Wprowadzenie przepisów RODO spowodowało znaczące zmiany w sposobie przetwarzania danych osobowych przez przedsiębiorców. Szczególnie istotne pytanie dotyczy tego, czy zarchiwizowane teczki osobowe byłych pracowników również muszą być chronione zgodnie z unijnymi regulacjami. Problem ten budzi wiele wątpliwości wśród pracodawców, którzy mają obowiązek przechowywania dokumentacji pracowniczej przez określony czas. Akta osobowe to część dokumentacji, którą prowadzimy klientom korzystającym z obsługi kadrowo-płacowej.
RODO stosuje się także do zarchiwizowanych akt osobowych, ale data archiwizacji dokumentów ma znaczenie m.in. dla ich treści i okresu przechowywania. Pracodawcy muszą dokładnie rozumieć swoje obowiązki, aby uniknąć wysokich kar finansowych za naruszenie przepisów o ochronie danych osobowych.
Czym jest RODO i jakie ma zastosowanie
RODO, czyli Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku, stanowi podstawowy akt prawny regulujący ochronę danych osobowych w Unii Europejskiej. Rozporządzenie to stosuje się od 25 maja 2018 roku (art. 99 ust. 2 RODO); z tym dniem uchyliło ono wcześniejszą dyrektywę 95/46/WE dotyczącą ochrony danych (art. 94).
Głównym celem RODO jest zapewnienie kompleksowej ochrony danych osobowych każdej osoby fizycznej oraz ujednolicenie przepisów w całej Unii Europejskiej. Regulacja ta wprowadza surowe zasady przetwarzania danych osobowych oraz przewiduje dotkliwe sankcje finansowe za ich naruszenie.
Kary za naruszenie RODO mogą wynosić do 20 milionów euro lub 4% rocznego światowego obrotu przedsiębiorstwa, w zależności od tego, która kwota jest wyższa. Wysokość kar sprawia, że przestrzeganie przepisów stało się priorytetem dla wszystkich organizacji przetwarzających dane osobowe
Przepisy RODO mają bardzo szerokie zastosowanie i dotyczą praktycznie wszystkich aspektów przetwarzania danych osobowych. Obejmują one nie tylko gromadzenie i przechowywanie informacji, ale również ich wykorzystywanie, udostępnianie, modyfikowanie czy usuwanie. Regulacja ta ma zastosowanie do wszystkich podmiotów przetwarzających dane osobowe, niezależnie od ich wielkości czy charakteru działalności.
Szczególnie istotne jest to, że RODO wprowadza zasadę rozliczalności, zgodnie z którą administratorzy danych muszą być w stanie wykazać, że przestrzegają wszystkich wymaganych przepisów. Oznacza to konieczność dokumentowania wszystkich działań związanych z przetwarzaniem danych osobowych oraz wdrażania odpowiednich procedur i zabezpieczeń. Podobne wymogi dokumentacyjne dotyczą danych z procedury zgłoszeń wewnętrznych dla sygnalistów.
RODO wprowadza również nowe prawa dla osób, których dane są przetwarzane, w tym prawo do bycia zapomnianym, prawo do przenoszenia danych oraz prawo do sprostowania nieprawidłowych informacji. Te uprawnienia mają bezpośredni wpływ na sposób zarządzania dokumentacją pracowniczą, przy czym prawo do usunięcia danych nie obejmuje danych, które pracodawca musi przechowywać w wykonaniu obowiązku prawnego (art. 17 ust. 3 lit. b RODO)
Podstawowe obowiązki wynikające z RODO
Rozporządzenie o ochronie danych osobowych ustanawia sześć fundamentalnych zasad przetwarzania danych osobowych, które muszą być przestrzegane przez wszystkich administratorów danych. Zasady te stanowią podstawę dla wszystkich działań związanych z przetwarzaniem informacji o osobach fizycznych.
Pierwszą zasadą jest zgodność z prawem, rzetelność i przejrzystość. Oznacza to, że dane osobowe muszą być przetwarzane w sposób zgodny z obowiązującymi przepisami prawa, uczciwy wobec osób, których dane dotyczą, oraz przejrzysty pod względem celów i sposobów przetwarzania.
Druga zasada to ograniczenie celu, zgodnie z którą dane osobowe mogą być zbierane wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach. Nie można ich następnie przetwarzać w sposób niezgodny z pierwotnymi celami, chyba że chodzi o cele archiwalne w interesie publicznym, cele badawcze lub statystyczne.
Zasada ograniczenia celu ma szczególne znaczenie dla pracodawców, ponieważ dane zebrane w celach związanych z zatrudnieniem nie mogą być wykorzystywane do innych celów bez odpowiedniej podstawy prawnej. Dotyczy to również danych zawartych w zarchiwizowanych teczkach osobowych
Trzecia zasada, minimalizacja danych, wymaga, aby przetwarzane dane osobowe były adekwatne, stosowne oraz ograniczone do minimum niezbędnego dla osiągnięcia celów przetwarzania. Oznacza to, że nie można gromadzić więcej danych niż jest to rzeczywiście potrzebne.
Czwarta zasada dotyczy prawidłowości danych i wymaga, aby wszystkie przetwarzane informacje były dokładne i aktualne. W przypadku wykrycia błędów należy je niezwłocznie poprawić lub usunąć nieprawidłowe dane.
Piąta zasada to ograniczenie przechowywania, zgodnie z którą dane osobowe mogą być przechowywane tylko przez okres niezbędny do osiągnięcia celów przetwarzania. Wyjątek stanowią dane przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, celów badawczych lub statystycznych.
Zasada ograniczenia przechowywania jest szczególnie istotna w kontekście akt osobowych pracowników: czas przechowywania dokumentacji pracowniczej określa Kodeks pracy (art. 94 pkt 9b), a po jego upływie dokumentację co do zasady wydaje się byłemu pracownikowi albo niszczy. Pracodawcy muszą ustalić konkretne terminy przechowywania dla różnych kategorii dokumentów
Szósta zasada, integralność i poufność, wymaga zapewnienia odpowiedniego bezpieczeństwa danych osobowych, w tym ochrony przed nieuprawnionym dostępem, przypadkową utratą, zniszczeniem lub uszkodzeniem. Musi to być realizowane poprzez wdrożenie odpowiednich środków technicznych i organizacyjnych.
Teczki osobowe pracowników - podstawy prawne
Obowiązek prowadzenia dokumentacji pracowniczej wynika bezpośrednio z przepisów Kodeksu pracy. Zgodnie z artykułem 94 punkty 9a i 9b Kodeksu pracy, każdy pracodawca ma obowiązek prowadzenia i przechowywania dokumentacji w sprawach związanych ze stosunkiem pracy oraz akt osobowych pracowników. Akta osobowe dzielą się na części A–E (rozporządzenie w sprawie dokumentacji pracowniczej, tekst jednolity Dz.U. 2026 poz. 474).
Dokumentacja pracownicza może być prowadzona w postaci papierowej lub elektronicznej, co daje pracodawcom elastyczność w wyborze formy prowadzenia akt. Niezależnie od wybranej formy, kluczowe jest zapewnienie odpowiednich warunków przechowywania gwarantujących zachowanie poufności, integralności, kompletności oraz dostępności dokumentów.
Okres przechowywania dokumentacji pracowniczej wynosi 10 lat, licząc od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł. Jest to znaczące skrócenie w porównaniu z wcześniejszymi przepisami, które przewidywały 50-letni okres przechowywania. Okres 10 lat dotyczy stosunków pracy nawiązanych od 1 stycznia 2019 roku; dla wcześniejszych nadal obowiązuje 50 lat, a dla nawiązanych w latach 1999–2018 okres skraca się do 10 lat od końca roku złożenia raportu informacyjnego ZUS RIA (art. 7 ustawy z 10 stycznia 2018 roku, Dz.U. 2018 poz. 357)
W teczkach osobowych pracowników gromadzone są różnorodne dokumenty zawierające dane osobowe, w tym często dane szczególnej kategorii. Mogą to być informacje o stanie zdrowia, przynależności związkowej, czy inne wrażliwe dane wymagające szczególnej ochrony.
Pracodawcy muszą zapewnić, że dokumentacja pracownicza jest przechowywana w warunkach wykluczających możliwość uszkodzenia lub zniszczenia. Dotyczy to zarówno zagrożeń fizycznych, jak i cybernetycznych w przypadku dokumentacji elektronicznej.
- Zabezpieczenie fizyczne dokumentów papierowych przed dostępem osób nieuprawnionych
- Ochrona przed czynnikami atmosferycznymi i innymi zagrożeniami środowiskowymi
- Implementacja systemów bezpieczeństwa informatycznego dla dokumentacji elektronicznej
- Regularne tworzenie kopii zapasowych danych elektronicznych
- Kontrola dostępu do dokumentacji tylko dla upoważnionych pracowników
Nowe regulacje umożliwiają pracodawcom archiwizowanie teczek osobowych w formie elektronicznej od 2019 roku. Oznacza to możliwość digitalizacji dokumentów papierowych – skan trzeba opatrzyć kwalifikowanym podpisem elektronicznym lub kwalifikowaną pieczęcią elektroniczną, a pracowników poinformować o zmianie postaci dokumentacji (art. 94⁸ § 2 i art. 94⁹ Kodeksu pracy) – co może znacznie ułatwić zarządzanie archiwum i zapewnić lepszą ochronę przed utratą danych
RODO a teczki osobowe zarchiwizowane przed 2018 rokiem
Częstym pytaniem jest to, czy dla stosowania RODO do zarchiwizowanych akt osobowych ma znaczenie data ich archiwizacji, czyli to, czy dokumenty zostały zarchiwizowane przed czy po 25 maja 2018 roku, od kiedy stosuje się RODO.
RODO stosuje się do każdego przetwarzania danych od 25 maja 2018 roku, a samo przechowywanie danych jest ich przetwarzaniem (art. 4 pkt 2 RODO). Teczki osobowe zarchiwizowane przed tą datą również podlegają więc rozporządzeniu – przetwarzanie trwające w dniu rozpoczęcia stosowania RODO należało do niego dostosować (motyw 171 RODO). Pracodawcy nie muszą jednak zmieniać treści dokumentów zebranych zgodnie z ówcześnie obowiązującymi przepisami.
Brak obowiązku zmiany treści dokumentów zarchiwizowanych przed 25 maja 2018 roku nie oznacza zwolnienia z obowiązków ochrony danych. Pracodawcy muszą zapewnić odpowiednie zabezpieczenie tych dokumentów zgodnie z RODO (art. 32) i przepisami o dokumentacji pracowniczej
Wynika to z tego, że pracodawca przechowuje akta osobowe w wykonaniu obowiązku prawnego (art. 6 ust. 1 lit. c RODO w związku z art. 94 pkt 9b Kodeksu pracy), a dokumentacja ma być przechowywana w sposób gwarantujący zachowanie jej kompletności.
Niemniej jednak, pracodawcy powinni przejrzeć starsze archiwa pod kątem zabezpieczeń i dostępu, szczególnie w przypadku dokumentów zawierających szczególnie wrażliwe dane osobowe. Może to pomóc w uniknięciu problemów prawnych w przyszłości.
| Okres archiwizacji | Zastosowanie RODO | Wymagane działania | Dodatkowe uwagi |
|---|---|---|---|
| Przed 25.05.2018 | Pełne (przechowywanie to przetwarzanie) | Zabezpieczenie zgodne z RODO | Treść zebrana zgodnie z ówczesnymi przepisami bez zmian |
| Po 25.05.2018 | Pełne | Zgodność z wszystkimi zasadami | Obowiązkowe procedury |
| Dokumenty mieszane | Pełne | Jednolite zabezpieczenia | Różne okresy przechowywania (50 lub 10 lat) |
Pracodawcy muszą jednak pamiętać, że nawet w przypadku dokumentów zarchiwizowanych przed 2018 rokiem, obowiązują ich zasady ochrony danych osobowych wynikające z RODO i polskich przepisów. Oznacza to konieczność zapewnienia odpowiedniego poziomu bezpieczeństwa i ograniczenia dostępu do dokumentów.
Dokumenty zarchiwizowane przed rozpoczęciem stosowania RODO mogą zawierać dane, których gromadzenie obecnie byłoby niezgodne z zasadami rozporządzenia, na przykład zbyt obszerne informacje o rodzinie pracownika. Takie dane mogą być nadal przechowywane do końca ustawowego okresu archiwizacji
Archiwizacja teczek osobowych po wejściu w życie RODO
Teczki osobowe, które są archiwizowane po 25 maja 2018 roku, od początku muszą być przetwarzane w pełnej zgodności z przepisami RODO, co wymaga od pracodawców wdrożenia odpowiednich procedur i zabezpieczeń.
Archiwizacja zgodna z RODO wymaga przede wszystkim ustalenia, które dokumenty i jak długo pracodawca ma obowiązek przechowywać. Obowiązku przechowywania dokumentacji pracowniczej nie uzależnia się od kosztów – wynika on z przepisów, a od pracodawcy zależy dobór zabezpieczeń.
Dobór zabezpieczeń powinien uwzględniać koszty przechowywania dokumentów i ich zabezpieczenia, ryzyko dla osób, których dane dotyczą, możliwość aktualizacji w przypadku zmian prawnych oraz czas potrzebny na realizację całego procesu archiwizacji. RODO wymaga środków odpowiednich do ryzyka, z uwzględnieniem stanu wiedzy technicznej i kosztów wdrożenia (art. 32 ust. 1)
Kluczową zasadą jest ograniczenie danych do niezbędnego minimum. Dotyczy ona przede wszystkim zbierania danych – pracodawca może żądać tylko danych wskazanych w art. 22¹ Kodeksu pracy albo wymaganych innymi przepisami. Zebranej dokumentacji pracowniczej nie wybiera się jednak „na wyrywki” – w okresie przechowywania musi ona pozostać kompletna (art. 94 pkt 9b Kodeksu pracy).
Szczególnie problematyczne mogą być dane szczególnej kategorii, takie jak informacje o stanie zdrowia pracownika czy jego przynależności związkowej. Pracodawca może je przetwarzać, gdy wymagają tego przepisy, a na podstawie zgody – tylko wtedy, gdy pracownik przekazał je z własnej inicjatywy (art. 22¹b § 1 Kodeksu pracy); dostęp do nich mają wyłącznie osoby z pisemnym upoważnieniem (§ 3).
Po upływie okresu przechowywania – 10 lat od końca roku kalendarzowego, w którym stosunek pracy ustał – były pracownik może odebrać dokumentację do końca następnego miesiąca kalendarzowego, a nieodebraną pracodawca niszczy w ciągu 12 miesięcy w sposób uniemożliwiający odtworzenie jej treści (art. 94⁶ i 94⁷ Kodeksu pracy). Informację o dokonanym zniszczeniu warto odnotować w rejestrze prowadzonym przez pracodawcę – pomaga to wykazać zgodność z RODO (zasada rozliczalności, art. 5 ust. 2). Tak samo porządkuje się inne bieżące ewidencje kadrowe, choćby listę obecności pracowników.
Zniszczenie dokumentów zawierających dane osobowe nie może polegać na zwykłym wyrzuceniu ich do kosza na śmieci. Dokumenty papierowe muszą być niszczone mechanicznie, a nośniki elektroniczne - formatowane w sposób uniemożliwiający odzyskanie danych lub fizycznie niszczone
Procedura archiwizacji zgodna z RODO
Prawidłową archiwizację teczek osobowych zgodnie z przepisami RODO warto oprzeć na ośmioetapowej procedurze, która porządkuje wymagania rozporządzenia. Każdy etap ma swoje specyficzne wymagania i powinien być odpowiednio udokumentowany.
Pierwszy etap polega na dokonaniu kwalifikacji akt oraz ustaleniu maksymalnego czasu ich przechowywania. Pracodawca musi przeanalizować każdy rodzaj dokumentu i określić, jak długo musi być przechowywany zgodnie z obowiązującymi przepisami prawa.
Drugi etap to porządkowanie zebranych akt według samodzielnie ustalonego klucza. Może to być porządkowanie chronologiczne, alfabetyczne lub według rodzaju dokumentu. Ważne jest, aby przyjęty system był logiczny i umożliwiał łatwe odnalezienie konkretnych dokumentów.
Trzeci etap obejmuje oznaczenie zebranych akt z podziałem na kategorie, takie jak umowy o pracę, dokumenty urlopowe, zwolnienia lekarskie, czy dokumenty związane z rozwiązaniem stosunku pracy. Takie oznaczenie ułatwia zarządzanie archiwum i kontrolę terminów przechowywania.
Oznaczenie dokumentów powinno być trwałe i czytelne, ale jednocześnie nie może naruszać integralności oryginalnych dokumentów. Najlepszym rozwiązaniem jest używanie specjalnych etykiet lub segregatorów z odpowiednimi opisami kategorii dokumentów
Czwarty etap to przeprowadzenie bezpośredniego procesu archiwizacji, czyli fizyczne umieszczenie akt osobowych w specjalnie przygotowanych pomieszczeniach, pojemnikach lub na zabezpieczonych nośnikach elektronicznych. Miejsce archiwizacji musi spełniać odpowiednie wymagania bezpieczeństwa.
- Wybór odpowiedniego pomieszczenia z kontrolą dostępu
- Zapewnienie odpowiednich warunków klimatycznych
- Ochrona przed zagrożeniami pożarowymi i zalaniem
- Implementacja systemów monitoringu i alarmowych
- Regularne przeglądy stanu technicznego archiwum
Piąty etap, realizowany po upływie ustawowego okresu przechowywania, to niszczenie akt. Ten etap wymaga szczególnej uwagi, ponieważ nieprawidłowe zniszczenie dokumentów może prowadzić do naruszenia przepisów o ochronie danych osobowych.
Szósty etap polega na sporządzeniu informacji o dokonanym zniszczeniu akt, w tym określeniu sposobu zniszczenia, daty przeprowadzenia operacji oraz osoby odpowiedzialnej za niszczenie. Przepisy nie nakazują sporządzania takiej informacji, ale warto ją przechowywać przez określony czas jako dowód prawidłowego wykonania obowiązków.
Dokumentacja procesu niszczenia akt powinna zawierać szczegółowe informacje o rodzaju zniszczonych dokumentów, zastosowanej metodzie niszczenia, dacie i godzinie operacji oraz podpisach osób odpowiedzialnych. Te informacje mogą być potrzebne w przypadku kontroli organów nadzorczych
Siódmy etap to wdrożenie procedur kontrolnych, które pozwalają na regularne sprawdzanie zgodności procesu archiwizacji z obowiązującymi przepisami. Kontrole powinny obejmować zarówno aspekty techniczne, jak i proceduralne.
Ósmy, ostatni etap, to ciągłe doskonalenie procedur w oparciu o doświadczenia praktyczne i zmiany w przepisach prawa. Pracodawcy powinni regularnie przeglądać swoje procedury archiwizacji i dostosowywać je do nowych wymagań.
Zabezpieczenia techniczne i organizacyjne
Wdrożenie odpowiednich zabezpieczeń technicznych i organizacyjnych stanowi fundament zgodności z RODO w zakresie archiwizacji teczek osobowych. Zabezpieczenia te muszą być proporcjonalne do ryzyka związanego z przetwarzaniem danych oraz uwzględniać najnowsze osiągnięcia techniczne.
Zabezpieczenia techniczne obejmują wszystkie rozwiązania informatyczne i fizyczne, które chronią dane osobowe przed nieuprawnionym dostępem, modyfikacją lub zniszczeniem. W przypadku dokumentacji elektronicznej szczególnie ważne jest szyfrowanie danych oraz implementacja systemów kontroli dostępu.
Szyfrowanie danych powinno wykorzystywać najnowsze standardy kryptograficzne i być regularnie aktualizowane zgodnie z postępem technologicznym. Klucze szyfrujące muszą być przechowywane w sposób bezpieczny i dostępne tylko dla upoważnionych osób
Systemy kontroli dostępu muszą zapewniać, że tylko uprawnione osoby mogą uzyskać dostęp do zarchiwizowanych dokumentów. Powinny one obejmować mechanizmy uwierzytelniania, autoryzacji oraz logowania wszystkich operacji na danych.
Zabezpieczenia organizacyjne dotyczą procedur, instrukcji i polityk bezpieczeństwa, które regulują sposób postępowania z danymi osobowymi. Obejmują one również szkolenia pracowników oraz regularne audyty bezpieczeństwa.
- Opracowanie szczegółowych instrukcji postępowania z dokumentacją osobową
- Przeprowadzanie regularnych szkoleń pracowników z zakresu ochrony danych
- Wyznaczenie osób odpowiedzialnych za bezpieczeństwo archiwum
- Implementacja procedur reagowania na incydenty bezpieczeństwa
- Prowadzenie regularnych audytów zgodności z RODO
Wszystkie osoby mające dostęp do zarchiwizowanych teczek osobowych muszą zostać odpowiednio przeszkolone z zakresu ochrony danych osobowych oraz podpisać zobowiązania do zachowania poufności. Szkolenia powinny być przeprowadzane regularnie i dostosowywane do zmian w przepisach
Szczególną uwagę należy zwrócić na zabezpieczenie kopii zapasowych dokumentów. Kopie te muszą być przechowywane w sposób równie bezpieczny jak oryginalne dokumenty i podlegać tym samym procedurom kontroli dostępu.
Praktyczne aspekty wdrożenia
Wdrożenie procedur archiwizacji zgodnych z RODO wymaga od pracodawców podjęcia szeregu praktycznych działań, które często wiążą się z dodatkowymi kosztami i nakładem pracy. Kluczowe jest odpowiednie zaplanowanie całego procesu i jego stopniowe wdrażanie.
Pierwszym krokiem powinno być przeprowadzenie audytu obecnego stanu archiwum i zidentyfikowanie wszystkich dokumentów zawierających dane osobowe. Audyt ten pozwoli na określenie zakresu niezbędnych zmian i kosztów ich wdrożenia.
Audyt archiwum powinien obejmować nie tylko identyfikację dokumentów, ale również ocenę obecnych zabezpieczeń, analizę ryzyka oraz określenie priorytetów wdrożenia nowych procedur. Wyniki audytu stanowią podstawę do opracowania planu działań
Następnym krokiem jest opracowanie szczegółowej dokumentacji wszystkich procedur związanych z archiwizacją. Dokumentacja ta powinna być na tyle szczegółowa, aby każdy pracownik mógł prawidłowo wykonać swoje obowiązki.
Wdrożenie nowych procedur powinno być poprzedzone odpowiednim szkoleniem wszystkich zaangażowanych pracowników. Szkolenia powinny obejmować zarówno aspekty prawne, jak i praktyczne aspekty nowych procedur.
Średnia firma zatrudniająca 50 pracowników musi przechowywać dokumentację osobową przez 10 lat od końca roku, w którym ustał każdy stosunek pracy nawiązany od 2019 roku. Oznacza to, że w każdym momencie w archiwum może znajdować się dokumentacja dotycząca nawet kilkuset osób, co wymaga odpowiedniego systemu zarządzania i zabezpieczenia dokumentów zgodnie z wymogami RODO.
Istotnym aspektem praktycznym jest również kwestia kosztów wdrożenia. Pracodawcy muszą uwzględnić koszty zakupu odpowiedniego oprogramowania, modernizacji pomieszczeń archiwum, szkoleń pracowników oraz bieżącego utrzymania systemu.
Warto również rozważyć możliwość korzystania z usług zewnętrznych firm specjalizujących się w archiwizacji dokumentów. Takie rozwiązanie może być szczególnie atrakcyjne dla mniejszych pracodawców, którzy nie mają możliwości samodzielnego wdrożenia wszystkich wymaganych procedur.
Wybór zewnętrznej firmy archiwizacyjnej wymaga szczególnej ostrożności, ponieważ pracodawca pozostaje odpowiedzialny za zgodność z RODO nawet w przypadku powierzenia archiwizacji podmiotowi zewnętrznemu. Konieczne jest podpisanie odpowiedniej umowy powierzenia przetwarzania danych osobowych
