Agnieszka Matłacz: Nie wszystkie zmiany kodeksu pracy, przygotowane w celu uszczegółowienia RODO, zaczną obowiązywać razem z tym Rozporządzeniem. Czy będzie luka w prawie?
Dr Dominika Dörre-Kolasa: Luka powstanie tak czy inaczej, przede wszystkim w świadomości pracodawców. Nowelizacjękodeksu pracy zapowiadano od wielu miesięcy i projekt zmian m.in w art. 22(1) już się pracodawcom utrwalił. Ustawodawca w projekcie zmian do tego przepisu akcentuje, że przetwarzanie wszelkich innych danych, poza tymi objętymi obowiązkiem prawnym, ma być oparte o zgodę. Tymczasem art. 22(1) kp na razie zostaje bez zmian. Z dotychczasowej interpretacji tego przepisu przez GIODO wynika, że wszelkie zgody w relacji kandydat - pracodawca czy pracownik - pracodawca nie mają waloru dobrowolności. Z jednej strony widzimy, że ustawodawca chce wprowadzić w tych relacjach zgodę, z drugiej jednak - na czas tej zmiany nie wprowadzono.
Wydaje się, że był na to czas.
Trudno ocenić, dlaczego ustawodawca zdecydował się na przyjęcie tylko niektórych zmian z projektu ustawy wprowadzającej. Nie widzę argumentu dla takiego działania, ale myślę, że przyczyną był art. 88 RODO. Jest w nim wyraźnie napisane, że jeżeli kraje członkowskie chcą uregulować kwestie dotyczące zatrudnienia, w tym monitoring, to powinny zawiadomić Komisję o przepisach, które zostały przyjęte. Być może nasz ustawodawca chciał skorzystać z tej furtki, mieć punkt zaczepienia. Pierwsze przepisy na podstawie art. 88 RODO zostały już przyjęte w nowej ustawie o ochronie danych osobowych - to art 22(2) i art. 22(3), dotyczące monitoringu. Gdyby nie wprowadzono żadnych, byłaby wątpliwość jak interpretować art. 88 RODO.
Czy w tym kontekście nie dziwi wybór i uregulowanie akurat monitoringu? Czy nie ważniejszy byłby katalog danych, których pracodawca może żądać od kandydata czy pracownika?
Ale ten katalog niewiele się zmieni. Kiedy porównamy obowiązujący art. 22(1) kp i ten z projektu, to różnice są minimalne - w zasadzie tylko w zakresie danych kontaktowych. Usunięte mają być też imiona rodziców, ale te znajdują się przecież w świadectwie pracy i przykładowym kwestionariuszu, który jest w rozporządzeniu ws. dokumentacji pracowniczej, a tego nie zmienia się.
Czyli brak tych przepisów nie będzie zauważalny?
To, co tak naprawdę było istotne w tym projekcie dla niektórych pracodawców, to wprowadzenie podstawy prawnej dla przetwarzania danych biometrycznych oraz zmiana języka z "może żądać" na "żąda", co wprowadza obowiązek prawny realizowany przez pracodawcę. Teraz tak to powinniśmy postrzegać. Pracodawcy i firmy rekrutacyjne, jako kluczowe, wskazują podstawy prawne do przetwarzania danych, które nie są w tym katalogu wylistowane. Innych danych można żądać tylko, gdy wynika to z przepisów - tak stanowi obecny art. 22.
Uregulowanie podstaw przetwarzania tych innych danych jest niezwykle istotne dla praktyki. Informacją, która jest niezbędna pracodawcom na etapie rekrutacji, są np. oczekiwania płacowe. Trudno zawrzeć umowę z kandydatem, kiedy nie zna się poziomu oczekiwanego przez niego wynagrodzenia - to niezbędna informacja, a nie jest wymieniona w katalogu. Te kwestie są niezwykle istotne - spodziewam się, że uzupełnienie przepisów to kwestia 2 miesięcy. Do tego czasu pracodawcy będą musieli obejść się bez tych regulacji.
A co z przetwarzaniem danych o nałogach, stanie zdrowia i orientacji seksualnej?
W pierwszej wersji projektu zapisano zakaz przetwarzania tych danych, nawet za zgodą pracownika. W ostatniej wersji z września ten zapis został zmieniony. Dane szczególnej kategorii będą mogły być przetwarzane tylko wtedy, gdy pracodawca będzie realizował obowiązek wynikający z przepisów prawa. W przypadku danych dotyczących zdrowia jest wiele takich obowiązków nałożonych na pracodawcę, dla których wykonania takie dane są potrzebne.
Czy RODO zmieni rekrutacje?
Tak. Przede wszystkim pracodawca musi wykonać obowiązek informacyjny - poinformować kandydatów, którzy zgłoszą się w odpowiedzi na ogłoszenie rekrutacyjne i podać informacje, których wymaga art. 13 RODO, czyli m.in. swoją tożsamość i dane kontaktowe, cele przetwarzania danych osobowych oraz podstawę prawną przetwarzania, okres, przez który będą przechowywane, a także prawa z nimi związane, w tym prawo do dostępu do danych, ich sprostowania, usunięcia lub ograniczenia przetwarzania, a także o prawie do przenoszenia danych.
Zmienią się w związku z tym ogłoszenia rekrutacyjne?
Nie wyobrażam sobie ogłoszenia, które zawierałoby te wszystkie obowiązki informacyjne. To niemożliwe z praktycznego punktu widzenia. Pracodawca musi je przekazać, ale niekoniecznie na etapie publikacji ogłoszenia. Natomiast pracodawca może uściślić w ogłoszeniu kanały zgłoszeń, czyli doprecyzować, na jakim formularzu i gdzie należy składać CV czy za pomocą jakich narzędzi. W ten sposób może pokazać swoją świadomość i panowanie nad tymi danymi, które są niezbędne. Pracodawcy na każdym etapie powinni weryfikować, jakie dane są im rzeczywiście niezbędne do wyboru najwłaściwszej osoby. Muszą pamiętać o niezbędności, która jest naczelnym pojęciem w RODO.
Czy pozyskane dane trzeba usunąć od razu po zakończeniu rekrutacji?
Niekoniecznie. Jeśli chcemy przetwarzać te dane na potrzeby kolejnych postępowań rekrutacyjnych, to trzeba zadbać o odpowiednie zgody. Trzeba też pamiętać, że pracodawca ma obowiązek zapewnienia równego traktowania i przeciwdziałania dyskryminacji i musi zabezpieczyć się na wypadek kwestionowania przez kandydatów wyników rekrutacji. Mają na to 3 lata - tyle wynosi bowiem okres przedawnienia w prawie pracy. Dlatego rekomenduję klientom, żeby nie niszczyli od razu dokumentów rekrutacyjnych, ale przechowywali je na wypadek konieczności obrony swoich praw przed ewentualnymi roszczeniami.
Prawo do bycia zapomnianym w takiej sytuacji nie zadziała?
Przetwarzanie danych na potrzeby kolejnych rekrutacji to co innego - tu musimy mieć wyraźną zgodę. Wyobraźmy sobie jednak, że kandydat żąda usunięcia wszelkich informacji o nim, a później występuje z roszczeniem. Pracodawca musi mieć możliwość obrony i możliwość wykazania swojej obiektywności przy rekrutacji. Realizując prawo do bycia zapomnianym, pracodawca byłby kompletnie bezbronny wobec ewentualnych zarzutów. Rekomenduję pracodawcom dużą ostrożność.
RODO zaczyna obowiązywać lada moment. Czy pracodawcy mają jeszcze jakieś pytania z nim związane?
Bardzo dużo. Zdarzają się tacy, którzy dopiero teraz pytają, od czego zacząć przygotowania. Wielu ma wątpliwości, czy trzeba wykonać obowiązek informacyjny wobec zatrudnionych już pracowników.
Trzeba?
Ogólna rekomendacja jest taka, że obowiązek informacyjny należy wykonać wobec każdego, kogo dane się przetwarza, więc także wobec obecnych pracowników. Trzeba przygotować odpowiedni komunikat.
O co jeszcze pytają pracodawcy?
Pytają też o umowy powierzenia przetwarzania danych i monitoring - co zrobić, gdy już działa. Brak przepisu przejściowego powoduje wątpliwości. Jasna jest sytuacja pracodawców, którzy dopiero po 25 maja chcą wprowadzić monitoring. Ci, którzy już go mają, absolutnie nie muszą wyłączać kamer. Powinni oznaczyć pomieszczenia i po 25 maja rozpocząć negocjacje ze związkami zawodowymi, jeżeli działają w firmie, o zmianie regulaminu pracy. Nie dajmy się zwariować - trzeba zachować umiar i zdrowy rozsądek. Na ich braku żerują niestety firmy, które oferują zupełnie niepotrzebne usługi.
Rozmawiała Agnieszka Matłacz
[-DOKUMENT_HTML-]
Polecamy komentarz w Serwisie Prawa Pracy i Ubezpieczeń Społecznych: RODO - bezpieczeństwo danych osobowych w dziale kadr, Mędrala Małgorzata >>