DOLiS/DEC - Przetwarzanie danych osobowych pracowników oraz kandydatów do pracy.
Pismo z dnia 1 kwietnia 2008 r. Generalny Inspektor Ochrony Danych Osobowych DOLiS/DEC Przetwarzanie danych osobowych pracowników oraz kandydatów do pracy.
DECYZJA
Na podstawie art. 104 § 1 oraz art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. 2000 r. Nr 98 poz. 1071 z późn. zm.) oraz art. 12 pkt 2 i art. 18 ust. 1 pkt 1, art. 22, art. 24 ust. 1 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2002 r. Nr 101 poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie przetwarzania danych osobowych pracowników oraz kandydatów do pracy przez Spółkę X.
nakazuję X. wypełnienie wobec pracowników oraz kandydatów do pracy w ww. Spółce obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 pkt 4 ustawy o ochronie danych osobowych, tj. poinformowanie ww. o dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej,
w pozostałym zakresie umarzam postępowanie.
UZASADNIENIE
Do Biura GIODO wpłynęło pismo Okręgowego Inspektora Pracy, w którym poinformował Generalnego Inspektora Ochrony Danych Osobowych, iż podczas kontroli w X, zwanej dalej Spółką, inspektorzy Okręgowego Inspektora Pracy ustalili, że kwestionariusze osobowe znajdujące się w teczkach akt pracowników Spółki zawierają dane wykraczające poza zakres przewidziany przepisami prawa pracy. Wraz z przedmiotowym pismem Okręgowy Inspektor Pracy przesłał wzór stosowanego przez Spółkę "Kwestionariusza osobowego Employee Biodata". W związku z powyższym Generalny Inspektor wszczął z urzędu postępowanie administracyjne w niniejszej sprawie, w toku którego ustalił, co następuje:
X stosowała "Kwestionariusz osobowy Employee Biodata", w oparciu o który pozyskiwała dane osobowe m.in. w zakresie: płeć; miejsce urodzenia; "statut zawodowy (aktywny, karany, długi urlop, rezygnacja z pracy)"; numer telefonu komórkowego; numer pagerʼa; adres e-mail; adres stałego zameldowania; miejsce zamieszkania ("własny dom, zamieszkuje u rodziców, wynajmuje dom, akademik, mieszkanie służbowe"); środek transportu ("pieszo, komunikacja miejska, firmowy samochód, własny transport"); wyznanie (religia); obywatelstwo; stan cywilny; "status kobiety (jeśli jesteś zamężna, to czy zajmujesz się domem?)"; "głowa rodziny", "stopień pokrewieństwa z głową rodziny"; umiejętności; hobby; wzrost; waga; wzrok - lewe oko, prawe oko ("normalny, minus, plus"); grupa krwi; stan rodzinny - członkowie rodziny (rodzice i rodzeństwo), imię, nazwisko, data urodzin, stopień pokrewieństwa; umiejętności; publikacje naukowe (rozprawy, artykuły, książki); stan zdrowia - "czy kiedykolwiek cierpiałeś na ostre choroby? Jeśli odpowiedziałeś tak, określ choroby, na które cierpiałeś i jak długo pozostawałeś niedysponowany"; "kto jest odpowiedzialny za Twoją edukację?".
W dniu 10 stycznia 2007 r. X komisyjnie zniszczyła dotychczas zebrane w Spółce ankiety "Kwestionariusz osobowy Employee Biodata", a następnie zaczęła stosować "Kwestionariusz osobowy", na podstawie którego pozyskiwała dane osobowe pracowników m.in. w zakresie: nazwisko rodowe, nazwisko rodowe matki, miejsce urodzenia, miejsce zameldowania, Nr telefonu, obywatelstwo.
W dniu 21 września 2007 r. Spółka "trwale i nieodwracalnie usunęła wszystkie ankiety pracownicze przygotowane w oparciu o stary stan prawny i zastąpiła je nowym wzorem", na podstawie którego Spółka pozyskiwała dane osobowe w zakresie: imię i nazwisko, numer ewidencyjny PESEL, numer identyfikacyjny (NIP), stan rodzinny (imiona i nazwiska oraz daty urodzenia dzieci), powszechny obowiązek obrony, osoba, którą należy zawiadomić w razie wypadku, seria i Nr dowodu osobistego.
Spółka przetwarza dane osobowe kandydatów do pracy poprzez pozyskiwanie w procesie rekrutacji danych osobowych zawartych w listach motywacyjnych oraz CV. Każdy kandydat do pracy w Spółce podpisuje klauzulę, iż wyraża zgodę na przetwarzanie danych osobowych wyłącznie w procesie rekrutacji w X. Z wyjaśnień pełnomocnika Spółki wynika również, iż pozyskiwane przez Spółkę dane osobowe kandydatów do pracy nie wykraczają poza zakres określony w załączniku Nr 1 rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. U. Nr 62 poz. 286 z późn. zm.).
Spółka informuje pracowników oraz kandydatów do pracy w X o adresie siedziby i pełnej nazwie administratora danych, celu przetwarzania danych, prawie dostępu do treści danych oraz ich poprawiania, uzupełnienia, uaktualnienia i sprostowania danych, gdy są one niekompletne, nieaktualne lub nieprawdziwe.
Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje:
W świetle przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2002 r. Nr 101 poz. 926 z późn. zm.), zwanej dalej ustawą, każdy administrator danych jest obowiązany udzielić osobie, której dane pozyskuje informacji z art. 24 ustawy. Zgodnie z art. 24 ust. 1 ustawy, w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o:
adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku,
celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych,
prawie dostępu do treści swoich danych oraz ich poprawiania,
dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. Zakresem zastosowania przepisu art. 24 ust. 1 pkt 4 ustawy objęte są obowiązki nałożone na osobę, której dane dotyczą, m.in. postanowieniami autonomicznych źródeł prawa pracy.
Natomiast, gdy administrator danych uzależnia dokonanie czynności prawnej (np. zawarcie umowy) od podania określonych danych osobowych, to powinien poinformować osobę, której dane dotyczą, nie tylko o dobrowolności ich podania, lecz także o tym, że niepodanie określonych danych osobowych skutkuje odmowę dokonania czynności prawnej.
Materiał dowodowy przedmiotowej sprawy wskazuje, iż Spółka nie wypełnia wobec pracowników oraz kandydatów do pracy obowiązku informacyjnego z art. 24 ust. 1 pkt 4 ustawy.
Dlatego też w powyższym zakresie Generalny Inspektor uznał, iż konieczne jest wydanie decyzji administracyjnej nakazującej Spółce przywrócenie stanu zgodnego z prawem poprzez wypełnienie wobec pracowników oraz kandydatów do pracy obowiązku informacyjnego, o którym mowa powyżej, tj. udzielenia ww. informacji o obowiązku podania danych osobowych oraz o przepisach prawa pracy normujących powyższy obowiązek.
2) Mając na uwadze sprawę zakresu danych pozyskiwanych przez Spółkę od kandydatów do pracy i pracowników wskazać należy, że przepis art. 221 ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy (tekst jedn.: Dz. U. 1998 r. Nr 21 poz. 94 z późn. zm.) precyzyjnie określa, iż pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących: imię (imiona) i nazwisko, imiona rodziców, datę urodzenia, miejsce zamieszkania (adres do korespondencji), wykształcenie, przebieg dotychczasowego zatrudnienia (art. 221 § 1 Kodeksu pracy). Stosownie do art. 221 § 2 Kodeksu pracy, pracodawca ma prawo żądać od pracownika podania, niezależnie od danych osobowych (o których mowa powyżej), innych danych osobowych pracownika, a także imion i nazwisk oraz dat urodzenia dzieci pracownika (jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy), numeru PESEL pracownika nadanego przez Rządowe Centrum Informatyczne Powszechnego Elektronicznego Systemu Ewidencji Ludności (RCI PESEL). Pracodawca może żądać podania innych danych osobowych niż określone w § 1 i 2, jeżeli obowiązek ich podania wynika z odrębnych przepisów (art. 221 § 4 Kodeksu pracy). Na mocy delegacji ustawowej wynikającej z art. 2981 Kodeksu pracy, wydane zostało także ww. rozporządzenie Ministra Pracy i Polityki Socjalnej w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika, które określa m.in. wzór: kwestionariusza osobowego dla osoby ubiegającej się o zatrudnienie (załącznik Nr 1 do rozporządzenia) oraz kwestionariusza osobowego dla pracownika (załącznik Nr 1a do rozporządzenia). Tym samym, zakres danych osobowych pracownika, jakie pracodawca może przetwarzać w związku z realizacją stosunku pracy, w sposób szczegółowy określony został przepisach prawa.
Zgodnie natomiast z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, przetwarzanie danych jest dopuszczalne gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.
Mając na uwadze powyższe, podkreślić należy, że Generalny Inspektor Ochrony Danych Osobowych wszczął postępowanie administracyjne w przedmiotowej sprawie bowiem powziął informację, iż X przetwarza dane osobowe pracowników w zakresie szerszym niż wynika to z obowiązujących przepisów prawa. W toku postępowania Generalny Inspektor badał także zakres danych osobowych kandydatów do pracy w X. W trakcie postępowania administracyjnego prowadzonego w niniejszej sprawie X zaprzestał jednak przetwarzania danych osobowych pozyskanych za pomocą ww. "Kwestionariusza osobowego Employee Biodata" - gdzie były dane w zbyt szerokim zakresie - i usunął ze swoich zbiorów zebrane za jego pomocą dane osobowe. W chwili obecnej Spółka pozyskuje dane osobowe pracowników w zakresie określonym przepisem art. 221 Kodeksu pracy oraz przepisami ww. rozporządzenia Ministra Pracy i Polityki Socjalnej w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika. Odnosząc się natomiast do danych osobowych kandydatów do pracy w X podkreślić należy, iż z materiału dowodowego przedmiotowej sprawy nie wynika by Spółka pozyskiwała dane osobowe kandydatów do pracy w zakresie szerszym niż wynika to z przepisów ww. rozporządzenia Ministra Pracy i Polityki Socjalnej.
Zgodnie z art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji publicznej wydaje decyzję o umorzeniu postępowania. W literaturze przedmiotu uznaje się, iż bezprzedmiotowość postępowania administracyjnego, o której mowa powyżej oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego. Powyższe powoduje, iż nie można wydać decyzji administracyjnej załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może również powstać w czasie trwania tego postępowania, a więc w sprawie już zawisłej przed organem administracyjnym (B. Adamiak, J. Borkowski "Kodeks postępowania administracyjnego komentarz", Wydawnictwo C.H. Beck Warszawa 2000 r. str. 428).
Odnosząc się do przytoczonego powyżej przepisu prawa, podkreślić należy, iż w toku postępowania prowadzonego przed Generalnym Inspektorem Spółka przywróciła stan zgodny z prawem i usunęła ze swoich zbiorów dane osobowe pracowników w zakresie szerszym niż wynikającym z przepisów Kodeksu pracy oraz ww. rozporządzenia. Materiał dowodowy zgromadzony w przedmiotowej sprawie wskazuje również, iż X nie przetwarza danych osobowych kandydatów do pracy w zakresie szerszym niż wynika to z przepisów rozporządzenia Ministra Pracy i Polityki Socjalnej w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika. Dlatego też w tym zakresie należało umorzyć postępowanie administracyjne.
Mając powyższe na względzie, w tym stanie prawnym i faktycznym, Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak na wstępie.
Decyzja niniejsza jest ostateczna. Stronie, na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych, w związku z art. 22 tej ustawy i w związku z art. 127 § 3 i art. 129 § 2 Kodeksu postępowania administracyjnego, przysługuje, w terminie 14 dni od dnia doręczenia niniejszej decyzji, prawo złożenia do Generalnego Inspektora Ochrony Danych Osobowych wniosku o ponowne rozpatrzenie sprawy (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00 - 193 Warszawa).