo można by poruszyć kwestię tzw. „obiegówek” czy temat ze stanowiska https://archiwum.uodo.gov.pl/pl/225/2227 (powody odejścia z pracy),

- kwestie dot. przeciwdziałania dyskryminacji, także kwestie poruszone w stanowisku: https://archiwum.uodo.gov.pl/pl/225/1938 (komisja antymobbingowa),

- kwestie dot. ocen okresowych pracowników (zarówno w sektorze prywatnym – KP nie zawiera szczególnych uregulowań oprócz art. 94 pkt 9), jak i publicznym (gdzie zastosowanie znajdują przepisy odrębne, np. art. 27-28 ustawy o pracownikach samorządowych),

- kwestie dot. kontroli trzeźwości (art. 22 (1c-1g) KP),

- kwestie dot. pracy zdalnej (Rozdział IIc KP), np.: jakie informacje są niezbędne do wzajemnego porozumiewania się za pomocą środków komunikacji na odległość (np. czy można żądać prywatnego numeru telefonu), jakie informacje, i w jaki sposób, mogą być zbierane podczas kontroli pracy zdalnej, jakie informacje o sytuacji rodzinnej i stanie zdrowia mogą być zbierane, i w jakiej formie na podstawie art. 67(19) § 6 KP,

- kwestie dot. badania wypadków przy pracy oraz wypadków w drodze do i z pracy do domu (art. 234 - 237(1) KP): zawartości protokołów i dokumentacji. Kwestia możliwości zbierania danych kontaktowych osób do poinformowania w razie wypadku.