Jednym z ponad 160 aktów normatywnych nowelizowanych ustawą z dnia 21 lutego 2019 r. (a obowiązującą od 4 maja 2019 r.) dostosowującą polskie przepisy do rozporządzenia RODO jest kodeks pracy. Zmianami objęte są w szczególności regulacje których przedmiotem są dane osobowe pracowników oraz kandydatów do pracy.
Zgodnie z obowiązującym do dnia 4 maja 2019 r. art. 221 kodeksu pracy pracodawca uprawniony był do żądania od kandydata do pracy udostępnienia następujących danych osobowych:
- Imienia (imion) i nazwiska
- Imion rodziców
- Daty urodzenia
- Miejsca zamieszkania (adres do korespondencji)
- Wykształcenie
- Przebieg dotychczasowego zatrudnienia
W myśl znowelizowanego art. 221 kodeksu pracy zmianie nie ulegnie uprawnienie potencjalnego pracodawcy do żądania przedstawienia przez kandydata do pracy danych osobowych obejmujących: imię (imiona) i nazwisko oraz datę urodzenia. Z katalogu danych osobowych do których pozyskania pracodawca jest upoważniony z mocy przepisów prawa usunięto imiona rodziców kandydata do pracy oraz miejsce zamieszkania kandydata (adres do korespondencji).
Potencjalny pracodawca w miejsce danych osobowych obejmujących adres zamieszkania (adres do korespondencji) będzie mógł pozyskać dane kontaktowe wskazane przez potencjalnego pracownika. Za wystarczające w tym zakresie na etapie postępowania rekrutacyjnego uznać należy podanie przez kandydata do pracy adresu e-mail bądź numeru telefonu kontaktowego. Dane obejmujące adres zamieszkania potencjalna pracodawca uzyska dopiero z momentem zatrudnienia kandydata.
Gruntowana zmiana obejmuje również pozyskiwanie przez potencjalnego pracodawcę od kandydata do pracy danych osobowych obejmujących wykształcenie i przebieg dotychczasowego zatrudnienia. Zgodnie ze znowelizowanym art. 221 § 2 kodeksu pracy pozyskanie tych danych osobowych oraz nowo dodanej kategorii danych – kwalifikacji zawodowych uzależniony został od niezbędności tych danych do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Inaczej mówiąc, prawodawca realizując zasadę minimalizmu przetwarzania danych osobowych określoną w art. 5 ust. 1 lit. c RODO uzależnił pozyskanie danych osobowych jak wyżej od ich konieczności do przeprowadzenia procesu rekrutacyjnego i weryfikacji uprawnień do wykonywania pracy określonego rodzaju lub na określonym stanowisku.
Oznacza to, iż przeprowadzając proces rekrutacji na stanowisko z którym nie wiążą się żadne szczególne wymogi lub kompetencje, bądź też dla procesu oceny przydatności kandydata do pracy niezbędne jest pozyskanie informacji wyłącznie o jednej ściśle określonej kompetencji potencjalnego pracownika, pracodawca nie będzie mógł wymagać podania od kandydata aplikującego na określone stanowisko innych (obejmujących dodatkowe informacje) danych osobowych. Pozyskanie tych danych osobowych, podobnie jak w przypadku adresu zamieszkania możliwe będzie w momencie zatrudnienia pracownika.
Ponad wskazane powyżej pracodawca będzie mógł żądać od pracownika podania danych osobowych w postaci:
- Numeru PESEL – a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość,
- Numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych
- Innych danych osobowych pracownika, a także danych osobowych dzieci pracownika i innych członków jego najbliższej rodzinny – jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy
Podstawą prawną przetwarzania danych wskazanych w art. 221 kodeksu pracy w celu nawiązania lub realizacji stosunku pracy jest niezbędność wypełnienia obowiązku prawnego ciążącego na administratorze danych osobowych (art. 6 ust. 1 lit. c RODO). Formą przekazania danych osobowych, dla których podstawę przetwarzania danych osobowych stanowi art. 6 ust. 1 lit. c RODO jest zgodnie z art. 221 § 5 kodeksu pracy – oświadczenie kandydata do pracy lub pracownika. Przekazywane za pomocą oświadczenia dane osobowe przez podmioty danych mogą zostać zweryfikowane przez pracodawcę lub potencjalnego pracodawcę, o czym stanowi zdanie drugie in fine wskazanego powyższego przepisu.
W procesie rekrutacyjnym lub w toku obowiązywania stosunku pracy zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania innych danych osobowych podmiotu danych, o czym wprost stanowi nowo wprowadzony art. 221a kodeksu pracy Wyjątkiem są dane osobowe dotyczące wyroków skazujących oraz danych dotyczących naruszeń prawa, których przetwarzanie możliwe jest wyłącznie na podstawie i w graniach przepisów prawa.
Pamiętać także należy, iż brak zgody pracownika lub kandydata do pracy na przetwarzanie określonych danych osobowych lub też wycofanie takiej zgody nie może stanowić podstawy niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika oraz nie może powodować innych negatywnych konsekwencji dla podmiotów tych danych – zwłaszcza nie może to stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenia umowy o pracę lub jej rozwiązania bez wypowiedzenia przez pracodawcę.