Dane pracowników w systemie HR: RODO i zasady dostępu

Jakie dane pracowników trafiają do systemu HR i dlaczego podlegają RODO

Obowiązki z RODO w HR zaczynają się już na etapie rekrutacji, a nie w dniu podpisania umowy. Przetwarzanie obejmuje cały okres zatrudnienia, niekiedy trwa też po zakończeniu współpracy. W systemie HR współistnieją zwykle trzy zbiory: dane kandydatów, aktualnych pracowników i byłych pracowników. Każdy ma inny cel i inny okres przechowywania.

Dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. W systemie HR obejmują m.in. imię i nazwisko, numer identyfikacyjny, dane o lokalizacji i identyfikator internetowy, jeśli pozwalają zidentyfikować pracownika.

Najczęściej przetwarza się dane identyfikacyjne, kontaktowe, adresy zamieszkania, wykształcenie i przebieg zatrudnienia. Do zbioru trafiają też dane szczególnych kategorii: orzeczenia lekarskie oraz dane o dzieciach pracownika przy uprawnieniach rodzicielskich. Ochrona obejmuje zdrowie, życie zawodowe i informacje finansowe, dlatego moduł kadrowo-płacowy wymaga innych zabezpieczeń niż ewidencja szkoleń.

Pracodawca przetwarzający te dane jest administratorem i odpowiada za zgodność z RODO oraz ustawą z 24 maja 2018 r. o ochronie danych osobowych (Dz. U. poz. 1000). Dane można gromadzić i wykorzystywać wyłącznie do celów związanych z zatrudnieniem, np. dokumentacji kadrowej, rozliczeń finansowych i organizacji pracy. Pole w systemie, które nie służy żadnemu z tych celów, oznacza przetwarzanie bez uzasadnionego celu.

Podstawy przetwarzania i obowiązek informacyjny wobec pracowników

Większość danych kadrowych przetwarza się na podstawie obowiązku z przepisów prawa pracy. Pracodawca nie potrzebuje wtedy zgody pracownika, ale nie może wykraczać poza zakres wyznaczony tym obowiązkiem. Zgoda jest właściwą podstawą tylko wtedy, gdy przepisy jej wymagają lub na nią pozwalają – np. dla wizerunku albo danych wrażliwych. Musi być dobrowolna i jednoznaczna; nie może być warunkiem zatrudnienia.

Dla każdej kategorii danych w systemie HR trzeba wskazać podstawę prawną. Jeśli podstawą jest zgoda, system musi umożliwiać jej wycofanie i obsłużyć skutki, np. usunięcie zdjęcia z intranetu. Gdy działa obowiązek ustawowy, dodatkowa zgoda jest zbędna i może wprowadzać pracownika w błąd co do zakresu jego praw.

Pracodawca musi przekazać pracownikom klauzulę informacyjną: cele, zakres, czas przechowywania danych i prawa związane z przetwarzaniem. Informacja, że pracodawca jest administratorem danych osobowych, znajduje się w klauzuli przekazywanej w momencie zbierania danych (motyw 39 i 61 preambuły RODO). Klauzula ma być jasna i zrozumiała, a nie tworzona wyłącznie na potrzeby audytu; wręcza się ją przy zatrudnieniu i udostępnia także kandydatom.

Porównanie podstaw przetwarzania danych w systemie HR: obowiązek ustawowy vs. zgoda

Zasady dostępu do danych w systemie HR: role, uprawnienia i minimalizacja

Dostęp do danych pracowniczych ogranicz do niezbędnego zakresu, a uprawnienia regularnie monitoruj. Minimalizacja obejmuje dwie warstwy: dokumentację pracowniczą (akta osobowe, dokumentację płacową) oraz systemy informatyczne, w których dane są przechowywane i przetwarzane.

Model ról oprzyj na funkcji, nie na osobie. Kadry i płace potrzebują pełnego zakresu danych pracownika, przełożony – danych niezbędnych do organizacji pracy, a dział IT – dostępu administracyjnego bez wglądu w treść rekordów, jeśli nie jest on konieczny do usuwania awarii.

Dane szczególnych kategorii – orzeczenia lekarskie i informacje o dzieciach przy uprawnieniach rodzicielskich – wydziel. Nie mogą trafiać do widoków zbiorczych ani eksportów dla przełożonych.

Administrator – podmiot ustalający cele i sposoby przetwarzania – musi ograniczać zakres danych pobieranych od kandydata; te same zasady dotyczą danych zbieranych w trakcie zatrudnienia.

Kontrolę zapewniają imienne nadawanie uprawnień wynikających z roli, okresowe przeglądy dostępów (przy zmianie stanowiska, odejściu pracownika, zmianie systemu) oraz logi dostępu do rekordów.

Opisz model w macierzy uprawnień: dla każdej roli wskaż moduły HR, kategorie danych i dozwolone czynności, takie jak podgląd, edycja czy eksport. Zatwierdzaj w niej nadawanie, zmianę i odbieranie dostępów, a podczas przeglądów porównuj zapisy z uprawnieniami w systemie.

Bez przeglądów uprawnienia narastają: były przełożony zachowuje wgląd w dane zespołu, a działy poboczne widzą całe akta osobowe.

Zalety i ryzyka stosowania wspólnych kont do dostępu do systemu HR

Środki techniczne i organizacyjne: hasła, szyfrowanie, szkolenia

Zabezpieczenia dzielą się na techniczne i organizacyjne. Techniczne to polityki haseł i szyfrowanie plików. Organizacyjne to ograniczony dostęp do dokumentacji pracowniczej, regularne szkolenia z ochrony danych i monitorowanie uprawnień dostępu do systemów informatycznych.

Celem jest ochrona danych osobowych przed nieuprawnionym dostępem, utratą lub uszkodzeniem. RODO nie narzuca jednego gotowego zestawu zabezpieczeń – administrator wybiera środki, ale musi ocenić, czy i w jakim zakresie informacje o pracownikach mogą zostać ujawnione, oraz dobrać zabezpieczenia adekwatnie do ryzyka.

W systemie HR skutki incydentu najbardziej ograniczają: szyfrowanie kopii zapasowych i plików eksportowanych z systemu, blokowanie masowego eksportu, indywidualne konta zamiast współdzielonych, wymuszanie zmiany hasła i wygaszanie dostępu w dniu zakończenia współpracy. Szkolenia obejmij nie tylko kadry i płace, ale też przełożonych, którzy na co dzień przeglądają dane członków zespołu.

Prawa pracowników w systemie HR: wgląd, sprostowanie, usunięcie, ograniczenie

Pracownik może korzystać z praw z RODO, zwłaszcza ze wglądu w swoje dane, ich sprostowania, usunięcia i ograniczenia przetwarzania. Dla HR każde z tych praw oznacza konkretną procedurę i działanie w systemie, nie tylko zapis w polityce.

Wgląd wymaga zebrania i wydania wszystkich danych danej osoby – także z rekrutacji, okresu zatrudnienia i okresu po jego zakończeniu, z modułu płacowego i ewidencji pomocniczych. Sprostowanie obejmuje akta osobowe i rekord w systemie: dane identyfikacyjne, adresowe, wykształcenie i przebieg zatrudnienia.

Żądań usunięcia i ograniczenia przetwarzania nie rozpatruj automatycznie. Jeśli dane są niezbędne do obrony przed roszczeniami, pracodawca może je przechowywać na podstawie art. 6 ust. 1 lit. f RODO. W odpowiedzi na wniosek powinien to wyjaśnić, wskazując rodzaj danych i okres, którego dotyczy.

Obsługę wniosków prowadź w jednym miejscu (kadry lub wyznaczony e-mail): weryfikuj tożsamość, rejestruj wniosek i odpowiedź, a odbiorców danych informuj o sprostowaniu lub usunięciu, gdy to możliwe. Kopię całości lub części dokumentacji pracowniczej wskazanej we wniosku pracodawca wydaje nie później niż w terminie 30 dni od dnia otrzymania wniosku (Biznes.gov.pl). Pozostałe prawa rozpatruj w terminach z RODO.

Podstawowe prawa pracowników wynikające z RODO w kontekście systemu HR

Jak długo przechowywać dane w systemie HR i jak je usuwać

Zasada ograniczenia przechowywania pozwala trzymać dane osobowe nie dłużej, niż jest to niezbędne do celów, w których je zebrano. W HR rozdziel zbiory: dokumentację pracowniczą, dane byłych pracowników i dane kandydatów – każdy ma inny tytuł do dalszego przechowywania.

Dokumentacja pracownicza obejmuje akta osobowe i pozostałą dokumentację związaną ze stosunkiem pracy (gov.pl). Dla dokumentów objętych 10-letnim okresem licz go od końca roku kalendarzowego ustania stosunku pracy; jeśli pracodawca nie złożył raportu informacyjnego, akta osobowe przechowuje się 50 lat od ustania stosunku pracy (gov.pl). Szczegółowy zakres dokumentów opisują § 3 i § 6 rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej z 10 grudnia 2018 r. (Biznes.gov.pl).

Dane kandydatów: po wyroku NSA z 20 lutego 2024 r. (III OSK 2700/22) pracodawca może przechowywać je do 3 lat, jeśli służy to obronie przed roszczeniami. Nie każde CV trzeba usuwać zaraz po rekrutacji, ale gdy w procesie nie ma ryzyka sporu, brak podstawy do przedłużonego przetwarzania.

Dane byłego pracownika pracodawca może przechowywać przez okres przedawnienia roszczeń, np. z tytułu wypowiedzenia umowy o pracę. Podstawą jest art. 6 ust. 1 lit. f RODO, który pozwala przetwarzać dane przez czas niezbędny do obrony przed roszczeniami. Po tym okresie dane usuń albo zanonimizuj – harmonogram retencji wskazuje, po jakim zdarzeniu następuje czyszczenie zbioru i kto je potwierdza.

Dokumentacja przetwarzania i rozliczalność w HR

Rozliczalność w HR opiera się na dokumentacji: rejestrze czynności przetwarzania, politykach i procedurach wewnętrznych oraz zapisach o ochronie danych osobowych w regulaminach zakładowych. Prowadzenie dokumentacji czynności przetwarzania to jeden z obowiązków pracodawcy przetwarzającego dane pracowników. Informacja, że pracodawca jest administratorem, wchodzi do klauzuli informacyjnej przekazywanej przy zbieraniu danych.

Dokumentacja wymaga aktualizacji. Zmiana systemu HR, dodanie modułu (rekrutacyjnego, szkoleniowego, ewidencji czasu pracy), zmiana podstawy przetwarzania lub okresu retencji muszą znaleźć odzwierciedlenie w rejestrze czynności i politykach. Zestaw przygotowany raz przy wdrożeniu przestaje odpowiadać rzeczywistości już przy pierwszej zmianie procesu, a to na tej podstawie weryfikuje się zgodność w razie kontroli.

Administrator i podmiot przetwarzający muszą wyznaczyć IODO w przypadkach i na zasadach określonych w RODO. Pracodawca powinien ustalić, czy należy do kategorii podmiotów objętych tym obowiązkiem.

Naruszenia ochrony danych w HR: zgłaszanie i konsekwencje

Typowe naruszenia w HR: wysłanie danych wynagrodzeniowych do niewłaściwego adresata, nieuprawniony wgląd przełożonego w akta osobowe, pozostawienie aktywnego konta pracownika, który zakończył zatrudnienie, oraz wyciek pliku z orzeczeniami lekarskimi. Po wykryciu zdarzenia zabezpiecz dowody i ustal, kto i do jakich danych miał dostęp. Oceń charakter i skalę naruszenia – czy dane opuściły organizację.

Zablokuj konta i odetnij dostęp, zmień hasła oraz odzyskaj błędnie wysłaną korespondencję. Wpisz zdarzenie do rejestru naruszeń. Jeśli naruszenie może skutkować ryzykiem naruszenia praw lub wolności osób, administrator zgłasza je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia; podmiot przetwarzający zgłasza je administratorowi bez zbędnej zwłoki (UODO).

Przestrzeganie przepisów o ochronie danych osobowych kontroluje Prezes UODO – zgodnie z zatwierdzonym przez siebie planem kontroli lub na podstawie uzyskanych informacji. Kontrola może objąć całą dokumentację HR: rejestr czynności przetwarzania, zakresy uprawnień dostępu, klauzule informacyjne, harmonogram retencji i rejestr naruszeń. Brak tych elementów utrudnia wykazanie zgodności i ogranicza możliwość obrony.

Naruszenie może ściągnąć interwencję organu nadzorczego i sankcje przewidziane przepisami o ochronie danych osobowych. Rejestr naruszeń prowadzony przez HR powinien zawierać nie tylko opis incydentu, ale też podjęte środki, datę ich wdrożenia i ocenę skuteczności. To materiał dowodowy przy kontroli i podstawa do poprawy procedur dostępu.