>Decyzje Giodo>2008 >

GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH
Michał Serzycki

Warszawa, dnia kwietnia 2008 r.

D E C Y Z J A

Na podstawie art. 104 § 1 oraz 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks
postępowania administracyjnego (Dz. U. 2000 r. Nr 98 poz. 1071 ze zm.) oraz art. 12 pkt 2 i art. 18
ust. 1 pkt 1, art. 22, art. 24 ust. 1 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych
osobowych (Dz. U. 2002 r. Nr 101 poz. 926 ze zm.), po przeprowadzeniu postępowania
administracyjnego w sprawie przetwarzania danych osobowych pracowników oraz kandydatów
do pracy przez Spółkę X.

1) nakazuję X. wypełnienie wobec pracowników oraz kandydatów do pracy w ww.
Spółce obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 pkt 4 ustawy o
ochronie danych osobowych, tj. poinformowanie ww.
o dobrowolności albo obowiązku podania danych, a jeŜeli taki obowiązek istnieje,
o jego podstawie prawnej,
2) w pozostałym zakresie umarzam postępowanie.

Uzasadnienie

Do Biura GIODO wpłynęło pismo Okręgowego Inspektora Pracy,
w którym poinformował Generalnego Inspektora Ochrony Danych Osobowych, iŜ podczas
kontroli w X, zwanej dalej Spółką, inspektorzy Okręgowego Inspektora Pracy ustalili, Ŝe
kwestionariusze osobowe znajdujące się w teczkach akt pracowników Spółki zawierają dane
wykraczające poza zakres przewidziany przepisami prawa pracy. Wraz z przedmiotowym pismem
Okręgowy Inspektor Pracy przesłał wzór stosowanego przez Spółkę „Kwestionariusza
osobowego Employee Biodata”. W związku z powyŜszym Generalny Inspektor wszczął z urzędu
postępowanie administracyjne w niniejszej sprawie, w toku którego ustalił, co następuje:
1) X stosowała „Kwestionariusz osobowy Employee Biodata”, w oparciu o który
pozyskiwała dane osobowe m.in. w zakresie: płeć; miejsce urodzenia; „statut zawodowy
(aktywny, karany, długi urlop, rezygnacja z pracy)”; numer telefonu komórkowego; numer pager’a;
adres e-mail; adres stałego zameldowania; miejsce zamieszkania („własny dom, zamieszkuje u
rodziców, wynajmuje dom, akademik, mieszkanie słuŜbowe”); środek transportu („pieszo,
komunikacja miejska, firmowy samochód, własny transport”); wyznanie (religia); obywatelstwo;
stan cywilny; „status kobiety (jeśli jesteś zamęŜna, to czy zajmujesz się domem?)”; „głowa rodziny”,
„stopień pokrewieństwa z głową rodziny”; umiejętności; hobby; wzrost; waga; wzrok – lewe oko,
prawe oko („normalny, minus, plus”); grupa krwi; stan rodzinny – członkowie rodziny (rodzice i
rodzeństwo), imię, nazwisko, data urodzin, stopień pokrewieństwa; umiejętności; publikacje
naukowe (rozprawy, artykuły, ksiąŜki); stan zdrowia – „czy kiedykolwiek cierpiałeś na ostre
choroby? Jeśli odpowiedziałeś tak, określ choroby, na które cierpiałeś i jak długo pozostawałeś
niedysponowany”; „kto jest odpowiedzialny za Twoją edukację?”.
2) W dniu 10 stycznia 2007 r. X komisyjnie zniszczyła dotychczas zebrane w Spółce ankiety
„Kwestionariusz osobowy Employee Biodata”,
a następnie zaczęła stosować „Kwestionariusz osobowy”, na podstawie którego
pozyskiwała dane osobowe pracowników m.in. w zakresie: nazwisko rodowe, nazwisko
rodowe matki, miejsce urodzenia, miejsce zameldowania, nr telefonu, obywatelstwo.
3) W dniu 21 września 2007 r. Spółka „trwale i nieodwracalnie usunęła wszystkie ankiety pracownicze
przygotowane w oparciu o stary stan prawny i zastąpiła je nowym wzorem”, na podstawie którego
Spółka pozyskiwała dane osobowe w zakresie: imię i nazwisko, numer ewidencyjny PESEL, numer
identyfikacyjny (NIP), stan rodzinny (imiona i nazwiska oraz daty urodzenia dzieci), powszechny
obowiązek obrony, osoba, którą naleŜy zawiadomić w razie wypadku, seria i nr dowodu
osobistego.
4) Spółka przetwarza dane osobowe kandydatów do pracy poprzez pozyskiwanie w procesie
rekrutacji danych osobowych zawartych w listach motywacyjnych oraz CV. KaŜdy
kandydat do pracy w Spółce podpisuje klauzulę, iŜ wyraŜa zgodę na przetwarzanie danych
osobowych wyłącznie w procesie rekrutacji w X
Z wyjaśnień pełnomocnika Spółki wynika równieŜ, iŜ pozyskiwane przez Spółkę dane
osobowe kandydatów do pracy nie wykraczają poza zakres określony w załączniku nr 1
rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie
zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze
stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. U. Nr 62
poz. 286 z późn. zm.).
5) Spółka informuje pracowników oraz kandydatów do pracy w X o adresie siedziby i pełnej
nazwie administratora danych, celu przetwarzania danych, prawie dostępu do treści danych
oraz ich poprawiania, uzupełnienia, uaktualnienia i sprostowania danych, gdy są one
niekompletne, nieaktualne lub nieprawdziwe.
Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego
Generalny Inspektor Ochrony Danych Osobowych zwaŜył, co następuje:
1 ) W świetle przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.
U. 2002 r. Nr 101 poz. 926 ze zm.), zwanej dalej ustawą, kaŜdy administrator danych jest
obowiązany udzielić osobie, której dane pozyskuje informacji z art. 24 ustawy. Zgodnie z art. 24
ust. 1 ustawy, w przypadku zbierania danych osobowych od osoby, której one dotyczą,
administrator danych jest obowiązany poinformować tę osobę o: 1) adresie swojej siedziby i
pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu
swojego zamieszkania oraz imieniu i nazwisku, 2) celu zbierania danych, a w szczególności o
znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach
odbiorców danych, 3) prawie dostępu do treści swoich danych oraz ich poprawiania, 4)
dobrowolności albo obowiązku podania danych, a jeŜeli taki obowiązek istnieje, o jego podstawie
prawnej. Zakresem zastosowania przepisu 24 ust. 1 pkt 4 ustawy objęte są obowiązki nałoŜone na
osobę, której dane dotyczą, m.in. postanowieniami autonomicznych źródeł prawa pracy.
Natomiast, gdy administrator danych uzaleŜnia dokonanie czynności prawnej (np. zawarcie
umowy) od podania określonych danych osobowych, to powinien poinformować osobę, której
dane dotyczą, nie tylko o dobrowolności ich podania, lecz takŜe o tym, Ŝe niepodanie określonych
danych osobowych skutkuje odmowę dokonania czynności prawnej.
Materiał dowodowy przedmiotowej sprawy wskazuje, iŜ Spółka nie wypełnia wobec
pracowników oraz kandydatów do pracy obowiązku informacyjnego z art. 24 ust. 1 pkt 4 ustawy.
Dlatego teŜ w powyŜszym zakresie Generalny Inspektor uznał, iŜ konieczne jest wydanie decyzji
administracyjnej nakazującej Spółce przywrócenie stanu zgodnego z prawem poprzez
wypełnienie wobec pracowników oraz kandydatów do pracy obowiązku informacyjnego, o
którym mowa powyŜej, tj. udzielenia ww. informacji o obowiązku podania danych
osobowych oraz o przepisach prawa pracy normujących powyŜszy obowiązek.
2 ) Mając na uwadze sprawę zakresu danych pozyskiwanych przez Spółkę od kandydatów do
pracy i pracowników wskazać naleŜy, Ŝe przepis art. 221 ustawy z dnia 26 czerwca 1974 r. Kodeks
pracy (t.j.: Dz. U. 1998 r. Nr 21 poz. 94 z późn. zm.) precyzyjnie określa, iŜ pracodawca ma prawo
Ŝądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących: imię
(imiona) i nazwisko, imiona rodziców, datę urodzenia, miejsce zamieszkania (adres do
korespondencji), wykształcenie, przebieg dotychczasowego zatrudnienia (art. 221 § 1 Kodeksu
pracy). Stosownie do art. 221 § 2 Kodeksu pracy, pracodawca ma prawo Ŝądać od pracownika
podania, niezaleŜnie od danych osobowych (o których mowa powyŜej), innych danych
osobowych pracownika, a takŜe imion i nazwisk oraz dat urodzenia dzieci pracownika (jeŜeli
podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze
szczególnych uprawnień przewidzianych w prawie pracy), numeru PESEL pracownika nadanego
przez Rządowe Centrum Informatyczne Powszechnego Elektronicznego Systemu Ewidencji
Ludności (RCI PESEL). Pracodawca moŜe Ŝądać podania innych danych osobowych niŜ
określone w § 1 i 2, jeŜeli obowiązek ich podania wynika z odrębnych przepisów (art. 221 § 4
Kodeksu pracy). Na mocy delegacji ustawowej wynikającej z art. 2981 Kodeksu pracy, wydane
zostało takŜe ww. rozporządzenie Ministra Pracy i Polityki Socjalnej w sprawie zakresu
prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz
sposobu prowadzenia akt osobowych pracownika, które określa m.in. wzór: kwestionariusza
osobowego dla osoby ubiegającej się o zatrudnienie (załącznik nr 1 do rozporządzenia) oraz
kwestionariusza osobowego dla pracownika (załącznik nr 1a do rozporządzenia). Tym samym,
zakres danych osobowych pracownika, jakie pracodawca moŜe przetwarzać w związku
z realizacją stosunku pracy, w sposób szczegółowy określony został przepisach prawa. Zgodnie
natomiast z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, przetwarzanie danych jest
dopuszczalne gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku
wynikającego z przepisu prawa.
Mając na uwadze powyŜsze, podkreślić naleŜy, Ŝe Generalny Inspektor Ochrony Danych
Osobowych wszczął postępowanie administracyjne w przedmiotowej sprawie bowiem powziął
informację, iŜ X przetwarza dane osobowe pracowników w zakresie szerszym niŜ wynika to z
obowiązujących przepisów prawa. W toku postępowania Generalny Inspektor badał takŜe zakres
danych osobowych kandydatów do pracy w X. W trakcie postępowania administracyjnego
prowadzonego
w niniejszej sprawie X zaprzestał jednak przetwarzania danych osobowych pozyskanych za
pomocą ww. „Kwestionariusza osobowego Employee Biodata” - gdzie były dane w zbyt szerokim
zakresie - i usunął ze swoich zbiorów zebrane za jego pomocą dane osobowe. W chwili obecnej
Spółka pozyskuje dane osobowe pracowników w zakresie określonym przepisem art. 221 Kodeksu
pracy oraz przepisami ww. rozporządzenia Ministra Pracy i Polityki Socjalnej w sprawie zakresu
prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz
sposobu prowadzenia akt osobowych pracownika. Odnosząc się natomiast do danych osobowych
kandydatów do pracy w X podkreślić naleŜy, iŜ z materiału dowodowego przedmiotowej sprawy
nie wynika by Spółka pozyskiwała dane osobowe kandydatów do pracy w zakresie szerszym niŜ
wynika to
z przepisów ww. rozporządzenia Ministra Pracy i Polityki Socjalnej.
Zgodnie z art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania
administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), gdy postępowanie
z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji publicznej wydaje
decyzję o umorzeniu postępowania. W literaturze przedmiotu uznaje się, iŜ bezprzedmiotowość
postępowania administracyjnego, o której mowa powyŜej oznacza, Ŝe brak jest któregoś
z elementów materialnego stosunku prawnego. PowyŜsze powoduje, iŜ nie moŜna wydać decyzji
administracyjnej załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia
postępowania moŜe istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione
dopiero w toczącym się postępowaniu, a moŜe równieŜ powstać w czasie trwania tego
postępowania, a więc w sprawie juŜ zawisłej przed organem administracyjnym (B. Adamiak, J.
Borkowski „Kodeks postępowania administracyjnego komentarz”, Wydawnictwo C.H. Beck
Warszawa 2000 r. str. 428).
Odnosząc się do przytoczonego powyŜej przepisu prawa, podkreślić naleŜy, iŜ w toku
postępowania prowadzonego przed Generalnym Inspektorem Spółka przywróciła stan zgodny z
prawem i usunęła ze swoich zbiorów dane osobowe pracowników w zakresie szerszym niŜ
wynikającym z przepisów Kodeksu pracy oraz ww. rozporządzenia. Materiał dowodowy
zgromadzony w przedmiotowej sprawie wskazuje równieŜ, iŜ X nie przetwarza danych
osobowych kandydatów do pracy w zakresie szerszym niŜ wynika to z przepisów rozporządzenia
Ministra Pracy i Polityki Socjalnej w sprawie zakresu prowadzenia przez pracodawców
dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt
osobowych pracownika. Dlatego teŜ w tym zakresie naleŜało umorzyć postępowanie
administracyjne.
Mając powyŜsze na względzie, w tym stanie prawnym i faktycznym, Generalny Inspektor
Ochrony Danych Osobowych rozstrzygnął, jak na wstępie.
Decyzja niniejsza jest ostateczna. Stronie, na podstawie art. 21 ust. 1 ustawy o ochronie danych
osobowych, w związku z art. 22 tej ustawy i w związku z art. 127 § 3 i art. 129 § 2 Kodeksu postępowania
administracyjnego, przysługuje, w terminie 14 dni od dnia doręczenia niniejszej decyzji, prawo złoŜenia
do Generalnego Inspektora Ochrony Danych Osobowych wniosku o ponowne rozpatrzenie sprawy (adres:
Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00 – 193 Warszawa).