Czy lista obecności zawiera dane osobowe?
Tak, lista obecności zawiera dane osobowe, jeśli pozwala ustalić, kto był obecny. Najczęściej umożliwiają to imię i nazwisko, podpis, numer pracownika, identyfikator lub inny wpis powiązany z konkretną osobą. RODO obejmuje informacje o osobie zidentyfikowanej albo możliwej do zidentyfikowania bezpośrednio lub pośrednio.
Dane osobowe nie muszą więc zawierać pełnego nazwiska. Podpis, kod lub numer identyfikacyjny również może podlegać ochronie, jeżeli administrator albo inna uprawniona osoba może rozsądnie połączyć go z konkretnym człowiekiem. Znaczenie ma możliwość identyfikacji, a nie to, czy każdy odbiorca dokumentu potrafi odczytać wpis.
Także informacja „obecny” lub „nieobecny” może być daną osobową, jeśli znajduje się przy nazwisku albo innym oznaczeniu konkretnej osoby. Przykładowo wpis „nieobecny” przy nazwisku pracownika mówi o jego sytuacji w określonym dniu i podlega zasadom ochrony danych.
Czym różnią się dane osobowe od zbioru danych?
Warto rozdzielić dwa pojęcia, które bywają używane zamiennie. Dane osobowe to informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby. „Zbiór danych” w technicznym znaczeniu RODO odnosi się natomiast do uporządkowanego zestawu takich informacji, do którego można uzyskać dostęp według określonych kryteriów.
Lista ułożona według nazwisk, dat lub numerów pracowników może stanowić zbiór danych. Nie oznacza to jednak, że dokument musi spełnić formalną definicję zbioru, aby RODO miało zastosowanie. Ochrona obejmuje również dane osobowe przetwarzane niezautomatyzowanie, jeśli tworzą lub są przeznaczone do utworzenia zbioru.
Nie ma jednej liczby określającej, ile danych osobowych zawiera lista. Zależy to od liczby osób, zastosowanych pól i dodatkowych adnotacji. Imię, nazwisko, data, fakt obecności i podpis mogą być powiązane z konkretnym uczestnikiem, dlatego każdy z tych elementów należy ocenić w kontekście całego dokumentu.
Przykład: lista szkoleniowa zawierająca imię, nazwisko i podpis uczestnika przetwarza dane osobowe. Papierowa forma niczego tu nie zmienia. Zbieranie, porządkowanie, przechowywanie, przeglądanie i udostępnianie informacji może stanowić przetwarzanie danych, niezależnie od tego, czy odbywa się w systemie elektronicznym, czy na kartce.
Jakie informacje można umieszczać na liście?
Zakres danych powinien odpowiadać celowi dokumentu. Jeśli lista ma jedynie potwierdzać obecność, zwykle wystarczy informacja pozwalająca rozpoznać osobę i odnotować jej obecność. Dodatkowe pola należy wprowadzać tylko wtedy, gdy są rzeczywiście potrzebne do określonego zadania.
Szczególną ostrożność trzeba zachować przy opisywaniu przyczyn nieobecności. Lista dostępna dla zespołu powinna co do zasady wskazywać, czy pracownik jest obecny, bez ujawniania, dlaczego go nie ma. Wpis „nieobecny, choroba” lub oznaczenie zwolnienia lekarskiego może ujawniać informacje o zdrowiu, czyli dane szczególnej kategorii. Nie należy umieszczać takich adnotacji na ogólnodostępnej liście.
Podobnie należy traktować informacje o urlopie na żądanie, jeśli ich ujawnianie osobom postronnym nie jest potrzebne do celu listy. Szczegółowe dane związane z absencją powinny znajdować się w ewidencji czasu pracy lub dokumentacji kadrowej, do której dostęp mają wyłącznie osoby uprawnione. Rozdzielenie listy obecności od ewidencji czasu pracy ogranicza ryzyko ujawnienia informacji osobom, które nie muszą ich znać.
Sama lista obecności nie jest automatycznie zbiorem danych szczególnych. O charakterze informacji decydują jednak również dodatkowe adnotacje. Administrator powinien sprawdzić nie tylko podstawowe rubryki, lecz także dopiski, symbole i sposób, w jaki można je interpretować.
Jak zgodnie z RODO prowadzić listę obecności?
Przed utworzeniem listy administrator powinien ustalić, po co ją prowadzi i na jakiej podstawie prawnej przetwarza dane. Sama obecność danych osobowych na dokumencie nie oznacza naruszenia prawa. Istotne są cel, podstawa, zakres informacji, dostęp do dokumentu i sposób jego zabezpieczenia.
W przypadku pracowników pracodawca organizuje sposób potwierdzania obecności. Może to być podpis, karta, lista papierowa albo system elektroniczny. Przepisy nie narzucają jednej metody, dlatego przyjęte rozwiązanie powinno wynikać z regulaminu lub innego dokumentu wewnętrznego. Niezależnie od metody należy zbierać tylko dane potrzebne do ustalonego celu.
W praktyce administrator powinien:
- określić cel prowadzenia listy, na przykład potwierdzenie udziału w szkoleniu lub obecności w pracy;
- ustalić podstawę prawną przetwarzania danych odpowiednią dla danego kontekstu;
- ograniczyć zakres informacji do niezbędnych pól i unikać zbędnych opisów absencji;
- wyznaczyć dostęp do listy tylko dla osób, które potrzebują jej do swoich obowiązków;
- zabezpieczyć dokument lub system przed nieuprawnionym odczytem, kopiowaniem i udostępnieniem;
- ustalić okres przechowywania odpowiedni do celu i obowiązków prawnych, a następnie usunąć dane lub zarchiwizować je zgodnie z przyjętymi zasadami.
Nie istnieje jeden uniwersalny okres przechowywania właściwy dla każdej listy. Inne uzasadnienie może mieć dokument służący rozliczeniu szkolenia, a inne lista wykorzystywana w organizacji pracy. Okres należy ustalić z uwzględnieniem celu, obowiązków prawnych i zasad przyjętych przez administratora, zamiast stosować tę samą datę do wszystkich dokumentów.
Kto może zobaczyć listę i jakie ryzyko wiąże się z jej udostępnianiem?
Obowiązek ochrony danych dotyczy list używanych w celach organizacyjnych, szkoleniowych i rozliczeniowych. Udostępnienie dokumentu innemu podmiotowi wymaga odpowiedniej podstawy prawnej, a przekazywany zakres powinien ograniczać się do informacji niezbędnych w danej sytuacji. Sam fakt, że odbiorca jest współpracownikiem lub organizatorem wydarzenia, nie uzasadnia automatycznie dostępu do wszystkich danych.
Ryzyko rośnie, gdy papierowa lista leży w miejscu dostępnym dla całego zespołu, zawiera przyczyny absencji albo jest fotografowana i przesyłana szerokiej grupie odbiorców. W przypadku systemu elektronicznego trzeba zwrócić uwagę na uprawnienia użytkowników, widoczność poszczególnych informacji oraz zabezpieczenie kont. Dostęp powinien odpowiadać obowiązkom danej osoby, a nie wygodzie nieograniczonego przeglądania.
Te same podstawowe zasady dotyczą list klientów, uczniów, uczestników wydarzeń i osób zapisanych na szkolenie. Jeśli wpis pozwala rozpoznać konkretną osobę, jest daną osobową. Administrator powinien osobno ustalić cel, podstawę prawną i niezbędny zakres danych w danym kontekście.
Najprostszy test brzmi: czy dany wpis pozwala bezpośrednio lub pośrednio ustalić, kogo dotyczy? Jeśli tak, należy traktować go jako dane osobowe i zadbać o zgodne z RODO przetwarzanie. W praktyce oznacza to jasny cel, ograniczenie informacji, kontrolę dostępu, odpowiednie zabezpieczenia oraz przechowywanie tylko przez uzasadniony czas.
Źródła
- https://www.edpb.europa.eu/contact/frequently-asked-questions_pl?page=1
- https://lexlege.pb.pl/rozporzadzenie-parlamentu-europejskiego-i-rady-ue-2016-679-w-sprawie-ochrony-osob-fizycznych-w-zwiazku-z-przetwarzaniem-danych-osobowych-i-w-sprawie-swobodnego-przeplywu-takich-danych-oraz-uchylenia-dyrektywy-95-46-we-ogolne-rozporzadzenie-o-ochronie-dany/art-4
- https://www.edpb.europa.eu/sme/be-compliant/process-personal-data-lawfully_pl?ref=ghost.bitscale.ai
- https://www.edpb.europa.eu/sme/learn-the-basics/data-protection-basics_pl