Przechowywanie "nadmiarowych" dokumentów w aktach osobowych

Prowadzenie dokumentacji pracowniczej jest jednym z podstawowych obowiązków pracodawcy. Realizacja tego obowiązku wymaga gromadzenia szeregu danych dotyczących pracownika. Ich źródłem są świadectwa pracy, kwestionariusze osobowe, zaświadczenia o ukończonych kursach, świadectwa szkolne i inne dokumenty uzyskiwane przez pracodawcę. Po wejściu w życie RODO pojawiło się pytanie o dopuszczalność przechowywania tak obszernej bazy danych.

Uzyskiwanie danych zgodnie z Kodeksem

Podstawowym aktem prawnym, który pozwala pracodawcy na uzyskiwanie danych osobowych od kandydata na pracownika i od pracownika, jest Kodeks pracy. Zgodnie z art. 22¹ K.p. pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie danych osobowych obejmujących:

• imię (imiona) i nazwisko oraz imiona rodziców,
   
• datę urodzenia i miejsce zamieszkania (adres do korespondencji),
   
• wykształcenie oraz przebieg dotychczasowego zatrudnienia.

Od pracownika może natomiast dodatkowo zażądać podania numeru PESEL oraz innych danych, w tym imienia i nazwiska dzieci oraz dat ich urodzenia - jeżeli podanie takich informacji (nie chodzi tu o PESEL) jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień pracowniczych.

Kodeksowy katalog danych, które może uzyskiwać pracodawca, może być uzupełniony o dane zawarte w dokumentach wskazanych w rozporządzeniu Ministra Pracy i Polityki Socjalnej w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy... (Dz. U. z 2017 r. poz. 894). Pracodawca na mocy tego rozporządzenia może wymagać od kandydata na pracownika przedłożenia m.in. świadectw pracy z poprzednich miejsc pracy. Powołane rozporządzenie pozwala mu również na gromadzenie szeregu innych dokumentów, zebranych m.in. w dokumentacji osobowej.

Należy podkreślić, że przetwarzanie danych osobowych, pozyskiwanych przez pracodawcę w oparciu o Kodeks pracy lub inne przepisy prawa, nie wymagało (i nie wymaga) zgody pracownika lub kandydata do pracy. Niemniej zakres tych danych, umiejscowionych w różnych dokumentach pracowniczych, jest na ogół bardzo obszerny. W świetle ostatnich zmian regulacji dotyczących ochrony danych osobowych wzbudziło wątpliwość, czy pracodawcy mają prawo przechowywać dane pracownicze uzyskane na przestrzeni lat w zakresie szerszym niż dopuszczają to obecnie obowiązujące przepisy.

Dane z przeszłości bez redukcji

Z dniem 25 maja 2018 r. weszło w życie rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych... (Dz. Urz. UE L 119/1 z 2016), tzw. RODO. Określa ono zasady przetwarzania danych osobowych, zgodnie z którymi dane powinny być zbierane z uwzględnieniem m.in.:

• ograniczenia celu - dane powinny być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach,
   
• minimalizacji danych - dane powinny być ograniczone do tego, co jest niezbędne do celów, w których są one przetwarzane.

Niezależnie od wskazanych zasad, RODO określa przesłanki legalnego przetwarzania danych. Jest ono zgodne z prawem, jeżeli m.in.:

• przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy,
   
• przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze danych.

Wystarczy spełnienie jednej ze wskazanych wcześniej przesłanek (lub innej wymienionej w art. 6 ust. 1 RODO), aby przetwarzanie danych było legalne. Co jednak, jeżeli w okresie, w którym pozyskiwano konkretne dane, pracodawca miał podstawę prawną do ich przetwarzania, a obecnie takiego umocowania prawnego już nie ma? Czy nadal może przechowywać takie dane w swoich zbiorach? Wątpliwość tę rozstrzygnęły organy: Ministerstwo Rodziny, Pracy i Polityki Społecznej oraz Główny Inspektor Ochrony Danych Osobowych (obecnie Prezes Urzędu Ochrony Danych Osobowych). Odpowiadając na zapytania naszego Wydawnictwa uznały, że jest to dopuszczalne, pod warunkiem że pracodawca w okresie uzyskiwania danych miał podstawę prawną do ich przetwarzania (patrz ramka).

Podstawa prawna

Ustawa z dnia 26.06.1974 r. - Kodeks pracy (Dz. U. z 2018 r. poz. 917 ze zm.)