За да могат да се изпълняват правата и задълженията по един трудов договор, работодателят по необходимост обработва голям обем от лични данни за работника или служителя: имена, номер и дата на издаване на лична карта, данни за образованието и стажа на лицето, за банкови сметки и т.н. В рамките на трудовото правоотношение често се обработва и чувствителна информация, свързана например със здравния статус – при ползване на отпуски поради временна неработоспособност, трудоустрояване и т.н.
Всичко това едва ли ще се промени радикално с началото на прилагането на Регламент (ЕС) 2016/6791, защото новите правила в режима на защита на личните данни сами по себе си не променят съдържанието на трудовото правоотношение, както е уредено в трудовото законодателство. Още тук обаче следва да се направят някои важни уточнения. Регламентът запази възможността, предвидена и в завареното законодателство по защита на личните данни, да се допускат отклонения от общите правила, кога- то става дума за обработване на данни в контекста на трудовото правоотношение. Казано с други думи, и занапред ще са възможни и ще се очертаят национални специфики във вътрешното право на държавите членки във връзка с обработването на лични данни на работници и служители.
1. Какви лични данни на работниците и служителите се събират във връзка със сключването на трудовия договор?
Категориите лични данни, чието събиране е не само допустимо, а и безусловно необходимо при възникването на трудовото правоотношение, могат да се извлекат от различни разпоредби на трудовото ни законодателство. На първо място, разпоредбата на чл. 66, ал. 1 от КТ предвижда, че трудовият договор задължително съдържа „данни за страните“, а кои са тези данни е конкретизирано в легалната дефиниция на § 1, т. 10 ДР на КТ: името на лицето, постоянен адрес, единен граждански номер или личен номер на чужденец, вид и степен на притежаваното образование, както и данни за притежаваната научна степен, ако е свързана с изпълняваната от него работа.
Допустимият обем данни, събирани във връзка с възникването на трудовото правоотношение, може да се изведе и от Наредба № 4 от 11.05.1993 г. за документите, които са необходими за сключване на трудов договор. Очевидно, щом работодателят ще разполага с изброените в Наредбата документи, той ще има достъп и до съдържащите се в тях лични данни на работниците и служителите. Съгласно чл. 1 от Наредбата за сключването на трудов договор са необходими:
(1) личен паспорт или друг документ за самоличност, който се връща веднага;
(2) документ за придобито образование, специалност, квалификация, правоспособност, научно звание или научна степен, когато такива се изискват за длъжността или работата, за която лицето кандидатства;
(3) документ за стаж по специалността, ко- гато за длъжността или работата, за която лицето кандидатства, се изисква притежаването на такъв трудов стаж;
(4) документ за медицински преглед при първоначално постъпване на работа и след преустановяване на трудовата дейност по трудово правоотношение за срок над 3 месеца;
(5) свидетелство за съдимост, когато със закон или нормативен акт се изисква удостоверяването на съдебно минало;
(6) разрешение от инспекцията по труда, ако лицето не е навършило 16 години или е на възраст от 16 до 18 години.
Работодателят може да изисква представянето и на други документи, извън посочените в чл. 1 от Наредбата, но само ако това е предвидено или произтича от закон или друг нормативен акт.
За съжаление практиката показва, че доста често работодателите се изкушават да събират по-голям обем информация и документи от необходимото за целите на сключване на трудовия договор. Така например в нарушение на правилото, че документът за самоличност се представя от работника или служителя за справка и се връща веднага, масово работодатели съхраняват копия на лични карти. Подобни действия следва да се преустановят, а събраните към момента копия да бъда унищожени, ако работодателят не иска да рискува да му бъдат наложени доста завишените санкции, предвидени в Регламента.
2. Какви лични данни се обработват по време на действието и при прекратяването на трудовия договор?
Трудовото правоотношение обикновено се развива продължително във времето и – наред с личните данни, събрани от работодателя във връзка с възникването му – през времето на неговото съществуване се натрупват все по- големи обеми данни.
А) На първо място, това може да са данни, чието събиране и обработване е било възможно още към момента на възникване на трудовото правоотношение, но поради пропуск на страните или липса на необходимост към този момент не е било направено. Ситуация, в която при възникване на трудовото правоотношение не са били събрани данни, необходими за реализирането на трудови права от работника или служителя, ще е налице, ако той е пропуснал да представи удостоверение, че има придобита образователна и научна степен „доктор“ по специалност, свързана с изпълняваната работа. По-късно служителят представя такъв документ, за да започне работодателят да му заплаща допълнително трудово възнаграждение по чл. 11, ал. 1 от НСОРЗ. Възможно е и да настъпи промяна в първоначално предоставената информация или са налице нововъзникнали обстоятелства. Ако използваме отново дадения пример, придобиването на научната и образователна степен „доктор“ от служителя по време на действието на трудовия договор ще му даде занапред правото на допълнително възнаграждение. За да го упражни, той трябва да предостави на работодателя съответното удостоверение, съдържащо негови лични данни. Информация, свързана с личния живот на работника или служителя, по необходимост се разкрива и при ползването на редица други трудови права, напр. на отпуски за изпълнение на
граждански, обществени и други задължения (встъпване в брак, смърт на близък роднина и т.н.), отпуски за синдикална дейност, отпуски поради временна неработоспособност и др.
Началото на прилагането на Общия регламент за защита на личните данни по-скоро няма да даде отражение върху събирането на посочените по-горе категории данни, защото за него е налице нормативно основание, произтичащо от трудовото законодателство. Що се отнася до конкретните действия по обработване на тези данни, те трябва да са съобразени с техническите и организационни мерки, въведени от работодателя за защита на данните на персонала.
Б) Втората голяма група „допълнителни“ лични данни, които се събират и обработват в хода на трудовото правоотношение, поставя по-го- лям брой правни проблеми. Те са свързани с новите технически контролни механизми и повдигат съществени въпроси от правно и морално естество. Сред най-„модерните“ контролни механизми попадат например видеонаблюдението, наблюдението на персонала в електронна среда, проверка на електронната кореспонденция, инсталирането на контролиращ софтуер, системи за биометричен контрол и др. Най-често посочваните от работодателите цели, които ги мотивират да използват такива контролни механизми, се свеждат до необходимостта от осигуряване на ефективни гаранции за изпълнението на задълженията на работниците и служителите по трудовото правоотношение, като спазването и уплътняването на работното време.
Съвременните технически възможности за наблюдение и контрол на персонала са много- бройни и непрекъснато се увеличават. Затова е безсмислено да се поставя въпросът възможно ли е фактически осъществяването на постоянно наблюдение над работниците и служителите: разбира се, че то е възможно, а в немалко предприятия е и реалност. Същественият въпрос, на който трябва да се потърси отговор, се свежда до допустимостта на използването на такива способи. И тук могат да се откроят две основни хипотези:
• Когато въвеждането на специални технически мерки за контрол представлява нормативноустановено задължение за работодателя, той няма особена свобода на действие и място за преценка. Става дума за дейности, регламентирани в специални закони и свързани с повишени рискове, респ. произтичащите от тях изисквания за сигурност. Видеонаблюдение задължително се осъществява например в банки, казина и т.н.
• Извън посочените случаи използването на специални технически способи за контрол е въпрос на преценка по целесъобразност. Ако счита, че е необходимо да оптимизира трудовия процес посредством използването на подобни мерки, работодателят следва да извърши задълбочена предварителна оценка на тяхното въздействие и степента, в която те биха рефлектирали в личната сфера на работниците и служителите. Става дума за деликатния въпрос за намирането на баланса в „пропорционалността“ на мерките.
По отношение на втората група случаи промените в законодателството по защита на личните данни без съмнение ще имат по-голямо значение. Така например опазването на имуществото на работодателя и предотвратяване на кражби от търговския му обект е негов легитимен интерес, който би могъл да оправдае монтирането на камери за видеонаблюдение. На този легитимен интерес обаче противостои интересът на наблюдаваните лица, в т.ч. работниците и служителите, от ограничаване на намесата в личното им пространство. Затова и видеонаблюдението на места, където ще причини прекомерен дискомфорт на персонала (стаи за преобличане, санитарни помещения и т.н.) влиза в разрез със законовите правила.
Препоръчително е работодателите да направят нов анализ на актуалната картина на обработването на лични данни на персонала. Ако в резултат на тази проверка се установи, че се събират и обработват лични данни, за които е съмнително доколко е налице условие за допустимост на обработването, най-добре би било тази практика да се преустанови, а събраните данни да се унищожат. Това произтича от принципа за минимизиране на обработването на лични данни, заложен в новия регламент.
В) Самостоятелен кръг от правни проблеми поставят и личните данни на работника или служителя, обработвани във връзка със и след прекратяването на трудовото правоотношение.
Някои от основанията за прекратяване на индивидуалното трудово правоотношение безспорно налагат събирането и обработване на допълнителна информация за съответния работник или служител, т.е. на допълнителни лични данни за него. Например, за да се обоснове липса на качества за ефективно изпълнение на работата по смисъла на чл. 328, ал. 1, т. 5 от КТ, следва да бъде събрана информация за недостатъчната образованост, опит или природни дадености на работника или служителя – като съобразителност, сръчност, схватливост, концентрация, способност за работа с хора или клиенти за определени професии.
Тук нито е възможно, нито е необходимо да се разглеждат всички основания за прекратяване на трудовото правоотношение и съответно какъв обем от допълнителни лични данни за работника или служителя може да се наложи да бъде събиран във всеки конкретен случай. Заслужава обаче да се спомене един съществен практически проблем, свързан със събирането на данни за здравословното състояние на служителите.
Личните данни, отнасящи се до здравето, попадат сред т.нар. „чувствителни“ лични данни, чието обработване по принцип е забранено. По изключение обработването им е допустимо за изпълнението на специфични права и задължения на администратора в областта на трудовото законодателство и то, разбира се, често се практикува. Това трябва да се прави с ясното съзнание за повишената чувствителност на тези данни и съществените вреди, които могат да претърпят титулярите им от нерегламентираното им разкриване.
По необясними причини нашето трудово законодателство не предвижда задължение за работниците и служителите, страдащи от заболява- нията по Наредба № 5 от 20.02.1987 г. за болестите, при които работниците, боледуващи от тях, имат особена закрила съгласно чл. 333, ал. 1 от Кодекса на труда, да уведомят работодателя за тези заболявания. Напълно е възможно работодателят да не знае, че определен работник или служител има право на предварителна закрила при уволнение. Разпоредбата на чл. 1, ал. 2 от Наредба № 5 обаче му вменява задължението да събере „предварителна информация от работниците, които са определени за уволнение, страдат ли от посочените болести“. Едва в последните години в практиката на ВКС като че ли започва да си пробива път известно „либерализиране“ на режима – напр. в Решение № 246 от 12.07.2013 г. по гр. д. № 711/2012 г., IV г. о. ВКС приема, че при бездействие, изричен отказ или умишлено затаяване на информация от работника или служителя, работодателят няма възможност да проверява във всеки един случай на уволнение по чл. 328, ал. 1, т. 2, т. 3, т. 5 и т. 11 от КТ и чл. 330, ал. 2, т. 6 от КТ, ако не разполага с информация от преди това, дали служителят или работникът страда от някоя от болестите по чл. 1 от Наредба № 5/87 г., нито правото да ги задължава да преминат на задължителни медицински преглед преди прекратяване на трудовото правоотношение за наличие на заболяване от вида на тези, за които се прилага закрила по чл. 333, ал. 1, т. 3 от КТ.
До този извод обаче не трябва да се стига единствено по тълкувателен път, а да се регламентира изрично в закона. Наличието на за- болявания по Наредба № 5 трябва да поражда същото задължение като бременността или напреднал етап на лечение ин-витро – за изрично уведомяване на работодателя (вж. чл. 313а КТ). Разбира се, уведомяването и тук следва да е въпрос на преценка на служителя. Той може да не иска да уведомява никого за състоянието си и това негово желание е достойно за уважение, защото засяга особено деликатна сфера от личния му живот. В такъв случай обаче няма да ползва предварителната закрила при уволнение.
Г) Прекратяването на трудовото правоотношение не слага автоматично край и на обработването на лични данни на бившия работник или служител. Съхранение и обработване на данни на бивши служители се налага например за пенсионноосигурителни цели (съгласно чл. 12, ал. 1, т. 1 З Счет. ведомостите за заплати се съхраняват в срок от 50 години). Извън това, възможно е възникването на трудов спор във връзка с прекратеното трудово правоотношение – било за самото му прекратяване, или по повод на други права (неизплатени възнаграждения и т.н.). За да проведе защитата си, работодателят трябва да разполага с документите от трудовото досие на работника или служителя, чието правоотношение е прекратено. Ето защо прекратяването на трудовото правоотношение не води до отпадане на необходимостта от обработване на събраните лични данни, респективно възникване на задължение за тяхното унищожаване.
Информация от личен характер, за която липсва основание за по-нататъшно съхраняване и обработване обаче (напр. лична кореспонденция на бившия служител на служебен компютър, лични снимки и пр.), следва да бъде върната на титуляря при поискване и заличена от служебните комуникационни устройства. Разбира се, желателно е при прекратяване на трудовото правоотношение самият служител да се погрижи да не оставя такава информация. Той следва да предаде на работодателя зачислените му устройства, ведно със служебната информация, намираща се у него, и да премахне личната.
3. За някои от правата на субекта на данните в контекста на трудовото правоотношение
Правата на работниците и служителите като титуляри на личните данни имат свои спе- цифики, макар и да са частен случай на по-общото понятие „права на физическите лица“ по смисъла на Регламента и вътрешното ни законодателство. Не всички права, предвидени в регламента, могат да се вместят напълно в рамките на отношенията работодател – работ- ник/служител. Трудно можем да си представим хипотеза, в която работникът да поиска от работодателя да блокира неговите лични данни, защото така ще се осуети и изпълнението на задълженията по трудовото правоотношение. Този извод най-ясно може да се онагледи, ако се свърже с концепцията на „правото да бъдеш забравен“, заложена и в новия Регламент. Едва ли е нужно да се подчертава, че никой работник или служител няма да пожелае да бъде „забравен“ от работодателя си, поне що се отнася до изплащането на заплатата му.
В светлината на тези разсъждения се оказва, че практическо значение тук има един сравнително по-ограничен кръг от права или поне права, модифицирани по начин, който да кореспондира с правата и задълженията по трудовото правоотношение. В следващите редове ще бъде разгледано само правото на работника или служителя на достъп до обработваните данни (информация за начина на обработване), както и правата на възражение срещу различни форми на обработване.

• Всяко физическо лице има право на достъп до отнасящи се за него лични данни
Правото на достъп до данните по същността си е право на информация. Целта му е да позволи на титулярите на данните да проверят коректността на съхраняваните и обработвани данни и законосъобразността на обработването. Обикновено на това право на субекта на данните кореспондира насрещното задължение на администратора да го уведоми какви данни съхранява и обработва за него, с какви цели и по какъв начин. По принцип това не означава задължително получаването на копия от документи, създавани и/или съхранявани от администратора на лични данни.
Трудовото ни законодателство обаче създава специално правило в това отношение, което следва изрично да се подчертае. Кодексът на труда е сред законите, в които е регламентиран достъпът до документи на работника или служителя. Дори през последните години се наблюдава тенденция към детайлизиране на тази уредба. След като през 2008 г. в новата тогава разпоредба на чл. 128а КТ беше предвидено задължение на работодателя за издаване на документи, удостоверяващи факти, свързани с трудовото правоотношение, с измененията и допълненията от месец юли 2015 г. беше включено и задължението на работодателя да води трудово досие на всеки отделен работник или служител (чл. 128б КТ). Работникът или служителят има право да получава заверени копия от съхраняваните документи по реда на чл. 128а КТ.
• Право на работника/служителя да поиска заличаване, коригиране или блокиране на обработваните данни
Възможно е например кандидат за работа да поиска коригиране на приетите от работодателя данни относно предходния му трудов стаж, ако установи, че те са непълни или неточни (за- щото придобитият професионален опит е от съществено значение както за евентуалното му назначаване, така и за определянето на трудовото възнаграждение); работник или служител да поиска заличаване на данни, които не са необходими за целите на трудовото правоотношение (например записи от видеокамери, освен ако те не съдържат данни за извършено нарушение); работник или служител да възрази срещу планираното обработване на данните от „външен“ обработващ и т.н.
За разлика от правото на достъп, разглежданите
тук права не могат да се упражняват без излагане на мотиви – например работник или служител да поиска работодателят да преустанови обработването на личните му данни, без да посочи защо или като заяви, че просто не желае занапред те да бъдат обработвани. Подобно искане практически означава преустановяване на трудовоправната връзка между страните, доколкото при това положение тя не може да съществува.
По принцип предпоставка за упражняване на разглежданите права е установена нередност във връзка с обработването. Тук са необходими и някои допълнителни уточнения:
• На първо място, коректни или некоректни (респ. верни или неверни) могат да са „обективните“ данни – имената на служителя, броят години предходен трудов стаж и т.н. Такива непълноти и грешки могат да бъдат допълнени или поправени. Информация, която съдържа оценъчен елемент, не подлежи на коригиране по пътя на възражение от лицето. Това би означавало да се признае например правото на работника или служителя да поиска корекция на атестационна оценка, защото е „невярна“, или на „неправилни“ констатации на работодателя в хода на дисциплинарно производство. За такива случаи законът въвежда специални правила за оспорване.
• Правото на възражение срещу обработването на определени данни в рамките на трудовото правоотношение е изначално предметно стеснено – то може да се приложи само за данни, чието обработване излиза извън законните цели. Тъй като трудовото правоотношение по принцип налага и оправдава обработването на големи обеми от лични данни, „извън“ целите му остават по-малко на брой, напр. от категорията на т.нар. „чувствителни“ данни.
• За да бъде основателно, възражението трябва да се базира на легитимен интерес на титуляря на данните. Например работник или служител не може да възрази срещу публикуването на имената, служебния му и-мейл адрес и телефон на Интернет страницата на работодателя. Очевидно по този начин работодателят предоставя данни за контакт със своите служители на потенциални клиенти и контрагенти, които са от значение за ефективното изпълнение на служебните дейности.
• Възражение може да се направи и в случаите, когато по-рано е било изразено изрично съгласие и то е било основанието за допустимост на обработването. В такава хипотеза оттеглянето на съгласието е равнозначно на възражение срещу по-нататъшното обработване на съответните данни. Този извод следва изрично да се подчертае и в контекста на новите правила на Регламента. Съгласно чл. 7, ал. 3 субектът на данни има правото да оттегли съгласието си по всяко време. Оттеглянето на съгласие е също толкова лесно, колкото и даването му.
4. Обработване на личните данни на работниците и служителите според проектозакона за изменение и допълнение на ЗЗЛД
С едно значително забавяне спрямо първоначално анонсираните си намерения, Комисията за защита на личните данни представи за обществено обсъждане Законопроекта на ЗИД на ЗЗЛД. Тъй като към настоящия момент трудно може да се прогнозира дали текстовете ще бъдат приети от Народното събрание в този вариант, тук темата се споменава накратко и само за пълнота.
Предвидено е създаването на нова глава четвърта „а“ с чл. 25а-25к ЗЗЛД „Допълнителни правила и особени ситуации на обработване на лични данни“. Тук са въведени и някои особености, свързани с обработването на лични данни на работниците и служителите:
• В чл. 25е е въведена изрична забрана за работодателите да копират документ за самоличност, свидетелство за управление на моторно превозно средство, документ за пребиваване на работник/държавен служител, освен ако закон предвижда това.
• В чл. 25ж се предвижда работодателят да приема правила и процедури при използване на система за докладване на нарушения; ограничения при използване на вътреш- нофирмени ресурси; въвеждане на системи за контрол на достъпа, работното време и трудовата дисциплина. Те съдържат информация относно обхвата, задълженията и методите за прилагането им на практика и се довеждат до знанието на работниците и служителите.
• Според чл. 25з работодателят определя срок за съхранение на лични данни на участници в процедури по подбор на персонала, който не може да бъде по-дълъг от три години. Когато в процедура по подбор работодателят е изискал да се представят оригинали или нотариално заверени копия на документи, удостоверяващи физическа и психическа годност на кандидата, необходимата квалификационна степен и стаж за заеманата длъжност, субектът на данните, който не е одобрен за назначаване, може да поиска в 30-дневен срок от окончателното приключване на процедурата по подбор да получи обратно представените документи. Работодателят връща документите по начина, по който са подадени.
• Според чл. 25и работодателят може да обработва лични данни на работник/служител, които не е поискал или които не се изискват от нормативен акт, ако субектът на данни е дал своето изрично съгласие и няма забрана за това в нормативен акт.