Na pracodawcy w związku z wystąpieniem wypadku przy pracy ciąży szereg obowiązków. Przy ich wypełnianiu każdorazowo pracodawca musi pamiętać o działaniu w zgodzie z przepisami o ochronie danych osobowych.
Niniejszy artykuł stanowi krótkie kompendium dla pracodawcy dotyczące najważniejszych kwestii z zakresu ochrony danych osobowych, które pracodawca jako administrator przetwarza w związku zapewnieniem bezpieczeństwa i higieny pracy pracownikom dotkniętym zdarzeniem losowym, jakim jest niewątpliwie wypadek przy pracy.
Będą to m.in. dane osobowe pracownika, który uległ wypadkowi, a także dane osobowe świadków wypadków (pracowników i osób niezatrudnionych przez danego pracodawcę) oraz dane do kontaktu wskazane przez danego pracownika.
Przy wykonywaniu obowiązków spoczywających na pracodawcy w przypadku zaistnienia wypadku przy pracy należy przed wszystkim pamiętać o zasadzie minimalizacji danych tzn. winno się zapewnić, aby zebrane dane były adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane.
Przepisy krajowe, w tym ustawa z dnia 30.10.2002 r. o ubezpieczeniu społecznym z tytułu wypadków przy pracy i chorób zawodowych (Dz.U. 2019 poz. 1205 t.j.) oraz art. 234 ustawy z dnia 26.06.1974 r. Kodeks Pracy (Dz.U 2019 poz. 1040 t.j.) oraz przepisy wykonawcze tj. m.in. rozporządzenie Rady Ministrów z dnia 1.07.2009 r. w sprawie ustalania okoliczności i przyczyn wypadków przy pracy (Dz.U. 2009 poz. 105), rozporządzenie Ministra Rodziny, Pracy i Polityki Społecznej z dnia 24.05.2019 r. w sprawie wzoru protokołu ustalenia okoliczności i przyczyn wypadku przy pracy (Dz.U. 2019 poz. 1071) nakładają na pracodawcę szereg obowiązków. W kontekście ochrony danych osobowych, skupimy się na takich obowiązkach pracodawcy, jak:
- podjęcie niezbędnych działań eliminujących lub ograniczających zagrożenie,
- zapewnienie udzielenia pierwszej pomocy osobom poszkodowanym,
- ustalenie w przewidzianym trybie okoliczności i przyczyn wypadku oraz zastosowanie odpowiednich środków zapobiegających podobnym wypadkom, w tym sporządzenie stosownych dokumentów, o których mowa dalej;
- przechowywanie protokołu wypadków przy pracy wraz z dokumentacją powypadkową.
Działania eliminujące lub ograniczające zagrożenie, zapewnienie udzielenia pierwszej pomocy pokrzywdzonym, a RODO
W zakresie wskazanych powyżej obowiązków ciążących na pracodawcy dochodzi niewątpliwie do przetwarzania danych osobowych jego pracowników. W szczególności pracodawca ma obowiązek zapewnienia pomocy osobom poszkodowanym wypadkiem. W praktyce łączy się to z wyznaczeniem osób odpowiedzialnych w danym zakładzie pracy za udzielenie pierwszej pomocy. U wielu pracodawców widnieje ogólnodostępna lista osób upoważnionych do tego zadania.
Ustalenie w przewidzianym trybie okoliczności i przyczyn wypadku oraz zastosowanie odpowiednich środków zapobiegających podobnym wypadkom, w tym sporządzenie dokumentacji powypadkowej
W pierwszej kolejności, pod kątem ochrony danych osobowych należy, za wspomnianym powyżej rozporządzeniem w sprawie ustalania okoliczności i przyczyn wypadków przy pracy podnieść, iż to pracodawca wyznacza członków zespołu powypadkowego, który musi wykonać swoje obowiązki wynikające z §7 rozporządzenia tj. ustalić okoliczności i przyczyny wypadku przy pracy. Musi również uczulić w.w. zespół, który winien z jego ramienia czuwać nad prawidłowym zastosowaniem przepisów w praktyce.
Zespół powypadkowy jest obowiązany między innymi wysłuchać wyjaśnień poszkodowanego, zebrać informacje o wypadku od świadków wypadku, a także jeśli zachodzi taka potrzeba zasięgnąć opinii lekarza o stanie zdrowia poszkodowanego. W terminie 14 dni od dnia zawiadomienia o wypadku zespół sporządza protokół powypadkowy, do którego dołącza się wszelkie sporządzone przez zespół dokumenty, w tym m.in. wyjaśnienia poszkodowanego i zeznania świadków (§ 9 w zw. z §12 rozporządzenia w sprawie ustalania okoliczności i przyczyn wypadków przy pracy). Oczywistym jest, iż w protokole, jak i w załącznikach znajdują się dane osobowe, które pracodawca ma obowiązek chronić.
Jako, że w poprzednim stanie prawnym protokół powypadkowy nie spełniał zasad minimalizacji danych wynikającej z RODO, w dniu 25.06.2019 r. weszło w życie wspomniane rozporządzenie MRPiPS w sprawie wzoru protokołu ustalenia okoliczności i przyczyn wypadku przy pracy. W nowym wzorze protokołu wypadkowego dążąc do wypełnienia w.w. zasady wprowadzono takie zmiany, jak:
- brak konieczności stosowania pieczęci pracodawcy (neutralne pod kątem RODO);
- usunięto informację o numerze REGON pracodawcy;
- usunięto numer NIP osoby poszkodowanej;
- usunięto informację o miejscu urodzenia osoby poszkodowanej oraz imię ojca.
Analizując wzór protokołu nie sposób nie wspomnieć o podstawach prawnych przetwarzania danych osoby poszkodowanej. Nie ulega wątpliwości, iż pracodawca będący administratorem danych w tym kontekście jest w stanie wykazać, iż zbieranie danych tej osoby pozostaje celowe i zgodne z RODO.
Nowy wzór jednakże nadal nie określa jakie dane pracodawca powinien uzyskać od świadków wypadku. Część doktryny przyjmuje, iż będą to co najmniej dane, które zgodnie z art. 262 k.p.c. są konieczne dla wezwania świadka do stawiennictwa podczas postępowania sądowego tj. jego imię, nazwisko, adres zamieszkania. Według mnie zebranie tychże danych jest jak najbardziej uzasadnione właśnie zważywszy na konieczność wezwania takiej osoby jako świadka w procesie sądowym. Należy jednakże pamiętać, iż przez zebraniem danych od świadka pracodawca musi wypełnić obowiązek informacyjny wynikający z art. 13 RODO (w przypadku świadka niebędącego pracownikiem danego pracodawcy), bądź upewnić się, że przedstawił stosowną klauzulę informacyjną pracownikowi podczas procesu jego zatrudnienia (w przypadku pracownika).
Co więcej, przepisy tak art. 234 kodeksu pracy, jak i rozporządzenia w sprawie ustalenia przyczyn wypadku przy pracy nakładają na pracodawcę obowiązek w zakresie prowadzenia rejestru wypadków przy pracy. Zgodnie z §16 tegoż rozporządzenia rejestr zawiera takie dane, jak: imię i nazwisko poszkodowanego, miejsce wypadku, skutki wypadku dla poszkodowanego, stwierdzenie czy wypadek był wypadkiem przy pracy, dane dot. wniosku do ZUS, liczbę dni niezdolności do pracy, inne dane niebędące danymi osobowymi. Tym samym rejestr zawiera wyłącznie dane osoby poszkodowanej i nie ma wątpliwości co do legalności przetwarzania wskazanych w nim informacji przez pracodawcę będącego administratorem danych swoich pracowników.
Przechowywanie protokołu wypadków przy pracy wraz z dokumentacją powypadkową
Polski ustawodawca zdecydował się przenieść obowiązek w zakresie przechowywania w.w. dokumentacji, na którą składa się protokół powypadkowy, rejestr wypadków przy pracy z rozporządzenia w sprawie ustalania okoliczności i przyczyn wypadków przy pracy do kodeksu pracy.
Wprowadzenie tej zmiany było niezbędne ze względów konstytucyjnych, nie zaś ochrony danych osobowych, ale warto o tym wspomnieć. Wydaje się ono bowiem konieczne, gdyż sposób realizacji prawa do bezpiecznych i higienicznych warunków pracy oraz obowiązki pracodawcy mogą być określone wyłącznie w drodze ustawy, a nie rozporządzenia. W zakresie ochrony danych osobowych, zwraca się uwagę, iż pracodawca w klauzuli informacyjnej kierowanej np. do świadków wypadku przy pracy powinien poinformować ich o tym, iż okres przechowywania danych jest określony ustawowo i wynosi 10 lat.
Pracodawco, pamiętaj o RODO!
Powyższe obowiązki nie stanowią katalogu zamkniętego, albowiem obowiązki pracodawcy będą zależały w głównej mierze o okoliczności wypadku i koniecznych działań po stronie pracodawcy. Uczulam jednakże, iż każdorazowo obok przepisów kodeksu pracy i innych ustaw szczególnych, a także aktów wykonawczych, należy pamiętać o zastosowaniu RODO.
Autor: Anna Kuś-Kluka, Radca prawny w kancelarii Juvo
Wpisana na listę Okręgowej Izby Radców Prawnych w Katowicach. Absolwentka Wydziału Prawa i Administracji Uniwersytetu Jagiellońskiego oraz studiów podyplomowych z zakresu ochrony danych osobowych. W Kancelarii zajmuje się świadczeniem pomocy prawnej dla przedsiębiorców, a zwłaszcza bieżącym doradztwem z zakresu ochrony danych osobowych.
