RODO a hr: definicja i znaczenie w praktyce prawnej

Zarządzanie zasobami ludzkimi (HR) to proces, który w całości opiera się na przetwarzaniu danych osobowych. Od pierwszego kontaktu z kandydatem w procesie rekrutacji, przez cały okres trwania stosunku pracy, aż po wieloletnie przechowywanie dokumentacji kadrowej – dane osobowe są kluczowym elementem funkcjonowania każdego działu kadr. W związku z tym relacja na linii rodo a hr stanowi jeden z najbardziej skomplikowanych i kluczowych obszarów compliance w nowoczesnym przedsiębiorstwie. Wprowadzenie Ogólnego Rozporządzenia o Ochronie Danych (RODO) zrewolucjonizowało podejście do prywatności pracowników, przekształcając działy HR w podmioty o szczególnej odpowiedzialności prawnej.

Definicja i zakres pojęcia RODO w obszarze HR

W praktyce prawnej pojęcie "rodo a hr" odnosi się do ogółu norm, zasad i procedur prawnych, które regulują procesy gromadzenia, przechowywania, modyfikowania, udostępniania oraz usuwania danych osobowych kandydatów do pracy, obecnych pracowników, a także byłych zatrudnionych. Pracodawca, występujący w roli administratora danych osobowych (ADO), musi zapewnić, że wszelkie operacje na danych są zgodne z prawem, rzetelne i przejrzyste dla osób, których te dane dotyczą.

Zakres danych przetwarzanych w HR jest niezwykle szeroki. Obejmuje on nie tylko podstawowe informacje identyfikacyjne, takie jak imię, nazwisko, data urodzenia czy dane kontaktowe, ale również dane o wykształceniu, przebiegu dotychczasowego zatrudnienia, a w trakcie trwania stosunku pracy – dane o wynagrodzeniu, absencjach chorobowych, ocenach okresowych, a nawet wizerunku (np. na identyfikatorach czy w systemach monitoringu wizyjnego). Szczególnym wyzwaniem jest przetwarzanie danych szczególnej kategorii (tzw. danych wrażliwych), do których należą m.in. informacje o stanie zdrowia (np. orzeczenia o niepełnosprawności, badania medycyny pracy) czy przynależności związkowej.

Kluczowe zasady RODO w codziennej pracy działu kadr

Aby działalność działu HR była w pełni zgodna z przepisami, każda operacja na danych musi opierać się na podstawowych zasadach wyrażonych w art. 5 RODO. Do najważniejszych z nich należą:

Zasada zgodności z prawem, rzetelności i przejrzystości – przetwarzanie danych musi mieć jasną podstawę prawną, a pracownik musi być w pełni świadomy, jakie dane, w jakim celu i przez kogo są przetwarzane.
Zasada ograniczenia celu – dane mogą być zbierane wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach (np. w celu realizacji umowy o pracę) i nie mogą być przetwarzane w sposób niezgodny z tymi celami.
Zasada minimalizacji danych – dział HR powinien żądać tylko tych danych, które są niezbędne do osiągnięcia danego celu. Zbieranie danych "na zapas" jest rażącym naruszeniem przepisów.
Zasada prawidłowości – dane muszą być poprawne i w razie potrzeby uaktualniane.
Zasada ograniczenia przechowywania – dane nie mogą być przechowywane dłużej, niż jest to konieczne. Po upływie wyznaczonych terminów dane muszą zostać trwale usunięte lub zanonimizowane.
Zasada integralności i poufności – pracodawca musi wdrożyć odpowiednie środki techniczne i organizacyjne, aby chronić dane przed przypadkowym lub niezgodnym z prawem zniszczeniem, utratą, modyfikacją czy nieuprawnionym ujawnieniem.

Obowiązek informacyjny pracodawcy

Jednym z fundamentalnych wymogów, jakie RODO nakłada na pracodawcę, jest obowiązek informacyjny. Każda osoba, której dane są zbierane (zarówno kandydat do pracy, jak i nowo zatrudniony pracownik), musi otrzymać komplet informacji o tym, jak jej dane będą przetwarzane. Obowiązek ten realizuje się najczęściej poprzez przekazanie tzw. klauzuli informacyjnej.

Klauzula ta musi zawierać m.in. tożsamość i dane kontaktowe administratora (pracodawcy), dane kontaktowe Inspektora Ochrony Danych (jeśli został powołany), cele i podstawy prawne przetwarzania, informacje o odbiorcach danych, planowany okres przechowywania danych, a także szczegółowe pouczenie o prawach przysługujących danej osobie, w tym o prawie do wniesienia skargi do organu nadzorczego. Niedopełnienie tego obowiązku w odpowiednim czasie (np. przy zbieraniu dokumentów aplikacyjnych) stanowi bezpośrednie naruszenie przepisów RODO i może być przedmiotem kontroli.

Podstawy prawne przetwarzania danych w HR

W obszarze HR przetwarzanie danych nie może odbywać się w sposób dowolny. Każda operacja musi mieć solidne oparcie w przepisach prawnych. W polskim porządku prawnym kluczowe znaczenie ma korelacja RODO z przepisami Kodeksu pracy. Zgodnie z art. 22(1) Kodeksu pracy, pracodawca ma prawo żądać od kandydata do pracy określonego katalogu danych (np. imienia, nazwiska, danych kontaktowych, wykształcenia i przebiegu zatrudnienia, jeśli jest to niezbędne do wykonywania pracy określonego rodzaju). W tym przypadku podstawą prawną przetwarzania jest wypełnienie obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO).

W przypadku danych wykraczających poza katalog kodeksowy, takich jak dodatkowe umiejętności, zainteresowania czy wizerunek, podstawą przetwarzania staje się zgoda kandydata lub pracownika (art. 6 ust. 1 lit. a RODO). Warto pamiętać, że w relacji pracodawca-pracownik zgoda musi być w pełni dobrowolna. Ze względu na naturalną nierówność stron stosunku pracy, organ nadzorczy bardzo rygorystycznie bada, czy pracownik nie był poddany naciskom w celu wyrażenia zgody. Zgoda nie może być również warunkiem zatrudnienia.

Prawa osób, których dane dotyczą: jak obsłużyć wniosek pracownika?

RODO wyposaża osoby fizyczne w szereg uprawnień, które mogą realizować wobec administratora. W kontekście HR oznacza to, że pracownik lub kandydat do pracy może w dowolnym momencie złożyć do działu kadr formalny wniosek. Najczęstsze żądania obejmują:

Prawo dostępu do danych oraz otrzymania ich kopii,
Prawo do sprostowania (poprawienia) danych,
Prawo do usunięcia danych (tzw. prawo do bycia zapomnianym – np. w odniesieniu do bazy CV po zakończeniu rekrutacji),
Prawo do ograniczenia przetwarzania,
Prawo do przenoszenia danych.

Obsługa takiego wniosku wymaga od działu HR sprawności proceduralnej. Administrator ma termin jednego miesiąca na udzielenie odpowiedzi i realizację żądania. W sprawach skomplikowanych termin ten może zostać przedłużony o kolejne dwa miesiące, jednak pracownik musi zostać o tym poinformowany przed upływem pierwszego miesiąca wraz z podaniem przyczyn opóźnienia. Brak odpowiedzi w terminie lub nieuzasadniona odmowa realizacji praw pracownika otwiera mu drogę do złożenia skargi, którą rozpatrzy właściwy organ nadzorczy.

Terminy przechowywania danych w kadrach

Przechowywanie danych osobowych w HR jest ściśle ograniczone czasowo. Pracodawca nie może bezterminowo przetrzymywać dokumentów zawierających dane osobowe. Kluczowe znaczenie mają tu dwa aspekty: dokumentacja rekrutacyjna oraz akta osobowe pracowników.

W przypadku rekrutacji, dane kandydatów, którzy nie zostali zatrudnieni, powinny zostać usunięte niezwłocznie po zakończeniu procesu naboru. Wyjątkiem jest sytuacja, w której kandydat wyraził wyraźną zgodę na przetwarzanie jego danych na potrzeby przyszłych rekrutacji – wówczas dane mogą być przechowywane przez okres określony w klauzuli zgody (np. rok lub dwa lata). Jeśli takiej zgody nie ma, a pracodawca przechowuje CV "na wszelki wypadek", naraża się na zarzut bezprawnego przetwarzania danych.

Z kolei dla dokumentacji pracowniczej (akt osobowych) przepisy prawa pracy precyzyjnie określają okresy przechowywania. Co do zasady, dla pracowników zatrudnionych po 1 stycznia 2019 roku, okres ten wynosi 10 lat, liczonych od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł. Dla pracowników zatrudnionych wcześniej okres ten może wynosić nawet 50 lat, chyba że pracodawca złożył odpowiednie raporty informacyjne do ZUS, co pozwala na skrócenie tego okresu do 10 lat. Po upływie tych terminów dokumentacja musi zostać zniszczona w sposób uniemożliwiający odtworzenie danych osobowych.

Organ nadzorczy i konsekwencje naruszenia przepisów

Instytucją stojącą na straży przestrzegania przepisów o ochronie danych osobowych w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). Jako organ nadzorczy posiada on szerokie uprawnienia kontrolne i śledcze. Może przeprowadzać planowane lub doraźne kontrole w siedzibach pracodawców, żądać dostępu do dokumentacji, systemów informatycznych oraz przesłuchiwać pracowników.

W przypadku stwierdzenia naruszeń w obszarze RODO a HR, organ ten może zastosować różnorodne środki naprawcze – od upomnień i nakazów dostosowania operacji przetwarzania do przepisów, aż po nakładanie administracyjnych kar pieniężnych. Kary te mogą być niezwykle dotkliwe i wynosić do 10 000 000 EUR lub do 2% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego (a w niektórych przypadkach nawet do 20 000 000 EUR lub 4% obrotu). Poza sankcjami finansowymi, pracodawca musi liczyć się z ryzykiem pozwów cywilnych ze strony pracowników o zadośćuczynienie za naruszenie dóbr osobistych oraz z ogromnymi stratami wizerunkowymi na rynku pracy (utrata statusu rzetelnego pracodawcy).

Najczęstsze błędy w obszarze RODO a HR

Analiza decyzji wydawanych przez organ nadzorczy pozwala wskazać najpopularniejsze uchybienia popełniane przez działy kadr:

Brak retencji danych po rekrutacji – przetrzymywanie baz CV kandydatów bez ich zgody na przyszłe rekrutacje lub po wygaśnięciu tej zgody.
Niewłaściwe upoważnienia do przetwarzania danych – dopuszczanie do pracy z aktami osobowymi osób, które nie posiadają pisemnego upoważnienia nadanego przez administratora.
Przesyłanie danych bez zabezpieczeń – wysyłanie pasków płacowych, umów czy skierowań na badania lekarskie otwartym tekstem na prywatne skrzynki e-mail pracowników, bez szyfrowania plików.
Nadmiarowość zbieranych danych – żądanie od kandydatów informacji o karalności (poza wąską grupą stanowisk, gdzie wymaga tego ustawa) lub zaświadczeń o stanie zdrowia wykraczających poza standardowe orzeczenie medycyny pracy.
Ignorowanie wniosków pracowników – brak procedur pozwalających na realizację praw pracowników w ustawowym, jednomiesięcznym terminie.

Praktyczny przykład (Case Study)

Wyobraźmy sobie sytuację, w której były pracownik, pan Jan, składa do swojego byłego pracodawcy formalny wniosek o udostępnienie kopii wszystkich jego danych osobowych, które firma przetwarza, w tym ocen okresowych oraz wiadomości e-mail, w których pojawia się jego nazwisko. Jak powinien postąpić dział HR?

Krok 1: Weryfikacja tożsamości. Dział HR musi upewnić się, że osoba składająca wniosek to rzeczywiście pan Jan, aby uniknąć wycieku danych do osoby nieuprawnionej.

Krok 2: Analiza zakresu żądania. Pracownik ma prawo do kopii swoich danych osobowych. Oceny okresowe stanowią jego dane osobowe i należy je udostępnić. W przypadku wiadomości e-mail sprawa jest bardziej skomplikowana – e-maile służbowe mogą zawierać tajemnice przedsiębiorstwa lub dane innych osób. Dział HR musi dokonać selekcji i zanonimizować dane osób trzecich przed przekazaniem kopii panu Janowi.

Krok 3: Dotrzymanie terminu. Dział HR ma obowiązek zrealizować wniosek bez zbędnej zwłoki, najpóźniej w ciągu jednego miesiąca od otrzymania żądania. Jeśli sprawa wymaga przeanalizowania tysięcy e-maili, ADO może przedłużyć ten termin o kolejne dwa miesiące, informując o tym pana Jana w pierwszym miesiącu.

Krok 4: Przekazanie danych i dokumentacja. Dane są przekazywane w bezpieczny sposób (np. zaszyfrowanym plikiem). Cały proces zostaje odnotowany w wewnętrznym rejestrze wniosków, co stanowi dowód zgodności (zasada rozliczalności) na wypadek, gdyby sprawą zainteresował się organ nadzorczy.

Podsumowanie

Zrozumienie i prawidłowe wdrożenie zasad RODO w obszarze HR to nie tylko obowiązek prawny, ale też element budowania nowoczesnej kultury organizacyjnej opartej na zaufaniu i szacunku do prywatności. Każdy proces kadrowy – od rekrutacji po rozstanie z pracownikiem – musi być zaprojektowany z uwzględnieniem ochrony danych (privacy by design). Ścisłe przestrzeganie procedur, dbałość o terminy, rzetelne reagowanie na każdy wniosek oraz świadomość kontroli ze strony organu nadzorczego to jedyna droga do minimalizacji ryzyk prawnych i finansowych w każdym przedsiębiorstwie.