Udostępnianie kopii akt osobowych na wniosek pracownika w kontekście RODO

Możliwość żądania kopii danych osobowych przez osobę, której dane dotyczą, na mocy art. 15 ust. 3 RODO jest jednym najbardziej uciążliwych obowiązków dla administratorów. Szczególnie jeżeli żądania są nadmiarowe lub wiążą się z poniesieniem dużych kosztów.

Pisałam już o tym, że Prezes UODO odniósł się do zagadnienia realizowania obowiązku wynikającego z art. 15 ust. 3 RODO w swoich decyzjach administracyjnych, podkreślając, że należy rozróżnić pojęcie „kopii danych” od „kopii dokumentu” (decyzje nr ZSPR.440.913.2018). Przepisy RODO dają osobie, której dane dotyczą prawo do uzyskania wyczerpujących informacji o zakresie i sposobach przetwarzania jej danych, w szczególności poprzez umożliwienie uzyskania kopii danych. Nie wskazują jednak w jaki sposób administrator ma realizować ten obowiązek, dając mu możliwość podjęcia decyzji o tym, czy udostępni tylko informację przetworzoną z zakresem przetwarzanych danych, czy całe kopie dokumentów papierowych lub elektronicznych.

W decyzji nr ZSPR.440.913.2018 Prezes UODO odniósł się do sposobu realizacji żądania o udostępnienie kopii dokumentacji pracowniczej, wniesionego przez byłego pracownika. Pracodawca zamiast kopii akt osobowych udostępnił informację o zakresie przetwarzanych danych, co zostało uznane przez organ za poprawne i zgodne z wymaganiami przepisów RODO postępowanie. Należy jednak podkreślić, że wydana decyzja odnosiła się do stanu prawnego z 2018 roku, więc nie mogła uwzględniać nowelizacji przepisów prawa pracy. Gdyby takie żądanie wpłynęło w dniu dzisiejszym do administratora, musiałby je rozważyć nie tylko w kontekście art. 15 ust. 3 RODO, ale także art. 94^12 kodeksu pracy, który nakłada na pracodawcę obowiązek udostępnienia kopii dokumentacji pracowniczej na wniosek pracownika, byłego pracownika lub innej uprawnionej osoby. Co więcej, przepisy rozporządzenia MRPiPS z dn. 10-12-2018 r. w sprawie dokumentacji pracowniczej regulują sposób realizacji tego żądania. W takim wypadku udostępnienie, samego zakresu przetwarzanych danych, tak jak zrobił to pracodawca, o którym mowa we wspomnianej decyzji może stanowić naruszenie przepisów prawa pracy i skutkować dla pracodawcy nieprzyjemnymi konsekwencjami.

Uważam, że nawet jeżeli pracownik skierował do pracodawcy jedynie żądanie o kopię danych osobowych zgodnie z RODO, powinien on dokonać udostępnienia kopii dokumentów, a nie jedynie informacji przetworzonej o przetwarzanych danych. Co do zasady to administrator decyduje w jakiej formie udostępni dane osobowe, jednakże w przypadku żądania dotyczącego danych zawartych w dokumentacji pracowniczej, złożonego przez uprawnioną do tego osobę, zasadne wydaje się udostępnienie kopii dokumentów, aby zadość uczynić przepisom prawa pracy.

Powyższy przykład pokazuje, że każde żądanie wynikające z art. 15-22 RODO, administrator powinien oceniać indywidualnie, w kontekście aktualnych przepisów prawa, kosztów i nadmiarowości żądania. Co do zasady, w większości przypadków, samo udostępnienie informacji przetworzonej zawierającej zakres przetwarzanych danych, jest działaniem poprawnym, a jeżeli osoba, której dane dotyczą koniecznie chce uzyskać kopie dokumentów, administrator może rozważyć pobranie od niej opłaty, która jest równa poniesionym kosztom spełnienia żądania (o ile takie żądanie z punktu widzenia administratora jest nadmiarowe i wiąże się z wysokimi kosztami, zgodnie z art. 12 RODO).

Nazywam się Sylwia Czub-Kiełczewska, jestem ekspertką ds. ochrony danych osobowych oraz certyfikowaną audytorką wewnętrzną ISO 27001 /TISAX. Pomagam organizacjom wdrożyć skuteczne systemy bezpieczeństwa informacji, przeprowadzam audyty zgodności z RODO / ISO27001. Jestem skuteczna, bo stosuję indywidualne podejście, oparte na zrozumieniu klienta oraz jego działalności. Potrzebujesz wsparcia? Napisz do mnie