RODO w kadrach: jak przygotować wniosek albo oświadczenie?

Przetwarzanie danych osobowych w obszarze kadrowo-płacowym to jeden z najbardziej wymagających procesów w każdym przedsiębiorstwie. Działy kadr codziennie operują na ogromnych wolumenach informacji, w tym na danych wrażliwych, takich jak stan zdrowia, sytuacja rodzinna czy dane finansowe. Aby proces ten przebiegał zgodnie z prawem, każdy dokument – niezależnie od tego, czy jest to wniosek urlopowy, oświadczenie o zmianie danych osobowych, czy zgoda na przetwarzanie wizerunku – musi spełniać rygorystyczne wymogi Ogólnego Rozporządzenia o Ochronie Danych (RODO). W tym artykule szczegółowo analizujemy, jak przygotować bezpieczne oświadczenia i wnioski kadrowe, na co zwrócić uwagę przy ich projektowaniu oraz jakich błędów unikać, by nie narazić firmy na dotkliwe kary finansowe nakładane przez organ nadzorczy.

Podstawy prawne przetwarzania danych w kadrach: Kodeks pracy a RODO

Podstawowym błędem popełnianym przez wielu pracodawców jest przekonanie, że każda operacja na danych osobowych pracownika wymaga jego zgody. W stosunkach pracy relacja między stronami charakteryzuje się brakiem równorzędności – pracownik jest stroną słabszą, podporządkowaną pracodawcy. Z tego powodu dobrowolność zgody, będąca jednym z filarów RODO, jest w tym kontekście mocno ograniczona. Organ nadzorczy, czyli Prezes Urzędu Ochrony Danych Osobowych (PUODO), niezwykle rygorystycznie podchodzi do kwestii wymuszania zgód w zatrudnieniu.

Główną podstawą prawną przetwarzania danych w kadrach nie jest zgoda, lecz obowiązek prawny ciążący na administratorze (art. 6 ust. 1 lit. c RODO) w połączeniu z przepisami krajowymi, przede wszystkim z Kodeksem pracy. Artykuł 22(1) Kodeksu pracy precyzyjnie określa, jakich danych pracodawca ma prawo żądać od kandydata do pracy oraz od pracownika. Żądanie danych wykraczających poza ten katalog bez wyraźnej, innej podstawy prawnej stanowi bezpośrednie naruszenie przepisów o ochronie danych.

Zasada minimalizacji danych w praktyce kadrowej

Zasada minimalizacji danych, sformułowana w art. 5 ust. 1 lit. c RODO, wymaga, aby dane osobowe były adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. W dziale kadr oznacza to, że każdy formularz, wniosek czy oświadczenie powinien być zaprojektowany tak, aby zbierać tylko te informacje, które są absolutnie konieczne do załatwienia danej sprawy. Jeśli do udzielenia urlopu wypoczynkowego wystarczy informacja o terminie i podpis pracownika, pracodawca nie może żądać podawania we wniosku celu urlopu czy miejsca pobytu.

Jak przygotować oświadczenie pracownika? Krok po kroku

Oświadczenie pracownika to dokument, w którym zatrudniony potwierdza określone fakty lub przekazuje informacje niezbędne do realizacji uprawnień pracowniczych bądź obowiązków pracodawcy. Przykładem może być oświadczenie o zamiarze korzystania z uprawnień rodzicielskich, oświadczenie o zmianie adresu zamieszkania lub oświadczenie dla celów podatkowych (np. PIT-2).

Tworząc wzór oświadczenia pracowniczego, należy zadbać o następujące elementy strukturalne:

Dane identyfikacyjne stron: Jasne określenie, kto składa oświadczenie (imię, nazwisko, numer pracowniczy lub dział) oraz do kogo jest ono kierowane (pełna nazwa pracodawcy jako administratora danych).
Cel złożenia oświadczenia: Precyzyjne wskazanie, czemu służy dokument (np. aktualizacja danych do ubezpieczenia społecznego).
Podstawa prawna: Wskazanie konkretnego przepisu Kodeksu pracy lub innego aktu prawnego, który nakłada na pracownika obowiązek lub daje mu uprawnienie do złożenia takiego oświadczenia.
Treść oświadczenia: Sformułowana w sposób jasny, prosty i jednoznaczny, pozbawiona zbędnych pytań o dane nadmiarowe.
Klauzula informacyjna (lub odesłanie): Informacja o tym, jak będą przetwarzane dane zawarte w oświadczeniu.
Data i czytelny podpis: Niezbędne dla celów dowodowych i potwierdzenia autentyczności dokumentu.

Jak przygotować wniosek pracowniczy zgodny z RODO?

Wnioski pracownicze (np. wniosek o urlop, wniosek o pracę zdalną, wniosek o wypłatę zapomogi z ZFŚS) inicjują określone procedury wewnątrz firmy. Projektując te dokumenty, należy pamiętać, że zbierane w nich dane muszą być ściśle powiązane z celem wniosku. Szczególnym wyzwaniem są wnioski związane z Zakładowym Funduszem Świadczeń Socjalnych (ZFŚS).

Udzielanie świadczeń z ZFŚS jest uzależnione od tzw. kryterium socjalnego, czyli sytuacji życiowej, rodzinnej i materialnej osoby uprawnionej. Oznacza to, że pracodawca ma prawo, a wręcz obowiązek, żądać informacji o dochodach członków rodziny pracownika. Jednak nawet w tym przypadku obowiązują granice RODO. Pracodawca nie powinien żądać pełnych zeznań podatkowych (PIT) do wglądu i przechowywać ich kopii w aktach, chyba że jest to absolutnie niezbędne do zweryfikowania wątpliwości, a nawet wtedy bezpieczniejszą praktyką jest jedynie przedstawienie dokumentu do wglądu i sporządzenie notatki służbowej potwierdzającej ten fakt.

Przetwarzanie danych szczególnych kategorii (danych wrażliwych)

W niektórych wnioskach pracownicy mogą podawać dane dotyczące zdrowia (np. wnioskując o specjalne warunki pracy z uwagi na niepełnosprawność lub o zapomogę losową z powodu ciężkiej choroby). Przetwarzanie takich danych (tzw. danych szczególnych kategorii na mocy art. 9 RODO) wymaga spełnienia dodatkowych warunków. Pracodawca musi wykazać, że przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej (art. 9 ust. 2 lit. b RODO). Dokumenty zawierające takie dane muszą być przechowywane w sposób uniemożliwiający dostęp osobom nieupoważnionym – dostęp do nich powinni mieć wyłącznie pracownicy działu HR posiadający imienne, pisemne upoważnienie do przetwarzania danych wrażliwych.

Obowiązek informacyjny (art. 13 RODO) – jak go realizować?

Każdy wniosek i oświadczenie wiążące się z pozyskaniem danych osobowych wymaga spełnienia obowiązku informacyjnego. Zgodnie z art. 13 RODO, administrator musi przekazać osobie, której dane dotyczą, szereg informacji o celach, podstawach prawnych, okresie przechowywania danych oraz o przysługujących jej prawach. Umieszczanie pełnej, wielostronicowej klauzuli informacyjnej na każdym formularzu wniosku urlopowego byłoby jednak niepraktyczne i nieczytelne.

Rozwiązaniem rekomendowanym przez ekspertów i akceptowanym przez organ nadzorczy jest tzw. warstwowe spełnianie obowiązku informacyjnego. Na formularzu wniosku lub oświadczenia wystarczy umieścić krótką notatkę (klauzulę referencyjną), na przykład: "Dane osobowe podane w niniejszym wniosku będą przetwarzane przez [Nazwa Firmy] w celu realizacji uprawnień pracowniczych. Pełna informacja o przetwarzaniu danych osobowych, w tym o Twoich prawach, znajduje się w Ogólnej Klauzuli Informacyjnej dla Pracowników, z którą możesz się zapoznać w dziale kadr oraz w firmowym intranecie." Warunkiem skuteczności takiego rozwiązania jest rzeczywista dostępność wskazanej klauzuli ogólnej dla każdego pracownika w dowolnym momencie.

Najczęstsze błędy przy tworzeniu dokumentacji kadrowej RODO

Analiza praktyki wielu przedsiębiorstw oraz decyzji nakładanych przez Prezesa Urzędu Ochrony Danych Osobowych pozwala na zidentyfikowanie najczęstszych uchybień w dokumentacji kadrowej:

Nadużywanie zgody jako podstawy prawnej: Umieszczanie klauzuli zgody (np. "Wyrażam zgodę na przetwarzanie moich danych osobowych...") na wnioskach o urlop czy oświadczeniach o zmianie numeru konta bankowego. Przetwarzanie to wynika z przepisów prawa lub z realizacji umowy o pracę, więc zgoda jest prawnie bezprzedmiotowa i może wprowadzać pracownika w błąd, sugerując, że może ją w każdej chwili wycofać i zablokować wypłatę wynagrodzenia.
Zbieranie danych nadmiarowych: Żądanie podania numeru PESEL dzieci przy wnioskowaniu o standardowe benefity pozapłacowe (np. pakiety sportowe), jeśli do celów ubezpieczeniowych wystarczy jedynie data urodzenia i imię.
Kopiowanie dokumentów tożsamości: Skanowanie i przechowywanie kopii dowodów osobistych pracowników lub kandydatów. Jest to rażące naruszenie zasad RODO, wielokrotnie piętnowane przez PUODO. Pracodawca ma prawo jedynie spisać dane z dokumentu tożsamości w celu weryfikacji tożsamości.
Brak określonego czasu przechowywania (retencji): Przechowywanie wniosków i oświadczeń przez czas nieokreślony. Każdy dokument kadrowy powinien mieć przypisany okres retencji (np. wnioski urlopowe przechowuje się przez okres przedawnienia roszczeń ze stosunku pracy, czyli co do zasady przez 3 lata od końca roku, w którym udzielono urlopu).

Praktyczny przykład: Wniosek o dofinansowanie z ZFŚS

Wyobraźmy sobie sytuację, w której pracodawca przygotowuje nowy formularz wniosku o dofinansowanie wypoczynku z Zakładowego Funduszu Świadczeń Socjalnych. Jak powinien wyglądać taki proces z uwzględnieniem zasad RODO?

Krok 1: Określenie celu. Celem jest przyznanie ulgowej usługi lub świadczenia z ZFŚS na podstawie kryterium socjalnego.

Krok 2: Minimalizacja danych. Formularz wymaga podania imienia i nazwiska pracownika, średniego dochodu na członka rodziny z ostatnich miesięcy (np. z 3 miesięcy) oraz liczby osób we wspólnym gospodarstwie domowym. Formularz nie powinien wymagać podawania szczegółowych danych o pracodawcach współmałżonka czy dokładnych adresów szkół, do których uczęszczają dzieci, chyba że jest to niezbędne do wykazania uprawnienia.

Krok 3: Klauzula informacyjna. Na dole wniosku znajduje się zapis informujący o tym, że dane będą przetwarzane wyłącznie w celu obsługi funduszu socjalnego, a dokumenty będą przechowywane przez okres niezbędny do przyznania świadczenia oraz obrony przed ewentualnymi roszczeniami (zgodnie z ustawą o ZFŚS, pracodawca może przetwarzać te dane przez okres niezbędny do przyznania świadczenia, a także dochodzenia praw lub obrony przed roszczeniami, nie dłużej niż jest to konieczne).

Krok 4: Bezpieczeństwo. Wypełniony wniosek trafia bezpośrednio do zamkniętej szafy lub zabezpieczonego folderu sieciowego, do którego dostęp mają wyłącznie upoważnieni członkowie komisji socjalnej.

Rola organu nadzorczego i terminy

Wszelkie nieprawidłowości w obszarze RODO w kadrach mogą stać się przedmiotem skargi pracownika do Prezesa Urzędu Ochrony Danych Osobowych. Organ ten posiada szerokie uprawnienia kontrolne i może nałożyć na pracodawcę administracyjne kary pieniężne. Ponadto pracodawca musi pamiętać o terminach wynikających z realizacji praw osób, których dane dotyczą. Jeśli pracownik złoży wniosek o realizację swojego prawa (np. prawa dostępu do danych, sprostowania czy usunięcia danych), pracodawca jako administrator ma obowiązek udzielić odpowiedzi bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. W skomplikowanych przypadkach termin ten może zostać przedłużony o kolejne dwa miesiące, o czym należy jednak poinformować pracownika w ciągu pierwszego miesiąca, podając przyczyny opóźnienia.

Podsumowanie i checklista dla działów HR

Przygotowanie zgodnych z RODO wniosków i oświadczeń kadrowych wymaga ścisłej współpracy działu HR z Inspektorem Ochrony Danych (IOD) lub działem prawnym. Kluczem do sukcesu jest odejście od szablonowych rozwiązań na rzecz analizy każdego dokumentu pod kątem rzeczywistej potrzeby zbierania danych. Przed wdrożeniem nowego formularza warto odpowiedzieć sobie na następujące pytania:

Czy mamy jasną podstawę prawną do żądania tych danych (np. przepis Kodeksu pracy)?
Czy zakres zbieranych danych nie jest zbyt szeroki (zasada minimalizacji)?
Czy poinformowaliśmy pracownika o celach i zasadach przetwarzania jego danych?
Czy dokument będzie przechowywany w bezpieczny sposób przez ściśle określony czas?

Dbałość o te aspekty nie tylko minimalizuje ryzyko prawne i finansowe, ale również buduje wizerunek pracodawcy jako podmiotu profesjonalnego, szanującego prywatność swoich pracowników.