Dane osobowe kandydata i pracownika podlegają ścisłym ograniczeniom prawnym i nie mogą być gromadzone w sposób dowolny. Zakres informacji, których pracodawca ma prawo żądać, wynika przede wszystkim z art. 221 Kodeksu pracy, a sposób ich dalszego wykorzystywania musi być zgodny z RODO, w szczególności z zasadą legalności, minimalizacji danych i ograniczenia celu z art. 5 ust. 1 RODO.
W praktyce pytanie „dane pracownika – jakie informacje może zbierać pracodawca” trzeba rozdzielić na dwa etapy: rekrutację oraz zatrudnienie. Inny jest bowiem zakres danych osoby ubiegającej się o zatrudnienie, a inny danych osobowych pracownika już po zawarciu umowy o pracę. Istotne znaczenie ma też to, czy podanie określonych danych jest obowiązkowe, czy wyłącznie dobrowolne.
Podstawą analizy są przede wszystkim:
- art. 221 Kodeksu pracy,
- art. 222 i 223 Kodeksu pracy, jeśli w tle pojawia się monitoring lub kontrola,
- RODO, zwłaszcza art. 5, 6, 9, 13 i 88,
- przepisy szczególne, jeżeli dane są potrzebne do realizacji obowiązków pracodawcy, np. podatkowych, ubezpieczeniowych czy związanych z bezpieczeństwem pracy.
Zakres danych osobowych w zatrudnieniu – najważniejsze zasady
Pracodawca może przetwarzać dane osobowe tylko wtedy, gdy ma wyraźną podstawę prawną i tylko w zakresie niezbędnym do konkretnego celu. Nie wolno zbierać danych „na zapas”, na wypadek gdyby kiedyś się przydały. W relacji pracodawca-pracownik szczególne znaczenie ma też nierównowaga stron, dlatego zgoda pracownika co do zasady nie powinna zastępować podstaw ustawowych tam, gdzie przepisy dokładnie określają, jakich danych można żądać.
Z punktu widzenia ochrony danych osobowych oznacza to kilka praktycznych reguł:
- pracodawca żąda tylko danych wskazanych w przepisach albo niezbędnych do wykonania obowiązku prawnego,
- dane osobowe pracownika muszą być adekwatne do celu,
- informacje szczególnej kategorii, np. dane o zdrowiu, są objęte dalej idącą ochroną,
- pracodawca jako administrator danych musi spełnić obowiązek informacyjny z art. 13 RODO,
- udokumentowanie danych osobowych powinno następować tylko w zakresie dopuszczalnym przepisami.
Kategorie danych osobowych kandydata i pracownika – podział ustawowy
Art. 221 Kodeksu pracy rozróżnia dane osoby ubiegającej się o zatrudnienie oraz dane pracownika. To podstawowy punkt wyjścia do oceny, czy pracodawca ma prawo żądać określonych informacji.
Jakich danych można żądać od kandydata do pracy?
Zgodnie z art. 221 § 1 k.p. od osoby ubiegającej się o zatrudnienie pracodawca może żądać podania danych osobowych obejmujących:
- imię i nazwisko,
- datę urodzenia,
- dane kontaktowe wskazane przez taką osobę,
- wykształcenie,
- kwalifikacje zawodowe,
- przebieg dotychczasowego zatrudnienia.
Trzy ostatnie kategorie nie zawsze są dopuszczalne automatycznie. Pracodawca ma prawo żądać takich danych tylko wtedy, gdy są one niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Jeżeli stanowisko nie wymaga określonego wykształcenia czy doświadczenia, żądanie tych informacji może być nadmiarowe.
Jakich danych można żądać od pracownika po zatrudnieniu?
Zgodnie z art. 221 § 3 k.p. od pracownika pracodawca może żądać, niezależnie od danych z etapu rekrutacji, także:
- adresu zamieszkania,
- numeru PESEL, a w przypadku jego braku – rodzaju i numeru dokumentu potwierdzającego tożsamość,
- innych danych osobowych pracownika, a także danych osobowych dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy,
- wykształcenia i przebiegu dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie,
- numeru rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych.
Do tego dochodzą dane wymagane przez przepisy szczególne, np. potrzebne do rozliczeń podatkowych, zgłoszenia do ubezpieczeń społecznych i zdrowotnych czy prowadzenia akt osobowych zgodnie z przepisami wykonawczymi do Kodeksu pracy.
Tabela: jaki zakres danych może zbierać pracodawca?
| Kategoria / zakres danych | Kandydat | Pracownik | Podstawa prawna / warunek |
|---|---|---|---|
| Imię i nazwisko | Tak | Tak | Art. 221 § 1 i § 3 k.p. |
| Data urodzenia | Tak | Tak | Art. 221 § 1 k.p. |
| Dane kontaktowe | Tak | Tak, jeśli potrzebne w toku zatrudnienia | Art. 221 § 1 k.p.; zasada minimalizacji |
| Adres zamieszkania | Co do zasady nie | Tak | Art. 221 § 3 k.p. |
| PESEL / dokument tożsamości | Co do zasady nie | Tak | Art. 221 § 3 k.p. |
| Wykształcenie | Tak, gdy niezbędne do pracy | Tak, jeśli wcześniej nie było podstawy do żądania | Art. 221 § 1 i § 3 k.p. |
| Kwalifikacje zawodowe | Tak, gdy niezbędne do pracy | Tak, jeśli wynikają z obowiązków pracodawcy | Art. 221 § 1 k.p. i przepisy szczególne |
| Przebieg dotychczasowego zatrudnienia | Tak, gdy niezbędny do pracy | Tak, jeśli wcześniej nie było podstawy do żądania | Art. 221 § 1 i § 3 k.p. |
| Numer rachunku płatniczego | Nie | Tak, chyba że pracownik wnioskuje o wypłatę do rąk własnych | Art. 221 § 3 k.p. |
| Dane dzieci pracownika i innych członków rodziny | Nie | Tak, gdy są konieczne do realizacji uprawnień pracowniczych | Art. 221 § 3 k.p. |
Dane kontaktowe – co to jest i jakie może obejmować?
Dane kontaktowe to informacje pozwalające skontaktować się z kandydatem albo pracownikiem. Najczęściej są to numer telefonu i adres e-mail, ale mogą to być także inne wskazane przez daną osobę sposoby kontaktu.
Po zmianie art. 221 k.p. ustawodawca odszedł od sztywnego katalogu w rodzaju „adres do korespondencji”. Obecnie to osoba ubiegająca się o zatrudnienie wskazuje dane kontaktowe. Ma to praktyczne znaczenie: pracodawca nie powinien narzucać jednej konkretnej formy kontaktu, jeżeli cel można osiągnąć inaczej. Jeżeli kandydat podaje adres e-mail, a nie numer telefonu, co do zasady wystarcza to do prowadzenia rekrutacji.
W odniesieniu do pracownika sytuacja jest podobna, ale trzeba uwzględnić realia organizacyjne. Pracodawca może przetwarzać takie dane kontaktowe, które są niezbędne do wykonywania obowiązków związanych ze stosunkiem pracy, np. ustalenia grafiku, przekazywania informacji organizacyjnych czy kontaktu w nagłych przypadkach. Nadal jednak obowiązuje zasada minimalizacji danych.
Czy pracodawca może żądać prywatnego numeru telefonu?
Nie zawsze. Jeżeli pracownik wskazał inny skuteczny kanał kontaktu, żądanie prywatnego numeru telefonu może być trudne do obrony. Podstawa z art. 221 k.p. dotyczy danych kontaktowych wskazanych przez osobę, a nie dowolnie wybranych przez pracodawcę. Inaczej należy ocenić sytuację, w której charakter pracy rzeczywiście wymaga szybkiego kontaktu operacyjnego, ale i wtedy zakres danych powinien być proporcjonalny do celu.
Co wpisać w dane kontaktowe w CV?
W praktyce wystarczające są takie dane kontaktowe, które umożliwiają pracodawcy odpowiedź na aplikację. Najczęściej będzie to:
- numer telefonu, albo
- adres e-mail, albo
- oba te dane, jeżeli kandydat chce ułatwić kontakt.
Nie ma obowiązku podawania w CV większej liczby informacji kontaktowych, niż jest to potrzebne do rekrutacji.
Czy pracodawca może żądać innych danych niż wskazane w Kodeksie pracy?
Tak, ale tylko wyjątkowo i przy istnieniu odrębnej podstawy prawnej. Zgodnie z art. 221 § 4 k.p. pracodawca żąda podania innych danych osobowych niż wskazane wyżej, jeżeli jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.
Przykłady to m.in.:
- dane potrzebne do zgłoszenia pracownika do ubezpieczeń społecznych i zdrowotnych w ZUS,
- dane konieczne do rozliczania zaliczek na podatek,
- informacje o uprawnieniach zawodowych, jeżeli wykonywanie pracy określonego rodzaju wymaga licencji, wpisu na listę lub określonych badań,
- dane członków rodziny, gdy są niezbędne do korzystania z urlopów, zasiłków lub innych uprawnień pracowniczych.
Nadal jednak pracodawca powinien ocenić, czy rzeczywiście potrzebuje całego dokumentu, czy tylko określonego zakresu informacji. Z perspektywy RODO nie każde okazanie dokumentu oznacza prawo do sporządzenia kopii.
Czy pracodawca może żądać dokumentów potwierdzających dane?
Zgodnie z art. 221 § 5 k.p. udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której dane dotyczą. Pracodawca może żądać udokumentowania danych osobowych w zakresie niezbędnym do ich potwierdzenia.
To ważne ograniczenie. Sam fakt, że pracodawca ma prawo żądać określonej informacji, nie oznacza automatycznie prawa do kopiowania całych dokumentów. Zakres weryfikacji powinien być adekwatny. Przykładowo:
- potwierdzenie kwalifikacji może uzasadniać okazanie dyplomu lub świadectwa,
- potwierdzenie tożsamości może uzasadniać wgląd do dokumentu, ale nie zawsze sporządzenie kopii,
- potwierdzenie danych potrzebnych do świadczeń rodzinnych powinno ograniczać się do danych koniecznych dla danego uprawnienia.
Dane szczególnej kategorii i dane wrażliwe pracownika
Przetwarzanie danych dotyczących zdrowia, pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych, przynależności związkowej, danych genetycznych, biometrycznych czy dotyczących seksualności jest co do zasady niedopuszczalne na gruncie art. 9 RODO i art. 222 k.p., chyba że:
- wyraźnie zezwala na to przepis prawa,
- jest to niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez pracodawcę lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, zgodnie z art. 9 ust. 2 lit. b RODO,
- dane zostały przekazane z inicjatywy samego kandydata lub pracownika, a przetwarzanie spełnia warunki z art. 221b k.p.,
- chodzi o dane biometryczne i zachodzą przesłanki z art. 221b § 2 k.p., np. kontrola dostępu do szczególnie ważnych informacji lub pomieszczeń wymagających szczególnej ochrony.
W praktyce oznacza to, że pracodawca nie powinien zadawać pytań o ciążę, choroby przewlekłe, niepełnosprawność, wyznanie czy orientację seksualną, jeżeli nie wynika to z przepisu szczególnego i nie jest konieczne do realizacji obowiązków z zakresu prawa pracy.
Dane dzieci pracownika i innych członków rodziny
Pracodawca ma prawo żądać danych osobowych dzieci pracownika i innych członków jego najbliższej rodziny tylko wtedy, gdy podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy. Wynika to wprost z art. 221 § 3 k.p.
Chodzi przykładowo o sytuacje związane z:
- urlopem rodzicielskim, ojcowskim lub wychowawczym,
- zwolnieniem od pracy na opiekę nad dzieckiem,
- uprawnieniami z zakresu zasiłków i świadczeń,
- korzystaniem przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy.
Nie ma natomiast podstawy do rutynowego zbierania takich danych od każdego pracownika bez związku z konkretnym uprawnieniem.
Odmowa podania danych – jakie są konsekwencje?
Konsekwencje odmowy zależą od statusu: pracodawca może odrzucić aplikację kandydata odmawiającego danych z art. 221 § 1 k.p., natomiast pracownikowi grozi upomnienie, nagana lub zwolnienie w razie odmowy podania danych wymaganych zgodnie z art. 221 § 3 k.p. Odmowa podania danych nadmiarowych nie rodzi żadnych skutków prawnych.
Jeżeli kandydat nie poda danych niezbędnych do przeprowadzenia rekrutacji lub oceny spełnienia wymagań na stanowisku, pracodawca może uznać, że nie ma podstaw do dalszego procedowania kandydatury. Z kolei pracownik, który odmawia podania danych koniecznych do realizacji obowiązków pracodawcy, może narazić firmę na naruszenie przepisów, np. brak możliwości terminowego zgłoszenia pracownika do ubezpieczeń w ZUS.
Inaczej należy ocenić odmowę odpowiedzi na pytania wykraczające poza ustawowy zakres. Pracodawca nie powinien wyciągać negatywnych konsekwencji wobec osoby, która odmawia podania danych, których żądać nie wolno.
Podanie fałszywych danych – skutki dla kandydata i pracownika
Podanie fałszywych danych wymaganych prawem grozi unieważnieniem umowy z kandydatem na podstawie przepisów Kodeksu cywilnego o wadach oświadczenia woli, w tym art. 84 k.c., lub dyscyplinarnym zwolnieniem pracownika na podstawie art. 52 § 1 pkt 1 k.p. Kłamstwo w odpowiedzi na nielegalne pytania pracodawcy nie wywołuje negatywnych skutków prawnych.
W przypadku pracownika znaczenie ma zwłaszcza to, czy nieprawdziwe informacje dotyczyły danych istotnych dla zatrudnienia, uprawnień lub zaufania koniecznego na danym stanowisku. Jeżeli w następstwie takiego działania dochodzi do ciężkiego naruszenia podstawowych obowiązków pracowniczych, a w przypadku spełnienia przesłanek z art. 52 k.p. (np. ciężkiego naruszenia zaufania lub utraty uprawnień koniecznych na danym stanowisku) możliwe jest rozwiązanie umowy bez wypowiedzenia.
Jak pracodawca powinien przetwarzać dane osobowe pracownika?
Samo pozyskanie danych zgodnie z Kodeksem pracy nie wyczerpuje obowiązków pracodawcy. Jako administrator danych musi on zapewnić zgodne z RODO przetwarzanie danych, a więc:
- określić podstawę i cel przetwarzania danych,
- ograniczyć zakres danych do niezbędnego minimum,
- zapewnić prawidłowość i aktualność danych,
- ustalić okres przechowywania wynikający z przepisów lub celu przetwarzania,
- wdrożyć odpowiednie środki techniczne i organizacyjne,
- uregulować dostęp do danych w aktach osobowych i systemach kadrowych,
- spełnić obowiązek informacyjny wobec kandydata i pracownika.
W większych organizacjach warto też ocenić, czy skala i charakter przetwarzania uzasadniają wsparcie inspektora ochrony danych, zwłaszcza gdy dane pracownicze są łączone z monitoringiem, systemami kontroli dostępu lub rozbudowanymi narzędziami HR.
Najczęstsze błędy pracodawców
- żądanie pełnego adresu zamieszkania już na etapie CV, bez podstawy z art. 221 § 1 k.p.,
- pytanie o stan cywilny, liczbę dzieci lub plany rodzicielskie bez związku z prawem pracy,
- gromadzenie kopii dokumentów tożsamości bez wyraźnej podstawy prawnej,
- pozyskiwanie nadmiarowych danych kontaktowych, choć wystarczy jeden skuteczny kanał komunikacji,
- przyjmowanie, że zgoda pracownika „legalizuje” każdy zakres danych,
- przetwarzanie danych szczególnej kategorii bez przesłanek z art. 9 RODO,
- brak rozróżnienia między danymi kandydata do pracy i pracownika.
FAQ
Czym są dane kontaktowe?
Dane kontaktowe to informacje umożliwiające skontaktowanie się z daną osobą, najczęściej numer telefonu lub adres e-mail. W rekrutacji kandydat sam wskazuje dane kontaktowe, które chce udostępnić pracodawcy.
Jakie są dane kontaktowe?
Najczęściej są to numer telefonu, adres e-mail, adres do korespondencji albo inny kanał komunikacji wskazany przez osobę, której dane dotyczą. W relacji pracowniczej pracodawca powinien korzystać tylko z takich danych kontaktowych, które są niezbędne do realizacji celu.
Co wpisać w dane kontaktowe?
Wystarczy podać takie informacje, które umożliwią kontakt w danej sprawie. W CV zazwyczaj wystarcza adres e-mail, numer telefonu albo oba te dane.
Jakie dane kontaktowe podać w CV?
Najbezpieczniej podać minimum potrzebne do kontaktu rekrutacyjnego, czyli zwykle imię i nazwisko, numer telefonu lub adres e-mail. Nie ma obowiązku wpisywania adresu zamieszkania, jeśli nie jest to wymagane na dalszym etapie procesu.
Czy pracodawca może żądać adresu zamieszkania od kandydata?
Co do zasady nie. Adres zamieszkania należy do danych, których pracodawca może żądać od pracownika po zatrudnieniu na podstawie art. 221 § 3 k.p., a nie od samego kandydata na etapie rekrutacji.
Czy pracodawca może żądać numeru PESEL w rekrutacji?
Co do zasady nie na początku rekrutacji. Numer PESEL staje się dopuszczalny po zatrudnieniu, gdy jest niezbędny do realizacji obowiązków pracodawcy jako podmiotu zatrudniającego.
Czy kandydat musi podać wszystkie dane w CV?
Nie. Kandydat powinien podać tylko dane, których pracodawca ma prawo żądać i które są niezbędne do oceny kandydatury. Podanie danych nadmiarowych jest ryzykowne, bo poszerza zakres przetwarzania bez potrzeby.
Czy pracodawca może pytać o dzieci, ciążę albo stan zdrowia?
Zasadniczo nie. Takie pytania zwykle dotyczą danych nadmiarowych albo danych szczególnej kategorii i bez wyraźnej podstawy prawnej naruszają Kodeks pracy oraz RODO.
