Darbuotojų informavimas apie duomenų tvarkymą: ką ir kada pasakyti

Darbdavys privalo pasakyti darbuotojui, kas tvarko jo duomenis, kokiais tikslais ir pagrindais, kam juos perduoda, kiek laiko saugo ir kokias teises darbuotojas turi. Tai daroma tada, kai duomenys gaunami (BDAR 13 str. 1 d.), paprastai jau priimant į darbą. Informacija turi būti glausta, suprantama ir lengvai prieinama (BDAR 12 str. 1 d.). Kai duomenys gaunami ne iš paties darbuotojo, informuoti reikia per pagrįstą laiką, bet ne vėliau kaip per vieną mėnesį (BDAR 14 str. 3 d. a p.), o jei duomenys naudojami ryšiams su darbuotoju palaikyti ir su juo susisiekiama anksčiau, ar duomenys atskleidžiami kitam gavėjui – ne vėliau kaip tuo metu (BDAR 14 str. 3 d. b ir c p.).

Svetainės privatumo politika šios pareigos neįvykdo: ji skirta klientams ir lankytojams, o darbuotojų duomenys tvarkomi kitais tikslais ir pagrindais. Apie svetainės tekstą rašėme straipsnyje privatumo politika: ar ji privaloma ir kada ją atnaujinti, apie kandidatus – straipsnyje apie kandidatų CV ir dokumentų kopijas. Čia – ko įstatymas reikalauja būtent darbuotojų atžvilgiu, kur galima suklysti ir ką tai reiškia teisiškai.

Ko reikalauja įstatymas

Pagrindas yra skaidrumo principas: duomenys tvarkomi teisėtu, sąžiningu ir skaidriu būdu (BDAR 5 str. 1 d. a p.). Darbdavys taip pat turi sugebėti įrodyti, kad jo laikosi (BDAR 5 str. 2 d.). Informuoti nepakanka: reikia turėti įrodymą, kad informavote.

Privalomą turinį nustato BDAR 13 str. 1 ir 2 d. Darbo santykiuose ypač svarbūs šie punktai:

• Tikslai ir pagrindas kiekvienam tikslui (BDAR 13 str. 1 d. c p.). Darbo užmokestis, socialinis draudimas, darbuotojų sauga, prieigos kontrolė ir vidaus komunikacija turi skirtingus pagrindus. Vienas bendras sakinys „tvarkome darbo santykių tikslais“ jų neišvardija.
• Konkretus teisėtas interesas, jei juo remiatės (BDAR 13 str. 1 d. d p.).
• Gavėjai (BDAR 13 str. 1 d. e p.): valstybės institucijos, darbo užmokesčio apskaitos paslaugų teikėjas, IT sistemų tiekėjai, grupės įmonės.
• Perdavimas už EEE ribų (BDAR 13 str. 1 d. f p.), jei grupės ar tiekėjų sistemos yra trečiosiose valstybėse.
• Saugojimo terminai (BDAR 13 str. 2 d. a p.). Kaip juos pagrįsti, rašėme straipsnyje kiek laiko saugoti asmens duomenis.
• Ar duomenis pateikti privaloma pagal teisės aktus ar sutartį ir kokios pasekmės, jei jie nepateikiami (BDAR 13 str. 2 d. e p.). Darbuotojui tai praktiškiausias punktas: jis turi žinoti, ką privalo pateikti ir ką gali pasirinkti.
• Automatizuoti sprendimai, jei jų yra (BDAR 13 str. 2 d. f p.).
• Teisės ir teisė pateikti skundą VDAI (BDAR 13 str. 2 d. b ir d p.).

Kai tvarkoma pagal teisėtą interesą arba viešojo intereso užduotį, darbuotojas turi teisę nesutikti dėl priežasčių, susijusių su jo konkrečia situacija (BDAR 21 str. 1 d.). Apie šią teisę jam reikia pasakyti ne vėliau kaip pirmą kartą su juo susisiekiant, aiškiai ir atskirai nuo visos kitos informacijos (BDAR 21 str. 4 d.).

Duomenys, gauti ne iš darbuotojo, pavyzdžiui, iš buvusio darbdavio ar įdarbinimo agentūros, turi savo taisykles. Tada reikia nurodyti ir duomenų kilmės šaltinį (BDAR 14 str. 2 d. f p.). Duomenis apie kandidato kvalifikaciją iš buvusio darbdavio galima rinkti tik prieš tai informavus kandidatą, o iš esamo darbdavio – tik kandidato sutikimu (ADTAĮ 5 str. 3 d.).

Informavimas nėra vienkartinis. Jei turimus duomenis ketinate naudoti kitu tikslu, pranešti reikia prieš pradedant (BDAR 13 str. 3 d.). Informuoti nereikia tik tiek, kiek darbuotojas informaciją jau turi (BDAR 13 str. 4 d.). Kandidatui pateiktas atrankos pranešimas neapima to, kas vyks su jo duomenimis darbo metu.

Kokia forma ir kas yra įrodymas

Informacija pateikiama raštu arba kitomis priemonėmis, įskaitant elektronines (BDAR 12 str. 1 d.). 29 straipsnio darbo grupės gairėse dėl skaidrumo (WP260 rev.01), kurioms 2018 m. pritarė EDPB (Patvirtinimas Nr. 1/2018), nurodoma, kad informaciją reikia pateikti aktyviai. Žmogus neturi jos ieškoti tarp kitos informacijos, pavyzdžiui, sutarties sąlygų. Todėl darbuotojų pranešimas, paslėptas darbo tvarkos taisyklių priede, šio reikalavimo gali neatitikti.

Lietuvos teisė prideda du dalykus. Pirma, darbdavys leidžia pradėti dirbti tik pasirašytinai supažindinęs darbuotoją su darbo sąlygomis ir tvarką darbovietėje nustatančiomis darbo teisės normomis (DK 42 str. 4 d.). Jei darbuotojų duomenų tvarkymo taisykles patvirtinote kaip vietinį norminį teisės aktą (vietiniai norminiai teisės aktai nustato darbo teisės normas, DK 3 str. 1 d.), su jomis supažindinama tuo pačiu metu. Antra, apie stebėseną (vaizdo ir garso duomenis darbo vietoje, elgesio, vietos ar judėjimo stebėseną) darbuotojai informuojami pasirašytinai ar kitu informavimo faktą įrodančiu būdu (ADTAĮ 5 str. 4 d.).

Kai darbdavys įdarbina vidutiniškai dvidešimt ir daugiau darbuotojų, darbuotojų asmens duomenų saugojimo politiką jis tvirtina informavęs darbo tarybą ir su ja pasikonsultavęs (DK 206 str. 1 d. 7 p.).

Pranešimas, politika ir veiklos įrašai – trys skirtingi dokumentai

Klientas klausė, kam reikalinga vidaus duomenų apsaugos politika, jei darbuotojams jau pateiktas privatumo pranešimas. Atsakėme paaiškindami politikos paskirtį. Vidaus politika nustato taisykles: kaip darbuotojai tvarko duomenis, kaip reaguojama į duomenų saugumo pažeidimą, kaip vykdomi žmonių prašymai, kaip atliekamas poveikio vertinimas. BDAR 24 str. 2 d. tokią politiką vadina viena iš valdytojo priemonių, kai tai proporcinga duomenų tvarkymo veiklai. Pranešimas darbuotojui pasako, kas vyksta su jo paties duomenimis. Vienas dokumentas kito nepakeičia.

Trečias dokumentas – duomenų tvarkymo veiklos įrašai. Jie pateikiami VDAI, jai paprašius (BDAR 30 str. 4 d.). Vienoje įmonėje vieno darbuotojų duomenų tvarkymo tikslai ir terminai buvo tvarkingai aprašyti veiklos įrašuose, bet darbuotojų pranešime to tvarkymo nebuvo. Įrašas nieko neinformuoja. Jei duomenų tvarkymo nėra pranešime, darbuotojai apie jį nebuvo informuoti.

Kas nutinka ne taip

Pranešimo nėra arba jis bendras. Vienas sakinys darbo sutartyje, kad darbdavys tvarko darbuotojo duomenis pagal BDAR, nepateikia nė vieno BDAR 13 str. 1 ir 2 d. elemento.

Pranešimas neatitinka tikrovės. Jame aprašytos sistemos, kurių nebėra, ir nutylėtos naujos: vaizdo stebėjimas, GPS, nauja personalo sistema ar tiekėjas už EEE ribų.

Nėra kuo įrodyti. Pranešimas buvo išsiųstas bendru laišku prieš kelerius metus, o naujiems darbuotojams nepateiktas. Ginče ar patikrinimo metu pagal BDAR 5 str. 2 d. įrodyti turi darbdavys.

Pranešimas pavėluotas. Nauja stebėsenos ar vertinimo priemonė pradedama naudoti, o darbuotojai informuojami po to. Kur yra darbuotojų stebėsenos riba, rašome straipsnyje Darbuotojų stebėsena: kameros, GPS, skambučiai ir el. paštas.

Pasekmės yra teisinės. Informavimo pareiga yra duomenų subjekto teisių dalis. Už teisių pagal BDAR 12–22 str. pažeidimą BDAR numato administracines baudas iki dvidešimties milijonų eurų arba, jei tai įmonė, iki 4 % visos jos ankstesnių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 5 d. b p.). Valdžios institucijoms ir įstaigoms Lietuvoje taikomos mažesnės ribos (ADTAĮ 33 str. 2 d.), išskyrus tas, kurios vykdo ūkinę komercinę veiklą (ADTAĮ 33 str. 3 d.). VDAI gali nurodyti suderinti tvarkymą su reglamentu per nustatytą laiką (BDAR 58 str. 2 d. d p.). Žalą patyręs darbuotojas turi teisę į kompensaciją (BDAR 82 str. 1 d.). Problema gali iškilti, pavyzdžiui, ginče dėl atleidimo ar drausminės nuobaudos. Tada klausiama, ar darbuotojui buvo pasakyta, kad tokie duomenys renkami ir kam jie naudojami.

Kada kreiptis į teisininką

• kai rengiate ar atnaujinate darbuotojų privatumo pranešimą ir vidaus duomenų apsaugos politiką;
• kai diegiate naują personalo, darbo laiko apskaitos ar stebėsenos sistemą;
• kai darbuotojų duomenys perduodami grupės įmonėms ar tiekėjams už EEE ribų;
• kai darbuotojas prašo savo duomenų ar skundžiasi dėl jų tvarkymo;
• kai reikia konsultuotis su darbo taryba dėl duomenų tvarkymo tvarkos.