System HR pokazuje kierownikowi kalendarz zespołu. Przy nazwisku jednego pracownika widnieje urlop, przy drugim opieka, a przy trzecim zwolnienie lekarskie wraz z dodatkowymi informacjami. Technicznie system może wyświetlić wszystko. Prawnie właściwe pytanie brzmi jednak inaczej: które z tych informacji są menedżerowi rzeczywiście potrzebne do zarządzania pracą?
To ważne rozróżnienie, ponieważ dostęp do informacji nie powinien wynikać z pozycji w strukturze organizacyjnej samej w sobie. Kierownik zespołu nie staje się automatycznie osobą uprawnioną do poznawania wszystkich danych kadrowych swoich podwładnych. Zakres dostępu powinien wynikać z celu, obowiązków służbowych oraz przyjętego przez pracodawcę modelu uprawnień.
Dane absencyjne nie są jednym rodzajem informacji
Pod pojęciem danych absencyjnych mogą kryć się informacje o bardzo różnym charakterze. Czym innym jest informacja, że pracownika nie będzie w pracy od poniedziałku do środy, czym innym rodzaj nieobecności, a jeszcze czym innym szczegółowa informacja wskazująca na stan zdrowia, leczenie lub konkretną przyczynę medyczną.
Dlatego nie należy budować uprawnień według zasady: „menedżer może widzieć absencje”. Trzeba ustalić, jakie konkretne pola systemu są potrzebne do realizacji jego zadań.
W typowym procesie przełożony może potrzebować przede wszystkim informacji:
- że pracownik jest nieobecny,
- od kiedy trwa nieobecność,
- do kiedy zgodnie z posiadanymi informacjami ma trwać,
- czy trzeba zapewnić zastępstwo albo zmienić organizację pracy,
- czy pracownik jest dostępny w danym dniu do realizacji zadań.
Znacznie trudniej uzasadnić potrzebą organizacji pracy dostęp przełożonego do diagnozy, informacji o lekarzu prowadzącym, historii zwolnień w zakresie wykraczającym poza potrzeby zarządcze czy innych szczegółów pozwalających wnioskować o stanie zdrowia pracownika.
RODO wymaga minimalizacji danych
Podstawową zasadę wyznacza art. 5 ust. 1 lit. c RODO. Dane osobowe powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Jest to zasada minimalizacji danych.
W praktyce HR oznacza to, że pytanie nie powinno brzmieć: „czy możemy pokazać menedżerowi tę informację?”, lecz: „po co menedżer ma ją widzieć i czy bez niej może prawidłowo wykonać swoje zadanie?”
Jeżeli celem jest ułożenie grafiku na kolejny tydzień, zazwyczaj kluczowa jest dostępność pracownika. Jeżeli celem jest rozliczenie wynagrodzenia chorobowego albo zasiłku, szerszy zakres informacji może być potrzebny pracownikom kadr i płac. Te dwa cele nie uzasadniają identycznego zakresu uprawnień.
Dane dotyczące zdrowia podlegają szczególnej ochronie
Informacje ujawniające stan zdrowia należą do szczególnych kategorii danych osobowych w rozumieniu art. 9 RODO. Ich przetwarzanie jest co do zasady zabronione, chyba że występuje jedna z podstaw przewidzianych w tym przepisie.
W środowisku pracy nie oznacza to, że pracodawca nigdy nie może przetwarzać informacji związanych ze zdrowiem. Przepisy prawa pracy, ubezpieczeń społecznych i regulacje dotyczące bezpieczeństwa pracy nakładają na niego określone obowiązki. Nie daje to jednak prawa do swobodnego rozpowszechniania takich informacji wewnątrz organizacji.
Prezes UODO w swoich rozstrzygnięciach podkreśla znaczenie ograniczenia dostępu do informacji o zdrowiu. W decyzji dotyczącej danych pracownika UODO zwrócił uwagę zarówno na brak podstaw do pozyskiwania przez pracodawcę nadmiarowych informacji o stanie zdrowia, jak i na konieczność odpowiedniego określenia uprawnień osób, które takie dane przetwarzają.
Co pracodawca widzi w e-ZLA?
Ważnym zabezpieczeniem prywatności jest już sama konstrukcja elektronicznego zwolnienia lekarskiego. ZUS wskazuje, że e-ZLA jest udostępniane płatnikowi składek na jego profilu w eZUS bez numeru statystycznego choroby.
Pracodawca nie otrzymuje więc za pośrednictwem e-ZLA kodu rozpoznania choroby pozwalającego po prostu odczytać diagnozę pracownika. Informacje dostępne płatnikowi służą realizacji obowiązków związanych z usprawiedliwieniem nieobecności oraz ustalaniem uprawnień do świadczeń.
Nie oznacza to jednak, że wszystkie informacje dostępne osobom obsługującym e-ZLA powinny być automatycznie kopiowane do panelu przełożonego. Dostęp płatnika do danych nie jest równoznaczny z potrzebą udostępnienia ich każdemu menedżerowi.
Menedżer nie powinien pytać o diagnozę tylko dlatego, że pracownik choruje
Typowym błędem organizacyjnym jest traktowanie pytania „co ci jest?” jako zwykłego elementu zarządzania absencją. Pracownik może oczywiście z własnej inicjatywy powiedzieć przełożonemu o swoim stanie zdrowia, ale nie oznacza to automatycznie, że pracodawca powinien takie informacje gromadzić, zapisywać w systemie lub przekazywać dalej.
Jeżeli pracownik telefonicznie zgłasza, że będzie nieobecny, dla potrzeb organizacji pracy zazwyczaj znacznie bezpieczniejsze są pytania dotyczące samej nieobecności i przewidywanej dostępności niż szczegółów leczenia.
Notatka menedżera typu „Jan Kowalski – nieobecny do piątku” ma zupełnie inny zakres niż wpis „Jan Kowalski – problemy kardiologiczne, badania w szpitalu”. Druga informacja wchodzi znacznie głębiej w sferę prywatności i może stanowić informację o zdrowiu, której utrwalanie wymagałoby konkretnej podstawy i celu.
Czy menedżer powinien widzieć rodzaj nieobecności?
Nie ma jednej odpowiedzi właściwej dla każdej organizacji. Trzeba zbadać proces. W niektórych sytuacjach przełożony uczestniczy w akceptowaniu określonych nieobecności albo odpowiada za grafik i musi rozróżniać pewne ich kategorie. W innych wystarczy mu status „nieobecny” i data planowanego powrotu.
Dlatego system HR warto projektować warstwowo. Przykładowo:
- pracownik widzi własne dane i historię wniosków,
- menedżer widzi informacje potrzebne do zarządzania dostępnością zespołu,
- HR ma dostęp do danych potrzebnych do prowadzenia spraw pracowniczych,
- płace otrzymują informacje niezbędne do prawidłowego naliczania wynagrodzeń i świadczeń,
- administrator systemu powinien mieć uprawnienia techniczne ograniczone zgodnie z zakresem wykonywanych zadań.
Takie rozdzielenie ogranicza sytuacje, w których jeden profil użytkownika daje dostęp do całej dokumentacji pracownika tylko dlatego, że jest to wygodne technicznie.
Upoważnienie do danych nie powinno być blankietowe
Istotny jest również art. 29 RODO. Osoba działająca z upoważnienia administratora i mająca dostęp do danych osobowych może je przetwarzać wyłącznie na polecenie administratora, chyba że obowiązek przetwarzania wynika z prawa.
UODO w decyzji dotyczącej danych zdrowotnych pracownika zwrócił uwagę, że z upoważnienia powinien wynikać zakres danych i cel przetwarzania. W praktyce przemawia to przeciwko rozwiązaniom typu „wszyscy kierownicy mają dostęp do wszystkich danych swoich pracowników”.
Role powinny odpowiadać rzeczywistym procesom. Kierownik produkcji może potrzebować innych informacji niż dyrektor HR, specjalista płac czy osoba prowadząca rozliczenia zasiłkowe.
Problemem może być nie tylko system HR, ale również Excel, e-mail i komunikator
Nawet prawidłowo skonfigurowany system kadrowy nie rozwiązuje problemu, jeżeli informacje o absencjach są później przesyłane w niekontrolowany sposób. Typowe ryzyka to:
- arkusz z absencjami całej firmy wysyłany do wszystkich kierowników,
- mail do szerokiej grupy odbiorców opisujący przyczynę choroby pracownika,
- wiadomość na wspólnym komunikatorze z informacją o diagnozie,
- kalendarz zespołu zawierający zbyt szczegółowe oznaczenia nieobecności,
- raport HR eksportowany do Excela i przechowywany bez ograniczeń dostępu.
Minimalizacja danych musi więc obejmować cały obieg informacji, a nie wyłącznie główny system kadrowy.
Jak informować zespół o nieobecności kolegi?
Zespół zazwyczaj potrzebuje informacji organizacyjnej: kto przejmuje zadania, przez jaki okres pracownik jest niedostępny i do kogo kierować sprawy. Nie ma potrzeby wyjaśniania współpracownikom, na co dana osoba choruje albo z jakiego szczegółowego powodu korzysta z określonej nieobecności.
Komunikat „Anna jest nieobecna do 14 października, w pilnych sprawach zastępuje ją Piotr” realizuje inny cel niż wiadomość opisująca powody zdrowotne nieobecności. Pierwszy przekazuje informację potrzebną do organizacji pracy bez ujawniania nadmiarowych danych.
Co zrobić, gdy pracownik sam ujawni diagnozę?
Dobrowolne przekazanie przełożonemu informacji nie oznacza, że można ją bez ograniczeń rozpowszechniać. Menedżer powinien przede wszystkim ustalić, czy informacja wymaga jakiegokolwiek działania po stronie pracodawcy i czy istnieje podstawa do jej dalszego przetwarzania.
Nie powinno się automatycznie wpisywać szczegółów zdrowotnych do notatek menedżerskich, ocen okresowych, komentarzy w systemie HR ani rozsyłać ich osobom, które nie potrzebują tych danych do wykonywania swoich obowiązków.
Audyt dostępu do danych absencyjnych – praktyczna checklista
Kontrolę warto przeprowadzić nie na podstawie regulaminu, lecz na rzeczywistych kontach użytkowników. Należy zalogować się na przykładowe konto menedżera i sprawdzić, co faktycznie może zobaczyć.
- Jakie informacje o nieobecności widzi bezpośredni przełożony?
- Czy widzi dane pracowników spoza swojego zespołu?
- Czy system pokazuje informacje o zdrowiu albo szczegóły niewymagane do organizacji pracy?
- Czy menedżer widzi całą historię absencji, mimo że potrzebuje jedynie bieżącej dostępności?
- Czy HR i płace mają odrębne role systemowe?
- Czy dostęp jest odbierany po zmianie stanowiska lub zakresu obowiązków?
- Czy raporty można eksportować bez ograniczeń?
- Czy firma kontroluje arkusze, e-maile i raporty tworzone poza systemem HR?
- Czy zakres upoważnień odpowiada rzeczywistym zadaniom użytkowników?
- Czy można ustalić, kto i kiedy uzyskał dostęp do danych, jeżeli system prowadzi logi dostępu?
Najczęstszy błąd: kopiowanie struktury organizacyjnej do struktury uprawnień
Fakt, że dana osoba jest przełożonym dziesięciu pracowników, nie oznacza jeszcze, że powinna otrzymać pełny dostęp do ich danych kadrowych. Struktura organizacyjna mówi, kto komu podlega. Struktura uprawnień powinna natomiast odpowiadać temu, jakie informacje są potrzebne do wykonania konkretnych czynności.
Dobrym rozwiązaniem jest zbudowanie matrycy: rola – proces – dane – cel – poziom dostępu. Dopiero na tej podstawie warto konfigurować HRIS, system czasu pracy, portal pracowniczy czy aplikację absencyjną.
Przykład: jak ograniczyć dostęp bez utrudniania pracy
Kierownik magazynu układa obsadę zmian. Do wykonania tego zadania potrzebuje wiedzieć, że pracownik będzie nieobecny od 7 do 10 października. Nie potrzebuje diagnozy ani dokumentacji zasiłkowej. System może więc pokazywać mu status niedostępności i daty, pozostawiając szczegóły procesu chorobowego dla HR lub płac.
Jeżeli kierownik pełni dodatkowo formalną rolę w konkretnym procesie i potrzebuje szerszego zakresu informacji, pracodawca powinien umieć wskazać cel tego dostępu oraz odpowiednio skonfigurować uprawnienia. Nie należy rozszerzać dostępu wszystkich menedżerów tylko dlatego, że jeden z nich wykonuje dodatkowe zadania.
Podstawa prawna i źródła
Przy projektowaniu dostępu do danych absencyjnych znaczenie mają przede wszystkim art. 5 RODO, ustanawiający m.in. zasadę minimalizacji danych, art. 9 RODO dotyczący szczególnych kategorii danych oraz art. 29 RODO regulujący przetwarzanie danych przez osoby działające z upoważnienia administratora.
W zakresie danych pracowniczych należy również uwzględniać Kodeks pracy, w szczególności przepisy określające zakres danych przetwarzanych przez pracodawcę. Aktualny tekst jednolity Kodeksu pracy został ogłoszony 24 września 2026 r. w Dz.U. z 2026 r. poz. 1245.
Zasady działania elektronicznych zwolnień lekarskich zweryfikowano w aktualnych informacjach Zakładu Ubezpieczeń Społecznych. ZUS wskazuje, że e-ZLA jest udostępniane płatnikowi bez numeru statystycznego choroby. W zakresie dostępu do danych zdrowotnych uwzględniono również stanowiska i orzecznictwo Prezesa Urzędu Ochrony Danych Osobowych.
Artykuł przedstawia stan prawny na 7 października 2026 r.
Najważniejsza zasada dla HR
Menedżer powinien wiedzieć tyle, ile jest mu potrzebne do zarządzania pracą – nie tyle, ile technicznie może pokazać system. Najbezpieczniejszy model rozdziela informacje organizacyjne od danych potrzebnych kadrom i płacom. Dzięki temu przełożony może sprawnie planować pracę zespołu, a firma ogranicza ryzyko nieuprawnionego ujawnienia informacji o zdrowiu i innych danych prywatnych pracownika.