Praktyczny przewodnik dotyczący zgodnego z prawem przetwarzania danych, wrażliwych danych pracowników, wniosków o udostępnienie danych, okresów przechowywania oraz wyboru dostawców usług kadrowych.
Dokumentacja pracownicza wymaga jasnych zasad: co należy gromadzić, kto ma do niej dostęp oraz kiedy należy ją usunąć. Należy zacząć od określenia celu każdego zapisu, a nie od sporządzania listy informacji, które mogą się kiedyś przydać.
Informacje zweryfikowano 21 września 2026 r. Istotne znaczenie mają również krajowe przepisy dotyczące zatrudnienia oraz okoliczności przetwarzania danych.
Dane kontaktowe, informacje dotyczące wynagrodzeń, godziny pracy oraz dokumentacja dotycząca wyników pracy służą różnym celom. Należy odnotować cel przetwarzania, osoby wymagające dostępu oraz obowiązujące zasady przechowywania danych dla każdej kategorii. System kadrowo-płacowy powinien pomagać w zachowaniu jasnego rozróżnienia między tymi kategoriami.
RODO wymaga minimalizacji danych. Pełnienie funkcji pracodawcy nie stanowi ogólnego uprawnienia do gromadzenia danych osobowych pracowników. Dane dotyczące wyroków skazujących i przestępstw podlegają przepisom art. 10, odrębnie od kategorii szczególnych określonych w art. 9. RODO, art. 5, 9 i 10
Szczególnej ostrożności wymagają informacje dotyczące zdrowia, przynależność do związków zawodowych oraz dane biometryczne wykorzystywane do jednoznacznej identyfikacji. W przypadku przetwarzania danych należących do kategorii szczególnych należy wskazać zarówno podstawę prawną wynikającą z art. 6, jak i mający zastosowanie warunek określony w art. 9. Konieczność wynikająca z prawa pracy zgodnie z art. 9 ust. 2 lit. b) zależy od upoważnienia zawartego w prawie unijnym lub krajowym albo w kwalifikującym się układzie zbiorowym, zawierającym odpowiednie zabezpieczenia. EDPB: zgodne z prawem przetwarzanie i dane wrażliwe
Konieczność wynikająca z umowy, obowiązek prawny oraz prawnie uzasadnione interesy są powszechnymi podstawami w stosunkach pracy, jednak wybór właściwej podstawy zależy od rodzaju działalności. Samo istnienie klauzuli w umowie nie oznacza, że każde związane z nią wykorzystanie danych jest konieczne. Prawnie uzasadnione interesy wymagają oceny konieczności oraz wyważenia interesów; w przypadku monitorowania mogą mieć zastosowanie dodatkowe przepisy krajowe.
Zgoda często nie jest odpowiednim rozwiązaniem, gdy stosunek pracy uniemożliwia swobodny wybór. W przypadku jej stosowania musi istnieć możliwość odmowy wyrażenia zgody lub jej cofnięcia bez ponoszenia negatywnych konsekwencji. Należy udokumentować podstawę prawną przed rozpoczęciem przetwarzania danych. EDPB: podstawy prawne
W przypadku informacji zebranych bezpośrednio od pracownika art. 13 zazwyczaj wymaga przekazania informacji o ochronie danych w momencie ich uzyskania. Dane pozyskane z innych źródeł podlegają przepisom art. 14, który określa własne terminy i wyjątki. Należy uwzględnić cele przetwarzania, podstawy prawne, odbiorców, okres przechowywania, ewentualne przekazywanie danych oraz przysługujące prawa. Potwierdzenie otrzymania informacji nie oznacza wyrażenia zgody na wszystkie działania w niej opisane. RODO, art. 13 i 14
Proszę zadbać o to, aby informacja była łatwa do znalezienia po zakończeniu procesu wdrażania nowego pracownika. Jeśli pracownik zapyta o konkretny sposób wykorzystania swoich danych, ktoś powinien być w stanie wyjaśnić rzeczywisty proces stojący za sformułowaniami zawartymi w tekście.
Pracownicy mogą żądać dostępu do swoich danych oraz ich sprostowania, a w zależności od okoliczności mogą również mieć prawo do usunięcia, ograniczenia przetwarzania, przenoszenia danych lub wniesienia sprzeciwu. Usunięcie danych nie jest bezwarunkowe: zgodne z prawem obowiązki dotyczące przechowywania danych oraz roszczenia prawne mogą uzasadniać zachowanie niektórych zapisów. Ograniczenie przetwarzania nie oznacza również całkowitego zakazu jakiegokolwiek wykorzystania przechowywanych informacji.
Przenoszenie danych dotyczy danych przekazanych przez osobę fizyczną, przetwarzanych w sposób zautomatyzowany na podstawie zgody lub umowy. Nie obejmuje ono wszystkich dokumentów kadrowych. Na wnioski należy zazwyczaj udzielić odpowiedzi w terminie jednego miesiąca; ewentualne przedłużenie terminu należy uzasadnić w ciągu tego pierwszego miesiąca. Konieczność poinformowania odbiorców o sprostowaniach, usunięciu danych lub ograniczeniach przetwarzania może wynikać z wyjątków określonych w art. 19. EDPB: prawa osób fizycznych
Przydatnym wewnętrznym schematem postępowania jest:
Nie istnieje jedna wspólna tabela okresów przechowywania danych pracowników obowiązująca w całej Unii Europejskiej. Dokumentacja płacowa, akta kandydatów oraz dokumentacja dotycząca zdrowia w miejscu pracy mogą podlegać różnym wymogom. Należy odnotować powód każdego okresu przechowywania, moment jego rozpoczęcia, ewentualne etapy archiwizacji z ograniczeniami dostępu oraz to, co dzieje się po upływie tego okresu.
Francuska komisja CNIL opublikowała wytyczne dotyczące okresów przechowywania danych w zakresie kadr, jednak okresy te, specyficzne dla danego kraju, nie powinny być przedstawiane jako przepisy obowiązujące w całej Unii Europejskiej. Obowiązki związane z zabezpieczeniem danych na potrzeby postępowania oraz ustawowe okresy przechowywania mogą ulec zmianie, gdy usunięcie danych jest właściwe. CNIL: okresy przechowywania
Domyślne ustawienie oprogramowania stanowi punkt wyjścia do oceny, a nie dowód na to, że wybrany okres jest zgodny z prawem. Proszę uwzględnić w swoim procesie eksport danych, powiązane usługi oraz postępowanie z kopiami zapasowymi.
Rejestr czynności przetwarzania opisuje operacje, takie jak rozliczanie wynagrodzeń czy rekrutacja. Nie jest to osobny wpis dla każdego nowego pracownika. Nie należy zakładać, że zatrudnienie mniej niż 250 pracowników zwalnia z tego obowiązku: wyłączenie ma ograniczony zakres, a bieżące przetwarzanie danych przez dział kadr nie ma charakteru sporadycznego. EDPB: rejestry i odpowiedzialność
W przypadku gdy dostawca przetwarza dane w Państwa imieniu, wymagana jest umowa o zleceniu przetwarzania danych zgodnie z art. 28. Inni odbiorcy mogą pełnić rolę niezależnych lub wspólnych administratorów danych i wymagają odrębnej oceny; nie każde ujawnienie danych oznacza nawiązanie stosunku z podmiotem przetwarzającym. RODO, art. 26 i 28
W przypadku przekazywania danych poza EOG należy sprawdzić obowiązującą decyzję w sprawie adekwatności lub stosowane zabezpieczenia, a także umowę o świadczenie usług. Miejsce rejestracji w UE oraz lokalizacja serwerów nie określają w całości przebiegu przepływu danych. EDPB: przekazywanie danych za granicę
PersoHR zapewnia funkcje eksportu danych, procedury usuwania danych oraz rejestry audytowe w celu wsparcia tych procesów. Państwa organizacja musi jednak samodzielnie zdecydować, które przepisy mają zastosowanie, odpowiednio skonfigurować usługę oraz dokonać weryfikacji wniosków przed podjęciem działań w ich sprawie.
Wypróbuj PersoHR bezpłatnie przez 30 dni. Karta kredytowa nie jest wymagana.
Rozpocznij 30-dniowy bezpłatny okres próbny