Czy pracodawca może ujawniać dane służbowe pracowników bez ich wcześniejszej zgody

PROBLEM

RADA

UZASADNIENIE

Żeby przetwarzanie danych osobowych można było uznać za legalne, musi być spełniona przynajmniej jedna przesłanka uprawniająca administratora do przetwarzania danych określona w ogólnym rozporządzeniu o ochronie danych (RODO). Zgoda osoby, której dane są przetwarzane, nie jest zaś jedyną podstawą uprawniającą do przetwarzania danych osobowych. Jedną z przesłanek jest również prawnie uzasadniony interes administratora.

Na taką właśnie podstawę może się powołać pracodawca w przedstawionej sytuacji.

Warto podkreślić, że RODO nie zmieniło w istotny sposób podstawowych zasad przetwarzania danych. W związku z tym wciąż aktualny pozostaje ugruntowany od dawna pogląd, zgodnie z którym takie informacje o pracowniku, jak jego imię i nazwisko, zajmowane stanowisko, służbowy adres e-mail czy służbowy numer telefonu są danymi, które są ściśle związane z życiem zawodowym pracownika i z wykonywaniem przez niego obowiązków służbowych. Ze względu na prawnie uzasadniony interes administratora, dane te mogą być wykorzystywane przez pracodawcę także bez zgody osoby, której one dotyczą. A zatem mogą widnieć na drzwiach pomieszczeń czy zostać podane na stronie internetowej np. firmy. Trudno sobie nawet wyobrazić, jakie konsekwencje dla firmy miałoby uzależnienie sposobu zarządzania danymi służbowymi wyłącznie od woli jej pracowników.

Przykładowo do kwestii tej odnosił się Sąd Najwyższy w wyroku z 19 listopada 2003 r. (I PK 590/02, OSNP 2004/20/351), którym można zobrazować istotę uzasadnionego interesu administratora. W powołanym wyroku SN stwierdził, że:

(…) najistotniejszym składnikiem zakładu pracy (przedsiębiorstwa) są ludzie, a funkcjonowanie zakładu wiąże się nierozłącznie z kontaktami zewnętrznymi - z kontrahentami, klientami (...). Dlatego pracodawca nie może być pozbawiony możliwości ujawniania nazwisk pracowników, zajmujących określone stanowiska w ramach instytucji. Przeciwne stanowisko prowadziłoby do sparaliżowania lub poważnego ograniczenia możliwości działania pracodawcy, bez żadnego rozsądnego uzasadnienia w ochronie interesów i praw pracownika (...). Imiona i nazwiska pracowników widnieją na drzwiach w zakładach pracy, umieszcza się je na pieczątkach imiennych, pismach sporządzonych w związku z pracą, prezentuje w informatorach o instytucjach i przedsiębiorstwach, co oznacza, że zgodnie z powszechną praktyką są one zasadniczo jawne.

Podkreślenia wymaga fakt, że Kodeks pracy uprawnia pracodawcę do określenia sposobu organizacji pracy w danej instytucji. Zwykle dokonuje się tego w regulaminach pracy lub układach zbiorowych pracy. W związku z tym pracodawca może z uwagi na swój prawnie uzasadniony interes zgodnie z własnymi potrzebami wprowadzić określony sposób identyfikacji pracownika w relacjach z podmiotami zewnętrznymi (identyfikatory, legitymacje służbowe, publikacja danych kontaktowych pracowników na stronie internetowej czy umieszczenie ich imion i nazwisk oraz zajmowanych stanowisk służbowych przy/na drzwiach wejściowych do pomieszczeń itp.), tak by przyjęte rozwiązanie sprzyjało jak najlepszej obsłudze klientów i efektywnej pracy zatrudnionych. Zatem jeżeli pracodawca uzna np., że najwłaściwszym rozwiązaniem jest informowanie interesantów, do którego pokoju czy okienka należy się zgłosić w celu załatwienia danej sprawy, to ma prawo je zastosować. Wówczas na drzwiach pokoi nie muszą widnieć dane pracowników, ale jeśli pracodawca uzna, że z uwagi na jego uzasadniony interes, jakim jest zapewnienie odpowiedniego sposobu kontaktu z pracownikami niezbędne jest ich umieszczanie tam, to ma do tego prawo.

Pracodawcy muszą jednak pamiętać, że nawet jeśli na potrzeby zapewnienia kontaktów z pracownikami niezbędne jest wykorzystywanie, w tym upublicznianie, takich danych, jak: imię, nazwisko, służbowy adres e-mail czy numer telefonu służbowego, i nie jest potrzebna do tego ich zgoda, to istotne jest zachowanie wszystkich innych zasad przetwarzania danych, wynikających z RODO. Dlatego ważne jest np., aby pracodawca, udostępniając te dane czy to na tabliczkach na drzwiach, czy na stronie internetowej w zakładce "kontakt" stosował wynikające z RODO zasady m.in. rzetelności, ograniczenia celu, minimalizacji danych czy ograniczenia ich przechowywania. Muszą one dotyczyć zatem właściwej osoby i być ograniczone tylko do realizacji prawnie uzasadnionych celów. Co się zaś tyczy zasady ograniczenia przechowywania, to stosując się do niej, należy pamiętać, że nie ma potrzeby, by dane pracownika widniały na tabliczkach, gdy ustanie jego zatrudnienie. Właściwa ochrona danych będzie w tym przypadku polegała na usunięciu nieaktualnych danych i wprowadzeniu w ich miejsce nowych, odpowiadających dokonywanym w firmie zmianom personalnym.

Gdyby pracodawca nie zastosował się do tych zasad, były pracownik, powołując się na przysługujące mu na mocy RODO prawa, mógłby wystąpić np. z wnioskiem o prawo do bycia zapomnianym albo chociażby z wnioskiem o ograniczenie przetwarzania danych osobowych.

Podstawa prawna:

• art. 5, art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) - Dz.Urz. UE L z 2016 r. Nr 119, str. 1; ost.zm. Dz.Urz. UE L z 2018 r. Nr 127, poz. 2

• art. 104 ustawy z 26 czerwca 1974 r. - Kodeks pracy - j.t. Dz.U. z 2018 r. poz. 917; ost.zm. Dz.U. z 2018 r. poz. 1629

Edyta Bielak-Jomaa,

Prezes Urzędu Ochrony Danych Osobowych