Pracodawcy zatrudniający osoby z niepełnosprawnością przynajmniej raz na 5 lat powinni przeprowadzić przegląd przydatności przetwarzania danych osobowych. Muszą przy tym ocenić ich niezbędność dla osiągnięcia określonych i uzasadnionych celów – stwierdził UODO w odpowiedzi na zapytanie jednego z inspektorów ochrony danych.
Wątpliwości IOD
Inspektor ochrony danych wystąpił do UODO o pomoc w ustaleniu okresu przechowywania przez pracodawcę danych osobowych zawartych w orzeczeniach o niepełnosprawności przekazywanych mu dobrowolnie przez pracowników chcących korzystać z uprawnień dla osób z niepełnosprawnością (dodatkowe urlopy, skrócony dzień pracy itp.).
Wątpliwości IOD dotyczyły m. in. tego, że część orzeczeń jest orzeczeniami terminowymi (tj. wydawanymi np. na 5 lat). po upływie okresu ich ważności pracownicy dostarczają nowe, aktualne orzeczenia. W tej sytuacji ustał cel, dla którego stare orzeczenie było przetwarzane (tj. dodatkowe uprawnienia pracownicze). Według inspektora oznacza to, że należałoby usunąć, względnie zanonimizować dane osobowe zawarte w poprzednim orzeczeniu.
IOD zapytał również, co w przypadku kontroli PIP, bowiem inspektorzy pracy mogą chcieć skontrolować akta pracownicze i podstawę udzielania niepełnosprawnym pracownikom dodatkowych uprawnień na podstawie orzeczenia, którego termin ważności upłynął.
Wskazówki UODO
Polski organ nadzorczy wskazał, że do przechowywania przez pracodawcę danych osobowych zawartych w orzeczeniach o niepełnosprawności odnoszą się szczególne przepisy ustawy o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych. Zgodnie z art. 2b ust. 7 tej ustawy, pracodawcy, podmioty i osoby realizujące zadania wynikające z ustawy przechowują dane osobowe wyłącznie przez okres nie dłuższy niż jest to niezbędne i w zakresie koniecznym do realizacji celów przetwarzania danych osobowych oraz dokonują przeglądu przydatności przetwarzania danych osobowych nie rzadziej niż co 5 lat.
UODO zwrócił uwagę, że zgodnie z zasadą ograniczenia przechowywania (art. 5 ust. 1 lit. e RODO), dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których są one przetwarzane.
Oznacza to, że nie ma sztywnego, odgórnie ustalonego okresu przetwarzania ww. danych. Przepisy stanowią, że okres ten powinien być determinowany celem, w jakim dane osobowe są konieczne do ich przetwarzania.
Artykuł 2b ust. 7 ustawy o rehabilitacji zawodowej i społecznej zawiera jednak wskazówkę dla administratora danych, którą ma się kierować w przypadku dokonywania oceny (tj. nie rzadziej niż co 5 lat), czy przetwarzanie danych osobowych o niepełnosprawności jest niezbędne dla określonych i uzasadnionych celów.
Wnioski
Jeżeli uzasadnionym celem administratora będzie konieczność udokumentowania dodatkowych uprawnień pracownika wynikających z niepełnosprawności (przykładowo – w związku z kontrolą PIP), to administrator powinien to wykazać w swoim raporcie z przeprowadzonego przeglądu przydatności przetwarzania danych, o którym mowa w art. 2b ust. 7 ustawy o rehabilitacji zawodowej i społecznej.
Nadto, administrator powinien uwzględnić przepisy prawa, na podstawie których taka kontrola może być przeprowadzona, w szczególności okres, w jakim może się ona odbywać.
Tytułem przykładu – art. 30 ust. 3c ustawy o rehabilitacji zawodowej i społecznej przewiduje, że Państwowa Inspekcja Pracy przeprowadza, nie rzadziej niż co trzy lata, kontrolę w zakładach pracy chronionej i w zakładach aktywności zawodowej w zakresie przestrzenia przepisów ustawy, w szczególności art. 28 ust. 1 pkt 2.
Z interpretacją UODO można zapoznać się w Biuletynie Nr 06/06/24 – link do usługi: www.uodo.gov.pl.
