PRZETWARZANIE DANYCH OSOBOWYCH ORAZ MONITORING PRACOWNIKÓW

PO NAJNOWSZYCH ZMIANACH

Paulina Szymczak-Kamińska

Jakie dane osobowe pracowników i kandydatów do pracy pracodawca może przetwarzać? Co mówi na ten temat RODO, a co mówią

projektowane zmiany do przepisów prawa pracy?

2

O jakie dane pracodawca może pytać kandydatów do pracy i pracowników?

3

Katalog danych, których pracodawca może żądać od kandydatów do pracy inastępnie przetwarzać określa art. 221 k.p. Są to następujące dane kandydata dopracy:

imię (imiona) i nazwisko,imiona rodziców,data urodzenia,miejsce zamieszkania (adres do korespondencji),wykształcenie,przebieg dotychczasowego zatrudnienia.

Z katalogu tego wyłączone są natomiast inne dane osobowe, których pracodawcamoże żądać już wyłącznie od pracownika. Należą do nich imiona i nazwiska orazdaty urodzenia dzieci pracownika, jeżeli podanie takich danych jest konieczne zewzględu na korzystanie przez pracownika ze szczególnych uprawnieńprzewidzianych w prawie pracy, jak również numer PESEL.

Czy pracodawca może żądać innych danych od kandydatów do pracy?

4

Tak, jeżeli obowiązek ich podania wynika z odrębnych przepisów (art. 221 §4 k.p.)chociażby pośrednio (tak będzie najczęściej) – np. dopuszczalne jest pytaniekandydatki do pracy o to, czy jest w ciąży, w sytuacjach, gdy oferowana jest pracawzbroniona kobietom w ciąży.

Można żądać także informacji określonych we wzorze kwestionariusza osobowegostanowiącego załącznik do rozporządzenia w sprawie zakresu prowadzenia przezpracodawców dokumentacji w sprawach związanych ze stosunkiem pracy orazsposobu prowadzenia akt osobowych pracownika. Przykładowo, pracodawca możepytać o obywatelstwo kandydata.

Co mówi na ten temat RODO?

5

RODO w art. 88 daje państwom członkowskim możliwość zawarcia w swoichprzepisach lub w porozumieniach zbiorowych bardziej szczegółowych przepisówmających zapewnić ochronę praw i wolności w przypadku przetwarzania danychosobowych pracowników w związku z zatrudnieniem, w szczególności do celów:

- rekrutacji,- wykonania umowy o pracę, w tym wykonania obowiązków określonych

przepisami lub porozumieniami zbiorowymi,- zarządzania, planowania i organizacji pracy,- równości i różnorodności w miejscu pracy,- bezpieczeństwa i higieny pracy,- ochrony własności pracodawcy lub klienta- oraz do celów indywidualnego lub zbiorowego wykonywania praw i korzystania

ze świadczeń związanych z zatrudnieniem,- a także do celów zakończenia stosunku pracy.

A co mówią projektowane zmiany do przepisów prawa pracy?

6

Obecnie trwają prace nad projektem ustawy – o zmianie niektórych ustaw wzwiązku z zapewnieniem stosowania RODO.

Zmiany w Kodeksie pracy a RODOArt. 22 1 k.p.

7

§ 1. Pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:

1.imię (imiona) i nazwisko; 2.imiona rodziców3.datę urodzenia; 4.miejsce zamieszkania (adres do korespondencji); 5.wykształcenie; 6.przebieg dotychczasowego zatrudnienia.

§ 1. Pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:

1.imię (imiona) i nazwisko; 2.datę urodzenia; 3.dane kontaktowe wskazane przez taką osobę; 4.wykształcenie;5. kwalifikacje zawodowe;6.przebieg dotychczasowego zatrudnienia.

Zmiany w Kodeksie pracy a RODOArt. 22 1 k.p.

8

§2 Pracodawca żąda podania danych osobowych, o których mowa w §1 pkt 4-6 (tj. wykształcenie, kwalifikacje zawodowe, przebieg dotychczasowego zatrudnienia), gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku.

Przykładowo:certyfikat językowy, gdy praca na stanowisku będzie wymagała współpracy z osobami z innego kraju;informacja dotycząca posiadania przez pracownika prawa jazdy, w sytuacji, w której pracodawca przewiduje na danym stanowisku pracy przyznanie samochodu służbowego i konieczność przemieszczania się.

Zmiany w Kodeksie pracy a RODOArt. 22 1 k.p.

9

§2. Pracodawca ma prawo żądać od pracownika podania niezależnie od danych osobowych, o których mowa w §1 także:

1.innych danych osobowych pracownika, a także imion i nazwisk oraz dat urodzenia dzieci pracownika, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy;2.numeru PESEL pracownika nadanego przez Rządowe Centrum Informatyczne Powszechnego Elektronicznego Systemu Ewidencji Ludności (RCI PESEL).

§2. Pracodawca żąda od pracownikapodania dodatkowo danych osobowychobejmujących:

1.adres zamieszkania;2.numer PESEL, a w przypadku jegobraku – rodzaj i numer dokumentupotwierdzającego tożsamość;3.inne dane osobowe pracownika, a takżedane osobowe dzieci pracownika i innychczłonków jego najbliższej rodziny, jeżelipodanie takich danych jest konieczne zewzględu na korzystanie przez pracownikaze szczególnych uprawnieńprzewidzianych w prawie pracy.4.wykształcenie i przebiegdotychczasowego zatrudnienia, jeżeli nieistniała podstawa do ich żądania od osobyubiegającej się o zatrudnienie.

Zmiany w Kodeksie pracy a RODOArt. 22 1 k.p.

10

§4 Pracodawca żąda podania innych danych osobowych niż określone w § 1 i 3, gdy jest to niezbędne do wypełniania obowiązku pracodawcy nałożonego przepisem prawa.

§5 Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której one dotyczą. Pracodawca może żądać udokumentowania danych osobowych osób, o których mowa w § 1 i 3, w zakresie niezbędnym do ich potwierdzenia.

Z uzasadnienia:Powyższe zmiany mają na celu przede wszystkim dostosowanie brzmienia obowiązujących przepisów prawa pracy do art. 6 ust. 1 lit c. ogólnego rozporządzenia o ochronie danych, który wprowadził przesłankę istnienia „obowiązku prawnego” jako podstawy pobierania danych osobowych.

Zmiany w Kodeksie pracy a RODO

(…) po art. 221 dodaje się art. 221a – 221b w brzmieniu:

Art. 221a KP

11

§ 1. Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowićpodstawę przetwarzania przez pracodawcę innych danych osobowych niżwymienione w art. 221§ 1 i 3, z wyjątkiem danych osobowych o których mowaw art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku zprzetwarzaniem danych osobowych i w sprawie swobodnego przepływu takichdanych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochroniedanych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1), zwanego dalej „rozporządzeniem2016/679”.

§ 2. Brak zgody, o której mowa w § 1 lub jej wycofanie, nie może być podstawąniekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika,a także nie może powodować wobec nich jakichkolwiek negatywnychkonsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowęzatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bezwypowiedzenia przez pracodawcę.

Zmiany w Kodeksie pracy a RODO

(…) po art. 221 dodaje się art. 221a – 221b w brzmieniu:

Art. 221a KP

12

§ 3. Przetwarzanie, o którym mowa w § 1, dotyczy danych osobowych udostępnianych przez osobę ubiegającą się o zatrudnienie lub pracownika na wniosek pracodawcy lub danych osobowych przekazanych pracodawcy z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika.

Background screening?

Zmiany w Kodeksie pracy a RODO

(…) po art. 221 dodaje się art. 221a – 221b w brzmieniu:

Art. 221b KP

13

§ 1. Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679 wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Art. 221a § 2 stosuje się odpowiednio.

§ 2. Przetwarzanie danych biometrycznych pracownika jest dopuszczalne także wtedy, gdy podanie takich danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę lub dostępu do pomieszczeń wymagających szczególnej ochrony.

§ 3. Do przetwarzania danych osobowych, o których mowa w § 1, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania takich danych nadane przez pracodawcę. Osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w tajemnicy.”

Zmiany w Kodeksie pracy a RODO

14

Z uzasadnienia:

Gromadzenie innych danych osobowych osoby ubiegającej się o zatrudnienie lubpracownika zostało także uzależnione od pozyskania na to ich zgody, spełniającejwszystkie wymogi określone przez ogólne rozporządzenie o ochronie danych. Oznaczato, iż taka zgoda będzie musiała być dobrowolna, konkretna, świadoma i jednoznaczna.Ponieważ projektowane przepisy nie będą przesądzać w jakiej formie ma zostaćudzielona zgoda, w tej kwestii zastosowanie znajdzie bezpośrednio art. 7rozporządzenia nr 2016/679. Zgoda stanowiąca naruszenie przepisów ww.rozporządzenia nie będzie zatem wiążąca.

Jednocześnie zgodnie z projektowanymi przepisami brak zgody lub jej późniejszewycofanie, nie będzie mogło powodować żadnych negatywnych konsekwencji dlaosoby ubiegającej się o zatrudnienie lub pracownika w zakresie stosunku pracy.

Zmiany w Kodeksie pracy a RODO

15

Z uzasadnienia:

Przepisy będą także wyraźnie przesądzać, iż pozyskanie danych za zgodąkandydata do pracy lub pracownika, będzie mogło nastąpić zarówno z inicjatywy pracodawcy jak również pracownika. Obejmie to zatem wszystkie dane osobowe, które kandydat do pracy lub pracownik dobrowolnie dostarczy pracodawcy (np. informacja o zainteresowaniach pracownika), jak również przypadki, w których to pracodawca wystąpi z inicjatywą pozyskania określonych danych (np. informacja dotycząca posiadania przez pracownika prawa jazdy, w sytuacji, w której pracodawca przewiduje na danym stanowisku pracy przyznanie samochodu służbowego). Kandydat do pracy lub pracownik nie zawsze bowiem muszą mieć świadomość, podanie jakich danych może jeszcze polepszyć ich sytuację pracowniczą.

Jakie zasady obowiązują jeśli chodzi o przetwarzanie przez pracodawców danych osobowych pracowników i

kandydatów do pracy?

16

Zasady przetwarzania danych

17

Naczelne zasady przy przetwarzaniu danych to:

zasada legalności, zasada ograniczonego celu,zasada minimalizacji,zasada prawidłowości, zasada rozliczalności,zasada ograniczenia przechowywania,zasada integralności i poufności.

wymóg, aby przetwarzanie odbywało się zgodnie z prawem, rzetelnie, uczciwie i w

sposób przejrzysty dla osoby, której dane dotyczą.

❖ musi istnieć podstawa prawna przetwarzania

Zasada legalności

18

Zasada ograniczonego celu

pracodawca może przetwarzać dane tylko w ściśle określonym celu, może też

powierzyć przetwarzanie danych również wyznaczając określony cel. Cel ten musi być

oczywiście zgodny z prawem i przysługującymi uprawnieniami

Dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu

przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami.

❖ cel musi być jasno i precyzyjnie określony - w innym przypadku przetwarzanie nie

będzie zgodne z prawem

przetwarzanie danych pracowników może mieć miejsce tylko w takim zakresie,

w jakim jest to absolutnie niezbędne do osiągnięcia celu przetwarzania

❖ częste zastosowanie przy rozważaniu legalności monitoringu w miejscu pracy

Zasada minimalizacji

19

Zasada prawidłowości

dane zbierane przez pracodawców muszą być rzeczywiste, prawdziwe, kompletne

i cały czas aktualizowane

Zasada rozliczalności

administrator jest odpowiedzialny za wdrożenie odpowiednich środków technicznych

i organizacyjnych zapewniających zgodność z wymogami RODO i musi być w stanie

wykazać ich przestrzeganie.

pracodawca nie może przechowywać danych przez czas dłuższy, niż jest to niezbędne

do celów przetwarzania. Ograniczenie czasowe dotyczy danych w każdej formie,

również w formie kopii zapasowych.

❖ patrzymy na konkretne przepisy, a gdy ich brak – zastanawiamy się przez jaki

czas niezbędne będzie przechowywanie danych w określonej sytuacji, co często

sprowadza się do analizy celu przetwarzania danych.

Zasada ograniczenia przechowywania

20

Zasada integralności i poufności

obowiązek pełnego zabezpieczenia przetwarzanych danych. Pracodawca musi

wdrożyć odpowiednie środki nie tylko techniczne, ale i organizacyjne, aby uchronić

się przed wyciekiem danych czy dostępem do nich przez osoby nieupoważnione.

❖ Zgodnie z brzmieniem RODO pracodawca będzie rozliczany z przestrzegania

powyższych zasad przy przetwarzaniu przez siebie danych.

21

Na jakich podstawach prawnych

pracodawca może opierać

przetwarzanie danych osobowych

pracowników i kandydatów do

pracy?

Katalog podstaw prawnych przetwarzania danych osobowych pod rządami RODO

Katalog podstaw prawnych przetwarzania danych został wskazany w art. 6 RODO.

Z punktu widzenia pracodawcy najważniejsze z nich to:

a) zgoda osoby, której dane dotyczą – podstawa ta została doprecyzowana w art. 7

RODO, o czym będzie mowa poniżej;

b) jeśli jest to niezbędne do wykonania umowy, której stroną jest osoba, której dane

dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed

zawarciem umowy;

c) jeśli jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na

administratorze;

d) jeśli jest to niezbędne do celów wynikających z prawnie uzasadnionych interesów

realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji,

w których nadrzędny charakter wobec tych interesów mają interesy lub

podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony

danych osobowych. 22

Zgoda pracownika w RODO

23

W motywie 155 znajduje się wzmianka o tym, że państwa członkowskie mogą wprowadzić szczegółowe przepisy dotyczące przetwarzania danych osobowych pracowników w kontekście zatrudnienia, w szczególności warunki, na których dane osobowe można przetwarzać za zgodą pracownika.

RODO przewiduje zatem co do zasady możliwość przetwarzania danych na podstawie zgody pracownika. Potwierdza to także fakt, że w RODO nie znalazła się ostatecznie wzmianka o tym, że brak równowagi zachodzi w szczególności w stosunku pracy, która pojawiała się w projektach RODO.

Zgoda pracownika w RODO

24

Zgoda podmiotu danych - art. 4 pkt. 11 RODO„zgoda” osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome ijednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formieoświadczenia lub wyraźnego działania potwierdzającego, przyzwala naprzetwarzanie dotyczących jej danych osobowych”.

Wykazanie uzyskania zgody podmiotu danych - art. 7 ust. 1 RODOJeśli przetwarzanie odbywa się na podstawie zgody osoby, której dane dotyczą,administrator powinien być w stanie wykazać, że osoba, której dane dotyczą,wyraziła zgodę na operację przetwarzania.

W zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem.

Podmiot danych ma prawo w dowolnym momencie wycofać udzieloną wcześniejzgodę na przetwarzanie danych. Wycofanie zgody nie wpływa na dotychczasowązgodność z prawem przetwarzania prowadzonego na podstawie zgody przed jejwycofaniem (skutek ex nunc). Wycofanie zgody musi być równie łatwe, jak jejwyrażenie – niedopuszczalne jest stawianie sztucznych nieuzasadnionych barier dlaodwołania zgody.

Oświadczenie o wyrażeniu zgody

25

Klauzula zgody powinna wskazywać podmiot przetwarzający, a także obejmować cel, dla którego dane mają być przetwarzane oraz zakres tych danych. Cele przetwarzania powinny być jak najbardziej precyzyjnie określone, aby osoba, której dane dotyczą mogła świadomie podjąć decyzję o udzieleniu zgody. Udzielenie zgody bez wskazania celu przetwarzania oraz zakresu przetwarzanych danych będzie nieskuteczne. Zgoda bowiem nie może być blankietowa.

Ponadto RODO wskazuje, że zgoda musi być jednoznaczna oraz świadoma, co oznacza, m.in., że oświadczenie o wyrażeniu zgody przygotowane przez administratora powinno mieć zrozumiałą i łatwo dostępną formę, być sformułowane jasnym i prostym językiem.

Podstawy prawne – projekt ustawy

26

Z uzasadnienia:Mając na względzie konieczność wyjaśnienia spójności przepisów Kodeksu pracy zrozporządzeniem 2016/679 należy wskazać, iż projektowane regulacje stanowiąwykonanie uprawnienia określonego w art. 88 ogólnego rozporządzenia o ochroniedanych, które umożliwia wprowadzenie przez państwo członkowskie w przepisachkrajowych bardziej szczegółowych regulacji mających zapewnić ochronę praw iwolności w przypadku przetwarzania danych osobowych w zatrudnieniu. Dodatkowomotyw 155 ww. rozporządzenia jednoznacznie przesądził o możliwościunormowania w stosunkach pracy także przetwarzania danych osobowychpozyskiwanych za zgodą kandydata lub pracownika. Należy jednak wyraźniepodkreślić, że w ocenie projektodawcy projektowane przepisy nie wyłączajązastosowania art. 6 i art. 9 rozporządzenia 2016/679. W związku z tym podokonaniu oceny stanu faktycznego pracodawca będzie mógł powołać sięchociażby na przesłankę prawnie uzasadnionego celu interesu bądź niezbędnościprzetwarzania danych dla wykonania umowy.

Czy pracodawca może

monitorować pracowników? Co

mówią na ten temat nowe

regulacje?

Jakie obowiązki musi spełnić

pracodawca, jeśli chce

monitorować pracowników?

27

Czy pracodawca może monitorować pracowników?

28

Tak.

Od 25 maja 2018 r. obowiązują nowe przepisy zawarte w Kodeksie pracy regulujące kwestie

monitorowania pracowników.

Formy i rodzaje monitoringu

29

• MONITORING WIZYJNY (monitoring w miejscu pracy)

• MONITORING BIOMETRYCZNY

• NAGRYWANIE ROZMÓW (zapis elektroniczny rozmów telefonicznych prowadzonych przez pracowników)

• PRZEGLĄDANIE POCZTY ELEKTRONICZNEJ

• MONITOROWANIE WYKORZYSTANIA KOMPUTERA/INTERNETU

• OPROGRAMOWANIA ZABEZPIECZAJĄCO-LOKALIZUJĄCE (lokalizowanie pracowników np. przy pomocy telefonów komórkowych, urządzeń GPS w samochodzie)

• REJESTR WEJŚĆ I WYJŚĆ (dla pomieszczeń zawierających dane wrażliwe)

Monitoring wizyjny - Art. 22(2)

30

§ 1. Jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pracowników lub ochrony mienia lub kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę, pracodawca może wprowadzić szczególny nadzór nad terenem zakładu pracy lub terenem wokół zakładu pracy w postaci środków technicznych umożliwiających rejestrację obrazu (monitoring).

§ 2. Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek oraz palarni lub pomieszczeń udostępnianych zakładowej organizacji związkowej, chyba, że stosowanie monitoringu w tych pomieszczeniach jest niezbędne do realizacji celu określonego w § 1 i nie naruszy to godności oraz innych dóbr osobistych pracownika, a także zasady wolności i niezależności związków zawodowych, w szczególności poprzez zastosowanie technik uniemożliwiających rozpoznanie przebywających w tych pomieszczeniach osób.

§ 3. Nagrania obrazu pracodawca przetwarza wyłącznie do celów, dla których zostały zebrane i przechowuje przez okres nieprzekraczający 3 miesięcy od dnia nagrania.

Monitoring wizyjny - Art. 22(2)

31

§ 4. W przypadku, w którym nagrania obrazu stanowią dowód w postępowaniu prowadzonym na podstawie prawa lub pracodawca powziął wiadomość, iż mogą one stanowić dowód w postępowaniu, termin określony w § 3 ulega przedłużeniu do czasu prawomocnego zakończenia postępowania.

§ 5. Po upływie okresów, o których mowa w § 3 lub 4, uzyskane w wyniku monitoringu nagrania obrazu, podlegają zniszczeniu, o ile przepisy odrębne nie stanowią inaczej.

§ 6. Cele, zakres oraz sposób zastosowania monitoringu ustala się w układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy.

§ 7. Pracodawca informuje pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego pracodawcy, nie później niż 2 tygodnie przed jego uruchomieniem.

§ 8. Pracodawca przed dopuszczeniem pracownika do pracy przekazuje mu na piśmie informacje, o których mowa w § 6.

Monitoring wizyjny - Art. 22(2)

32

§ 9. W przypadku wprowadzenia monitoringu pracodawca oznacza pomieszczenia i teren monitorowany w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem.

§ 10. Przepis § 9 nie narusza przepisów art. 12 i art. 13 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1).

Monitoring poczty elektronicznej - Art. 22(3)

33

§ 1. Jeżeli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy, pracodawca może wprowadzić kontrolę służbowej poczty elektronicznej pracownika (monitoring poczty elektronicznej).

§ 2. Monitoring poczty elektronicznej nie może naruszać tajemnicy korespondencji oraz innych dóbr osobistych pracownika.

§ 3. Przepisy art. 222§ 6–10 stosuje się odpowiednio.

(…)

Monitoring – inne formy?

34

(…)

§ 4. Przepisy § 1–3 stosuje się odpowiednio do innych form monitoringu niż określone w § 1 jeśli ich zastosowanie jest konieczne do realizacji celów, określonych w § 1.

Z uzasadnienia:

Przepisy dotyczące monitoringu będą także miały odpowiednie zastosowanie do innych form monitoringu (np. monitoring floty GPS, stron internetowych, smsów).

Monitoring – projekt ustawy

35

w art. 222:

a) po § 1 dodaje się § 11 w brzmieniu:

„§ 11. Monitoring nie obejmuje pomieszczeń udostępnianych zakładowej organizacji związkowej”,

b) § 2 otrzymuje brzmienie:

„§ 2. Monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek oraz palarni, chyba że stosowanie monitoringu w tych pomieszczeniach jest niezbędne do realizacji celu określonego w § 1 i nie naruszy to godności oraz innych dóbr osobistych pracownika, w szczególności poprzez zastosowanie technik uniemożliwiających rozpoznanie przebywających w tych pomieszczeniach osób. Monitoring pomieszczeń sanitarnych wymaga dodatkowo uzyskania zgody zakładowej organizacji związkowej, a jeżeli u pracodawcy nie działa zakładowa organizacja związkowa – zgody przedstawicieli pracowników wybranych w trybie przyjętym u danego pracodawcy.”

Jakie obowiązki ciążą na

pracodawcy jako na

administratorze danych osobowych

pracowników?

36

Obowiązki administratora danych - pracodawcy

37

„Praktyczne” obowiązki:

1. Przygotowanie dokumentacji zgodnej z RODO2. Realizacja praw podmiotów danych

Dokumentacja wewnętrzna dotycząca ochrony danych osobowych

38

Na gruncie przepisów RODO można wyodrębnić konieczność wprowadzenia m.in:

1. Wewnętrznych polityk wspomagających przetwarzających w realizacji zasady rozliczalności,

2. Odpowiednio zmodyfikowanych umów powierzenia przetwarzania danych,3. Rejestru czynności przetwarzania,4. DPIAs- ocen ryzyka dla przetwarzania danych,5. Rejestru naruszeń ochrony danych,6. Instrumentów prawnych zawieranych przy okazji przekazania danych do

państwa trzeciego,7. Procedur realizacji praw podmiotów danych,8. Polityk ochrony danych wspomagających administratora w zapewnieniu

odpowiedniego stopnia ochrony danych,9. Wspólnych uzgodnienia między współadministratorami danych,10. Upoważnień / poleceń do przetwarzania danych.

Realizacja praw podmiotów danych - Prawo do informacji

39

Administrator powinien podjąć wszelkie środki, aby obowiązek informacyjny spełnić w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, a także przy użyciu jasnego i prostego języka.

Obowiązek poinformowania powinien zostać spełniony na piśmie lub w inny sposób np. elektronicznie.

W razie żądania osoby, której dane dotyczą, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą.

Co do zasady za czynność informowania nie można pobierać opłat!

Realizacja praw podmiotów danych - Prawo do informacji

40

Wyjątek: jeżeli żądania osoby, której dane dotyczą, są ewidentnie nieuzasadnione lub nadmierne, w szczególności ze względu na swój ustawiczny charakter – w takich sytuacjach administrator może pobrać rozsądną opłatę, uwzględniając administracyjne koszty udzielenia informacji, prowadzenia komunikacji lub podjęcia żądanych działań albo odmówić udzielenia informacji.

Uwaga: Obowiązek wykazania, że żądanie ma ewidentnie nieuzasadniony lub nadmierny charakter, spoczywa na administratorze.

Realizacja praw podmiotów danych - Prawo do informacji

41

O czym należy informować? Zakres informacji, które mają być podane przy zbieraniu danych (art. 13 i 14 RODO) znacznie rozszerzony:

1. Nie tylko oznaczenie administratora danych, ale także dane kontaktowe ABI/inspektora ochrony danych.

2. Nie tylko cel przetwarzania, ale także podstawa prawna przetwarzania.3. Wskazanie uzasadnionych interesów jeżeli są one podstawą przetwarzania.4. Nie tylko pouczenie o prawie dostępu do danych, korekty i sprzeciwu, ale

również o prawie do cofnięcia zgody, jeżeli jest ona podstawą przetwarzania oraz o prawie wniesienia skargi do organu nadzorczego.

5. Informacja o zamiarze przekazania danych do państwa trzeciego oraz o gwarancjach odpowiedniego poziomu ochrony danych w tym państwie.

6. O okresie przechowywania danych lub kryteriach jego ustalania.7. O profilowaniu.

Realizacja praw podmiotów danych - Prawo dostępu do danych

42

Pod rządami RODO poszerzenie prawa dostępu do danych:

Przekazanie podmiotowi danych na jego żądanie określonych informacji, których zakres został rozszerzony analogicznie do katalogu informacji przekazywanych przy zbieraniu danych (art. 13 i 14 RODO).

Osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora: 1) potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, 2) jest uprawniona do uzyskania dostępu do nich oraz uzyskania informacji takich jak z art. 13 i 14 RODO (cele przetwarzania; kategorie odnośnych danych osobowych; informacje o odbiorcach lub kategoriach odbiorców, okres przechowywania danych osobowych, itp.).

Realizacja praw podmiotów danych - Prawo dostępu do danych

43

Sposób realizacji prawa dostępu do danych (art. 15 ust.3 RODO)

Dostarczenie przez Administratora osobie, której dane dotyczą, jedną kopię

danych osobowych podlegających przetwarzaniu.

Za wszelkie kolejne kopie administrator może pobrać opłatę

w rozsądnej wysokości wynikającej z kosztów administracyjnych.

Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i

jeżeli nie zaznaczy inaczej, informacji udziela się powszechnie stosowaną

drogą elektroniczną.

Realizacja praw podmiotów danych - Prawo dostępu do danych

44

Termin - bez zbędnej zwłoki – a w każdym razie w terminie miesiąca od otrzymania żądania.

W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. W terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia. Jeżeli administrator nie podejmuje działań w związku z żądaniem osoby, której dane dotyczą, to niezwłocznie – najpóźniej w terminie miesiąca od otrzymania żądania –informuje osobę, której dane dotyczą, o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem.

Paulina Szymczak-Kamińska

45

www.iuslaboris.com

North America: Mexico - United States

Central & South America: Argentina - Brazil - Chile - Colombia - Panama - Peru

Western Europe: Austria - Belgium - Cyprus - Denmark - Finland - France - Germany - Greece - Ireland - Italy

Luxembourg - Netherlands - Norway - Portugal - Spain - Sweden - Switzerland - United Kingdom

Eastern Europe: Czech Republic - Estonia - Hungary - Latvia - Lithuania - Poland - Romania - Russia - Slovakia - Turkey - Ukraine

Middle East & Asia Pacific: China - India - Israel - Japan - Korea, Republic of - New Zealand - United Arab Emirates

Dziękuję za uwagę.

Zapraszam do zadawania pytań