Kontynuując cykl wydawniczy „RODO dla Stomatologów” po ukazaniu się tekstów dot. chłodnego, ale aktywnego podejścia do tematu ochrony danych osobowych oraz rozpoczynaniu wdrażania RODO od Pacjentów, gdzie podstawową rolę odgrywa Formularz Informacyjny połączony ze Zgodami w tych wszystkich wypadkach, gdzie przetwarzanie danych osobowych nie odbywa się na podstawie przepisu prawa – czas na wyjaśnienie kwestii
co z danymi osobowymi personelu medycznego lekarskiego oraz personelu pomocniczego ?
W dobie przygotowań do RODO ochrona prywatności pracowników i kandydatów do pracy jest niezwykle istotna z uwagi nie tylko na restrykcyjne wymogi prawne, lecz także w kontekście budowania pozytywnego wizerunku pracodawcy.
Nierzadko otrzymuje zapytania:
jak postępować w zgodzie z RODO z danymi osobowymi pozyskanymi w związku z już zawartymi umowami kontraktowymi (lekarskimi) oraz umowami o pracę i zlecenia (głównie dotyczącymi asystentek, higienistek stomatologicznych oraz recepcjonistek).
Po pierwsze, nie ma potrzeby pozyskiwać jakichkolwiek zgód na przetwarzanie danych osobowych dla wykonania danej umowy. Wszystko jedno czy rzecz dotyczy umowy o pracę, czy umowy cywilnoprawnej (kontraktowej oraz zlecenia).
Niezbędność dla wykonania umowy, jako jedna z przesłanek legalizujących przetwarzanie danych osobowych zwykłych bez zgody osoby, której dane dotyczą wskazana została w art. 6 ust. 1 lit. b RODO.
Pamiętać jednakże należy, że fakt braku konieczności pozyskania zgody nie niweczy obowiązku informacyjnego, który Administrator winien wypełnić względem osoby, której dane przetwarza. Innymi słowy – należy poinformować zarówno lekarza z których współpracujemy oraz higienistki, asystentki czy recepcjonistki – o tym kto jest Administratorem danych, o jego siedzibie, celu przetwarzania, zakresie przetwarzanych danych, o dobrowolności lub przymusie prawnym udostępnienia danych, o prawach osoby której dane są przetwarzane oraz o czasie ich przetwarzania.
Powyższe można zrobić bądź to w treści samej umowy (wobec przyszłych współpracowników), ale jeżeli ta już jest zawarta i wykonywana – to zawsze dobrym sposobem jest przedstawienie stosownego Formularza Informacyjnego.
Pisałem ostatnio o Formularzu Informacyjnym dla Pacjenta, ale ten będzie nadawał się do prostego zastosowanie wobec podległego nam w gabinecie stomatologicznym personelu.
Jednocześnie operacje na danych osobowych podległego nam personelu będą musiały być uwidocznione w Rejestrze Czynności Przetwarzania.
To jest jedna sprawa.
Druga – równie istotna, albo nawet ważniejsza dotyczy zakresu pozyskiwanych i przetwarzanych danych od naszych współpracowników.
Tutaj należy odróżnić dwie sytuacje.
Pierwsza, gdy zakres możliwych do pozyskania danych wynika z przepisu prawa.
W tej kategorii znajdują się oczywiście umowy o pracę. Zatem jeżeli zatrudniasz personel w oparciu o tę umowę, to bez zgody można przetwarzać następujące dane:
- imiona, nazwiska
- imiona rodziców
- miejsce i data urodzenia
- adresy i miejsca zameldowania/zamieszkania
- numer PESEL
- wykształcenie
- przebieg zatrudnienia
- numer rachunku bankowego – w sytuacji wypłaty wynagrodzenia w drodze przelewu
- innych danych osobowych, a także imion i nazwisk oraz dat urodzenia dzieci pracownika, jeżeli podanie takich danych jest konieczne ze względu na korzystanie ze szczególnych uprawnień przewidzianych przepisami prawa pracy
Katalog ten nie jest skończony. Zawsze można przetwarzać dane osobowe pracownika, ilekroć danych tych wymagają od nas pracodawców przepisy prawa.
Dla przykładu – jeżeli zatrudniamy lekarza – to oczywistym jest, że możemy od niego żądać kopi PWZ, dyplomu studiów, potwierdzenia zdania LDEP (o ile już lekarz załapał się na LDEP), badań sanitarnych, KORPu etc.
Podobnie z pomocą – wszak możemy od asystentki czy higienistki wymagać okazania badań dla celów sanitarnych i dane te przetwarzać.
Sytuacja druga – gdy przepis prawa wprost nie wskazuje jakie dane dający zatrudnienie może przetwarzać.
W tym zakresie pozostają wszystkie umowy cywilno-prawne: kontrakty z lekarzami i zlecenia z pomocniczym personelem.
Nie ma jednak większych wątpliwości, że podobne dane, co w umowie o pracę, dający zatrudnienie może na podstawie umowy przetwarzać. Będą to zatem: dane personale osoby, PESEL, NIP, wykształcenie, przebieg pracy zawodowej, uprawnienia zawodowe, badania lekarskie, nr rachunku bankowego, adres zamieszkania, dane wynikające z ubezpieczenia OC lekarza.
W każdym przypadku należy pamiętać o naczelnej zasadzie dotyczącej przetwarzania danych osobowych – ADEKWATNOŚCI.
Zasada ta zwana „zasadą minimalizacji danych” wyrażona została w art. 5 ust. 1 lit. c RODO.
Naczelny Sąd Administracyjny w Warszawie, w wyroku z dnia 28 czerwca 2011r. I OSK 1264/10 powiedział mniej więcej tak:
Adekwatność danych w stosunku do celu ich przetwarzania musi być rozumiana jako równowaga pomiędzy uprawnieniami osoby do dysponowania swoimi danymi, a interesem administratora danych. Oznacza to, że administrator może żądać danych tylko w takim zakresie, w jakim jest to niezbędne do wypełnienia celu, w jakim dane są przez niego przetwarzane.
Najlepszym przykładem nieadekwatności danych do celu w umowach z personelem medycznym jest np. zbieranie informacji o stanie cywilnym, obecnym lub przyszłym; posiadanym prawie jazdy czy nałogach – paleniu tytoniu.
Reasumując – umów nie należy zmieniać, RODO nie wpływa zasadniczo na ich treść, wszystko pozostaje po staremu z tym jednak wyjątkiem, że trzeba zadośćuczynić obowiązkowi informacyjnemu, odpowiednio zaszeregować dane w Rejestrze Czynności Przetwarzania i dokonać przeglądu danych pod kątem ich adekwatności.
Do usłyszenia !