Декларация лични данни

При назначаване и управление на трудово правоотношение работодателят обработва редица лични данни – имена, ЕГН, адрес, данни за образование и квалификация, банкови данни, информация за трудов стаж, медицински документи и други данни според конкретната законова и организационна необходимост.

Правното основание за обработването трябва да се определя според конкретната цел. Не е правилно всяка операция с лични данни да се „покрива“ с обща декларация за съгласие.

На какво основание работодателят обработва личните данни?

Регламент (ЕС) 2016/679 – GDPR – изисква всяко обработване на лични данни да има валидно правно основание.

В трудовите отношения най-често се прилагат основанията по чл. 6 от GDPR, свързани с:

• изпълнение на трудов договор или действия преди неговото сключване;
• изпълнение на законово задължение на работодателя;
• защита на жизненоважни интереси в приложимите случаи;
• изпълнение на задача от обществен интерес, когато е приложимо;
• легитимен интерес, когато са изпълнени законовите условия;
• съгласие – само когато то е подходящото основание за конкретната цел.

Кога се изисква съгласие?

Съгласие се използва, когато обработването не е необходимо за изпълнение на трудов договор, законово задължение или друго по-подходящо основание и когато работникът действително има свободен избор.

За да е валидно, съгласието трябва да бъде:

• свободно дадено;
• конкретно;
• информирано;
• недвусмислено;
• отделено от други несвързани декларации;
• лесно оттегляемо.

Отказът или оттеглянето не трябва да водят до неблагоприятни последици, когато обработването действително се основава на съгласие.

Кога работодателят не се нуждае от съгласие?

Съгласие не е необходимо, когато работодателят обработва данни, защото това е необходимо за трудовото правоотношение или е изискано от закон.

Примери:

• изготвяне и изпълнение на трудов договор;
• начисляване и изплащане на трудово възнаграждение;
• осигуряване и данъчно облагане;
• водене на трудово досие;
• отчитане на работно време и отпуски;
• изпълнение на задължения по Кодекса на труда;
• изпълнение на задължения по ЗЗБУТ;
• организиране на предварителни и периодични медицински прегледи, когато законът ги изисква;
• изпълнение на задължения към НАП, НОИ, Инспекцията по труда и други компетентни органи;
• съхранение на документи за законово определени срокове.

В тези случаи подписването на общо „съгласие за обработване на лични данни“ не прави обработването по-законосъобразно.

Какви лични данни обработва работодателят?

Конкретният обем зависи от длъжността, трудовото правоотношение и нормативните задължения.

Обичайно работодателят обработва:

• имена;
• ЕГН или ЛНЧ;
• адрес и данни за контакт;
• данни за образование и квалификация;
• данни за професионален опит;
• данни по трудовия договор;
• данни за трудово възнаграждение;
• банкова сметка при безкасово плащане;
• данни за отпуски и отсъствия;
• данни за обучения и правоспособност;
• данни, свързани с безопасността и здравето при работа;
• други данни, необходими за изпълнение на законово или договорно задължение.

Работодателят трябва да спазва принципа за свеждане на данните до минимум – да събира само информацията, необходима за конкретната цел.

Специални категории лични данни

Данните за здравословното състояние са специална категория лични данни по GDPR и изискват допълнително правно основание по чл. 9 от регламента.

Работодателят не трябва да събира медицинска информация извън необходимото за изпълнение на конкретното законово задължение.

При работа със служба по трудова медицина работодателят и службата трябва ясно да разграничават информацията, която работодателят има право да получава, от медицинските данни, които се обработват при условията на професионална тайна и специалния нормативен режим.

Работодателят трябва да информира работещите

Независимо дали обработването се основава на съгласие, законово задължение, договор или друго основание, работещият трябва да получи информация за обработването на личните му данни.

Информацията обичайно включва:

• кой е администраторът на лични данни;
• какви данни се обработват;
• за какви цели;
• на какво правно основание;
• на кого могат да бъдат предоставени;
• колко време ще се съхраняват;
• какви права има субектът на данните;
• как се упражняват тези права;
• данни за контакт с администратора и длъжностното лице по защита на данните, когато е определено.

На практика това често се оформя като уведомление или политика за поверителност за работници и служители, а не като декларация за съгласие.

Колко време се съхраняват личните данни?

Няма един срок за всички данни в трудовото досие.

Срокът се определя според:

• законовите изисквания;
• счетоводните и осигурителните задължения;
• сроковете по трудовото законодателство;
• изискванията за архивиране;
• целта, за която данните са събрани;
• необходимостта от защита на правни претенции.

След отпадане на правното основание и изтичане на необходимия срок данните трябва да бъдат изтрити или унищожени по подходящ начин, освен ако законът изисква по-дълго съхранение.

Кой трябва да има достъп до личните данни?

Достъп трябва да имат само лица, за които това е необходимо във връзка със служебните им функции.

Според организацията това могат да бъдат:

• управителят или работодателят;
• служители по човешки ресурси;
• ТРЗ и счетоводство;
• служба по трудова медицина в рамките на нейните законови функции;
• длъжностно лице по защита на данните, когато е определено;
• други упълномощени лица според конкретната необходимост.

Достъпът трябва да бъде ограничен чрез подходящи организационни и технически мерки.

Образец на декларация за лични данни

ZBUT.BG предоставя Word образец, който може да бъде използван като отправна точка.

Когато документът е предназначен за информиране на работещите, по-точният подход често е да се изготви отделно уведомление за поверителност, в което ясно се посочват целите, основанията, сроковете и правата на работещите.

Чести грешки при обработване на лични данни на работещи

Общо съгласие за всичко

Това е една от най-честите грешки. Правното основание трябва да се определя за всяка конкретна цел.

Събиране на излишни данни

Работодателят не трябва да събира информация, която няма връзка с трудовото правоотношение или законово задължение.

Липса на информация към работещия

Работещият трябва да знае кой обработва данните му, за какво, на какво основание и колко време.

Неограничен достъп до трудови досиета

Достъпът трябва да бъде ограничен до лица с реална служебна необходимост.

Безсрочно съхраняване

Работодателят трябва да определи срокове според правното основание, нормативните задължения и целта на обработването.

Свързана информация

Често задавани въпроси за личните данни при работодател

Трябва ли всеки работник да подписва съгласие за лични данни?

Не. Когато обработването е необходимо за трудов договор, законово задължение или друго приложимо основание, съгласие не е необходимо.

Кога съгласието е подходящо основание?

Когато целта не се покрива от друго правно основание и работещият действително има свободен избор да откаже или да оттегли съгласието си без неблагоприятни последици.

Може ли работодателят да обработва ЕГН без съгласие?

Да, когато обработването е необходимо за изпълнение на законово или договорно задължение, свързано с трудовото правоотношение.

Може ли работодателят да обработва здравни данни?

Да, само когато има валидно основание по GDPR и приложимото трудово или здравно законодателство. Здравните данни са специална категория лични данни и подлежат на засилена защита.

Трябва ли работещият да бъде информиран за обработването?

Да. Работодателят трябва да предостави информация за целите, правното основание, сроковете за съхранение, получателите и правата на работещия.

Може ли един образец да се използва за всички работодатели?

Не е добра практика. Документът трябва да бъде адаптиран към конкретния работодател, целите на обработването, информационните системи, получателите и реалните процеси.