Dopuszczalność przetwarzania danych

Aby uznać przetwarzanie danych osobowych za legalne musi być spełniona co najmniej jedna z przesłanek pozyskiwania danych, które zostały wymienione w art. 23 ustawy o ochronie danych osobowych. Przetwarzanie danych jest bowiem dopuszczalne m.in. tylko wtedy, gdy:

1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi
o usunięcie dotyczących jej danych;
2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.
W przypadku pracowniczego stosunku prawnego będzie to art. 221 kodeksu pracy.

Zakres danych, których przyszły pracodawca może żądać od kandydata
Powołany powyżej przepis kodeksu pracy wymienia te dane, które mogą być pozyskiwane w procesie tzw. rekrutacji. Są to: 1) imię (imiona) i nazwisko, 2) imiona rodziców, 3) data urodzenia, 4) miejsce zamieszkania (adres do korespondencji), 5) wykształcenie oraz 6) przebieg dotychczasowego zatrudnienia. Co do zasady więc żadna inna personalna „informacja” nie powinna się znaleźć w posiadaniu zatrudniającego.

Dopiero od pracownika pracodawca może żądać dodatkowo: 1) innych danych osobowych pracownika, a także imion i nazwisk oraz dat urodzenia dzieci pracownika, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy; 2) numeru PESEL.

W § 4 i § 5 cytowanego przepisu ustawodawca przewidział jednak dwa wyjątki.

Przepisy szczególne

Pierwszym z nich jest regulacja zawarta w art. 22¹ § 4 kodeksu pracy. Wynika z niej, iż pracodawca może żądać podania innych danych osobowych niż określone w § 1 i 2, jeżeli obowiązek ich podania wynika z odrębnych przepisów. Tak więc prawodawca przyzwolił na zbieranie danych osobowych, jeśli jest to dopuszczalne w innym niż kodeks pracy akcie prawnym.

Jako przykład można wskazać tzw. dane o niekaralności. W świetle art. 6 ust. 1 pkt 10 ustawy z dnia 24.05.2000 r. o Krajowym Rejestrze Karnym prawo do uzyskania informacji o osobach, których dane osobowe zgromadzone zostały w Rejestrze, przysługuje pracodawcom, w zakresie niezbędnym dla zatrudnienia pracownika, co do którego z przepisów ustawy wynika wymóg niekaralności, korzystania z pełni praw publicznych, a także ustalenia uprawnienia do zajmowania określonego stanowiska, wykonywania określonego zawodu lub prowadzenia określonej działalności gospodarczej.

Zgoda osoby, której dane dotyczą

Drugim wyjątkiem jest norma przewidująca odesłanie do stosowania przepisów ustawy o ochronie danych osobowych w zakresie nieuregulowanym w kodeksie pracy (w art. 22¹ § 1 - § 4). Oznacza to, iż aby pozyskane przez przyszłego pracodawcę dane osobowe były legalne, musiałaby zaistnieć co najmniej jedna z okoliczności wymienionych w podanym powyżej art. 23 ustawy o ochronie danych osobowych. Na przykład zgoda kandydata. Istotnym jednak jest fakt, aby taka zgoda była realna i niewymuszona, co podkreślał w swoim stanowisku GIODO, a także co wynika pośrednio z orzeczenia NSA z 1 grudnia 2009 r. (sygn. akt I OSK 249/09).

Ponadto, ponieważ z formalnoprawnego punktu widzenia przenosimy się w zakresie stosowania przepisów na płaszczyznę ustawy o ochronie danych osobowych, pozyskanie innych informacji niż podanych w art. 221 § 1 kodeksu pracy nawet za zgodą osoby, której dane dotyczą, powinno być adekwatne do celu w jakim te dane miałyby być przetwarzane. Wynika to wprost z art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych.