Weryfikacja kandydatów jest możliwa, ale musi odbywać się zgodnie z przepisami RODO i Kodeksu pracy. Podstawą przetwarzania danych może być prawnie uzasadniony interes pracodawcy, szczególnie w przypadku stanowisk wymagających dostępu do poufnych informacji, finansów lub dużej odpowiedzialności.

Pracodawca może sprawdzać m.in. tożsamość, wykształcenie czy przebieg zatrudnienia. Ostrożność należy zachować przy weryfikacji referencji, niekaralności oraz informacji z mediów społecznościowych – zakres kontroli musi być uzasadniony charakterem stanowiska i nie może naruszać prawa do prywatności.

Najważniejsze jest, aby proces weryfikacji był przejrzysty, proporcjonalny i odpowiednio udokumentowany. Kandydat powinien wiedzieć, jakie informacje będą sprawdzane i w jakim celu.

Weryfikacja pracowników nie powinna przypominać „szpiegowania”, lecz służyć potwierdzaniu faktów istotnych dla bezpieczeństwa firmy i prawidłowego procesu rekrutacji.

Więcej na ten temat w artykule dla Rzeczpospolitej TUTAJ.

UODO ukarał pracodawcę upomnieniem za naruszenie RODO.

Pracodawca odwołał się do sądu, próbując tłumaczyć, że prywatne wiadomości same pojawiły się na ekranie. Argumenty te nie przekonały sądu, który przesądził, że doszło do naruszenia przepisów o ochronie danych osobowych.

Więcej artykułów o prawie HR w newsletterze – PRO HR Czerwiec 2026

Zastrzeżenia organu dotyczyły m.in. braku podpisu reprezentanta pracodawcy, braku imienia i nazwiska osoby upoważnionej, braku sprecyzowanego zakresu.

Trudno zgodzić się z decyzją UODO. RODO nie narzuca żadnej formy nadawania upoważnień, forma pisemna wynika ze szczególnych przepisów prawa pracy i obejmuje tzw. dane wrażliwe. Pozostaje czekać na orzeczenie WSA, jeśli administrator zdecyduje się zaskarżyć decyzję.

Co zrobić już teraz jeśli stosujemy takie systemy? Przede wszystkim należy zweryfikować, czy mamy odpowiednio określony zakres upoważnienia. Dokumenty nie powinny być generowane w identycznej formie dla każdego, ale odzwierciedlać zakres danych oraz rodzaj operacji, do jakich ma być uprawniony. Ważne by takie upoważnienie wskazywało również komu jest udzielone, tak by pracodawca mógł potem wykazać, że faktycznie doszło do nadania upoważnienia konkretnemu pracownikowi.

Więcej artykułów o prawie HR w newsletterze – PRO HR Marzec 2026

Niezrealizowane obowiązki

Kluczowym elementem decyzji jest wskazanie, że administrator danych (w tym przypadku pracodawca) nie może przyjąć biernej postawy po przekazaniu procesów (a w konsekwencji również danych osobowych) podwykonawcy. Organ nadzorczy sformułował szereg krytycznych uwag dotyczących uchybień:

Brak realnej analizy ryzyka: UODO podkreślił, że ani administrator, ani procesor nie przeprowadzili rzetelnej analizy ryzyka przed rozpoczęciem operacji na danych. Analiza ta powinna uwzględniać specyficzne zagrożenia wynikające z charakteru usług świadczonych przez procesora oraz rodzaj przetwarzanych danych.

Pozorna weryfikacja procesora i umowa blankietowa: Administratorzy często poprzestają na samym podpisaniu umowy powierzenia przetwarzania (art. 28 RODO), stosując często darmowe, blankietowe wzory z Internetu. Zakładają tym samym, że ich podwykonawca „wie co robi”. UODO jednoznacznie wskazał, że to administrator ma obowiązek zweryfikować, czy procesor faktycznie zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych.

Niestosowanie minimalizacji danych: W systemie, który służył do ewidencji czasu pracy, przetwarzano numery PESEL oraz paszportów. Zdaniem organu było to naruszenie zasady minimalizacji (art. 5 ust. 1 lit. c RODO) – do identyfikacji pracowników w tym celu wystarczyłyby dane, które w mniejszym zakresie narażałby pracowników na kradzież tożsamości.

Brak nadzoru i audytu: Administrator nie korzystał ze swojego prawa do kontroli i audytu u procesora, co mogłoby pozwolić na wczesne wykrycie błędów w konfiguracji systemów.

Ignorowanie roli IOD: Stwierdzono, że Inspektor Ochrony Danych (IOD) nie był włączany we wszystkie sprawy dotyczące ochrony danych, co uniemożliwiło mu prawidłowe doradztwo w zakresie oceny skutków planowanych operacji.

Decyzja UODO jest jasnym sygnałem, jakich standardów oczekuje organ nadzorczy. Aby uniknąć podobnych sankcji, organizacje powinny wdrożyć następujące mechanizmy:

Aktywny nadzór nad procesorami: Nie wystarczy „papierowa” zgodność, tj. podpisanie umowy na gotowym wzorze z Internetu. Administrator musi regularnie kontrolować podmioty, którym powierza dane. Audyty u podwykonawców powinny stać się standardem, a nie wyjątkiem.

Wdrożenie „Privacy by Design” i „Privacy by Default”: Już na etapie projektowania systemów (np. ewidencji czasu pracy) należy zadbać o to, by zakres zbieranych danych był ograniczony do absolutnego minimum, np. niewykorzystywanie do tego celu numeru PESEL czy numeru paszportu.

Stosowanie analizy ryzyka: Operacje na dużych zbiorach danych czy też przekazywanie takich zbiorów na zewnątrz organizacji powinny wiązać się z przeprowadzeniem analizy ryzyka. Taka analiza musi zostać udokumentowana i odnosić się do konkretnych zagrożeń.

Wzmocnienie roli IOD: Inspektor ochrony danych powinien mieć realny wpływ na decyzje podejmowane w organizacji.

Zgłaszanie incydentów: Organizacja powinna posiadać sprawny system wykrywania naruszeń i zawiadamiania zarówno organu nadzoru jak i podmioty danych. W omawianym przypadku brak szybkiej reakcji i bezpośredniego zawiadomienia wpłynął na surowość oceny organu.

Podsumowanie

Nałożona kara daje wyraźny sygnał, że UODO przykłada uwagę do przetwarzania danych osobowych przez pracodawców. Zawarcie blankietowej umowy z kontrahentem nieuwalania pracodawców od odpowiedzialności za outsourcowane procesy. Po raz kolejny UODO zwrócił również uwagę na konieczność ostrożnego przetwarzania numeru PESEL. To, że Kodeks pracy wprost zezwala pracodawcy na pozyskanie takiej informacji, nie oznacza z automatu, że pracodawca może ją multiplikować i umieszczać dowolnie w różnych zbiorach danych.

Więcej artykułów o prawie HR w newsletterze – PRO HR Year Book 2025

To istotna zmiana, która ułatwi zarówno przekazywanie informacji pracownikom jak i składanie przez pracowników wniosków. Elektroniczna forma (obok papierowej), będzie dopuszczona m.in. w sprawach informowania o stosowaniu monitoringu czy warunkach przejścia zakładu pracy, konsultacji zamiaru wypowiedzenia umowy z zakładową organizacją związkową.

Uwaga! Zmiany te nie obejmują formy wypowiedzenia umowy przez pracodawcę lub rozwiązania umowy bez zachowania okresu wypowiedzenia – te dokumenty dalej musimy podpisywać tzw. podpisem mokrym, lub kwalifikowanym podpisem elektronicznym.

Pracownicy będą mogli w formie elektronicznej składać wnioski obejmujące zagadnienia z obszaru czasu pracy takie jak np. wniosek o czas wolny na sprawy osobiste, czy wniosek o czas wolny za godziny nadliczbowe. Pracownicy będą mogli również elektronicznie składać wnioski o urlop bezpłatny.

Zmienią się również zasady wypłaty ekwiwalentu za niewykorzystany urlop. Ekwiwalent będzie wypłacany w terminie wypłaty wynagrodzenia, chyba że termin ten przypadałby przed dniem zakończenia stosunku pracy. W takim przypadku ekwiwalent będzie płatny w ciągu 10 dni od dnia zakończenia stosunku pracy.

Na koniec ustawodawca dorzucił również zmiany w ustawie o zakładowym funduszu świadczeń socjalnych w zakresie minimalnej liczby przedstawicieli pracowników. Jeśli u pracodawcy nie działa zakładowa organizacja związkowa, pracodawca będzie uzgadniał postanowienia regulaminu wynagradzania w sprawie wysokości odpisu na Fundusz lub nietworzenia Funduszu oraz regulamin ZFŚS z co najmniej dwoma przedstawicielami pracowników.

Więcej artykułów o prawie HR w newsletterze – PRO HR Styczeń 2026

Dziś pracownik, który pracuje w trakcie L4 lub wykorzystuje zwolnienie w sposób niezgodny z jego celem, traci prawo do zasiłku chorobowego za cały okres zwolnienia chorobowego.

Dopuszczona ma zostać „incydentalna aktywność zawodowa”, czyli taka, która nie koliduje z procesem rekonwalescencji, jest sporadyczna i możne zostać podjęta tylko z uwagi na istotne okoliczności. Ustawa precyzuje, że istotną okolicznością nie może być polecenie pracodawcy. Np. osoba odpowiedzialna za ważny projekt tuż przed jego zakończeniem zachorowała na grypę i przekazuje swoje zadania oraz odwołuje zaplanowane na najbliższe dni spotkania.

Ponadto, na podstawie nowych przepisów, możliwe będzie wykonywania pracy u jednego pracodawcy podczas zwolnienia lekarskiego u innego. Rodzaj pracy nie może kolidować z celem zwolnienia i stanem zdrowia ubezpieczonego. Np. recepcjonistka, do której obowiązków należało przygotowywanie kawy i herbaty dla gości, przebywa na L4 w związku ze złamaniem nogi. Nie stoi to jednak na przeszkodzie, by u innego pracodawcy wykonywała pracę graficzki komputerowej.

Więcej artykułów o prawie HR w newsletterze – PRO HR Grudzień 2025

Na wysokość kary, oprócz dużej skali naruszeń (wielu pracowników), wpłynęły:

• brak analizy ryzyka i zabezpieczeń dostawcy usług HR;
• nienależyty nadzór nad podmiotem przetwarzającym, któremu powierzono tworzenie grafików pracowniczych;
• pominięcie Inspektora Ochrony Danych (IOD) w procesach;
• brak realizacji zasady minimalizacji danych – do tworzenia grafików przekazywano taki dane jak PESEL;
• pokrzywdzeni pracownicy zostali powiadomieni poprzez komunikaty prasowe.

To jasny sygnał od UODO: powierzenie przez pracodawcę danych innemu podmiotowi nie zwalnia tego pracodawcy z odpowiedzialności! Pracodawcy muszą aktywnie nadzorować procesy przetwarzania danych oraz dbać o odpowiednie zabezpieczenia. Nie wystarczy podpisanie wzoru umowy powierzenia przetwarzania danych z Internetu.

Więcej artykułów o prawie HR w newsletterze – PRO HR Lipiec 2025

Trudno się zgodzić z tak rygorystycznym stanowiskiem.

Dla właściwej oceny zdolności pracownika do pracy przez lekarza medycyny pracy, kluczowe może być posiadanie informacji o istotnych okolicznościach, które doprowadziły do skierowania na badania (szczególnie po długiej nieobecności). Lekarz medycyny pracy zazwyczaj nie ma wglądu do pełnej dokumentacji medycznej pracownika, w tym informacji o przyczynie zwolnienia lekarskiego.

Stanowisko Prezesa UODO, choć podyktowane intencją ochrony danych, pomija praktyczne aspekty medycyny pracy i bezpieczeństwa. Brak możliwości sygnalizowania lekarzowi medycyny pracy istotnych dla oceny zdolności do pracy okoliczności (szczególnie tych, które skłoniły pracodawcę do skierowania na badania kontrolne lekarskie) może prowadzić do sytuacji ryzykownych zarówno dla pracownika, jak i pracodawcy.

Więcej artykułów o prawie HR w newsletterze – PRO HR Maj 2025

It is difficult to agree with such a strict position.

For a proper assessment of an employee’s fitness for work by an occupational physician, it may be crucial to have information about the relevant circumstances that led to the referral for examination (especially after a long absence). The occupational physician does not usually have access to the employee’s full medical records, including information about the reason for the sick leave.

The position of the President of UODO, although dictated by the intention of data protection, ignores the practical aspects of occupational medicine and safety. Not being able to signal to the occupational physician the circumstances relevant to the assessment of fitness for work (especially those that prompted the employer to refer the employee for a medical check-up) can lead to risky situations for both the employee and the employer.

Find more articles in PRO HR May 2025.

Zasady stosowania monitoringu pracowniczego są ściśle regulowane przez Kodeks pracy (art. 222 i nast.) oraz przepisy RODO (art. 12 i 13) dotyczące transparentności i zakresu informowania o przetwarzaniu danych osobowych. Pracodawca nie ma pełnej swobody w kształtowaniu zasad nadzoru.

Pomimo istniejących regulacji, w praktyce często dochodzi do błędów, zwłaszcza w obszarze monitoringu poczty elektronicznej oraz innych form monitoringu, takich jak GPS, aktywność IT czy aktywność w Internecie. Kodeks pracy nie reguluje tych form monitoringu w sposób wystarczająco szczegółowy, co może prowadzić do niejasności i potencjalnych naruszeń.

Ważne obowiązki pracodawcy:

• Transparentność: Pracodawca ma obowiązek w jasny sposób informować pracowników o stosowanym monitoringu, w tym o jego zakresie, celach, sposobie działania oraz okresie przechowywania danych. Należy odpowiednio oznaczyć obszary objęte monitoringiem.
• Informowanie o odbiorcach danych: Pracownicy muszą wiedzieć, komu udostępniane są zebrane dane.
• Okres retencji danych: Należy pamiętać, że maksymalny trzymiesięczny okres przechowywania danych dotyczy jedynie monitoringu wizyjnego. W przypadku innych form monitoringu, okres ten nie jest tak ściśle określony.
• Umowa powierzenia przetwarzania danych: W przypadku korzystania z usług zewnętrznych firm (np. ochroniarskich) do prowadzenia monitoringu wizyjnego, konieczne jest zawarcie umowy powierzenia przetwarzania danych.
• Ograniczenie monitoringu do narzędzi pracy: Jeśli samochód służbowy stanowi benefit, a nie narzędzie pracy, nie powinien być objęty monitoringiem GPS.

Potencjalne ryzyka dla pracodawcy:

• Wyciek danych: Brak odpowiedniego poinformowania pracowników o monitoringu znacząco zwiększa ryzyko wycieku danych osobowych.
• Kary finansowe: Za naruszenia przepisów dotyczących ochrony danych osobowych, Prezes UODO może nałożyć wysokie kary finansowe, sięgające nawet miliona złotych.

Podsumowując, wdrożenie monitoringu pracowników wymaga od pracodawców szczególnej staranności i uwzględnienia obowiązujących przepisów prawa pracy oraz ochrony danych osobowych. Zaniedbania w tym zakresie mogą prowadzić do poważnych konsekwencji prawnych i finansowych.

Więcej na ten temat w artykule dla Rzeczpospolitej TUTAJ.