Sprawa H&M to początek. W Polsce pracodawcy też "inwigilują" nas na całego

Spółka H&M szpiegowała swoich pracowników, zbierała i archiwizowała prywatne informacje na ich temat. Zapłaci 35 mln euro kary.

Jak informuje portal dlahandlu.pl, część pracowników sieci H&M poddawana była od dłuższego czasu szczegółowej kontroli, a wnioski z tej inwigilacji zapisywane były na dysku sieciowym, do którego dostęp miało aż 50 osób z kierownictwa spółki.

Standardem była "rozmowa przywitalna" po każdej nieobecności pracownika. Celem było ustalenie np. przyczyny zwolnienia chorobowego i wydanej przez lekarzy diagnozy.

Niektórzy przełożeni zdobywali nawet szczegółową wiedzę na temat życia prywatnego pracowników, gdzie i z kim wyjeżdżali na urlop?

Dane te służyły m.in. analizie wydajności danego pracownika i ocenie jego predyspozycji zawodowych. Firma przyznała się do błędu, przeprosiła i zaproponowała pracownikom wypłatę zadośćuczynienia.

Jak donoszą organizacje broniące praw pracowniczych, zachowanie hamburskich menedżerów znajduje wielu naśladowców również w Polsce.

Małgorzata Marczulewska, prezes Stowarzyszenia STOP Nieuczciwym Pracodawcom informuje, że od kilku miesięcy zauważyli wzmożoną liczbę spraw związaną z wnikliwszą weryfikacją pracowników pod kątem spędzania ich czasu wolnego, ale nie tylko. Interesuje ich również wiele prywatnych sfer życia pracownika: jego stan zdrowia czy kontakty.

- Dochodziło do sytuacji, gdy np. pracodawcy odmawiali pracownikowi urlopu, bo w uzasadnieniu wpisywał on, że zamierza tego dnia udać się na ślub, wesele lub nawet pogrzeb – informuje Marczulewska.

Dodaje, że otrzymali informacje o zespołach, w których menadżerowie przygotowali dokładne wytyczne sugerujące np. zaniechania chodzenia do kin i na koncerty czy spotykania się w większych grupach przyjaciół.

- Jeden z pracowników zgłosił się do naszego stowarzyszenia z problemem wewnątrzorganizacyjnej nagany, która była efektem organizacji imprezy integracyjnej. Warto nadmienić, że nastąpiła ona po godzinach pracy. Pracodawca uznał to za narażanie się na niebezpieczeństwo i nieodpowiedzialność – podaje przykłady Marczulewska.

Pracodawcy również wnikliwiej podchodzą do tego, w jakim stanie zdrowia są pracownicy.

- O ile fakt zachorowania na COVID-19 jest nie do ukrycia, tak wymaganie od pracownika, by np. zgłaszał czy osoba, którą zna osobiście, jest chora bądź poddana kwarantannie, można już uznać za nadgorliwość i sytuację poza obszarem koniecznej dla pracodawcy wiedzy – uważa nasza rozmówczyni.

Podobnego zdania jest również Paweł Śmigielski, dyrektor Departamentu Prawnego OPZZ. W jego przekonaniu pracodawcy pod pretekstem walki z COVID-19 zbierają informacje poufne, do których nie powinni mieć w żadnym razie dostępu.

- Docierają do nas sygnały, że pracodawcy pytają pracowników o to, czy mieli kontakty z osobami przebywającymi na kwarantannie, albo gdzie pracują jeszcze poza swoim zakładem pracy – podaje przykłady prawnik.

Według Śmigielskiego, pracodawcy coraz śmielej wkraczają w strefę życia prywatnego pracownika, usprawiedliwiając to stanem wyższej konieczności – tj. pandemią i rosnącą liczbą nowych zakażeń.

- Zbieranie wrażliwych danych o pracownikach w imię bezpieczeństwa pozostałych pracowników to niebezpieczna praktyka, która nie znajduje uzasadnienia w Kodeksie Pracy, za to może naruszać dobra osobiste inwigilowanych pracowników – uważa prawnik związkowców.

Również radca prawny Stowarzyszenia STOP Nieuczciwym Pracodawcom, Mateusz Galikowski nie znajduje jednoznacznych uregulowań tej kwestii w przepisach prawa.

- Mamy art. 207 Kodeksu pracy, w myśl którego: "Pracodawca ponosi odpowiedzialność za stan bezpieczeństwa i higieny pracy w zakładzie pracy" i "jest obowiązany chronić zdrowie i życie pracowników przez zapewnienie bezpiecznych i higienicznych warunków pracy". To ogólnikowe stwierdzenia, które w zestawieniu z przepisami art. 6 i 9 tzw. RODO pracodawcy często próbują wskazywać jako podstawę możliwości uzyskiwania danych poufnych od pracowników jako sposób ochrony pozostałych pracowników czy miejsca pracy przed zagrożeniem epidemiologicznym – mówi Galikowski.

Prawnik uważa jednak, że przepisy te nie są wystarczające, by pracodawca mógł żądać wrażliwych informacji np. o ich stanie zdrowia swoich podwładnych.

- Pracodawca może w inny sposób próbować zorganizować system pracy czy zaopatrzyć pracowników w środki ochronne zmniejszające ryzyko zarażania się nawzajem wszelkimi chorobami – przypomina prawnik Stowarzyszenia.

Dodaje też, że nic nie stoi też na przeszkodzie, aby pracownik sam poinformował pracodawcę o ewentualnym zagrożeniu, jakie niesie jego obecność, a pracodawca powinien takie informacje należycie zabezpieczyć i spróbować ustalić zasady pracy, jakie zminimalizują ryzyko zarażenia innych pracowników.

Paweł Sych, radca prawny i zarządzający Zespołem Ochrony Danych Osobowych w PCS Paruch Chruściel Schiffter podkreśla, że istotne jest, jaki jest cel przetwarzania wrażliwych danych.

- W przypadku nałożonej w Niemczech kary dane zbierane były w celu analizy i oceny wydajności pracownika oraz tworzenia ich profili wykorzystywanych w sprawach dotyczących zatrudnienia (np. awansu). Zbieranie danych pracowników dot. możliwych kontaktów z osobami zakażonymi, objawów zakażenia czy przebywania w miejscach o podwyższonym ryzyku ma zupełnie inny cel – służy zapobieganiu rozprzestrzeniania się zakażeń, przede wszystkim wśród pracowników i innych osób przebywających na terenie zakładu pracy. Są to więc zupełnie inne cele i inne dobra, które w ten sposób mają być chronione - podkreśla prawnik.

Podkreśla też, że ochrona danych osobowych nie jest prawem bezwzględnym i nie powinna stać na przeszkodzie ochronie innych dóbr i praw podstawowych.

- W tym wypadku będzie to ochrona życia i zdrowia pracowników, jak również ogólniejszy cel, jakim jest ochrona zdrowia publicznego. Nie należy przy tym zapominać, że pracodawcy mają bezwzględny obowiązek zapewnić takie warunki pracy, aby chronić właśnie te dobra. Stąd też w naszej ocenie pobieranie danych o możliwych kontaktach z osobą zakażoną czy też dotyczące objawów mogących wskazywać na zakażenie koronawirusem jest w tej wyjątkowej epidemicznej sytuacji dozwolone - tłumaczy Sych.

Również Urząd Ochrony Danych Osobowych bierze pracodawców w obronę, ale nie wszystkich.

- W dobie COVID -19 administratorem danych, jakim jest pracodawca, musi wykazać się podstawą prawną do przetwarzania szczególnych kategorii danych (np. o zdrowiu). Zatem pracodawca, chcąc przetwarzać dane osobowe pracownika w postaci danych o stanie zdrowia, powinien wykazać się jedną z przesłanek określonych w art. 9 ust. 2 RODO dopuszczających przetwarzanie tej kategorii danych – informuje Adam Sanocki, rzecznik prasowy UODO.

Oznacza to tyle, że Główny Inspektor Sanitarny i podległe mu służby na podstawie specustawy covidowej mogą wydać decyzję, w której nie tylko mogą zobowiązać różne podmioty do pozyskiwania danych na potrzeby walki z koronawirusem, ale i określić zasady pozyskiwania tych danych, wskazać jakim podmiotom dalej należy je przekazać oraz określić jak długo te dane powinny być przetwarzane.

Dla UODO taka decyzja GIS-u wydana na podstawie specustawy jest wystarczającą podstawą prawną, by pracodawca mógł zbierać wrażliwe dane o swoich pracownikach.

Jeśli pracodawca nie dysponuje taką decyzją służb sanitarnych, UODO może pracodawcę "przywołać do porządku".

W myśl art. 58 ust. 2 RODO, czyli ogólnego rozporządzenia o ochronie danych osobowych, prezes UODO może np. wydawać ostrzeżenia, udzielać upomnień, nakazać administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, albo dostosowania określonych czynności do przepisów RODO.

- Prezes UODO może również na pracodawcę nałożyć administracyjną karę pieniężną. Przesądza o tym wprost art. 83 ust. 2 RODO. Maksymalna wysokość kary przewidzianej w RODO to 20 mln euro lub do 4 proc. całkowitego rocznego światowego obrotu administratora z poprzedniego roku obrotowego - przypomina Sanocki.