Przetwarzanie danych osobowych dotyczących wyroków skazujących i naruszeń prawa
Dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa to wszelkie dane osobowe sprawcy dotyczące prowadzonych postępowań oraz orzeczeń (w tym nieprawomocnych). Informacje te mogą dotyczyć:
samego faktu prowadzenia postępowania wobec danej osoby,
okoliczności faktycznych dotyczących czynu zabronionego sprawcy lub domniemanego sprawcy,
treści orzeczenia, w tym zastosowanych wobec sprawcy środków zabezpieczających, kar czy środków karnych.
Oświadczenie o niekaralności, zdaniem PUODO, również stanowi dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa w rozumieniu RODO.
W praktyce administratorzy – podmioty prywatne w Polsce – mogą przetwarzać dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa wyłącznie jeżeli zezwalają im na to przepisy powszechnie obowiązującego prawa w Polsce.
Jeśli administrator przetwarza dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa na podstawie przepisów, powinien prowadzić takie przetwarzanie wyłącznie i dokładnie w sposób, w celach i w zakresie wskazanych w tych przepisach. Jeśli przepisy nie precyzują określonych kwestii związanych z przetwarzaniem, administrator powinien stosować się do przepisów RODO, w szczególności uwzględniając zasady przetwarzania danych, o których mowa w art. 5 RODO.
Czym są dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa?
Pojęcie „wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa” nie jest zdefiniowane ani w RODO, ani w polskich przepisach (które posługują się innymi pojęciami). Można mieć zatem wątpliwości co do tego, kiedy określone dane osobowe przetwarzane w Polsce dotyczą wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa w rozumieniu RODO.
Nie wdając się w szczegółowe rozważania, wydaje się, że można przyjąć, że dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa obejmują, co najmniej, wszelkie dane osobowe sprawcy, które dotyczą wszelkiego rodzaju orzeczeń (w tym nieprawomocnych) oraz związanych z tym postępowań dotyczących zagadnień prawnokarnych, w szczególności dotyczących: przestępstw (w tym karnoskarbowych), wykroczeń (w tym karanych w drodze mandatów oraz wykroczeń karnoskarbowych), a także postępowań prowadzonych w sprawie wydania tego rodzaju orzeczeń. Informacje te mogą, przynajmniej teoretycznie, dotyczyć:
samego faktu prowadzenia postępowania wobec danej osoby,
okoliczności faktycznych dotyczących czynu zabronionego sprawcy lub domniemanego sprawcy,
treści orzeczenia, w tym zastosowanych wobec sprawcy środków zabezpieczających, kar czy środków karnych. Zgodnie ze stanowiskiem PUODO także informacja o niefigurowaniu w rejestrze karnym stanowi informację zawierającą dane z art. 10 RODO (Zatem, każde zaświadczenie o niekaralności, które będzie zawierało informacje o wyrokach skazujących, czy też informację o tym, że dana osoba nie była skazana, będzie informacją dotyczącą wyroków skazujących i czynów zabronionych w rozumieniu RODO – patrz„Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców”).
Warto także pamiętać, że art. 10 dotyczy zarówno przetwarzania danych osobowych w formie np. zaświadczeń z rejestrów, jak i w formie oświadczeń osób, których dane dotyczą. Innymi słowy, uzyskanie oświadczenia o niekaralności danej osoby również stanowi przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa w rozumieniu RODO i podlega szczególnemu reżimowi prawnemu, o którym mowa w art. 10 RODO.
Jakie warunki muszą być spełnione, aby można było przetwarzać dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa?
Ogólnie rzecz biorąc, dla takiego przetwarzania spełnione muszą być dwa warunki:
administrator musi być w stanie zidentyfikować adekwatną podstawę przetwarzania takich danych, o której mowa w art. 6 ust. 1 RODO, w celu, w którym zamierza je przetwarzać,
przetwarzanie przez administratora takich danych musi być dokonywane pod nadzorem władz publicznych lub musi być dozwolone prawem Unii Europejskiej lub prawem państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą.
Na jakich podstawach, o których mowa w art. 6 ust. 1 RODO, można przetwarzać dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa?
Teoretycznie administrator może zastosować do przetwarzania omawianych danych każdą z podstaw przetwarzania danych wskazanych w art. 6 ust. 1 RODO. Niemniej podstawa przetwarzania danych musi być zawsze skorelowana z celem przetwarzania, który sam w sobie również musi być zgodny z prawem, a także spełniać inne warunki wskazane w art. 10 RODO (przetwarzanie pod nadzorem władz publicznych lub dozwolone prawem).
W związku z tym, w praktyce, najczęstszymi podstawami przetwarzania tego typu danych w Polsce będą:
podstawa dopuszczająca przetwarzanie, jeżeli przetwarzanie to jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze,
podstawa dopuszczająca przetwarzanie, jeżeli przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi,
podstawa dopuszczająca przetwarzanie, jeżeli przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Z uwagi na szczególny reżim prawny przetwarzania danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa wskazane jest, by administrator, decydując się na przetwarzanie takich danych, dokonał uprzednio analizy (i odpowiednio ją udokumentował), czy posiada podstawę do przetwarzania takich danych oraz w jaki sposób powinien zorganizować przetwarzanie takich danych, by zapewnić zgodność z RODO oraz innymi przepisami regulującymi przetwarzanie takich danych (np. zasada minimalizacji, ograniczenia celu itp.).
Co znaczy „przetwarzanie wyłącznie pod nadzorem władz publicznych?”
Przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa jest dopuszczalne m.in. wtedy, gdy administrator – posiadając podstawę do przetwarzania danych wskazaną w art. 6 ust. 1 RODO – prowadzi to przetwarzanie pod nadzorem władz publicznych.
Wydaje się, że aby ten warunek był spełniony – biorąc pod uwagę polski system prawny –ramy takiego przetwarzania powinny być wyraźnie opisane w przepisach powszechnie obowiązującego prawa. Oznacza to, że z punktu widzenia podmiotów prywatnych omawiany warunek nie ma istotnego praktycznego znaczenia, ponieważ podmioty takie będą mogły przetwarzać omawiane dane osobowe co do zasady wyłącznie wtedy, gdy jest to dozwolone przepisami prawa (patrz niżej). Takie podejście jest też bezpieczniejsze z prawnego punktu widzenia.
W jakich sytuacjach przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa jest dozwolone prawem Unii lub prawem państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą?
Aby można było twierdzić, że administrator może przetwarzać dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa, administrator powinien zidentyfikować przepis powszechnie obowiązującego prawa, który:
ma do niego bezpośrednie zastosowanie,
wyraźnie pozwala na przetwarzanie takiego rodzaju danych,
reguluje sposób i zakres ich przetwarzania.
Jeśli nie ma takich przepisów prawa, podstawą nie będą np. procedury wprowadzone przez administratora.
RODO wskazuje nadto, że przepisy zezwalające na przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa powinny przewidywać odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. Wydaje się jednak, że podmiot prywatny opierający przetwarzanie omawianych danych osobowych na istniejących przepisach prawa nie ma obowiązku oceniać, czy przepisy te spełniają wskazane wymogi – może zakładać, że jeśli jakiś przepis stanowi część polskiego porządku prawnego, to jest on zgodny z wymogami wynikającymi z RODO.
Co istotne, przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa powinno się odbywać wyłącznie i dokładnie w sposób, w celach i w zakresie wskazanych w przepisach. Jeśli przepisy nie precyzują określonych kwestii związanych z przetwarzaniem, administrator powinien stosować się do przepisów RODO, w szczególności uwzględniając zasady przetwarzania danych, o których mowa w art. 5 RODO.
Czy pracodawca w Polsce można przetwarzać dane osobowe kandydatów do pracy lub pracowników dotyczące karalności?
Jest to jedno z częściej zadawanych pytań przez zagraniczne korporacje, które rozpoczynają działalność w Polsce. Przetwarzanie takich danych osobowych będzie dopuszczalne, jeśli istnieje wyraźny przepis zezwalający na ich przetwarzanie. W Polsce mamy niewiele takich przepisów – wybrane z nich prezentujemy poniżej.
A co jeśli nie ma takich wyraźnych przepisów? Czy zgoda kandydata do pracy lub pracownika na przetwarzanie takich danych zalegalizuje ich przetwarzanie?
W świetle brzmienia art. 221a Kodeksu pracy zgoda kandydata do pracy lub pracownika nie może stanowić podstawy przetwarzania danych osobowych, o których mowa w art. 10 RODO, a więc przetwarzanie takich danych przez pracodawcę nie będzie dopuszczalne.
Przykłady polskich przepisów pozwalających na przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa
Przykładami polskich przepisów, które regulują przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa są:
ustawa z dnia 14 grudnia 2016 r. Prawo oświatowe,
ustawa z dnia 12 kwietnia 2018 r. o zasadach pozyskiwania informacji o niekaralności osób ubiegających się o zatrudnienie i osób zatrudnionych w podmiotach sektora finansowego.
Przepisy tej ostatniej ustawy znajdą zastosowanie do podmiotów z sektora finansowego, które będą mogły zweryfikować karalność kandydatów do pracy lub pracowników. Niemniej jednak ustawa przewiduje szereg ograniczeń, które należy wziąć pod uwagę, w szczególności:
na ustawę mogą powoływać się wyłącznie podmioty, które są wyraźnie wskazane w ustawie (a więc dany podmiot powinien najpierw przeanalizować, czy spełnia warunki pozwalające mu korzystać z uprawnień wynikających z ustawy),
weryfikacją mogą zostać objęci kandydaci do pracy lub pracownicy (a także osoby zatrudnione na podstawie umów cywilnoprawnych), którzy są rekrutowani/zatrudnieni na stanowiskach określonych w ustawie,
weryfikacja może nastąpić wyłącznie w zakresie przestępstw wskazanych w ustawie,
ustawa szczegółowo określa procedurę, której należy przestrzegać podczas weryfikowania karalności, np. formę udzielenia informacji i jej udokumentowania.
Czy przepisy odwołujące się do wymogu posiadania nieposzlakowanej opinii stanowią podstawę do przetwarzania danych pracownika dotyczących jego karalności?
Przepisy regulujące wykonywanie pewnych zawodów zawierają wymóg posiadania nieposzlakowanej opinii przez daną osobę. Zdaniem PUODO „nieposzlakowana opinia” to termin nieostry, który stanowi zwrot niedookreślony odwołujący się do przesłanek uznaniowych, o charakterze ocennym, jednak nie stanowi podstawy do przetwarzania przez pracodawcę danych o niekaralności pracownika, nie wynika to bowiem bezpośrednio z przepisów prawa.
Komentarz do art. 10
Przetwarzanie danych osobowych dotyczących wyroków skazujących i naruszeń prawa
Czym są dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa?
Pojęcie „wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa” nie jest zdefiniowane ani w RODO, ani w polskich przepisach (które posługują się innymi pojęciami). Można mieć zatem wątpliwości co do tego, kiedy określone dane osobowe przetwarzane w Polsce dotyczą wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa w rozumieniu RODO.
Nie wdając się w szczegółowe rozważania, wydaje się, że można przyjąć, że dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa obejmują, co najmniej, wszelkie dane osobowe sprawcy, które dotyczą wszelkiego rodzaju orzeczeń (w tym nieprawomocnych) oraz związanych z tym postępowań dotyczących zagadnień prawnokarnych, w szczególności dotyczących: przestępstw (w tym karnoskarbowych), wykroczeń (w tym karanych w drodze mandatów oraz wykroczeń karnoskarbowych), a także postępowań prowadzonych w sprawie wydania tego rodzaju orzeczeń. Informacje te mogą, przynajmniej teoretycznie, dotyczyć:
Warto także pamiętać, że art. 10 dotyczy zarówno przetwarzania danych osobowych w formie np. zaświadczeń z rejestrów, jak i w formie oświadczeń osób, których dane dotyczą. Innymi słowy, uzyskanie oświadczenia o niekaralności danej osoby również stanowi przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa w rozumieniu RODO i podlega szczególnemu reżimowi prawnemu, o którym mowa w art. 10 RODO.
Jakie warunki muszą być spełnione, aby można było przetwarzać dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa?
Ogólnie rzecz biorąc, dla takiego przetwarzania spełnione muszą być dwa warunki:
Na jakich podstawach, o których mowa w art. 6 ust. 1 RODO, można przetwarzać dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa?
Więcej na temat podstaw przetwarzania danych piszemy w komentarzu do art. 6.
Teoretycznie administrator może zastosować do przetwarzania omawianych danych każdą z podstaw przetwarzania danych wskazanych w art. 6 ust. 1 RODO. Niemniej podstawa przetwarzania danych musi być zawsze skorelowana z celem przetwarzania, który sam w sobie również musi być zgodny z prawem, a także spełniać inne warunki wskazane w art. 10 RODO (przetwarzanie pod nadzorem władz publicznych lub dozwolone prawem).
W związku z tym, w praktyce, najczęstszymi podstawami przetwarzania tego typu danych w Polsce będą:
Z uwagi na szczególny reżim prawny przetwarzania danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa wskazane jest, by administrator, decydując się na przetwarzanie takich danych, dokonał uprzednio analizy (i odpowiednio ją udokumentował), czy posiada podstawę do przetwarzania takich danych oraz w jaki sposób powinien zorganizować przetwarzanie takich danych, by zapewnić zgodność z RODO oraz innymi przepisami regulującymi przetwarzanie takich danych (np. zasada minimalizacji, ograniczenia celu itp.).
Co znaczy „przetwarzanie wyłącznie pod nadzorem władz publicznych?”
Przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa jest dopuszczalne m.in. wtedy, gdy administrator – posiadając podstawę do przetwarzania danych wskazaną w art. 6 ust. 1 RODO – prowadzi to przetwarzanie pod nadzorem władz publicznych.
Wydaje się, że aby ten warunek był spełniony – biorąc pod uwagę polski system prawny –ramy takiego przetwarzania powinny być wyraźnie opisane w przepisach powszechnie obowiązującego prawa. Oznacza to, że z punktu widzenia podmiotów prywatnych omawiany warunek nie ma istotnego praktycznego znaczenia, ponieważ podmioty takie będą mogły przetwarzać omawiane dane osobowe co do zasady wyłącznie wtedy, gdy jest to dozwolone przepisami prawa (patrz niżej). Takie podejście jest też bezpieczniejsze z prawnego punktu widzenia.
W jakich sytuacjach przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa jest dozwolone prawem Unii lub prawem państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą?
Aby można było twierdzić, że administrator może przetwarzać dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa, administrator powinien zidentyfikować przepis powszechnie obowiązującego prawa, który:
Jeśli nie ma takich przepisów prawa, podstawą nie będą np. procedury wprowadzone przez administratora.
RODO wskazuje nadto, że przepisy zezwalające na przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa powinny przewidywać odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. Wydaje się jednak, że podmiot prywatny opierający przetwarzanie omawianych danych osobowych na istniejących przepisach prawa nie ma obowiązku oceniać, czy przepisy te spełniają wskazane wymogi – może zakładać, że jeśli jakiś przepis stanowi część polskiego porządku prawnego, to jest on zgodny z wymogami wynikającymi z RODO.
Co istotne, przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa powinno się odbywać wyłącznie i dokładnie w sposób, w celach i w zakresie wskazanych w przepisach. Jeśli przepisy nie precyzują określonych kwestii związanych z przetwarzaniem, administrator powinien stosować się do przepisów RODO, w szczególności uwzględniając zasady przetwarzania danych, o których mowa w art. 5 RODO.
Czy pracodawca w Polsce można przetwarzać dane osobowe kandydatów do pracy lub pracowników dotyczące karalności?
Jest to jedno z częściej zadawanych pytań przez zagraniczne korporacje, które rozpoczynają działalność w Polsce. Przetwarzanie takich danych osobowych będzie dopuszczalne, jeśli istnieje wyraźny przepis zezwalający na ich przetwarzanie. W Polsce mamy niewiele takich przepisów – wybrane z nich prezentujemy poniżej.
A co jeśli nie ma takich wyraźnych przepisów? Czy zgoda kandydata do pracy lub pracownika na przetwarzanie takich danych zalegalizuje ich przetwarzanie?
W świetle brzmienia art. 221a Kodeksu pracy zgoda kandydata do pracy lub pracownika nie może stanowić podstawy przetwarzania danych osobowych, o których mowa w art. 10 RODO, a więc przetwarzanie takich danych przez pracodawcę nie będzie dopuszczalne.
Przykłady polskich przepisów pozwalających na przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa
Przykładami polskich przepisów, które regulują przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa są:
Przepisy tej ostatniej ustawy znajdą zastosowanie do podmiotów z sektora finansowego, które będą mogły zweryfikować karalność kandydatów do pracy lub pracowników. Niemniej jednak ustawa przewiduje szereg ograniczeń, które należy wziąć pod uwagę, w szczególności:
Czy przepisy odwołujące się do wymogu posiadania nieposzlakowanej opinii stanowią podstawę do przetwarzania danych pracownika dotyczących jego karalności?
Przepisy regulujące wykonywanie pewnych zawodów zawierają wymóg posiadania nieposzlakowanej opinii przez daną osobę. Zdaniem PUODO „nieposzlakowana opinia” to termin nieostry, który stanowi zwrot niedookreślony odwołujący się do przesłanek uznaniowych, o charakterze ocennym, jednak nie stanowi podstawy do przetwarzania przez pracodawcę danych o niekaralności pracownika, nie wynika to bowiem bezpośrednio z przepisów prawa.