Pytanie, jakie dane pracownika można zbierać, wraca w praktyce pracodawców bardzo często. I słusznie, bo właśnie w tym obszarze nadal funkcjonuje wiele błędnych nawyków: formularze rozbudowane „na wszelki wypadek”, kopiowanie dokumentów bez wyraźnej podstawy, pytania o informacje zbędne dla danego stanowiska albo automatyczne żądanie danych, których przepisy po prostu nie przewidują. Tymczasem punkt wyjścia jest prosty: pracodawca nie powinien zbierać wszystkiego, co może się przydać, lecz tylko to, do czego uprawnia go prawo albo co jest rzeczywiście dopuszczalne w konkretnym modelu zatrudnienia.
Zapraszamy do współpracy
Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.
Polski Kodeks pracy dość precyzyjnie określa, jakich danych można żądać od osoby ubiegającej się o zatrudnienie, a jakich dopiero od pracownika. UODO dodatkowo przypomina, że dane w rekrutacji i zatrudnieniu nie mogą być zbierane „na zapas” ani „na wszelki wypadek”. To bardzo ważne, bo w praktyce wiele problemów z RODO w HR nie wynika z braku dokumentów, lecz z wadliwego ustalenia samego zakresu danych.
Jakie dane pracownika można zbierać już na etapie rekrutacji
Na etapie rekrutacji pracodawca może żądać od kandydata podania: imienia i nazwiska, daty urodzenia oraz danych kontaktowych wskazanych przez tę osobę. Dodatkowo może żądać informacji o wykształceniu, kwalifikacjach zawodowych i przebiegu dotychczasowego zatrudnienia, ale tylko wtedy, gdy są one niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Co istotne, obecny art. 22¹ Kodeksu pracy wyraźnie wyłącza z przebiegu dotychczasowego zatrudnienia informacje o wynagrodzeniu w obecnym i poprzednich stosunkach pracy.
To oznacza, że już na poziomie samej rekrutacji odpowiedź na pytanie, jakie dane pracownika można zbierać, brzmi ostrożniej, niż wielu pracodawców zakłada. Nie każdy standardowy formularz HR będzie zgodny z prawem tylko dlatego, że „tak się robi od lat”. Jeżeli określona informacja nie jest potrzebna do oceny kandydata pod kątem danego stanowiska albo nie wynika z przepisu, jej żądanie może być po prostu nadmiarowe.
Jakie dane pracownika można zbierać po zatrudnieniu
Po nawiązaniu stosunku pracy katalog danych rozszerza się. Pracodawca może żądać od pracownika dodatkowo adresu zamieszkania, numeru PESEL, a jeżeli pracownik go nie ma, rodzaju i numeru dokumentu potwierdzającego tożsamość. Może też żądać innych danych pracownika, a także danych dzieci pracownika i innych członków jego najbliższej rodziny, ale tylko wtedy, gdy jest to konieczne z uwagi na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy. Do tego dochodzi wykształcenie i przebieg dotychczasowego zatrudnienia, jeśli nie było podstawy, by żądać ich wcześniej, oraz numer rachunku płatniczego, chyba że pracownik złoży wniosek o wypłatę wynagrodzenia do rąk własnych.
W praktyce to rozróżnienie ma duże znaczenie. Nie wszystko, co można legalnie pozyskać od pracownika już zatrudnionego, można było żądać wcześniej od kandydata. Właśnie dlatego odpowiedź na pytanie, jakie dane pracownika można zbierać, zawsze trzeba odnosić do etapu procesu: rekrutacji, zatrudnienia, realizacji uprawnień pracowniczych albo zakończenia stosunku pracy.
Nie wszystko, co wygodne dla HR, jest dopuszczalne
Jednym z najbardziej praktycznych przepisów jest art. 22¹ § 4 Kodeksu pracy. Pozwala on żądać innych danych niż wskazane w podstawowym katalogu tylko wtedy, gdy jest to niezbędne do zrealizowania uprawnienia albo spełnienia obowiązku wynikającego z przepisu prawa. To bardzo ważna granica. Nie chodzi o to, że pracodawca może sięgnąć po dodatkowe dane, gdy uzna je za przydatne organizacyjnie. Musi istnieć wyraźny przepis, który taką potrzebę uzasadnia.
Właśnie dlatego formularze osobowe, checklisty onboardingowe czy wewnętrzne praktyki kadrowe nie mogą zastępować podstawy prawnej. Jeżeli dział HR zbiera określone informacje tylko dlatego, że „mogą się kiedyś przydać”, to najczęściej wchodzi na obszar nadmiarowości. UODO od lat podkreśla, że danych pracowników i kandydatów nie wolno gromadzić „na zapas”.
Zgoda pracownika nie naprawia wszystkiego
W praktyce wielu pracodawców próbuje rozwiązać problem nadmiarowych danych przez zgodę. To jednak nie działa tak szeroko, jak czasem się zakłada. Kodeks pracy przewiduje, że zgoda kandydata lub pracownika może stanowić podstawę przetwarzania innych danych niż te wymienione w art. 22¹ § 1 i 3, ale jednocześnie wyraźnie wyłącza z tego mechanizmu dane z art. 10 RODO, czyli między innymi dane dotyczące wyroków skazujących i naruszeń prawa. Co więcej, brak zgody lub jej cofnięcie nie może prowadzić do niekorzystnego traktowania kandydata albo pracownika ani do negatywnych konsekwencji w zatrudnieniu.
To oznacza, że pytanie, jakie dane pracownika można zbierać, nie powinno być automatycznie rozwiązywane przez dopisanie zgody do formularza. W relacji pracowniczej zgoda jest instrumentem ograniczonym i obwarowanym dodatkowymi warunkami. Nie może stać się uniwersalnym uzasadnieniem dla zbierania danych, których pracodawca nie powinien żądać w zwykłym toku zatrudnienia.
Dane wrażliwe i szczególne kategorie danych
Szczególną ostrożność trzeba zachować przy danych szczególnych kategorii, czyli na przykład danych o zdrowiu, niepełnosprawności, pochodzeniu rasowym lub etnicznym, przekonaniach religijnych czy danych biometrycznych. Kodeks pracy stanowi, że zgoda kandydata lub pracownika może być podstawą przetwarzania takich danych wyłącznie wtedy, gdy ich przekazanie następuje z inicjatywy samej osoby ubiegającej się o zatrudnienie albo pracownika. Nie chodzi więc o sytuację, w której pracodawca standardowo projektuje formularz tak, aby pozyskiwać takie informacje od wszystkich.
Dane biometryczne są dopuszczalne także w innym, węższym modelu, gdy ich podanie jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę, albo do pomieszczeń wymagających szczególnej ochrony. To wyjątek, a nie reguła. Sam komfort organizacyjny czy wygoda wejścia do biura nie wystarczą.
Czy można żądać niekaralności albo danych z KRK
To jeden z najczęstszych tematów praktycznych. Zasadą nie jest swobodne żądanie zaświadczenia o niekaralności. Portal gov.pl dotyczący Krajowego Rejestru Karnego wskazuje wprost, że pracodawca może wystąpić o informację z KRK o pracowniku tylko wtedy, gdy potrafi wskazać konkretny przepis prawa, z którego wynika wymóg niekaralności. To bardzo istotne ograniczenie.
W praktyce oznacza to, że nie można przyjąć zasady: „dla bezpieczeństwa sprawdzamy każdego”. Jeżeli ustawodawca nie przewidział dla danego stanowiska wymogu niekaralności, pracodawca nie uzyskuje takiego uprawnienia przez samą ostrożność biznesową ani przez zgodę pracownika. Z punktu widzenia ochrony danych to jedna z tych kwestii, które wymagają bardzo konkretnej podstawy ustawowej.
Czy wolno kopiować dowód osobisty
To kolejny przykład praktyki, która przez lata była traktowana zbyt swobodnie. Z aktualnych materiałów UODO wynika, że numer, seria czy data ważności dowodu osobistego pracownika są dodatkowymi danymi, które nie wynikają wprost z przepisów jako standardowy zakres danych do pozyskania w kwestionariuszu osobowym. Sam fakt, że pracodawca chce lepiej „udokumentować” tożsamość pracownika, nie oznacza jeszcze, że może rutynowo utrwalać pełne dane z dokumentu.
Praktyczny wniosek jest prosty: pracodawca może potwierdzać dane w zakresie niezbędnym do ich weryfikacji, ale nie powinien automatycznie kopiować dokumentów tożsamości ani tworzyć nadmiarowych zbiorów danych tylko dlatego, że jest to wygodne operacyjnie. Kodeks pracy pozwala żądać udokumentowania danych w zakresie niezbędnym do ich potwierdzenia, a nie budować pełne archiwum dokumentów pracownika bez wyraźnej potrzeby.
Jakie dane pracownika można zbierać w praktyce HR
Najbardziej użyteczna odpowiedź brzmi: tylko te, które wynikają z Kodeksu pracy albo z innego przepisu, ewentualnie, w ściśle ograniczonym zakresie, te, które pracownik przekazuje dobrowolnie w modelu dopuszczonym przez prawo. Dla kandydata katalog jest węższy. Dla pracownika jest szerszy, ale nadal zamknięty zasadą niezbędności. Dane dzieci i członków rodziny są dopuszczalne tylko tam, gdzie wiążą się z konkretnymi uprawnieniami pracowniczymi. Dane szczególne i biometryczne wymagają osobnej, ostrożnej analizy. Dane o niekaralności wymagają konkretnej podstawy ustawowej.
To właśnie dlatego pytanie, jakie dane pracownika można zbierać, powinno być stawiane nie dopiero przy kontroli albo sporze, lecz na etapie projektowania formularzy, onboardingów i procesów HR. W tym obszarze zgodność nie polega na gromadzeniu większej liczby dokumentów, ale na świadomym ograniczeniu się do danych rzeczywiście dopuszczalnych.
Podsumowanie
Jakie dane pracownika można zbierać? Przede wszystkim te, które wprost przewiduje Kodeks pracy: od kandydata imię i nazwisko, datę urodzenia, dane kontaktowe oraz, gdy to niezbędne, wykształcenie, kwalifikacje i przebieg zatrudnienia bez informacji o dotychczasowym wynagrodzeniu. Od pracownika dodatkowo adres zamieszkania, PESEL albo dane dokumentu tożsamości przy braku PESEL, dane potrzebne do korzystania z uprawnień pracowniczych, a także numer rachunku płatniczego, jeśli wynagrodzenie nie jest wypłacane do rąk własnych. Inne dane są dopuszczalne tylko wtedy, gdy wymaga ich konkretny przepis prawa albo mieszczą się w bardzo ograniczonych wyjątkach przewidzianych w Kodeksie pracy.
Największy błąd praktyczny polega na tym, że pracodawcy nadal zbyt często budują zakres danych wokół wygody procesowej, a nie wokół zasady legalności i niezbędności. Tymczasem w HR to właśnie ograniczenie zakresu danych jest jednym z najbardziej podstawowych przejawów zgodności z RODO i prawem pracy.
| Redakcja BPPZ.pl
Najważniejsze informacje
- W procesie rekrutacji pracodawca może żądać: imienia, nazwiska, daty urodzenia, danych kontaktowych, wykształcenia, kwalifikacji i historii zatrudnienia bez informacji o poprzednich zarobkach.
- Po nawiązaniu stosunku pracy dopuszcza się dodatkowo: adres zamieszkania, PESEL, dane rachunku bankowego oraz dane rodzinne wyłącznie gdy jest to niezbędne do realizacji praw pracowniczych.
- Wygoda lub potrzeby organizacyjne nie są wystarczającym powodem do zbierania danych – wymagana jest konkretna podstawa prawna lub rzeczywista konieczność.
- Zgoda pracownika na przetwarzanie dodatkowych danych jest silnie ograniczona ze względu na nierównowagę sił w stosunku pracy – jej wycofanie nie może skutkować negatywnymi konsekwencjami.
- Kopiowanie dokumentów tożsamości pracowników bez wyraźnej podstawy prawnej jest niedozwolone – wystarczy weryfikacja niezbędnych informacji.
- Dane biometryczne mogą być stosowane jedynie do kontroli dostępu do szczególnie ważnych informacji lub chronionych obszarów – wygoda organizacyjna nie wystarczy.
