Joanna Łukaszyk

Pracodawca może być objęty kontrolą przeprowadzoną przez uprawnione organy, np. w zakresie prawidłowości wykonywania obowiązków przewidzianych przepisami prawa pracy, sanitarnymi czy z zakresu wypełniania obowiązków administratora danych osobowych. Kontrole mogą mieć charakter doraźny, ale także planowy. Jakie obowiązki musi wykonać pracodawca podczas takiej kontroli? Na jakich zasadach udostępnia dokumenty i informacje?

Zmiana formy zatrudnienia z umowy cywilnoprawnej na umowę o pracę to nie tylko kwestia prawa pracy, ale również ochrony danych osobowych. Pracodawca musi zweryfikować dotychczasowe działania i dostosować je do nowych podstaw prawnych oraz celów przetwarzania danych pracownika.

Pracodawca-administrator danych osobowych jako organizator procesów ich przetwarzania, powinien dobrać zabezpieczenia do ryzyka wiążącego się z przetwarzaniem danych osobowych. Właściwa inwentaryzacja procesów przetwarzania umożliwi przypisanie im konkretnego ryzyka, a na tej podstawie środków ograniczających stwierdzone ryzyko. W jakich okolicznościach i w jaki sposób administrator powinien taką analizę przeprowadzić?

Pracodawca-administrator wyznacza Inspektora Ochrony Danych (IOD) w sytuacjach określonych przepisami RODO, np. jeżeli jest podmiotem publicznym lub przetwarza na dużą skalę szczególne kategorie danych osobowych, np. danych dotyczących zdrowia. Jednocześnie, na gruncie przepisów RODO pracodawca ma obowiązek zapewnienia niezależności inspektora. Kiedy ten obowiązek nie jest wykonywany prawidłowo? Jakie konsekwencje mogą dotknąć pracodawcę, jeżeli nie zapewni inspektorowi ochrony danych niezależności?

Nierzadko na stronie internetowej administratorzy udostępniają możliwość wyrażania opinii i dodawania komentarzy; jeszcze większe możliwości w tym zakresie oferują administratorom media społecznościowe. Tym samym na stronie/profilu mogą znaleźć się różne treści, nawet dane osobowe. Czy za informacje wprowadzane przez innych użytkowników odpowiada administrator – właściciel strony lub odpowiednio profilu?

W praktyce prawa pracy organizacje związkowe oczekują od pracodawcy określonych informacji, niezbędnych do realizacji zadań ustawowych. Czy pracodawca jest każdorazowo obowiązany do udostępnienia wnioskowanych informacji? Czy w tym trybie powinien udostępnić także dane osobowe pracowników, jeżeli związki zawodowe wnioskują o te dane np. w związku z organizowanym referendum strajkowym?

Z przepisów RODO wynika dla administratora obowiązek ochrony danych osobowych. Dla pracodawcy oznacza to konieczność ochrony danych osobowych kandydata i pracownika we wszystkich procesach aktywnego przetwarzania, a następnie podczas obowiązkowego przechowywania dokumentacji archiwalnej (w przypadku pracownika). Czy wysłanie świadectwa pracy do niewłaściwej osoby wywołuje nowe obowiązki pracodawcy?

Monitoring wizyjny jest taką postacią przetwarzania danych osobowych, której rozpoczęcie nakłada na pracodawcę szereg obowiązków. Monitoring może dotyczyć także systemów informatycznych, w tym poczty elektronicznej (służbowej). Ustawodawca kładzie szczególny nacisk na obowiązki informacyjne wobec pracowników, którzy mogą być objęci takim monitorowaniem. Czy pracodawca może informować monitoringu poczty, a następnie odstąpić od jego prowadzenia?

Wystąpienie zdarzenia mogącego stanowić naruszenie ochrony danych (np. zgubienie świadectwa pracy) wywołuje liczne obowiązki administratora. Podstawowym jednak jego obowiązkiem jest ocena zdarzenia jako potencjalnego naruszenia. Administrator powinien przy takiej ocenie wziąć pod uwagę kryteria oceny ryzyka zdarzenia, określające m.in. jego charakter, skalę i konsekwencje dla osób, których dane dotyczą.

Korzystanie z pracowniczego wizerunku jest standardem w wielu procesach biznesowych pracodawcy, niektóre z nich mają charakter marketingowy, inne wiążą się z potrzebami pracodawcy np. w zakresie zapewnienia sprawnej komunikacji wewnętrznej. Czy pracodawca musi pozyskać zgodę pracownika na publikację jego wizerunku w swoich zasobach? Sprawdźmy.