În practică, una dintre cele mai sensibile categorii de solicitări GDPR formulate către angajatori este reprezentată de cererile de acces depuse de angajați sau foști angajați. Aceste solicitări apar frecvent în contexte conflictuale – cercetări disciplinare, litigii de muncă, evaluări profesionale sau încetarea raporturilor de muncă – și ridică probleme complexe privind delimitarea datelor ce trebuie efectiv comunicate.
Potrivit art. 15 din GDPR, persoana vizată are dreptul de a obține confirmarea prelucrării datelor sale și acces la acestea, inclusiv la informații privind scopurile prelucrării, destinatarii, perioada de stocare și sursa datelor. Ghidul EDPB 01/2022 subliniază faptul că dreptul de acces trebuie interpretat într-un mod larg și efectiv, operatorul având obligația de a furniza o copie inteligibilă a datelor personale prelucrate.
În relațiile de muncă, acest lucru poate include nu doar datele furnizate direct de angajat, ci și date generate de angajator în cadrul raportului profesional: evaluări, observații, loguri IT, înregistrări privind accesul, istoricul activităților sau corespondență profesională, în măsura în care acestea constituie date cu caracter personal.
Totuși, dreptul de acces nu este absolut. Un aspect esențial evidențiat atât de GDPR, cât și de EDPB, este obligația operatorului de a echilibra dreptul solicitantului cu drepturile și libertățile altor persoane. În practică, acest lucru înseamnă că angajatorul nu este obligat să furnizeze integral documente care conțin date ale altor angajați, informații confidențiale, secrete comerciale sau elemente protejate de drepturi de proprietate intelectuală.
De exemplu, în cazul solicitării unor e-mailuri interne, al unor sesizări formulate de colegi sau al unor înregistrări audio-video, operatorul trebuie să efectueze o analiză concretă și individuală a documentelor solicitate. În multe situații, răspunsul corect nu constă în transmiterea integrală a documentelor, ci în extragerea și comunicarea exclusivă a datelor personale care îl privesc pe solicitant, cu anonimizarea informațiilor referitoare la terți.
O altă problemă frecventă în practică privește tendința unor angajatori de a solicita excesiv documente suplimentare pentru identificarea solicitantului. Conform poziției EDPB, asemenea măsuri sunt justificate doar atunci când există îndoieli rezonabile privind identitatea persoanei vizate, iar solicitarea disproporționată de acte poate încălca principiul reducerii la minimum a datelor.
Din perspectivă DPO, gestionarea corectă a cererilor de acces formulate de angajați presupune existența unor proceduri interne clare privind:
- identificarea și validarea solicitării;
- analiza categoriilor de date vizate;
- evaluarea impactului asupra drepturilor terților;
- aplicarea măsurilor de anonimizare sau redactare;
- documentarea deciziei și a răspunsului furnizat.
În lipsa unei abordări documentate și proporționale, riscul nu este doar unul litigios în relația de muncă, ci și unul de conformitate GDPR, inclusiv din perspectiva principiilor transparenței, minimizării datelor și responsabilității operatorului.
*Prezentul material are caracter informativ și reflectă o interpretare generală a aspectelor analizate, fără a constitui consultanță juridică aplicabilă unor situații concrete. Pentru evaluări specifice sau soluții adaptate, vă invităm să ne contactați prin completarea formularului disponibil, accesând butonul de mai jos.
Lasă un răspuns