Okres przechowywania przez pracodawcę danych zawartych w orzeczeniach o niepełnosprawności

Pracodawcy zatrudniający osoby z niepełnosprawnością przynajmniej raz na 5 lat powinni przeprowadzić przegląd przydatności przetwarzania danych osobowych. Muszą przy tym ocenić ich niezbędność dla osiągnięcia określonych i uzasadnionych celów.

Takich wskazówek UODO udzielił, odpowiadając na prośbę jednego z IOD o pomoc w ustaleniu okresu przechowywania przez pracodawcę danych osobowych zawartych w orzeczeniach o niepełnosprawności przekazywanych mu dobrowolnie przez pracowników chcących korzystać
z uprawnień dla osób z niepełnosprawnością (np. dodatkowe urlopy, skrócony dzień pracy itp.).

Wątpliwości wynikały m.in. z tego, że część orzeczeń o niepełnosprawności jest orzeczeniami terminowymi (np. wydanymi na 5 lat). Po upływie okresu ich ważności pracownicy dostarczają nowe orzeczenia. W tej sytuacji co do zasady cel, dla którego stare orzeczenie było przetwarzane (dodatkowe uprawnienia pracownika), ustał i należałoby usunąć lub zanonimizować dane osobowe zawarte w poprzednim orzeczeniu. Co jednak w przypadku kontroli np. Państwowej Inspekcji Pracy – pytał IOD. Inspektorzy pracy mogą bowiem chcieć skontrolować akta pracownicze (które są przechowywane 50 lub 10 lat w zależności od daty zatrudnienia pracownika) i podstawę np. udzielania pracownikowi dodatkowego urlopu na podstawie orzeczenia, którego termin, na który zostało wydane, już upłynął.

Odpowiadając na tę korespondencję, UODO wskazał, że do przechowywania przez pracodawcę danych osobowych zawartych w orzeczeniach o niepełnosprawności odnoszą się szczególne przepisy prawa krajowego – ustawy z dnia 27 sierpnia 1997 r. o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych. Zgodnie z jej art. 2b ust. 7 pracodawcy, podmioty i osoby realizujące zadania wynikające z ustawy przechowują dane osobowe wyłącznie przez okres nie dłuższy niż jest to niezbędne i w zakresie koniecznym do realizacji celów przetwarzania danych osobowych oraz dokonują przeglądu przydatności przetwarzania danych osobowych nie rzadziej
niż co 5 lat.

Jednocześnie UODO przypomniał, że zgodnie z zasadą ograniczenia przechowywania (retencji) (sformułowaną w art. 5 ust. 1 lit. e RODO), dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których są one przetwarzane.

Konkludując UODO podniósł, że nie ma sztywnego, ustalonego odgórnie okresu przetwarzania ww. danych. Przepisy wskazują jedynie, że okres ten powinien być determinowany celem, w jakim dane osobowe są konieczne do ich przetwarzania. Niemniej stanowią dla administratora wskazówkę, którą ma się kierować w przypadku dokonywania oceny (przynajmniej raz na 5 lat), czy przetwarzanie danych osobowych o niepełnosprawności jest nadal konieczne (niezbędne) dla określonych i uzasadnionych celów.

Jeśli zatem uzasadnionym celem administratora będzie konieczność udokumentowania dodatkowych uprawnień pracownika wynikających z niepełnosprawności (np. w przypadku kontroli z PIP), to administrator powinien to wykazać w swoim raporcie z przeprowadzonego przeglądu
przydatności przetwarzania danych, o którym mowa w powołanym wyżej przepisie ustawy.

Jednocześnie należy uwzględnić także przepisy prawa, na podstawie których taka kontrola może być przeprowadzona, w tym okres, w jakim może się ona odbywać. Przykładowo okres taki jest wskazany w art. 30 ust. 3c ustawy o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych. Zgodnie z tym przepisem Państwowa Inspekcja Pracy przeprowadza, nie rzadziej niż co trzy lata, kontrolę w zakładach pracy chronionej i w zakładach aktywności zawodowej w zakresie przestrzegania przepisów ustawy, w szczególności art. 28 ust. 1 pkt 2.