ochrona danych osobowych

Regulacje wewnętrze – ochrona danych osobowych

Wprowadzenie wewnętrznych regulacji z zakresu ochrony danych osobowych ma swoje źródło w RODO. Ustawodawca wskazał bowiem, że wdrożenie regulacji wewnętrznych jest niezbędne do wykazania przestrzegania przepisów RODO. Administrator powinien w tym celu przyjąć wewnętrzne polityki i wdrożyć niezbędne środki, które zapewnią ochronę danych osobowych (w szczególności zgodnie z takimi zasadami, jak: ochrona danych w fazie projektowania oraz domyślna ochrona danych).

Pytanie: Czy administrator jest zawsze zobowiązany do wdrożenia polityk i innych przepisów wewnętrznych dotyczących ochrony danych osobowych?

Wdrożenie odpowiednich polityk ochrony danych jest obowiązkiem administratora, jeżeli wdrożenie takiej dokumentacji jest proporcjonalne do czynności przetwarzania. Należy zatem wziąć pod uwagę takie czynniki, jak: charakter przetwarzania, zakres, kontekst cele i ryzyka przetwarzania. Jeżeli np. administrator przetwarza dane osobowe szczególnych kategorii (np. dotyczące zdrowia), istnieją ryzyka naruszenia praw i wolności tych osób, np. przy przypadkowym ujawnieniu danych osobowych. Oznacza to, że administrator powinien wdrożyć regulacje, np. instrukcje wykrywania i zgłaszania naruszeń, i przeprowadzić szkolenia uwzględniające te ryzyka.

Kandydaci do pracy - to też mogą być sygnaliści

Bezsporne jest, że wewnętrzne regulacje dotyczące ochrony sygnalistów obejmują także kandydatów, o ile zgłoszenie sygnalisty (lub ujawnienie publiczne) dotyczy informacji o naruszeniu prawa uzyskanej w kontekście związanym z pracą przed nawiązaniem stosunku pracy (lub innego stosunku prawnego, zależnie od formy oferowanej przez pracodawcę; może to dotyczyć również pełnienia funkcji w podmiocie prawnym lub na rzecz tego podmiotu). Jeżeli zatem kandydat, na etapie rekrutacji, uzyska wiedzę o naruszeniu prawa, może zgłosić takie naruszenie w trybie procedury zgłoszeń wewnętrznych wprowadzonej w podmiocie prawnym.

Przykład
Jan K. aplikuje w firmie informatycznej na stanowisko programisty. W rekrutacji uczestniczy 5 kandydatów. Pracodawca na pierwszej rozmowie pozyskał od Jana K. informacje o jego stanie cywilnym, sytuacji rodzinnej oraz liczbie i wieku dzieci, ostatecznie pracodawca zdecydował się na wybór innego kandydata. Jan K. postanowił złożyć zgłoszenie sygnalisty dotyczące naruszenia prawa do prywatności i ochrony danych osobowych (zbyt szeroki zakres danych pozyskanych na etapie rekrutacji).

Placówka medyczna – odrębny administrator

Placówka medyczna, przeprowadzająca badania lekarskie z zakresu medycyny pracy, jest odrębnym administratorem danych osobowych, ponieważ przetwarza dane w swoim celu (określa cele i sposoby przetwarzania danych osobowych) i przepisy prawa szczegółowo określają sposób prowadzenia oraz dokumentowania takich badań. Również pracodawca jest w tej relacji administratorem danych osobowych, który otrzymuje określone przepisami prawa informacje o pracowniku po przejściu przez niego badań z zakresu medycyny pracy. Ustalenie, że dane osobowe będą przekazane innemu administratorowi, nie oznacza, że przekazanie danych osobowych (np. na skierowaniu lekarskim) nie wymaga ich ochrony na tym etapie. Udostępnienie danych osobowych jest także operacją przetwarzania, wymaga zatem stosowania takich środków, które zapewnią ich ochronę.

Przekazując dane osobowe, administrator zobowiązany jest zatem do ich ochrony, zabezpieczając je przed dostępem osób nieuprawnionych, a także stosując zasady ochrony danych, w tym zasadę minimalizacji, z której wynika konieczność przetwarzania takich danych osobowych, które są adekwatne w danym procesie przetwarzania i ograniczone tylko do danych niezbędnych.

W przypadku skierowania na badania lekarskie, pracodawca powinien zatem ustalić, jaki zakres danych osobowych jest niezbędny do realizacji celu przekazania, tj. przeprowadzenie badań wstępnych lub okresowych czy kontrolnych. Wszelkie informacje spoza tego minimalnego zakresu będą nadmiarowe.

Zakres informacji na skierowaniu lekarskim

Zakres informacji, które pracodawca może umieścić na skierowaniu lekarskim (na badania wstępne, okresowe lub kontrolne) wynika z przepisów prawa i obejmuje takie dane, jak: imię, nazwisko, numer ewidencyjny PESEL (a w przypadku jego braku – seria, numer i nazwa dokumentu potwierdzającego tożsamość), adres zamieszkania, stanowisko pracy, opis warunków pracy. We wskazanym zakresie danych ustawodawca nie przewidział możliwości ujawnienia danych dotyczących zdrowia, ani też jakichkolwiek innych spoza wskazanego zakresu.

Zgoda jawi się jako najważniejsza podstawa przetwarzania danych osobowych, a jednocześnie swojego rodzaju „zapora” przed niezgodnym z prawem przetwarzaniem danych osobowych. Kluczowe jest jednak ustalenie czy pracodawca może w ogóle przetwarzać wizerunek pracownika, a jeśli tak, na jakiej podstawie prawnej i w jakich okolicznościach.