1. Wstęp

Prowadzenie i przechowywanie w warunkach niegrożących uszkodzeniem lub zniszczeniem dokumentacji związanej ze stosunkiem pracy oraz akt osobowych pracowników jest jednym z podstawowych obowiązków pracodawcy. Ustawodawca nałożył go na niego w art. 94 pkt 9a ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy (tekst jedn.: Dz. U. z 1998 r. Nr 21, poz. 94 z późn. zm.) - dalej k.p., zastrzegając jednocześnie w art. 281 pkt 6 k.p., iż nie wywiązywanie się z niego stanowi wykroczenie przeciwko prawom pracownika zagrożone karą grzywny. Co więcej, od dnia 26 kwietnia 2007 r. ustawodawca rozszerzył obowiązki ciążące na pracodawcy i dodał do art. 94 pkt 9b k.p. nakładający na nich powinność przechowywania dokumentacji w sprawach związanych ze stosunkiem pracy oraz akt osobowych pracowników w warunkach niegrożących uszkodzeniem lub zniszczeniem. Niewywiązanie się z tego obowiązku, podobnie jak w powyższym przypadku, jest zagrożone karą grzywny (art. 281 pkt 7 k.p.).

Jednocześnie jednak dane osobowe osób fizycznych są ich dobrem osobistym i korzystają z ochrony prawa. Gwarancja takiej ochrony wynika z samej Konstytucji Rzeczypospolitej z dnia 2 kwietnia 1997 r. (Dz. U. Nr 78, poz. 483) – dalej Konstytucja RP. W jej art. 51 została wyrażona fundamentalna zasada w myśl której nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby, a zasady i tryb gromadzenia oraz udostępniania informacji określa ustawa.

Na tej podstawie ustawodawca zdecydował się na wprowadzenie do systemu prawnego ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn.: Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) - dalej u.o.d.o., która jest podstawowym aktem prawnym regulującym zasady gromadzenia, przechowywania oraz przetwarzania danych osobowych. Ustawa ta nie stanowi jednak jedynego i kompleksowego uregulowania tej materii. W art. 5 u.o.d.o. zostało wprost wskazane, że w przypadku, gdy przepisy odrębnych ustaw odnoszą się do przetwarzania danych i przewidują dalej idącą ich ochronę, niż wynika to z tej ustawy, stosuje się ich przepisy.

Do dnia 1 stycznia 2004 r. kwestie związane z pozyskiwaniem i przechowywaniem przez pracodawców danych osobowych pracowników były uregulowane jedynie w rozporządzeniu Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. Nr 62, poz. 286 z późn. zm.) – dalej r.d.p., a w zakresie ich ochrony i przetwarzania miała zastosowanie u.o.d.o. Stan ten uległ zmianie po 1 stycznia 2004 r., gdy w ramach harmonizacji przepisów kodeksu pracy z Konstytucją RP ustawą z dnia 14 listopada 2003 r. o zmianie ustawy – Kodeks pracy o zmianie niektórych innych ustaw (Dz. U. Nr 213, poz. 2081) dodano do k.p. art. 221, który zawiera regulację dalej idącą niż wynikająca z przepisów u.o.d.o. Co za tym idzie, w chwili obecnej w zakresie ochrony danych osobowych pracownika w pierwszej kolejności należy stosować unormowania wynikające z art. 221 k.p., a dopiero w przypadkach w nim nieuregulowanych odpowiednie zastosowanie znajdują uregulowania wynikające z u.o.d.o.

2. Podstawowe pojęcia dotyczące ochrony danych osobowych

Przepisy kodeksu pracy dotyczące ochrony danych osobowych pracownika nie zawierają definicji podstawowych pojęć związanych z tą problematyką. W tym zakresie należy więc odpowiednio stosować regulacje zawarte w u.o.d.o. I tak, zgodnie z jej przepisami:
- danymi osobowymi są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (art. 6 ust. 1 u.o.d.o.);
- osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne;
- przetwarzaniem danych są jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych (art. 7 pkt 2 u.o.d.o.);
- administratorem danych są organa państwowe, organa samorządu terytorialnego, państwowe i komunalne jednostki organizacyjne, podmioty niepubliczne realizujące zadania publiczne, osoby fizyczne i osoby prawne oraz jednostki organizacyjnych niebędące osobami prawnymi, jeżeli przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych oraz decydują o celach i środkach przetwarzania danych osobowych. (art. 7 pkt 4 u.o.d.o.).

Odnosząc wskazane powyżej pojęcia do specyfiki prawa pracy należy stwierdzić, że dane udostępniane przez pracownika pracodawcy są danymi osobowymi, a pracodawca z uwagi na to, iż gromadzi dane osobowe pracownika, a następnie zarządza nimi i ma możliwość decydowania o ich przetwarzaniu jest administratorem tych danych w rozumieniu u.o.d.o.

3. Pozyskiwanie danych osobowych osób ubiegających się o zatrudnienie

W celu prawidłowego przeprowadzenia rekrutacji pracodawca już na etapie rozważania możliwości zatrudnienia danej osoby musi pozyskać od niej pewne dane osobowe. Zgodnie z postanowieniami art. 221 § 1 k.p. pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:
1) imię (imiona) i nazwisko,
2) imiona rodziców,
3) datę urodzenia,
4) miejsce zamieszkania (adres do korespondencji),
5) wykształcenie,
6) przebieg dotychczasowego zatrudnienia.

W celu pozyskania (potwierdzenia) ww. danych pracodawca może żądać od kandydata do pracy złożenia następujących dokumentów:
1) wypełnionego kwestionariusza osobowego wraz z niezbędną liczbą fotografii,
2) świadectw pracy z poprzednich miejsc pracy lub innych dokumentów potwierdzających okresy zatrudnienia, obejmujących okresy pracy przypadające w roku kalendarzowym, w którym pracownik ubiega się o zatrudnienie,
3) dokumentów potwierdzających kwalifikacje zawodowe, wymagane do wykonywania oferowanej pracy,
4) świadectwa ukończenia gimnazjum - w przypadku osoby ubiegającej się o zatrudnienie w celu przygotowania zawodowego,
5) orzeczenia lekarskiego stwierdzającego brak przeciwwskazań do pracy na określonym stanowisku,
6) innych dokumentów, jeżeli obowiązek ich przedłożenia wynika z odrębnych przepisów.

Wyliczenie powyższe wynika z § 1 ust. 1 r.d.p. Wyjaśnienia wymaga rozbieżność pomiędzy jego postanowieniami, a treścią art. 221 k.p. Wydawać się bowiem może, że ustawodawca w r.d.p. wskazał szerszy katalog informacji jakich pracodawca może domagać się od kandydata na pracownika, niż wynikający z art. 221 k.p. W praktyce przyjmuje się, że jeśli chodzi o zakres danych osobowych, jakich pracodawca może żądać, wiążąca jest treść art. 221 k.p., a r.d.p. wskazuje jedynie jakimi rodzajami dokumentów dane te mogą zostać potwierdzone. Dokumenty te nie mogą jednak wykraczać swą treścią poza zakres danych wskazanych wprost w art. 221 k.p.

Warte podkreślenia wydaje się to, iż w obecnie obowiązującym stanie prawnym zbędne jest dodatkowe pisemne udzielanie przez osobę ubiegającą się o zatrudnienie zgody na przetwarzanie danych osobowych zwartych w złożonej przez nią ofercie, gdyż pracodawca jest do tego uprawniony na podstawie przepisu prawa. Wyrażenie tego rodzaju zgody będzie niezbędne dopiero w sytuacji, gdy dane przedstawione w ofercie będą przekraczały ww. zakres. Należy jednak jednocześnie pamiętać o tym, że z art. 221 k.p. wynika zakaz żądania od kandydata na pracownika innych danych niż wskazane w art. 221 § 1 k.p. (oraz wskazanych pośrednio przez art. 221 § 4 k.p.). Pracodawca nie może więc w procesie rekrutacji żądać od kandydatów wypełniania ankiet czy kwestionariuszy, które pociągnie za sobą ujawnienie innych danych osobowych niż określone w ww. przepisie, nie może zamieszczać w prasie ogłoszeń, w których wśród wymagań stawianych kandydatom na pracowników znajdzie się wymaganie dotyczące udostępnienia danych innych niż określone w art. 221 § 1 k.p., nie może także zadawać pytań dotyczących danych osobowych innych niż ww., a dotyczących np. przekonań religijnych, poglądów politycznych czy życia rodzinnego kandydata na pracownika. Kandydat na pracownika może jednak z własnej inicjatywy przedstawić te „inne dane”, np. poprzez zawarcie ich w CV, liście motywacyjnym, czy też przez przedłożenie dodatkowo dokumentów potwierdzających jego umiejętności i osiągnięcia zawodowe. Wówczas jednak musi wyrazić zgodę na ich przetwarzanie, np. poprzez umieszczenie w CV odpowiedniej klauzuli.
Taki stan rzeczy jest zgodny z prawem, gdyż w myśl podstawowej zasady wynikającej z art. 23 ust. 1 pkt 1 u.o.d.o. przetwarzanie danych jest dopuszczalne, gdy osoba, której dane dotyczą, wyrazi na to zgodę.
(...)