Dane osobowe to każda informacja, która jednoznacznie pozwala zidentyfikować konkretnego człowieka. Pracodawca nie może pobierać od pracownika dowolnych danych, a tylko te, które zostały wyszczególnione w art. 221 Kodeksu pracy. Są to:

  • imię i nazwisko,
  • imiona rodziców,
  • data urodzenia,
  • miejsce zamieszkania (adres do korespondencji),
  • wykształcenie,
  • przebieg dotychczasowego zatrudnienia,
  • inne dane konieczne dla korzystania przez zatrudnionego ze szczególnych uprawnień rodzicielskich,
  • numer PESEL.

Gromadzenie innych danych jest dopuszczalne tylko, gdy pozwalają na to szczególne przepisy. W szczególności w przypadku danych wrażliwych (a takimi danymi są między innymi dane dotyczące stanu zdrowia) trzeba mieć ważną podstawę ich przetwarzania, tj. spełniać jedną z przesłanek z art. 27 ust. 2 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity z 2016r. poz. 922). W przypadku ewidencji czasu pracy przesłanka ta się spełni gdy przetwarzanie jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie (art. 27 ust. 2 pkt 6 ustawy).

Przetwarzanie danych wrażliwych pracownika w postaci informacji o jego stanie zdrowia (a taką informacją jest informacja, że pracownik znajduje się na „chorobowym”) znajduje uzasadnienie w przepisach prawa pracy dotyczących usprawiedliwiania nieobecności w pracy oraz rozwiązania umowy bez wypowiedzenia bez winy pracownika w przypadku niezdolności pracownika do pracy wskutek choroby. Nie ma jednak uzasadnienia przekazywanie danych wrażliwych innym pracownikom. Wynika to m.in. z ugruntowanego w orzecznictwie krajowym i europejskim stanowiska, zgodnie z którym, sposób potwierdzania obecności w pracy nie powinna wskazywać na przyczynę nieobecności.

Artykuł 2 lit. a) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób, że ewidencja czasu pracy, taka jak ta, której dotyczy postępowanie główne, zawierająca w odniesieniu do każdego pracownika wskazanie godzin rozpoczęcia i zakończenia pracy, jak również odnośnych przerw lub odpoczynków, wchodzi w zakres pojęcia "danych osobowych" w rozumieniu tego przepisu. Zgodnie z art. 2 dyrektywy 95/46 "dane osobowe" oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (osoby, której dotyczą dane), przy czym osoba możliwa do zidentyfikowania to taka osoba, która może zostać zidentyfikowana bezpośrednio lub pośrednio, w szczególności na podstawie numeru identyfikacyjnego lub co najmniej jednej cechy szczególnej związanej z jej tożsamością fizyczną, fizjologiczną, psychiczną, ekonomiczną, kulturową czy społeczną.” (Wyrok Trybunału Sprawiedliwości Unii Europejskiej z dnia 30 maja 2013 roku, sygn. akt C-342/12, www.curia.europa.eu)

Podkreślenia wymaga, że od ewidencji czasu pracy należy odróżnić listy obecności, rejestry wyjść i inne urządzenia służące kontrolowaniu procesu pracy. Listy obecności nie mogą zastąpić kart ewidencji czasu pracy. Potwierdzanie podpisem obecności w pracy może być tylko dowodem na obecność pracownika w miejscu pracy, natomiast nie stanowi ewidencji czasu pracy.

Ochroną danych osobowych objęta jest również lista obecności pracowników. Przepisy prawa pracy nie obligują pracodawcy do prowadzenia takiej  listy. Sposób potwierdzania przez pracowników przybycia i obecności w pracy oraz usprawiedliwiania nieobecności w pracy wybiera pracodawca. Nie jest to jednak wybór dowolny. Jak wynika z utrwalonego stanowiska GIODO,  pracodawca nie ma prawa  skanowania linii papilarnych pracowników, oraz pobierania od nich danych biometrycznych w celu rejestracji godzin ich przyjścia i wyjścia z zakładu pracy nawet za zgodą każdego pracownika.

Lista obecności nie służy analogicznemu celowi jak ewidencja czasu pracy. Karta ewidencyjna, prowadzona jest przez osoby odpowiedzialne za sprawy kadrowe, jest dokumentacją dotyczącą danego pracownika i dostęp do niej mogą mieć wyłącznie pracownicy kadr, sam zainteresowany pracownik i osoba reprezentująca pracodawcę.  Nieuzasadnione jest więc ujawnianie w treści listy obecności informacji, dlaczego dany pracownik jest konkretnego dnia nieobecny. Narusza to zasadę adekwatności, zgodnie z którą administrator danych osobowych powinien przetwarzać jedynie niezbędne dane osobowe zgodnie z celem, dla którego są zbierane.

Dobromiła Tenerowicz-Grądzka

radca prawny