Prowadzisz dokumentację BHP w firmie i zastanawiasz się, jak pogodzić obowiązki BHP z ochroną danych osobowych pracowników? Rejestry wypadków, dokumentacja szkoleń, badania lekarskie, karty pracownicze – wszystko to zawiera dane osobowe, w tym dane szczególnej kategorii (zdrowotne). Rozporządzenie RODO (2016/679/UE) nakłada rygorystyczne wymagania na sposób ich przetwarzania. Kara za naruszenie RODO może wynieść do 20 mln euro lub 4% obrotu rocznego. W tym artykule wyjaśniam, jak prawidłowo zorganizować dokumentację BHP z uwzględnieniem RODO.
Jakie dane BHP podlegają RODO
Praktycznie cała dokumentacja BHP zawiera dane osobowe pracowników. RODO wyróżnia dwie kategorie:
Dane zwykłe
To dane identyfikujące pracownika: imię i nazwisko, PESEL, adres, stanowisko, data zatrudnienia. Występują w większości dokumentów BHP – dziennikach szkoleń, listach obecności, protokołach kontroli, rejestrach.
Dane szczególnej kategorii (art. 9 RODO)
Najbardziej wrażliwe. W dokumentacji BHP obejmują przede wszystkim dane o stanie zdrowia:
- Zaświadczenia lekarskie o zdolności do pracy
- Wyniki badań okresowych, wstępnych, kontrolnych
- Protokoły powypadkowe (opis obrażeń)
- Rejestry chorób zawodowych
- Rejestry pracowników narażonych na czynniki szkodliwe
- Informacje o niepełnosprawności
Przetwarzanie danych szczególnej kategorii jest dozwolone tylko w konkretnych sytuacjach – m.in. gdy wynika z obowiązku prawnego pracodawcy z zakresu prawa pracy i BHP.
Podstawa prawna przetwarzania danych BHP
Kluczowe pytanie RODO: dlaczego przetwarzasz dane? Dla dokumentacji BHP obowiązują dwie kluczowe podstawy:
- Art. 6 ust. 1 lit. c RODO – obowiązek prawny (Kodeks pracy, rozporządzenia BHP)
- Art. 9 ust. 2 lit. b RODO – obowiązki z zakresu prawa pracy (dane zdrowotne)
Nie potrzebujesz zgody pracownika na przetwarzanie danych BHP – to obowiązek ustawowy. Zgoda mogłaby wręcz być problematyczna, bo w stosunku pracy bywa uznawana za niewymuszoną (nierównowaga stron).
Klauzula informacyjna dla pracownika
Zgodnie z art. 13 RODO każdy pracownik musi otrzymać informację o przetwarzaniu jego danych. Klauzula informacyjna dla dokumentacji BHP powinna zawierać:
- Administrator danych (firma) – nazwa, adres, kontakt
- Inspektor Ochrony Danych (jeśli powołany) – kontakt
- Cel przetwarzania – realizacja obowiązków BHP
- Podstawa prawna – art. 6 ust. 1 lit. c i art. 9 ust. 2 lit. b RODO
- Odbiorcy danych – kadry, medycyna pracy, PIP, ZUS w razie wypadku
- Okres przechowywania (najczęściej 10-50 lat)
- Prawa pracownika (dostęp, sprostowanie, ograniczenie)
Klauzulę przekazuje się przy zatrudnieniu (razem z regulaminem pracy). Wzór klauzuli powinien być dostępny również w księdze BHP.
Okresy przechowywania dokumentacji BHP
Przetwarzanie danych zgodnie z RODO wymaga określonego okresu przechowywania. Nie możesz trzymać danych „na zawsze” ani „na wszelki wypadek”. Okresy przechowywania dokumentacji BHP:
- Akta osobowe pracownika (w tym BHP) – 10 lat od zakończenia stosunku pracy
- Rejestr wypadków przy pracy – 10 lat
- Protokoły powypadkowe – 10 lat
- Karty szkoleń BHP – 10 lat
- Rejestry pracowników narażonych na CMR – 40 lat
- Rejestry pracowników narażonych na azbest – 40 lat
- Rejestry pomiarów czynników szkodliwych – 40 lat
- Rejestry chorób zawodowych – 10 lat
Po upływie okresu dokumentację należy zniszczyć w sposób uniemożliwiający odtworzenie danych. Więcej o dokumentacji w naszym artykule o rejestrze wypadków przy pracy.
Zabezpieczenie dokumentacji BHP
Art. 32 RODO nakłada obowiązek zapewnienia „odpowiednich środków technicznych i organizacyjnych” zabezpieczenia danych. Dla dokumentacji BHP oznacza to:
- Dokumentacja papierowa – w zamkniętej szafie/pokoju, dostęp tylko upoważnionych osób
- Dokumentacja elektroniczna – szyfrowanie, hasła, kopie zapasowe
- Rejestr osób upoważnionych do przetwarzania danych BHP
- Podpisane zobowiązania do zachowania poufności przez upoważnionych
- Procedura zgłaszania naruszeń (data breach)
- Regularne audyty dostępu
W małych firmach do BHP powinien mieć dostęp: pracodawca, służba BHP (jeśli istnieje) lub outsourcing, wyznaczony pracownik kadr. Nie powinni mieć dostępu: pozostali pracownicy, klienci, dostawcy.
Kto ma prawo dostępu do dokumentacji
Dostęp do dokumentacji BHP mają: sam pracownik (do swoich danych), pracodawca i osoby upoważnione, służba BHP, medycyna pracy (w zakresie badań), PIP (przy kontroli – patrz artykuł o kontroli PIP), ZUS (w związku ze świadczeniami), sądy i organy ścigania (na żądanie).
Nie mają dostępu: inni pracownicy (bez upoważnienia), przełożeni jeśli nie są bezpośrednimi (bez uzasadnienia), członkowie rodziny (poza rentą rodzinną po śmierci), zewnętrzne firmy (bez umowy powierzenia).
Powierzenie przetwarzania – firmy zewnętrzne
Jeśli obsługujesz BHP przez firmę zewnętrzną (outsourcing), musisz podpisać umowę powierzenia przetwarzania danych osobowych zgodnie z art. 28 RODO. Umowa powinna zawierać: przedmiot i cel powierzenia, kategorie danych, obowiązki procesora, procedury zgłaszania incydentów, prawo audytu.
Bez umowy powierzenia korzystanie z outsourcingu BHP jest naruszeniem RODO – również jeśli firma zewnętrzna jest bardzo profesjonalna. Więcej o outsourcingu BHP w naszym artykule.
Naruszenie ochrony danych (data breach)
Naruszeniem ochrony danych w BHP może być: kradzież lub zgubienie dokumentacji, przypadkowe wysłanie protokołu powypadkowego do niewłaściwej osoby, ujawnienie danych medycznych, hacking bazy danych szkoleń.
W przypadku naruszenia trzeba: zgłosić do PUODO w 72 godziny, poinformować osoby, których dane zostały ujawnione (jeśli wysokie ryzyko), sporządzić dokumentację zdarzenia, wprowadzić działania zapobiegawcze. Kara za brak zgłoszenia w terminie – do 10 mln EUR.
Prawa pracownika do swoich danych
Pracownik ma prawo do:
- Wglądu w swoje dane (bezpłatnie, w 30 dni)
- Kopii swoich danych
- Sprostowania błędnych danych
- Ograniczenia przetwarzania (w konkretnych sytuacjach)
Prawo do usunięcia danych (art. 17 RODO, „prawo do bycia zapomnianym”) jest ograniczone – dla dokumentacji BHP nie stosuje się, bo przetwarzanie wynika z obowiązku prawnego.
Sankcje za naruszenie RODO
Prezes Urzędu Ochrony Danych Osobowych (PUODO) może nałożyć kary do 20 mln euro lub 4% obrotu rocznego (co jest wyższe). Kary za konkretne naruszenia w dokumentacji BHP:
- Brak klauzuli informacyjnej – do 10 mln EUR
- Nieuprawnione ujawnienie danych zdrowotnych – do 20 mln EUR
- Brak zabezpieczeń technicznych – do 10 mln EUR
- Brak umowy powierzenia z outsourcerem – do 10 mln EUR
- Niezgłoszenie naruszenia w 72h – do 10 mln EUR
W praktyce w Polsce PUODO nakłada mandaty częściej w przedziale 20-200 tys. zł, ale sam koszt postępowania i reputacji jest znacznie wyższy.
Podsumowanie – checklist RODO w BHP
Sprawdź w Twojej firmie: klauzula informacyjna dla pracowników przy zatrudnieniu, wyznaczone osoby upoważnione do dokumentacji BHP, zamknięte szafy lub szyfrowane pliki, umowa powierzenia z outsourcerem BHP (jeśli dotyczy), procedura zgłaszania naruszeń, okresy przechowywania zgodne z przepisami, ewidencja czynności przetwarzania. Uporządkowanie tych elementów chroni firmę przed karami PUODO i buduje zaufanie pracowników.
Uporządkuj dokumentację BHP w bhpomocnik.pl
W sklepie bhpomocnik.pl znajdziesz wzory rejestrów zgodnych z wymogami BHP, oceny ryzyka i instrukcje – z uwzględnieniem współczesnych wymagań ochrony danych. Sprawdź również artykuł o dokumentacji BHP w małej firmie, aby uporządkować całość procesów papierologicznych.