Czy imię i nazwisko to RODO - Dowiedz się, jak chronić dane w pracy

Imię i nazwisko nie jest informacją neutralną - w świetle RODO to zwykle dane osobowe. Dlatego pytanie czy imie i nazwisko to rodo wraca w pracy bardzo często: przy listach obecności, e-mailach służbowych, grafikach czy publikacji danych pracownika na stronie firmy. W tym tekście rozpisuję, kiedy samo nazwisko wystarcza do identyfikacji, co pracodawca może z takimi danymi zrobić i gdzie kończy się zwykła organizacja pracy, a zaczyna ryzyko naruszenia prywatności.

Kiedy imię i nazwisko staje się daną osobową

Ja patrzę na to w prosty sposób: jeśli na podstawie imienia i nazwiska można bez większego wysiłku wskazać konkretną osobę, to wchodzimy w obszar danych osobowych. UODO wyjaśnia to wprost przez pojęcie identyfikowalności - liczy się możliwość rozpoznania osoby bezpośrednio albo pośrednio, a imię i nazwisko jest jednym z klasycznych identyfikatorów. To ważne doprecyzowanie, bo wiele osób myli „dane osobowe” z danymi wrażliwymi. Imię i nazwisko samo w sobie nie jest danym szczególnej kategorii, ale nadal podlega ochronie. W praktyce nie trzeba od razu znać adresu, PESEL-u czy numeru konta, żeby mówić o danych osobowych - często wystarcza zwykły podpis pod dokumentem, lista uczestników spotkania albo zestawienie z działem i stanowiskiem.

Warto też pamiętać o jednym niuansie: pojedyncze imię i nazwisko bez kontekstu nie zawsze pozwala zidentyfikować osobę w każdej sytuacji. Jednak gdy dochodzi miejsce pracy, funkcja, zdjęcie, adres e-mail albo inny element organizacyjny, próg identyfikacji zwykle zostaje przekroczony. To prowadzi już prosto do pytania, jak wygląda to w realiach zatrudnienia.

W pracy to prawie zawsze dane osobowe

W relacji pracownik-pracodawca nie rozpatruję tego abstrakcyjnie. W firmie imię i nazwisko pojawia się na liście obecności, w aktach osobowych, w grafiku, w systemie kadrowym, na identyfikatorze, w stopce maila i w wielu innych miejscach, które natychmiast przypisują informację do konkretnej osoby. Dlatego odpowiedź praktyczna jest prosta: w środowisku pracy imię i nazwisko niemal zawsze będzie daną osobową.

Właśnie dlatego nie patrzę tylko na samo słowo „Jan Kowalski”, ale na cały kontekst. Jeśli obok pojawia się stanowisko, dział, lokalizacja albo zdjęcie, identyfikacja jest już bardzo łatwa. Z tego wynika kolejny krok: skoro dane są osobowe, to pracodawca może je przetwarzać, ale nie dowolnie.

Co pracodawca może robić z imieniem i nazwiskiem pracownika

Pracodawca nie musi za każdym razem prosić o zgodę na zwykłe użycie imienia i nazwiska w sprawach kadrowych. W praktyce takie dane są przetwarzane, bo wymagają tego przepisy prawa pracy, wykonanie umowy albo normalna organizacja zatrudnienia. To obejmuje rekrutację, zawarcie umowy, prowadzenie dokumentacji pracowniczej, rozliczenia płacowe, ewidencję czasu pracy i komunikację służbową.

Najważniejsze jest jednak to, żeby nie zbierać danych „na wszelki wypadek”. W pracy stosuję jedną zasadę: jeśli dany element nie jest potrzebny do zatrudnienia, rozliczenia, bezpieczeństwa albo kontaktu służbowego, to trzeba się zastanowić, czy naprawdę powinien trafiać do obiegu. Zgoda pracownika też nie jest magicznym wytrychem - w relacji zależności służbowej bywa zbyt słaba, żeby opierać na niej wszystko, zwłaszcza gdy mówimy o danych, które można pozyskać inną, prostszą drogą.

• Do rekrutacji wystarczy zwykle zakres podstawowy, a nie pełny zestaw informacji o życiu prywatnym.
• Do akt osobowych imię i nazwisko jest elementem standardowym, ale dostęp do dokumentów powinien być ograniczony.
• Do kontaktu służbowego można używać danych potrzebnych do wykonania obowiązków, a nie całej historii pracownika.
• Do celów dodatkowych, takich jak publikacja na stronie czy w materiałach promocyjnych, trzeba ocenić odrębną podstawę i zakres ujawnienia.

To właśnie ten zakres i cel decydują o tym, czy dane można tylko przetwarzać wewnętrznie, czy też pokazywać dalej. I tu zaczyna się temat, na którym firmy najczęściej się potykają.

Kiedy można je ujawnić, a kiedy lepiej się zatrzymać

Nie każde użycie nazwiska jest problemem. Wiele codziennych sytuacji w firmie jest zwyczajnie potrzebnych i mieści się w normalnym obiegu informacji. Granica pojawia się wtedy, gdy dane trafiają do osób, które nie muszą ich znać, albo gdy zakres ujawnienia jest większy niż cel.

Różnica między „wewnątrz organizacji” a „na zewnątrz” ma duże znaczenie. Dla mnie to najprostszy test: jeśli imię i nazwisko ma zobaczyć cały świat, a do wykonania zadania wystarczyłby dział, numer sprawy albo funkcja, to trzeba hamować. Zasada minimalizacji nie jest dekoracją w przepisach, tylko praktycznym ograniczeniem ryzyka.

W praktyce publiczne ujawnienie nazwiska pracownika bywa uzasadnione tylko wtedy, gdy wynika z funkcji pełnionej wobec klientów, kontrahentów albo interesantów. Nawet wtedy patrzę na zakres bardzo ostrożnie: im mniej danych pokażesz, tym lepiej. To prowadzi do pytania, jakie błędy firmy popełniają najczęściej, zanim w ogóle zdążą pomyśleć o ryzyku.

Najczęstsze błędy, które widzę po stronie firm

Najwięcej problemów nie wynika z wielkich incydentów, tylko z drobnych nawyków. To są właśnie te sytuacje, które w zespole wydają się „normalne”, a z punktu widzenia ochrony danych są zbyt luźne.

• Publikowanie pełnych list pracowników tam, gdzie wystarczyłaby sama funkcja albo dział.
• Wysyłanie dokumentów z nazwiskami do zbyt szerokiej grupy odbiorców.
• Trzymanie papierowych list obecności lub wydruków na biurku, do którego ma dostęp każdy.
• Zakładanie, że skoro dane są „firmowe”, to można je pokazywać bez dodatkowej analizy.
• Opieranie wszystkiego na zgodzie, mimo że w pracy zwykle działa lepiej podstawa wynikająca z obowiązku lub organizacji zatrudnienia.
• Brak reakcji, gdy ktoś omyłkowo udostępnił nazwisko wraz z innymi danymi, które nie powinny wyjść poza firmę.

Takie błędy nie zawsze kończą się od razu poważną sprawą, ale potrafią wygenerować skargę, konflikt w zespole i niepotrzebne tłumaczenia przed działem kadr albo IOD. Jeżeli jednak ujawnienie już nastąpiło, ważniejsza od dyskusji o teorii jest szybka, uporządkowana reakcja.

Jak reagować, gdy Twoje dane zostały ujawnione za szeroko

Jeśli widzisz, że Twoje imię i nazwisko trafiło w miejsce, w którym nie powinno się znaleźć, nie warto czekać „aż samo zniknie”. Im szybciej zareagujesz, tym łatwiej ograniczyć skutki i ustalić, czy to był zwykły błąd organizacyjny, czy już naruszenie wymagające dalszych działań.

1. Zrób zrzut ekranu, zachowaj maila albo zanotuj, gdzie i kiedy dane się pojawiły.
2. Zgłoś sprawę przełożonemu, do HR albo do inspektora ochrony danych, jeśli firma go wyznaczyła.
3. Poproś o ograniczenie dostępu, usunięcie wpisu albo sprostowanie, jeśli ujawnienie było niepotrzebne.
4. Jeżeli razem z nazwiskiem ujawniono adres, PESEL, wynagrodzenie lub inne wrażliwe informacje, poproś o ocenę skali naruszenia.
5. Gdy firma nie reaguje, rozważ skargę do UODO.

W takich sytuacjach nie chodzi o konflikt dla zasady. Chodzi o to, żeby informacja o Tobie nie krążyła dalej niż to konieczne. To też dobry moment, by spojrzeć na temat z szerszej perspektywy i wyciągnąć jedną prostą regułę do codziennej pracy.

Co warto zapamiętać, zanim nazwisko trafi do firmowego obiegu

Gdybym miał zostawić tylko jedną praktyczną zasadę, brzmiałaby ona tak: im szybciej nazwisko pozwala wskazać konkretną osobę, tym mocniej wchodzimy w reżim RODO. W pracy to prawie zawsze oznacza dane osobowe, ale nie zawsze oznacza zakaz ich używania. Oznacza za to obowiązek sensownego celu, ograniczonego dostępu i rozsądku przy ujawnianiu na zewnątrz.

• Imię i nazwisko samo w sobie zwykle wystarcza do identyfikacji pracownika.
• Pracodawca może je przetwarzać, ale nie powinien ujawniać szerzej niż to konieczne.
• Największe ryzyko pojawia się przy publikacji publicznej, a nie przy zwykłej organizacji pracy.
• Jeśli masz wątpliwość, zawsze pytaj o cel i zakres, nie tylko o to, czy „to się tak robi”.

W praktyce to właśnie ta prosta kontrola celu oszczędza firmom najwięcej problemów: najpierw pytanie, czy odbiorca naprawdę potrzebuje nazwiska, a dopiero potem jego udostępnienie.