Kādos gadījumos saskaņā ar jauno datu aizsardzības regulu vajadzīga darbinieka piekrišana datu izmantošanai? Kad tā nepieciešama rakstiski? Varianti: darbinieka foto tiek ievietots pie kontaktinformācijas uzņēmuma mājas lapā, pie sienas birojā atrodas darbinieku dzimšanas dienu saraksts, darbinieka e-pasta adrese sastāv no vārds.uzvārds@uzņēmums.lv u.c. Kā šo visu sakārtot, lai pirms katras darbības nav jāprasa darbiniekam atļauja?
No 25.05.2018. Latvijā tiek piemērota Eiropas Parlamenta un Padomes Regula (ES) 2016/679 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti, ar ko atceļ Direktīvu 95/46/EK jeb Vispārīgā datu aizsardzības regula (Regula). Regulā nav noteikts, kādos gadījumos darbinieka personas datu apstrādei ir nepieciešama darbinieka piekrišana vai cits tiesiskais pamats. Līdz ar to darba devējs var pats izvēlēties atbilstošāko tiesisko pamatu katram darbinieka personas datu apstrādes nolūkam.
Maldīgs ir priekšstats, ka piekrišana ir galvenais un labākais tiesiskais pamats darbinieka personas datu apstrādei. Šādu viedokli savos Atzinumos Nr.2/2017 un Nr.8/2001 par personas datu apstrādi nodarbinātības jomā atkāroti ir paudusi Eiropas Parlamenta un Padomes Direktīvas 95/46/EK 29.panta darba grupa, kas ir izstrādājusi vadlīnijas arī vairāku Regulas normu piemērošanai. Lielāloties piekrišana var netikt uzskatīta par derīgu tiesisko pamatu darbinieka personas datu apstrādei, jo darbiniekam nav īstas vai brīvas izvēles to izteikt vai atsaukt bez iespējamām nelabvēlīgām sekām (t.i., bez bažām, ka tā varētu izraisīt nelabvēlīgu darba devēja reakciju un atsaukties uz darbinieka novērtējumu, atalgojumu, izaugsmi vai citiem ar darba tiesiskajām attiecībām saistītiem jautājumiem). Regulas 42. un 43.apsvērums to interpretē kā "skaidru nevienlīdzību" datu subjekta un pārziņa (tostarp darbinieka un darba devēja) attiecībās, kas liek apšaubīt, vai piekrišana ir sniegta brīvi.
Lielākoties darbinieka personas datu apstrādei piekrišanas vietā atbilstošāk būtu izvēlēties citu tiesisko pamatu. Citi tiesiskie pamati, kas var tikt izmantoti darba tiesiskajās attiecībās, ir darba līguma noslēgšana un izpilde (Regulas 6.panta 1.daļas b) apakšpunkts), likums, tostarp attiecībā uz īpašo kategoriju personas datiem, piemēram, darbinieka veselības datiem (Regulas 9.panta 2.daļas b) apakšpunkts), kā arī darba devēja leģitīmās intereses (Regulas 6.panta 1.daļas f) apakšpunkts). Darba devēja leģitīmās intereses ir visas ar uzņēmējdarbības veikšanu saistītās intereses. Tās ietver arī, piemēram, vienota uzņēmuma publiskā tēla un atpazīstamības veidošanu, pamatojoties uz kuru darbinieka e-pasta adrese var tikt veidota no vārds.uzvārds@uzņēmums.lv vai darbinieka foto var tikt ievietots pie kontaktinformācijas uzņēmuma mājas lapā. Vienlaikus atbilstoši Regulas 5.panta 1.punkta c) apakšpunktā noteiktajam "datu minimizēšanas" principam un uzņēmuma darbības specifikai būtu jāizvērtē, vai ir nepieciešams uzņēmuma mājaslapā ievietot visu darbinieku foto (piemēram, vai ir samērīgi publicēt arī visu administratīvo, tehnisko u.c. darbinieku foto).
Iepriekš minētos tiesiskos pamatus darbinieka personas datu apstrādei var iekļauti, piemēram, uzņēmuma iekšējās darba kārtības noteikumos vai privātuma politikā, par ko darbinieks tiek informēts, noslēdzot darba līgumu vai vēlāk, ja šajos dokumentos izdarītas izmaiņas vai tie tiek pieņemti no jauna. Rezultātā nav nepieciešams darbinieku atsevišķi informēt (prasīt "atļauju") par katru viņa personas datu apstrādes darbību.
Vienlaikus iepriekš minētais nenozīmē, ka piekrišana vispār nevar būt derīgs tiesiskais pamats darbinieka personas datu apstrādei. Ja darbiniekam ir īsta un brīva izvēle piekrišanu izteikt un pēc tam to atsaukt bez nelabvēlīgām sekām, tā var tikt atzīta par derīgu tiesisko pamatu. Tas varētu tikt attiecināts uz vienkāršākām darbinieka personas datu apstrādes darbībām, piemēram, uz darbinieku dzimšanas dienu saraksta izvietošanu birojā pie sienas. Regulā arī nav noteikta konkrēta forma, kādā piekrišana jādod. Atbilstoši Regulas 7.panta 1.punktam darba devējam (pārzinim) ir jāspēj uzskatāmi parādīt, ka darbinieks (datu subjekts) ir piekritis savu personas datu apstrādei. Tātad vēlams darbinieka piekrišanu iegūt rakstveidā, piemēram, lūdzot, lai darbinieks e-pastā nosūta savas dzimšanas dienas datumu darba devēja norādītajai kontaktpersonai ar nolūku to iekļaut sarakstā birojā pie sienas vai piekrīt, ka tas tiks izmantots šādam nolūkam. Ja darbinieks savu dzimšanas dienas datumu nenosūta vai nepiekrīt tā iekļaušanai sarakstā birojā pie sienas, tad tas nav jāiekļauj. Tomēr Regulā paredzēts ievērot samērīgumu arī attiecībā uz tās piemērošanas līdzekļiem. Līdz ar to, ja ir radies pārpratums vai darbinieks vēlāk savu piekrišanu par savas dzimšanas dienas iekļaušanu sarakstā pie biroja sienas atsauc, tad visdrīzāk šis jautājums tiks atrisināts konkrētā darba kolektīva ietvaros un neradīs darba devējam būtiskas tiesiskās sekas Regulas kontekstā.
