Przechowywanie zgód pozyskanych w związku z RODO oraz upoważnień do przetwarzania danych

Przepisy rozporządzenia w sprawie dokumentacji pracowniczej zawierają listę dokumentów przechowywanych w części A i B akt osobowych. Ze względu na swój charakter oraz wagę powinny się w niej znaleźć również te wynikające ze stosowania RODO.

Katalogi danych osobowych przekazywanych pracodawcy obowiązkowo przez kandydatów do pracy i pracowników zmieniły się od 4 maja 2019 r., jednak dane te nadal są udostępniane w formie oświadczeń, a pracodawca może żądać przedłożenia dokumentów w zakresie niezbędnym do ich potwierdzenia (art. 22¹ § 5 K.p.). Te oświadczenia i dokumenty należy umieścić odpowiednio w części A lub B akt osobowych pracownika. Tak samo należy postąpić ze zgodami na pozyskanie i przetwarzanie danych osób ubiegających się o pracę oraz pracowników, które są pozyskiwane w związku ze stosowaniem przepisów RODO (art. 22¹ § 4 K.p.).

Wspomniany przepis art. 32 RODO określa warunki zachowywania bezpieczeństwa danych osobowych, w tym w ust. 4 zobowiązuje pracodawcę jako administratora do podjęcia działań w celu zapewnienia, żeby każda osoba fizyczna działająca z jego upoważnienia, która ma dostęp do danych osobowych, przetwarzała je wyłącznie na jego polecenie, chyba że wymaga tego od niej prawo Unii lub państwa członkowskiego. Z kolei art. 5 ust. 1 lit. f RODO nakłada obowiązek przestrzegania zasady integralności i poufności, czyli przetwarzania danych osobowych w sposób zapewniający im odpowiednie bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. 

W świetle § 3 pkt 1 i 2 rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej z dnia 16 grudnia 2018 r. w sprawie dokumentacji pracowniczej (Dz. U. poz. 2369), nie ma przeszkód, aby sporządzane na mocy wymienionych regulacji dokumenty (upoważnienia do przetwarzania danych osobowych, karty dostępu do systemu czy oświadczenia o zachowaniu danych osobowych w tajemnicy/poufności) były gromadzone w części B akt osobowych pracowników. Pod rządami poprzednio obowiązującego rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w tej sprawie (Dz. U. z 2017 r. poz. 894) też należało to uznać za dopuszczalne.

Uwaga! RODO nakłada wiele obowiązków na administratora danych osobowych związanych z ich przetwarzaniem, w tym między innymi wymaga prowadzenia stosownej dokumentacji. Z nielicznymi wyjątkami brak jest jednak w rozporządzeniu wytycznych co do jej zawartości oraz sposobu prowadzenia. Pewne wymagania nakreślono w stosunku do rejestrowania czynności przetwarzania (art. 30 RODO), zgłaszania naruszeń ochrony danych do organu nadzorczego (art. 33 ust. 3 RODO), prowadzenia wewnętrznej dokumentacji stanowiącej rejestr naruszeń ochrony danych (art. 33 ust. 5 RODO), zawartości raportu dokumentującego wyniki przeprowadzonych ocen skutków dla ochrony danych (art. 35 ust. 7 RODO). W pozostałym zakresie rozporządzenie daje administratorowi dowolność, byleby dzięki stworzonej przez siebie dokumentacji był w stanie wykazać, że przetwarza dane zgodnie z prawem. W konsekwencji to, czy pracodawca będzie ją prowadził w formie indywidualnych teczek RODO, czy też poszczególne zindywidualizowane dokumenty (np. upoważnienie do przetwarzania danych) włączy do akt osobowych, ma znaczenie drugorzędne.