Urząd wypowiada się w wielu kwestiach, w których dochodzi do przenikania się zasad określonych w ogólnym rozporządzeniu o ochronie danych (RODO) i przepisach ustawy o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) z przepisami szczególnymi.
Wykorzystujemy w tym celu wiele narzędzi, jak strona internetowa, social media, szkolenia czy kontakty z dziennikarzami. Żyjemy w rzeczywistości, w której niemal każda gałąź gospodarki w jakimś stopniu ma styczność z przetwarzaniem danych osobowych. W związku z tym do urzędu wpływa wiele pytań i zagadnień zarówno od inspektorów ochrony danych, administratorów, jak i osób, których dane są przetwarzane przez różne podmioty.
Edukujemy i doradzamy
Każdego dnia pracownicy infolinii UODO odbierają kilkadziesiąt telefonów od osób zainteresowanych tematyką dotyczącą ochrony danych osobowych. Z pytaniami zwracają się zarówno osoby fizyczne, jak i osoby prawne. Pracownicy infolinii upowszechniają wiedzę o ochronie danych osobowych oraz informują obywateli na temat przysługujących im praw i działań podejmowanych przez UODO. Pojawiające się pytania stanowią dla UODO cenne źródło wiedzy i na ich podstawie urząd tworzy komunikaty prasowe, odpowiadając tym samym na najczęściej pojawiające się kwestie. Jesteśmy przekonani, że taka forma komunikacji przekłada się na lepszą ochronę danych osobowych obywateli.
Rolą organu nadzoru jest nie tylko kontrola przestrzegania przepisów o ochronie danych osobowych. RODO w art. 57 wśród zadań urzędu wylicza m.in. upowszechnianie w społeczeństwie wiedzy o ryzykach, przepisach, zabezpieczeniach i prawach związanych z przetwarzaniem danych. Jest nim również edukowanie administratorów i podmiotów przetwarzających o obowiązkach spoczywających na nich na mocy RODO. UODO doradza także parlamentowi narodowemu, rządowi oraz innym instytucjom i organom w sprawie aktów prawnych i administracyjnych środków ochrony praw i wolności osób fizycznych w związku z przetwarzaniem danych.
Pracownicy i pracodawcy często pytają o RODO
Wiele wątpliwości w związku ze stosowaniem RODO w swoich działaniach mają pracownicy i pracodawcy. I to w dużej mierze od nich do UODO wpływa wiele pytań. Świadczy to także o zaufaniu, jakim obdarzają urząd, który od początku swoich działań stara się ich wspierać. Opublikowaliśmy m.in. adresowany do nich poradnik „Ochrona danych osobowych w miejscu pracy” i był to jeden z pierwszych tego typu materiałów urzędu. Widząc skalę zagadnień w tym obszarze, UODO regularnie odnosi się do nich także w postaci komunikatów, które mają charakter informacyjny. Są wskazówkami i podpowiedziami dla wszystkich tych, którzy szukają u nas rozwiązań swoich problemów czy wątpliwości.
Kwestia relacji pracodawca‒pracownik nabrała jeszcze większego znaczenia w dobie koronawirusa. Biorąc pod uwagę potrzebę szybkiego reagowania i wyjaśniania wątpliwości pracowników i pracodawców, na początku marca publikowaliśmy m.in. poradniki „Ochrona danych osobowych podczas pracy zdalnej” i „Dokumentacja papierowa zawierająca dane osobowe a praca zdalna”.
Mylne interpretacje
Rozpoczęcie stosowania RODO wiązało się z koniecznością dokonania przeglądu prawa krajowego i dostosowania go do nowych unijnych regulacji w zakresie ochrony danych osobowych. Za zadanie to odpowiedzialne było Ministerstwo Cyfryzacji. Prezes UODO zgłosił zaś wiele uwag na etapie prac legislacyjnych. Nie wszystkie jednak zostały uwzględnione i kształt wielu przepisów spowodował w opinii UODO wiele mylnych interpretacji. Dlatego urząd postanowił odnieść się do wielu kwestii w kolejnych stanowiskach.
UODO nie ma inicjatywy legislacyjnej jak ministerstwa czy parlament. Wielokrotnie jednak podkreślał, że zdaje sobie sprawę z wielu aspektów prawa, które w kontekście ochrony danych osobowych wymagają doprecyzowania czy też zmian. Tak też jest w przypadku np. badania trzeźwości pracowników w zakładach pracy. Dlatego urząd wielokrotnie wyrażał gotowość współpracy przy stworzeniu odpowiednich regulacji, które w uzasadnionych sytuacjach dałyby odpowiednie podstawy prawne i określały zasady, by takie kontrole odbywały się z poszanowaniem godności i prawa do prywatności pracowników.
UODO nie zabrania badania alkomatami
Urząd odniósł się jedynie do istniejących regulacji w tym zakresie i stwierdził, że w polskim systemie prawnym nie ma przepisów, które dają pracodawcom podstawę prawną do przeprowadzania badań na obecność alkoholu w organizmie pracowników. W swoim komunikacie, opierając się na istniejących przepisach, wskazał, kto i na jakich zasadach może takie badanie przeprowadzić.
Ustawa o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi (t.j. Dz.U. z 2019 r. poz. 2277; ost.zm. Dz.U. z 2020 r. poz. 1492) określa, że w przypadku uzasadnionego podejrzenia, że pracownik jest nietrzeźwy, pracodawca bądź kierownik nie dopuszcza go do pracy. Uzasadnione podejrzenie to nie to samo, co stwierdzenie tego faktu i zdobycie dowodu w postaci wyniku badania alkomatem.
Próba wyciągania innych wniosków z tych regulacji bez wskazania konkretnej podstawy prawnej, która dawałaby pracodawcom prawo do określonych działań, niestety nikomu nie służy. Lepiej wysiłek ten przełożyć na pozytywne działanie i zabieganie o zmianę prawa w tym zakresie niż wprowadzać swoimi prywatnymi opiniami dodatkowy chaos i wątpliwości w tym zakresie.
Przetwarzanie danych kontaktowych
Kolejny i zarazem niezrozumiały zarzut wobec UODO dotyczy komunikatu na temat możliwości przetwarzania danych kontaktowych pracownika. Należy przypomnieć, że kodeks pracy dopuszcza pozyskanie danych kontaktowych w momencie rekrutacji. A więc celem przetwarzania tych danych jest komunikacja z kandydatem do celów rekrutacyjnych. Na przetwarzanie tych danych w innym celu musi istnieć inna podstawa.
Nie można zapominać, że administratorzy, by móc przetwarzać dane, muszą dysponować przesłanką legalizującą. Pozyskując zaś dane w określonym celu, nie mogą ich przetwarzać w innym. W praktyce niestety dochodzi do nadużywania przez pracodawców danych kontaktowych pracowników poprzez swobodne dysponowanie np. prywatnym numerem telefonu.
Niezrozumiałe jest łączenie kwestii przetwarzania danych kontaktowych pracownika przez pracodawców w związku ze stanowiskiem dotyczącym przekazywania przez pracodawców danych kontaktowych pracownika związkom zawodowym na potrzeby referendum strajkowego, co odbywa się na podstawie innych regulacji. Przede wszystkim to związek we wniosku o udostępnienie danych wskazuje konkretne dane kontaktowe, np. adres zamieszkania lub korespondencyjny, gdy są mu one potrzebne do powiadomienia o referendum strajkowym. Pracodawca zaś ocenia, czy zakres żądanych danych nie jest nadmiarowy. Jeżeli uzna, że nie jest, to przekazuje dane kontaktowe, o które wnioskował związek, a nie wszystkie (o ile w ogóle nimi dysponuje). Zadziwiające jest zatem doszukiwanie się niekonsekwencji w działaniu Urzędu w momencie, gdy mamy do czynienia z dwiema zupełnie różnymi sytuacjami regulowanymi innymi przepisami.
Czym innym jest jednocześnie kwestia uprawnienia organu do nakazania pracodawcy udostępnienia danych osobowych związkowi zawodowemu, a czym innym jest wypowiadanie się abstrakcyjnie co do prawidłowości tego udostępnienia.
Mierzenie temperatury
UODO nie odmówił też prawa do mierzenia temperatury przy wejściu do budynków. Nie można odmówić czegoś, czego nie ma. Urząd wskazał jednak, że takie prawo mogą dać decyzje głównego inspektora sanitarnego wydane na podstawie specustawy o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19 (t.j. Dz.U. z 2020 r. poz. 1842). Tymczasem zdarza się, że często w przestrzeni publicznej umniejszana jest rola Głównego Inspektoratu Sanitarnego, która jest kluczowa w walce z COVID-19. To bowiem GIS może i powinien podjąć odpowiednie decyzje oraz określić zasady pozyskiwania danych na potrzeby stworzenia systemowych rozwiązań walki z pandemią. Zdaniem prezesa UODO przepisy o ochronie danych osobowych nie mogą być stawiane jako przeszkoda w realizacji działań w związku z walką z koronawirusem. Przetwarzanie danych dotyczących zdrowia na skutek działań zapobiegających rozprzestrzenianiu się wirusa COVID-19 regulowane jest w przepisach szczególnych, w tym przede wszystkim w ustawie o Państwowej Inspekcji Sanitarnej (t.j. Dz.U. z 2019 r. poz. 59; ost.zm. Dz.U. z 2020 r. poz. 1337), zmienionej przez wspomnianą specustawę. Wskazane przepisy nie stoją w sprzeczności z zasadami przetwarzania danych i nie naruszają RODO. Dają one narzędzia do podejmowania przez pracodawców określonych działań, które wynikają zarówno z zaleceń głównego inspektora sanitarnego, jak i prezesa Rady Ministrów.
Rola urzędu
Dziwi to, że niektórzy autorzy krytycznych komentarzy pod adresem urzędu nie dostrzegają istoty wielu problemów w postaci luk w istniejących przepisach czy braku precyzji niektórych regulacji prawnych. Co gorsza, swoje opinie formułują w taki sposób, jakby nie wiedzieli, jaką rolę pełni urząd i jakie są jego kompetencje. Przypomnijmy więc, że UODO nie ma inicjatywy ustawodawczej, natomiast musi działać w granicach i na podstawie przepisów prawa. Adresowanie więc zarzutów w stronę UODO o brak odpowiednich przepisów nie ma większego sensu. Aby coś w tym zakresie zmienić, konstruktywniejsze byłyby wspólnie działania w kierunku zwrócenia uwagi ustawodawcy na obszary, które wymagają uregulowania. Nie zapominajmy przecież, że wciąż wiele krajowych regulacji nie jest dostosowanych do RODO. Z pewnością jednak da się z nim pogodzić wiele oczekiwań co do kształtu szczegółowych przepisów w krajowym porządku prawnym. UODO zaś chętnie włącza się w prace nad takimi zmianami, by stworzyć prawne podstawy do działania w określonych sytuacjach, ale z poszanowaniem zasad ochrony danych osobowych i godności człowieka. Właściwe zrozumienie roli urzędu z pewnością pozwoli nam wspólnie skoncentrować energię do działań w odpowiednim kierunku z pożytkiem dla wszystkich zainteresowanych tematyką ochrony danych.
