Jakie dane pracownika można przetwarzać zgodnie z RODO?

Dane pracowników a RODO

Dane osobowe pracowników są przetwarzane w każdej firmie – od momentu rekrutacji aż do zakończenia zatrudnienia. Nie oznacza to jednak, że pracodawca może zbierać dowolne informacje o kandydacie lub pracowniku. Zarówno RODO, jak i przepisy Kodeksu pracy precyzyjnie określają, jakich danych można żądać, w jakim celu wolno je wykorzystywać oraz jak długo można je przechowywać. Gdzie przebiega granica między uzasadnionymi potrzebami pracodawcy a prawem pracownika do prywatności? Wyjaśniamy, jakie dane można przetwarzać zgodnie z obowiązującymi przepisami i jakie błędy najczęściej prowadzą do naruszeń ochrony danych osobowych.

Jakie przepisy regulują ochronę danych osobowych pracowników?

Ochrona danych osobowych pracowników wynika z przepisów prawa. Obowiązki pracodawców w tym zakresie regulowane są przez kilka aktów prawnych, które wzajemnie się uzupełniają i określają zarówno zasady pozyskiwania danych, jak i ich dalszego przetwarzania.

Podstawowym aktem prawnym jest Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, czyli RODO. Określa ono ogólne zasady przetwarzania danych osobowych, prawa osób, których dane dotyczą, oraz obowiązki administratorów danych, w tym pracodawców.

W przypadku stosunków pracy równie istotne znaczenie ma Kodeks pracy. To właśnie on wskazuje, jakich danych pracodawca może żądać od kandydata do pracy oraz pracownika. Szczegółowe regulacje znajdują się przede wszystkim w art. 22¹ Kodeksu pracy, który określa katalog danych dopuszczalnych do przetwarzania na poszczególnych etapach zatrudnienia.

Ochronę danych pracowników regulują również inne przepisy, między innymi:

• ustawa o ochronie danych osobowych,
• przepisy dotyczące ubezpieczeń społecznych, prawa podatkowego prowadzenia dokumentacji pracowniczej.

W praktyce oznacza to, że pracodawca powinien każdorazowo posiadać podstawę prawną do pozyskiwania konkretnych informacji i wykorzystywać je wyłącznie w określonym celu. Niezależnie od podstawy prawnej, przetwarzanie danych pracowniczych powinno odbywać się zgodnie z podstawowymi zasadami ochrony danych osobowych, takimi jak legalność, minimalizacja danych, ograniczenie celu przetwarzania oraz zapewnienie odpowiedniego poziomu bezpieczeństwa informacji.

Przeczytaj też: Umowa o pracę vs umowa zlecenie – co wybrać w 2026 roku?

Jakich danych można żądać od kandydata do pracy?

Zakres danych, których można wymagać od osoby ubiegającej się o zatrudnienie, został określony w Kodeksie pracy. Pracodawca ma prawo żądać podania:

• imienia i nazwiska,
• daty urodzenia,
• danych kontaktowych wskazanych przez kandydata,
• informacji o wykształceniu,
• kwalifikacjach zawodowych,
• przebiegu dotychczasowego zatrudnienia.

Nie oznacza to jednak, że każda z wymienionych kategorii danych może być wymagana w każdej rekrutacji. Informacje dotyczące wykształcenia, kwalifikacji zawodowych czy doświadczenia zawodowego mogą być pozyskiwane wyłącznie wtedy, gdy są niezbędne do wykonywania pracy określonego rodzaju lub na konkretnym stanowisku.

Przykładowo kancelaria prawna może wymagać od kandydata przedstawienia informacji o ukończonych studiach prawniczych i doświadczeniu zawodowym. Trudno byłoby jednak uzasadnić żądanie takich danych podczas rekrutacji na stanowisko niewymagające specjalistycznych kwalifikacji.

W praktyce większość informacji przekazywana jest przez kandydatów w dokumentach aplikacyjnych. Pracodawca powinien jednak zwracać uwagę, czy zakres pozyskiwanych danych nie wykracza poza to, co jest niezbędne do przeprowadzenia procesu rekrutacyjnego.

Czy pracodawca może sprawdzać media społecznościowe kandydata?

To jedno z najczęściej pojawiających się pytań w praktyce HR. Sam fakt, że informacje zostały opublikowane w internecie, nie oznacza, że pracodawca może swobodnie je wykorzystywać.

Przeglądanie publicznie dostępnych profili zawodowych, takich jak LinkedIn, jest co do zasady uznawane za dopuszczalne, ponieważ służy ocenie doświadczenia i kwalifikacji zawodowych kandydata. Znacznie większe wątpliwości budzi natomiast analizowanie prywatnych profili w mediach społecznościowych czy podejmowanie decyzji rekrutacyjnych na podstawie informacji niezwiązanych z wykonywaną pracą.

Jakie dodatkowe dane można przetwarzać po zatrudnieniu pracownika?

Po zawarciu umowy o pracę zakres danych, które mogą być przetwarzane, ulega rozszerzeniu. Wynika to z konieczności realizacji obowiązków pracodawcy związanych z zatrudnieniem, rozliczeniami podatkowymi oraz ubezpieczeniami społecznymi. Pracodawca może żądać między innymi:

• adresu zamieszkania,
• numeru PESEL,
• numeru rachunku płatniczego,
• danych niezbędnych do korzystania przez pracownika ze szczególnych uprawnień przewidzianych prawem pracy,
• danych członków rodziny, jeżeli ich podanie jest konieczne do realizacji określonych świadczeń lub obowiązków pracodawcy.

Przykładem mogą być informacje potrzebne do zgłoszenia pracownika do ubezpieczenia społecznego, ustalenia prawa do urlopu rodzicielskiego czy korzystania ze świadczeń socjalnych. Warto podkreślić, że również po zatrudnieniu obowiązuje zasada minimalizacji danych. Pracodawca nie może automatycznie gromadzić wszystkich dostępnych informacji o pracowniku. Każda kategoria danych powinna mieć konkretną podstawę prawną i uzasadniony cel przetwarzania.

Jakich danych pracodawca nie powinien żądać?

Choć katalog danych dopuszczalnych do przetwarzania jest stosunkowo szeroki, istnieje również wiele informacji, których pracodawca co do zasady nie powinien pozyskiwać. Dotyczy to między innymi pytań o:

• stan cywilny,
• plany związane z założeniem rodziny,
• ciążę,
• wyznanie,
• poglądy polityczne,
• orientację seksualną,
• przynależność do organizacji społecznych,
• zainteresowania niezwiązane z wykonywaną pracą.

Takie informacje zazwyczaj nie mają znaczenia dla oceny kwalifikacji zawodowych ani wykonywania obowiązków służbowych. Ich pozyskiwanie może zostać uznane za naruszenie przepisów o ochronie danych osobowych lub nawet przejaw dyskryminacji.

Nie oznacza to jednak, że każda informacja wykraczająca poza katalog wskazany w Kodeksie pracy będzie automatycznie niedopuszczalna. W niektórych przypadkach podstawą przetwarzania może być dobrowolna inicjatywa samego kandydata lub pracownika, jednak każda sytuacja wymaga indywidualnej oceny zgodności z przepisami RODO.

Sprawdź: Reforma PIP – co dalej? Jak zatrudniać w 2026 roku? UZ, UOP czy B2B?

Czy zgoda pracownika na przetwarzanie danych osobowych zawsze jest potrzebna?

Jednym z najczęstszych mitów dotyczących RODO jest przekonanie, że każdorazowe przetwarzanie danych osobowych wymaga uzyskania zgody osoby, której dane dotyczą. W relacjach pracowniczych sytuacja wygląda jednak inaczej.

W większości przypadków podstawą przetwarzania danych pracownika nie jest zgoda, lecz obowiązek wynikający z przepisów prawa. Pracodawca przetwarza dane osobowe, ponieważ jest do tego zobowiązany przez Kodeks pracy, przepisy podatkowe czy regulacje dotyczące ubezpieczeń społecznych.

Zgoda może być wykorzystywana jedynie w określonych sytuacjach. Przykładem może być publikacja wizerunku pracownika na stronie internetowej firmy, wykorzystanie zdjęcia w materiałach marketingowych czy zamieszczenie dodatkowych informacji niewymaganych przez przepisy prawa.

Należy jednak pamiętać, że w stosunku pracy zgoda budzi szczególne wątpliwości. Ze względu na zależność między pracownikiem a pracodawcą trudno niekiedy uznać ją za całkowicie dobrowolną. Dlatego organy nadzorcze oraz sądy podkreślają, że zgoda pracownika powinna być udzielana świadomie i bez jakiejkolwiek presji.

Istotne jest również to, że zgoda może zostać wycofana w dowolnym momencie. Jeżeli więc pracownik cofnie zgodę na publikację swojego zdjęcia w materiałach promocyjnych, pracodawca powinien zaprzestać dalszego wykorzystywania wizerunku, chyba że istnieje inna podstawa prawna uzasadniająca takie działanie.

Dane szczególnej kategorii – kiedy można je przetwarzać?

Szczególną ochroną objęte są tzw. dane szczególnej kategorii, często określane również jako dane wrażliwe. Ich przetwarzanie jest co do zasady zabronione, chyba że spełnione zostaną warunki przewidziane w przepisach prawa. Do tej grupy należą między innymi informacje dotyczące:

• stanu zdrowia,
• pochodzenia rasowego lub etnicznego,
• przekonań religijnych i światopoglądowych,
• przynależności do związków zawodowych,
• danych genetycznych,
• danych biometrycznych wykorzystywanych do jednoznacznej identyfikacji osoby.

W praktyce pracodawcy najczęściej spotykają się z danymi dotyczącymi zdrowia pracowników. Mogą one pojawić się na przykład w związku z badaniami medycyny pracy, zwolnieniami lekarskimi czy korzystaniem z określonych uprawnień pracowniczych.

Nie oznacza to jednak, że pracodawca może swobodnie pozyskiwać informacje o chorobach lub leczeniu pracownika. Zakres przetwarzanych danych powinien ograniczać się wyłącznie do informacji niezbędnych do realizacji obowiązków wynikających z przepisów prawa.

Szczególną ostrożność należy zachować również przy stosowaniu danych biometrycznych, takich jak odciski palców czy skan twarzy. Ich wykorzystanie jest dopuszczalne wyłącznie w określonych przypadkach przewidzianych przez przepisy i powinno być odpowiednio uzasadnione.

Poznaj ofertę: Rozliczenia kadrowo-płacowe pracowników

Monitoring pracowników a RODO

Rozwój nowych technologii sprawił, że pracodawcy coraz częściej korzystają z różnych form monitoringu. Może on służyć ochronie mienia, zapewnieniu bezpieczeństwa pracowników czy kontroli prawidłowego wykorzystania narzędzi służbowych. Najczęściej spotykane formy monitoringu obejmują:

• monitoring wizyjny,
• monitoring poczty elektronicznej,
• monitoring korzystania z internetu,
• monitoring GPS pojazdów służbowych,
• monitoring czasu pracy.

Wprowadzenie monitoringu nie oznacza jednak, że pracodawca może dowolnie obserwować pracowników. Każda forma kontroli powinna mieć konkretny, zgodny z prawem cel oraz być proporcjonalna do zamierzonego efektu. Pracodawca ma również obowiązek poinformowania pracowników o stosowaniu monitoringu. Informacja taka powinna wskazywać między innymi cel monitorowania, zakres zbieranych danych oraz okres ich przechowywania. Szczególne znaczenie ma poszanowanie prywatności pracowników. Monitoring nie powinien obejmować miejsc przeznaczonych do odpoczynku, pomieszczeń sanitarnych czy innych przestrzeni, w których pracownik może oczekiwać większego poziomu prywatności.

Jak długo można przechowywać dane pracownika?

RODO wprowadza zasadę ograniczenia przechowywania danych. Oznacza ona, że informacje o pracownikach nie mogą być gromadzone bezterminowo. Dane powinny być przechowywane jedynie przez okres niezbędny do realizacji celu, dla którego zostały zebrane. W przypadku dokumentacji pracowniczej okresy przechowywania wynikają bezpośrednio z przepisów prawa pracy.

Pracodawca ma obowiązek przechowywać dokumentację pracowniczą przez określony czas po zakończeniu zatrudnienia. Jednocześnie powinien zadbać o odpowiednie zabezpieczenie danych przez cały okres ich przechowywania. Inaczej wygląda sytuacja kandydatów, którzy nie zostali zatrudnieni. Po zakończeniu procesu rekrutacyjnego dane takich osób powinny zostać usunięte, chyba że kandydat wyraził zgodę na udział w przyszłych rekrutacjach.

Jakie kary grożą za nieprawidłowe przetwarzanie danych pracowników?

Naruszenie przepisów dotyczących ochrony danych osobowych może prowadzić do poważnych konsekwencji prawnych i finansowych.

W pierwszej kolejności należy wskazać możliwość nałożenia administracyjnych kar pieniężnych przez Prezesa Urzędu Ochrony Danych Osobowych. Wysokość kary zależy od wielu czynników, w tym charakteru naruszenia, liczby osób, których dane dotyczą, oraz działań podjętych przez administratora w celu ograniczenia skutków naruszenia.

Odpowiedzialność nie ogranicza się jednak wyłącznie do sankcji administracyjnych. Osoba, której prawa zostały naruszone, może dochodzić odszkodowania na drodze cywilnej. W niektórych przypadkach naruszenia mogą również skutkować odpowiedzialnością wynikającą z innych przepisów prawa.

Nie należy także lekceważyć konsekwencji wizerunkowych. Informacja o niewłaściwym przetwarzaniu danych pracowników może negatywnie wpłynąć na reputację przedsiębiorcy, utrudnić rekrutację nowych pracowników oraz osłabić zaufanie klientów i partnerów biznesowych.

Zobacz też: Co grozi za niewdrożenie KSeF? Kary i sankcje

Podsumowanie

Przetwarzanie danych pracowników jest nieodłącznym elementem prowadzenia działalności gospodarczej i realizacji obowiązków pracodawcy. Nie oznacza to jednak pełnej swobody w zakresie gromadzenia informacji o kandydatach i zatrudnionych osobach. Pracodawca może przetwarzać wyłącznie dane niezbędne do realizacji konkretnych celów wynikających z przepisów prawa lub innych prawnie uzasadnionych podstaw. Kluczowe znaczenie mają zasady minimalizacji danych, ograniczenia celu oraz zapewnienia odpowiedniego poziomu bezpieczeństwa informacji.

FAQ — najczęściej zadawane pytania

Czy pracodawca może żądać zdjęcia w CV?

Co do zasady nie. Przepisy nie przewidują obowiązku dołączania zdjęcia do dokumentów aplikacyjnych. Kandydat może dobrowolnie umieścić fotografię w CV, jednak pracodawca nie powinien uzależniać udziału w rekrutacji od przekazania zdjęcia, chyba że jest to uzasadnione specyfiką stanowiska.

Czy podczas rozmowy kwalifikacyjnej można pytać o plany związane z posiadaniem dzieci?

Nie. Pytania dotyczące planów rodzicielskich, ciąży czy życia rodzinnego nie są związane z kwalifikacjami zawodowymi kandydata i mogą zostać uznane za naruszające przepisy o ochronie danych osobowych oraz zasadę równego traktowania w zatrudnieniu.

Czy pracodawca może sprawdzać profile kandydatów w mediach społecznościowych?

W ograniczonym zakresie tak. Dopuszczalne może być zapoznanie się z informacjami zawodowymi udostępnionymi publicznie, np. na portalu LinkedIn. Pracodawca powinien jednak unikać pozyskiwania i wykorzystywania informacji dotyczących życia prywatnego kandydata, które nie mają związku z wykonywaną pracą.

Czy zgoda pracownika zawsze jest potrzebna do przetwarzania danych osobowych?

Nie. W większości przypadków dane pracowników są przetwarzane na podstawie przepisów prawa pracy, a nie zgody. Zgoda może być potrzebna jedynie w określonych sytuacjach, np. przy publikacji wizerunku pracownika na stronie internetowej firmy.

Czy pracownik może wycofać wcześniej udzieloną zgodę?

Tak. Zgoda na przetwarzanie danych osobowych może zostać cofnięta w dowolnym momencie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania danych, które miało miejsce przed jej cofnięciem.

Czy pracodawca może przetwarzać dane dotyczące zdrowia pracownika?

Wyłącznie w przypadkach przewidzianych przez przepisy prawa. Dotyczy to między innymi badań medycyny pracy, zwolnień lekarskich czy korzystania przez pracownika z określonych uprawnień wynikających z przepisów prawa pracy.

Jak długo można przechowywać CV kandydatów, którzy nie zostali zatrudnieni?

Po zakończeniu rekrutacji dane kandydatów powinny zostać usunięte, chyba że osoba ubiegająca się o pracę wyraziła zgodę na udział w przyszłych procesach rekrutacyjnych prowadzonych przez pracodawcę.

Czy pracodawca może monitorować służbową pocztę elektroniczną pracownika?

Tak, jednak wyłącznie w uzasadnionych przypadkach i z poszanowaniem prywatności pracownika. Monitoring poczty elektronicznej powinien służyć realizacji określonych celów związanych z organizacją pracy lub ochroną interesów pracodawcy, a pracownik musi zostać wcześniej poinformowany o jego stosowaniu.

Czy pracodawca może zbierać dane członków rodziny pracownika?

Tak, ale tylko wtedy, gdy jest to niezbędne do realizacji obowiązków wynikających z przepisów prawa, np. w związku z korzystaniem z urlopów rodzicielskich, świadczeń socjalnych lub zgłoszeniem członków rodziny do ubezpieczenia zdrowotnego.

Co grozi pracodawcy za naruszenie przepisów RODO?

Konsekwencje mogą obejmować administracyjne kary pieniężne nakładane przez Prezesa Urzędu Ochrony Danych Osobowych, roszczenia odszkodowawcze ze strony pracowników oraz negatywne skutki wizerunkowe dla przedsiębiorstwa.