Ze względu na obszerność zagadnienia wymogów dotyczących przechowywania akt osobowych, odpowiedź ograniczona jest do wskazania rygorów odnoszących się do najpowszechniej występujących akt osobowych, tj. pracowniczych akt osobowych zawierających dane osobowe pracowników. Podstawowymi aktami prawnymi regulującymi zagadnienie przechowywania pracowniczych akt osobowych są: ustawa o ochronie danych osobowych (u.o.d.o.) oraz kodeks pracy (k.p.).
Ze względu na obszerność zagadnienia wymogów dotyczących przechowywania akt osobowych, odpowiedź ograniczona jest do wskazania rygorów odnoszących się do najpowszechniej występujących akt osobowych, tj. pracowniczych akt osobowych zawierających dane osobowe pracowników.
Podstawowymi aktami prawnymi regulującymi zagadnienie przechowywania pracowniczych akt osobowych są: ustawa o ochronie danych osobowych (u.o.d.o.) oraz kodeks pracy (k.p.). Zgodnie z art. 7 pkt 2 u.o.d.o. wszelkie operacje na danych osobowych, w szczególności zbieranie, utrwalanie, przechowywanie, udostępnienie i usuwanie należy uznać za przetwarzanie danych osobowych. Przechowywanie pracowniczych akt osobowych zawierających dane osobowe pracowników będzie więc przetwarzaniem danych osobowych w rozumieniu u.o.d.o. i jako takie podlegać będzie przepisom tej ustawy.
Przetwarzanie danych osobowych, z którym mamy do czynienia w przypadku przechowywania akt pracowniczych, dopuszczalne jest wyłącznie w sytuacjach wymienionych w art. 23 u.o.d.o. Art. 23 § 1 pkt 2 u.o.d.o. stanowi, że przetwarzanie dopuszczalne jest, gdy jest to niezbędne dla spełnienia obowiązku wynikającego z przepisu prawa. Kodeks pracy stanowi natomiast, że jednym z obowiązków pracodawcy jest przechowywanie dokumentacji pracowniczej i akt osobowych pracowników. W związku z powyższym należy wskazać, że pracodawcy uprawnieni są do przechowywania pracowniczych akt osobowych zawierających dane osobowe pracowników po spełnieniu przesłanek dopuszczalności przetwarzania, o których mowa powyżej.
Pracodawca przechowujący pracownicze akta osobowe jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych. Przede wszystkim zobowiązany jest zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Dotyczy to zarówno pracodawców przechowujących dane w formie papierowej, jak i w formie zbioru danych w systemie informatycznym.
Ustawodawca nie określił konkretnych technicznych środków zabezpieczenia akt osobowych przechowywanych w formie papierowej. Pracodawca musi zastosować takie środki techniczne i organizacyjne, aby zabezpieczyć akta, może więc korzystać z wszelkich rozwiązań zapewniających wykonanie tego zadania.
Teczki zawierające akta osobowe powinny być przechowywane w zamykanych szafach, do których dostęp będą mieć tylko wyznaczeni pracownicy. Szafy z aktami mogą znajdować się w osobnych pomieszczeniach. Dostęp zarówno do pomieszczeń i szaf można zabezpieczyć odpowiednimi zamkami, również elektronicznymi, wymagającymi np. kodów dostępu, czy kart chipowych. Dopuszczalne są wszelkiego rodzaju systemy alarmowe, systemy monitoringu i służby ochrony. Wybierając konkretne środki zabezpieczenia akt pracodawca powinien wziąć pod uwagę przede wszystkim: koszty zastosowanych zabezpieczeń, charakter chronionych danych oraz szkodę jaka mogłaby wystąpić w przypadku nieuprawnionego dostępu do akt.
Należy pamiętać, że naruszenie obowiązków zabezpieczenia danych osobowych prowadzić może do odpowiedzialności karnej Pracodawca, który przechowywane dane osobowe udostępni lub umożliwi do nich dostęp osobom nieupoważnionym podlega karze grzywny, ograniczenia wolności albo pozbawienia wolności do lat dwóch. Analogiczna kara przewidziana jest dla przypadku, gdy pracodawca, choćby nieumyślnie, narusza obowiązek zabezpieczenia danych osobowych przed zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem.
Bartosz Maciejewski
