Ostatni czas pandemii przyczynił się do rozwoju kultury pracy zdalnej, w ramach której powszechnie stosuje się narzędzia do komunikacji na odległość. Czy jeśli pracownik obywa wideokonferencję, pracodawca powinien podjąć dodatkowe działania, aby zapewnić zgodność z przepisami o ochronie danych osobowych?
Podstawy prawne przetwarzania wizerunku
Każda operacja przetwarzania danych osobowych wymaga legitymowania się podstawą prawną określoną w art. 6 ust. 1 RODO. Najpopularniejsze to zgoda, niezbędność do wykonania umowy, realizacja obowiązku wynikającego z przepisu prawa, czy też prawnie uzasadniony interes administratora.
Jeżeli wykorzystanie wizerunku pracownika jest nierozerwalnie związane z realizacją przez niego obowiązków pracowniczych wynikających umowy o pracę – podstawą prawną przetwarzania będzie niezbędność do wykonania umowy, czyli art. 6 ust. 1 lit. b) RODO. Będzie to również przesłanka do przetwarzania danych w ramach udziału przez takiego pracownika z telekonferencji. Nie każdy pracownik wykonuje pracę „wizerunkową” – jeśli mamy do czynienia z typowym pracownikiem biurowym, ta przesłanka nie znajdzie zastosowania. Wówczas należy albo odpowiednio rozszerzyć zakres obowiązków pracowniczych albo odwołać się do przesłanki zgody osoby, której dane dotyczą.
Przetwarzanie danych pracownika na podstawie zgody
Zgoda jest bardzo popularną podstawą prawną przetwarzania, jednak wbrew pozorom dla zapewnienia zgodności z prawem nie zawsze skorzystanie z niej jest proste. Przesłanka legalizacyjna w postaci zgody jest obwarowana dodatkowymi warunkami – musi być ona wyraźna oraz przede wszystkim dobrowolna. W opublikowanych przez EROD Wytycznych 05/2020 wyrażono ponadto stanowisko, zgodnie co do zasady, zgoda nie powinna być podstawą prawną przetwarzania danych w miejscu pracy względu na charakter relacji między pracodawcą a pracownikiem. Uzasadnieniem takiego poglądu jest brak równorzędności stron stosunku pracy i pracownicze podporządkowanie. Na szczęście nie jest to zasada o charakterze absolutnym i nie oznacza to, że pracodawcy nigdy nie mogą oprzeć przetwarzania danych pracownika na zgodzie, jeżeli tylko pracodawca jest w stanie wykazać, że jej wyrażenie nastąpiło w sposób w pełni swobodny. Szczególne znaczenie będzie miał tu dodatkowo przepis art. 221a § 1 Kodeksu pracy, zgodnie z którym „zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 221 § 1 i 3, z wyjątkiem danych osobowych, o których mowa w art. 10 RODO”. Ważne, żeby brak zgody, nie był podstawą do niekorzystnego traktowania albo nie powodował negatywnych konsekwencji podejmowanych w stosunku do osoby, która nie wyraziła zgody na przetwarzanie swoich danych osobowych.
Nowa podstawa prawna = nowy obowiązek informacyjny
Stosownie do treści art. 13 RODO, pracodawca jako administrator ma obowiązek przekazać pracownikowi zestaw informacji o przetwarzaniu jego danych osobowych. W ramach obowiązku informacyjnego należy wskazać m.in. podstawę prawną przetwarzania oraz jego cel. Przetwarzanie wizerunku powinno być odpowiednio odzwierciedlone w klauzuli informacyjnej przeznaczonej dla pracownika. Jeżeli podstawa prawna do przetwarzania wizerunku pojawiła się już w trakcie zatrudnienia – odebrano dodatkową, dobrowolną zgodę albo rozszerzono zakres obowiązków pracownika – należy wówczas ponowić obowiązek informacyjny.
Uwaga na zasady przetwarzania
W każdym wypadku pracodawca dokonując operacji przetwarzania powinien mieć na względzie podstawowe zasady rządzące tym procesem, ustanowione przez RODO. Należy pamiętać o zasadzie minimalizacji, czyli aby przetwarzać tylko dane absolutnie niezbędne do realizacji celów przetwarzania. Ważną zasadą jest również o zasada ograniczenia przetwarzania, która zabrania przetwarzać dane dłużej niż jest do konieczne do zrealizowania celu przetwarzania.