Prezes Urzędu Ochrony Danych Osobowych nałożył nałożył administracyjną karę pieniężną w wysokości w wysokości 15 994 złotych na spółkę z powodu niezgłoszenie do UODO naruszenia ochrony danych osobowych polegającego na utracie świadectwa pracy pracownika.

Wyrok w sprawie monitorowania e-mail poczty personelu

Prezes Urzędu Ochrony Danych Osobowych nakazuje Urzędowi Celno-Skarbowemu usunięcie danych osobowych kandydata, który brał udział w rekrutacji, w zakresie imienia, nazwiska oraz miejsca zamieszkania umieszczonych na stronie internetowej Urzędu. Zdaniem POUDO na administratorze danych ciąży obowiązek rozważenia celowości i ustanowienia okresu udostępniania danych osobowych oraz ich niezwłocznego usuwania po upływie ustanowionego okresu. Optymalnym okresem czasu, przez jaki takie informacje mogą być ujawniane na podstawie art. 31 ustawy o służbie cywilnej jest okres trzech miesięcy liczony od dnia ich publikacji.

Decyzja Prezesa UODO umarzająca postępowanie w sprawie publikacji danych osobowych na klatce schodowej

Administrator danych powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą i musi zapewnić, aby pozostające w jego posiadaniu dane były przetwarzane zgodnie z prawem.

Obowiązek informacyjny przewidziany w art. 33 ww. ustawy ma na celu zagwarantowanie osobom, których dane osobowe są przetwarzane, dostępu do informacji o okolicznościach ich przetwarzania. Prawidłowe i rzetelne wypełnienie przez administratora danych tego obowiązku jest niezbędne do zapewnienia osobie, której dane osobowe dotyczą, kontroli prawidłowości procesu przetwarzania jej danych osobowych oraz umożliwienia jej korzystania z uprawnień określonych w ustawie o ochronie danych osobowych.

Na podstawie materiału dowodowego należy stwierdzić, iż to Spółka decyduje o celach i środkach przetwarzania danych posiadaczy kart [...]. Klient co prawda posiada swobodę wyboru, czy karty będą imienne czy też na okaziciela, jednakże w przypadku, gdy zdecyduje się na karty imienne, to Spółka określa jaki zakres danych osobowych jest niezbędny dla wystawienia takich kart. Jeżeli klient natomiast zdecyduje się na karty na okaziciela, nie dochodzi do przetwarzania danych osobowych przez Spółkę.

Ustawa o ochronie danych osobowych reguluje zasady postępowania przy przetwarzaniu danych osobowych, a w szczególności zaś kwestię dopuszczalności przetwarzania (w tym udostępniania) danych osobowych, nie zaś kwestię dopuszczalności udostępnienia dokumentacji. W konsekwencji, Generalny Inspektor może nakazać jedynie udostępnienie danych, nie zaś udostępnienie dokumentacji. Sprawa w przedmiocie udostępnienia dokumentów z akt osobowych jest sprawą z zakresu prawa pracy w rozumieniu art. 476 § 1 pkt 1 kpc.

Pracodawcom wolno instalować oprogramowanie monitorujące sieć – jednakże pracownicy powinni mieć świadomość, że są poddawani monitoringowi. Pracodawca powinien zatem szczegółowo określić zasady monitoringu i zapoznać z nimi pracowników, którzy fakt zapoznania się powinni potwierdzić stosownym podpisanym oświadczeniem o ich akceptacji.

Obowiązek zachowania tajemnicy przedsiębiorstwa jest obowiązkiem każdego pracownika. Pracownik jest obowiązany zachować w tajemnicy informacje, których ujawnienie mogłoby narazić pracodawcę na szkodę oraz przestrzegać tajemnicy określonej odrębnymi przepisami. W omawianym przypadku wystarczającą podstawą do uznania zachowania powódki za ciężkie naruszenie podstawowych obowiązków pracowniczych było ustalenie, że powódka przekazała na swoją prywatną skrzynkę e-mailową informacje o bazie klientów i potencjalnych klientów strony pozwanej, co było uzasadnioną przyczyną rozwiązania z pracownikiem umowy o pracę bez wypowiedzenia, na podstawie art. 52 § 1 pkt 1 Kodeksu pracy.

Artykuł 6 ust. 1 lit. b) i c) oraz art. 7 lit. c) i e) dyrektywy 95/46 należy interpretować w ten sposób, że nie stoją one na przeszkodzie uregulowaniu krajowemu, takiemu jak to, którego dotyczy postępowanie główne, które nakłada na pracodawcę obowiązek udostępnienia krajowemu organowi właściwemu w sprawach nadzoru nad warunkami pracy ewidencji czasu pracy w sposób umożliwiający natychmiastowy wgląd do tej ewidencji, o ile obowiązek ten jest konieczny dla potrzeb sprawowania przez ten organ nadzoru nad stosowaniem przepisów dotyczących warunków pracy, w szczególności z zakresu czasu pracy.

Jeżeli nawet w wyniku zawartej umowy Stowarzyszenie uzyskało dane osobowe niektórych pracowników to nie mogło tych danych, bez ich zgody, udostępniać innym podmiotom, co także w rozumieniu art. 7 pkt 2 u.o.d.o. dotyczy udostępnienia w systemach informatycznych.

Korespondencja pomiędzy organami szkoły lub przedszkola ( tj. pomiędzy dyrektorem a radą rodziców), której treścią jest wniosek o interwencję w sprawie jednego z nauczycieli placówki w związku ze zgłaszanymi przez dzieci i rodziców zarzutami wobec jakości jego pracy oraz wniosek o ustalenia przez dyrektora placówki czy nauczyciel realizuje rzetelnie zadania dydaktyczne, wychowawcze i opiekuńcze (tj. wniosek w sprawie realizacji obowiązków służbowych, podczas lub w związku z pełnieniem obowiązków których nauczyciel korzysta z ochrony przewidzianej dla funkcjonariuszy publicznych) jest pismem zawierającym treści stanowiące informację publiczną. Informacja publiczna podlega zaś udostępnieniu każdemu, a więc również innemu nauczycielowi tej samej szkoły i przedszkola.

Przetwarzanie danych osobowych, w tym ich udostępnianie, zawsze powinno znajdować podstawę prawną. Przesłanki legalności przetwarzania danych osobowych określone zostały w art. 23 ust. 1 pkt 1-5 ustawy o ochronie danych osobowych. W przypadku zaś danych szczególnie chronionych, w tym danych o przynależności związkowej, ustawodawca wprost wskazał w art. 27 ust. 1 powołanej ustawy, że ich przetwarzanie jest zabronione. Dopuszczalne jest ono wyłącznie w przypadkach wymienionych w art. 27 ust. 2 pkt 1-10 tej ustawy.

Spółka powinna mieć na uwadze wymagania określone przepisami ustawy o ochronie danych osobowych, w tym określoną w art. 26 ust. 1 pkt 2 ustawy zasadę celowości. Poza cel gromadzenia danych w zakresie korzystania z obrony związku zawodowego - który istnieje w określonych w przepisach Kodeksu pracy przypadkach, gdy pracodawca zamierza rozwiązać umowę o pracę z pracownikiem lub wypowiedzieć mu warunki pracy i płacy - wykracza pozyskiwanie danych osobowych wszystkich pracowników korzystających z ochrony związkowej za pomocą ich imiennego wykazu.

Powoływanie zgody wyrażonej przez pracowników jako przesłanki legalizującej przetwarzanie danych biometrycznych w sytuacji, gdy przepisy prawa wskazują katalog danych, które mogą być przez pracodawcę przetwarzane, prowadzi do obchodzenia prawa regulującego te kwestie w sposób jednoznaczny. Złożenie przez pracownika oświadczenia, które jest wyrażeniem zgody na przetwarzanie danych osobowych w postaci linii papilarnych, nie stanowi przesłanki legalizującej przetwarzanie danych osobowych pracowników. Pracownik nie inicjuje podania tych danych, lecz zwraca się o nie pracodawca.

Generalny Inspektor Ochrony Danych Osobowych w swych decyzjach przyjmuje, że przepis art. 22 1 § 1 ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy zawiera zamknięty katalog danych osobowych, których podania może od kandydata do pracy żądać przyszły pracodawca, i nie wymieniono w nim danych osobowych, gromadzonych przy pomocy ww. testów. To, że w art. 22 1 § 1 Kodeksu pracy nie wymieniono danych osobowych, pozyskiwanych za pośrednictwem tego rodzaju testów, nie oznacza jeszcze, że organ administracji publicznej, a takim niewątpliwie jest GIODO, zostaje zwolniony z obowiązku oceny stanu faktycznego sprawy w kontekście norm stanowiących prawne podstawy przetwarzania danych osobowych.

Wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników jest nieproporcjonalne do zamierzonego celu ich przetwarzania w rozumieniu art. 26 ust. 1 pkt 3 powołanej ustawy o ochronie danych osobowych.

Jeśli chodzi o dane pracownika takie jak linie papilarne czy wzór siatkówki oka, pobieranie tych danych, ich gromadzenie, czyli przetwarzanie - co do zasady - nie jest zabronione, lecz odbywać się musi z poszanowaniem przepisów ustawy o ochronie danych osobowych. W związku z powyższym – jeśli dane biometryczne w postaci odcisków linii papilarnych palców pracowników zostały uzyskane na podstawie zgody, wyrażonej przez pracownika w postaci pisemnego oświadczenia, wówczas można przyjąć, że osoba je składająca wyraża zgodę na przetwarzanie jej danych osobowych, którymi w tym przypadku są w tym przypadku linie papilarne.

Uprawnienie do żądania udostępnienia pracownikowi dokumentów (kserokopii) złożonych w jego aktach osobowych nie mieści się w zakresie praw, które przysługują osobie w związku z przetwarzaniem jego danych osobowych, uprawnienia tego należy poszukiwać w treści praw i obowiązków wynikających ze stosunku pracy.