Czy dane służbowe są danymi osobowymi?

Czym są dane służbowe w rozumieniu RODO?

Dane służbowe to informacje ściśle związane z życiem zawodowym pracownika i wykonywaniem jego obowiązków, które pozwalają zidentyfikować osobę lub czynią ją możliwą do identyfikacji [1][2]. W ujęciu prawnym nie stanowią odrębnej kategorii względem innych informacji o osobach fizycznych, tylko są kwalifikowane tak samo jak zwykłe dane osobowe, z tą różnicą, że wyróżnia je kontekst zatrudnienia [3].

Informacje te podlegają ustawowej ochronie zgodnie z przepisami o ochronie danych osobowych i należy je przetwarzać zgodnie z zasadami wynikającymi z RODO [2]. Równocześnie o tym, czy dana informacja jest danymi osobowymi, rozstrzyga możliwość przypisania jej do konkretnej osoby na podstawie jednego lub kilku czynników identyfikujących [6].

Czy dane służbowe zawsze są danymi osobowymi?

Tak, o ile pozwalają na identyfikację osoby albo mogą zostać powiązane z innymi informacjami prowadzącymi do identyfikacji, ponieważ każda informacja umożliwiająca identyfikację osoby fizycznej podpada pod definicję danych osobowych [6]. W zdecydowanej większości przypadków pojedyncze oznaczenia rozpatrywane w całkowitym oderwaniu od osoby, bez realnej możliwości wskazania konkretnej tożsamości, nie będą stanowić danych osobowych, jednak w momencie połączenia ich z innymi danymi podlegają reżimowi RODO [5].

Numer telefonu kontaktowy pracownika lub członka organu, zależnie od kontekstu i możliwości powiązania go z konkretną osobą, może być kwalifikowany jako dane osobowe i przetwarzany wyłącznie zgodnie z zasadami ochrony danych [6].

Jakie informacje standardowo zalicza się do danych służbowych?

Do katalogu najczęściej spotykanych danych służbowych należą imię i nazwisko, stanowisko pracy, miejsce pracy, służbowy numer telefonu oraz służbowy adres e-mail, ponieważ informacje te pozostają w bezpośrednim związku z wykonywaniem obowiązków zawodowych i pozwalają na identyfikację osoby [2][3]. Ten zakres ma charakter funkcjonalny i jego wspólnym mianownikiem jest kontekst działalności zawodowej pracownika [2][3].

Jaka jest podstawa prawna przetwarzania danych służbowych przez pracodawcę?

Podstawą prawną przetwarzania danych służbowych przez pracodawcę jest art. 6 ust. 1 lit. e RODO, który legitymizuje operacje przetwarzania w związku z realizacją zadań niezbędnych z punktu widzenia funkcjonowania organizacji pracodawcy [1]. Już na etapie nawiązywania stosunku pracy przetwarzane są dane identyfikacyjne i formalne, w tym niezbędne dla wykonania obowiązków z prawa pracy oraz ubezpieczeń społecznych, takie jak numery ewidencyjne i rozliczeniowe [4].

Nie wszystkie informacje o pracowniku stanowią dane służbowe. Dane odnoszące się do sfery prywatnej, w tym światopogląd czy inne aspekty życia osobistego, nie mogą być zbierane ani przetwarzane w ramach celów pracodawcy, gdy nie istnieje ku temu podstawa prawna i związek z pracą [4].

Kiedy i na jakiej podstawie pracodawca może udostępniać dane służbowe?

Pracodawca ma prawo do udostępniania danych służbowych bez konieczności pozyskiwania zgody pracownika, jeżeli działanie to znajduje oparcie w przepisach i orzecznictwie oraz pozostaje w zgodzie z celami związanymi z funkcjonowaniem zakładu pracy. Uprawnienie takie wynika z utrwalonych orzeczeń Sądu Najwyższego i pozwala na komunikowanie danych służbowych w zakresie niezbędnym dla realizacji zadań pracodawcy [1].

Informacje o charakterze służbowym mogą być publikowane na stronie internetowej pracodawcy bez uzyskiwania odrębnej zgody pracownika, o ile odbywa się to w granicach przewidzianych prawem i w związku z działalnością zakładu pracy [2].

Dlaczego przetwarzanie danych służbowych nie jest nieograniczone?

Możliwość wykorzystywania danych służbowych nie ma charakteru nieograniczonego, ponieważ ich przetwarzanie musi pozostawać w bezpośrednim związku z funkcjonowaniem zakładu pracy i wynikać z konkretnych celów, które pracodawca może wykazać [2]. Ogranicza to zakres danych oraz czas i sposób ich przetwarzania do tego, co jest niezbędne dla działalności pracodawcy zgodnie z obowiązującymi przepisami [2].

Poza zakresem uzasadnionym celami zatrudnienia pozostają informacje odnoszące się do życia prywatnego, których pracodawca nie jest uprawniony pozyskiwać ani przetwarzać, ponieważ nie spełniają kryterium niezbędności i nie mieszczą się w definicji danych służbowych [4].

Na czym polega kryterium identyfikacji i jak wpływa na kwalifikację danych?

Informacja staje się danymi osobowymi, jeśli umożliwia identyfikację osoby przez odwołanie do jednego lub kilku specyficznych czynników, takich jak cechy fizyczne, psychiczne, ekonomiczne, kulturowe lub społeczne, a także poprzez możliwość zestawienia jej z innymi informacjami [6]. Tę samą regułę stosuje się do danych służbowych, ponieważ ich kwalifikacja zależy od możliwości identyfikacji osoby w kontekście wykonywanej pracy [6].

Nawet oceny o charakterze subiektywnym odnoszące się do pracownika stanowią dane osobowe, gdyż opisują konkretną osobę i da się je do niej przypisać, co przesądza o konieczności stosowania zasad ochrony wynikających z RODO [5].

Jakie są praktyczne zakresy danych przy zatrudnieniu?

W procesach kadrowych już przy zawieraniu umowy o pracę przetwarzane są dane identyfikacyjne i formalne wymagane dla spełnienia obowiązków wynikających z prawa pracy i systemu ubezpieczeń, co uzasadnia ich gromadzenie i wykorzystywanie przez pracodawcę w niezbędnym zakresie [4]. W tym obszarze kryterium niezbędności i związek z funkcjonowaniem zakładu pracy determinują zakres dozwolonego przetwarzania danych służbowych [4].

Czy dane służbowe mogą być publikowane online?

Publikowanie danych służbowych na stronie internetowej pracodawcy jest dopuszczalne bez zgody pracownika, jeżeli następuje w związku z działalnością zakładu pracy oraz w zakresie niezbędnym do realizacji zadań organizacji, z poszanowaniem definicji i zasad ochrony danych osobowych [2]. Warunkiem jest zachowanie ograniczenia celowego i stosowanie rozwiązań adekwatnych do ryzyka identyfikacji osoby [2][6].

Co z imieniem, nazwiskiem i innymi prostymi oznaczeniami?

W zdecydowanej większości przypadków samo imię, nazwisko, stanowisko lub numer konta bankowego rozpatrywane w izolacji, bez realnego związku z określoną osobą fizyczną, nie będą traktowane jako dane osobowe [5]. Jeżeli jednak te informacje zostaną powiązane z innymi danymi pozwalającymi na identyfikację, wówczas są objęte ochroną RODO jako dane osobowe i muszą być przetwarzane zgodnie z wymogami prawnymi [5].

Wnioski

Dane służbowe są danymi osobowymi i jako takie podlegają reżimowi RODO, niezależnie od braku literalnego ujęcia tej kategorii w ustawie krajowej [1][2]. Pracodawca może je przetwarzać na podstawie przesłanki legalizującej i w granicach wyznaczonych celami funkcjonowania zakładu pracy, w tym udostępniać je bez zgody pracownika w zakresie przewidzianym przepisami oraz utrwalonym orzecznictwem, z zachowaniem wymogu identyfikowalności i niezbędności [1][2]. O kwalifikacji informacji zawsze decyduje możliwość identyfikacji osoby, a także kontekst zawodowy, co obejmuje również oceny dotyczące pracownika i dane kontaktowe w określonych sytuacjach [5][6]. Zakres przetwarzania pozostaje ograniczony i nie obejmuje informacji z życia prywatnego, które nie są związane z wykonywaniem pracy [4].