Podstawy prawne przetwarzania danych osobowych w związku z organizacją, nagrywaniem i udostępnianiem nagrań z telekonferencji

Żeby pracodawcy mogli przetwarzać wizerunek pracowników, muszą spełnić przynajmniej jedną z przesłanek, o których mowa w art. 6 RODO, a także muszą być spełnione wszystkie zasady wskazane w jego art. 5. Administrator powinien też stworzyć procedury, z których będzie wynikał termin i sposób usuwania informacji zawierających dane osobowe oraz zasady dokonywania przeglądów przetwarzanych danych.

Podczas wykonywania pracy zdalnej pracownicy niektórych instytucji, w tym publicznych, korzystają z telekonferencji. W ten sposób przeprowadzane są różne spotkania, konferencje oraz szkolenia, niekiedy z udziałem przedstawicieli podmiotów zewnętrznych. W czasie ich trwania mogą być przetwarzane takie dane osobowe, jak: wizerunek, głos, imię i nazwisko, stanowisko służbowe uczestnika telekonferencji czy nazwa pracodawcy. Niejednokrotnie istnieje też potrzeba nagrywania takich spotkań, a następnie ich udostępniania, co rodzi różne praktyczne problemy. Wiele z nich dotyczy podstaw prawnych przetwarzania danych osobowych, w tym wizerunku.

Możliwe przesłanki

W związku z tym warto wskazać, że przetwarzanie danych osobowych, w tym wizerunku, jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z warunków określonych w art. 6 ust. 1 RODO. Należy podkreślić, że przesłanki legalizujące co do zasady są równoprawne. Wobec tego spełnienie co najmniej jednej z nich stanowi już o zgodnym z prawem przetwarzaniu danych osobowych. Zatem dla legalności przetwarzania danych osobowych nie zawsze wymaga się zgody osoby, której dane dotyczą. U podstaw tego procesu może znajdować się bowiem inna z przesłanek wymienionych w art. 6 ust. 1 RODO.

W niektórych przypadkach możliwe wydaje się zastosowanie przesłanki, o której mowa w art. 6 ust. 1 lit. b RODO (przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą).

Zakres danych, które pracodawca obowiązkowo pozyskuje od pracownika określony został w art. 22¹ § 1–3 Kodeksu pracy. Dodatkowo w § 4 powołanego artykułu wskazano, że pracodawca żąda podania innych danych osobowych niż określone w § 1 i 3 (jak m.in. imię, nazwisko, adres zamieszkania czy numer PESEL), gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.

Udostępnianie wizerunku

Z przepisów Kodeksu pracy nie wynika wprawdzie wprost, że pracownik musi udostępnić pracodawcy wizerunek. Jednak w niektórych przypadkach wykorzystanie wizerunku pracownika przez pracodawcę jest związane z realizacją stosunku pracy.

W związku z nawiązaniem stosunku pracy na podstawie umowy o pracę, pracownik zobowiązuje się do wykonywania pracy określonego rodzaju na rzecz pracodawcy pod jego kierownictwem oraz w miejscu i czasie wyznaczonym przez pracodawcę, a pracodawca do zatrudnienia pracownika za wynagrodzeniem. Umowa o pracę zwykle zawiera ogólne elementy określające łączące strony postanowienia umowne. Doprecyzowaniem umowy o pracę może być regulamin pracy czy zakres obowiązków.

Praca zdalna a wideokonferencje

Powołanie się na wskazaną powyżej przesłankę przetwarzania danych osobowych pracowników (art. 6 ust. 1 lit. b RODO) można rozważać zwłaszcza w przypadku osób zatrudnionych na stanowiskach, w które wpisane są takie zadania, jak np. wystąpienia publiczne, konferencje, szkolenia (dyrektorzy, rzecznik prasowy, pracownik działu szkoleń).

Należy przy tym zauważyć, że zwłaszcza w czasie pandemii liczba stanowisk wykonujących swoje zadania (podstawowe obowiązki służbowe) w trybie zdalnym, np. poprzez udział w telekonferencji, zwiększyła się, co powinno znaleźć swoje odzwierciedlenie w zakresie obowiązków tych pracowników, w szczególności poprzez ustalenie, których stanowisk to dotyczy oraz modyfikację w zakresach obowiązków trybu wykonywania takich obowiązków.

Powyższe rozważania dotyczą sytuacji, gdy udział pracownika np. w wideokonferencji czy szkoleniu mieści się w zakresie realizacji jego obowiązków służbowych. Natomiast w sytuacji, gdy przetwarzanie wizerunku i innych danych z tą sytuacją związanych następuje w innych celach niż objęte treścią stosunku pracy, wówczas można rozważać zastosowanie przesłanki zgody (art. 6 ust. 1 lit. a RODO).

Przetwarzanie danych w miejscu pracy

Wprawdzie EROD w Wytycznych 05/2020 w sprawie zgody na mocy rozporządzenia 2016/679 wskazała, że „w przypadku większości takiego przetwarzania danych w miejscu pracy podstawą prawną nie może i nie powinna być zgoda pracowników (art. 6 ust. 1 lit. a) ze względu na charakter relacji między pracodawcą a pracownikiem”. Niemniej dalej dodano, że „nie oznacza to jednak, że pracodawcy nigdy nie mogą polegać na zgodzie jako zgodnej z prawem podstawie przetwarzania. Mogą wystąpić sytuacje, w których pracodawca może wykazać, że zgoda faktycznie jest udzielana swobodnie”. Jako przykład takiej sytuacji EROD wskazała filmowanie części biura, w przypadku której, ci pracownicy, którzy nie chcą być filmowani, mogą w czasie realizacji nagrania pracować w innych pomieszczeniach.

Zgoda pracownika na przetwarzanie danych osobowych

Polski ustawodawca kwestię zgody pracownika jako podstawy do przetwarzania danych osobowych uregulował w art. 22^1a § 1 Kodeksu pracy. Zgodnie z tym przepisem, zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 22¹§ 1 i 3, z wyjątkiem danych osobowych, o których mowa w art. 10 RODO. W § 2 tego przepisu ustawodawca zastrzegł jednak, że brak zgody, o której mowa w § 1, lub jej wycofanie, nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę.

Wobec powyższego można zasadnie przyjąć, że przetwarzanie danych pracownika może opierać się na przesłance zgody, o której mowa w art. 6 ust. 1 lit. a RODO oraz 22^1a Kodeksu pracy, przy czym wobec braku równości stron stosunku pracy trzeba zastrzec, że odbierana od pracownika zgoda nie może być jedynie formalna, iluzoryczna i musi mieć on rzeczywistą możliwość odmowy jej wyrażenia bez poniesienia negatywnych konsekwencji.

Z poszanowaniem wszystkich zasad

Należy podkreślić, że to na administratorze spoczywa obowiązek każdorazowej oceny podstawy przetwarzania danych. Przede wszystkim należy zwrócić uwagę na zasady określone w art. 5 RODO, które mają charakter podstawowy w odniesieniu do całej regulacji. Zasady te należy traktować jako posiadające nadrzędną moc i wyznaczające kierunek działania administratora w realizacji jego zadań wynikających z przepisów prawa. Podstawową zasadą w ogólnym rozporządzeniu o ochronie danych jest „zasada rozliczalności”, o której mowa w art. 5 ust. 2 RODO. Zgodnie z tym przepisem, administrator danych jest odpowiedzialny za przestrzeganie wszystkich zasad przy przetwarzaniu danych osobowych (wskazanych w art. 5 ust. 1 RODO) i musi być w stanie wykazać ich przestrzeganie. Zasada rozliczalności nakłada zatem na administratora ciężar dowodowy, polegający na konieczności wykazania przez niego zarówno przed organem nadzorczym, jak również przed podmiotem danych, dowodów na przestrzeganie wszystkich zasad przetwarzania danych.

Uwaga na okres retencji

Warto też zwrócić szczególną uwagę na zasadę ograniczonego przechowywania określoną w art. 5 ust. 1 lit. e RODO. Aby zapobiec przechowywaniu danych osobowych przez okres dłuższy, niż jest to niezbędne, administrator powinien stworzyć procedury, z których będzie wynikał termin i sposób usuwania informacji zawierających dane osobowe oraz zasady dokonywania przeglądów przetwarzanych danych. Należy zatem mieć na uwadze, że nawet dokonywane na podstawie zgody udostępnienie danych osobowych w określonych celach w sieci nie oznacza bezterminowego ich przechowywania i w związku z tym administrator powinien jasno określić okresy przetwarzania upublicznianych w ten sposób danych.