Autor: Polskie Forum HR

Propozycje Polskiego Forum HR w zakresie zmian w publikacji „Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców”
 
1.    Dane wymagane od kandydata w toku rekrutacji
Zwracamy uwagę, na konieczność aktualizacji katalogu danych wymaganych od kandydata do pracy oraz podstawy ich przetwarzania w związku ze zmianą brzmienia art. 221 Kodeksu Pracy po wydaniu publikacji, w tym przykładu klauzuli informacyjnej.
Zakres danych, jakie przyszły pracodawca może pozyskać od kandydata jest ograniczony. Często wymogami rekrutacyjnymi jest np. weryfikacja umiejętności kandydata czy sprawdzenie referencji. Działania te nie powinny wymagać zgody kandydata do pracy, gdyż celem jest uzasadniony interes administratora, polegający na chęci zatrudnienia najlepszej osoby na dane stanowisko. W Poradniku brakuje natomiast informacji o możliwości wykorzystania innych podstaw legalizujących przetwarzanie danych kandydata.
 
2.    Usuwanie danych wrażliwych z dokumentów aplikacyjnych kandydata
W procesie rekrutacji i zatrudnienia pracownika istnieją zasadniczo dwie podstawowe przesłanki przetwarzania danych wrażliwych przez pracodawcę, tj. zgoda pracownika (art. 9 ust. 2 lit. a RODO) oraz przepisy prawa w zakresie medycyny pracy (art. 9 ust. 2 lit. h RODO). W procesie rekrutacji pracodawca nigdy nie żąda od kandydata podania danych osobowych wrażliwych, jednakże zdarzają się przypadki, kiedy kandydat udostępnia takie dane osobowe pracodawcy w przesłanej aplikacji. Poprzez aplikację należy rozumieć CV (życiorys) oraz wszelkie dokumenty dodatkowe, takie jak np. list motywacyjny.
 
Pracodawca rozpoczyna przetwarzanie danych osobowych w momencie ich otrzymania od kandydata drogą elektroniczną lub tradycyjną. W zależności od wielkości przedsiębiorstwa i liczby prowadzonych rekrutacji, należy przyjąć, że pracodawca otrzymuje ogromną liczbę aplikacji kandydatów do pracy. W momencie otrzymania aplikacji, pracodawca rozpoczyna bierne ich przetwarzanie poprzez systemy informatyczne lub tradycyjnie (obecnie rzadkość). Oznacza to, że pracodawca nie ma możliwości weryfikacji przy rozpoczęciu przetwarzania ani samego dokumentu, ani też zakresu i kategorii danych znajdujących się w dostarczonej przez kandydata aplikacji, nawet jeżeli takie dane są w aplikacji zawarte. Na późniejszych etapach oceny dokumentów aplikacyjnych przez człowieka (osoba rekrutująca u pracodawcy), pracodawca może zidentyfikować dane wrażliwe dostarczone przez kandydata, jednakże nie może ich wybiórczo usunąć.
 
Usunięcie danych osobowych wrażliwych z otrzymanej aplikacji nie jest zasadniczo możliwe bez naruszenia integralności dokumentu i jednoczesnego zapewnienia, że dane te nie będą możliwe do odtworzenia. W wielu przypadkach okazuje się bowiem, że bardziej ekonomicznie uzasadnionym działaniem byłoby usunięcie dokumentu zawierającego dane wrażliwe aniżeli jego edycja.
 
Forma tradycyjna: jedną z możliwych form zakreślania informacji wrażliwych mogłoby być zamazanie markerem danych wrażliwych, jednakże ze względu na możliwość późniejszego odczytania tak zanonimizowanych danych, forma ta ze swojej natury może okazać się nieskuteczna, stąd nie może spełniać założonego celu. Jedynym sposobem skutecznego usunięcia danych wrażliwych z wydruków lub aplikacji tradycyjnych jest fizyczne wycięcie przy użyciu nożyczek, fragmentów tych informacji, a następnie dokonanie bezpiecznej utylizacji przy użyciu np. niszczarki. Ze względu na poziom skomplikowania takiej operacji, brak możliwości przeprowadzenia jej masowo oraz biorąc pod uwagę nadmierne koszty i zasoby niezbędne do zrealizowania takiego zadania, w praktyce taki sposób usunięcia nie jest możliwy do zastosowania.
 
Forma elektroniczna: w praktyce nie istnieją narzędzia, które umożliwiają ręczne lub automatyczne usunięcie fragmentów dokumentów aplikacyjnych przesyłanych w najpopularniejszym formacie pdf (portable document format) lub rozpoznanie takich danych na etapie aplikowania czy późniejszym. Usunięcia danych wrażliwych z dokumentów aplikacyjnych można by dokonać jedynie po ręcznej identyfikacji, a następnie w zależności od formatu pliku:
1.    przy użyciu narzędzia do edycji pliku, jeżeli takie narzędzie jest dostępne; tutaj pojawiają się obawy o naruszenie praw własności do pliku czy też godności kandydata, gdyż dokument po przeprowadzeniu edycji może ulec przebudowaniu (częściowemu zniszczeniu) i w konsekwencji znacząco wpływać na późniejszą ocenę aplikującego.
2.    przez skopiowanie danych zawartych w dokumentach aplikacyjnych w zakresie wynikającym z art. 221 par. 1 KP do innego pliku lub systemu informatycznego.
Narzędzia do edycji pdf, co prawda umożliwiają edycję dokumentu, a kopiowanie danych kandydata do innego źródła również jest możliwe, jednakże ze względu na poziom skomplikowania takiej operacji, brak możliwości przeprowadzenia jej masowo oraz biorąc pod uwagę nadmierne koszty i zasoby niezbędne do zrealizowania takiego zadania, w praktyce jest ono nie możliwe do zastosowania.
 
Jedyną możliwością pracodawcy, po otrzymaniu aplikacji zawierającej dane osobowe wrażliwe, byłoby zniszczenie dokumentów aplikacyjnych. Jednakże zniszczenie całego dokumentu, tylko dlatego, że zawiera dane wrażliwe, wiązałoby się z zakończeniem udziału kandydata w rekrutacji i w konsekwencji naruszałoby prawo do bycia wziętym pod uwagę w procesie rekrutacji i w konsekwencji otrzymania zatrudnienia. Prawo do zarobkowania jest tutaj nadrzędne, jako prawo podstawowe zapewniające osobie możliwość utrzymania się, autonomicznej egzystencji.
 
Ponadto, należy wziąć pod uwagę w jaki sposób pracodawca, w przypadku usunięcia choćby części danych, mógłby wykazać, że kandydat udzielił albo właśnie przeciwnie, nie wskazał w przesłanych dokumentach rekrutacyjnych jakiś informacji, aby bronić się przed zarzutami np. dyskryminacyjnego potraktowania kandydata w procesie rekrutacji.
 
Na podstawie art. 9 ust. 1 lit. a RODO pracodawca może przetwarzać dane osobowe wrażliwe, jeżeli osoba, której dane dotyczą wyraziła wyraźną zgodę na przetwarzanie tych danych w jednym lub kilku konkretnych celach (...). Zgodnie z tym przepisem, w opisanej sytuacji, kandydat poprzez przesłanie aplikacji do pracodawcy, która zawiera dane wrażliwe, udziela jednocześnie wyraźnej zgody na przetwarzanie wszystkich jego danych osobowych, w tym danych wrażliwych. Należy bowiem założyć, że kandydat do pracy działa racjonalnie i jako osoba świadoma ma obowiązek dostatecznego dbania o swoje interesy, poprzez nie podawanie pracodawcy danych, których podanie uznaje za mogące powodować ryzyko naruszenia jego praw lub wolności lub niezgodne z przepisami. Tutaj należy podkreślić, że pracodawca nigdy nie żąda podania takich danych od kandydata, gdyż takie działanie byłoby niezgodne z art. 221 par. 1 KP. Wyżej wymieniony pogląd nie budzi obaw w zakresie dysproporcji pomiędzy administratorem (pracodawcą) i podmiotem danych osobowych (kandydatem), gdyż dane osobowe wrażliwe nie zostają przekazane pracodawcy na jego żądanie, ale są dobrowolnie przesyłane przez sam podmiot danych osobowych (kandydat).
 
Według UODO "Ewentualna zgoda na przetwarzanie szczególnej kategorii danych, powinna być wyraźna np. w formie odrębnego oświadczenia". UODO nie podaje innych przykładów wyraźnego wyrażenia zgody, a w motywie 32 RODO czytamy:
 
„(32) Zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia. Może to polegać na zaznaczeniu okienka wyboru podczas przeglądania strony internetowej, na wyborze ustawień technicznych do korzystania z usług społeczeństwa informacyjnego lub też na innym oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych. (...)”
 
Z motywu 32 RODO należy wnioskować, że sam fakt przesłania aplikacji zawierającej dane szczególnej kategorii do potencjalnego pracodawcy, stanowi o wyrażeniu zgody przez kandydata na przetwarzanie tych danych, poprzez dokonanie wyraźnej czynności potwierdzającej (przesłanie).
 
3.    Rekrutacje „ukryte”
 
W punkcie 2.6 Poradnika, UODO kontynuując zagadnienie niedopuszczalności rekrutacji anonimowych, wskazuje, że usługi świadczone przez agencje zatrudnienia stanowią rozwiązanie pozwalające na utrzymanie anonimowości procesu rekrutacji. Odnosząc się do roli agencji zatrudnienia w procesie przetwarzania danych osobowych kandydatów do pracy, UODO wskazuje, że gdy pracodawca zleca rekrutację agencji, kandydaci mogą kierować swoje aplikacje do agencji, która w tej sytuacji pełni rolę administratora danych. UODO stwierdza, że obowiązek informacyjny po stronie pracodawcy, który wcześniej nie ujawnił tożsamości, powstaje w chwili, gdy profile wyselekcjonowanych kandydatów mają zostać przekazane przez agencję – agencja powinna wtedy także uzyskać dodatkową zgodę od kandydata na przekazanie jego kandydatury potencjalnemu pracodawcy.
W pierwszym rzędzie należy zauważyć, że w tym punkcie Poradnika, niezgodnie z rzeczywistością, sprowadza się całe spektrum działalności rekrutacyjnej agencji zatrudnienia wyłącznie do obsługi rekrutacji anonimowych. Stanowisko UODO wymaga tu uzupełnienia i doprecyzowania.
Agencje zatrudnienia prowadzą procesy rekrutacyjne w oparciu o zróżnicowane modele współpracy z klientami (pracodawcami) i, jak zostało wyżej wspomniane, procesy te mogą (ale nie muszą) odpowiadać na potrzeby klientów w zakresie prowadzenia ukrytych rekrutacji.
Przede wszystkim, rekrutacja, czyli działanie polegające na pozyskaniu danych kandydatów do pracy, może mieć miejsce z inicjatywy kandydata (przesłanie CV, wypełnienie aplikacji online itp.) lub z inicjatywy agencji (poszukiwania bezpośrednie, portale rekrutacyjne itp.). W obu przypadkach agencja zatrudnienia identyfikuje siebie jako administratora danych w procesie rekrutacyjnym, natomiast kandydat (o ile aplikuje do bazy kandydatów, a nie w związku ze skonkretyzowanym procesem rekrutacyjnym) obejmuje swoją świadomością i intencją przekazanie jego danych wszystkim pracodawcom zainteresowanym jego kandydaturą, niezależnie od nazwy stanowiska, opisu wymagań czy tożsamości pracodawcy. Ponieważ przekazywanie wyselekcjonowanych profili kandydatów pracodawcom zgłaszającym zapotrzebowanie na pracowników jest immanentnym elementem standardowych procesów rekrutacyjnych, należy uznać, że zgody kandydatów na przekazywanie ich danych wszystkim potencjalnie zainteresowanym pracodawcom, są wbudowane w treść zgody na udział we wszystkich przyszłych procesach rekrutacyjnych prowadzonych przez agencję zatrudnienia. W świetle powyższego, wymóg ponownego uzyskiwania zgód na przekazanie danych kandydata potencjalnym pracodawcom wydaje się nadmierny – ta zgoda została udzielona już na etapie aplikowania do agencji zatrudnienia, szczególnie, jeżeli agencja zatrudnienia w obowiązku informacyjnym wskazała, że w ramach realizacji procesu rekrutacyjnego, dane kandydata będą przekazywane potencjalnym pracodawcom. Na etapie przekazania danych pracodawcy uzasadnione jest natomiast jego skonkretyzowanie (zidentyfikowanie) poprzez spełnienie obowiązku informacyjnego.
Trzeba dodać, że prawem kandydata jest także wyrażenie zgody wyłącznie na jeden, konkretny proces rekrutacyjny, w którym chce on wziąć udział (np. aplikując na ogłoszenie do konkretnej pracy lub firmy kandydat może zgodzić się, aby jego dane osobowe były przetwarzane wyłącznie w tym procesie i przekazane wyłącznie jednemu pracodawcy). W ramach tego standardowego modelu obsługi realizowanego przez agencje zatrudnienia można wyodrębnić proces rekrutacji „ślepej” czy „ukrytej”. Jest to proces z góry zaprojektowany w taki sposób, że kandydat aplikuje na konkretne stanowisko ze szczegółowym opisem wymagań, skonstruowanym przez klienta, który o tyle odbiega od standardowego (jawnego) procesu o tyle, że klient pragnie do pewnego momentu rekrutacji zachować anonimowość.
Stanowisko UODO wyrażone w punkcie 2.6 wymaga uzupełnienia o rozważania dotyczące standardowych modeli rekrutacji obsługiwanych przez agencje zatrudnienia, ale przede wszystkim skorygowania w zakresie, w jakim wskazuje ono na konieczność uzyskania (ponownej) zgody na przekazanie danych kandydata potencjalnym pracodawcom w modelu, w którym zgoda taka udzielana jest już na etapie składania przez kandydata aplikacji do udziału w przyszłych procesach rekrutacyjnych.
 
4.    Potwierdzanie referencji kandydata oraz autentyczności dyplomów
Stanowisko wyrażone przez autorów Poradnika w zakresie potwierdzania referencji kandydata od jego poprzedniego pracodawcy, jak i potwierdzania prawdziwości danych w przedstawianych dokumentach, w tym dyplomach ukończenia studiów wyższych, należy ocenić jako bardzo radykalne i stojące w sprzeczności z ugruntowaną praktyką rynkową.
Wydaje się, że tego rodzaju weryfikacja mieści się w granicach prawnie uzasadnionego interesu pracodawcy w zakresie możliwości podjęcia decyzji o zatrudnieniu kandydata w oparciu o dane zgodne ze stanem rzeczywistym. Należy w tym miejscu również podkreślić prawnie uzasadniony interes jakim wykazuje się agencja zatrudnienia, która ponosi dodatkową odpowiedzialność wobec swoich klientów za kierowanie do pracy kandydatów o odpowiednich kwalifikacjach, która bez możliwości weryfikacji ich prawdziwości, nie będzie mieć możliwości do prawidłowego wywiązania się z umów. Uzyskanie potwierdzenia kwalifikacji kandydata od byłego pracodawcy czy innej osoby trzeciej należy ocenić jako racjonalne działanie pracodawcy, którego interes nie godzi w tym wypadku w sposób nadmierny w prawa kandydata. Co więcej, kandydat przy złożeniu danego oświadczenia czy dokumentu powinien liczyć się z tym, że jego autentyczność może podlegać weryfikacji. Nie wyłącza to zresztą prawa wniesienia sprzeciwu przez kandydata w szczególnie uzasadnionych przypadkach.
Co więcej, zakaz weryfikacji prawdziwości danych w przedstawianych dokumentach, stoi ze sprzecznością z jedną z podstawowych zasad dotyczących przetwarzania danych osobowych wyrażonej w art. 5 ust. 1 pkt d RODO, zgodnie z którą przetwarzane dane muszą być prawidłowe i która zobowiązuje do podjęcia wszelkich rozsądnych działań, aby dane osobowe, które są nieprawidłowe zostały niezwłocznie usunięte lub sprostowane. Wykluczenie możliwości weryfikacji przez pracodawcę prawidłowości przedstawionych danych, nawet za wyraźną zgodą kandydata, uniemożliwia administratorowi tych danych spełnienie obowiązku nałożonego przez RODO. W tym miejscu należy podkreślić również niekonsekwencję Poradnika, który z jednej strony dopuszcza potwierdzanie referencji kandydata za jego zgodą, a z drugiej strony definitywnie wyklucza możliwość potwierdzenia jego wykształcenia. Ponadto, autorzy Poradnika nie wyjaśniają, czy pracodawca może potwierdzać dane podane przez kandydata w oficjalnych rejestrach osób z określonymi uprawnieniami (rejestr doktoratów i habilitacji, rejestr audytorów etc.).
Zwracamy uwagę na potrzebę rozszerzenia weryfikacji dyplomu również na kwestię dodatkowych uprawnień wymaganych od pracowników np. uprawnień wydawanych przez Urząd Dozoru Technicznego. Skoro pracodawca może zweryfikować referencje, to również powinien móc sprawdzić dyplomy lub uprawienia. W niektórych zawodach jest to kwestia istotna i podstawowa, wynikająca z dodatkowych regulacji np. lekarz, kierowca czy operator wózka widłowego. Pracodawca powinien móc zweryfikować prawdziwość przedłożonych do wglądu dokumentów i oświadczeń kandydata. Szczególnie gdy np. Urząd Dozoru Technicznego oferuje weryfikację numeru wydanej legitymacji. Jeżeli przemawiają za tym względy bezpieczeństwa lub wymagania posiadania dyplomów/świadectw/uprawnień stawiane są bezpośrednio przez przepisy powszechnie obowiązującego prawa, to ich weryfikacja nie powinna być zakazana.
Kwestia związana z weryfikacją profesjonalnych profili społecznościowych (skupiających się na publikacji danych/informacji związanych z wykonywanym zawodem/świadczonymi usługami np. LinkedIn czy GoldenLine) nie została w pełni wyjaśniona w Poradniku. Z naszej praktyki wiemy, że kandydaci zamieszczają link prowadzący bezpośrednio do ich profilu w profesjonalnych mediach społecznościowych, aby szerzej przedstawić swoje osiągnięcia, czy zaprezentować swoje umiejętności. Profesjonalne profile społecznościowe najczęściej budują osoby świadome i stawiające na rozwój kariery. Skoro głównym celem funkcjonowania tego rodzaju mediów społecznościowych jest ukazanie profesjonalnego kandydata potencjalnym pracodawcom, to potencjalny pracodawca powinien mieć możliwość weryfikacji takiego profilu opierając się na swoim prawnie uzasadnionym interesie.  
Obecna sytuacja geopolityczna nakłada na pracodawców dodatkowe obowiązki w zakresie weryfikacji kandydatów przyjmowanych do pracy – sprawdzenia, czy nie figurują na listach sankcyjnych (polskich jak i europejskich). Po stronie pracodawcy rodzi się pytanie jak powinny być traktowane dane odnośnie widnienia kandydata na liście sankcyjnej. Czy informację traktować jako dane zwykłe? Odpowiedź na to pytanie pozwoli odpowiednio przygotować treść informacji o przetwarzaniu danych osobowych.
 
5.    Przetwarzanie danych kandydatów w celu zabezpieczenia roszczeń
Okres retencji danych kandydata wskazany w Poradniku powinien uwzględniać treść wyroku NSA z 24 lutego 2024 r. (sygn. akt III OSK 2700/22). Zgodnie z orzeczeniem z uwagi na możliwość obrony przed roszczeniami okres retencji może być wydłużony do 3 lat.
Jednocześnie, trzeba wskazać, że UODO w Poradniku nie odniósł się do kwestii retencji danych osobowych kandydatów w obszarze, w jakim proces rekrutacyjny prowadzi agencja zatrudnienia na zlecenie klienta, a nie jako pracodawca. UODO, wskazując na obowiązek usuwania danych niezwłocznie po zatrudnieniu wybranego kandydata, nie poddał osobnej analizie sytuacji, w której to agencja zatrudnienia realizuje na rzecz klientów usługi rekrutacyjne. We wskazanym procesie rekrutacja jest świadczeniem umownym objętym gwarancją. Oznacza to, że w oznaczonym czasie klient, realizując uprawnienie gwarancyjne, ma prawo oczekiwać przedstawienia mu innych kandydatów, a agencja zatrudnienia ma obowiązek bezzwłocznie takich kandydatów przedstawić, zwykle pod rygorem utraty wynagrodzenia. Tym samym niezaprzeczalnie, agencja zatrudnienia legitymuje się tu podstawą przetwarzania w postaci w art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes administratora). Jako że UODO w swoim Poradniku poruszył inne zagadnienia związane z przetwarzaniem danych w agencjach zatrudnienia – fakt, iż odrębność procesu rekrutacyjnego nie została tu przez UODO dostrzeżona, może rodzić mylne przekonanie, że nie ma ona miejsca. Brak ten powinien zostać zatem bezzwłocznie uzupełniony.
 
6.    Przetwarzanie danych pracowników tymczasowych
Informacje zawarte w Poradniku stanowiące, że „(…) stosunek pracy tymczasowej wymaga, aby agencja zawarła z pracodawcą użytkownikiem umowę powierzenia przetwarzania danych osób świadczących pracę tymczasową”, są powszechnie interpretowane jako wskazanie konieczności zawierania umów powierzenia, mimo iż trudno w tej relacji wskazać przestrzeń, gdzie to powierzenie faktycznie zachodzi. Pracodawcy usilnie próbują zawierać tego rodzaju umowy, powołując się na powyższe brzmienie Poradnika.
Tymczasem, w zatrudnieniu tymczasowym to zarówno agencja pracy tymczasowej, jak i pracodawca użytkownik, pełnią samodzielną rolę administratora danych, działając we własnym celu i posługując się własnymi środkami przetwarzania.
Na etapie rekrutacji do pracy tymczasowej, agencja pracy tymczasowej pełni rolę administratora danych osobowych kandydatów. Po zatrudnieniu pracownika tymczasowego w celu skierowania go do  wykonywania pracy tymczasowej na rzecz pracodawcy użytkownika, agencja pracy tymczasowej jest administratorem jego danych osobowych jako pracodawca przez cały okres zatrudnienia, a następnie po jego ustaniu jako były pracodawca.
Rolę pracodawcy użytkownika w procesie przetwarzania danych pracowników tymczasowych należy analizować z uwzględnieniem przepisów Ustawy o zatrudnianiu pracowników tymczasowych. W ustawie tej występuje nietypowa dla tradycyjnego stosunku pracy relacja trzech podmiotów: pracownika tymczasowego, pracodawcy, którym jest agencja pracy tymczasowej i pracodawcy użytkownika. Specyfikę tej relacji tworzy w szczególności zawarcie umowy o pracę przez jeden podmiot (agencję pracy tymczasowej) wyłącznie w celu skierowania do wykonywania pracy na rzecz innego podmiotu (pracodawcy użytkownika) oraz nadzór i kierownictwo sprawowane przez pracodawcę użytkownika, a nie przez podmiot zatrudniający. To „rozszczepienie” obowiązków pracodawcy ma szczególne znaczenie w kontekście definicji stosunku pracy, określonej w art. 22 Ustawy z 26.06.1974 r. − Kodeksu pracy – dalej „KP”. Zgodnie z tym przepisem „Przez nawiązanie stosunku pracy pracownik zobowiązuje się do wykonywania pracy określonego rodzaju na rzecz pracodawcy i pod jego kierownictwem oraz w miejscu i czasie wyznaczonym przez pracodawcę, a pracodawca do zatrudniania pracownika za wynagrodzeniem”. Powyższa definicja doznaje istotnej modyfikacji na gruncie UZPT, gdyż zasadnicze elementy stosunku pracy, wymienione w przywołanym art. 22 KP, jak wykonywanie pracy określonego rodzaju, wykonywanie pracy „na rzecz”, kierownictwo nad pracownikami oraz wyznaczanie miejsca i czasu wykonywania pracy leżą po stronie pracodawcy użytkownika, co licznie potwierdzają przepisy ustawy o UZPT, a w szczególności art. 1 ust. 2, który potwierdza to wprost. Powyższe nakazuje uznać, że rola pracodawcy, wynikająca z definicji z art. 22 KP, jest realizowana w zasadniczej części przez pracodawcę użytkownika, którą wykonuje we własnym imieniu, za pomocą własnych środków i dla osiągnięcia własnych celów gospodarczych. Żaden bowiem przepis prawa pracy nie stanowi, że rolę pracodawcy opisaną w art. 22 KP pracodawca użytkownik wypełnia w imieniu agencji, na zasadzie zlecenia. Nie ma zatem żadnych podstaw − w szczególności w świetle powyższej definicji, aby uznać go za podmiot, który prawa i obowiązki pracodawcy, wynikające z ww. przepisu realizuje jako podmiot przetwarzający.  
Wśród istotnych ustawowych praw i obowiązków pracodawcy użytkownika, które w sposób nie budzący wątpliwości przemawiają za uznaniem pracodawcy użytkownika za pełnoprawnego, pełnowymiarowego administratora danych osobowych pracowników tymczasowych należy wymienić między innymi następujące:
•                pracodawca użytkownik sprawuje nadzór i kierownictwo nad pracownikiem tymczasowym na takich samych zasadach, jak wykonuje je tradycyjny pracodawca, co oznacza, że ma prawo wydawać pracownikowi tymczasowemu bieżące polecenia służbowe, zarządzać jego czasem pracy itd. (art. 2 pkt 1 UZPT);
•                pracodawca użytkownik wyznacza pracownikowi tymczasowemu zadania i kontroluje ich wykonanie (art. 2 pkt 1 UZPT);
•                pracodawca użytkownik informuje agencję zatrudnienia o wynagrodzeniu, jakie ma być wypłacane pracownikowi  tymczasowemu (art. 9 ust. 2 pkt 1 UZPT);
•                pracodawca użytkownik wykonuje obowiązki i korzysta z praw przysługujących pracodawcy w zakresie niezbędnym do organizowania pracy z udziałem pracownika tymczasowego (art. 14 ust. 1 UZPT);
•                pracodawca użytkownik jest obowiązany zapewnić pracownikowi tymczasowemu bezpieczne i higieniczne warunki pracy w miejscu wyznaczonym do wykonywania pracy tymczasowej (art. 14 ust. 2 pkt 1 UZPT);
•                pracodawca użytkownik prowadzi ewidencję czasu pracy pracownika tymczasowego w zakresie i na zasadach obowiązujących w stosunku do pracowników (art. 14 ust. 2 pkt 2 UZPT);
•                pracodawca użytkownik prowadzi ewidencję osób wykonujących pracę tymczasową (art. 14 a UZPT);
•                poprzez sprawowanie nadzoru nad przebiegiem pracy, pracodawca użytkownik może współdecydować np. o przyznaniu premii lub nagrody (art. 2 pkt 1 i art. 14 ust. 1 UZPT);
•                pracodawca użytkownik dostarcza pracownikowi tymczasowemu odzież i obuwie robocze oraz środki ochrony indywidualnej, zapewnia napoje i posiłki profilaktyczne, przeprowadza szkolenia BHP, ustala okoliczności i przyczyny wypadku przy pracy, przeprowadza ocenę ryzyka zawodowego oraz informuje o tym ryzyku (art. 9 ust. 2a UZPT);
•                pracodawca użytkownik ma obowiązek stosować wobec pracowników tymczasowych tzw. zasadę równego traktowania (art. 15 UZPT).
Nie ma również żadnych przeszkód, aby zakres praw i obowiązków pracodawcy użytkownika został poszerzony w umowie o świadczenie usług zawartej z agencją. Ponadto, należy także przywołać przepis art. 5 UZPT, zgodnie z którym w zakresie nieuregulowanym odmiennie przepisami UZPT do pracodawcy użytkownika (a nie tylko do agencji pracy tymczasowej) stosuje się odpowiednio przepisy prawa pracy dotyczące pracodawcy.
Powyższe wyliczenie praw i obowiązków pracodawcy użytkownika jednoznacznie wskazuje, że praktycznie od momentu przekazania pracodawcy użytkownikowi listy pracowników tymczasowych, którzy stawią się do pracy w jego zakładzie, pracodawca użytkownik zaczyna przetwarzać dane tych pracowników wyłącznie dla własnych celów związanych z prowadzeniem własnego przedsiębiorstwa,  we własnym imieniu, przy pomocy własnych środków i wykonując w stosunku do tych osób obowiązki pracodawcy. Pracodawca użytkownik jest także jedynym odbiorcą pracy pracownika tymczasowego i tylko on korzysta z jej materialnych efektów. Jest to samodzielna rola, w której pracodawca użytkownik nie działa na zlecenie agencji, ani nie wykonuje czynności w jej imieniu. W praktyce można by mnożyć przykłady działania pracodawcy użytkownika na własny rachunek z wykorzystaniem danych osobowych pracowników tymczasowych, np. wydawanie bieżących poleceń służbowych, przypisywanie podległości pracownika tymczasowego w strukturze pracodawcy użytkownika, prowadzenie szkoleń wprowadzających oraz szkoleń z zakresu BHP, ustalanie rozkładów i harmonogramów czasu pracy oraz prowadzenie ewidencji czasu pracy, prowadzenie postępowania w sprawie ustalenia okoliczności i przyczyn wypadku przy pracy oraz sporządzanie protokołów powypadkowych, prowadzenie ewidencji okresów zatrudnienia, wydawanie kart dostępowych do zakładu pracy, wydawanie identyfikatorów pracownika, sporządzanie list pracowników na poszczególnych zmianach, stosowanie do pracowników regulaminów premiowania obowiązujących u pracodawcy użytkownika, uwzględnianie pracowników tymczasowych w planach benefitowych pracodawcy użytkownika, przekazywanie list zatrudnionych pracowników związkom zawodowym, raportowanie danych o takich pracownikach do własnych struktur organizacyjnych itd.
Mając na uwadze powyższe i w zakresie wykonania wszystkich powołanych wyżej czynności pracodawca użytkownik pełni samodzielną rolę administratora danych, działając we własnym celu i posługując się własnymi środkami przetwarzania.
Oczywiście, pomimo, iż zasadniczo wymiana danych osobowych pomiędzy agencją pracy tymczasowej a pracodawcą użytkownikiem będzie odbywała się na zasadzie udostępnienia danych, mogą wystąpić − po obu stronach − sytuacje, w których jeden z tych podmiotów zleci drugiemu w drodze umowy wykonanie jakiejś czynności prawnej lub faktycznej. Takie sytuacje w praktyce nie są jednak często spotykane, gdyż głównym oczekiwaniem pracodawcy użytkownika jest wykonywanie obowiązków formalnych związanych z zatrudnieniem przez agencję, nie zaś samodzielna ich realizacja.
Prezes UODO także podzielił powyższe stanowisko w piśmie z dnia 15 lutego 2021 r. w odpowiedzi na zapytanie Polskiego Forum HR (DOL.023.112.2021.WL.NP.112064).
 
7.     Udostępnianie danych osobowych pracowników tymczasowych pracodawcy użytkownikowi.
Stoimy na stanowisku, że warto uregulować zakres danych osobowych, który może zostać udostępniony pracodawcy użytkownikowi przez agencję. Wielokrotnie pracodawca użytkownik domaga się przekazania całych akt osobowych pracownika, skanów paszportów, pozwoleń o pracę. Stoimy na stanowisku, że udostępnienie tych danych jest nadmiarowe do celu jakim jest pełnienie roli pracodawcy użytkownika. W związku z tym wskazanie zakresu danych jakie mogą być udostępnione pracodawcy użytkownikowi byłoby pomocne w budowaniu relacji pomiędzy agencją, a pracodawcą użytkownikiem.
 
8.       Zbieranie i przetwarzanie danych pracowników
Warto byłoby w Poradniku doprecyzować podstawy prawne przetwarzania także danych dotyczących pracowników.
Prezes UODO w jednym ze stanowisk wskazał, że prywatne dane kontaktowe pracowników nie mogą być przetwarzane wyłącznie za zgodą pracownika (do zmian na www UODO stanowisko było dostępne na tej stronie: https://uodo.gov.pl/pl/138/1636). Zdarzają się natomiast sytuacje, gdy pracodawca nie zapewnia pracownikowi służbowego telefonu czy komputera (np. pracownicy fizyczni). Tym samym, pracodawca nie ma innej możliwości kontaktu z pracownikiem niż jego dane prywatne. Wprowadzenie wymogu zgody pracownika wyłącza dobrowolność udzielania zgody lub pozbawia pracodawcę możliwości kontaktu z pracownikiem.
Kolejna kwestia to ustalenie czy dokument potwierdzający zdolność do pracy należy traktować jako dokument zawierający dane dotyczące zdrowia. Jest to bardzo szeroka interpretacja danych szczególnych kategorii, których katalog jest zamknięty. Należy uznać, że zaświadczenie lekarza medycyny pracy, które wyłącznie potwierdza zdolność do pracy, w rzeczywistości nie zawiera informacji o zdrowiu danej osoby, w odróżnieniu od dokumentów zawierających np. dodatkowe uwagi lekarza orzecznika czy stwierdzających niezdolność do pracy.
Analogicznie wygląda sytuacja z zaświadczeniem o niekaralności – taki dokument de facto nie zawiera informacji, o których mowa w art. 10 RODO.  
Ponadto, Poradnik wskazuje na brak podstaw przechowywania kopii dokumentu tożsamości pracownika w aktach osobowych. Dokumentem tożsamości jest jednak również np. paszport, który, tak jak inne dokumenty legalizujące pobyt i pracę, jest potrzebny pracodawcy w przypadku zatrudniania cudzoziemców, chociażby w celu ustalenia właściwej podstawy legalności pobytu/pracy i okresu ważności tych dokumentów.
 
9.         Dane należące do szczególnych kategorii
Poradnik w kilku miejscach odnosi się do danych osobowych należących do szczególnych kategorii w ramach nawiązywania i istnienia stosunku pracy. Dodatkowo Prezes UODO wypowiadał się na ten temat, również poza Poradnikiem. Chcielibyśmy zwrócić uwagę na klika kwestii.
 
a)           W trakcie rekrutacji
Oczywistym jest, że dane osobowe należące do szczególnej kategorii pracodawca przetwarzać może wyłącznie w ramach art. 9 RODO. Jednak pragniemy zwrócić uwagę na drobną kwestię, która powodować może problemy dla pracodawców. Zmierzając do zawarcia umowy o pracę z kandydatem (a w szczególnych sytuacjach również ze zleceniobiorcą) pracodawca kieruje go na badania wstępne z zakresu medycyny pracy. Z praktyki wiemy, że kandydaci nie posiadają wiedzy odnoszącej się do przepisów, wobec czego dobrą praktyką jest poinformowanie kandydata, że jeżeli przebywa na zwolnieniu lekarskim, to nie powinien iść na badania, gdyż otrzyma orzeczenie stwierdzające jego niezdolność do podjęcia i wykonywania pracy. Po otrzymaniu orzeczenia lekarskiego niedopuszczającego pracownika do pracy, pracodawca nie ma prawa wnikać w przyczynę niezdolności. Wobec czego nie dochodzi do zatrudnienia kandydata. W naszej ocenie uzyskanie informacji o fakcie przybywania kandydata na zwolnieniu lekarskim jak i data jego zakończenia jest uzasadnione i mieści się w sytuacji ujętej pod literą h artykułu 9 RODO.
 
b)           Adnotacje na skierowaniach
Według naszej oceny kwestia adnotacji na skierowaniu została potraktowana bardzo rygorystycznie ze strony Prezesa UODO. O ile rozumiemy sytuacje związane z nadużyciem prywatności kandydatów przez pracodawców np. w zakresie posiadania orzeczenia o niepełnosprawności i próbą wymuszenia na lekarzu wydania odpowiednich decyzji, o tyle wątpliwym pozostają nadal kwestie związane z bezpieczeństwem pracy. W jaki sposób pracodawca ma przekazać lekarzowi informacje, które mogą mieć wpływ na bezpieczeństwo tego pracownika, jaki i pozostałych osób pozostających na terenie zakładu pracy lub korzystających z usług przedsiębiorstwa pracodawcy. Znane są przypadki, gdy kandydat lub pracownik, w trosce o otrzymanie/zachowanie pracy, zataja ważne informacje przed lekarzem - np. kandydat posiadający alergię zatrudniony ma być w zakładzie, w którym narażony jest na stały kontakt z alergenem; kierowca zawodowy przyjmujący leki wpływające na jego zdolności psychofizyczne podczas prowadzenia pojazdu. Ochrona zdrowia i życia jest kwestią nadrzędną w stosunku do ochrony danych osobowych, stąd pojawia się w RODO jako podstawa przetwarzania danych. W naszej ocenie dopuszczenie adnotacji na skierowaniach w sytuacji, w której do czynienia mamy z tą przesłanką jest konieczne i uzasadnione.
 
c)           Załącznik do FV za usługi medycyny pracy
W związku z wydaną decyzją zawierającą stanowisko Prezesa UODO odnośnie skierowania na badania lekarskie, zakłady medycy pracy postanawiają zaprzestać przekazywania w załączniku do faktury szczegółów jakie badania zostały wykonane danemu pracownikowi. Z punktu widzenia agencji zatrudnienia, jest to istotny element stanowiący podstawę rozliczenia z klientami za koszty badań pracownika. Chcielibyśmy zwrócić uwagę, że pracodawca kierując pracownika na badania, może samodzielnie umówić go na dany termin i godzinę. W trakcie tego procesu pracodawca jest informowany przez przychodnię, o której godzinie i gdzie odbywają się poszczególne badania/konsultacje lekarskie, zatem podstawową wiedzę na temat zakresu przeprowadzonych badań/konsultacji posiada na etapie inicjującym badania. Sama informacja o przeprowadzonych badaniach/konsultacjach nie świadczy o tym, że pracownik może mieć jakieś przypadłości zdrowotne, a tym bardziej nie wskazuje jakie. Pracodawca nie mający odpowiedniej wiedzy medycznej, nie jest w stanie określić stanu zdrowia pracownika wyłącznie w oparciu o wykonane badania lub przeprowadzone konsultacje. Pracodawcę determinuje treść orzeczenia lekarskiego, które dopuszcza lub nie pracownika do pracy, i które finalnie jest wydawane przez lekarza orzecznika, w oparciu o wyłączenie mu znane wyniki przeprowadzonych badań i konsultacji. Zatem próby anonimizacji zakresu przeprowadzonych badań są bezcelowe i nie wpływają na ujawnienie szerszego zakresu danych na temat zdrowia pracownika niż wynika to z treści orzeczenia lekarskiego.  
 
10.         Niedoszli pracownicy
Kwestią wymagającą uwzględnienia w Poradniku jest sprawa danych osobowych niedoszłych pracowników. Z uwagi na rynek pracownika i wielość ofert na rynku pracy, coraz częściej dochodzi do poniżej opisanej sytuacji. Pracodawca kończy proces rekrutacyjny i rozpoczyna proces zatrudnienia wybranego kandydata. Kandydat przechodzi badania lekarskie, wypełnia dokumentację i podpisuje umowę o pracę, a pracodawca wysyła jego zgłoszenie do ZUSu. Jednak w dniu rozpoczęcia pracy kandydat nie stawia się do niej. Nie dochodzi do nawiązania stosunku pracy, wobec czego nie mamy do czynienia z pracownikiem. Czy można taką osobę nadal traktować jako kandydata, skoro przeszła proces rekrutacyjny? Jak prawidłowo powinno się postąpić z danymi zebranymi w toku rekrutacji?
Z uwagi na to, że nie dochodzi do nawiązania stosunku pracy, to okres retencji określony w art. 94 pkt 9b Kodeksu pracy nie będzie miał zastosowania. Z uwagi na to, że nie doszło do rozpoczęcia świadczenia pracy, to pracodawca nie jest obowiązany do wypłaty wynagrodzenia, więc zastosowania nie znajdą też przepisy art. 125a ustawy o emeryturach i rentach z Funduszu ubezpieczeń społecznych. Pracodawca wysyła korektę deklaracji niedoszłego pracownika do ZUSu, ale nadal jego zgłoszenie widnieje w systemie ZUS i nadal ma do niego dostęp za pośrednictwem PUE ZUS. Z praktyki wiemy, że ZUS zwraca się do pracodawcy z zapytaniami dotyczącymi zgłoszeń trwających jeden dzień, wobec czego należałoby posiadać dane, w celu wyjaśnienia sytuacji. Dodatkowo mogą pojawić się kwestie roszczeń od niedoszłego pracownika związane z nawiązaniem stosunku pracy. Wobec czego należałoby się zastanowić jakie dane i jak długo może przechowywać pracodawca.
W naszej ocenie słusznym podejściem będzie ograniczenie danych, które zostały podane przez niedoszłego pracownika do absolutnego minimum tj. wymaganego na poziomie procesu rekrutacji i wysłanego zgłoszenia deklaracji do ZUSu. Zwrotowi lub zniszczeniu powinny podlegać pozostałe dane np. orzeczenie lekarskie, skierowanie na badania medycyny pracy, kopie świadectw pracy. Okres retencji w tym wypadku nie powinien być dłuższy niż okres 3 lat, wskazany przez NSA w wyroku z dnia 5 grudnia 2023 r. (sygn. akt III OSK 2700/22), o ile uznamy, że nadal jest to kandydat. Dodatkowo pracodawcy powinni mieć możliwość wnioskowania do ZUSu o usunięcie danych niedoszłego pracownika z ich profilu w PUE ZUS po upływie okresu retencji, chociaż najlepszym rozwiązaniem byłoby czyszczenie systemu PUE ZUS przez ZUS samodzielnie.   
 
11.         Wydawanie dokumentów w wersji elektronicznej
W obecnych czasach coraz więcej usług świadczonych jest przy wykorzystaniu środków elektronicznych. Jest to nie tylko praktyczne, ale też czyni zadość wymaganiom nakładanym przez trend społecznej odpowiedzialności biznesu i uzyskania jak najlepszych wyników w obszarze ESG.
Coraz powszechniejsze staje się wykorzystanie rozwiązań elektronicznego obiegu dokumentów. W sposób elektroniczny zawierane są umowy o pracę, elektronicznie zbierane są dane do kwestionariuszy osobowych pracownika, elektronicznie prowadzona jest dokumentacja pracownicza, wydawane są elektronicznie PITy - 11 oraz świadectwa pracy.
Niestety świadomości związanej z elektronizacją życia i jego poszczególnych obszarów nie podzielają niektóre urzędy, starając się kwestionować dokumenty elektroniczne. W naszej praktyce spotykaliśmy się z kwestionowaniem elektronizacji procesów z uwagi m.in. na ochronę danych osobowych. Ujęcie kwestii elektronizacji procesów zatrudnienia w Poradniku– w tym opisanie na co powinien zwrócić uwagę pracodawca, jakie RODO nakłada na niego obowiązki jako administratora danych, możliwość pojawienia się podmiotu przetwarzającego – pomoże pracodawcom szerzyć wiedzę i wesprze ich w dyskusji z urzędami.
 
12.         Dane osób trzecich
W trakcie trwania stosunku pracy pracodawca przetwarza dane osobowe pracownika, ale również osób trzecich – powiązanych z pracownikiem – w określonych przepisami celach. Przykładami takich osób i celów będą:
•    zgłoszenie członków rodziny do ubezpieczenia zdrowotnego,
•    skorzystanie z dodatkowych dni wolnych: opieki na dziecko do 14 roku życia, w razie wystąpienia siły wyższej, urlopu okolicznościowego,
•    wypełnienie szczególnych przesłanek w przypadku korzystania z pracy zdalnej,
•    złożenie wniosków o zasiłek: opiekuńczy w przypadku zwolnienia lekarskiego na dziecko lub członka rodziny, macierzyński/rodzicielski, urlop ojcowski.
Prezes UODO w opinii z dnia 25 maja 2020 roku wskazał, że wobec członków rodzin zgłoszonych do ubezpieczenia zdrowotnego pracodawca nie musi spełniać obowiązku informacyjnego wynikającego z art. 14 RODO. Ułatwieniem dla pracodawców byłoby wskazanie, kiedy muszą spełnić obowiązek informacyjny, a kiedy zastosowanie będzie miało zwolnienie z tego obowiązku, mając na uwadze szeroki katalog przyczyn przetwarzania danych osób trzecich wynikających z Kodeksu pracy.  
 
13.         Kontrole dostawców usług
Zwracamy uwagę na problematykę przetwarzania danych w zakresie szeroko rozumianej kontroli dostawców usług (w relacjach klient – dostawca). Powszechnym zjawiskiem są tzw. audyty etyczne, podczas których dostawcy usług są weryfikowani w zakresie spełnienia wymogów prawnych, w szczególności dotyczących prawa pracy – gdzie dostawca nie ma praktycznie żadnego wpływu na sposób przeprowadzania kontroli, w tym na ustalanie celów czy sposobów przetwarzania. W czasie takich kontroli/audytów klient (lub podmiot działający w jego imieniu) żąda od dostawcy dostępu (kopii lub do wglądu) do szeregu dokumentów zawierających dane osobowe (w tym dane finansowe oraz dane szczególnych kategorii) personelu dostawcy (mowa o pracownikach oraz zleceniobiorcach); przykładowy zakres dokumentów obejmuje:
•                umowy wiążące dostawcę z jego personelem – umowy o pracę, umowy zlecenia,
•                paski płacowe – dla potwierdzenia płacy minimalnej, wynagrodzeń za czas zwolnień lekarskich (pośrednie ujawnienie informacji o stanie zdrowia),
•                potwierdzenia przelewów wynagrodzeń,
•                orzeczenia lekarskie o braku przeciwskazań do wykonywania pracy określonego rodzaju (możliwe dane dot. zdrowia),
•                dokumenty legalizujące pracę w przypadku cudzoziemców,
•                zgłoszenia do ZUS oraz potwierdzenia przelewów wymaganych składek,
•                dokumentację bhp: potwierdzenia szkoleń bhp, szkoleń wstępnych itd.
W przypadku gdy usługi dostawcy świadczone są na terenie klienta, personel dostawcy może zostać objęty audytem, w którym to klient jest dostawcą dla swojego klienta – audyt przeprowadza strona trzecia, a często podmiot wskazany przez stronę trzecią.
Z punktu widzenia dostawcy, wyjściowym problemem jest spełnienie zasady zgodności z prawem - wydaje się, że o ile w ramach tzw. danych zwykłych, można znaleźć podstawę prawną legalizującą niezbędne przetwarzanie danych osobowych w oparciu o prawnie uzasadniony interes dostawcy (bez pozytywnej weryfikacji dostawca traci klienta, co może też mieć negatywny wpływ na personel dostawcy), to już przetwarzanie danych finansowych może naruszać równowagę interesów w kierunku osób, których dotyczy przetwarzanie.
 
14.    Koordynacja BHP
Wnosimy o określenie w Poradniku podstaw przetwarzania danych pracowników w zakresie współpracy pracodawców przy nadzorze nad BHP pracowników różnych pracodawców świadczących pracę w tym samym zakładzie pracy. Jak należy interpretować art. 208 § 1 pkt 2 Kodeksu pracy w kontekście przetwarzania danych osobowych? Czy przywołany przepis daje podstawę do przetwarzania danych osobowych przez koordynatora? W praktyce biznesowej często klient/pracodawca, u którego świadczone są usługi i czyim pracownikiem jest koordynator, żąda od usługodawcy potwierdzenia spełnienia szeregu wymogów bhp. Najczęściej w ramach potwierdzenia klient żąda udostępnienia kopii dokumentów obejmujących konieczne uprawnienia, np. do obsługi wózków jezdniowych podnośnikowych, odbycie szkoleń bhp, brak przeciwskazań do wykonywania pracy - orzeczenie o braku przeciwwskazań do pracy.