Należy przyjąć, że pracownicy ochrony mają prawo legitymować osoby wchodzące na zaplecze sklepu. A mogą to być przedstawiciele handlowi, hostessy, pracownicy firm leasingowych wynajmowani do pracy, w tym do obsługi stanowisk kasjerskich. W szczególności te ostatnie osoby mogą mieć dostęp do gotówki, pobierając ją na początku pracy, a następnie rozliczając się z niej po zamknięciu kasy.
Dlatego pracownicy zespołu bezpieczeństwa ze względu na potrzebę jego zapewnienia w sklepie, w tym ochronę gotówki zgromadzonej w skarbcu, muszą kontrolować listy oddelegowanych do pracy ludzi, w szczególności właśnie tych przysłanych przez firmy zewnętrze. W celu identyfikacji niezbędne może być zażądanie przedstawienia przez takie osoby dokumentu tożsamości. Jednak możliwość wglądu do takiego dokumentu i możliwość jego zatrzymania na czas pracy danej osoby w sklepie to już zupełnie inna sprawa.
Przesłanki legalności
Cel, jakim jest potrzeba zapewnienia bezpieczeństwa lub kontrola czasu pracy, nie uprawnia do takiego działania. Takie stanowisko wyraźnie potwierdzają opinie generalnego inspektora ochrony danych osobowych (GIODO).
W jednym z pism skierowanym do zarządu supermarketu (DOLiS-035-100/14) GIODO zwrócił uwagę, że ustawa o ochronie danych osobowych (DzU z 2014 r. poz. 1182 ze zm.) zobowiązuje administratorów danych do przestrzegania zasad wyrażonych w jej przepisach na każdym etapie przetwarzania tych danych, w tym na etapie ich pozyskiwania, utrwalania, przechowywania i udostępniania.
Przede wszystkim należy zwrócić uwagę, że na administratorze danych ciążą określone obowiązki warunkujące legalność ich przetwarzania. W szczególności jest to obowiązek legitymowania się jedną z przesłanek, które w odniesieniu do danych osobowych tzw. zwykłych, jak np. imię, nazwisko, adres zamieszkania czy nr telefonu, określone zostały w art. 23 ust. 1 pkt. 1–5 ustawy. Przetwarzanie takich danych jest dopuszczalne w następujących przypadkach:
- osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (pkt 1),
- jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2),
- jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie tej osoby (pkt 3),
- jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4),
- jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5),
Natomiast w odniesieniu do danych szczególnie chronionych (np. dane ujawniające pochodzenie rasowe lub etniczne) po spełnieniu jednego z warunków określonych w art. 27 ustawy.
Liczy się cel
Administrator danych obowiązany jest również w myśl art. 26 ust. 1 pkt. 1–4 ustawy dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a zwłaszcza jest obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem, zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, a także by były merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane. Ponadto powinny być przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej, niż jest to niezbędne do osiągnięcia celu przetwarzania.
Co istotne, dokonanie przez administratora analizy, czy i dla jakich celów będzie przetwarzał określonego rodzaju informacje, powinno następować na etapie poprzedzającym dokonanie na nich jakiejkolwiek operacji. Cel zbierania danych powinien być oznaczony i zgodny z prawem. Warto także podkreślić, że nie może on być wynikiem arbitralnej decyzji administratora danych, oderwanym od okoliczności przetwarzania. Ustalając cel, zawsze indywidualnie należy go ocenić i odwołać się do kontekstu przetwarzania. Ponadto cel przetwarzania danych powinien zostać przedstawiony przed ich pozyskaniem, tj. zainteresowany powinien go znać najpóźniej w momencie, w którym zbierane są jego dane osobowe.
Reasumując, każdorazowo zakres żądanych danych osobowych powinien być merytorycznie poprawny i adekwatny w stosunku do celów, w jakich są przetwarzane. Taka adekwatność powinna być rozumiana jako równowaga pomiędzy uprawnieniem osoby do dysponowania swymi danymi a interesem administratora danych. Równowaga będzie zachowana, jeżeli administrator zażąda danych tylko w takim zakresie, w jakim jest to niezbędne do wypełnienia celu, w jakim dane są przez niego przetwarzane (wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 1 grudnia 2005 r., II SA/Wa 917/2005).
W świetle przepisów dotyczących ochrony danych osobowych i przepisów szczególnych, w tym ustawy o dowodach osobistych, niedopuszczalne jest uznanie zatrzymania cudzego dowodu osobistego jako legalnego sposobu pozyskiwania wyszczególnionych w nim danych osobowych dotyczących osób pracujących w hipermarkecie. O ile sam sposób pozyskiwania danych osobowych jest z punktu widzenia ustawy o ochronie danych osobowych obojętny, o tyle czynność przetrzymywania dokumentu tożsamości może budzić uzasadnione zastrzeżenia pod kątem legalności, zasadności i celowości przetwarzania danych.
Andrzej Lewiński, zastępca generalnego inspektora ochrony danych osobowych
Przetwarzanie wszystkich danych z dowodu osobistego nie musi być niezgodne z prawem, o ile istnieje ku temu podstawa prawna. Jednocześnie działanie takie nie może prowadzić do gromadzenia danych w zakresie szerszym, niż jest to konieczne dla realizacji celu, w jakim dane są pozyskiwane.
Jeśli chodzi o zatrzymywanie dowodu osobistego przez pracowników ochrony sklepu i wykorzystywanie zawartych w nim danych, to należy pamiętać nie tylko o przepisach ustawy o ochronie danych osobowych, ale także o przepisach obowiązującej do 28 lutego 2015 r. ustawy o ewidencji ludności i dowodach osobistych oraz regulacjach ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych, która wchodzi w życie 1 marca 2015 r., przesądzających o niedopuszczalności zatrzymywania dowodów osobistych. Zgodnie zaś z art. 79 pkt 2 ustawy o dowodach osobistych, kto zatrzymuje bez podstawy prawnej cudzy dowód osobisty podlega karze ograniczenia wolności do 1 miesiąca albo karze grzywny. -
