Uwagi do poradnika

Uwaga ogólna

W sytuacji, w której obowiązek przetwarzania danych osobowych nie wynika z Kodeksu pracy (KP) lub innych przepisów, Poradnik często wskazuje zgodę jako właściwą podstawę przetwarzania danych kandydata lub pracownika.

Poradnik w bardzo ograniczonym zakresie dostrzega przesłankę prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f) RODO) (uzasadniony interes) (np. w odniesieniu do przetwarzania danych w grupie przedsiębiorstw).

W naszej ocenie, w stosunkach z kandydatami i pracownikami to właśnie przesłanka uzasadnionego interesu powinna być podstawą procesów przetwarzania. W takim wypadku kluczowe dla legalności przetwarzania danych będzie rzetelne poinformowanie kandydatów czy pracowników o celach przetwarzania.

Europejska Rada Ochrony Danych (EROD) w wytycznych dot. zgody, w pkt. 21 wskazuje na brak równowagi sił występujących w związku z zatrudnieniem. W związku z tym EROD konkluduje, że w odniesieniu do większości przypadków przetwarzania danych w miejscu pracy zgodną z prawem podstawą nie może i nie powinna być zgoda pracowników (art. 6 ust. 1 lit. a)) ze względu na charakter stosunków między pracodawcą a pracownikiem.

Poradnik został wydany przed wejściem w życie znowelizowanych przepisów KP w związku z zapewnieniem stosowania RODO w Polsce. Już w samym uzasadnieniu ustawy zmieniającej KP w związku z zapewnieniem stosowania RODO¹, ustawodawca wskazał, że zastosowanie znaleźć mogą także inne podstawy przewidziane w art. 6 i 9 RODO².

Stąd postulujemy szersze uwzględnienie przesłanki uzasadnionego interesu jako podstawy przetwarzania danych kandydatów i pracowników przez pracodawcę. Parę przykładowych kontekstów jej zastosowania wskazujemy poniżej.

Rekrutacja

Przetwarzanie danych kandydatów przez pracodawców

Poradnik w rozdziale „Dane wymagane od kandydata w toku rekrutacji”³ wielokrotnie sugeruje, że pracodawca może przetwarzać w procesie rekrutacji jedynie dane określone w KP i innych aktach prawnych albo dane dobrowolnie podane przez pracownika. Jak rozumiemy przetwarzanie może następować na podstawie przesłanki (i) niezbędności do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b) RODO) (wykonanie umowy), (ii) niezbędności do wypełnienia obowiązku prawnego (art. 6 ust. 1 lit. c) RODO) (obowiązek prawny) lub (iii) zgody na przetwarzanie danych osobowych (art. 6 ust. 1 lit. a) (zgoda). Tym samym Poradnik zdaje się nie zauważać, że pracodawca może mieć podstawy aby żądać dodatkowych, acz niezbędnych z perspektywy pracodawcy danych osobowych. Uważamy, że jest to zawężające podejście i postulujemy dostrzeżenie dodatkowych kontekstów:

Szerszy zakres danych: W ramach wykonania umowy pracodawca może żądać podania od kandydata innych danych niż te które są wprost wymienione w art. 22¹KP lub wynikają z innych przepisów prawa, a które są jednocześnie niezbędne do ustalenia ram potencjalnej umowy o pracę jak np. informacje o oczekiwanym wynagrodzeniu, informacje o terminie rozpoczęcia pracy.

Szersze podstawy prawne: Pracodawca może mieć uzasadniony interes czy nawet działać w ramach wykonania umowy w ramach żądania danych kontaktowych do kandydata innych niż adres zamieszkania, bowiem w obecnej rzeczywistości rekrutrzy kontaktują się z kandydatami wyłącznie telefonicznie lub mailowo. Dodatkowo pracodawca może chcieć np. poznać motywację pracownika. Taka jest też powszechna praktyka. Przykładowo, Państwowa Inspekcja Pracy w swoich ogłoszeniach rekrutacyjnych wymaga podania przez kandydata telefonu lub adresu email i przedłożenia listu motywacyjnego w ramach dokumentów aplikacyjnych⁴.

Weryfikacja danych o kandydatach (background screening)

Uważamy, że pracodawca powinien mieć możliwość weryfikacji informacji o kandydatach do pracy ze względu na (i) wymogi regulacyjne ciążące na większości pracodawców, już choćby wynikające z konieczności zapewnienia bezpieczeństwa danych osobowych, lub (ii) interes pracodawcy polegający choćby na zabezpieczeniu tajemnicy przedsiębiorstwa.

Taka weryfikacja powinna być oparta także o źródła niezależne od kandydata. Zakres weryfikacji może zależeć od wielu czynników np. od stanowiska, na które aplikuje kandydat lub informacji do których może mieć dostęp w trakcie wykonywanych przez siebie obowiązków (np. praca z informacjami objętymi tajemnicą zawodową, kontakt ze środkami finansowymi itd.). Zgoda nie jest w takim przypadku właściwą podstawą przetwarzania bowiem proces weryfikacji kandydatów powinien dotyczyć wszystkich osób aplikujących na to samo stanowisko (zapewnienie równości procesu), a w takim wypadku trudno byłoby zorganizować proces w oparciu o zgodę tak, aby nie narazić się na zarzut braku dobrowolności zgody.

W związku z tym postulujemy:

Potwierdzenie, że w oparciu o art. 22¹ § 1 w związku z 22¹ § 5 KP, w ramach obowiązku prawnego, pracodawca może zweryfikować informacje podane przez kandydata, w tym o jego doświadczeniu zawodowym, kwalifikacjach, umiejętnościach – np. w formie testów merytorycznych i językowych – znajomości języka obcego lub posiadaniu prawa jazdy (jeżeli posiadanie prawa jazdy jest niezbędne do wykonywania pracy).

Natomiast w zakresie szerszym niż wskazany w art. 22¹ § 1 KP, ale nadal niezbędnym na potrzeby rekrutacji (np. testy umiejętności miękkich, opinie poprzednich pracodawców) na podstawie uzasadnionego interesu. Oczywiście, kluczem do zgodnej z prawem weryfikacji, jest uprzednie rzetelne poinformowanie kandydatów o przebiegu procesu weryfikacji.

Źródła informacji Poradnik wskazuje, że źródłem informacji dot. przebiegu zatrudnienia powinien być sam kandydat. Art. 22¹ § 5 KP przewiduje, że udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia kandydata. Przepis ten przewiduje jednak, że pracodawca może żądać udokumentowania takich danych w zakresie niezbędnym do ich potwierdzenia. W naszej ocenie takie uprawnienie powinno być rozumiane szeroko i nie powinno się ograniczać wyłącznie do samego kandydata. Pracodawca powinien być uprawniony do weryfikacji informacji przekazanych przez kandydata także za pośrednictwem innych źródeł niż kandydat. Przykładowo, pracodawca powinien móc dokonywać weryfikacji prawdziwości dyplomów i innych dokumentów przedłożonych przez kandydata z podmiotami je wydającymi. Podstawą prawną do dokonania takiej weryfikacji powinien być uzasadniony interes. Możliwość weryfikacji takich dokumentów została zakwestionowana w Poradniku także w przypadku uzyskania na nią zgody⁵.

Zaproponowana w Poradniku możliwość składania zawiadomień do prokuratury w sprawie możliwości sfałszowania przedłożonego przez kandydata dokumentu jest niepraktyczna i niecelowa. Takiego rodzaju postępowania mogą ciągnąć się miesiącami lub latami, a pracodawca nie może wstrzymać procesu rekrutacyjnego z tego powodu. Dodatkowo, trudno wymagać od pracodawcy, aby posiadał specjalistyczną wiedzę w zakresie tego jak rozpoznać, czy dokument został sfałszowany. Takie działanie może nieść ze sobą dotkliwe konsekwencje dla samego kandydata, jeżeli powzięte przez pracodawcę podejrzenie okaże się nieprawdziwe. W konsekwencji, rozwiązanie proponowane w Poradniku jest znacznie bardziej ingerujące w prywatność kandydata niż bezpośrednia weryfikacja prawdziwości dokumentu z podmiotem go wydającym. Uważamy więc, że w takim przypadku prawa i wolności kandydata nie mają nadrzędnego charakteru wobec realizowanych przez pracodawcę celów.

Poradnik dopuszcza możliwość pozyskiwania referencji przez pracodawcę za zgodą kandydata. Sugeruje także, że pracodawca nie jest uprawniony do pozyskiwania od osób udzielających referencji takich dodatkowych informacji o kandydacie jak opinia o kandydacie, czy też informacja o tym czy osoba ponownie zatrudniłaby kandydata. Pozyskiwanie takich informacji stanowi natomiast istotę referencji i nie powinno stanowić nadmiernej ingerencji w prywatność kandydata, w przypadku gdy pozyskiwane informacje dotyczą tylko zawodowej relacji i doświadczeń łączących kandydata z byłym pracodawcą. W naszej ocenie, dopuszczalne powinno być uzyskiwanie referencji na podstawie uzasadnionego interesu, szczególnie na wyższych stanowiskach⁶. Możliwość pozyskiwania referencji na podstawie uzasadnionego interesu występuje np. w Szwecji i Niemczech.

Dodatkowo, samo załączenie do dokumentów aplikacyjnych referencji wystawionych przez byłego pracodawcę powinno uprawniać do kontaktu z byłym pracodawcą udzielającym tych referencji na podstawie uzasadnionego interesu, jeżeli kandydat zostanie o tym uprzednio poinformowany w klauzuli informacyjnej lub ogłoszeniu o pracę. Kandydat powinien być świadomy, a wręcz oczekiwać tego, że skoro załącza referencje w ramach dokumentów aplikacyjnych to pracodawca może chcieć zweryfikować informacje w nich zawarte.

Poradnik kwestionuje możliwość pozyskania przez pracodawcę i agencję rekrutacyjną informacji o kandydatach z portali społecznościowych i innych ogólnodostępnych źródeł, oraz w sposób niejednoznaczny traktuje kwestiępozyskiwania informacji o kandydatach z portali społecznościowych o charakterze zawodowym, jak np. LinkedIn⁷. Stanowisko Urzędu powinno być bardziej zniuansowane. Przykładowo, francuski organ ds. ochrony danych osobowych (CNIL) dopuszcza możliwość pozyskiwania informacji o kandydatach o charakterze zawodowym z ogólnodostępnych źródeł w Internecie⁸.

Wiele osób celowo umieszcza w Internecie informacje ze swojej strefy zawodowej, aby budować swój profil zawodowy – np. na stronach swoich obecnych pracodawców, na stronach prowadzonej przez siebie działalności gospodarczej, czy wreszcie na portalach takich jak LinkedIn. Osoby te mogą także publikować artykuły w prasie branżowej.

Zakaz sięgania przez pracodawcę czy agencje pracy do źródeł zawierających informacje z obszaru zawodowej, profesjonalnej działalności kandydata podczas procesu rekrutacji pozostaje nieuzasadniony.

W naszej ocenie możliwość taka powinna zostać wprost potwierdzona, a podstawą gromadzenia i dalszego wykorzystania takich danych powinien być uzasadniony interes.

Jednym bowiem z podstawowych celów portali jak LinkedIn jest ułatwienie nawiązywania kontaktu między pracodawcami/agencjami rekrutacyjnymi i kandydatami w sprawie potencjalnych ofert współpracy. Użytkownicy zamieszczają informacje o swoim profilu zawodowym właśnie po to by „zaprezentować się” podmiotom potencjalnie zainteresowanym współpracą. Jednocześnie, portale takie oferują użytkownikom możliwość wyboru kto będzie się z nimi kontaktował, a także ustawienia swoich kont w taki sposób, by zapewnić im jak największą kontrolę nad wykorzystaniem ich danych np. poprzez możliwość oznaczenia, czy jest się otwartym na kontakt w sprawie ofert pracy. Kandydat powinien także oczekiwać możliwości pozyskiwania jego danych za pośrednictwem portali społecznościowych o charakterze zawodowym w przypadku gdy pracodawca i agencja rekrutacyjna poinformują go o takiej możliwości w ramach realizacji obowiązku informacyjnego podczas pozyskiwania jego danych w celach rekrutacyjnych. Możliwość pozyskiwania informacji o kandydatach z portalów społecznościowych o charakterze zawodowym dopuszcza wiele organów ds. ochrony danych osobowych w Unii Europejskiej, jak np. CNIL⁹, organ niemiecki dla landu Baden-Württemberg¹⁰, organ lichtensteiński¹¹ czy organ chorwacki¹².

Zgodnie ze stanowiskiem wyrażonym w Poradniku, pracodawcy zasadniczo nie mają prawnie uzasadnionej potrzeby sporządzania kopii dokumentów tożsamości pracowników przy ich zatrudnianiu¹³. Zakładamy, że podejście to znajduje zastosowanie również do kandydatów na etapie rekrutacji. Urząd stwierdził, że pracodawcy nie powinni przechowywać kopii dokumentów tożsamości pracowników, ponieważ zawierają one nadmiarowe dane.

Uważamy, że powyższe podejście jest zbyt restrykcyjne. Pracodawcy powinni mieć prawo nie tylko do żądania od kandydata/pracownika okazania dokumentu tożsamości lub jego elektronicznej wersji w celu weryfikacji jego tożsamości, ale także do przechowywania kopii dokumentu potwierdzającego dokonanie takiej weryfikacji pod pewnymi warunkami, które gwarantują ochronę podstawowych praw i wolności kandydatów/pracowników. W obecnych czasach, kiedy procesy rekrutacji i nawiązywania współpracy z pracownikiem, a także sama praca odbywają się zdalnie, zdarzają się przypadki nadużyć i oszustw ze strony kandydatów/pracowników. To jednak pracodawca ponosi odpowiedzialność za działania pracownika i zapewnienie zachowanie poufności informacji i tajemnicy przedsiębiorstwa. Dlatego też pracodawcy powinni mieć możliwość żądania i przechowywania kopii dokumentów, które jednoznacznie potwierdzają tożsamość kandydatów/pracowników. Wskazujemy, że nie ma obecnie przepisów, które wprost zabraniałyby możliwości sporządzania kopii takich dokumentów. Uważamy, że nie można tego jednak interpretować w ten sposób, że jeśli nie ma przepisów w tym obszarze, to oznacza to, że ten rodzaj przetwarzania danych osobowych jest zabroniony. Uważamy, że sporządzanie i przechowywanie kopii takich dokumentów może odbywać się na podstawie uzasadnionego interesu, pod warunkiem, że kandydaci zostaną odpowiednio poinformowani o takich działaniach. Pracodawcy powinni mieć możliwość przechowywania kopii dokumentów tożsamości przez okres niezbędny do weryfikacji kandydatów.

Przykładowo, możliwość sporządzania i przechowywania kopii dokumentów tożsamości mogłaby mieć zastosowanie w następującej sytuacji: pracodawca prowadzący proces rekrutacji zwraca się do wyspecjalizowanego zewnętrznego dostawcy usług weryfikacji danych o kandydatach (background screening) w celu zweryfikowania tożsamości kandydata biorącego udział w procesie rekrutacji. W takim przypadku to zewnętrzny usługodawca gromadzi odpowiednie, niezbędne dane, w tym właściwe strony z dokumentów tożsamości lub zrzuty ekranów elektronicznej wersji takich dokumentów, aby sczytać je elektronicznie w celu potwierdzenia autentyczności dokumentu. Dane takie są gromadzone przez krótki okres niezbędny do weryfikacji kandydata, a następnie usuwane. Zewnętrzny usługodawca zapewnia najwyższe standardy bezpieczeństwa w ramach procesu weryfikacji i szyfruje dane podczas ich przesyłania. Pracodawca nie ma dostępu do danych zebranych przez zewnętrznego usługodawcę. Jedyną informacją, jaką uzyskuje od zewnętrznego usługodawcy jest informacja, czy kandydat został zweryfikowany pozytywnie czy negatywnie.

Dla kompletności zaznaczamy, że w Poradniku nie jest spójnie przedstawione podejście do przetwarzania danych osobowych kandydatów w oparciu o ich zgodę. Sprawia to, że organizacje chcące przetwarzać dane osobowe kandydatów i pracowników w oparciu o tę przesłankę mogą mieć wątpliwości. Przykładowo, Poradnik dopuszcza możliwość zbierania referencji na podstawie zgody kandydata, jednocześnie arbitralnie i bez uzasadnienia ograniczając zakres tego o co pracodawca może pytać poprzedniego pracodawcę¹⁴. Jednocześnie, Poradnik kwestionuje możliwość weryfikacji prawdziwości dokumentów przedstawionych przez kandydata na podstawie jego zgody¹⁵. Trudno znaleźć uzasadnienie dla tak różnego podejścia. Skoro art. 22^{1a i 1b} KP wprost dopuszczają możliwość przetwarzania danych kandydatów i pracowników na podstawie ich zgody, zakres takiej zgody nie powinien być arbitralnie kwestionowany przez Urząd.

3. Przechowywanie danych kandydatów po zakończeniu rekrutacji

Po zakończeniu procesu rekrutacji pracodawca powinien mieć możliwość przechowywania danych kandydatów, którzy nie zostali zatrudnieni, w niezbędnym zakresie, maksymalnie przez okres przedawnienia odpowiednich roszczeń, w szczególności wynikający z art. 291 § 1 KP, tj. 3 lata od dnia w którym roszczenie stało się wymagalne.

Nie można przyjąć, że takie przechowywanie danych stanowi przetwarzanie danych „na wszelki wypadek”. Istnieje realna możliwość podniesienia przez takiego kandydata roszczeń w zakresie dyskryminacji w zatrudnieniu. Jeżeli pracodawca usunie takie dane niezwłocznie po zakończeniu rekrutacji, nie będzie miał możliwości skutecznej obrony przed sądem. Odmienne stanowisko w tym zakresie zostało zaprezentowane w Poradniku¹⁶. Podzielamy stanowisko wyrażone przez Naczelny Sąd Administracyjny w wyroku z dnia 20 lutego 2024 r., sygn. akt III OSK 2700/22 „[…] przetwarzanie danych osobowych uzyskanych w procesie rekrutacji, celem zabezpieczenia uzasadnionych prawnych interesów administratora oraz Wnioskodawczyni na wypadek ewentualnego postępowania sądowego w przedmiocie dyskryminacji w procesie zatrudnienia może mieć podstawę w treści art. 6 ust. 1 lit f RODO. (…) Wyłączenie stosowania art. 6 ust. 1 lit f RODO, gdy administrator przetwarza dane osobowe na wypadek ewentualnego sporu sądowego, wyłącznie z uwagi na jego potencjalność jest nieuzasadnione. Taka interpretacja art. 6 ust. 1 lit. f RODO byłaby zbyt formalistyczna i nieznajdująca potwierdzenia w przyjętym sposobie jego rozumienia. (…) zaprzestanie przetwarzania danych osobowych osoby, która negatywnie przeszła proces rekrutacyjny i tym samym wyzbycie się przez pracodawcę wszelkich dokumentów i danych identyfikujących oraz pozycjonujących tę osobę w tym procesie, może uniemożliwić lub znacznie utrudnić mu skuteczną obronę przed postawionymi przed sądem zarzutami dyskryminacyjnymi.”

4. Przetwarzanie danych kandydatów przez agencje rekrutacyjne

Poradnik przewiduje, że agencje rekrutacyjne mogą (i) gromadzić dane osobowe kandydatów, jak rozumiemy na potrzeby budowania własnej bazy kandydatów, i (ii) udostępniać dane osobowe wyselekcjonowanych i rekomendowanych kandydatów swoim klientom na podstawie zgód kandydatów¹⁷. Uważamy, że należy uwzględnić także inne podstawy przetwarzania danych kandydatów, w tym wykonanie umowy czy uzasadniony interes. Niezależnie od wyboru podstawy prawnej, stoimy na stanowisku, że nie jest potrzebna zgoda na przedstawienie przez agencje rekrutacyjne kandydatów swoim klientom (potencjalnym pracodawcom). Ochrona praw i wolności kandydata są dostatecznie zapewnione, jeśli kandydat będzie poinformowany o tożsamości potencjalnego pracodawcy, a agencja rekrutacyjna da kandydatowi możliwość sprzeciwienia się wobec udostępnienia danych kandydata do potencjalnego pracodawcy.

(i) wykonanie umowy

Przetwarzanie danych kandydatów we wskazanych powyżej celach (i) i (ii) może opierać się na konieczności wykonania umowy obowiązującej pomiędzy kandydatem a agencją rekrutacyjną. W takim przypadku agencja rekrutacyjna świadczyłaby usługę na rzecz kandydata polegającą na wsparciu w poszukiwaniu jak najbardziej dopasowanych do oczekiwań, umiejętności i doświadczenia kandydata ofert pracy, co obejmowałoby także bycie pośrednikiem między kandydatem a potencjalnym pracodawcom. Taka umowa może mieć np. postać regulaminu wskazującego zakres świadczeń oferowanych przez agencję, lub inną formę. Przetwarzanie miałoby miejsce w takim zakresie w jakim jest to obiektywnie niezbędne do wykonania takiej umowy i obejmowałoby udostępnianie danych potencjalnym pracodawcom – zgodnie z oczekiwaniami kandydata zidentyfikowanymi podczas rozpoczęcia współpracy z kandydatem przez agencję, a także przetwarzanie danych kandydata w bazie w celu obecnych i przyszłych rekrutacji.

(ii) uzasadniony interes

Przetwarzanie danych kandydatów we celach (i) i (ii) może także opierać się także na uzasadnionym interesie.

W przypadku gdy kandydat przesyła agencji rekrutacyjnej swoje CV w celu uwzględnienia go w prowadzonych przez tę agencję procesach rekrutacyjnych albo w celu konkretnego procesu rekrutacyjnego, ma on świadomość i oczekiwanie, że agencja rekrutacyjna będzie wykorzystywać jego dane w celu wyselekcjonowania dla niego jak najbardziej dopasowanych ofert zatrudnienia, dostosowanych do jego profilu, i udostępnienia ich potencjalnym pracodawcom, którzy poszukują pracowników o takim właśnie profilu.

Taki interes można przypisać wszystkim zaangażowanym stronom, tj. agencji rekrutacyjnej, klientowi, ale także i kandydatowi, którego szanse na znalezienie pracy są istotnie powiązane z działaniami agencji rekrutacyjnej i prowadzonej przez nią komunikacji z zainteresowanymi klientami. Inicjatywa kandydata, tj. przesłanie CV, i jego świadomość dot. usług świadczonych przez agencję rekrutacyjną potwierdzają oczekiwanie kandydata w zakresie przetwarzania jego danych osobowych przez agencję rekrutacyjną. Kandydat też będzie miał oczekiwania, a przynajmniej będzie liczył się z możliwością zwrócenia się do niego przez agencję rekrutacyjną w celu zainicjowania procesu rekrutacji na profesjonalnych portalach społecznościowych. W ten sposób, kandydat (użytkownik portalu społecznościowego) zwiększa swoją szansę na zatrudnienie albo zmianę pracy na bardziej korzystną. Ponadto, interes taki jest zgodny także z charakterem relacji istniejącej pomiędzy kandydatem a agencją rekrutacyjną, która reprezentuje kandydata w poszukiwaniu pracy.

Pomimo przemilczenia tej kwestii w Poradniku, w niektórych przypadkach agencja rekrutacyjna może działać także jako podmiot przetwarzający klienta np. gdy rekrutuje konkretne osoby wskazane przez klienta lub gdy klient przekazuje agencji dane kandydatów pochodzących z jego własnej bazy kandydatów do analizy i selekcji.

3. Zatrudnienie

1. Wizerunek pracowników

W Poradniku potwierdzono możliwość publikowania przez organizację zdjęć pracowników w Intranecie w celu usprawnienia procesu zarządzania i wewnętrznej komunikacji na podstawie uzasadnionego interesu¹⁸. Postulujemy potwierdzenie, że możliwość taka dotyczy zasobów wewnętrznych także innych spółki z grupy takiej organizacji. W praktyce bowiem dokładnie takie same powody przemawiają za publikacją zdjęć pracowników we wspólnym Intranecie dedykowanym pracowniom wszystkich spółek z grupy. Pracownicy z różnych spółek współpracują ze sobą na co dzień w różnych konfiguracjach. Publikacja zdjęć we wspólnym Intranecie służy polepszeniu i usprawniania funkcjonowania całej grupy. Uważamy więc, że ze względu na powiązania organizacyjne i specyficzne relacje jakie zachodzą pomiędzy spółkami z grupy, zasadnym jest przyjęcie, że w takim przypadku nie dochodzi do udostępniania zdjęć pracowników podmiotom zewnętrznym i może się ono odbywać na podstawie uzasadnionego interesu.

Zważywszy na prominentne znaczenie obrazu w działalności biznesowej, w tym zdjęć i filmów promujących działalność, uważamy, że stanowisko Urzędu dot. wykorzystywania wizerunku pracowników powinno być bardziej elastyczne.

W sytuacji, w której pracownik wyraził zezwolenie na rozpowszechnianie wizerunku na podstawie art. 81 ust. 1 ustawy prawo autorskie i prawa pokrewne w celach zawodowych (np. informowania o działalności pracodawcy), dopuszczalne powinno być powoływanie się przez pracodawcę na uzasadniony interes.

Wyobrażamy sobie także sytuację (np. w odniesieniu do członków zarządu czy osób których pracą jest reprezentacja pracodawcy takich jak sprzedawcy), gdy przetwarzanie wizerunku na potrzeby informowania o działalności pracodawcy może być oparte na wykonaniu umowy. W naszej ocenie, Urząd powinien przedstawić wytyczne w odniesieniu do wizerunku pracowników w sposób bardziej zniuansowany niż dotychczas.

2. Benefity pracownicze

W Poradniku zaprezentowano zbyt restrykcyjne podejście w zakresie podstawy udostępniania przez pracodawcę danych pracowników do dostawców benefitów, tj. na podstawie ich zgody¹⁹. Uważamy, że w przypadku, gdy pracodawca informuje swoich pracowników o oferowanym beneficie, a następnie pracownicy wyrażają chęć skorzystania z takiego benefitu, nie ma potrzeby zbierania od nich zgód na przekazanie ich danych do dostawcy benefitu. W takim przypadku należałoby przyjąć, że pracownicy zgłaszający chęć skorzystania z benefitu mają świadomość, a wręcz oczekiwanie, że ich dane osobowe zostaną przekazane do dostawcy benefitu właśnie po to by uzyskać dostęp do benefitu. Podstawą przekazania takich danych powinien więc być uzasadniony interes.

Przypisy:

¹ Ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)

²„Pracodawca pozyskując obligatoryjne dane osobowe osoby ubiegającej się o zatrudnienie lub pracownika spełni przesłankę niezbędności wypełnienia „obowiązku prawnego" ciążącego na administratorze, zawartą w art. 6 ust. 1 lit. c RODO. Dane osobowe, które pracodawca będzie przetwarzał na podstawie zgody pracownika, będą zawarte w podstawie określonej w art. 6 ust. 1 RODO, a w przypadku danych szczególnie chronionych na podstawie art. 9 ust. 2 lit. a RODO. W pozostałym zakresie zastosowanie znajdą inne przesłanki przetwarzania danych osobowych przewidziane w art. 6 i art. 9 RODO.”

³Str. 7-8 Poradnika (punkt 2.1)

⁴ Przykładowe ogłoszenie o pracę dostępne pod linkiem: https://www.gov.pl/web/pip/oip-bydgoszcz-owl-mlspec-0524

⁵ Str. 16 Poradnika (punkt 3.3)

⁶ Str. 16 Poradnika (punkt 3.2)

⁷Str. 20-21 Poradnika (punkty 3.11 i 3.12)

⁸Stanowisko CNIL dostępne pod linkiem: https://www.cnil.fr/sites/cnil/files/atoms/files/guide_referentiel_-_recrutement.pdf na str. 76-78

⁹ Stanowisko CNIL dostępne pod linkiem: https://www.cnil.fr/fr/cnil-direct/question/recrutement-lemployeur-peut-il-rechercher-des-donnees-sur-moi-sur-internet?visiteur=pro

¹⁰ Stanowisko organu dostępne pod linkiem: https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2020/04/Ratgeber-Besch%C3%A4ftigtendatenschutz.pdf na str. 29

¹¹ Stanowisko organu dostępne pod linkiem: https://www.datenschutzstelle.li/datenschutz/themen-z/beschaeftigtendatenschutz

¹² Stanowisko organu dostępne pod linkiem: https://azop.hr/zastita-osobnih-podataka-zaposlenika/

¹³ Str. 23 Poradnika (punkt 4.1.1)

¹⁴Str. 16 Poradnika (punkt 3.2)