Abstrakt

Przetwarzanie przez pracodawcę danych osobowych pracowników i osób ubiegających się o zatrudnienie jest regulowane w wielu powszechnie obowiązujących aktach prawnych, przede wszystkim jednak w ustawie z 26.6.1974 r. – Kodeks pracy¹ oraz ustawie z 29.8.1997 r. o ochronie danych osobowych². W tekście autor przedstawia zagadnienia dotyczące wzajemnych relacji tych dwóch ustaw, w szczególności biorąc pod uwagę orzecznictwo Generalnego Inspektora Ochrony Danych Osobowych (GIODO) oraz kontrolujących jego działalność sądów administracyjnych.

Podstawy prawne przetwarzania danych osobowych

Rolę ustaw w zakresie przetwarzania i ochrony danych osobowych wyznacza Konstytucja w art. 51. W ust. 1–4 tegoż artykułu określa się gwarancje ochrony danych osobowych, natomiast w ust. 5 znajduje się generalna zapowiedź: „Zasady i tryb gromadzenia i udostępniania informacji określa ustawa”. Konstytucja używa tutaj terminu ustawa nie jako konkretnego, jednego aktu, ale jako aktu określonego typu³. Takie odniesienie jest zrozumiałe z punktu widzenia zasad określonych w art. 51 ust. 1 i 3–4 Konstytucji, w których wymaga się ich rozwinięcia w ustawach zwykłych⁴.

Wykonanie zapowiedzi zawartej w art. 51 ust. 5 Konstytucji w najszerszym zakresie stanowi OchrDanOsU, ale pewne zagadnienia szczegółowe regulują inne ustawy⁵. Słusznie jednak OchrDanOsU uważa się za „ustawę główną”, w tym znaczeniu, że z jednej strony w sposób kompleksowy normuje problematykę ochrony danych osobowych, z drugiej natomiast uzupełniana jest licznymi innymi przepisami powszechnie obowiązującymi, dotyczącymi poszczególnych dziedzin życia społecznego, określanymi jako przepisy „specjalne” czy „branżowe”⁶. Cechą charakterystyczną tych przepisów jest ograniczenie ich regulacji jedynie do określonych kwestii dotyczących danych osobowych (np. dopuszczalnych czynności na danych, zakresu przetwarzanych danych, okresu przetwarzania, udostępniania danych innym osobom i podmiotom). Takie zabiegi spotykają się z krytyką części doktryny, ponieważ ustanawia się w ten sposób nieograniczoną podstawę do wprowadzania w odrębnych przepisach zezwolenia na przetwarzanie danych osobowych w dowolnej sferze⁷.

Relacje między tymi ustawami w sposób rozbudowany określono nie tylko w OchrDanOsU, ale również w innych ustawach. W OchrDanOsU znajduje się co najmniej 15 bezpośrednich, generalnych odesłań do całego systemu normatywnego, przy czym przepisami odniesienia są „inne ustawy”, „przepisy prawa” czy też „prawo”. Wydaje się, że najważniejsze odesłania zawarto w art. 5, art. 23 ust. 1 pkt 2 i 4 oraz art. 27 ust. 2 pkt 2, ponieważ dotyczą one podstaw przetwarzania danych osobowych. Dla potrzeb przedmiotu analizy zostaną one omówione w częściach zatytułowanych „Zakres wyłączenia stosowania OchrDanOsU” oraz „Ochrona danych osobowych na podstawie OchrDanOsU”.

Ochrona danych osobowych w KP

Przykładem normy określającej wspomniane relacje, zawartej w innej ustawie niż OchrDanOsU, jest art. 22¹ § 5 KP. Już na wstępie należy zauważyć jego dwie cechy charakterystyczne. Z jednej strony przyznaje on pierwszeństwo w stosowaniu przepisom KP, ale z drugiej czyni to w dosyć wąskim zakresie wynikającym z art. 22¹ § 1–4 KP.

W art. 22¹ KP przyznaje się pracodawcy prawo do żądania od pracownika i kandydata do pracy określonych danych ich dotyczących. Obejmuje to zarówno dane przekazane w formie oświadczenia pracownika (kandydata), jak i dokumenty potwierdzające jego dane. Celem wprowadzenia 1.1.2004 r. tego przepisu do KP było – jak czytamy w uzasadnieniu projektu – dostosowanie do art. 51 Konstytucji⁸. Chodzi tutaj najpewniej o gwarancję wyrażoną w art. 51 ust. 1 ustawy zasadniczej – „Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby”.

W art. 22¹ § 1–4 KP przyznaje się bezpośrednio jedynie prawo do żądania danych osobowych, a nie prawo do ich przetwarzania. Jednak konsekwencją takiej konstrukcji jest także uprawnienie pracodawcy do przetwarzania otrzymanych – w wyniku żądania – danych osobowych dla potrzeb rekrutacji (kandydaci do pracy) oraz nawiązanego stosunku pracy (pracownicy).

Pomimo że w omawianych przepisach KP formułuje się prawo pracodawcy, to równocześnie pełnią one także funkcję gwarancyjną dla pracownika i kandydata do pracy. Ustawodawca wyznacza bowiem w sposób zamknięty zakres danych, do których żądania jest uprawniony pracodawca. Ogranicza się tym pracodawcę, który nie może wymagać już innych danych⁹. Taką konstrukcję można nawet traktować jako zakaz żądania od pracownika (kandydata) ujawnienia innych, dodatkowych danych osobowych niż wymienione w § 1–2. Wyjątek stanowi sytuacja, gdy [...]