Katalog informacji jakich pracodawca może żądać od pracownika jest zamknięty i zawiera wyłącznie te dane osobowe, które wymienione są w przepisach kodeksu pracy lub gdy inny przepis prawa wyraźnie tak stanowi. Od osób ubiegających się o zatrudnienie można więc wymagać podania: imienia (imion) i nazwiska, imion rodziców, daty urodzenia, miejsca zamieszkania (adresu do korespondencji), wykształcenia oraz przebiegu dotychczasowego zatrudnienia. Zakres informacji, których pracodawca ma prawo żądać od zatrudnionych jest znacznie szerszy. Obejmuje on również numer PESEL oraz imiona, nazwiska i daty urodzenia dzieci (tylko wówczas, kiedy jest to konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy), a także inne dane wyraźnie przewidziane w prawie. Zatem, to przepisy wyznaczają granice i określają, jakich danych osobowych może żądać pracodawca.
Pracownik nie ma więc obowiązku podania pracodawcy prywatnego adresu e-mail, podobnie jak pracodawca nie ma prawa żądać od podwładnego podania prywatnego numeru telefonu. Zgodnie z orzecznictwem, polecenie pracodawcy nakładające na pracownika obowiązek udzielenia danych osobowych niewymienionych w art. 221 § 1 i 2 kodeksu pracy lub w odrębnych przepisach jest niezgodne z prawem (zob. wyrok SN z dnia 5.08.2008r., I PK 37/08). Adres poczty elektronicznej to informacja, która w przypadku pracownika pozwala na jego bezpośrednią identyfikację, zatem stanowi daną osobową podlegającą ochronie. Danymi osobowymi (w rozumieniu ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997 roku) są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.
Przetwarzaniem danych są natomiast jakiekolwiek wykonywane na nich operacje, zwłaszcza za pomocą systemów informatycznych. Jedną z przesłanek legalizujących przetwarzanie danych osobowych jest zgoda osoby, której dane dotyczą.
W przypadku pracownika zgoda podlega jednak ograniczeniom. Musi być ona bowiem dobrowolna, a odmowa jej udzielenia nie może pociągać negatywnych konsekwencji dla pracownika. Zgoda nie ma cech dobrowolności, jeżeli to pracodawca sugeruje jakie dane osobowe, ponad te przewidziane w przepisach, ma podać pracownik. Zgoda wyrażona na życzenie pracodawcy narusza prawa pracownika. Zatem w przypadku udostępnienia prywatnego adresu e-mail, pracownik musiałby mieć pełną swobodę w udzieleniu zgody i nie ponosić żadnych negatywnych konsekwencji w przypadku odmowy, nawet jeśli adres miałby służyć celom służbowym. Zgodnie ze stanowiskiem doktryny i orzecznictwa, brak równowagi w relacji pracodawca-pracownik stawia pod znakiem zapytania dobrowolność przy wyrażaniu zgody przez pracownika na udostępnianie i przetwarzanie danych osobowych niewymienionych w przepisach.
Powstaje również pytanie czy poszerzenie katalogu danych o prywatny adres e-mail nie naruszy zasady proporcjonalności?
Warto przywołać w tym miejscu orzecznictwo dotyczące zgody pracownika jako przesłanki legalizującej przetwarzanie danych osobowych. Zgodnie z utrwaloną linią orzecznictwa Naczelnego Sądu Najwyższego (zob. m.in. wyrok NSA z dnia 1.12.2009r, I OSK 249/09 oraz wyrok NSA z dnia 06.09.2011r., I OSK 1476/10), wyrażona na życzenie pracodawcy pisemna zgoda pracownika na pobranie i przetwarzanie danych biometrycznych narusza prawa pracownika i nie daje podstawy do legalnego ich przetwarzania. Z istoty stosunku pracy wynika bowiem podporządkowanie pracownika pracodawcy, co powoduje brak dobrowolności w wyrażeniu takiej zgody. Zatem nie może ona stanowić przesłanki legalizującej przetwarzanie danych osobowych (biometrycznych). W ocenie NSA poszerzenie katalogu danych, których może żądać pracodawca w oparciu o zgodę pracownika, naruszałoby zasadę proporcjonalności. Pozostaje jeszcze kwestia adekwatności, która oznacza obowiązek administratorów przetwarzania prawidłowych danych osobowych w sposób odpowiedni do celów, dla których te dane zostały zgromadzone.
W opinii 8/2001 Grupy Roboczej Art. 29 (organu konsultacyjnego składającego się z przedstawicieli organów ochrony danych osobowych z krajów Unii Europejskiej) z dnia 13 września 2001 roku dotyczącej przetwarzania danych osobowych w kontekście zatrudnienia, przyjęto, że zgoda może zostać uznana za legalizującą przetwarzanie danych, jeżeli pracownik ma pełną swobodę w jej udzieleniu i może odmówić zgody bez ponoszenia ujemnych konsekwencji.
Pracodawca może żądać od pracownika podania wyłącznie danych przewidzianych w kodeksie pracy lub gdy inny przepis prawa wyraźnie tak stanowi. Pozyskiwanie prywatnych adresów e-mail pracowników na żądanie pracodawcy narusza więc prawa zatrudnionych. W przypadku, kiedy adres e-mail ma służyć celom służbowym, to pracodawca powinien zadbać o zapewnienie do niego dostępu. Obecny postęp technologiczny daje rozwiązania, które powodują, że nawet w komórce można odbierać służbowe e-maile. Zatem, jeżeli pracodawcy zależy na wprowadzeniu lepszej komunikacji w firmie, powinien zapewnić podwładnym dostęp do takich narzędzi.
