W większości małych firm folder Kadry leży na tym samym dysku co wszystko inne, często dostępny dla całego zespołu. Tymczasem to najbardziej wrażliwy zbiór w organizacji: wynagrodzenia, zwolnienia lekarskie, zajęcia komornicze, dane rodzin. Wyciek tego folderu to nie tylko problem z urzędem, ale przede wszystkim koniec zaufania w zespole.

Jakich danych wolno żądać

Kodeks pracy określa zamknięty katalog danych, których pracodawca może żądać. Od kandydata to między innymi imię i nazwisko, data urodzenia, dane kontaktowe, wykształcenie i przebieg zatrudnienia, jeśli są niezbędne do wykonywania pracy określonego rodzaju. Dopiero po zatrudnieniu dochodzą numer PESEL, adres zamieszkania i dane potrzebne do świadczeń.

Stąd praktyczny wniosek: zbieranie skanów dowodów osobistych na etapie rekrutacji jest nadmiarowe, podobnie jak przechowywanie kopii dowodu w aktach bez wyraźnej podstawy. Nadmiarowe dane to nie tylko naruszenie zasady minimalizacji, ale też niepotrzebne ryzyko, bo czego nie masz, tego nie stracisz.

Ile lat przechowywać dokumentację pracowniczą

• 10 lat od końca roku kalendarzowego, w którym ustał stosunek pracy, dla pracowników zatrudnionych od 2019 roku,
• 50 lat dla zatrudnionych przed 1999 rokiem, a dla okresu pośredniego skrócenie do 10 lat wymaga złożenia raportów informacyjnych do ZUS,
• 5 lat dla dokumentów rozliczeniowych ZUS,
• dokumentacja czasu pracy i wnioski urlopowe idą razem z aktami danego pracownika.

Po upływie okresu dokumentację wydaje się pracownikowi albo niszczy. Logikę liczenia terminów i strukturę archiwum opisaliśmy w tekście Archiwizacja dokumentów firmowych.

Akta w postaci elektronicznej

Prowadzenie dokumentacji pracowniczej elektronicznie jest dopuszczalne, ale nie polega na zeskanowaniu teczek i wrzuceniu ich do folderu. Zmiana postaci z papierowej na elektroniczną wymaga odwzorowania cyfrowego opatrzonego kwalifikowanym podpisem lub pieczęcią elektroniczną, poinformowania pracowników oraz umożliwienia im odbioru dokumentacji papierowej.

To ważne rozróżnienie. Jeśli nie przechodzisz formalnie na postać elektroniczną, skany traktuj jako kopię roboczą, a oryginały prowadź dalej w papierze. Sam proces digitalizacji opisaliśmy w poradniku Skanowanie dokumentów do chmury.

Kto powinien mieć dostęp

Zasada jest prosta: kadry i zarząd, nikt więcej. Typowe błędy, które widać w małych firmach:

• folder Kadry na wspólnym dysku widoczny dla wszystkich,
• listy płac wysyłane mailem do kilku osób w kopii,
• dostęp księgowej zewnętrznej do całego dysku zamiast do jednego folderu,
• brak odebrania dostępu osobie, która przestała zajmować się kadrami.

Przy danych o zdrowiu, na przykład orzeczeniach lekarskich, dochodzi dodatkowy wymóg: dostęp mogą mieć wyłącznie osoby posiadające pisemne upoważnienie. Jak technicznie zawęzić dostęp, opisujemy w poradniku Uprawnienia do plików w firmie.

CV kandydatów, czyli cichy problem

Rekrutacja generuje dziesiątki życiorysów, które potem latami leżą w skrzynce mailowej. Zasady, które porządkują temat:

• dokumenty przechowuj przez czas rekrutacji, a po jej zakończeniu usuń,
• dłuższe przechowywanie wymaga odrębnej, dobrowolnej zgody na przyszłe rekrutacje,
• zgoda ma termin, więc ustal go i faktycznie usuwaj po jego upływie,
• CV nie powinny zostawać w prywatnej skrzynce rekrutującego menedżera.

Jak to działa w eDysko

W eDysko folder kadrowy zawężasz do konkretnych osób, a reszta zespołu nawet go nie widzi. Księgowa zewnętrzna dostaje dostęp wyłącznie do folderu rozliczeń, a nie do całego dysku. Pliki są szyfrowane, mają historię wersji i kosz z retencją, a dostęp odchodzącej osoby odcinasz jednym kliknięciem. Dokumenty dla pracownika, na przykład PIT, przekażesz linkiem z hasłem zamiast załącznika w mailu. Sprawdź plany albo przetestuj 14 dni za darmo.

Najczęstsze pytania

Czy mogę trzymać kopię dowodu osobistego pracownika?

Co do zasady nie, ponieważ dane z dowodu wykraczają poza katalog z Kodeksu pracy, a kopiowanie dokumentu tożsamości bez wyraźnej podstawy jest uznawane za nadmiarowe. Potrzebne dane spisuje się z okazanego dokumentu, bez pozostawiania jego kopii w aktach.

Czy zwolnienie lekarskie to dane o zdrowiu?

Sam fakt nieobecności i okres zwolnienia są potrzebne do rozliczeń. Informacje o diagnozie już nie, więc nie należy ich gromadzić ani przechowywać. Dokumenty zawierające dane o zdrowiu wymagają upoważnienia dla osób, które mają do nich dostęp.

Czy wolno trzymać akta kadrowe u zewnętrznego dostawcy chmury?

Tak, na zasadach powierzenia przetwarzania. Potrzebna jest umowa z dostawcą, wiedza o lokalizacji serwerów, szyfrowanie i kontrola dostępu. Warunki wyboru dostawcy zebraliśmy w tekście Dokumenty firmowe w chmurze a RODO.