W I kwartale 2018 roku liczba pracujących wynosiła 16 344 tys. – wynika z danych Głównego Urzędu Statystycznego. RODO wskazuje, że wszelkie przetwarzane przez organizacje informacje na ich temat powinny być przechowywane nie dłużej niż wynika to z celu ich pozyskiwania (Art. 5 ust. 1e). Jak te zapisy mają się jednak do procesu retencji danych, określanego jako obowiązek „zatrzymywania” danych, a następnie – w wielu przypadkach – bezterminowego przechowywania ich w bazach?
Dużym wyzwaniem dla firm jest ustalenie właściwego czasu przechowywania dokumentacji pracowniczej zawierającej dane osób zatrudnionych, czyli określenie okresów retencji. Zapewnienie rzeczywistego przestrzegania ustalonych terminów usunięcia danych osobowych, w tym usunięcia ich z systemów IT, stanowi jedno z najtrudniejszych wyzwań, jakie stoją przed administratorami danych osobowych.
Kto odpowiada za dane pracowników w kontekście RODO?
W obliczu RODO oraz wszelkich następstw powstałych po jego wdrożeniu na znaczeniu zyskuje rola administratora danych osobowych. Jest on bowiem osobą odpowiedzialną za dokonywanie okresowej oceny czasu, przez który informacje są przetwarzane przez organizację. “W zakres jego kompetencji wchodzi także dokonywanie przeglądów celów przetwarzania w aspekcie okresu ich przechowywania oraz bezpieczne usuwanie tych danych, których przetwarzanie stało się bezcelowe” – mówi dr Paweł Mielniczek, ekspert ds. ochrony danych w ODO 24.
Po upływie terminu przechowywania danych należy je niezwłocznie i trwale usunąć – zarówno te zebrane w formie elektronicznej, jak i papierowej. RODO nie określa jednak ani czasu, ani formy wykonania tej czynności. Okres przechowywania należy ograniczyć do niezbędnego minimum. Zaleca się ponadto przyjęcie procedury pozwalającej sprecyzować konkretne terminy i sposoby niszczenia danych osobowych. Po usunięciu danych, nie powinno być możliwe ich ponowne odczytanie i odtwarzanie.
Proces usuwania wszelkich danych należy rozpocząć od sprawdzenia, jakie informacje, w ramach których procesów, w jakiej formie i gdzie są przetwarzane. Następnie zalecana jest analiza czasu ich przetwarzania, przy której konieczne jest uwzględnienie obecnej i przyszłej wartości posiadanych danych, a ponadto kosztów, ryzyka i realnej możliwości ich stałej aktualizacji. Ważnym elementem jest regularne weryfikowanie, czy posiadane przez organizację informacje są nadal jej niezbędne.
Konsekwencją naruszenia przepisów w zakresie dopuszczalnej retencji danych osobowych może być kara, o której mowa w art. 83 ust. 5 lit. a i b RODO, tj. grzywna w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku, przy czym zastosowanie ma kwota wyższa. Możliwe jest ponadto nałożenie na Administratora Ochrony Danych odpowiedzialności cywilnej wobec osób, których dane dotyczą, zgodnie z art. 79 ust. 1 RODO.
Koniec z przechowywaniem przez 50 lat akt pracowników
Warto dodać, że czas ich przechowywania często regulowany jest przez ustawy szczegółowe, m.in. Kodeks pracy oraz Kodeks cywilny. Przykładowo, okres przechowywania dokumentacji pracowniczej do końca 2018 r. wynosi 50 lat od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł. Od 1 stycznia 2019 roku wchodzi jednak duża ulga dla przedsiębiorców. Polska jest tu jednym z niechlubnych rekordzistów jeśli chodzi o przechowywanie dokumentacji pracowniczej. Dla porównania we Francji taki obowiązek to maksymalnie 5 lat, a w Kanadzie tylko 3 lata. W Holandii w ogóle nie ma nakazu prawnego przechowywania dokumentów dla celów emerytalno-rentowych.
Zdaniem specjalistów rozwiązanie, jakie obowiązuje w Polsce nie jest efektywne. Przede wszystkim przepisy w tej formie nie są żadną gwarancją dla ubezpieczonych, że będą mogli przedstawić w ZUS dokumenty niezbędne do przyznania emerytury lub renty. Obowiązek ten generuje także duże komplikacje i koszty dla pracodawców. Dokumenty muszą być bowiem przechowywane w formie papierowej w warunkach niegrożących uszkodzeniem lub zniszczeniem. W przypadku nierealizowania tego obowiązku, pracodawca ponosi odpowiedzialność za wykroczenia przeciwko prawom pracownika i podlega karze grzywny od 1000 zł do 30 000 zł. Aby sprostać przepisom, firmy obecnie często korzystają z usług zewnętrznych. Przyjmuje się, że miesięczny koszt utrzymania akt pracowniczych to rząd wielkości od 10 zł do nawet kilkuset złotych. Zależy to od m.in. liczby zatrudnionych czy objętości teczki pracowniczej. Jeśli pomnożymy te wskaźniki przez maksymalny okres 50 lat, to robi się już bardzo duże obciążenie dla firmy.
Na szczęście przepis ulega zmianie. Od 1 stycznia 2019 roku będą mogli prowadzić i przechowywać dokumentację w sprawach związanych ze stosunkiem pracy oraz akt osobowych pracownika już nie 50 a 10 lat, w wybranej przez siebie formie – papierowej lub elektronicznej. Jest to niewątpliwie duże ułatwienie dla prowadzących biznes. Archiwum będzie można bowiem prowadzić z pomocą platform internetowych, służących do elektronicznej obsługi dokumentów. Jedną z nich jest EBI24. Aplikacja pozwala na prowadzenie bieżącej dokumentacji (umowy, faktury) w formie elektronicznej, ale także na archiwizację nie wykorzystywanych aktualnie dokumentów.
