Wypadek przy pracy stanowi zdarzenie stresujące zarówno dla Pracownika, jak i dla Pracodawcy. Wymaga ono, oczywiście, przeprowadzenia szczegółowego postępowania wyjaśniającego. Koncentrując się wyjaśnianiu okoliczności zdarzenia, Pracodawcom umyka jeszcze jeden obowiązek związany z tą sytuacją – ochrona danych osobowych zgodnie z RODO.
w toku postępowania powypadkowego zebraniu podlegają zarówno dane osobowego poszkodowanego pracownika, jak i świadków zdarzenia (którymi mogą być pracownicy, ale też osoby trzecie). Dane te znajdują się zarówno w protokołach powypadkowych, jak i (częściowo) w rejestrze wypadków przy pracy.
Należy pamiętać, że RODO wprowadza zasadę minimalizacji danych – tym samym w sprawach dotyczących bezpieczeństwa i higieny pracy, tam, gdzie przepisy nie wskazują wyraźnie zakresu danych podlegających przetwarzaniu, dane te należy pozyskiwać w granicach niezbędnego minimum.
Na podstawie § 7 ust. 1 pkt 4 Rozporządzenia Rady Ministrów z 01 lipca 2009 roku w sprawie ustalenia okoliczności i przyczyn wypadków przy pracy zespół powypadkowy niezwłocznie od otrzymania wiadomości o wypadku jest zobowiązany do ustalenia okoliczności przyczyn wypadku, w szczególności: do zebrania informacji od świadków wypadku.
W świetle powyższego podstawą pozyskiwania danych osobowych świadka będzie art. 6 ust. 1 lit. c) Rozporządzenia RODO tj. konieczność wypełnienia obowiązku prawnego ciążącego na Administratorze danych osobowych a także art. 6 ust. 1 lit. f) Rozporządzenia RODO, czyli prawnie uzasadniony interes Administratora danych osobowych w którego organizacji doszło do wypadku tj. w szczególności zapewnienie ochrony przed przyszłymi roszczeniami.
Świadek powinien zostać poinformowany, że dane osobowe będą przetwarzane tylko dla potrzeb sporządzenia dokumentacji powypadkowej, którą otrzymają osoby uprawnione i podmioty wymienione w przepisach prawa tj. w szczególności: poszkodowany, ZUS, Państwowa Inspekcja Pracy, Policja, Prokuratura, Sąd. Dokumentacja powypadkowa będzie przechowywana przez Administratora danych osobowych przez 10 lat (art. 234 § 31 k.p.) a następnie niszczona, z zastrzeżeniem, że jeśli celem przetwarzania będzie dochodzenie roszczeń to dokumentacja przechowywana będzie przez okres ich przedawnienia.
Przepisy dotyczące dokumentacji powypadkowej nie regulują zakresu danych osobowych, jakie można pozyskać od świadka wypadku przy pracy. Z uwagi na to, że dane osobowe świadka wypadku mogą być wykorzystane następnie na potrzeby postępowania sądowego, zasadne jest posiłkowanie się art. 262 Kodeksu postępowania cywilnego, z którego wynika, że aby sąd mógł wezwać osobę fizyczną na rozprawę, potrzebuje jej danych w postaci imienia i nazwiska oraz adresu zamieszkania.
W kontekście powyższego powstaje konieczność spełnienia obowiązku informacyjnego w stosunku do wszystkich osób, których dane są pozyskiwane – zarówno od pokrzywdzonego, jak świadków wypadku, o którym to obowiązku mówi art. 13 RODO. Obowiązek ten będzie zbędny w stosunku do pracownika, jeśli przy podejmowaniu zatrudnienia, w ramach ogólnego obowiązku informacyjnego informacja o przetwarzaniu danych odnosiła się do również potencjalnego udziału pracownika w czynnościach powypadkowych.
Wskazujemy ponadto, że przepisy tak art. 234 § 3 k.p., jak i rozporządzenia w sprawie ustalenia przyczyn wypadku przy pracy nakładają na pracodawcę obowiązek w zakresie prowadzenia rejestru wypadków przy pracy. Zgodnie z § 16 tegoż rozporządzenia rejestr zawiera takie dane, jak: imię i nazwisko poszkodowanego, miejsce wypadku, skutki wypadku dla poszkodowanego, stwierdzenie czy wypadek był wypadkiem przy pracy, dane dot. wniosku do ZUS, liczbę dni niezdolności do pracy, inne dane niebędące danymi osobowymi. Tym samym rejestr zawiera wyłącznie dane osoby poszkodowanej, a podstawą ich przetwarzania będzie art. 6 ust. 1 lit. c) Rozporządzenia RODO.