Ten artykuł wyjaśnia, jakie zasady RODO obowiązują w kadrach, jak zorganizować akta osobowe, jak długo je przechowywać i co zrobić, by uniknąć najpoważniejszych błędów.
Dlaczego RODO dotyczy każdego pracodawcy?
Pracodawca jest administratorem danych osobowych swoich pracowników w rozumieniu art. 4 pkt 7 RODO. Oznacza to, że ponosi pełną odpowiedzialność za sposób, w jaki te dane są zbierane, przechowywane, udostępniane i usuwane.
RODO nakłada konkretne obowiązki: przetwarzanie danych musi odbywać się na podstawie wyraźnej przesłanki prawnej, musi być ograniczone do minimum niezbędnego celu i musi być odpowiednio zabezpieczone. Brak spełnienia tych wymogów to nie kwestia formalności - UODO nałożył już na polskich pracodawców kary finansowe za naruszenia w obszarze danych pracowniczych.
Kiedy przetwarzanie danych kadrowych jest zgodne z prawem?
Podstawy prawne przetwarzania danych pracowników wynikają przede wszystkim z:
- art. 6 ust. 1 lit. c RODO - obowiązek prawny (np. przechowywanie akt wymagane przez Kodeks pracy),
- art. 6 ust. 1 lit. b RODO - wykonanie umowy o pracę,
- art. 9 ust. 2 lit. b RODO - dane szczególnej kategorii (np. orzeczenia o niepełnosprawności) przetwarzane w związku z obowiązkami prawa pracy.
Zgoda pracownika jest podstawą wyjątkową i ryzykowną – ze względu na nierównowagę sił między pracodawcą a pracownikiem, UODO zaleca opieranie się na niej jedynie tam, gdzie nie istnieje inna podstawa.
Akta osobowe - struktura i zawartość zgodna z RODO
Rozporządzenie Ministra Rodziny, Pracy i Polityki Społecznej z 10 grudnia 2018 r. (Dz.U. 2018 poz. 2369) precyzuje, jak prowadzić akta osobowe. Obowiązuje pięcioczęściowa struktura.
Część A, B, C, D, E – co trafia gdzie?
| Część | Zawartość |
|---|---|
| A | Dokumenty zgromadzone przed nawiązaniem stosunku pracy (np. kwestionariusz osobowy, świadectwa pracy z poprzednich miejsc, orzeczenia lekarskie) |
| B | Dokumenty dotyczące nawiązania i trwania stosunku pracy (umowa o pracę, zakres obowiązków, szkolenia BHP, oceny okresowe) |
| C | Dokumenty związane z rozwiązaniem lub wygaśnięciem umowy (wypowiedzenie, świadectwo pracy, oświadczenia stron) |
| D | Odpisy zawiadomień o ukaraniu i dokumenty dotyczące kar porządkowych (usuwane po zatarciu kary) |
| E | Dokumenty dotyczące kontroli trzeźwości lub obecności w organizmie substancji działających podobnie do alkoholu (od 2023 r.) |
Każdy dokument musi trafić do właściwej części. Umieszczenie np. orzeczenia o niepełnosprawności w niewłaściwym miejscu lub przechowywanie go dłużej niż jest to konieczne stanowi naruszenie zasady minimalizacji danych (art. 5 ust. 1 lit. c RODO).
Jakich danych NIE wolno gromadzić?
Kodeks pracy po nowelizacji z 2019 r. wyraźnie zakazuje żądania od kandydatów i pracowników danych takich jak:
- informacje o przynależności związkowej,
- dane dotyczące poglądów politycznych lub religijnych,
- informacje o karalności – poza wyjątkami przewidzianymi przepisami szczególnymi,
- numer PESEL małoletnich dzieci (z wyjątkiem korzystania z ulg podatkowych, gdzie pracownik sam je dostarcza dobrowolnie).
Gromadzenie tych danych bez podstawy prawnej to naruszenie RODO.
Jak długo przechowywać dokumentację pracowniczą?
Okres przechowywania dokumentacji pracowniczej to jeden z obszarów, który zmienił się istotnie od 1 stycznia 2019 r.
Okresy archiwizacji po zmianach z 2019 roku
10 lat - tyle wynosi podstawowy okres przechowywania akt osobowych i dokumentacji płacowej dla pracowników zatrudnionych po 1 stycznia 2019 r. Termin liczy się od końca roku kalendarzowego, w którym stosunek pracy ustał.
50 lat - obowiązuje dla pracowników zatrudnionych do 31 grudnia 1998 r. Akt tych nie można skrócić, ponieważ są potrzebne do ustalenia świadczeń emerytalnych przez ZUS.
Okres przejściowy (1999–2018): pracodawca może skrócić okres do 10 lat, jeśli złoży do ZUS raport informacyjny (ZUS RIA) za każdego pracownika. Jeśli tego nie zrobi – obowiązuje okres 50 lat.
Praktyczna wskazówka: Jeśli Twoja firma zatrudnia lub zatrudniała pracowników przed 2019 r. i jeszcze nie złożyła raportów ZUS RIA, warto przeanalizować, czy skrócenie okresu przechowywania jest dla Ciebie korzystne. Eliminuje to koszty archiwizacji, ale wymaga jednorazowego wysiłku administracyjnego.
Co zrobić z aktami po upływie terminu?
Po upływie okresu przechowywania dokumentacja musi zostać zniszczona w sposób uniemożliwiający odczytanie danych (art. 5 ust. 1 lit. e RODO - zasada ograniczenia przechowywania). W praktyce oznacza to:
- dla dokumentów papierowych: niszczarka (klasa DIN 66399 P-4 lub wyższa) lub firmowy serwis niszczenia dokumentów,
- dla danych elektronicznych: trwałe usunięcie z nośników, w tym backupów.
Samo przeniesienie akt do piwnicy „na wszelki wypadek" to naruszenie RODO.
Techniczne i organizacyjne środki ochrony akt
Samo posiadanie poprawnie ułożonych akt nie wystarczy. RODO wymaga wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 32 RODO).
Dokumentacja papierowa a elektroniczna
Akta papierowe powinny być przechowywane w:
- zamykanych szafach lub pomieszczeniach z ograniczonym dostępem,
- miejscach chronionych przed pożarem i zalaniem,
- z rejestrem osób upoważnionych do dostępu.
Elektroniczne akta osobowe (dopuszczone od 1 stycznia 2019 r.) wymagają:
- systemu teleinformatycznego zapewniającego integralność, autentyczność i kompletność dokumentów,
- możliwości wydruku w postaci papierowej,
- regularnych kopii zapasowych,
- szyfrowania danych wrażliwych.
Prowadzenie akt wyłącznie w formie skanu zapisanego w niezabezpieczonym folderze na dysku komputera nie spełnia wymogów ani Kodeksu pracy, ani RODO.
Upoważnienia, RCP i polityka bezpieczeństwa
Każda osoba, która ma dostęp do akt osobowych (kadrowa, księgowa, właściciel), powinna posiadać pisemne upoważnienie do przetwarzania danych osobowych wystawione przez administratora.
Pracodawca jest zobowiązany prowadzić Rejestr Czynności Przetwarzania (RCP), w którym operacja kadrowa (np. „prowadzenie akt osobowych pracowników") powinna być odrębnie opisana z podaniem:
- celu przetwarzania,
- kategorii danych,
- odbiorców,
- okresu przechowywania,
- środków bezpieczeństwa.
Najczęstsze błędy i jak ich unikać
Na podstawie praktyki i decyzji UODO, właściciele firm najczęściej popełniają następujące błędy w obszarze RODO w kadrach:
1. Przechowywanie danych zbyt długo Trzymanie akt pracowników, którzy odeszli 15 lat temu, bez sprawdzenia, czy minął wymagany okres - to najczęstszy błąd w małych firmach.
2. Brak klauzuli informacyjnej dla pracownika Art. 13 RODO zobowiązuje pracodawcę do przekazania pracownikowi informacji o przetwarzaniu danych (tzw. klauzula informacyjna RODO) najpóźniej w chwili zatrudnienia.
3. Gromadzenie danych „na zapas" Zbieranie kopii dowodów osobistych, numerów kont bankowych dzieci czy danych biometrycznych bez wyraźnej podstawy prawnej.
4. Brak upoważnień dla pracowników kadr Osoba prowadząca akta bez pisemnego upoważnienia przetwarza dane bez podstawy organizacyjnej – co może skutkować odpowiedzialnością zarówno pracodawcy, jak i samego pracownika.
5. Nieaktualna polityka bezpieczeństwa Dokumentacja RODO napisana raz w 2018 r. i nieaktualizowana od tamtej pory często nie odzwierciedla rzeczywistych procesów w firmie.
Podsumowanie - RODO w kadrach w praktyce
RODO w kadrach to nie jednorazowe wdrożenie, lecz stały proces zarządzania danymi pracowników. Trzy kluczowe obszary, na których warto skupić się jako właściciel firmy:
- Struktura akt - dokumenty w odpowiednich częściach A–E, bez danych zbędnych lub niedozwolonych.
- Okresy przechowywania - 10 lub 50 lat, zależnie od daty zatrudnienia; po terminie – obowiązkowe niszczenie.
- Zabezpieczenia - upoważnienia, RCP, fizyczna lub elektroniczna ochrona dostępu.
Jeśli nie masz pewności, czy Twoja dokumentacja kadrowa jest zgodna z RODO, zacznij od przeglądu akt pracowników, którzy odeszli w ciągu ostatnich 5 lat. To najczęstsze miejsce, gdzie ujawniają się zaległości. W razie wątpliwości warto skonsultować się z inspektorem ochrony danych (IOD) lub kancelarią specjalizującą się w prawie pracy.
