Przetwarzanie i przegląd danych dotyczących niepełnosprawności w firmie

Czyje dane osobowe może przetwarzać pracodawca zatrudniający pracowników z niepełnosprawnościami?

Zasady przetwarzania danych osobowych pracowników z niepełnosprawnościami – w tym szczególnych kategorii danych dotyczących zdrowia – przez pracodawców oraz podmioty realizujące zadania w ramach systemu rehabilitacji zawodowej i społecznej zostały uregulowane w art. 2b ustawy z dnia 27 sierpnia 1997 r. o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych (t.j. Dz. U. z 2026 r., poz. 884; dalej: u.r.o.n.). Co istotne, wskazany w tym przepisie katalog osób, w odniesieniu do których pracodawca jest uprawniony do pozyskiwania i przetwarzania danych osobowych oraz danych o stanie zdrowia w celach określonych w przepisach u.r.o.n., nie obejmuje wyłącznie pracowników. Zgodnie bowiem z art. 2b ust. 1 u.r.o.n. w katalogu tym wymienieni są także:

1. niepracujący byli pracownicy;
2. osoby z niepełnosprawnościami wykonujące pracę nakładczą;
3. osoby uczestniczące w rekrutacji oraz odbywające szkolenia, staże, przygotowanie zawodowe, praktyki zawodowe lub absolwenckie;
4. osoby należące do grup wymienionych w art. 5 załącznika nr 1 do rozporządzenia Komisji (WE) nr 800/2008 z dnia 6 sierpnia 2008 r. uznającego niektóre rodzaje pomocy za zgodne ze wspólnym rynkiem w zastosowaniu art. 87 i 88 Traktatu – ogólne rozporządzenie w sprawie wyłączeń blokowych – (Dz. Urz. WE L 214 z 09.08.2008, s. 3, ze zm.) oraz do rozporządzenia Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r. uznającego niektóre rodzaje pomocy za zgodne z rynkiem wewnętrznym w zastosowaniu art. 107 i 108 Traktatu (Dz. Urz. UE L 187 z 26.06.2014, s. 1, ze zm.). Do grup tych należą:

• pracownicy, • osoby pracujące dla przedsiębiorstwa, podlegające mu i uważane za pracowników na mocy prawa krajowego, • właściciele-kierownicy, • partnerzy prowadzący regularną działalność w przedsiębiorstwie i czerpiący z niego korzyści finansowe.

5. członkowie rodzin pracowników i byłych pracowników;
6. osoby, o których mowa w art. 21 ust. 2c u.r.o.n., a także osoby korzystające z usług jednostek organizacyjnych, o których mowa w art. 21 ust. 2e pkt 3 tej ustawy. Osobami tymi są:

• dzieci, wychowankowie, uczniowie, studenci oraz słuchacze będący osobami z niepełnosprawnościami (art. 21 ust. 2c u.r.o.n.), którzy pobierają naukę lub studiują zgodnie z ogólnie obowiązującymi regulaminami w następujących placówkach (art. 21 ust. 2b tej ustawy):

– publicznych i niepublicznych uczelniach, – publicznych i niepublicznych szkołach, – publicznych i niepublicznych przedszkolach, – innych publicznych i niepublicznych formach wychowania przedszkolnego, – placówkach opiekuńczo-wychowawczych, regionalnych placówkach opiekuńczo-terapeutycznych, interwencyjnych ośrodkach preadopcyjnych oraz placówkach resocjalizacyjnych, – publicznych i niepublicznych żłobkach, – klubach dziecięcych,

• osoby korzystające z usług publicznych i niepublicznych jednostek organizacyjnych (art. 2b ust. 1 pkt 6 w zw. z art. 21 ust. 2e pkt 3 u.r.o.n.), których wyłącznym przedmiotem działalności jest rehabilitacja społeczna i lecznicza osób z niepełnosprawnościami, edukacja takich osób, jak również opieka nad nimi.

Czy dane osobowe pracowników dotyczące niepełnosprawności mogą być przetwarzane w sposób zautomatyzowany?

Niektóre dane osobowe pracownika i innych osób wskazanych powyżej, w tym dane dotyczące stanu zdrowia (także niepełnosprawności), mogą być przetwarzane w sposób zautomatyzowany. Ustawodawca sprecyzował, że dotyczy to danych przetwarzanych na potrzeby realizacji działań związanych z:

1. refundacją przez Państwowy Fundusz Rehabilitacji Osób Niepełnosprawnych (PFRON) składek na ubezpieczenia społeczne opłacanych przez osobę z niepełnosprawnością wykonującą działalność gospodarczą, a także niepełnosprawnego rolnika lub rolnika zobowiązanego do opłacania składek za niepełnosprawnego domownika (art. 25a u.r.o.n.);
2. wypłatą przez PFRON refundacji składek dla osób, o których mowa w pkt 1 (art. 25c u.r.o.n.);
3. przeprowadzeniem przez PFRON kontroli osób, o których mowa w pkt 1, w zakresie refundacji składek na ubezpieczenia społeczne (art. 25d u.r.o.n.);
4. przyznaniem przez PFRON miesięcznego dofinansowania do wynagrodzenia pracownika z niepełnosprawnością na zasadach określonych w art. 26a–26c u.r.o.n.

W przypadku danych osobowych pracownika z niepełnosprawnością, włącznie z danymi dotyczącymi stanu zdrowia, przetwarzanych w sposób zautomatyzowany, do podstawowych obowiązków administratora danych (pracodawcy) należy zapewnienie odpowiednich (skutecznych) środków służących ochronie interesu lub podstawowych praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą. Administrator danych powinien w szczególności zapewnić tej osobie prawo do:

1. uzyskania interwencji ludzkiej;
2. wyrażenia własnego stanowiska;
3. zakwestionowania decyzji podjętej w sposób zautomatyzowany.

To pracownik decyduje, czy ujawni pracodawcy informacje o swojej niepełnosprawności

W art. 2b ust. 2 u.r.o.n. ustawodawca jednoznacznie zastrzegł, że przedstawienie pracodawcy przez wskazane powyżej osoby dokumentów potwierdzających dane dotyczące stanu zdrowia, a zatem także niepełnosprawności, jest dobrowolne. Oznacza to, że pracodawca nie może zmusić pracownika do ujawnienia informacji o jego niepełnosprawności, jeżeli pracownik nie chce korzystać ze szczególnych uprawnień związanych z niepełnosprawnością. Pracownik powinien ujawnić fakt niepełnosprawności lekarzowi medycyny pracy, który orzeka o zdolności pracownika do pracy na określonym stanowisku. Lekarz ten nie może jednak przekazać tej informacji pracodawcy bez zgody pracownika.

W jaki sposób pracodawca powinien zabezpieczyć przetwarzanie danych osobowych pracownika i innych osób?

Kolejną ważną kwestią jest sposób zabezpieczenia przetwarzania przez pracodawcę danych osobowych pracownika z niepełnosprawnością oraz innych osób wskazanych w art. 2b u.r.o.n. Obowiązek zabezpieczenia tych danych ciąży na podmiotach i osobach, które realizują zadania wynikające z u.r.o.n. W myśl art. 2b ust. 6 u.r.o.n. minimalnym standardem zabezpieczenia przetwarzania tych danych jest:

1. dopuszczenie do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych;
2. pisemne zobowiązanie osób upoważnionych do przetwarzania danych osobowych do zachowania ich w poufności.

Okres przechowywania danych dotyczących niepełnosprawności i zasada przeglądu przydatności danych do dalszego przetwarzania

Należy podkreślić, że dane osobowe pracowników i innych osób wskazanych w art. 2b u.r.o.n., wliczając w nie dane dotyczące niepełnosprawności i szerzej dane o stanie zdrowia, mogą być przechowywane wyłącznie przez okres nie dłuższy niż jest