Każde przetwarzanie potrzebuje podstawy prawnej. Art. 6 ust. 1 RODO wymienia ich sześć. Pracodawca (administrator) musi wybrać tę, która pasuje do konkretnego przetwarzania, i musi o tym informować.
Sześć podstaw prawnych
- Zgoda osoby, której dane dotyczą.
- Umowa: przetwarzanie jest niezbędne do wykonania umowy lub do podjęcia działań przed jej zawarciem. Na przykład umowa o pracę i wypłata wynagrodzenia.
- Obowiązek prawny: ustawa nakłada na administratora obowiązek przetwarzania danych. Na przykład odprowadzanie składek ubezpieczeniowych lub prowadzenie list płac.
- Żywotne interesy osoby, na przykład ratowanie życia.
- Interes publiczny lub sprawowanie władzy publicznej.
- Prawnie uzasadniony interes administratora lub strony trzeciej, o ile nie nadrzędne są prawa i interesy osoby. Administrator musi starannie zważyć interesy. Organy władzy publicznej nie mogą się nim posługiwać przy wykonywaniu swoich zadań.
Zgoda: tylko gdy jest naprawdę dobrowolna
Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna oraz musi dać się w każdej chwili równie łatwo wycofać (art. 7). Milczenie ani wcześniej zaznaczone pole nie są zgodą.
W stosunku pracy zgoda jest problematyczna. Pracownik jest zależny od pracodawcy, dlatego jego zgoda może nie być naprawdę dobrowolna. Pracodawca nie powinien opierać się na zgodzie w sprawach, których potrzebuje do funkcjonowania stosunku pracy. Tam ma użyć umowy, ustawy lub prawnie uzasadnionego interesu. Zgoda nadaje się do spraw dobrowolnych, na przykład do publikacji zdjęcia pracownika na stronie firmy.
Wiek dziecka do wyrażenia zgody
Art. 8 RODO dotyczy usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku. Rozporządzenie ustala wiek 16 lat, a państwa członkowskie mogą go obniżyć. Czechy obniżyły go do 15 lat (§ 7 ustawy nr 110/2019 Sb.). Dziecko poniżej 15 lat potrzebuje zgody przedstawiciela ustawowego.
Szczególne kategorie danych
Art. 9 RODO chroni dane szczególnie wrażliwe. Ich przetwarzanie jest co do zasady zakazane, chyba że zachodzi wyjątek. Chodzi o dane dotyczące:
- pochodzenia rasowego lub etnicznego
- poglądów politycznych
- przekonań religijnych lub światopoglądowych
- przynależności do związków zawodowych
- stanu zdrowia
- seksualności lub orientacji seksualnej
- dane genetyczne i biometryczne służące do jednoznacznej identyfikacji
Wyjątki są wąskie. Dla pracodawcy najważniejszy jest wyjątek, gdy przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania praw w dziedzinie prawa pracy i zabezpieczenia społecznego. Możliwa jest też wyraźna zgoda lub ochrona żywotnych interesów.
Przykład: pracodawca może przetwarzać dane o niezdolności pracownika do pracy, bo potrzebuje ich do wypłaty wynagrodzenia chorobowego i do obowiązków z zakresu ubezpieczenia chorobowego. Diagnozy do tego nie potrzebuje i nie może jej żądać od pracownika, chyba że wymaga tego ustawa.
Dane o wyrokach i przestępstwach
Dane o wyrokach skazujących i przestępstwach (art. 10 RODO) przetwarza się tylko wtedy, gdy zezwala na to prawo. W stosunku pracy dotyczy to także kodeksu pracy: informacji o niekaralności pracodawca może żądać tylko wtedy, gdy uzasadnia to rzeczowy powód wynikający z charakteru pracy, a żądanie jest proporcjonalne, albo gdy tak stanowi ustawa (§ 316 ust. 4).
Co zapamiętać
- Bez podstawy prawnej danych przetwarzać nie wolno.
- Zgoda w pracy bywa słabą podstawą i musi dać się w każdej chwili wycofać.
- W Czechach wiek dziecka do wyrażenia zgody wynosi 15 lat.
- Dane o zdrowiu i inne szczególne kategorie wymagają szczególnego wyjątku.