Evaluările profesionale ale angajaților pe final de an și protecția datelor personale: Câteva aspecte importante

Angajatului trebuie să i se spună de când se angajează care sunt criteriile de evaluare profesională la respectivul loc de muncă - o stabilește chiar Codul muncii: "Persoana selectată în vederea angajării ori salariatul, după caz, va fi informată cu privire la cel puțin următoarele elemente: (...) criteriile de evaluare a activității profesionale a salariatului aplicabile la nivelul angajatorului". Mai departe, aceeași lege impune ca regulamentul intern al firmei să cuprindă și criteriile și procedurile de evaluare profesională a salariaților.

Este fără dubiu că documentul cu care se concretizează o evaluare profesională, fie că-l numim raport sau în alt fel, este în sine o colecție de date personale. Iar asta aduce în discuție Regulamentul general de protecția datelor personale (GDPR). Unele dintre ele, date pe care oricum firma le prelucrează în virtutea raportului de muncă, altele, colectate și folosite în principal pentru a determina dacă salariatul merită o mărire de salariu, o promovare, dacă poate fi reprofilat în cadrul firmei sau propus în altă direcție, dacă ar avea nevoie de o formare specială sau dacă are orice alte nevoi profesionale, dacă ar trebui luată în considerare terminarea raportului de muncă ș.a.m.d.

Necesitatea de a spune, din start, salariatului care sunt criteriile de evaluare profesională vine dublată de necesitatea impusă de normele de protecția datelor de a spune ce date personale sunt prelucrate și de ce.

Discuția pornește de la cei care fac evaluarea și care au, în acest fel, o responsabilitate în plus din perspectiva prelucrării acelor date personale. Parte a acestei responsabilități e să mențină securitatea acelor date personale și să nu permită accesul neautorizat la evaluări.

Salariatul știe că e evaluat?

Pornind de la întrebarea asta, ideea la care vrem să ajungem este: a fost informat salariatul că îi sunt prelucrate datele personale în X sau Y mod, în scopul evaluării profesionale? GDPR nu admite în nicio circumstanță prelucrarea unor date personale pe ascuns.

Evaluarea presupune adesea o analiză a salariatului: cum și cât muncește, la ce oră vine la muncă, când pleacă, care e randamentul său, dacă predă sarcinile de muncă la timp sau cu mari întârzieri, cât pauze își ia în timpul programului, cum interacționează cu alți angajați, poate chiar starea de sănătate a acestuia, fizică și psihică. Toate acestea sunt date personale, însă unele dintre ele au caracter sensibil (de exemplu, cele medicale), iar altele sunt obținute prin moduri care pot pune ceva probleme de GDPR - mai exact, din monitorizarea la locul de muncă.

Merită să citești: Cum poate fi aplicat interesul legitim, ca temei de prelucrare a datelor, de către angajatori, în relațiile de muncă

Folosirea monitorizării la birou (și) pentru evaluarea salariaților

Despre monitorizarea la locul de muncă am mai amintit și cu alte ocazii. A rămas de fiecare dată concluzia că monitorizarea este nu o regulă, ci o excepție, pentru că reprezintă o metodă invazivă de prelucrare a unor date personale. Monitorizarea audio și/sau video este, poate, una dintre cele mai răspândite, dar nu e singura tehnologie care permite observarea unor comportamente: de pildă, există aplicații ce permit monitorizarea desktopului și a activităților utilizatorului aceluid desktop.

GDPR și, local, Legea nr. 190/2018 impun angajatorilor, în primul rând, să-i informeze pe angajați că sunt monitorizați (iată aici un exemplu recent de amendă aplicată de Autoritatea de Protecția Datelor pentru lipsa acestei informări). Cum salariaților trebuie să li se spună și de ce sunt monitorizați, dacă datele furnizate în urma monitorizărilor sunt sau pot fi folosite și la evaluările profesionale, dincolo de alte motive enunțate de angajator, atunci salariații ar trebui să fie informați despre acest lucru.

Angajatorul ar putea avea însă o problemă în a motiva folosirea sistemului de monitorizare pentru evaluările profesionale pentru că ar trebui să demonstreze că, printre altele, nu avea, la îndemână o metodă mai puțin invazivă pentru a-și atinge scopul (monitorizarea la birou - ce precauții ar trebui să-și ia angajatorii și ce nu ar trebui făcut).

În fapt, asta deschide discuția mai largă a deturnării scopului declarat al prelucrării unor date personale: metoda X de monitorizare la locul de muncă e necesară pentru a atinge un anumit scop, dar mai e folosită și pentru evaluarea angajaților, iar ei nu știu acest lucru.

Drepturile celor evaluați

Autoritatea de protecția datelor de la nivelul Uniunii Europene (EDPS) a emis adesea opinii pe tema prelucrărilor de date personale în evaluările profesionale și în epoca pre-GDPR, când însă multe dintre discuțiile pe care le purtăm acum erau aceleași. EDPS puncta de fiecare dată că salariatul evaluat are dreptul de acces la datele prelucrate conținute de acea evaluare - cu alte cuvinte, raportul de evaluare ar trebui să-i fie pus la dispoziție - și dreptul de a cere rectificarea unor date care nu sunt corecte. De asemenea, considera EDPS, ar trebui ca acesta să aibă dreptul să obțină ștergerea datelor cuprinse în acele rapoarte, atunci când ele nu mai sunt necesare. Și asta ne duce la discuția de mai jos:

Cât se păstrează datele din evaluări?

Cum regula e ca păstrarea datelor colectate să se facă pe perioada cât servesc scopului pentru care au fost colectate, reținerea datelor din aceste rapoarte pe perioade foarte lungi de timp ar putea fi problematică din perspectiva GDPR-ului. Cu atât mai mult, în contextul unui fost salariat, datele colectate cu ocazia evaluărilor nu ar trebui să mai fie păstrate ulterior, puncta EDPS.

Transferul datelor la viitori angajatori

Nu este neobișnuit ca un angajator să caute informații de la alte companii, unde candidatul X a lucrat înainte. Dar în momentul în care schimbul de informații devine mai mult decât o caracterizare și se oferă date personale concrete, atunci lucrurile se pot complica pentru cel care dă informațiile, din perspectiva GDPR. În termeni simpli, el face transferul neautorizat al unor date personale, dacă salariatul nu are habar și nici nu și-a manifestat acordul privind acea dezvăluire de date personale.

Merită să citești: Ce date personale pot să fie transferate de la un angajator la altul în cadrul detașării salariaților