Czy pracodawca może przetwarzać dane kontaktowe pracownika? Pytanie niby banalne, a odpowiedź – niestety skomplikowana.
Zgodnie z art. 221§ 1 kodeksu pracy, pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:
1) imię (imiona) i nazwisko;
2) datę urodzenia;
3) dane kontaktowe wskazane przez taką osobę;
4) wykształcenie;
5) kwalifikacje zawodowe;
6) przebieg dotychczasowego zatrudnienia.
Następnie § 3 wskazanego artykułu stanowi, że pracodawca żąda od pracownika podania dodatkowo danych osobowych obejmujących:
1) adres zamieszkania;
2) numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość;
3) inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy;
4) wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie;
5) numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych.
I co z tego wynika? Wydawałoby się, że skoro od pracownika należy żądać wskazanych danych „dodatkowo”, to pracodawca ma prawo przetwarzać je wszystkie, tj. zarówno te zebrane od kandydata do pracy, jak i te zebrane od kandydata, który stał się następnie pracownikiem. Jednak nie jest tak prosto …
W skrócie – UODO, w stanowisku z sierpnia 2020 r. w przedmiocie wykorzystywania prywatnych numerów telefonów i maili pracowników, twierdzi, że na wykorzystanie prywatnego numeru telefonu lub prywatnego maila pracownika, nawet w celach pracowniczych/służbowych, potrzeba jest zgoda.
Zdaniem UODO, „kodeks pracy nie wskazuje zatem prywatnego adresu poczty elektronicznej i numeru prywatnego telefonu jako danych, których pracodawca ma prawo żądać od pracownika. W polskim systemie prawnym nie istnieje też żaden przepis, który zobowiązywałby osobę fizyczną do posiadania takich środków komunikacji. Dysponowanie adresem poczty elektronicznej i telefonem jest i powinno pozostać dobrowolne (…)”.
I dalej: “(…)Inna sytuacja powstaje wówczas, gdy zgodnie z art. 221 § 4 Kodeksu pracy pracodawca żąda podania innych danych osobowych pracownika niż określone w § 1 i 3 (jak m.in. imię, nazwisko, adres zamieszkania czy numer PESEL), gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przykładem takiej sytuacji może być przekazanie danych kontaktowych, np. prywatnego adresu e-mail i numeru prywatnego telefonu, w związku z obowiązkiem zawarcia umowy o prowadzenie Pracowniczych Planów Kapitałowych z wybraną instytucją finansową. Pracodawca ma bowiem obowiązek prawny przekazania danych osobowych m.in. w postaci adresu poczty elektronicznej i numeru telefonu od pracownika bez wyrażenia jego zgody do wybranej instytucji finansowej, o ile pracownik takie dane mu udostępni.”
Jednak art. 221 § 3 kp stanowi o tym, iż od pracownika już, czyli od osoby, która przeszła etap rekrutacji, a która na etapie rekrutacji przekazała swoje dane osobowe, pracodawca żąda podania dodatkowo danych osobowych wskazanych w przepisie. Bez tej regulacji, trzymając się sztywno, iż zakresy danych żądanych od kandydata są odrębne od zakresu danych żądanych od pracownika, doszlibyśmy do sytuacji, w której od pracownika pracodawca nie mógłby żądać podania np. imienia i nazwiska, bo nie został on wymieniony w katalogu danych z art. 221 § 3 kp.
Dobrze widać to także na przykładzie „wykształcenia”. Zgodnie z art. 221 § 3 pkt 4) kp, „(…)Pracodawca żąda od pracownika podania dodatkowo danych osobowych obejmujących: (…) wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie (…)“. Czyli pracodawca nie żąda podania tych danych ponownie – istniała podstawa do ich żądania na etapie rekrutacji od kandydata, a teraz pracodawca może je wykorzystać w celach związanych z realizacją obowiązków pracodawcy względem pracownika, a nie względem kandydata do pracy (i nie w celu rekrutacji).
Dane kontaktowe to adres zamieszkania kandydata, jego numer telefonu, czy adres email poczty elektronicznej. Oczywiście jeśli kandydat nie podał danych kontaktowych w postaci adresu email lub prywatnego numeru telefonu, wówczas pracodawca nimi nie dysponuje i nie ma prawa żądać ich podania (tylko na podstawie zgody). Jednak nie chodzi tu przecież o żądanie podania danych (rację ma UODO, twierdząc, że nikt nie ma obowiązku posiadania poczty elektronicznej), ale o uprawnienie do przetwarzania posiadanych już danych w celach służbowych, pod warunkiem np. realizacji obowiązku informacyjnego dla wskazanego celu, jakim jest kontakt z pracownikiem w związku z realizacją przez niego zadań służbowych.
W mojej ocenie, stanowisko UODO jest zatem niespójne (nie mówiąc już o tym, że nieprzystające zupełnie do realiów XXI wieku i stosowanych obecnie form kontaktu), ale jest.
Co wynika z powyższego? Ano wynika, że żeby móc skontaktować się pracownikiem na jego prywatny numer telefonu (lub e-mail), pracodawca musi mieć zgodę pracownika. Zgodnie z wytycznymi UODO, taka zgoda ma być pisemna i określać zasady kontaktu. UODO wskazuje także, że „możliwość nawiązywania przez pracodawcę kontaktów z pracownikiem po godzinach pracy powinna być ograniczona jedynie do sytuacji, w której zachodziłyby szczególne warunki uzasadniające takie działanie.”
Należy też pamiętać, że pracownik ma prawo w dowolnym momencie wycofać udzieloną zgodę, a pracodawca ma wówczas obowiązek zaprzestać przetwarzania danych wykorzystywanych na podstawie tej przesłanki.