RODO w kadrach i płacach: jak chronić dane pracowników i uniknąć kar w 2026 roku

Czym jest RODO i dlaczego dotyczy działu kadr?

RODO (Rozporządzenie 2016/679) to unijne rozporządzenie obowiązujące w Polsce od maja 2018 roku, które ujednoliciło zasady ochrony danych osobowych i nałożyło na pracodawców obowiązek stosowania odpowiednich środków technicznych i organizacyjnych. Żaden inny dział w firmie nie przetwarza tak szerokiego zakresu danych osobowych jak dział kadr: imiona, nazwiska, numery PESEL, adresy, dane o wynagrodzeniach, a czasem informacje o stanie zdrowia.

Pracodawca pełni w tym układzie rolę administratora danych osobowych, co oznacza pełną odpowiedzialność prawną za bezpieczeństwo przetwarzanych informacji – zarówno za ich zabezpieczenie, jak i za skutki ewentualnego naruszenia.

Kategorie danych osobowych pracowników

RODO wyróżnia trzy kategorie danych istotne dla działu kadr:

1. Dane zwykłe – imię, nazwisko, adres zamieszkania, numer PESEL.

2. Dane szczególnych kategorii (wrażliwe) – pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne, przynależność związkowa, dane genetyczne, biometryczne, dotyczące zdrowia oraz seksualności.

3. Dane dotyczące wyroków skazujących i czynów zabronionych – podlegają osobnej regulacji prawnej.

W kadrach najczęściej przetwarza się dane zwykłe oraz dane wrażliwe związane ze zdrowiem – np. orzeczenia lekarza medycyny pracy czy informacje o niezdolności do pracy – dlatego to one wymagają szczególnej uwagi przy wdrażaniu procedur ochrony.

Zasada minimalizacji danych

Zasada minimalizacji (art. 5 ust. 1 lit. c RODO) nakazuje zbierać wyłącznie dane adekwatne, stosowne i niezbędne do konkretnego celu przetwarzania. Pracodawca nie może gromadzić informacji "na zapas" ani wymagać od kandydatów danych wykraczających poza katalog z Kodeksu pracy – pytania o plany rodzinne czy orientację seksualną podczas rekrutacji wprost tę zasadę naruszają.

Podstawy prawne przetwarzania danych

Przetwarzanie danych w kadrach musi opierać się na jednej z podstaw prawnych z art. 6 RODO. Najczęściej stosowane to niezbędność do wykonania umowy o pracę oraz wypełnienie obowiązku prawnego (np. przekazanie danych do ZUS czy urzędu skarbowego). Zgoda pracownika stanowi podstawę wyłącznie w szczególnych sytuacjach (np. wizerunek w materiałach firmowych) – w relacji pracodawca–pracownik rzadko można ją uznać za w pełni dobrowolną, dlatego warto szukać innych podstaw tam, gdzie to możliwe.

Jakie dane można zbierać od pracowników i kandydatów?

Od kandydata pracodawca może żądać wyłącznie imienia, nazwiska, daty urodzenia, danych kontaktowych oraz informacji o wykształceniu i doświadczeniu – i tylko gdy są niezbędne na danym stanowisku.

Po zatrudnieniu katalog rozszerza się o adres zamieszkania, PESEL i numer rachunku bankowego. Nie wolno przy tym kopiować dowodu osobistego ani przechowywać w aktach odpisów aktów stanu cywilnego.

Dane zbierane podczas rekrutacji

Art. 22¹ § 1 Kodeksu pracy precyzyjnie określa katalog danych, których pracodawca może żądać od kandydata, a są to:

• imię i nazwisko,
• datę urodzenia,
• dane kontaktowe wskazane przez kandydata,
• informacje o wykształceniu i doświadczeniu – wyłącznie gdy są niezbędne do wykonywania pracy na danym stanowisku.

Kandydat nie musi podawać numeru PESEL, adresu zamieszkania ani numeru dowodu osobistego na etapie rekrutacji, a informacje o wynagrodzeniu w poprzednich miejscach pracy są całkowicie wyłączone z katalogu danych.

Dane zbierane po zatrudnieniu

Po zawarciu umowy o pracę katalog danych rozszerza się o:

• adres zamieszkania,
• numer PESEL (lub rodzaj i numer dokumentu tożsamości, jeśli PESEL nie został nadany),
• numer rachunku płatniczego, jeśli pracownik nie wnioskował o wypłatę do rąk własnych,
• dane dzieci i innych członków najbliższej rodziny – wyłącznie przy szczególnych uprawnieniach z prawa pracy.

Dokumenty, których nie można przechowywać w aktach

Pracodawca nie ma podstawy prawnej do kopiowania dowodu osobistego – dokument ten można jedynie okazać do wglądu. Ponadto, nie wolno przechowywać odpisów aktów urodzenia, zgonu ani małżeństwa, a zaświadczenie ze stacji krwiodawstwa czy legitymacja emeryta-rencisty służą wyłącznie do jednorazowej weryfikacji i powinny wrócić do pracownika.

Pełną checklistę dokumentów wchodzących w skład akt osobowych oraz zasady prowadzenia e-teczek znajdziesz w artykule Elektroniczne akta osobowe – czym są i jak długo trzeba je przechowywać?

Jakie prawa ma pracownik wobec swoich danych osobowych?

Pracownik, którego dane przetwarza pracodawca, ma pięć podstawowych praw wynikających z RODO (art. 15–21).

1. Prawo dostępu do danych – pracownik może zażądać informacji o przetwarzanych danych i uzyskać ich kopię.
2. Prawo do sprostowania – jeśli dane są nieaktualne lub błędne, pracownik może żądać ich poprawienia.
3. Prawo do ograniczenia przetwarzania – w określonych sytuacjach pracownik może zażądać czasowego wstrzymania przetwarzania.
4. Prawo do sprzeciwu – dotyczy przetwarzania wykraczającego poza obowiązki prawne pracodawcy.
5. Prawo do usunięcia danych ("prawo do bycia zapomnianym") – działa tylko wtedy, gdy dane nie są już potrzebne do celu, dla którego je zebrano, i nie koliduje z obowiązkiem przechowywania dokumentacji pracowniczej przez 10 lat.

W praktyce prawo do usunięcia danych ma ograniczone zastosowanie w trakcie trwania stosunku pracy i tuż po jego zakończeniu – dopóki trwa ustawowy obowiązek archiwizacji dokumentacji, pracodawca nie może jej usunąć na żądanie pracownika.

Sprawdzone metody zabezpieczania danych pracowniczych

Znajomość przepisów to dopiero pierwszy krok – równie ważne jest ich praktyczne wdrożenie za pomocą konkretnych środków technicznych i organizacyjnych.

Zabezpieczenia techniczne i organizacyjne

Administrator danych musi wdrożyć środki bezpieczeństwa odpowiadające poziomowi ryzyka. Zabezpieczenia techniczne obejmują m.in.:

• kontrolę dostępu (zamki z kodem, szafki zamykane na klucz),
• szyfrowanie danych, automatyczne wygaszanie ekranu,
• regularne zmiany haseł.

Zabezpieczenia organizacyjne dotyczą ludzi – każda osoba z dostępem do danych musi zapoznać się z polityką bezpieczeństwa, zanim zacznie je przetwarzać.

Polityka dostępu i upoważnienia do przetwarzania

Każdy pracownik mający kontakt z danymi osobowymi w ramach obowiązków służbowych powinien otrzymać pisemne upoważnienie do przetwarzania – wyłącznie po zapoznaniu się z polityką bezpieczeństwa i zobowiązaniu się do przestrzegania zasad ochrony danych. To wymóg podstawowy, bez wyjątków.

Jak wybrać system HR zgodny z RODO?

System HR, w którym prowadzisz dokumentację kadrowo-płacową, powinien realnie wspierać, a nie tylko formalnie spełniać wymogi RODO. Przy wyborze lub audycie systemu HR warto sprawdzić, czy zapewnia on:

• indywidualne loginy i role dostępu – każdy użytkownik powinien widzieć tylko te dane, które są mu niezbędne do pracy;
• szyfrowanie danych w spoczynku i w trakcie przesyłania;
• pełną audytowalność operacji – rejestr, kto i kiedy dodał, zmodyfikował lub usunął dokument;
• automatyczne wygaszanie sesji oraz wymuszanie silnych haseł;
• zgodność z wymogami elektronicznej formy dokumentacji kadrowej, dopuszczonej nowelizacją Kodeksu pracy z 27 stycznia 2026 roku.

Wybór i wdrożenie takiego systemu to jednak osobny, wieloetapowy proces – pełny plan digitalizacji kadr, od mapowania procesów po pilotaż, opisaliśmy w artykule Cyfryzacja kadr i płac: praktyczny przewodnik dla działów HR.

Z kolei to, jakie konkretnie czynności kadrowe (wnioski urlopowe, potwierdzenia BHP, konsultacje związkowe) można dziś prowadzić elektronicznie bez podpisu kwalifikowanego, znajdziesz w artykule Nowelizacja Kodeksu Pracy 2026: Praktyczny Przewodnik dla Pracodawców.

Praca zdalna i monitoring - najważniejsze zasady w skrócie

Dla pracowników zdalnych pracodawca powinien określić procedurę ochrony danych obejmującą bezpieczne połączenie VPN, zabezpieczenie ekranu przed wglądem osób postronnych oraz ograniczenie przechowywania dokumentacji papierowej poza siedzibą firmy.

Monitoring wizyjny można wprowadzić wyłącznie w celu zapewnienia bezpieczeństwa, ochrony mienia lub zachowania tajemnicy przedsiębiorstwa. Nagrania przechowuje się maksymalnie 3 miesiące, a pracowników trzeba poinformować pisemnie co najmniej 2 tygodnie przed uruchomieniem monitoringu.

Szkolenia dla pracowników działu kadr

Przeszkolenie osób przetwarzających dane osobowe to kluczowy organizacyjny środek bezpieczeństwa. Po szkoleniu pracownik powinien pisemnie lub elektronicznie potwierdzić zapoznanie się z procedurami – bez tego potwierdzenia pracodawca nie ma formalnej podstawy do egzekwowania zasad bezpieczeństwa podczas ewentualnej kontroli.

Co zrobić w razie naruszenia ochrony danych osobowych?

Naruszenie ochrony danych osobowych trzeba zgłosić Prezesowi UODO bez zbędnej zwłoki – co do zasady nie później niż w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO).

Termin liczy się od momentu, w którym administrator (lub IOD) uzyskał wiedzę, że doszło do zdarzenia noszącego znamiona naruszenia – a nie od samego incydentu.

Kiedy zgłoszenie jest obowiązkowe?

Zgłoszenia do UODO nie trzeba dokonywać, jeśli jest mało prawdopodobne, że naruszenie skutkuje ryzykiem naruszenia praw lub wolności pracowników – np. przy zgubieniu zaszyfrowanego nośnika bez hasła. W praktyce oceny ryzyka (utrata laptopa, e-mail z danymi wysłany do złego odbiorcy, wyciek z systemu HR) trzeba jednak dokonać zawsze i udokumentować ją wewnętrznie, niezależnie od tego, czy zgłoszenie trafi do UODO.

Co powinno zawierać zgłoszenie?

Zgłoszenie do UODO składa się przez dedykowany formularz (ePUAP, osobiście lub pocztą) i musi zawierać:

• charakter naruszenia,
• kategorie,
• przybliżoną liczbę osób i danych, których dotyczy,
• możliwe konsekwencje,
• podjęte lub planowane środki zaradcze.

Jeśli naruszenie stwarza wysokie ryzyko dla pracowników, trzeba ich o tym poinformować bez zbędnej zwłoki (art. 34 RODO) – niezależnie od zgłoszenia do organu nadzorczego.

Konsekwencje spóźnionego lub pominiętego zgłoszenia

Prezes UODO wielokrotnie karał administratorów właśnie za przekroczenie terminu 72 godzin lub całkowity brak zgłoszenia – kary sięgały od kilkunastu do kilkudziesięciu tysięcy złotych, niezależnie od maksymalnych progów przewidzianych w RODO. Zaniechanie oceny ryzyka i "bagatelizowanie" incydentu to jeden z najczęstszych powodów takich decyzji.

Outsourcing kadr i płac a RODO: kto odpowiada za dane?

Zlecenie kadr i płac zewnętrznemu podmiotowi nie zdejmuje z pracodawcy odpowiedzialności za dane pracowników – to on pozostaje administratorem, nawet jeśli operacyjne przetwarzanie prowadzi biuro rachunkowe czy firma outsourcingowa.

Umowa powierzenia przetwarzania danych (UPPDO)

Przekazanie kadr i płac na zewnątrz wymaga zawarcia umowy powierzenia przetwarzania danych osobowych, w której określa się zakres, cel i czas trwania przetwarzania, obowiązki oraz odpowiedzialność obu stron.

Przed podpisaniem takiej umowy warto sprawdzić, czy dostawca usług kadrowo-płacowych rzeczywiście dysponuje wdrożonymi zabezpieczeniami technicznymi i organizacyjnymi, a nie tylko deklaruje zgodność z RODO na stronie internetowej.

Kiedy trzeba wyznaczyć Inspektora Ochrony Danych (IOD)?

Obowiązek wyznaczenia IOD dotyczy m.in. podmiotów, których główna działalność polega na przetwarzaniu na dużą skalę danych szczególnych kategorii, oraz jednostek publicznych.

Nawet jeśli formalny obowiązek nie występuje, firmy przetwarzające dane wielu pracowników i kandydatów często decydują się na powołanie IOD lub zewnętrznego konsultanta – to on koordynuje reakcję na naruszenia i nadzoruje zgodność procedur z RODO.

Kto pomoże wdrożyć RODO w dziale kadr i płac Twojej firmy?

Samodzielne dopilnowanie wszystkich obowiązków RODO – katalogu danych, upoważnień, terminu 72 godzin na zgłoszenie naruszenia, umowy powierzenia z dostawcami – jest czasochłonne, zwłaszcza gdy dział kadr jednocześnie obsługuje bieżące zatrudnienia, urlopy i listy płac.

Błąd na każdym z tych etapów kosztuje realne pieniądze:

• karę administracyjną UODO,
• grzywnę z Kodeksu pracy za nieprawidłowe przechowywanie dokumentacji
• roszczenie odszkodowawcze pracownika.

Jak Evotax może pomóc z RODO w Twojej firmie?

Zespół Evotax na co dzień prowadzi dokumentację pracowniczą i rozliczenia płacowe dla firm o różnej skali – nie musisz nam tłumaczyć podstaw RODO w kadrach. Konkretnie pomożemy w:

1. Audycie i uporządkowaniu dokumentacji kadrowej pod kątem zasady minimalizacji danych – sprawdzimy, czy w aktach nie zalegają dokumenty, których nie powinno tam być.
2. Zawarciu i weryfikacji umowy powierzenia przetwarzania danych (UPPDO) – tak, by jasno określała zakres odpowiedzialności obu stron.
3. Reprezentacji przed urzędami (PIP, UODO, ZUS) – jeśli kontrola albo zgłoszenie naruszenia wygenerują pytania ze strony inspekcji.

Jeśli zastanawiasz się, czy kadry i RODO lepiej powierzyć zewnętrznemu partnerowi, czy rozbudować własny dział HR, pełne porównanie kosztów i modeli znajdziesz w artykule porównującym własny dział HR, a outsourcing kadr i płac.

Sprawdź także nasze usługi kadrowo-płacowe oraz prowadzenie teczek pracowniczych. Jesteś zainteresowany? Wskaż, co stanowi wyzwanie, a nasi specjaliści zajmą się resztą. Skontaktuj się z nami!

Najczęstsze błędy w RODO i jak ich unikać?

Trzy najczęstsze błędy RODO w dziale kadr to:

• przechowywanie zbędnych dokumentów (naruszenie zasady minimalizacji),
• brak corocznej aktualizacji polityki ochrony danych (błąd stwierdzany w 56% decyzji UODO)
• udostępnianie danych pracownika telefonicznie lub przez SMS zamiast na pisemny wniosek.

Przechowywanie zbędnych dokumentów

Gromadzenie dokumentów, których prawo wprost nie wymaga, to najczęściej stwierdzany błąd i naruszenie zasady minimalizacji. Dokumentacja osobowa i płacowa pracowników zatrudnionych od 1 stycznia 2019 roku musi być przechowywana przez 10 lat, a po tym okresie pracodawca ma 12 miesięcy na jej zniszczenie w sposób uniemożliwiający odtworzenie treści.

Brak aktualizacji procedur

Politykę ochrony danych osobowych należy aktualizować co najmniej raz w roku oraz przy każdej istotnej zmianie prawnej, organizacyjnej lub technologicznej. Brak regularnych audytów i aktualizacji to błąd stwierdzony aż w 56% decyzji Prezesa UODO.

Niewłaściwe udostępnianie danych

Dane osobowe pracowników nie mogą być udostępniane telefonicznie ani przez SMS. Instytucja żądająca dostępu powinna złożyć pisemny wniosek z jasno określonym celem wykorzystania danych, a każde udostępnienie musi być zgodne z zasadą minimalizacji.

Konsekwencje naruszeń RODO i przepisów o dokumentacji pracowniczej

Naruszenie RODO wiąże się z konsekwencjami finansowymi, dyscyplinarnymi, a w skrajnych przypadkach karnymi:

• kary administracyjne UODO - do 10 lub 20 milionów euro, albo odpowiednio 2–4% całkowitego rocznego obrotu firmy z poprzedniego roku obrotowego (w zależności od rodzaju naruszenia);
• grzywna za nieprawidłowe prowadzenie lub przechowywanie dokumentacji pracowniczej (art. 281 § 1 pkt 6 Kodeksu pracy) - od 8 lipca 2026 roku wynosi od 2 000 zł do 60 000 zł (wcześniej: 1 000–30 000 zł), a przy recydywie w ciągu dwóch lat może sięgnąć nawet 90 000 zł;
• odpowiedzialność dyscyplinarna pracownika - kary upomnienia lub nagany na podstawie art. 108 Kodeksu pracy;
• odpowiedzialność karna - przy umyślnym naruszeniu przepisów o ochronie danych grozi kara pozbawienia wolności do lat trzech.

Szerzej o karach związanych z błędami płacowymi oraz o reformie PIP z lipca 2026 roku piszemy w artykule Najczęstsze błędy w naliczaniu wynagrodzeń.

RODO w kadrach i płacach - podsumowanie

Zgodność z RODO w dziale kadr to nie jednorazowe wdrożenie, lecz proces: znajomość katalogu danych dopuszczalnych do zbierania, respektowanie praw pracowników, wybór systemu HR z odpowiednimi zabezpieczeniami, gotowa procedura na wypadek naruszenia oraz jasno określona odpowiedzialność przy outsourcingu. Błędy w tym zakresie bywają kosztowne – kary UODO sięgają nawet 20 milionów euro lub 4% rocznego obrotu firmy, a grzywna za nieprawidłowe przechowywanie dokumentacji pracowniczej wzrosła od lipca 2026 roku do 60 000 zł.

Jeżeli potrzebujesz wsparcia w zakresie wdrożenia lub audytu procedur RODO w dziale kadr i płac, skontaktuj się z nami i wskaż, co stanowi wyzwanie, a nasi specjaliści zajmą się resztą.