Elektroniczne wnioski pracownicze – jak projektować pola, żeby nie zbierać zbędnych danych?

Elektroniczny obieg wniosków urlopowych, kadrowych i płacowych przyspiesza pracę działu HR, ogranicza liczbę papierowych dokumentów i pozwala łatwiej kontrolować terminy. Źle zaprojektowany formularz może jednak prowadzić do zbierania numerów PESEL, prywatnych adresów, informacji o zdrowiu, danych członków rodziny i załączników, które nie są potrzebne do rozpatrzenia konkretnej sprawy. Zasada minimalizacji danych powinna być zastosowana już podczas projektowania pól, a nie dopiero wtedy, gdy system zostanie wypełniony nadmiarowymi informacjami. Każde pole trzeba więc powiązać z konkretnym celem, podstawą prawną i rzeczywistą decyzją, którą ma podjąć pracodawca.

Elektroniczny formularz jest procesem przetwarzania danych

Pracodawcy coraz częściej wprowadzają portale pracownicze, aplikacje mobilne i moduły samoobsługowe połączone z systemem kadrowo-płacowym. Pracownik może w nich między innymi:

złożyć wniosek urlopowy;
wystąpić o pracę zdalną;
zgłosić wyjście prywatne;
złożyć wniosek o indywidualny rozkład czasu pracy;
przekazać dane członka rodziny;
wystąpić o świadczenie z zakładowego funduszu świadczeń socjalnych;
rozliczyć podróż służbową;
zgłosić zmianę rachunku bankowego;
wnioskować o szkolenie;
wystąpić o wydanie dokumentu;
skorzystać z uprawnień rodzicielskich.

Elektronizacja nie zmienia podstawowych zasad ochrony danych. Jeżeli pracodawca nie mógłby zgodnie z prawem żądać określonej informacji na formularzu papierowym, przeniesienie pola do aplikacji nie tworzy podstawy do jej zbierania.

Każde wpisanie informacji, wybór opcji, dodanie załącznika, przekazanie formularza przełożonemu, zapisanie decyzji i późniejsze przechowywanie stanowią elementy przetwarzania danych osobowych. Trzeba więc ocenić cały cykl życia wniosku, a nie tylko ekran widoczny dla pracownika.

Na czym polega minimalizacja danych?

Zgodnie z art. 5 ust. 1 lit. c RODO dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Pełny tekst RODO jest dostępny w serwisie EUR-Lex.

Zasada minimalizacji wymaga odpowiedzi na trzy pytania:

Czy dana informacja ma związek z celem formularza?
Czy jest rzeczywiście potrzebna do rozpatrzenia wniosku?
Czy ten sam cel można osiągnąć bez jej zbierania albo przy użyciu mniej szczegółowych danych?

Informacja może być związana ze sprawą, ale nadal nie być niezbędna. Przykładowo przyczyna skorzystania z urlopu wypoczynkowego może interesować przełożonego organizującego pracę, lecz co do zasady nie jest potrzebna do udzielenia urlopu. Pole „uzasadnienie urlopu” zachęca pracowników do wpisywania informacji o rodzinie, zdrowiu, wyjeździe lub sytuacji osobistej, których pracodawca nie potrzebuje.

Minimalizacja nie oznacza zbierania zawsze możliwie najmniejszej liczby znaków. Formularz musi zawierać dane potrzebne do prawidłowego wykonania obowiązku. Chodzi o to, aby zakres informacji wynikał z celu, a nie z przyzwyczajenia, ciekawości albo chęci wykorzystania danych w przyszłości.

Urząd Ochrony Danych Osobowych podkreśla, że pracodawca powinien przetwarzać wyłącznie dane niezbędne dla określonego celu i nie powinien pozyskiwać informacji nadmiarowych. Zasadę tę UODO omawia w poradniku „Ochrona danych osobowych w miejscu pracy”.

Zakres danych pracownika wynika z Kodeksu pracy

Punktem wyjścia jest art. 22¹ Kodeksu pracy. Przepis określa, jakich danych pracodawca może żądać od pracownika. Obejmuje to między innymi adres zamieszkania, numer PESEL, dane o wykształceniu i przebiegu zatrudnienia, gdy są potrzebne, oraz numer rachunku płatniczego, jeżeli pracownik nie zażądał wypłaty do rąk własnych.

Pracodawca może żądać również danych osobowych dzieci i innych członków najbliższej rodziny, jeżeli jest to konieczne ze względu na korzystanie ze szczególnych uprawnień przewidzianych w prawie pracy. Inne dane można pozyskiwać, jeżeli obowiązek ich przetwarzania wynika z odrębnych przepisów.

Nie oznacza to, że pełny katalog danych wolno umieszczać w każdym elektronicznym wniosku. Numer PESEL może znajdować się już w systemie kadrowym, ale nie jest potrzebny przełożonemu zatwierdzającemu dwugodzinne wyjście prywatne. Dane dziecka mogą być konieczne przy określonym uprawnieniu rodzicielskim, lecz nie powinny pojawiać się w zwykłym wniosku urlopowym.

Aktualny tekst Kodeksu pracy został ogłoszony w Dzienniku Ustaw z 2025 r. pod pozycją 277. Przed zaprojektowaniem konkretnego formularza trzeba dodatkowo sprawdzić przepis regulujący dane uprawnienie, ponieważ może on określać wymagane oświadczenia, terminy lub załączniki.

Zgoda pracownika nie naprawia nadmiarowego formularza

Częstym błędem jest dodanie na końcu wniosku pola:

„Wyrażam zgodę na przetwarzanie wszystkich podanych danych”.

Jeżeli pracodawca przetwarza dane w celu realizacji obowiązków wynikających z prawa pracy lub wykonania umowy, zgoda najczęściej nie jest właściwą podstawą. Jeżeli zaś dana informacja nie jest potrzebna do rozpatrzenia wniosku, ogólna zgoda nie uzasadnia automatycznie jej zbierania.

W stosunku pracy możliwość dobrowolnego udzielenia zgody wymaga szczególnej ostrożności ze względu na nierównowagę między pracownikiem a pracodawcą. Odmowa zgody lub jej wycofanie nie mogą powodować niekorzystnego traktowania pracownika.

Szczególne kategorie danych, takie jak informacje o zdrowiu, pochodzeniu rasowym lub etnicznym, przekonaniach religijnych, przynależności związkowej czy orientacji seksualnej, podlegają dodatkowej ochronie. Nie należy zakładać, że pole zgody pozwala działowi HR zbierać je „na wszelki wypadek”.

Projektant formularza powinien najpierw usunąć zbędne pole, a nie próbować zabezpieczać je dodatkowym checkboxem.

Zacznij od celu, a nie od listy możliwych danych

Przed zbudowaniem formularza warto sporządzić prostą kartę procesu. Powinna odpowiadać na pytania:

jaki wniosek składa pracownik;
jaki przepis albo wewnętrzna regulacja go przewiduje;
jaką decyzję ma podjąć pracodawca;
kto podejmuje decyzję;
jakie informacje są potrzebne tej osobie;
jakie dane są potrzebne kadrom lub płacom;
które informacje system już posiada;
czy wymagany jest załącznik;
gdzie trafi zatwierdzony dokument;
jak długo będzie przechowywany;
kto będzie miał do niego dostęp.

Dopiero na tej podstawie należy tworzyć pola.

Jeżeli właściciel procesu nie potrafi wyjaśnić, do czego konkretna informacja zostanie użyta, najczęściej nie powinna być obowiązkowa. Odpowiedzi „może się przydać”, „zawsze o to pytaliśmy” albo „system daje taką możliwość” nie wskazują celu przetwarzania.

Nie pytaj ponownie o dane, które system już zna

Pracownik zalogowany do portalu został już zidentyfikowany. System zazwyczaj zna jego:

imię i nazwisko;
identyfikator pracowniczy;
dział;
stanowisko;
przełożonego;
wymiar czasu pracy;
rozkład lub harmonogram;
dostępny limit urlopu;
służbowy adres e-mail.

Nie ma potrzeby, aby pracownik wpisywał te informacje przy każdym wniosku. Dane można pobrać z systemu źródłowego i wyświetlić tylko w takim zakresie, w jakim są potrzebne do potwierdzenia właściwej osoby lub ścieżki akceptacji.

Szczególnie nieuzasadnione jest wielokrotne wpisywanie numeru PESEL, numeru dowodu osobistego, adresu zamieszkania albo prywatnego numeru telefonu. Zwiększa to ryzyko błędów, wycieku i dostępu do danych przez osoby, które ich nie potrzebują.

Jeżeli formularz dotyczy zmiany określonej informacji, powinien wyświetlać tylko zakres niezbędny do aktualizacji. Przy zmianie numeru rachunku bankowego nie trzeba ponownie pytać o adres zamieszkania i numer dokumentu tożsamości, jeżeli tożsamość została wiarygodnie potwierdzona przez logowanie do systemu.

Dane wyświetlane automatycznie też podlegają minimalizacji

Automatyczne uzupełnianie formularza ogranicza liczbę błędów, lecz nie może prowadzić do pokazywania nadmiarowych danych.

Przełożony zatwierdzający urlop potrzebuje informacji, kto składa wniosek, na jaki okres i jak nieobecność wpłynie na organizację pracy. Nie powinien przy tej okazji otrzymywać numeru PESEL, adresu, numeru rachunku bankowego ani danych członków rodziny.

System powinien więc rozdzielać:

dane identyfikujące pracownika na potrzeby procesu;
informacje potrzebne przełożonemu;
dane dostępne wyłącznie dla HR;
dane wykorzystywane przez płace;
informacje techniczne potrzebne administratorom systemu.

Minimalizacja dotyczy zarówno zbierania, jak i udostępniania. To, że informacja jest już zapisana w bazie kadrowej, nie oznacza, że powinna zostać pokazana każdemu uczestnikowi obiegu.

Zamiast pól otwartych stosuj kontrolowane odpowiedzi

Pole „Uwagi” albo „Uzasadnienie” jest wygodne dla projektanta, ponieważ pozwala obsłużyć wiele sytuacji bez tworzenia dodatkowej logiki. Z punktu widzenia ochrony danych jest jednak jednym z najbardziej ryzykownych elementów formularza.

Pracownik może wpisać tam:

rozpoznanie choroby;
informacje o leczeniu;
dane dziecka;
opis konfliktu rodzinnego;
dane osoby trzeciej;
informacje o ciąży;
numer prywatnego dokumentu;
zarzuty wobec współpracownika;
informacje o członkostwie w związku zawodowym.

Jeżeli określona informacja może zostać przedstawiona za pomocą listy wyboru, daty, liczby godzin lub odpowiedzi „tak/nie”, należy rozważyć zastąpienie pola otwartego takim rozwiązaniem.

Przykładowo zamiast pytania:

„Dlaczego potrzebujesz zmiany rozkładu czasu pracy?”,

można przewidzieć kategorie wynikające z procedury:

względy organizacyjne;
wniosek związany z uprawnieniem ustawowym;
indywidualna organizacja pracy;
inne – z krótkim opisem ograniczonym do informacji niezbędnych.

Jeżeli pole otwarte jest konieczne, trzeba:

wskazać jego konkretny cel;
ustawić rozsądny limit znaków;
dodać instrukcję, czego nie należy wpisywać;
nie oznaczać go jako obowiązkowe, jeśli opis nie zawsze jest potrzebny;
ograniczyć krąg osób mających dostęp do treści.

Komunikat może brzmieć: „Nie podawaj informacji o rozpoznaniu choroby ani innych danych medycznych. Opisz wyłącznie okoliczności potrzebne do rozpatrzenia wniosku”.

Pola warunkowe ograniczają zakres danych

Dobry formularz nie wyświetla każdemu pracownikowi wszystkich możliwych pytań. Powinien stosować logikę warunkową.

Jeżeli pracownik wybiera zwykły urlop wypoczynkowy, system pokazuje daty i liczbę dni. Jeżeli wybiera uprawnienie wymagające dodatkowego oświadczenia, dopiero wtedy pojawiają się pola przewidziane dla tej konkretnej sytuacji.

Logika warunkowa pozwala uniknąć formularzy zawierających jednocześnie:

dane dziecka;
stopień pokrewieństwa;
informacje o niepełnosprawności;
przyczynę nieobecności;
dane pojazdu;
adres wykonywania pracy zdalnej;
numer rachunku bankowego.

Pracownik powinien widzieć tylko pola związane z wybranym procesem. Zmniejsza to nie tylko zakres przetwarzania, lecz również ryzyko przypadkowego wpisania informacji w niewłaściwym miejscu.

Wniosek o urlop wypoczynkowy

Najprostszy elektroniczny wniosek urlopowy może obejmować:

automatyczną identyfikację pracownika;
rodzaj urlopu;
datę rozpoczęcia i zakończenia;
liczbę dni lub godzin obliczoną przez system;
wskazanie osoby akceptującej;
decyzję oraz datę jej podjęcia.

Nie należy standardowo pytać o:

miejsce wypoczynku;
cel urlopu;
osoby, z którymi pracownik wyjeżdża;
numer telefonu prywatnego;
adres pobytu;
informacje o stanie zdrowia;
dane dziecka.

Jeżeli ze względów organizacyjnych pracownik ma wskazać osobę przejmującą zadania, wystarczy wybór pracownika z listy służbowej. Nie należy wymagać opisywania prywatnych okoliczności urlopu.

Również przy urlopie na żądanie nie trzeba pytać o szczegółową przyczynę. Jest on częścią urlopu wypoczynkowego udzielaną w szczególnym trybie. Formularz może odnotować rodzaj wniosku i moment jego złożenia, ale nie powinien wymuszać opisu sytuacji osobistej.

Wniosek o wyjście prywatne

W przypadku zwolnienia od pracy w celu załatwienia spraw osobistych potrzebne są przede wszystkim:

data;
godzina rozpoczęcia;
godzina zakończenia;
przewidywany czas nieobecności;
ewentualny termin odpracowania, jeżeli jest już uzgadniany;
akceptacja przełożonego.

Pracodawca nie musi wiedzieć, czy pracownik idzie do banku, lekarza, szkoły dziecka czy urzędu. Wymaganie szczegółowego uzasadnienia prowadziłoby do zbierania danych, które nie są konieczne do organizacji czasu pracy.

Jeżeli ze względu na wewnętrzne zasady potrzebna jest ogólna kategoria, wystarczy określenie „sprawa osobista”. Szczegóły powinny pozostać poza systemem kadrowym.

Urlop opiekuńczy i siła wyższa

Nie wszystkie wnioski mogą być tak oszczędne jak zwykły wniosek urlopowy. Przykładowo art. 173¹ Kodeksu pracy określa informacje podawane we wniosku o urlop opiekuńczy. Pracownik wskazuje między innymi imię i nazwisko osoby wymagającej opieki lub wsparcia z poważnych względów medycznych oraz – zależnie od sytuacji – stopień pokrewieństwa albo adres zamieszkania tej osoby.

Nie oznacza to jednak uprawnienia do żądania pełnej dokumentacji medycznej, rozpoznania choroby i historii leczenia. Formularz powinien odzwierciedlać zakres przewidziany w przepisie, a nie rozszerzać go „dla pewności”.

Podobnie przy zwolnieniu od pracy z powodu działania siły wyższej pracodawca potrzebuje informacji pozwalających stwierdzić, czy wystąpiła pilna sprawa rodzinna spowodowana chorobą lub wypadkiem, wymagająca natychmiastowej obecności pracownika. Nie musi to oznaczać zbierania dokładnego rozpoznania, wyników badań ani pełnego opisu wypadku.

Warto projektować takie formularze wspólnie z osobą odpowiedzialną za prawo pracy i ochronę danych. Zbyt ogólny formularz może uniemożliwić ocenę uprawnienia, a zbyt szczegółowy będzie naruszał zasadę minimalizacji.

Wniosek o pracę zdalną

Wniosek dotyczący pracy zdalnej może wymagać określenia:

dnia albo okresu pracy zdalnej;
miejsca jej wykonywania;
rodzaju wniosku;
oświadczeń przewidzianych w procedurze;
informacji potrzebnej do zastosowania szczególnego uprawnienia, jeżeli pracownik się na nie powołuje.

Nie należy przy tym automatycznie pytać o:

tytuł prawny do lokalu;
dane właściciela mieszkania;
skład gospodarstwa domowego;
warunki mieszkaniowe niezwiązane z bezpieczeństwem pracy;
prywatny numer telefonu, jeżeli istnieją służbowe kanały kontaktu;
fotografie całego mieszkania.

Jeżeli pracownik wskazuje miejsce wykonywania pracy zdalnej, informacja ta powinna być dostępna osobom, które rzeczywiście potrzebują jej do organizacji pracy, BHP albo rozliczeń. Nie musi być pokazywana wszystkim członkom zespołu.

Wniosek o świadczenie z ZFŚS

Wnioski o świadczenia z zakładowego funduszu świadczeń socjalnych wymagają odrębnego podejścia. Przyznawanie świadczeń zależy od sytuacji życiowej, rodzinnej i materialnej osoby uprawnionej, więc pracodawca może potrzebować danych, których nie powinien zbierać w zwykłym formularzu kadrowym.

Nie oznacza to prawa do pozyskiwania dowolnych dokumentów. Trzeba ustalić:

jakie dane są potrzebne do zastosowania kryterium socjalnego;
czy wystarczy oświadczenie;
kiedy uzasadniona jest weryfikacja dokumentu;
czy należy przechowywać kopię, czy wystarczy odnotować sprawdzenie;
kto ma dostęp do informacji o dochodach i sytuacji rodzinnej;
kiedy dane powinny zostać usunięte.

Formularz ZFŚS powinien być oddzielony od zwykłego obiegu przełożony–HR. Bezpośredni kierownik najczęściej nie potrzebuje informacji o dochodach małżonka, alimentach, chorobie członka rodziny ani sytuacji mieszkaniowej pracownika.

Dane niezbędne do przyznania świadczenia powinny trafiać wyłącznie do osób upoważnionych do obsługi funduszu.

Zmiana danych osobowych nie powinna wymagać pełnego formularza

Wniosek o zmianę danych powinien obejmować tylko informację, która rzeczywiście uległa zmianie.

Jeżeli pracownik aktualizuje adres zamieszkania, system może pokazać dotychczasowy adres i umożliwić wpisanie nowego. Nie ma potrzeby ponownego uzupełniania numeru PESEL, stanu cywilnego, danych rachunku i danych członków rodziny.

Przy zmianie rachunku bankowego potrzebne są:

identyfikacja zalogowanego pracownika;
nowy numer rachunku;
data, od której ma być stosowany;
ewentualne potwierdzenie operacji dodatkowym mechanizmem bezpieczeństwa.

Żądanie skanu dowodu osobistego albo wyciągu bankowego zawierającego historię transakcji będzie zazwyczaj nadmiarowe. Jeżeli pracodawca potrzebuje potwierdzenia właściciela rachunku, powinien rozważyć rozwiązanie ujawniające możliwie najmniej dodatkowych informacji.

Załącznik nie może być obowiązkowy „na wszelki wypadek”

Pole dodawania plików często prowadzi do największego rozszerzenia zakresu danych. Pracownicy przesyłają całe dokumenty, mimo że potrzebna jest jedna informacja.

W załączniku mogą znaleźć się:

numer PESEL;
adres;
dane innych członków rodziny;
informacje medyczne;
zdjęcie;
podpis;
numer dokumentu tożsamości;
dane finansowe;
informacje niezwiązane z wnioskiem.

Przed dodaniem obowiązkowego załącznika trzeba ustalić, czy:

przepis rzeczywiście wymaga dokumentu;
wystarczy oświadczenie pracownika;
wystarczy okazanie dokumentu bez wykonania kopii;
można zasłonić zbędne dane;
potrzebna jest całość, czy tylko określony fragment;
załącznik musi być przechowywany po zakończeniu weryfikacji.

System powinien informować pracownika, jakie dane może zasłonić. Jeżeli potrzebne jest potwierdzenie jednej okoliczności, nie należy żądać dokumentu ujawniającego znacznie szerszy zakres informacji.

Nie każde pole musi być obowiązkowe

Projektanci formularzy często oznaczają wszystkie pola gwiazdką, ponieważ kompletne rekordy są łatwiejsze do obsługi. Obowiązkowość pola oznacza jednak, że bez przekazania danych pracownik nie może złożyć wniosku.

Każde pole obowiązkowe powinno mieć silne uzasadnienie. Trzeba sprawdzić:

czy bez tej informacji nie można rozpatrzyć wniosku;
czy wymaga jej przepis;
czy jest potrzebna w każdej sytuacji;
czy może zostać pobrana z innego systemu;
czy powinna pojawić się dopiero po wybraniu określonej opcji.

Jeśli informacja jest przydatna tylko czasami, pole powinno być warunkowe albo dobrowolne. Dobrowolność musi być jednak rzeczywista. Nie należy oznaczać pola jako opcjonalnego, a następnie odrzucać każdego wniosku, w którym pozostawiono je puste.

Walidacja powinna ograniczać, a nie rozszerzać dane

Dobrze skonfigurowane reguły walidacji zwiększają prawidłowość danych. Przykładowo system może:

sprawdzić format daty;
uniemożliwić wskazanie daty końcowej wcześniejszej niż początkowa;
automatycznie obliczyć liczbę godzin;
sprawdzić format numeru rachunku;
ograniczyć długość opisu;
ostrzec przed wpisaniem numeru PESEL w polu uwag;
blokować nieobsługiwane formaty załączników;
wykrywać próbę przesłania nadmiernie dużego pliku.

Nie należy jednak tworzyć walidacji, która wymusza podanie niepotrzebnych informacji. Przykładowo formularz nie powinien odrzucać wniosku urlopowego tylko dlatego, że pracownik nie wpisał prywatnego numeru telefonu.

Warto również uważać na komunikaty błędów. Nie powinny ujawniać osobie nieuprawnionej, że dany numer PESEL, adres e-mail lub rachunek jest już przypisany do konkretnego pracownika.

Różne osoby powinny widzieć różne części wniosku

Elektroniczny obieg zazwyczaj obejmuje kilka ról:

pracownika;
bezpośredniego przełożonego;
przełożonego wyższego szczebla;
HR;
dział płac;
administratora systemu;
audytora;
dostawcę oprogramowania.

Każda rola powinna mieć dostęp tylko do informacji potrzebnych do jej zadania.

Przełożony może zatwierdzać termin urlopu, ale nie potrzebuje pełnej dokumentacji dotyczącej niepełnosprawności. Płace potrzebują informacji wpływającej na wynagrodzenie, lecz nie zawsze powinny widzieć szczegółowe uzasadnienie wniosku. Administrator techniczny musi utrzymywać system, ale nie powinien przeglądać treści formularzy bez potrzeby.

Uprawnienia należy projektować według zasady najmniejszych uprawnień. Dostęp powinien wynikać z roli, być okresowo weryfikowany i odbierany niezwłocznie po zmianie stanowiska lub zakresu obowiązków.

Powiadomienia nie powinny zawierać całego wniosku

System może wysyłać e-maile, wiadomości push albo powiadomienia w komunikatorze. Zamieszczanie pełnej treści formularza w każdym komunikacie prowadzi do powstawania dodatkowych kopii danych.

Bezpieczniejsze powiadomienie może brzmieć:

„W systemie oczekuje nowy wniosek pracownika do rozpatrzenia”.

Osoba uprawniona loguje się następnie do zabezpieczonej aplikacji. Nie ma potrzeby przesyłania w zwykłym e-mailu informacji o rodzaju uprawnienia, danych dziecka, sytuacji rodzinnej czy załączniku medycznym.

Trzeba również sprawdzić, czy powiadomienia nie pojawiają się na ekranie prywatnego telefonu w sposób ujawniający informacje osobom postronnym.

Rejestr zmian jest potrzebny, ale też zawiera dane

System obsługujący wnioski powinien pozwalać ustalić:

kto złożył wniosek;
kiedy został złożony;
jaka była jego treść;
kto podjął decyzję;
kiedy ją podjął;
jakie zmiany wprowadzono;
czy dokument został przekazany do akt lub systemu płacowego.

Taki rejestr wspiera rozliczalność, bezpieczeństwo i obronę przed roszczeniami. Nie oznacza to jednak, że każdą techniczną operację trzeba przechowywać bezterminowo.

Logi mogą zawierać identyfikatory użytkowników, adresy IP, czas aktywności i informacje o wykonywanych czynnościach. Dla nich także trzeba określić cel, dostęp oraz okres przechowywania.

Nie należy wykorzystywać logów zgromadzonych dla bezpieczeństwa systemu do ukrytego monitorowania aktywności pracowników bez uprzedniej oceny podstawy prawnej i obowiązków informacyjnych.

Elektroniczny wniosek a wymagana postać czynności

Możliwość technicznego przesłania formularza nie zawsze oznacza, że spełnia on wymagania prawa pracy. Trzeba sprawdzić przepis regulujący dany wniosek.

Wiele czynności może być obecnie dokonywanych w postaci papierowej lub elektronicznej. Państwowa Inspekcja Pracy omawia rozszerzenie możliwości elektronicznego dokonywania czynności z zakresu prawa pracy w informacji o zmianach dotyczących formalności i terminów.

Nie należy jednak przyjmować jednej reguły dla wszystkich dokumentów. Trzeba zweryfikować:

czy przepis przewiduje postać papierową lub elektroniczną;
czy wymaga formy pisemnej;
czy potrzebny jest podpis;
czy wystarczy możliwość ustalenia osoby składającej wniosek;
jakie załączniki określają przepisy wykonawcze;
czy dokument powinien trafić do dokumentacji pracowniczej.

Wewnętrzny portal powinien zapewniać wiarygodne uwierzytelnienie użytkownika i utrwalenie treści oświadczenia. W przypadku czynności objętych bardziej rygorystyczną formą zwykłe kliknięcie przycisku może być niewystarczające. Forma konkretnego wniosku powinna zostać przeanalizowana przed jego uruchomieniem.

Formularz w systemie a dokumentacja pracownicza

Nie każdy rekord techniczny jest automatycznie dokumentem, który trzeba przechowywać w aktach osobowych. Jednocześnie część wniosków i oświadczeń należy do dokumentacji pracowniczej albo dokumentacji dotyczącej czasu pracy, urlopów i innych spraw związanych ze stosunkiem pracy.

Zakres i sposób prowadzenia dokumentacji określa rozporządzenie w sprawie dokumentacji pracowniczej, którego tekst jednolity został ogłoszony w Dzienniku Ustaw z 2024 r. pod pozycją 535. Przepisy określają także wymagania dla dokumentacji prowadzonej elektronicznie.

System powinien rozróżniać:

formularz roboczy;
złożony wniosek;
decyzję;
dokument podlegający włączeniu do dokumentacji;
dane przekazywane do systemu kadrowo-płacowego;
logi techniczne;
załączniki przechowywane wyłącznie na czas weryfikacji.

Przechowywanie wszystkiego w jednym repozytorium przez cały okres zatrudnienia jest rozwiązaniem wygodnym technicznie, ale może być sprzeczne z zasadą ograniczenia przechowywania.

Okres przechowywania trzeba przypisać do rodzaju wniosku

Elektroniczne formularze nie powinny mieć jednego domyślnego okresu przechowywania. Inaczej traktuje się dokumentację pracowniczą objętą ustawowym okresem przechowywania, inaczej krótkotrwały wniosek organizacyjny, załącznik służący jednorazowej weryfikacji i log bezpieczeństwa.

Dla każdego rodzaju wniosku trzeba ustalić:

czy dokument jest częścią dokumentacji pracowniczej;
jaki przepis określa okres przechowywania;
czy dane są potrzebne do rozliczeń;
czy mogą być konieczne do ustalenia lub obrony roszczeń;
kiedy wygasa cel przetwarzania;
czy po określonym czasie można usunąć sam załącznik, zachowując wynik weryfikacji;
czy system potrafi wykonać usunięcie lub anonimizację.

Pracodawca powinien prowadzić okresowe przeglądy. Sam brak miejsca na serwerze nie może być jedynym mechanizmem usuwania danych.

Ochrona danych w fazie projektowania

Art. 25 RODO wymaga uwzględniania ochrony danych już podczas określania sposobów przetwarzania oraz stosowania domyślnej ochrony danych. Oznacza to, że system powinien być skonfigurowany w sposób ograniczający zakres danych od pierwszego uruchomienia.

W praktyce należy zadbać, aby:

domyślnie widoczne były tylko konieczne pola;
pola dodatkowe nie były automatycznie obowiązkowe;
dostęp wynikał z roli;
powiadomienia nie zawierały pełnych danych;
załączniki były szyfrowane i chronione;
dane testowe nie były kopiami prawdziwych akt pracowników;
formularze miały przypisane terminy retencji;
system umożliwiał sprostowanie danych;
zmiany były rejestrowane;
eksport nie udostępniał szerszego zakresu niż potrzebny;
raporty domyślnie prezentowały dane zagregowane;
środowisko testowe było oddzielone od produkcyjnego.

Ochrona danych w fazie projektowania nie jest jednorazowym dokumentem. Formularz trzeba ponownie ocenić po zmianie przepisów, procesu, dostawcy albo celu wykorzystania danych.

Dostawca systemu nie przejmuje odpowiedzialności pracodawcy

Jeżeli aplikację utrzymuje zewnętrzna firma, należy ustalić jej rolę w przetwarzaniu danych. Najczęściej dostawca działający na polecenie pracodawcy będzie podmiotem przetwarzającym, co wymaga odpowiedniej umowy.

Trzeba sprawdzić między innymi:

gdzie znajdują się serwery;
czy dochodzi do przekazywania danych poza Europejski Obszar Gospodarczy;
kto po stronie dostawcy ma dostęp;
czy wykorzystywani są dalsi podwykonawcy;
jak wykonywane są kopie zapasowe;
jak zgłasza się incydenty;
jak długo dane pozostają w backupach;
jak następuje zwrot lub usunięcie danych po zakończeniu umowy;
czy system umożliwia wykonanie praw pracowników;
czy dostawca wykorzystuje dane do własnych celów, analiz lub trenowania modeli.

Zapewnienie dostawcy, że system jest „zgodny z RODO”, nie zastępuje analizy formularzy. Producent udostępnia funkcje, ale to pracodawca decyduje, jakie pola włączy, które oznaczy jako obowiązkowe i komu przyzna dostęp.

Kiedy potrzebna jest ocena skutków dla ochrony danych?

Ocena skutków dla ochrony danych, czyli DPIA, jest wymagana, gdy planowane przetwarzanie może powodować wysokie ryzyko naruszenia praw lub wolności osób.

Nie każdy portal wnioskowy automatycznie wymaga DPIA. Potrzebę jej przeprowadzenia należy jednak poważnie rozważyć, gdy system:

przetwarza na dużą skalę dane dotyczące zdrowia;
łączy informacje z wielu źródeł;
profiluje pracowników;
automatycznie podejmuje decyzje o uprawnieniach;
monitoruje zachowania i aktywność;
wykorzystuje biometrię;
obejmuje rozbudowane analizy sytuacji rodzinnej i finansowej;
wprowadza nową technologię o wysokim poziomie ryzyka.

UODO przypomina, że ocenę należy przeprowadzić przed rozpoczęciem przetwarzania powodującego wysokie ryzyko, a nie dopiero po wdrożeniu systemu. Urząd wyjaśnia zasady dokonywania DPIA w materiałach dotyczących oceny skutków.

Najczęstsze błędy przy projektowaniu wniosków

Pierwszym błędem jest przeniesienie starego papierowego formularza do systemu bez sprawdzenia aktualności każdego pola.

Drugim jest żądanie numeru PESEL przy każdym wniosku, mimo że pracownik jest zalogowany.

Trzecim jest obowiązkowe pole „uzasadnienie” bez określonego celu.

Czwartym jest umożliwienie przesyłania dowolnych załączników bez instrukcji i ograniczeń.

Piątym jest gromadzenie pełnych dokumentów, gdy wystarczyłoby oświadczenie albo odnotowanie weryfikacji.

Szóstym jest pokazywanie całej treści wniosku każdej osobie uczestniczącej w obiegu.

Siódmym jest przesyłanie danych szczególnych zwykłym e-mailem.

Ósmym jest wykorzystywanie jednej ogólnej zgody do wszystkich operacji.

Dziewiątym jest brak rozróżnienia okresów przechowywania.

Dziesiątym jest pozostawianie dostępu byłym kierownikom albo pracownikom przeniesionym do innych działów.

Jedenastym jest kopiowanie prawdziwych danych pracowniczych do środowiska testowego.

Dwunastym jest uznanie, że wszystkie informacje dostępne w systemie kadrowym można automatycznie wykorzystywać w każdym nowym procesie.

Praktyczny test każdego pola

Przed publikacją formularza warto przeprowadzić test obejmujący każde pole:

Jaki jest dokładny cel zebrania tej informacji?
Z jakiego przepisu, umowy lub uzasadnionego procesu wynika potrzeba?
Kto wykorzysta informację?
Jaką decyzję podejmie na jej podstawie?
Czy dane są już w systemie?
Czy wystarczy odpowiedź mniej szczegółowa?
Czy pole musi być obowiązkowe?
Czy może ujawnić dane szczególnej kategorii?
Czy potrzebny jest załącznik?
Kto zobaczy treść i załącznik?
Jak długo dane będą przechowywane?
Czy pracownik rozumie, czego nie powinien wpisywać?
Czy system pozwoli poprawić błąd?
Co stanie się z danymi po zakończeniu procesu?

Jeżeli nie da się udzielić konkretnej odpowiedzi na którekolwiek z tych pytań, pole wymaga ponownej analizy.

Dobry formularz zbiera dane potrzebne do decyzji, a nie wszystko, co pracownik może przekazać

Elektroniczne wnioski pracownicze mogą znacznie usprawnić pracę kadr, ale formularz nie powinien być elektroniczną ankietą o życiu pracownika. Każde pole musi wynikać z celu procesu, właściwego przepisu i rzeczywistych potrzeb osoby podejmującej decyzję.

Najbezpieczniejsze formularze automatycznie wykorzystują posiadane dane, stosują listy wyboru i pola warunkowe, ograniczają swobodny tekst, nie wymagają załączników bez podstawy oraz rozdzielają dostęp między przełożonych, HR i płace. Równie ważne są zasady przechowywania, rejestrowania zmian i usuwania informacji po wygaśnięciu celu.

Minimalizacja danych nie utrudnia cyfryzacji. Przeciwnie, prowadzi do prostszych formularzy, mniejszej liczby błędów i czytelniejszych procesów. Dobrze zaprojektowany wniosek powinien zawierać dokładnie tyle informacji, ile potrzeba do podjęcia konkretnej decyzji – ani mniej, ani więcej.