ochrona danych osobowych

Coraz więcej branż dysponuje zatwierdzonymi przez Prezesa UODO kodeksami postępowania, które porządkują zasady przetwarzania danych osobowych „uszyte" pod konkretny sektor. Urząd Ochrony Danych Osobowych publikuje systematycznie informacje o zatwierdzonych kodeksach postępowania. Czy pracodawcy powinni podejmować działania w celu przystąpienia do stosowania takich kodeksów lub ich opracowywania – i jakie realne korzyści może to przynieść w obszarze rekrutacji i zatrudnienia?

Poczta służbowa to codzienne narzędzie pracy, ale też jedno z najczęstszych źródeł naruszeń ochrony danych osobowych – od wysyłki wiadomości do niewłaściwego adresata po brak szyfrowania załączników. Korzystanie przez pracownika z poczty elektronicznej wiąże się z przetwarzaniem różnych kategorii danych osobowych, a sama poczta staje się narzędziem, przy użyciu którego dochodzi dość często do naruszeń ochrony danych. Jakie zasady powinni stosować pracodawca-administrator i pracownicy, aby pracownicze przetwarzanie danych osobowych w ramach poczty elektronicznej rzeczywiście służyło ochronie danych?

Pracodawcy prowadzący Biuletyn Informacji Publicznych są zobowiązani do umieszczania w nim określonych informacji lub dokumentów. Niektóre z nich mogą zawierać dane osobowe. W jaki sposób pracodawca powinien publikować takie informacje zapewniając jednocześnie ochronę danych osobowych? Czy powinien usuwać niektóre dane osobowe z dokumentu?

Pracodawca zbiera podczas rekrutacji różne informacje o kandydacie – dane osobowe określone wprost w przepisach prawa pracy, zawarte w dokumentach aplikacyjnych, ale także informacje pochodzące z rozmowy kwalifikacyjnej, komentarze, rekomendacje i opinie rekruterów oraz oceny kandydata i rekomendacje co do zatrudnienia. Czy pracodawca może umieścić na osobnej, tzw. "czarnej liście" dane kandydata zdecydowanie nierekomendowanego do zatrudnienia – nie tylko w ramach konkretnej rekrutacji, ale także na przyszłość?

Automatyczna selekcja dokumentacji aplikacyjnej (w tym CV) i scoring kandydatów opierają się na stosowaniu algorytmów (także systemów sztucznej inteligencji) do analizy informacji umieszczonych przez kandydata w cv lub innych dokumentów kandydata. Czy takie działania pracodawców w procesach rekrutacyjnych są dozwolone?

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2023/970 z dnia 10 maja 2023 r. w sprawie wzmocnienia stosowania zasady równości wynagrodzeń dla mężczyzn i kobiet za taką samą pracę lub pracę o takiej samej wartości za pośrednictwem mechanizmów przejrzystości wynagrodzeń oraz mechanizmów egzekwowania, oraz przepisy prawa pracy regulujące przebieg rekrutacji wymuszają zapewnienie rekrutacji neutralnej w przebiegu. Czy wymóg „neutralnej rekrutacji” wpływa na zakres danych osobowych przetwarzanych w jej trakcie?

Pracodawca może być objęty kontrolą przeprowadzoną przez uprawnione organy, np. w zakresie prawidłowości wykonywania obowiązków przewidzianych przepisami prawa pracy, sanitarnymi czy z zakresu wypełniania obowiązków administratora danych osobowych. Kontrole mogą mieć charakter doraźny, ale także planowy. Jakie obowiązki musi wykonać pracodawca podczas takiej kontroli? Na jakich zasadach udostępnia dokumenty i informacje?

Zmiana formy zatrudnienia z umowy cywilnoprawnej na umowę o pracę to nie tylko kwestia prawa pracy, ale również ochrony danych osobowych. Pracodawca musi zweryfikować dotychczasowe działania i dostosować je do nowych podstaw prawnych oraz celów przetwarzania danych pracownika.

Pracodawca-administrator danych osobowych jako organizator procesów ich przetwarzania, powinien dobrać zabezpieczenia do ryzyka wiążącego się z przetwarzaniem danych osobowych. Właściwa inwentaryzacja procesów przetwarzania umożliwi przypisanie im konkretnego ryzyka, a na tej podstawie środków ograniczających stwierdzone ryzyko. W jakich okolicznościach i w jaki sposób administrator powinien taką analizę przeprowadzić?

Wystąpienie zdarzenia mogącego stanowić naruszenie ochrony danych (np. zgubienie świadectwa pracy) wywołuje liczne obowiązki administratora. Podstawowym jednak jego obowiązkiem jest ocena zdarzenia jako potencjalnego naruszenia. Administrator powinien przy takiej ocenie wziąć pod uwagę kryteria oceny ryzyka zdarzenia, określające m.in. jego charakter, skalę i konsekwencje dla osób, których dane dotyczą.

Inteligentny charakter RODO wymusza na administratorach dostosowanie zasad ochrony danych osobowych do specyfiki ich organizacji, rodzaju procesów przetwarzania danych osobowych i przede wszystkim ryzyka wynikającego z przetwarzania danych osobowych dla osób, których te dane dotyczą. Jakie obowiązki wynikają dla administratorów w związku z wprowadzonymi regulacjami wewnętrznymi? Czy administrator będzie rozliczany z obowiązków nałożonych na pracowników określonych w wewnętrznych regulacjach?