RODO przy onboardingu pracownika: co wolno zbierać, jak długo przechowywać

RODO a zatrudnienie, czyli podstawowe zasady

RODO (GDPR) nakłada na pracodawcę sporo obowiązków wokół danych osobowych pracowników i zleceniobiorców. Trzy zasady są tu najważniejsze. Po pierwsze minimalizacja danych, czyli zbierasz tylko to, co naprawdę niezbędne. Po drugie ograniczenie celu: dane zebrane po to, żeby zawrzeć umowę, nie mogą nagle posłużyć do marketingu bez osobnej zgody. Po trzecie ograniczenie czasu przechowywania. Zanim zaczniesz cokolwiek zbierać, warto ustalić, jakie dokumenty są wymagane przy zatrudnieniu w 2026, żeby nie brać danych ponad potrzebę.

Podstawą prawną przetwarzania danych pracowniczych jest art. 6 ust. 1 lit. b RODO (wykonanie umowy) razem z przepisami krajowymi, przede wszystkim art. 22¹ Kodeksu pracy oraz art. 108a ustawy o systemie ubezpieczeń społecznych.

Jakie dane możesz zbierać od pracownika przy zatrudnieniu?

Dane zbierane obligatoryjnie (art. 22¹ KP)

• Imię (imiona) i nazwisko
• Data urodzenia
• Dane kontaktowe (adres zamieszkania lub do korespondencji)
• Wykształcenie i przebieg dotychczasowego zatrudnienia
• Numer PESEL (do celów ZUS i podatkowych)

Dane zbierane na potrzeby wypłaty wynagrodzenia

• Numer rachunku bankowego
• NIP (jeśli pracownik prowadzi działalność)
• Dane do urzędu skarbowego (np. US właściwy dla miejsca zamieszkania)

Dane zbierane za zgodą pracownika

• Numer telefonu (kontakt operacyjny)
• Adres e-mail prywatny
• Zdjęcie do identyfikatora lub systemu dostępu
• Dodatkowe certyfikaty i uprawnienia

Czego NIE możesz zbierać bez szczególnej podstawy?

• Informacji o stanie zdrowia. Wolno Ci mieć jedynie zaświadczenie lekarskie potwierdzające zdolność do pracy na konkretnym stanowisku
• Danych o przynależności do związków zawodowych
• Informacji o karalności, chyba że przepisy szczególne tego wymagają (np. praca z dziećmi, ochrona)
• Wizerunku biometrycznego do celów innych niż kontrola czasu pracy (art. 22²a KP)

Obowiązek informacyjny, czyli co musi zawierać klauzula?

Zanim zbierzesz dane, masz obowiązek przekazać pracownikowi informację o ich przetwarzaniu (art. 13 RODO). Klauzula musi zawierać:

1. Tożsamość i dane kontaktowe administratora (firma, adres, e-mail)
2. Dane inspektora ochrony danych (jeśli został powołany)
3. Cele i podstawy prawne przetwarzania
4. Ewentualnych odbiorców danych (np. biuro rachunkowe, ZUS, US)
5. Czy dane będą przekazywane poza EOG i na jakiej podstawie
6. Okres przechowywania danych
7. Prawa osoby: dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw
8. Prawo wniesienia skargi do UODO
9. Informację, czy podanie danych jest obowiązkowe i jakie są konsekwencje niepodania

Klauzulę wręczasz pracownikowi przed zebraniem danych albo w jego trakcie, nigdy po fakcie.

Jak długo przechowywać dokumenty pracownicze?

Okresy przechowywania akt pracowniczych są sztywno określone przepisami:

• Akta osobowe pracownika zatrudnionego od 01.01.2019: 10 lat od zakończenia roku, w którym ustał stosunek pracy (art. 94 pkt 9b KP)
• Akta pracownika zatrudnionego przed 01.01.2019: 50 lat, chyba że złożono raport informacyjny ZUS RIA, wtedy 10 lat
• Dokumentacja płacowa: 10 lat (od 2019) lub 50 lat (przy starszych umowach)
• Dokumentacja ZUS: 5 lat od złożenia deklaracji
• Faktury VAT, dokumenty podatkowe: 5 lat od końca roku, w którym upłynął termin płatności podatku

Podstawa prawna 10-letniego okresu to art. 94 pkt 9b KP oraz art. 108a ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych. To właśnie te przepisy uzasadniają opłatę za archiwizację w chmurze. Coraz częściej akta prowadzi się w formie elektronicznej e-teczki, czyli cyfrowych akt osobowych.

KYC (weryfikacja tożsamości) a RODO

Weryfikacja tożsamości pracownika przez skan dokumentu i biometrię to przetwarzanie danych szczególnych kategorii (art. 9 RODO, dane biometryczne). Potrzebujesz do tego jednej z dwóch podstaw:

• Wyraźnej zgody pracownika (art. 9 ust. 2 lit. a RODO), albo
• Niezbędności do wypełnienia obowiązku prawnego (np. przepisy AML przy niektórych stanowiskach)

Dane biometryczne do KYC powinny zostać u dostawcy KYC (np. Sumsub) przez ściśle określony czas, a po weryfikacji zastąpione samym wynikiem (PASS/FAIL). Ty jako pracodawca nie przechowujesz już skanu.

Powierzenie przetwarzania, kiedy jest wymagane?

Jeśli korzystasz z zewnętrznego narzędzia do onboardingu (np. Onboardly), zewnętrznego biura rachunkowego czy archiwum dokumentów, musisz zawrzeć umowę powierzenia przetwarzania danych osobowych (DPA) na podstawie art. 28 RODO. Bez niej przetwarzanie jest niezgodne z prawem, a kara ze strony UODO potrafi sięgnąć 4% rocznego obrotu globalnego albo 20 mln EUR. Przy kontroli liczy się też kompletność dokumentów potwierdzona raportem gotowości.