Prawo pracyOchrona danych osobowych

Ewidencja czasu pracy a ochrona danych osobowych

By 16.10.18 No Comments

Wejście w życie przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych  i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (RODO) wiąże się dla pracodawców z wieloma nowymi obowiązkami. Niewątpliwie, znacząca ich część odnosi się działów kadr, które – obok działów marketingowych – gromadzą najwięcej danych osobowych.

Jednym z wyzwań, przed którym stanęli pracodawcy, jest prowadzenie ewidencji czasu pracy w sposób zgodny z obowiązującymi przepisami. Poniżej przedstawiamy rozwiązania, które ułatwią dostosowanie organizacji zakładu pracy do nowych wymogów.

Zgodnie z art. 149 § 1 Kodeksu pracy, pracodawca prowadzi ewidencję czasu pracy pracownika do celów prawidłowego ustalenia jego wynagrodzenia i innych świadczeń związanych z pracą. Pracodawca udostępnia tę ewidencję pracownikowi, na jego żądanie. Obowiązek ten nie dotyczy pracowników objętych systemem zadaniowego czasu pracy, pracowników zarządzających w imieniu pracodawcy zakładem pracy oraz pracowników otrzymujących ryczałt za godziny nadliczbowe lub za pracę w porze nocnej (art. 149 § 2 Kodeksu pracy).

Informacje o planach urlopowych, urlopach, zwolnieniach od pracy, a także innych usprawiedliwionych i nieusprawiedliwionych nieobecnościach w pracy mogą stanowić dane osobowe pracownika. Jak więc należy je przetwarzać, aby pozostać w zgodzie z przepisami RODO?

Przede wszystkim, dostęp do dokumentów związanych z ewidencją czasu pracy powinny mieć wyłącznie osoby upoważnione np. osoby dokonujące rozliczeń czasu pracy w działach kadr. Treść upoważnienia nie powinna pozostawiać w tym zakresie wątpliwości.

Ponadto, należy zrezygnować z tradycyjnych list obecności, na których podpisy składają wszyscy pracownicy obecni w zakładzie pracy w danym dniu. Zamiast tego, można przygotować osobną listę dla każdego z pracowników, dostępną tylko temu pracownikowi oraz osobom upoważnionym przez pracodawcę, albo posłużyć się systemem elektronicznym, który z karty magnetycznej będzie odczytywał imię i nazwisko pracownika oraz godziny rozpoczęcia i zakończenia przez niego pracy.

Pracodawca nie powinien gromadzić dokumentacji związanej z usprawiedliwianiem nieobecności w zakresie wykraczającym ponad rozporządzenie Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika. Wielu pracodawców w celach związanych z ewidencją czasu pracy wymaga od pracowników przedłożenia dokumentów
i danych nieuwzględnionych w rozporządzeniu np. aktów stanu cywilnego, co – w świetle zasad wyrażonych w RODO, jest niedopuszczalne.

Na dokumencie stanowiącym potwierdzenie obecności w pracy nie należy umieszczać informacji o przyczynie nieobecności. Zestawienie imienia i nazwiska pracownika z przyczyną nieobecności niejednokrotnie będzie prowadziło do przetwarzania szczególnych kategorii danych osobowych. Dotyczy to w szczególności przypadków, gdy nieobecność jest związana ze stanem zdrowia pracownika. Najbezpieczniejszym dla pracodawcy rozwiązaniem będzie ograniczenie listy obecności w zakładzie pracy do potwierdzenia fakty obecności/nieobecności.

Warto też zwrócić uwagę na kwestię wykorzystywania danych biometrycznych, np. odcisków palców, do ewidencjonowania czasu pracy pracowników. Do chwili wejścia w życie przepisów RODO zagadnienie to budziło wiele kontrowersji. Dwukrotnie swoje stanowisko na ten temat wyrażał Naczelny Sąd Administracyjny w Warszawie (patrz: wyrok z dnia 1 grudnia 2009 r., sygn. akt: I OSK 249/09; wyrok z dnia 6 września 2011 r., sygn. akt: I OSK 1476/10). W obu przypadkach wskazał, że przetwarzanie linii papilarnych pracownika w celu prowadzenia ewidencji czasu pracy, nawet za zgodą pracownika, prowadzi do obejścia przepisu art. 221 Kodeksu pracy, a nadto jest środkiem nieproporcjonalnym do zamierzonego celu przetwarzania danych osobowych. RODO definiuje pojęcie „danych biometrycznych” wskazując, iż są to dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne. Nadto, jak wynika wprost z art. 9 RODO, dane biometryczne należą do szczególnych kategorii danych osobowych, które można przetwarzać m.in. wtedy, gdy osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu przetwarzania tychże danych jako danych wrażliwych; lub też przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą. Z przytoczonych regulacji wynika, że pracodawca może potwierdzać obecność pracowników w pracy za pomocą danych biometrycznych (np. odcisków palca). Oczywiście, pracodawca powinien w należyty sposób zabezpieczać takie dane i przetwarzać je wyłącznie w celu, o którym mowa powyżej.

Na koniec warto wspomnieć, że konieczność uregulowania kwestii przetwarzania danych biometrycznych pracowników przez pracodawców została dostrzeżona w toku prac legislacyjnych nad ustawą o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679 (projekt rządowy z dnia 14 września 2018 r., numer UC 100). Na razie jednak znajdują się one na etapie opracowania.

Autor: adwokat Ewelina Mierzwicka

Facebook