28 cze (nie)zwykłe dane o karalności – jak je przetwarzać?
Zasady przetwarzania danych o karalności nie są takie same jak „typowych”, zwykłych danych osobowych, przez co często budzą wątpliwości wśród pracodawców. Wynikają one z błędnego zrozumienia zasad przetwarzania i oparcia go na niewłaściwej podstawie prawnej.
Kiedy i w jakim zakresie pracodawca może zatem zażądać informacji o karalności pracownika lub kandydata do pracy?
Zwykłe i szczególne dane osobowe a dane o karalności
Zacznijmy od podstaw. RODO dzieli dane osobowe na „zwykłe” (na przykład imię, nazwisko, adres), których przetwarzanie podlega pod art. 6 ust. 1 RODO, a także dane należące do szczególnych kategorii (między innymi o zdrowiu, seksualności, wyznaniu, pochodzeniu etnicznym), których przetwarzanie jest wyłączone, chyba że zachodzą podstawy z art. 9 ust. 2 RODO.
W tym zestawieniu nieco inaczej prezentują się dane o karalności. Ich przetwarzanie osobno reguluje art. 10 RODO. Zgodnie z tym przepisem, przetwarzanie opiera się na art. 6 ust. 1 RODO, ale jest obarczone dodatkowym ograniczeniem. Może być wykonywane tylko pod nadzorem władz publicznych lub jeśli umożliwia to prawo UE lub danego państwa członkowskiego.
Uzasadnienie dla tego dodatkowego ograniczenia jest proste. Przetwarzanie danych dotyczących karalności konkretnej osoby ma istotny wpływ zarówno na jej życie prywatne, jak i zawodowe.
Pracodawcy często chcą zweryfikować kandydata przed rozmową rekrutacyjną lub dopuszczeniem do pracy i w tym celu proszą o zaświadczenie o niekaralności z Krajowego Rejestru Karnego lub oświadczenie złożone we własnym imieniu. Informacja o skazaniu (niezależnie od czynu, który został popełniony) często staje się kryterium decydującym o zatrudnieniu danej osoby. Podobna sytuacja tyczy się kontynuowania współpracy z określoną osobą, jeśli w toku zatrudnienia ujawnione zostanie popełnienie przez nią przestępstwa, nawet niezwiązanego z zajmowanym stanowiskiem. Dlatego takim danym przypisuje się charakter „szczególnej wrażliwości” – z uwagi na ich znaczenie dla interesu zatrudnionego.
Często spotykamy się np. z sytuacją, kiedy podmioty współpracujące ze spółkami amerykańskimi, tworzące – dla przykładu – dla nich oprogramowanie, zostają umownie zobowiązane do zagwarantowania niekaralności osób pracujących przy projekcie. Pracodawcy wychodzą wówczas z założenia, że mogą się powołać na umowę z kontrahentem i swój uzasadniony interes albo ewentualnie przepis prawa amerykańskiego. Taka praktyka nie jest jednak prawidłowa. Ryzykowne jest również opieranie się na podstawie zgody pracownika z uwagi na brak wskazania zgody w katalogu z art. 10 RODO czy dodatkowo nierówność relacji pomiędzy stronami (pracodawca – pracownik) oraz wątpliwości, na ile zgoda wyrażona w takim stosunku jest dobrowolna.
Do przetwarzania potrzebny przepis
Pomimo „szczególnej wrażliwości” danych o karalności, nie stanowią one jednak danych należących do szczególnej kategorii w rozumieniu art. 9 RODO. Są to dane „zwykłe” dla których przetwarzania przewidziano specjalne wymogi w postaci nadzoru państwa albo znalezienia szczególnej podstawy prawnej w przepisach.
Co to oznacza? Danych o karalności nie możemy przetwarzać dowolnie. Przetwarzanie musimy oprzeć na konkretnym przepisie prawa. Co istotne musi to być także przepis prawa UE lub Państwa Członkowskiego. Pracodawca może zatem żądać takich danych tylko i wyłącznie w przypadku (i w zakresie) w jakim umożliwia mu to przepis prawa. Nie może bezwzględnie stwierdzić, że w danym przypadku posiada „interes” w sprawdzeniu pracownika lub kandydata do pracy, bo musi na przykład zapewnić bezpieczeństwo w zakładzie, obliguje go do tego umownie kontrahent lub chce powierzyć pracownikowi stanowisko sprzedawcy, co wiąże się z przyjmowaniem gotówki. Jeśli nie ma przepisu (podstawy prawnej) – nie ma możliwości weryfikowania karalności pracownika lub kandydata.
Dane o karalności w polskich realiach
W polskim prawie przewidziano sytuacje, które uprawniają do weryfikowania danych o karalności wybranych zawodów lub grup osób. Możliwość pozyskiwania takich danych przewiduje na przykład ustawa Karta Nauczyciela, ustawa o Straży Granicznej, ustawa o usługach detektywistycznych, ustawa o zamówieniach publicznych czy prawo dewizowe.
Ograniczoną możliwość weryfikacji karalności danej osoby przewiduje też ustawa o przeciwdziałaniu zagrożeniom przestępczością na tle seksualnym[1]. Pozwala ona niektórym podmiotom (nie tylko pracodawcom) weryfikować, czy określona osoba została umieszczona w Rejestrze Sprawców Przestępstw na Tle Seksualnym – gdy ma ona wykonywać pracę z dziećmi. Taka weryfikacja będzie więc możliwa w przypadku np. asystentów nauczycieli, opiekunów dzieci, animatorów itp. Ustawa nie umożliwia jednak przetwarzania danych o przestępstwach innych niż te, o których sama wspomina (chodzi więc tylko o przestępstwa uregulowane w rozdziale XXV Kodeksu karnego).
Zaświadczenie o niekaralności
Dodatkowe wątpliwości dotyczą zaświadczenia o niekaralności z Krajowego Rejestru Karnego. Pojawia się pytanie, czy skoro art. 10 RODO stanowi o „wyrokach skazujących i czynach zabronionych”, to czy żądanie zaświadczenia o niekaralności kandydata do pracy lub pracownika podlega szczególnym rygorom opisanym w artykule, nawet jeśli kandydat lub zatrudniony nie popełnił żadnego przestępstwa?.
Stanowisko Prezesa Urzędu Ochrony Danych Osobowych jest jednoznaczne – nawet informacja o braku wyroku skazującego i braku czynów zabronionych podlega powyższym zasadom. To znaczy, że informacja o „czystej kartotece” pracownika również stanowi informację o „wyrokach i czynach zabronionych” i nie może być przetwarzana, jeżeli nie zachodzi jedna z przesłanek z art. 10 RODO (np. nie mamy podstawy prawnej wymienionej wprost w przepisie ustawy regulującej prowadzoną przez nas działalność).
Przetwarzanie danych o karalności w praktyce
Choć dane o karalności nie stanowią danych szczególnej kategorii, obwarowane są ograniczeniami, które powodują, że nie mogą być przetwarzane na takich samych zasadach jak dane „zwykłe”. Pracodawcy muszą mieć szczególną podstawę do ich przetwarzania, wskazaną wprost w przepisach prawnych.
Niedopuszczalne będzie więc przetwarzanie danych o karalności wyłącznie w oparciu o uzasadniony interes pracodawcy albo nawet na podstawie zgody pracownika.
Oznacza to również, że nie można bez szczególnej podstawy prawnej żądać od danej osoby zaświadczenia z Krajowego Rejestru Karnego czy złożenia oświadczenia w tym przedmiocie (nawet jeśli osoba nie popełniła nigdy przestępstwa). Taka szczególna podstawa musi ponadto wynikać z prawa UE lub prawa Państwa Członkowskiego.
[1] z 13 maja 2016 r.
