Ochrona danych osobowych pracowników w przypadku publikacji ich imion i nazwisk na liście absencji chorobowych

Lista pracowników zawierająca imiona, nazwiska, daty oraz informacje dotyczące nieobecności w pracy z powodu choroby zawiera dane osobowe. Ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych uznaje za dane osobowe wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (takimi danymi są np. imię i nazwisko pracownika). Sporządzenie takiej listy oraz jej publikacja (w formie e-maila rozesłanego do całej załogi lub ogłoszenia wywieszonego w miejscu dostępnym dla wszystkich pracowników zakładu) to przetwarzanie danych osobowych. Takie działanie, aby było legalne (zgodne z prawem), musi mieć oparcie w ustawie o ochronie danych osobowych.

Ustawa dopuszcza przetwarzanie danych w sytuacjach gdy:

1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych,

2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,

3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą,

4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,

5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (art. 23 ust. 1 ustawy o ochronie danych osobowych).

Oprócz wymienionych powyżej podstaw legalizujących przetwarzanie danych, pracodawca musi pamiętać, że przy tej czynności obowiązują go zasady poprawności merytorycznej danych oraz ich adekwatności do celu.

Ponadto pracodawca nie może z zasady przetwarzać tzw. danych wrażliwych, czyli danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym (art. 27 ust. 1 ustawy o ochronie danych osobowych).

Dane dotyczące samego faktu absencji chorobowej, w mojej ocenie, nie należą do danych wrażliwych. Wydaje się bowiem, że do danych wrażliwych zalicza się np. informację o tym, na jaką chorobę choruje dana osoba, jak przebiega leczenie, jakie są rokowania itp. Choć możliwy jest również pogląd przeciwny.

Przyjęcie założenia, że dane dotyczące absencji chorobowych nie są danymi wrażliwymi powoduje, że podstawą ich przetwarzania mogą być przesłanki określone w art. 23 ust. 1 ustawy o ochronie danych osobowych. Spośród wszystkich wymienionych w tym przepisie wydaje się, że jedynie zgoda wszystkich osób, których dane te dotyczą umożliwi ich publikację tych danych, choć w praktyce niełatwo będzie uzyskać zgodę jednocześnie kilku lub kilkunastu (a może nawet kilkudziesięciu) osób.

Pozostałe podstawy legalizujące przetwarzanie takich danych wydają się nieadekwatne w przypadku opisanym w pytaniu (jedynie przesłanka wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych byłaby możliwa do rozważenia, choć w praktyce – w mojej ocenie – dość trudno będzie znaleźć taki powód przetwarzania danych osobowych, aby był „działaniem prawnym i usprawiedliwionym”).

Natomiast założenie, że dane dotyczące faktu absencji chorobowej są danymi wrażliwymi powoduje, że przesłanki legalizacji ich przetwarzania dodatkowo się zaostrzają. Z zasady bowiem takich danych nie wolno przetwarzać. Jedynie w drodze wyjątku jest to dopuszczalne, gdy:

1) osoba, której dane dotyczą, wyrazi na to zgodę na piśmie, chyba że chodzi o usunięcie dotyczących jej danych;

2) przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony;

3) przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, gdy osoba, której dane dotyczą, nie jest fizycznie lub prawnie zdolna do wyrażenia zgody, do czasu ustanowienia opiekuna prawnego lub kuratora;

4) jest to niezbędne do wykonania statutowych zadań kościołów i innych związków wyznaniowych, stowarzyszeń, fundacji lub innych niezarobkowych organizacji lub instytucji o celach politycznych, naukowych, religijnych, filozoficznych lub związkowych, pod warunkiem, że przetwarzanie danych dotyczy wyłącznie członków tych organizacji lub instytucji albo osób utrzymujących z nimi stałe kontakty w związku z ich działalnością i zapewnione są pełne gwarancje ochrony przetwarzanych danych;

5) przetwarzanie dotyczy danych, które są niezbędne do dochodzenia praw przed sądem;

6) przetwarzanie jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie;

7) przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych;

8) przetwarzanie dotyczy danych, które zostały podane do wiadomości publicznej przez osobę, której dane dotyczą;

9) jest to niezbędne do prowadzenia badań naukowych, w tym do przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego; publikowanie wyników badań naukowych nie może następować w sposób umożliwiający identyfikację osób, których dane zostały przetworzone;

10) przetwarzanie danych jest prowadzone przez stronę w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym (art. 27 ust. 2 ustawy o ochronie danych osobowych).

Spośród wymienionych powyżej przesłanek legalizujących przetwarzanie danych wrażliwych jedynie – w mojej ocenie – pisemna zgoda wszystkich osób ujętych na liście pozwoli na jej publikację, choć uzyskanie takich zgód od wszystkich z listy nie będzie łatwe w praktyce.

Wydaje się więc, że publikacja listy, o której mowa w pytaniu, bez zgody poszczególnych pracowników, naruszy przepisy ustawy o ochronie danych osobowych (bez względu na to, czy dane te zaliczy się do danych „zwykłych”, czy wrażliwych). Warto zatem rozważyć, czy dane objęte listą przed publikacją nie mogą zostać zanonimizowane w taki sposób, że nie będzie można ustalić, o których konkretnie pracowników chodzi. Lista może wówczas wskazywać, np. ilość pracowników korzystających ze zwolnień chorobowych w danym roku lub ilość dni absencji chorobowej w całej załodze w ciągu roku kalendarzowego itd.