3/2024, data dodania: 14.02.2024 Czy PIP może zawiadomić UODO o nieprawidłowościach w przetwarzaniu danych osobowych u pracodawcy
PROBLEM
PIP zapowiedział kontrolę w naszej firmie. Będzie weryfikował akta osobowe pracowników, dokumentację dotyczącą czasu pracy oraz wynagrodzenia za pracę. Staramy się wszystko prowadzić zgodnie z obowiązującymi przepisami, jednak mamy obawę, czy na pewno wszystko jest właściwie zabezpieczone, szczególnie w zakresie ochrony danych osobowych. Najwięcej wątpliwości dotyczy prowadzenia zbiorczych grafików czasu pracy, które są dostępne w kilku egzemplarzach. Czy PIP w razie stwierdzenia, że dane nie są przetwarzane w pełni prawidłowo, może zawiadomić UODO?
RADA
W przypadku stwierdzenia naruszenia przepisów o prowadzeniu dokumentacji pracowniczej PIP podejmuje działania mające na celu wyeliminowanie nieprawidłowości w tym zakresie, m.in. wydając pouczenia, wystąpienia czy nakazy, a także stosując mandat lub grzywnę. Ponadto PIP jest uprawniony do informowania o nieprawidłowościach innych organów państwowych, w tym UODO.
UZASADNIENIE
Jednym z podstawowych obowiązków ciążących na pracodawcy jest prowadzenie i przechowywanie dokumentacji w sprawach związanych ze stosunkiem pracy oraz akt osobowych pracowników, tj. dokumentacji pracowniczej.
Kontrola PIP w zakresie dokumentacji pracowniczej. Nadzór i kontrolę nad prawidłowością prowadzenia dokumentacji pracowniczej, jej przechowywaniem w odpowiednich warunkach sprawuje Państwowa Inspekcja Pracy. W razie stwierdzenia w tym zakresie nieprawidłowości inspektor pracy zazwyczaj kieruje do pracodawcy wystąpienie.
Przykład
W trakcie kontroli inspektor pracy stwierdził, że pracodawca nie założył i nie prowadzi akt osobowych zatrudnionych pracowników, a dokumenty dotyczące ich zatrudniania przechowuje w różnych miejscach w swoim biurze. Inspektor pracy skieruje do pracodawcy wniosek, w którym zobowiąże go do założenia i prowadzenia akt osobowych oddzielnie dla każdego pracownika.
Przykład
Pracodawca prowadzi ewidencję czasu pracy zatrudnionych pracowników. W ewidencji tej nie wykazuje jednak godziny rozpoczęcia i zakończenia pracy przez pracowników, a także wymiaru usprawiedliwionych nieobecności w pracy. W takim przypadku inspektor pracy skieruje do pracodawcy wniosek o prawidłowe prowadzenie ewidencji czasu pracy pracowników.
Ponadto organy PIP mogą zastosować, w stosunku do pracodawców lub osób działających w ich imieniu, odpowiedzialność wykroczeniową z powodu nieprowadzenia dokumentacji pracowniczej, nieprzechowywania dokumentacji pracowniczej przez wymagany przepisami okres, pozostawienia dokumentacji pracowniczej w warunkach grożących uszkodzeniem lub zniszczeniem. W takim przypadku osoba, która popełniła wykroczenie, podlega grzywnie od 1000 zł do 30 000 zł.
Nadzór i kontrola nad bezpieczeństwem danych osobowych pracowników. Do statutowych zadań PIP nie należy nadzór i kontrola nad przestrzeganiem przez podmioty kontrolowane przepisów dotyczących przetwarzania i ochrony danych osobowych. Jednak w trakcie prowadzonych czynności kontrolnych inspektor pracy może ustalić, że dokumentacja pracownicza jest przechowywana przez pracodawcę w sposób nieprawidłowy, w szczególności w warunkach grożących jej uszkodzeniem, zniszczeniem, utratą czy dostępem do niej osób nieupoważnionych. W razie stwierdzenia, że pracodawca nie dopełnia swojego obowiązku w tym zakresie, inspektor pracy zobowiąże go w wystąpieniu do odpowiedniego zabezpieczenia dokumentacji, a ponadto może powiadomić Urząd Ochrony Danych Osobowych o uzasadnionym podejrzeniu naruszenia przepisów o ochronie danych osobowych.
Przykład
Podczas kontroli inspekcja pracy stwierdziła, że m.in. kwestionariusze osobowe pracowników, zawierające liczne dane osobowe, także niewynikające z przepisów Kodeksu pracy, a więc nadmiarowe, leżą swobodnie na biurkach pracowników działu kadr. Dział kadr znajduje się w otwartej powierzchni biurowej, w żaden sposób nieoddzielony od reszty biura, i jest dostępny dla wszystkich, którzy swobodnie mogą tam wejść. Z uwagi na duże ryzyko trafienia tych danych w niepowołane ręce inspektor pracy postanowił zawiadomić UODO o nieprawidłowościach w przetwarzaniu danych.
Poza dokumentacją pracowniczą drugim newralgicznym obszarem kontrolowanym przez PIP, w którym występują liczne naruszenia zasad przetwarzania danych osobowych, jest monitoring pracowników. Także w tym przypadku PIP może poinformować UODO o naruszeniach.
Sposób prowadzenia dokumentacji pracowniczej. Dokumentacja pracownicza zasadniczo powinna być prowadzona oddzielnie dla każdego pracownika, w formie papierowej lub elektronicznej. Potwierdził to resort pracy w swoim stanowisku z 18 lutego 2019 r.
MRPiPS
(…) w związku z tym, że obowiązujące przepisy nie określają jak technicznie należy zorganizować prowadzenie "oddzielnie dla każdego pracownika" dokumentacji pracowniczej, w tym dotyczącej ewidencjonowania czasu pracy, w konsekwencji, decyzja w tym zakresie należy do pracodawcy. Pracodawca może np. założyć imienną teczkę pracownika zawierającą całość dokumentacji lub też dokumentację danego pracownika przechowywać w kilku teczkach obejmujących dokumenty powiązane tematycznie. Istotą wprowadzonego przepisu jest nieprowadzenie dokumentacji w sprawach związanych ze stosunkiem pracy danego pracownika zbiorowo z innymi pracownikami oraz zapewnienie dostępu do tej dokumentacji jedynie osobom do tego upoważnionym.
Dane osobowe w harmonogramach czasu pracy. Rozkłady (harmonogramy) czasu pracy, choć nie zostały wymienione w przepisach rozporządzenia w sprawie dokumentacji pracowniczej, powinny być traktowane również jako dokumentacja pracownicza. W praktyce występuję na tym tle wątpliwości, w szczególności że tworzone są one zasadniczo nie indywidualnie dla każdego pracownika, ale łącznie dla określonej grupy, działu czy wydziału. Jednoznacznie jednak o charakterze rozkładów wypowiedziało się Ministerstwo Rodziny, Pracy i Polityki Społecznej w stanowisku z 7 lutego 2019 r., w którym wskazało, że harmonogramy czasu pracy, podobnie jak pozostałą dokumentację odnoszącą się do stosunków pracy nawiązanych począwszy od 1 stycznia 2019 r., należy przechowywać przez okres 10 lat od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł. Ze względu na to oraz celowość tworzenia rozkładów czasu pracy pracodawca powinien zagwarantować spełnienie przez tworzone rozkłady wymogów formalnych i ich właściwe przechowywanie. Nie został natomiast przewidziany dla nich wymóg zapewnienia tzw. odrębności (według przeważającego poglądu dopuszczalne jest zatem tworzenie ich zbiorczo, przy jednoczesnym podjęciu środków mających na celu wyeliminowanie zagrożenia naruszenia danych osobowych pracowników przy ich udostępnianiu).
Przykład
Pracodawca tworzy zatrudnionym pracownikom rozkłady czasu pracy w formie elektronicznej i udostępnia je poszczególnym pracownikom za pośrednictwem e-maila. Ze względu na fakt, że z rozkładu wynikają jedynie godziny wykonywania pracy w poszczególnych dniach, natomiast ewentualne absencje pracowników wykazywane są wyłącznie w prowadzonej oddzielnie dla każdego pracownika ewidencji czasu pracy, pracodawcy nie można zarzucić nieprawidłowego przechowywania dokumentacji pracowniczej.
Przykład
Pracodawca tworzy rozkłady czasu pracy w formie papierowej i udostępnia je wszystkim pracownikom zbiorczo poprzez wywieszenie ich na tablicy ogłoszeń. Tablica ta znajduje się w pomieszczeniu dostępnym dla osób trzecich, w tym klientów firmy. Dodatkowo na grafikach są oznaczone nieobecności pracowników, wraz ze wskazaniem rodzajów tych nieobecności. W takim przypadku pracodawca może spotkać się z zarzutem naruszenia przepisów o ochronie danych osobowych.
Współpraca PIP z innymi podmiotami. Państwowa Inspekcja Pracy przy realizacji zadań współdziała ze związkami zawodowymi, organizacjami pracodawców, organami samorządu załogi, radami pracowników, społeczną inspekcją pracy. Ponadto współpracuje z publicznymi służbami zatrudnienia, Pełnomocnikiem Rządu do Spraw Równego Traktowania oraz z organami administracji państwowej, w szczególności z organami nadzoru i kontroli nad warunkami pracy oraz organami Krajowej Administracji Skarbowej, a także z Policją, Strażą Graniczną, ZUS i organami samorządu terytorialnego. Szczegółowe zasady współpracy z poszczególnymi organami znajdują się w indywidualnych porozumieniach zawartych z przedstawicielami tych służb i mogą przybierać różne formy - np. prowadzenie wspólnych kontroli, informowanie o wynikach przeprowadzonych postępowań, jeśli wskazują one na konieczność wszczęcia kontroli przez organ właściwy rzeczowo do uregulowania danego zagadnienia.
Podstawa prawna
art. 94, art. 281 ustawy z 26 czerwca 1974 r. - Kodeks pracy - j.t. Dz.U. z 2023 r. poz. 1465
art. 14 ustawy z 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy - j.t. Dz.U. z 2024 r. poz. 97;
§ 8 rozporządzenia Ministra Rodziny, Pracy i Polityki Socjalnej z 10 grudnia 2018 r. w sprawie dokumentacji pracowniczej - Dz.U. z 2018 r. poz. 2369; ost.zm. Dz.U. z 2023 r. poz. 879
rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE - Dz.U.UE. z 2016 r. Nr 119, poz. 1; ost.zm. Dz.U.EL. z 2021 r. Nr 74, poz. 35
Beata Łapińska
specjalista z zakresu prawa pracy, prawnik, autorka wielu publikacji z tej tematyki
