Jakie dane może żądać pracodawca od pracownika w świetle RODO?

Jakie dane osobowe może żądać pracodawca?

Zgodnie z zasadą minimalizacji, pracodawca gromadzi wyłącznie te informacje, które są absolutnie niezbędne do nawiązania i prowadzenia współpracy. Podstawę stanowią dane personalne, takie jak:

• imię,
• nazwisko,
• data urodzenia,
• adres zamieszkania,
• numer PESEL lub dane z dowodu tożsamości w przypadku osób go nieposiadających.

Do codziennej komunikacji firma potrzebuje również Państwa:

• numeru telefonu,
• adresu e-mail.

Niezbędne jest także podanie rachunku bankowego, który umożliwi terminowe przelewanie wynagrodzenia. W aktach osobowych gromadzi się poza tym szczegóły dotyczące:

• wykształcenia,
• zdobytych kwalifikacji,
• przebiegu dotychczasowej kariery.

W określonych sytuacjach, na przykład przy korzystaniu ze świadczeń z funduszu socjalnego, pracodawca może prosić o dane dzieci zatrudnionego, co pozwoli na realizację przysługujących świadczeń. Niekiedy konieczne bywa również zaświadczenie o niekaralności, jeśli charakter stanowiska tego wymaga. Weryfikacja wszystkich danych opiera się na okazaniu dokumentu tożsamości, a w wybranych przypadkach prawnych firma jest uprawniona do zachowania kopii tych dokumentów w aktach pracownika.

Na jakiej podstawie prawnej pracodawca może żądać danych osobowych?

W relacji zawodowej fundamentem przetwarzania informacji o pracownikach są przepisy Kodeksu pracy oraz RODO. Kluczowe znaczenie ma tu artykuł 22(1) wspomnianego kodeksu, który w przejrzysty sposób definiuje zakres danych niezbędnych do zainicjowania zatrudnienia. Jako administrator, pracodawca musi czuwać nad tym, by każda czynność w tym obszarze odbywała się zgodnie z prawem.

Istotną przesłanką do gromadzenia danych jest również sama umowa o pracę. Realizacja świadczeń takich jak:

• wypłata wynagrodzeń,
• prowadzenie ewidencji czasu pracy,
• dopełnienie formalności związanych z ubezpieczeniami społecznymi.

Wymaga przetwarzania informacji, do czego pracodawcę zobowiązują przepisy podatkowe i ubezpieczeniowe. Gdy jednak firma chce wyjść poza narzucone ustawowo obowiązki – na przykład promując wizerunek pracownika lub oferując mu dodatkowe benefity – musi wcześniej uzyskać na to dobrowolne zezwolenie. Każdy z tych procesów wiąże się z obowiązkiem informacyjnym. Pracodawca musi jasno komunikować podstawę prawną oraz cel, w jakim pozyskuje dane, co buduje przejrzystość działań i harmonizuje z wytycznymi UODO. Całość dopełnia zasada minimalizacji – zgodnie z nią firma ma prawo prosić wyłącznie o te informacje, które są niezbędne i proporcjonalne do realizacji konkretnego celu.

Kiedy potrzebna jest zgoda na przetwarzanie danych osobowych?

Przetwarzanie danych osobowych pracownika opiera się zazwyczaj na przepisach prawa, zapisach umowy lub prawnie uzasadnionym interesie firmy. Gdy jednak żadna z tych podstaw nie występuje, niezbędne staje się pozyskanie dobrowolnej zgody podwładnego. Ważne, aby taka decyzja była podejmowana swobodnie, bez presji czy wpływu na dalszą karierę. Pracodawca nie ma prawa uzależniać zatrudnienia od zgody na zbieranie informacji nadmiarowych, wykraczających poza kadrowe minimum.

W praktyce zgoda jest niezbędna w czterech przypadkach:

• gdy firma chce wykorzystać wizerunek pracownika w celach marketingowych lub w mediach społecznościowych,
• gdy dobrowolne benefity wymagają udostępniania danych podmiotom trzecim, takim jak ubezpieczyciele czy operatorzy kart sportowych,
• gdy gromadzone są opcjonalne informacje, w tym dane wrażliwe niewymagane przez przepisy BHP,
• gdy publikowane są dane kontaktowe na firmowej stronie, jeśli wykracza to poza rutynowy zakres obowiązków zawodowych.

Każde oświadczenie woli musi być świadome, konkretne i całkowicie jednoznaczne. Na pracodawcy spoczywa obowiązek informacyjny – musi on jasno wyłożyć cele przetwarzania danych oraz przypomnieć o przysługującym pracownikowi prawie wglądu w te informacje. Jeśli podwładny zmieni zdanie, może w dowolnym momencie wycofać swoją zgodę. Warto podkreślić, że taka decyzja nie może rodzić negatywnych reperkusji, włącznie z rozwiązaniem stosunku pracy czy dyskryminacją. Z kolei w przypadku pozyskiwania danych wrażliwych, proces ten musi odbywać się pod ścisłą kontrolą, zgodnie z restrykcyjnymi wytycznymi RODO.

Jakie dane identyfikacyjne pracownika są dopuszczalne?

Weryfikacja przyszłego pracownika opiera się na zebraniu kilku podstawowych informacji:

• imienia,
• nazwiska,
• daty urodzenia,
• adresu zamieszkania,
• danych kontaktowych.

Aby upewnić się, że przekazane dane są prawdziwe, pracodawca ma pełne prawo poprosić o okazanie dowodu osobistego. Należy jednak pamiętać, że dokument ten służy wyłącznie wglądowi – kserowanie czy skanowanie dowodu bez wyraźnego uzasadnienia jest niedopuszczalne. Zgodnie z zasadą minimalizacji danych, zakres zbieranych informacji powinien być ściśle ograniczony i proporcjonalny do celu, jakim jest zatrudnienie. Warto zaznaczyć, że numer PESEL staje się niezbędny dopiero na etapie formalnego nawiązywania stosunku pracy lub w sytuacjach, gdy wymagają tego przepisy podatkowe czy ubezpieczeniowe.

Na pracodawcy spoczywa pełna odpowiedzialność za bezpieczeństwo i poufność zgromadzonych informacji. Kluczowe jest wdrożenie odpowiednich procedur, które ograniczą dostęp do dokumentacji osobom niepowołanym. Wszelkie próby wykraczania poza obowiązujące normy prawne i żądanie od kandydatów dodatkowych danych identyfikacyjnych są zakazane. Takie nadgorliwe podejście nie tylko narusza prywatność zatrudnionego, ale stoi w sprzeczności z obowiązującymi przepisami o ochronie danych osobowych.

Czy pracodawca może żądać wykształcenia i przebiegu zatrudnienia?

Pracodawca może legalnie pozyskiwać dane dotyczące wykształcenia, posiadanych kwalifikacji oraz przebiegu kariery zawodowej kandydata, pod warunkiem, że są one ściśle powiązane z wymaganiami na konkretnym stanowisku. Potwierdzenie tych informacji odbywa się najczęściej poprzez analizę:

• dyplomów,
• certyfikatów,
• świadectw z poprzednich miejsc pracy.

Kluczową zasadą, którą powinien kierować się każdy dział HR, jest minimalizacja danych – prościej mówiąc, zbieramy tylko to, co jest niezbędne do oceny kompetencji danej osoby. Wszystkie te informacje trafiają do kwestionariusza osobowego, stanowiącego standardowy element procesu rekrutacyjnego. Jeśli firma prosi o wgląd w oryginały lub kopie dokumentów, jej celem jest po prostu weryfikacja prawdziwości zadeklarowanych umiejętności.

Warto pamiętać, że wszelkie próby pozyskania danych wykraczających poza zakres związany z pracą wymagają uzyskania od kandydata dobrowolnej zgody. Każde takie żądanie musi mieć silne uzasadnienie merytoryczne, co pozwala uniknąć gromadzenia zbędnych informacji w dokumentacji pracowniczej. Transparentność tego procesu to nie tylko wymóg prawny, ale także kwestia budowania zdrowej relacji z przyszłym pracownikiem.

Czy pracodawca może żądać danych wrażliwych i biometrycznych?

Przetwarzanie danych wrażliwych oraz biometrycznych obwarowane jest w RODO restrykcyjnymi wymogami. Mowa tu nie tylko o informacjach dotyczących zdrowia, poglądów politycznych czy wyznania, ale także o unikatowych cechach fizycznych, w tym skanach tęczówki czy odciskach palców.

Jeżeli firma planuje wykorzystać biometrię do identyfikacji personelu, musi spełnić trzy kluczowe kryteria:

• uzyskać pełną, dobrowolną zgodę,
• dokonać oceny skutków dla ochrony danych,
• wprowadzić rygorystyczne techniczne zabezpieczenia.

W praktyce oznacza to, że instalacja czytnika linii papilarnych przy wejściu do biura wymaga od pracownika wyraźnej akceptacji, a sama metoda nie może stanowić jedynej ścieżki weryfikacji tożsamości. Sytuacja wygląda odmiennie w kontekście informacji o zdrowiu, których pracodawca używa głównie w ramach medycyny pracy lub przy orzekaniu o zdolności do wykonywania obowiązków zawodowych. W takich okolicznościach zgoda danej osoby staje się zbędna, gdyż fundamentem prawnym są bezpośrednie zapisy Kodeksu pracy.

Nadrzędną zasadą, o której przedsiębiorcy nie mogą zapominać, jest minimalizacja zbioru – gromadzimy tylko to, co faktycznie niezbędne. W razie pojawienia się niejasności warto zasięgnąć opinii inspektora ochrony danych, którego rola polega na bieżącym czuwaniu nad przestrzeganiem przepisów wewnątrz organizacji. Bagatelizowanie tych reguł wiąże się z ogromnym ryzykiem finansowym, gdyż naruszenia standardów ochrony danych osobowych skutkują dotkliwymi karami administracyjnymi.

Jakie obowiązki informacyjne ma pracodawca wobec pracownika?

Pracodawca ma obowiązek dopełnić formalności informacyjnych już w chwili zbierania danych osobowych. W praktyce oznacza to przekazanie podwładnemu dokumentu zawierającego dane identyfikacyjne firmy oraz kontakt do inspektora ochrony danych. Taka klauzula musi również jasno precyzować, w jakim celu przetwarzamy informacje, na jakiej podstawie prawnej działamy oraz komu mogą one zostać udostępnione, na przykład:

• dostawcom benefitów pozapłacowych,
• Zakładowi Ubezpieczeń Społecznych.

Równie istotne jest określenie czasu, przez jaki dane będą przechowywane, oraz wskazanie kryteriów, od których zależy ten okres. Pracownik powinien otrzymać pełny wykaz przysługujących mu uprawnień, w tym:

• możliwość wglądu w dane,
• ich poprawiania,
• żądania usunięcia,
• ograniczenia zakresu operacji,
• prawo do przenoszenia informacji,
• wniesienia sprzeciwu.

Każde oświadczenie musi zawierać pouczenie o prawie do wycofania zgody oraz możliwości złożenia skargi do prezesa UODO. Kluczem jest komunikacja – przekaz treści musi być przejrzysty i sformułowany prostym, zrozumiałym językiem. Pracodawca powinien też wyjaśnić, co grozi za niepodanie danych oraz wskazać konkretne przepisy prawa, z których wynika zasadność ich przetwarzania. Co więcej, jeśli dane mają trafić poza obszar Europejskiego Obszaru Gospodarczego, wymóg ten wymaga wyraźnego zaznaczenia. Dbanie o taką transparentność nie tylko zabezpiecza interesy zatrudnionych, ale przede wszystkim wzmacnia wzajemne zaufanie w relacjach zawodowych.

Jak pracodawca powinien przechowywać i udostępniać dane osobowe?

Bezpieczeństwo danych to fundament współczesnego miejsca pracy, gwarantujący ich poufność, integralność i ciągłą dostępność. Jako administrator, pracodawca jest zobowiązany do wdrożenia solidnych zabezpieczeń, takich jak:

• szyfrowanie plików,
• systematyczne tworzenie backupów,
• rygorystyczna kontrola dostępu.

Wgląd do akt osobowych przysługuje wyłącznie osobom do tego upoważnionym, a stosowne zgody powinny być wydawane na piśmie i ograniczone jedynie do zadań wynikających z zajmowanego stanowiska. W sytuacjach, gdy niezbędne jest zaangażowanie firm zewnętrznych – na przykład dostawców benefitów czy podmiotów rozliczających płace – kluczowe staje się podpisanie umowy powierzenia przetwarzania danych. Warto pamiętać o zasadzie minimalizacji, przekazując jedynie te informacje, które są niezbędne do sprawnej współpracy.

Dokumentację kadrową należy archiwizować tak długo, jak wymagają tego przepisy podatkowe i archiwalne, a po ich wygaśnięciu skutecznie niszczyć, aby uniemożliwić odzyskanie plików przez osoby niepowołane. Jeśli w biurze funkcjonuje monitoring wizyjny lub elektroniczny, należy wyraźnie oznaczyć odpowiednie strefy i poinformować o tym załogę, dbając jednocześnie o szczelność systemów ochrony.

Odpowiedzialność pracodawcy obejmuje również obsługę zapytań pracowników dotyczących wglądu, sprostowania czy usuwania danych. Lekceważenie tych obowiązków lub błędy w zarządzaniu informacjami niosą za sobą poważne konsekwencje, z ogromnymi karami finansowymi od UODO włącznie. Aby uniknąć ryzyka, należy prowadzić rejestr czynności przetwarzania i nieustannie monitorować obieg dokumentów. Transparentność to podstawa: każdy zatrudniony powinien mieć pełną wiedzę na temat tego, kto obsługuje jego dane i w jakim celu po nie sięga.