RODO w HR — audyt zgodności w 7 krokach

Dlaczego HR jest „gorącym” obszarem RODO

Dział kadr przetwarza więcej danych osobowych niż większość innych obszarów firmy. Przeciętna firma o 100 pracownikach przetwarza w HR około 500 różnych kategorii informacji — od imienia i nazwiska, przez PESEL i adres, po dane medyczne, finansowe, oceny pracy, dokumenty z postępowań dyscyplinarnych.

Specyfika HR jako obszaru wysokiego ryzyka RODO wynika z kilku czynników. Po pierwsze — dane są zwykle gromadzone długo (akta osobowe przechowuje się 10 lub 50 lat). Po drugie — często dotyczą kategorii wrażliwych (zdrowie, niepełnosprawność, religia w niektórych przypadkach). Po trzecie — krąg osób mających dostęp jest szeroki (kadry, kierownicy, czasem zewnętrzne biura rachunkowe).

Wreszcie — pracownicy są wyjątkowo aktywni w korzystaniu z praw RODO. Według raportu UODO za 2024 r., aż 31% skarg do urzędu dotyczyło relacji pracowniczych — to największa kategoria po marketingu.

Audyt RODO w HR — 7 kroków

Krok 1: Inwentaryzacja przetwarzanych danych

Zacznij od mapy wszystkich danych osobowych, które przetwarza dział HR. Sporządź listę kategorii (dane podstawowe, kontaktowe, finansowe, medyczne, oceny pracy, dane członków rodziny, biometryczne), źródeł (od pracownika, od byłych pracodawców, od ZUS, od lekarza medycyny pracy), miejsc przechowywania (akta papierowe, system kadrowy, e-mail, dyski), okresów przechowywania.

Częsty błąd: gromadzenie danych „na zapas” — adresy członków rodziny pracownika, hobby, plany urlopowe na rok wprzód. Każda dana wymaga uzasadnienia. To, co nie ma uzasadnienia — musi zostać usunięte.

Krok 2: Weryfikacja podstaw prawnych

Każde przetwarzanie danych w HR musi mieć podstawę prawną z art. 6 RODO. W praktyce w HR występują głównie:

• art. 6 ust. 1 lit. b — wykonanie umowy o pracę (większość danych podstawowych)
• art. 6 ust. 1 lit. c — obowiązek prawny (PESEL, ZUS, podatki, akta osobowe)
• art. 6 ust. 1 lit. f — prawnie uzasadniony interes (zarządzanie zasobami ludzkimi)
• art. 6 ust. 1 lit. a — zgoda pracownika (tylko w wyjątkowych przypadkach, np. zdjęcie do intranetu)
• art. 9 ust. 2 lit. b — dane wrażliwe (dotyczące zdrowia, wynikające z obowiązku prawnego)

Krok 3: Audyt akt osobowych

Akta osobowe muszą być prowadzone zgodnie z rozporządzeniem MRiPS z 10 grudnia 2018 r. — w pięciu częściach (A, B, C, D, od 2023 r. też E). Sprawdź czy:

• Akta są podzielone na właściwe części (A, B, C, D, E)
• Nie zawierają dokumentów spoza art. 22¹ KP (np. zdjęcia, dane członków rodziny niepotrzebne do realizacji świadczeń)
• Są zabezpieczone fizycznie (szafa zamykana) lub logicznie (system z autoryzacją)
• Dostęp mają tylko upoważnieni pracownicy
• Czas przechowywania jest prawidłowy (10 lub 50 lat)
• Pracownik może wglądnąć i otrzymać kopię na żądanie

Krok 4: Weryfikacja monitoringu pracowników

Kodeks pracy reguluje 4 rodzaje monitoringu, każdy wymagający spełnienia warunków RODO: wizyjny (art. 22²), poczty elektronicznej (art. 22³), inne formy (GPS, kontrola dostępu — art. 22³ § 4), kontrola trzeźwości (art. 22³ KP od 2023 r.).

Każdy monitoring wymaga: uzasadnionego celu, ujęcia w regulaminie pracy lub porozumieniu, pisemnej informacji dla pracowników z wyprzedzeniem 2 tygodni, oznaczeń miejsc objętych monitoringiem (przy wizyjnym), maksymalnego okresu przechowywania nagrań (3 miesiące).

Krok 5: Umowy powierzenia z dostawcami

Każdy zewnętrzny dostawca usług HR — system kadrowy, biuro rachunkowe, pakiet medyczny, multisport, agencja pracy tymczasowej — ma dostęp do danych pracowników. To wymaga umowy powierzenia przetwarzania z art. 28 RODO.

Brak umowy = bezpośrednie naruszenie RODO + odpowiedzialność solidarna pracodawcy i procesora za każde naruszenie po stronie procesora.

• Lista wszystkich zewnętrznych dostawców usług HR
• Sprawdzenie istnienia umów powierzenia z każdym z nich
• Weryfikacja treści umów — czy zawierają wszystkie wymagane elementy z art. 28 RODO
• Audyt bezpieczeństwa po stronie procesora (przynajmniej raz w roku)
• Aktualizacja umów po zmianach w usługach

Krok 6: Procedury obsługi praw pracowników

Pracownik ma kilka praw RODO, których realizację pracodawca musi zapewnić: prawo dostępu (art. 15), sprostowania (art. 16), usunięcia (art. 17 — z ograniczeniami w prawie pracy), ograniczenia przetwarzania (art. 18), przenoszenia (art. 20), sprzeciwu (art. 21).

W praktyce w HR najczęstsze są wnioski o dostęp do akt osobowych i kopię. Pracodawca ma 1 miesiąc na odpowiedź (z możliwością przedłużenia o 2 miesiące w skomplikowanych przypadkach).

Krok 7: Plan reagowania na naruszenia

Naruszenie ochrony danych w HR to nie kwestia „czy”, ale „kiedy”. Może to być kradzież laptopa z aktami, wysłanie maila z listą wynagrodzeń do złego odbiorcy, atak ransomware na system kadrowy. Pracodawca musi mieć procedurę reagowania.

Czas reakcji jest kluczowy: 72 godziny na zgłoszenie do UODO (art. 33 RODO) i niezwłocznie do osób, których dane naruszono (art. 34). Procedura powinna obejmować: identyfikację incydentu, ocenę ryzyka, decyzję o zgłoszeniu, komunikację z pracownikami, działania naprawcze, dokumentację.

Najczęstsze naruszenia RODO w HR i jak ich uniknąć

• Żądanie nadmiernych danych od kandydata (np. PESEL na etapie rekrutacji) — naruszenie art. 22¹ KP
• Akta osobowe pozostawione bez nadzoru — naruszenie zasady integralności
• Brak umów powierzenia z dostawcami HR — solidarna odpowiedzialność z dostawcą
• Wysłanie listy wynagrodzeń do złego odbiorcy — wymaga zgłoszenia do UODO w 72h
• Monitoring w pomieszczeniach zakazanych (sanitariaty, jadalnie) — bezpośrednia podstawa skargi
• Przechowywanie danych po upływie ustawowego okresu — naruszenie zasady ograniczenia
• Dostęp pracowników do akt innych pracowników (np. wgląd w listy płac) — naruszenie poufności

RODO w HR to nie jednorazowy projekt wdrożeniowy z 2018 r. To proces ciągły. Co rok pojawiają się nowe ryzyka — praca zdalna, AI w rekrutacji, kontrola trzeźwości. Bez regularnych audytów firma traci kontrolę nad zgodnością.— praktyka inspektorów ochrony danych

Najczęściej zadawane pytania