Ta lekcja dotyczy danych o ludziach, z którymi pracujesz, i zasad ich monitorowania. DPC opublikował w kwietniu 2023 r. wytyczne dla pracodawców Data Protection in the Workplace (ochrona danych w miejscu pracy). Stosują one RODO do danych pracowników i odwołują się do orzecznictwa europejskiego w sprawie praw człowieka.
Dane pracowników
Pracodawcy przechowują wiele danych osobowych: dane kontaktowe, bankowe, płacowe, o wynikach, nieobecnościach i zdrowiu. Zasady z lekcji 2 do 6 stosują się tak samo. W szczególności:
- Pracownicy muszą wiedzieć, co się zbiera i po co (informacja o prywatności dla pracowników).
- Dane o zdrowiu to dane szczególnych kategorii. Dokumentację zwolnień powinny widzieć tylko osoby, które jej potrzebują, a szczegółów medycznych wykraczających poza to, do czego pracodawca ma prawo, nie należy zbierać.
- Ograniczaj dostęp do akt kadrowych. Kierownik nie potrzebuje wglądu w akta skargi ani zaświadczenie lekarskie współpracownika, chyba że uczestniczy w postępowaniu.
- Nie umieszczaj informacji osobistych o współpracownikach, takich jak urodziny, zdrowie czy sprawy dyscyplinarne, na tablicach ogłoszeń ani w grupowych czatach.
- Przechowuj dokumenty nie dłużej, niż potrzeba, zgodnie z harmonogramem przechowywania.
Monitorowanie pracowników
Pracodawcy mogą mieć powody do monitorowania: bezpieczeństwo, ochrona mienia, bezpieczeństwo pracy lub kontrola zgodności. Ale monitorowanie to przetwarzanie danych osobowych i musi być zgodne z zasadami. Według wytycznych DPC monitorowanie musi być:
- niezbędne: do jasnego, uzasadnionego celu, a nie „na wszelki wypadek”;
- proporcjonalne: najmniej inwazyjna metoda, która spełnia cel;
- przejrzyste: pracownicy muszą być poinformowani z wyprzedzeniem o tym, co jest monitorowane, jak i dlaczego, zwykle w pisemnej polityce;
- ograniczone: dane używane wyłącznie do podanego celu.
Pracodawcy powinni zwykle przeprowadzić ocenę skutków dla ochrony danych (DPIA) przed wprowadzeniem inwazyjnego monitorowania (art. 35). Monitorowanie ukryte jest wyjątkiem. DPC mówi, że należy go unikać, gdzie tylko można, i stosować wyłącznie w indywidualnych przypadkach, na przykład do zbadania podejrzenia przestępstwa, z udziałem Gardaí (irlandzkiej policji).
Najczęstsze rodzaje:
- E-mail i internet: polityka powinna mówić, czy wolno korzystać z nich prywatnie i co można sprawdzać. Zaglądanie do treści prywatnych wiadomości jest znacznie trudniejsze do uzasadnienia niż sprawdzanie ilości czy logów.
- Monitoring wizyjny (CCTV): kamery wymagają jasnego celu, na przykład bezpieczeństwa, oraz tablic informujących, że działa CCTV i kto je prowadzi. Nie powinny filmować toalet, przebieralni ani pokojów socjalnych, poza bardzo rzadkimi przypadkami. Nagrań nie należy przechowywać dłużej, niż trzeba. Ludzie mogą żądać kopii nagrań, na których się znajdują.
- Śledzenie pojazdów GPS: powinno dotyczyć działalności firmy, na przykład planowania pracy. Śledzenie poza godzinami pracy raczej nie jest zgodne z prawem, zwłaszcza w samochodzie należącym do pracownika.
- Nagrywanie rozmów i oprogramowanie do pracy zdalnej: obowiązują te same testy. Ciągłe zrzuty ekranu lub rejestrowanie klawiszy trudno uzasadnić.
Europejski Trybunał Praw Człowieka stwierdził w sprawie Bărbulescu przeciwko Rumunii (2017), że pracodawcy muszą z wyprzedzeniem informować pracowników o charakterze i zakresie monitorowania komunikacji. Pracownicy nie tracą prawa do prywatności w pracy.
Numery PPS
Personal Public Service Number (PPSN) to numer referencyjny do kontaktów z państwem. Zasady jego używania zawiera Social Welfare Consolidation Act 2005 (sekcje 262 do 270 i załącznik 5).
- Tylko wskazane podmioty, głównie organy publiczne wymienione w ustawie, mogą używać numeru PPS w kontaktach z osobą, do celów określonych w ustawie.
- Każdy inny, kto używa numeru PPS lub o niego prosi bez podstawy prawnej, popełnia przestępstwo (sekcja 262 ust. 9). Nie proś klienta o numer PPS do kart lojalnościowych, rejestracji ani weryfikacji tożsamości.
- Pracodawcy potrzebują numeru PPS pracownika do wypłacania wynagrodzeń i rozliczeń z Revenue oraz Department of Social Protection (ministerstwem opieki społecznej), bo są to kontakty ze wskazanymi podmiotami. To obowiązek prawny, a numer powinien być przechowywany w dokumentacji płacowej i kadrowej, z ograniczonym dostępem.
- Traktuj go jako wrażliwy: może posłużyć do oszustwa tożsamościowego. Nie umieszczaj go w e-mailach ani we wspólnych dokumentach bez potrzeby.
Freedom of Information
Jeśli twój pracodawca to podmiot publiczny (ministerstwo, samorząd lokalny, służba HSE, szkoła lub uczelnia finansowana przez państwo), stosuje się też Freedom of Information Act 2014 (ustawa o dostępie do informacji publicznej, FOI). Daje ona społeczeństwu prawo wglądu w dokumenty posiadane przez ten podmiot. Dokumenty zawierające informacje osobowe o innych osobach są zwykle chronione przed ujawnieniem (sekcja 37). FOI i ochrona danych to różne ustawy i różne wnioski: osoba prosząca o własne dane osobowe składa SAR, choć może mieć zastosowanie także ustawa FOI. Jeśli otrzymasz wniosek wspominający o „Freedom of Information”, przekaż go niezwłocznie urzędnikowi FOI.
Co zapamiętać
- Monitorowanie musi być niezbędne, proporcjonalne i przejrzyste, a pracownicy muszą być wcześniej poinformowani.
- CCTV wymaga jasnego celu i tablic informacyjnych.
- Numer PPS wolno używać tylko tak, jak pozwala prawo. Pracodawcy potrzebują go do płac i podatków.
- Akta kadrowe są prywatne i udostępniane wyłącznie osobom, które ich potrzebują.