Porozumienie PIP-GIODO - znaczenie dla pracodawców

14 grudnia 2012 r. Państwowa Inspekcja Pracy (PIP) oraz Biuro Generalnego Inspektora Ochrony Danych Osobowych (GIODO) zawarły porozumienie o współpracy, przewidujące m.in. wzajemną wymianę doświadczeń, możliwość zawiadamiania GIODO przez PIP o stwierdzonych w czasie kontroli nieprawidłowościach w zakresie zgodności przetwarzania danych osobowych z właściwymi przepisami, a także  zawiadamiania PIP przez GIODO o stwierdzonych w czasie kontroli naruszeniach przepisów prawa pracy oraz wspólne prowadzenie kontroli w uzgodnionym zakresie tematycznym.

Treść tego porozumienia ma ogromne znaczenie dla firm działających w segmencie B2B, gdzie jedynymi przetwarzanymi danymi osobowymi osób fizycznych są dane ich własnych pracowników. GIODO przeważnie dokonywało kontroli przedsiębiorstw po otrzymaniu sygnału o możliwym naruszeniu przepisów prawa w zakresie przetwarzania danych osobowych.  Średnio było to około 200 kontroli w skali roku kalendarzowego, podczas gdy PIP co roku kontroluje kilkadziesiąt tysięcy firm (na 2013 r. zaplanowano kontrolę 88.000 pracodawców). Od 2013 r. oznacza to więc znacznie większe prawdopodobieństwo kontroli pracodawców w zakresie przetwarzania danych osobowych zgodnie z prawem.

Art. 221 Kodeksu Pracy zawiera szczegółowy katalog danych, jakich pracodawca może żądać od kandydatów oraz pracowników. Od kandydatów można pozyskiwać tylko dane obejmujące:

imię (imiona) i nazwisko

imiona rodziców

datę urodzenia

miejsce zamieszkania (adres do korespondencji)

wykształcenie

przebieg dotychczasowego zatrudnienia

Pracodawca może żądać podania innych danych osobowych tylko jeśli obowiązek ich podania wynika z odrębnych przepisów (np. zaświadczenie o niekaralności). Dodatkowe informacje i dokumenty przekazane przez kandydatów powinny być uzupełnione podpisaniem oświadczenia o zgodzie kandydata na przetwarzanie takich danych przez potencjalnego pracodawcę. Jednak uwaga - niektórych danych osobowych pracodawca nie może gromadzić nawet za wyraźną pisemną zgodą kandydata lub pracownika.

W świetle przepisów prawa danymi osobowymi kandydatów są także wszelkie wyniki testów psychologicznych czy sprawdzianów umiejętności. Wskazane byłoby, aby przekazywane pracodawcom przez licencjonowane agencje zatrudnienia raporty rekrutacyjne, nie zawierały szczegółowych wyników (np. liczbowych) przeprowadzonych testów, a jedynie ich merytoryczną interpretację umożliwiającą pracodawcy-klientowi podjęcie decyzji o wyborze najlepszego kandydata.

Wiele małych i średnich firm w celu optymalizacji kosztów samodzielnie rekrutuje swoich pracowników bez pomocy wyspecjalizowanych agencji zatrudnienia oraz przechowuje dane kandydatów pod kątem przyszłych potrzeb. Znakomita większość firm ma na swojej stronie internetowej zakładkę „Kariera”, gdzie kandydaci mogą znaleźć adres mailowy, pod który mogą przesyłać swoje aplikacje.

W przeciwieństwie do licencjonowanych agencji zatrudnienia świadczących usługi rekrutacji, pracodawcy nie mają obowiązku rejestrowania w GIODO własnych baz danych kandydatów do pracy oraz pracowników. Przepisy prawa zakładały, że dane kandydatów po zakończeniu rekrutacji będą sukcesywnie niszczone. Oczywiście dalsze przechowywanie przez pracodawcę danych kandydatów dla przyszłych potrzeb rekrutacyjnych nie narusza przepisów prawa, pod warunkiem dopełniania innych wymogów technicznych, organizacyjnych oraz prawnych. To ostanie oznacza w szczególności zamieszczenie na swojej stronie internetowej oraz w ogłoszeniach o pracę treści nieco rozszerzonego oświadczenia dla kandydatów o zgodzie na przetwarzanie danych osobowych dla potrzeb obecnych i przyszłych rekrutacji.

O ile dotychczas główną obawą pracodawców w trakcie kontroli PIP było niedopełnienie pewnych wymogów prawa, obecnie część firm może mieć zmartwienie czy uprawnienia pracodawcy nie zostały przekroczone. Konkretnie dotyczyć to może zbyt szerokiego zakresu pozyskiwanych od kandydatów do pracy i pracowników informacji i dokumentów. Pracodawcy powinni obecnie częściej dokonywać okresowego sprawdzenia stosowanych procedur w zakresie przetwarzania danych osobowych.

Pracodawca musi posiadać wewnętrzne procedury zabezpieczenia i przetwarzania danych osobowych oraz zapewnić odpowiednie rozwiązania techniczne (np. odpowiedni system logowania do sieci komputerowej). Osoby mające dostęp do danych osobowych w firmie powinny być zaznajomione z przepisami o ochronie danych osobowych oraz podpisać pisemne oświadczenia w tym zakresie. Warto przejrzeć także akta osobowe pracowników w celu sprawdzenia, czy nie zawierają one informacji nie wymaganych przepisami prawa.

Należy pamiętać, że do naruszeń przepisów o ochronie danych osobowych dochodzi często w banalnych sytuacjach np. poprzez przesyłanie plików pocztą elektroniczną bez zabezpieczenia hasłem, drukowanie dokumentów kandydatów czy pracowników na ogólnodostępnych drukarkach czy niewłaściwe zorganizowanie stanowisk pracy pracowników mających dostęp do danych osobowych (np. w taki sposób, że ekran komputera jest widoczny dla wszystkich wchodzących do pokoju tego pracownika).