Czy pracodawca może żądać zdjęcia kandydata lub pracownika?

Czy pracodawca może żądać zdjęcia kandydata lub pracownika?

Zdjęcie w CV, fotografia do identyfikatora, profil pracownika na stronie internetowej – czy pracodawca może ich wymagać? Co do zasady nie. Wizerunek nie znajduje się w ustawowym katalogu danych, których pracodawca może żądać od kandydata ani od pracownika. Są jednak wyjątki: obowiązek wynikający z przepisu szczególnego oraz niektóre przypadki dobrowolnej zgody. Każdy cel wykorzystania zdjęcia trzeba ocenić oddzielnie.

Zdjęcie bywa traktowane w rekrutacji jak niewinny dodatek do CV. Z perspektywy prawa pracy i ochrony danych osobowych nie jest jednak ozdobnikiem. Pozwala zidentyfikować konkretną osobę, a nierzadko ujawnia też informacje, które nie powinny wpływać na decyzję o zatrudnieniu. Dlatego pytanie nie brzmi tylko: „czy możemy mieć zdjęcie?”, lecz przede wszystkim: po co jest ono potrzebne, na jakiej podstawie będzie przetwarzane i czy osoba może rzeczywiście odmówić?

Zdjęcie jest daną osobową, ale nie zawsze daną biometryczną

Wizerunek utrwalony na fotografii jest daną osobową w rozumieniu art. 4 pkt 1 RODO, jeżeli pozwala zidentyfikować osobę bezpośrednio albo pośrednio.

Sama fotografia twarzy nie staje się jednak automatycznie daną biometryczną. Taki charakter uzyskuje dopiero wtedy, gdy jest wynikiem specjalnego przetwarzania technicznego dotyczącego cech fizycznych, fizjologicznych lub behawioralnych i umożliwia albo potwierdza jednoznaczną identyfikację osoby – przykładowo w systemie rozpoznawania twarzy. Wynika to z art. 4 pkt 14 oraz art. 9 ust. 1 RODO.

To rozróżnienie ma praktyczne znaczenie. Zwykłe zdjęcie w CV jest co do zasady „zwykłą” daną osobową. Wykorzystanie fotografii w systemie biometrycznej kontroli dostępu podlega już znacznie surowszym regułom.

Czy można żądać zdjęcia podczas rekrutacji?

Co do zasady – nie.

Art. 22¹ § 1 Kodeksu pracy pozwala pracodawcy żądać od osoby ubiegającej się o zatrudnienie:

1. imienia i nazwiska,
2. daty urodzenia,
3. danych kontaktowych wskazanych przez kandydata,
4. wykształcenia,
5. kwalifikacji zawodowych,
6. przebiegu dotychczasowego zatrudnienia.

Informacji o wykształceniu, kwalifikacjach i dotychczasowym zatrudnieniu można przy tym żądać tylko wtedy, gdy są niezbędne do wykonywania pracy określonego rodzaju lub na danym stanowisku. Zdjęcia w tym katalogu nie ma. Potwierdza to również Prezes UODO: przepisy Kodeksu pracy nie nakładają na kandydata obowiązku przekazania fotografii.

W konsekwencji pracodawca nie powinien:

• uzależniać przyjęcia aplikacji od załączenia zdjęcia,
• oznaczać fotografii jako obowiązkowego pola formularza rekrutacyjnego,
• odrzucać kandydata tylko dlatego, że przesłał CV bez zdjęcia,
• przedstawiać zgody na przetwarzanie wizerunku jako warunku udziału w naborze.

Obowiązkowe zdjęcie może dodatkowo zwiększać ryzyko zarzutu dyskryminacji. Fotografia może ujawniać lub sugerować m.in. wiek, płeć, niepełnosprawność, pochodzenie etniczne czy przekonania religijne. Tymczasem pracodawca ma obowiązek równo traktować kandydatów, w szczególności na podstawie art. 18³a–18³e Kodeksu pracy.

A jeśli kandydat sam zamieści zdjęcie w CV?

Jeżeli kandydat z własnej inicjatywy przesyła CV ze zdjęciem, pracodawca może co do zasady przetwarzać fotografię w ramach tej konkretnej rekrutacji na podstawie zgody wynikającej z jednoznacznego działania kandydata. Podstawę stanowią art. 22¹a § 1 i 3 Kodeksu pracy w związku z art. 6 ust. 1 lit. a RODO.

Nie oznacza to jednak prawa do dowolnego wykorzystywania fotografii. Zgoda na użycie zdjęcia w bieżącym naborze nie obejmuje automatycznie:

• przyszłych rekrutacji,
• publikacji na stronie internetowej lub w mediach społecznościowych,
• wykorzystania w materiałach promocyjnych,
• zastosowania w systemie rozpoznawania twarzy.

Każdy z tych celów wymaga odrębnej oceny i odpowiedniej podstawy prawnej. Po ustaniu celu dane powinny zostać usunięte, chyba że istnieje inna, możliwa do wykazania podstawa dalszego przechowywania.

Czy pracodawca może poprosić o dobrowolne zdjęcie?

Art. 22¹a § 3 Kodeksu pracy dopuszcza przetwarzanie dodatkowych, zwykłych danych zarówno przekazanych z inicjatywy osoby, jak i na wniosek pracodawcy. Taki wniosek nie może jednak w praktyce zamienić się w żądanie. Zgoda musi być dobrowolna, konkretna, świadoma, jednoznaczna i możliwa do wycofania. Odmowa albo wycofanie zgody nie może prowadzić do żadnych negatywnych konsekwencji, w szczególności do odmowy zatrudnienia – stanowi o tym wprost art. 22¹a § 2 Kodeksu pracy.

Jeżeli fotografia nie jest realnie potrzebna do przeprowadzenia naboru, najbezpieczniejszą praktyką jest więc w ogóle o nią nie prosić. W prawie ochrony danych „ładniej wygląda w formularzu” nie jest jeszcze celem przetwarzania.

Czy po zatrudnieniu pracodawca może wymagać zdjęcia?

Również po zawarciu umowy o pracę nie istnieje ogólne uprawnienie do żądania fotografii. Katalog danych pracownika określony w art. 22¹ § 3 Kodeksu pracy obejmuje m.in. adres zamieszkania, PESEL, określone dane członków rodziny, wykształcenie i historię zatrudnienia oraz numer rachunku płatniczego. Wizerunku ponownie w nim nie ma.

Podstawa przetwarzania zdjęcia zależy zatem od celu jego użycia.

1. Zdjęcie wymagane przez przepis szczególny

Pracodawca może żądać fotografii, gdy jest ona niezbędna do wykonania obowiązku albo realizacji uprawnienia wynikającego z konkretnego przepisu prawa. Podstawę stanowią wówczas art. 22¹ § 4 Kodeksu pracy oraz art. 6 ust. 1 lit. c RODO.

Przykładem są kwalifikowani pracownicy ochrony. Zgodnie z art. 9a ust. 2 pkt 2 oraz art. 20 ust. 3 pkt 2 ustawy o ochronie osób i mienia ich legitymacje zawierają aktualne zdjęcie. W takim przypadku zgoda pracownika nie jest potrzebna, ponieważ obowiązek wynika z ustawy.

2. Zwykły identyfikator pracowniczy ze zdjęciem

Jeżeli żaden przepis nie nakazuje umieszczenia fotografii na identyfikatorze, stanowisko UODO jest ostrożne: pracodawca powinien oprzeć takie wykorzystanie na dobrowolnej zgodzie pracownika. Pracownik musi mieć realną możliwość odmowy bez negatywnych następstw, a także możliwość późniejszego wycofania zgody.

W praktyce oznacza to konieczność zapewnienia rozwiązania alternatywnego, np. identyfikatora bez zdjęcia, jeżeli bezpieczeństwo można zagwarantować w inny sposób. Jeżeli odmowa uniemożliwiałaby wejście do pracy albo powodowała inne utrudnienia, trudno byłoby bronić dobrowolności zgody.

3. Intranet lub wewnętrzny katalog pracowników

W poradniku dotyczącym ochrony danych w miejscu pracy UODO dopuścił możliwość rozważenia – zwłaszcza u prywatnego pracodawcy – prawnie uzasadnionego interesu z art. 6 ust. 1 lit. f RODO, gdy zdjęcia są dostępne wyłącznie w zamkniętym intranecie i służą usprawnieniu komunikacji oraz zarządzania.

Nie jest to jednak automatyczna „licencja na zdjęcia”. Pracodawca powinien wykazać konkretny interes, niezbędność i proporcjonalność rozwiązania, przeprowadzić test równowagi, ograniczyć krąg odbiorców, określić czas przechowywania i poinformować pracownika o prawie sprzeciwu z art. 21 RODO. Im mniej potrzebna jest fotografia do wykonywania pracy, tym trudniej uzasadnić jej obowiązkowe przetwarzanie.

Z uwagi na szczególne zasady prawa pracy oraz nierównowagę stron, przy rozwiązaniach niekoniecznych bezpieczniej pozostawić pracownikowi rzeczywisty wybór.

4. Strona internetowa, media społecznościowe i materiały marketingowe

Publikacja zdjęcia pracownika na stronie internetowej lub w mediach społecznościowych co do zasady wymaga jego dobrowolnej zgody na przetwarzanie danych – art. 6 ust. 1 lit. a i art. 7 RODO. Jednocześnie trzeba uwzględnić art. 81 ust. 1 ustawy o prawie autorskim i prawach pokrewnych, zgodnie z którym rozpowszechnianie wizerunku wymaga zezwolenia osoby przedstawionej.

Zgoda lub zezwolenie powinny precyzyjnie wskazywać m.in. cel, kanały publikacji, zakres materiałów i zasady wycofania. Zgoda na zdjęcie do akt lub identyfikatora nie oznacza zgody na firmowy LinkedIn, kampanię reklamową czy baner na targach.

Ustawa przewiduje wyjątki od obowiązku uzyskania zezwolenia – m.in. gdy osoba jest jedynie szczegółem większej całości, takiej jak zgromadzenie lub publiczna impreza. Zwolnienie z art. 81 ust. 2 prawa autorskiego nie zwalnia jednak pracodawcy z osobnej oceny zgodności przetwarzania danych z RODO.

Uwaga na systemy rozpoznawania twarzy

Jeżeli zdjęcie służy do technicznego, jednoznacznego rozpoznawania osoby, mamy do czynienia z danymi biometrycznymi szczególnej kategorii. Zgoda kandydata może legalizować przetwarzanie takich danych tylko wtedy, gdy przekazał je z własnej inicjatywy – art. 22¹b § 1 Kodeksu pracy. Pracodawca nie powinien więc żądać od kandydata danych biometrycznych na potrzeby rekrutacji.

Wobec pracownika przetwarzanie biometrii jest dopuszczalne bez zgody w wąskim przypadku określonym w art. 22¹b § 2 Kodeksu pracy: gdy jest niezbędne do kontroli dostępu do szczególnie ważnych informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę, albo do pomieszczeń wymagających szczególnej ochrony. Biometria nie powinna służyć zwykłemu ewidencjonowaniu czasu pracy, jeżeli cel można osiągnąć mniej ingerującym środkiem.

Jak zgodnie z prawem korzystać ze zdjęć? Lista kontrolna dla pracodawcy

Przed pozyskaniem fotografii warto odpowiedzieć na kilka pytań:

1. Jaki jest dokładny cel? Rekrutacja, identyfikator, intranet i reklama to różne cele.
2. Czy zdjęcie jest rzeczywiście niezbędne? Należy stosować zasadę minimalizacji z art. 5 ust. 1 lit. c RODO.
3. Jaka jest podstawa prawna dla każdego celu? Przepis prawa, zgoda albo – w odpowiednio uzasadnionym przypadku – prawnie uzasadniony interes.
4. Czy zgoda jest naprawdę dobrowolna? Odmowa i jej wycofanie nie mogą powodować negatywnych konsekwencji.
5. Czy wykonano obowiązek informacyjny? Informacje wymagane przez art. 13 RODO powinny zostać przekazane najpóźniej przy pozyskiwaniu zdjęcia.
6. Kto będzie miał dostęp i jak długo? Dostęp powinien być ograniczony, a zdjęcie usunięte, gdy ustanie cel jego przetwarzania.
7. Czy fotografia będzie publikowana? Wtedy trzeba uwzględnić również art. 81 prawa autorskiego.
8. Czy system analizuje twarz technicznie? Jeżeli tak, należy zastosować zasady dotyczące danych biometrycznych, a często także ocenić konieczność przeprowadzenia oceny skutków dla ochrony danych.

Podsumowanie

Pracodawca co do zasady nie może wymagać zdjęcia ani od kandydata, ani od już zatrudnionego pracownika, ponieważ wizerunek nie należy do katalogu danych wskazanych w art. 22¹ § 1 i 3 Kodeksu pracy.

Fotografia może być przetwarzana, gdy:

• obowiązek jej pozyskania wynika z przepisu szczególnego – wtedy zgoda nie jest potrzebna;
• osoba dobrowolnie wyrazi skuteczną zgodę, a odmowa nie wywołuje żadnych negatywnych skutków;
• w określonym, proporcjonalnym przypadku istnieje możliwy do wykazania prawnie uzasadniony interes, np. ograniczone wykorzystanie w zamkniętym intranecie – przy zachowaniu prawa sprzeciwu i pozostałych gwarancji RODO.

Najważniejsza zasada brzmi: zgoda na jeden sposób użycia zdjęcia nie jest zgodą na wszystkie pozostałe. Fotografia przekazana do identyfikatora nie powinna z dnia na dzień rozpocząć drugiego życia w kampanii reklamowej. Wizerunek pracownika nie jest firmowym materiałem stockowym.

☎️   Na konsultację zapraszamy do kancelarii.