Na jakiej podstawie przetwarzać dane kontaktowe osoby trzeciej podanej w kwestionariuszu osobowym?

Dane osobowe przekazywane przez osobę ubiegającą się o zatrudnienie oraz przez zatrudnionego już pracownika wynikające z przepisów kodeksu pracy nie są jedynymi, jakie należy pracodawcy przedstawić. Wskazuje na to analiza kwestionariusza osobowego dla pracownika, który stanowi załącznik nr 1a do rozporządzenia MPiPS z 28 maja 1996 r.. Niezależnie bowiem od charakteru pracy w tym formy organizacyjno-prawnej zakładu pracy i podejmowania przez pracodawcę inicjatyw zmierzających do poprawy stanu bezpieczeństwa nie można ze całkowitą pewnością wykluczyć możliwości wystąpienia noszącego znamiona wypadku przy pracy.

Jak wiadomo wypadki przy pracy ze względu na skutek dzielą się na ciężkie, zbiorowe oraz śmiertelne. Tym samym konsekwencją wypadku może być uraz lub śmierć poszkodowanego pracownika. Szczególnie wypadki ciężkie oraz śmiertelne nie są prywatną sprawą między pracodawcą a poszkodowanym. Wystąpienie wypadku przy pracy obliguje pracodawcę do powiadomienia osoby wskazanej przez pracownika w treści kwestionariusza osobowego. Pracodawca ma prawo więc żądać od pracownika wskazania osoby kontaktowej – tym samym obowiązkiem pracownika jest podać jej dane osobowe w zakresie wynikającym z treści kwestionariusza. Należy jednak przyjąć, że sam fakt, iż obowiązujące przepisy nakładają na pracownika obowiązek udostępnienia danych osoby do kontaktu w razie wypadku, nie jest wystarczającą podstawą przetwarzania danych osoby kontaktowej – tak jak ma to miejsce w przypadku danych osobowych pracownika. W przypadku osoby wskazanej do kontaktu w razie wypadku wydaje się, że warunkiem legalizującym przetwarzanie danych na potrzeby kwestii wypadkowych jest uzyskanie od niej zgody na takie przetwarzanie.

Zarówno w przypadku zatrudniania pracowników po 25 maja 2018 r. jak i osób zatrudnionych wcześniej, uzyskanie zgody na przetwarzanie danych osobowych wskazanych osób kontaktowych powinno wiązać się na gruncie przepisów RODO z wypełnieniem względem osób kontaktowych obowiązków informacyjnych – w zależności od tego, czy ich dane osobowe zostały zebrane za pośrednictwem pracownika czy może bezpośrednio w formie oświadczenia osoby kontaktowej.