Jak stosować przepisy RODO w odniesieniu do kwestii bhp wyjaśnia ekspert resortu cyfryzacji

Na temat stosowania przepisów RODO w odniesieniu do kwestii związanych z bhp pisaliśmy już wielokrotnie. Mimo to temat nadal budzi wiele kontrowersji. Zwróciliśmy się zatem do eksperta resortu cyfryzacji zadając, najczęściej pojawiające się w Portalu, pytania związane ze stosowaniem w praktyce przepisów RODO w związku z kwestiami bezpieczeństwa i higieny pracy.

Firmy, szkolące pracowników w zakresie bhp na zlecenie pracodawców, wymagają podawania danych osobowych uczestników szkolenia. Czy w takim przypadku konieczne jest uzyskanie dodatkowej zgody uczestnika szkolenia na udostępnienie jego danych?

Absolutnie nie. Przekazanie danych osobowych firmie szkoleniowej jest jak najbardziej w porządku. Kodeks pracy nakłada na każdego pracodawcę obowiązek przeprowadzenia szkolenia z zakresu bhp. Pracodawca ma dwa rozwiązania – albo przeprowadza szkolenie sam, korzystając z usług pracownika bhp, zatrudnionego na etacie wewnątrz organizacji, albo korzysta z usług podmiotu zewnętrznego. W tym drugim przypadku podmiot zewnętrzny jest podwykonawcą takiego pracodawcy, a prawo do korzystania z usług podwykonawcy mamy zawsze. Przekazywanie danych osobowych takiej firmie następuje bez zgody pracowników.

W postępowaniu powypadkowym, związanym z naruszeniem przepisów bhp, konieczne są zeznania świadków. Brak jest dotąd regulacji, zgodnie z którymi świadek wyraża zgodę na przetwarzanie swoich danych osobowych – przepisy prawa nie przewidują jednoznacznie, jak powinien wyglądać dokument zgody świadka. Jak specjalista ds. bhp powinien przygotować dokumentację powypadkową, by nie naruszyć przepisów RODO?

Bezwzględnie należy opierać się w tym zakresie na przepisach prawa. Podstawą pozyskiwania danych osobowych świadka będą stosowne przepisy, a w wielu przypadkach – tzw. prawnie uzasadniony interes administratora danych osobowych, czyli pracodawcy, w którego zakładzie pracy doszło do szkody. Uzasadniony prawnie interes zapewnia ochronę przed przyszłymi roszczeniami.

Na jakiej zasadzie można wykorzystywać filmy z monitoringu dla celów szkoleniowych w zakresie bhp – chodzi o sytuację, w której może dojść do zdarzenia niepożądanego lub do niego faktycznie dochodzi, a pokazanie takiego zdarzenia ma przede wszystkim charakter prewencyjny…

Pokazanie wybranego fragmentu filmu z monitoringu wyselekcjonowanej grupie pracowników, w celu szkoleniowym – mając na uwadze ochronę przed takimi incydentami, w tym zabezpieczenie wewnętrzne organizacji – powinny być podejmowane przez pracodawcę w oparciu o prawnie uzasadniony interes, art. 6 ust 1 lit f, przy czym musimy pamiętać o tym, żeby szanować prywatność. Czym innym jest RODO, czym innym zaś rygor prawny związany z ochroną prywatności, traktowaną jako dobro osobiste. Musimy pamiętać, by takie działania nigdy nie narażały nikogo na naruszenie czci czy dobrego imienia. Jeżeli mamy monitoring korytarza, ale byłyby ujawnione sceny, które miały charakter intymny, albo które mogą narazić osobę nagraną na problemy – nie powinniśmy tego robić. Trzeba pamiętać, że obok RODO mamy jeszcze ogólny system ochrony prywatności i nie wolno nam naruszać godności. Można pokazywać sytuacje bieżące – np. ktoś wchodzi do urzędu, czy wychodzi – jako niewielkie fragmenty, jedynie do celów szkoleniowych.

Coraz częściej pracodawcy decydują się, w trosce nie tylko o bhp, ale także monitoring czasu pracy, na instalowanie urządzeń sprawdzających, ile czasu pracownik przebywa przy biurku. Czy takie działanie nie powoduje naruszenia przepisów o ochronie danych osobowych, ze względu na naruszanie prawa do prywatności?

Nie, nie mamy tu do czynienia z naruszeniem prawa do prywatności. Przepisy RODO z 25 maja 2018 roku, regulują kwestie związane z monitoringiem wizyjnym, a w dalszej kolejności – stosowane są one do innych form monitoringu, w tym również monitoringu poczty służbowej pracownika i innych form ewidencji czasu pracy. Tu chodzi nie tylko o dostęp do poczty służbowej, ale np. śledzenie aktywności pracownika w sieci. Inną formą monitoringu pracownika może być np. GPS. Teoretycznie chodzi o monitoring mienia przy pracowniku, np. kierowcy tira, czy listonoszu, w praktyce jednak jest to śledzenie pracownika. Pracodawca ma prawo, po uprzednim poinformowaniu pracownika i skutecznym przedstawieniu mu zapisów regulaminu pracy, stosować takie formy monitoringu. Nie wolno jednak stosować np. podsłuchu lub innych form śledzenia, o których pracownik nie wie.

Czy unormowanie zasad monitoringu, zgodnie z przepisami Kodeksu pracy, pozwala pracodawcy na stosowanie dowolnej formy nadzoru, tak jak wspomniane już instalowanie urządzeń sprawdzających? Czy forma nadzoru nie powinna być współmierna do celu, jaki ma osiągnąć, np. zapewnienie odpowiednich standardów bhp, w tym zapobieganie ewentualnym zdarzeniom niepożądanym?

Zdecydowanie – forma nadzoru powinna być współmierna do celu. Pamiętać trzeba, że RODO jest aktem prawnym rangi międzynarodowej. Zasada minimalizmu, wynikająca z RODO, ma rangę wyższą niż ustawa. W każdym przypadku musimy „przenieść” pozyskiwane przez siebie dane przez zasadę minimalizmu – odpowiedając na pytanie, czy pozyskiwane dane są w planowanym zakresie naprawdę konieczne do realizacji konkretnego celu – dotyczy to również nadzoru pracownika. Pamiętamy o intymności, dobrym imieniu, czci, o tym, że dane osobowe to jedno, ale mamy jeszcze ogrom innych praw podstawowych, których naruszać nie wolno.

Czy pracodawca, który stosuje czujniki, w celu teoretycznie lepszej organizacji czasu pracy – a w praktyce np. do oceny zatrudnionych lub wykorzystując je w przypadku konfliktu z zatrudnionym – narazi się na zarzut naruszenia przepisów o ochronie danych osobowych, przetwarzając informacje niezgodnie z celem ich pozyskiwania?

Czujniki mogą naruszyć godność pracownika, jednak nie oparłbym się tu o przepisy RODO. Trudno stwierdzić, czy czujniki gromadzą także np. dodatkowe kategorie danych, w tym np. biometryczne – wszystko zależy od zastosowanych rozwiązań technicznych. Jednak według mnie mogłoby się to wiązać z ryzykiem naruszenia dóbr osobistych pracownika.

Wypadek przy pracy rodzi określone obowiązki po stronie pracodawcy. Jednym z obowiązków pracodawcy, jest zawiadomienie o wypadku przy pracy osoby wskazanej przez pracownika w treści kwestionariusza osobowego. Czy taka osoba wskazana musi wyrazić zgodę na przetwarzanie jej danych na potrzeby wypełnienia obowiązku informacyjnego?

Podstawą są przepisy prawa,w tym treść kwestionariusza, w którym wskazuje się dane kontaktowe, imię i nazwisko takiej osoby. W takich sytuacjach, gdy mamy do czynienia z wypadkiem, najczęściej działamy w oparciu o ochronę życia bądź zdrowia – jest to przesłanka ochrony żywotnych interesów osób, wyrażona w art. 6 i art. 9 RODO. Podstawą prawną jej przetwarzania jest nie tylko przepis prawa, ale także ta przesłanka, dlatego zgoda nie jest tu wymagana.

Często generalny wykonawca na budowie, żąda od podwykonawców dostarczenia informacji na temat orzeczeń lekarski pracowników o braku przeciwwskazań i dopuszczeniu do pracy na danym stanowisku, szkoleniach bhp, czy zaświadczeniach kwalifikacyjnych. Czy podwykonawca w świetle przepisów RODO może przekazać takie dane generalnemu wykonawcy, czy musi uzyskać na to zgodę pracowników. Jak powinien postąpić taki podwykonawca?

Wszystko zależy od podstawy prawnej. W mojej ocenie, jeżeli pracownicy są zatrudnieni na podstawie umowy o pracę zaświadczenie o zdolności  do pracy na danym stanowisku, szkolenia i zaświadczenia to dokumenty, które pracownik przedkłada swojemu pracodawcy zgodnie z Kodeksem pracy. W tej sytuacji jest nim podwykonawca. Jeżeli Generalny Wykonawca posiada podstawę prawną do pozyskania powyższych dokumentów lub dzieje się to w interesie prawnym Generalnego Wykonawcy  to podwykonawca może je przekazać. W innym przypadku musi posiadać zgodę pracowników.

Z dr. Maciejem Kaweckim, Dyrektorem Departamentu Zarządzania Danymi, Koordynatorem reformy ochrony danych osobowych w Ministerstwie Cyfryzacji

Rozmawiała: