Pracodawcy działający w branży transportowej często spotykają się z zapytaniami ze strony organów publicznych w zakresie udostępnienia danych osobowych pracowników. Najczęściej takie zapytania kieruje policja w związku z prowadzonymi czynnościami wyjaśniającymi w sprawie o wykroczenie drogowe czy prowadzonymi poszukiwaniami, czy też komornik w związku z prowadzonym przeciwko pracownikowi postępowaniem egzekucyjnym. Czy w każdym wypadku otrzymania takiego żądania pracodawca zawsze jest zobowiązany przekazać dane osobowe pracownika? Jak ustrzec się w takim przypadku przed próbą nielegalnego udostępnienia danych?
Pracodawca, będący administratorem danych osobowych pracowników zobowiązany jest zapewnić, aby dane osobowe pracownika przetwarzane były zgodnie z zasadami wynikającymi z Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej: RODO). RODO obliguje między innymi, aby dane osobowe były przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą, zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (art. 5 RODO).
Otrzymując żądanie udostępnienia danych od organów publicznych, pracodawca jako administrator, ma co do zasady obowiązek przekazania takich danych pracownika, jeżeli dane te niezbędne są organowi w związku z prowadzonym postępowaniem – nie powinien tego jednak robić w sposób automatyczny. Przede wszystkim, pracodawca w żadnym wypadku nie powinien przekazywać danych osobowych telefonicznie – w przypadku telefonicznego kontaktu ze strony organów, należy zwrócić się z wnioskiem o wystosowanie oficjalnego pisma w tym zakresie. Takie pismo wymaga weryfikacji przez pracodawcę – pod kątem jego wiarygodności, celowości udostępnienia danych, czy też realizacji zasady minimalizacji.
Pracodawca ma obowiązek upewnić się, że pismo jest wiarygodne, tj. czy nadawcą pisma jest faktycznie dany organ publiczny, zweryfikować jego dane adresowe, pieczątkę organu czy też podpis osoby reprezentującej organ. Zdarzają się bowiem próby podszywania się pod organy, celem nielegalnego pozyskania danych osobowych. Administrator nie może mieć wątpliwości co do tożsamości osoby wnioskującej o dane.
W dalszej kolejności, z uwagi na fakt, iż organy publiczne każdorazowo działają na podstawie ustawy, która określa ich kompetencje i zaraz działania, należy zweryfikować, czy w piśmie została wskazana podstawa prawna, która będzie legalizowała udostępnienie danych osobowych pracowników. Najczęściej wskazywanymi podstawami są przepisy kodeksu postępowania cywilnego, kodeksu postępowania karnego, kodeksu postępowania w sprawach o wykroczenia, czy ustawy o Policji. Bardzo często organy podają niewłaściwą podstawę prawną, wskazując na dany przepis bez konkretnego paragrafu czy ustępu lub podając niepełną podstawę prawną. W takich wypadkach, należy wezwać organ do uzupełnienia wniosku poprzez wskazanie prawidłowej podstaw prawnej.
Ponadto, należy zweryfikować, czy w piśmie został wskazany zakres żądnych danych osobowych, który ma ulec udostępnieniu i czy jest on zgodny z zasadą minimalizacji – tj. udostępnienie tylko takiego zakresu danych osobowych, jaki jest niezbędny organowi do celów prowadzonego postępowania. Jeśli w treści wniosku nie wskazano zakresu żądanych danych osobowych, lecz jedynie zawnioskowano o udostępnienie danych osobowych danej osoby, należy bezwzględnie wezwać organ do uzupełnienia wniosku.
W sytuacji, gdy do danego pracodawcy wpływa znaczna ilość wniosków o udostępnienie danych, dobrym rozwiązaniem jest wyznaczenie osoby odpowiedzialnej za realizację wniosków i prowadzenie rejestru wniosków o udostępnienie danych. Pozwoli to przede wszystkim na sprawowanie bieżącej kontroli nad takimi wnioskami, usystematyzowanie procesu i realizację zasady rozliczalności, wynikającej z RODO. Dobrą praktyką jest również wprowadzenie procedury obsługi wniosków.
W przypadku chęci konsultacji treści wpływających wniosków o udostępnienie danych osobowych lub przygotowania odpowiednich procedur, prosimy o kontakt z naszą kancelarią.
Patrycja Wróblewska
adwokat
