RODO a hr: jak przygotować wniosek albo oświadczenie?

Zarządzanie działem kadr i płac (HR) w każdej współczesnej firmie nierozerwalnie wiąże się z przetwarzaniem ogromnych ilości danych osobowych. Od momentu opublikowania ogłoszenia o pracę, przez cały okres zatrudnienia, aż po archiwizację akt osobowych po rozwiązaniu stosunku pracy – dane kandydatów i pracowników towarzyszą pracodawcom na każdym kroku. W tym kontekście kluczowe staje się przestrzeganie przepisów Ogólnego Rozporządzenia o Ochronie Danych (RODO). Prawidłowe przygotowanie dokumentacji, takiej jak wnioski pracowników czy oświadczenia o wyrażeniu zgody, stanowi fundament legalnego działania każdego przedsiębiorstwa. W niniejszej publikacji szczegółowo omówimy, jak podejść do tego tematu, na co zwrócić uwagę i jakich błędów unikać, aby nie narazić się na dotkliwe kary administracyjne nakładane przez organ nadzorczy.

Rola RODO w działach HR – dlaczego dokumentacja ma kluczowe znaczenie?

Działy HR są jednym z najbardziej wrażliwych obszarów w strukturze organizacyjnej firmy pod kątem ochrony danych osobowych. Przetwarzają one nie tylko podstawowe informacje, takie jak imię, nazwisko czy adres zamieszkania, ale również dane o wykształceniu, przebiegu kariery zawodowej, numerze PESEL, a w niektórych przypadkach także dane szczególnych kategorii (np. informacje o stanie zdrowia w ramach orzeczeń o niepełnosprawności czy zaświadczeń lekarskich). RODO nakłada na pracodawcę, jako administratora danych osobowych, szereg obowiązków, w tym zasadę rozliczalności. Oznacza to, że pracodawca musi być w stanie wykazać, że przetwarza dane zgodnie z prawem, rzetelnie i w sposób przejrzysty.

Właściwie skonstruowane wnioski i oświadczenia są kluczowym elementem realizacji tej zasady. Każdy dokument wpływający do działu HR lub stamtąd wychodzący musi mieć jasną podstawę prawną i precyzyjnie określony cel. Wszelkie niejasności mogą prowadzić do zarzutów o bezprawne przetwarzanie danych, co z kolei otwiera drogę do kontroli ze strony Urzędu Ochrony Danych Osobowych (UODO).

Wniosek pracownika lub kandydata – jak go przygotować i sformułować?

Pracownicy oraz kandydaci do pracy posiadają szereg uprawnień wynikających bezpośrednio z przepisów RODO. Aby z nich skorzystać, najczęściej muszą przedłożyć pracodawcy stosowny wniosek. Przygotowanie takiego dokumentu wymaga precyzji, aby administrator dokładnie wiedział, jakiego działania oczekuje wnioskodawca.

Rodzaje wniosków składanych przez osoby, których dane dotyczą

W praktyce kadrowej najczęściej spotyka się następujące rodzaje wniosków:

Wniosek o dostęp do danych (art. 15 RODO): Pracownik ma prawo uzyskać od pracodawcy potwierdzenie, czy przetwarzane są jego dane osobowe, a także otrzymać kopię tych danych oraz szczegółowe informacje o celach przetwarzania, kategoriach danych i planowanym okresie ich przechowywania.
Wniosek o sprostowanie danych (art. 16 RODO): Służy do niezwłocznego poprawienia nieprawidłowych danych lub uzupełnienia danych niekompletnych (np. po zmianie nazwiska lub adresu).
Wniosek o usunięcie danych, czyli "prawo do bycia zapomnianym" (art. 17 RODO): Pracownik może żądać usunięcia swoich danych, np. gdy wycofał zgodę na ich przetwarzanie, a nie ma innej podstawy prawnej do ich dalszego przechowywania. Należy jednak pamiętać, że pracodawca ma ustawowy obowiązek przechowywania akt osobowych, co ogranicza to prawo w trakcie i po zakończeniu zatrudnienia.
Wniosek o ograniczenie przetwarzania (art. 18 RODO): Stosowany np. w sytuacji, gdy pracownik kwestionuje prawidłowość danych i żąda wstrzymania ich przetwarzania do czasu wyjaśnienia sprawy.

Elementy formalne prawidłowego wniosku

Choć RODO nie narzuca sztywnego formularza, wniosek składany przez pracownika lub kandydata powinien zawierać określone elementy, które umożliwią jego sprawną i bezpieczną realizację. Do najważniejszych należą:

Dane identyfikacyjne wnioskodawcy: Imię, nazwisko, stanowisko (w przypadku pracownika) lub dane kontaktowe (w przypadku kandydata). Jest to niezbędne do jednoznacznego potwierdzenia tożsamości osoby składającej wniosek.
Jasno określone żądanie: Wskazanie, z którego prawa wynikającego z RODO wnioskodawca chce skorzystać (np. żądanie wydania kopii danych, sprostowania numeru telefonu).
Uzasadnienie (opcjonalnie): W niektórych przypadkach, np. przy sprzeciwie wobec przetwarzania, uzasadnienie jest wymagane przepisami prawa.
Podpis i data: Dokument powinien być podpisany własnoręcznie lub kwalifikowanym podpisem elektronicznym, co minimalizuje ryzyko podszywania się pod inną osobę.

Oświadczenia w procesach HR – zgody, upoważnienia i obowiązki informacyjne

Oświadczenia w relacjach HR-RODO najczęściej funkcjonują w dwóch kierunkach: jako oświadczenia woli składane przez kandydatów/pracowników (np. zgoda na przetwarzanie danych) oraz jako oświadczenia wiedzy przekazywane przez pracodawcę (np. spełnienie obowiązku informacyjnego).

Zgoda na przetwarzanie danych osobowych w rekrutacji

Zgoda jest jedną z najpowszechniejszych podstaw prawnych przetwarzania danych, jednak w prawie pracy jej rola jest specyficzna. Zgodnie z Kodeksem pracy, pracodawca może żądać od kandydata określonych danych (np. wykształcenia, przebiegu zatrudnienia) na mocy przepisów prawa. Zgoda kandydata jest potrzebna tylko wtedy, gdy przekazuje on dane wykraczające poza ten katalog (np. swoje zdjęcie w CV lub referencje od poprzedniego pracodawcy).

Prawidłowo sformułowane oświadczenie o wyrażeniu zgody musi być:

Dobrowolne: Brak zgody nie może skutkować niekorzystnym traktowaniem kandydata ani odmową udziału w rekrutacji (o ile dane nie są niezbędne do pracy).
Konkretne i świadome: Musi jasno określać, na co kandydat się zgadza (np. udział w obecnej rekrutacji lub także w przyszłych procesach rekrutacyjnych).
Jednoznaczne: Powinno mieć formę wyraźnego działania przyzwalającego (np. zaznaczenie checkboxa lub podpisanie klauzuli).
Łatwe do wycofania: Osoba musi zostać poinformowana, że może wycofać zgodę w każdym momencie, a wycofanie to nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed wycofaniem.

Oświadczenie o zapoznaniu się z klauzulą informacyjną

Pracodawca ma obowiązek dostarczyć kandydatowi lub pracownikowi tzw. klauzulę informacyjną (zgodnie z art. 13 RODO) w momencie zbierania danych. Dobrą praktyką jest odebranie od pracownika pisemnego oświadczenia o zapoznaniu się z tą informacją. Dokument ten powinien zawierać dane administratora, cele i podstawy prawne przetwarzania, okres przechowywania danych, informacje o odbiorcach danych oraz o przysługujących prawach.

Upoważnienia do przetwarzania danych dla pracowników HR

Należy pamiętać, że nie każdy pracownik firmy może mieć swobodny dostęp do danych osobowych swoich kolegów czy kandydatów do pracy. Dostęp taki powinien być ściśle ograniczony wyłącznie do osób, które realizują zadania związane z zarządzaniem personelem, rekrutacją czy rozliczeniami płacowymi. Zgodnie z art. 29 RODO, każda osoba działająca z upoważnienia administratora, która ma dostęp do danych osobowych, może je przetwarzać wyłącznie na jego polecenie. W praktyce oznacza to, że każdy pracownik działu HR, przed przystąpieniem do wykonywania swoich obowiązków, musi otrzymać pisemne upoważnienie do przetwarzania danych osobowych. Upoważnienie to powinno precyzyjnie określać zakres danych (np. dane zwykłe, dane szczególnych kategorii) oraz operacje, jakie dany pracownik może na nich wykonywać.

Jak bezpiecznie przechowywać dokumentację RODO w HR?

Bezpieczeństwo dokumentacji to kolejny kluczowy aspekt. Wnioski i oświadczenia mogą być składane zarówno w formie papierowej, jak i elektronicznej. W przypadku dokumentów papierowych, szafy z aktami osobowymi oraz wnioskami powinny być zamykane na klucz, a dostęp do nich powinny mieć wyłącznie osoby upoważnione. W przypadku systemów elektronicznych (np. programów kadrowo-płacowych czy platform ATS do rekrutacji), kluczowe jest stosowanie silnych haseł, dwuskładnikowego uwierzytelniania oraz regularne nadawanie i odbieranie uprawnień dostępowych. Każda próba nieautoryzowanego dostępu powinna być rejestrowana przez system informatyczny.

Rola Inspektora Ochrony Danych (IOD) w procesach kadrowych

W wielu organizacjach powoływany jest Inspektor Ochrony Danych (IOD). Jest to osoba posiadająca specjalistyczną wiedzę z zakresu ochrony danych, której zadaniem jest wspieranie administratora w zapewnieniu zgodności z RODO. Dział HR powinien ściśle współpracować z IOD. To właśnie z Inspektorem należy konsultować wzory nowych oświadczeń, klauzul informacyjnych czy niestandardowych wniosków pracowników. W przypadku wystąpienia naruszenia ochrony danych (np. wysłania paska płacowego do niewłaściwego adresata), IOD pomoże w przeprowadzeniu analizy ryzyka i ewentualnym zgłoszeniu incydentu do organu nadzorczego w wymaganym terminie 72 godzin.

Obowiązki pracodawcy i terminy realizacji żądań

Wpłynięcie wniosku od pracownika uruchamia po stronie pracodawcy procedurę, która musi być ściśle monitorowana pod kątem zgodności z przepisami.

Termin na odpowiedź – ile czasu ma dział HR?

Zgodnie z art. 12 ust. 3 RODO, administrator ma obowiązek udzielić odpowiedzi na wniosek osoby, której dane dotyczą, bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. Jest to termin nieprzekraczalny w standardowych sytuacjach. W przypadku spraw skomplikowanych lub dużej liczby wniosków, termin ten może zostać przedłużony o kolejne dwa miesiące. Pracodawca musi jednak poinformować wnioskodawcę o takim przedłużeniu w ciągu pierwszego miesiąca, podając przyczyny opóźnienia.

Rola Prezesa Urzędu Ochrony Danych Osobowych (UODO) jako organu nadzorczego

Jeśli pracodawca zignoruje wniosek, nie dotrzyma terminu lub bezpodstawnie odmówi realizacji żądania, pracownik ma prawo złożyć skargę do organu nadzorczego – Prezesa UODO. Organ ten posiada szerokie uprawnienia kontrolne i może nałożyć na pracodawcę administracyjne kary pieniężne, a także nakazać dostosowanie operacji przetwarzania do przepisów prawa. Dla wizerunku firmy oraz jej stabilności finansowej spór przed UODO jest zawsze scenariuszem wysoce niepożądanym.

Najczęstsze błędy przy sporządzaniu wniosków i oświadczeń

Analiza praktyki rynkowej pokazuje, że działy kadr popełniają wiele powtarzających się błędów. Do najpoważniejszych należą:

Wymuszanie zgody: Umieszczanie w kwestionariuszach osobowych klauzul zgody na przetwarzanie danych, które pracodawca i tak przetwarza na podstawie przepisów Kodeksu pracy (np. numer PESEL).
Brak procedury weryfikacji tożsamości: Realizowanie wniosków o udostępnienie danych (np. wysyłanie kopii akt osobowych mailowo) bez uprzedniego upewnienia się, czy wnioskodawca jest rzeczywiście tą osobą, za którą się podaje. Może to doprowadzić do poważnego wycieku danych.
Niejasne klauzule informacyjne: Stosowanie zbyt skomplikowanego, prawniczego języka, który jest niezrozumiały dla przeciętnego pracownika, co narusza zasadę przejrzystości.
Przekraczanie terminów: Brak wewnętrznego rejestru wniosków RODO, co skutkuje przeoczeniem miesięcznego terminu na udzielenie odpowiedzi.

Praktyczny przykład – krok po kroku

Wyobraźmy sobie sytuację, w której były pracownik, pan Jan Kowalski, składa do działu HR wniosek o usunięcie jego danych osobowych (prawo do bycia zapomnianym) po zakończeniu pracy. Jak powinien postąpić dział HR?

Krok 1: Weryfikacja tożsamości i rejestracja wniosku. Pracownik HR sprawdza, czy wniosek pochodzi od pana Jana Kowalskiego (np. poprzez porównanie podpisu lub weryfikację adresu e-mail, jeśli wniosek wpłynął elektronicznie). Wniosek zostaje wpisany do wewnętrznego rejestru z odnotowaniem daty wpływu.
Krok 2: Analiza prawna żądania. HR analizuje, które dane pana Jana mogą zostać usunięte. Zgodnie z polskim prawem pracy, pracodawca ma obowiązek przechowywać akta osobowe byłego pracownika przez okres 10 lub 50 lat (w zależności od daty zatrudnienia). W związku z tym żądanie usunięcia danych z akt osobowych jest bezprzedmiotowe i nie może zostać spełnione. Jednakże, jeśli pracodawca przetwarzał dane pana Jana w celach marketingowych (np. zdjęcia na stronie internetowej firmy) na podstawie zgody, te dane muszą zostać niezwłocznie usunięte.
Krok 3: Przygotowanie i wysłanie odpowiedzi. W terminie miesiąca od otrzymania wniosku, HR wysyła do pana Jana oficjalne pismo. Wyjaśnia w nim, które dane zostały usunięte (np. wizerunek ze strony www), a w odniesieniu do których danych (akta osobowe) odmówiono usunięcia, wskazując konkretną podstawę prawną (obowiązek archiwizacyjny wynikający z przepisów prawa pracy i ubezpieczeń społecznych).

Podsumowanie – jak zapewnić zgodność z prawem w codziennej pracy HR

Obszar RODO a HR wymaga stałej czujności i systematyczności. Kluczem do uniknięcia problemów prawnych jest opracowanie jasnych procedur wewnętrznych, przeszkolenie pracowników działu kadr oraz przygotowanie szablonów dokumentów, które będą łatwe w użyciu, a zarazem w pełni zgodne z literą prawa. Każdy wniosek pracownika powinien być traktowany priorytetowo, a każde oświadczenie dokładnie analizowane pod kątem jego dobrowolności i celu. Troska o bezpieczeństwo danych osobowych to nie tylko unikanie kar od UODO, ale przede wszystkim budowanie profesjonalnego wizerunku pracodawcy, który szanuje prywatność swoich kadr.