Cyfrowa wizytówka a RODO — co musi wiedzieć dział HR

Jakie dane osobowe znajdują się na cyfrowej wizytówce pracownika, na jakiej podstawie prawnej je przetwarzać i czego wymagać od dostawcy narzędzia. Praktyczny przewodnik dla HR.

Wdrożenie cyfrowych wizytówek dla całego zespołu to dla działu HR nie tylko projekt wizerunkowy, ale też przetwarzanie danych osobowych dziesiątek albo setek pracowników naraz. Dobra wiadomość: to standardowe, dobrze znane RODO działowi kadr dane — imię, stanowisko, telefon służbowy — a nie nic nowego. Poniżej praktyczny przegląd tego, na co zwrócić uwagę. To nie jest porada prawna — przy wdrożeniu w Twojej firmie warto potwierdzić szczegóły z prawnikiem lub inspektorem ochrony danych.

Jakie dane osobowe są w grze

Typowa cyfrowa wizytówka zawiera: imię i nazwisko, stanowisko, dział, zdjęcie, telefon służbowy i e-mail firmowy, czasem LinkedIn i krótki opis specjalizacji. Część pól bywa opcjonalna i bardziej wrażliwa — telefon prywatny, adres — i to właśnie one wymagają szczególnej uwagi przy ustalaniu, co ma być publicznie widoczne.

Jaka jest podstawa prawna przetwarzania

Publikowanie podstawowych, służbowych danych kontaktowych pracownika (imię, stanowisko, telefon służbowy, e-mail firmowy) na potrzeby kontaktu z klientami zwykle mieści się w prawnie uzasadnionym interesie pracodawcy (art. 6 ust. 1 lit. f RODO) — to naturalna część wykonywania obowiązków służbowych, podobna do umieszczenia danych na stronie firmowej czy w stopce e-mail. Inaczej wygląda sprawa danych, które nie są niezbędne do kontaktu służbowego — prywatny numer telefonu, adres zamieszkania — tu warto rozważyć zgodę pracownika i jasno oddzielić pola obowiązkowe od opcjonalnych.

Obowiązek informacyjny wobec pracownika

Niezależnie od podstawy prawnej, pracownik powinien wiedzieć, jakie jego dane trafiają na publiczny profil, kto je zobaczy i jak długo tam pozostaną. W praktyce wystarczy krótka informacja przy wdrożeniu (e-mail, wewnętrzna instrukcja albo klauzula w regulaminie pracy) — nie trzeba za każdym razem pytać o osobną zgodę na każde pole, jeśli dane są służbowe i niezbędne do wykonywania obowiązków.

Widoczność pól — nie wszystko musi być publiczne

Dobre narzędzie do cyfrowych wizytówek pozwala ustawić widoczność każdego pola osobno — dla całej roli (np. „Serwisant” nie pokazuje adresu, „Dyrektor Regionalny” tak) albo dla pojedynczej osoby. Dzięki temu dział HR może z góry zdecydować, że np. telefon prywatny nigdy nie trafia na publiczny profil, niezależnie od tego, kto go wypełni w panelu.

Co dzieje się z danymi po odejściu pracownika

To pytanie, które najczęściej umyka przy wdrożeniu, a jest kluczowe. Profil odchodzącego pracownika powinien dać się natychmiast wyłączyć — kod QR przestaje pokazywać dane, ale historia i statystyki mogą zostać zachowane do celów rozliczeniowych. To wygodniejsze i bezpieczniejsze niż całkowite usuwanie profilu, bo pozwala też błyskawicznie przekierować kontakt na zastępcę bez przerwy w obsłudze klientów.

Czego wymagać od dostawcy narzędzia

• Umowa powierzenia przetwarzania danych (DPA) — dostawca przetwarza dane pracowników w imieniu firmy i musi mieć podpisaną umowę powierzenia.
• Dane przechowywane w Unii Europejskiej — upraszcza zgodność i ogranicza ryzyko transferu danych poza EOG.
• Profile niewidoczne dla wyszukiwarek (noindex) — dane kontaktowe konkretnej osoby nie powinny być wyszukiwalne przez przypadek w Google.
• Zabezpieczenia logowania administratorów — dwuetapowa weryfikacja, dziennik logowań, żeby dostęp do danych całego zespołu miały tylko upoważnione osoby.
• Możliwość natychmiastowej dezaktywacji profilu — bez czekania na wsparcie techniczne dostawcy.

A co ze zdjęciem pracownika?

Zdjęcie na wizytówce zwiększa zaufanie klienta i pomaga zapamiętać rozmowę, ale to też dana osobowa — w wielu firmach dodanie zdjęcia jest dobrowolne, a nie obowiązkowe. Rozwiązanie stosowane najczęściej: pole na zdjęcie jest opcjonalne, a profile bez zdjęcia pokazują inicjały zamiast pustego miejsca, żeby wizytówka nadal wyglądała spójnie z resztą zespołu.

Checklist dla HR przed wdrożeniem

1. Ustal, które pola są obowiązkowe (imię, stanowisko, kontakt służbowy), a które opcjonalne (telefon prywatny, adres) i domyślnie wyłącz te wrażliwe.
2. Poinformuj zespół krótką wiadomością, jakie dane trafią na wizytówkę i kto je zobaczy.
3. Podpisz umowę powierzenia przetwarzania danych z dostawcą narzędzia.
4. Ustal procedurę offboardingu — dezaktywacja profilu tego samego dnia, w którym pracownik kończy współpracę.
5. Sprawdź, czy profile są niewidoczne dla wyszukiwarek i czy panel administratora ma weryfikację dwuetapową.

Najczęstsze pytania

Czy trzeba pytać pracownika o zgodę na publikację danych na wizytówce?

Zwykle nie w przypadku podstawowych danych służbowych (imię, stanowisko, kontakt firmowy) — to mieści się w prawnie uzasadnionym interesie pracodawcy. Dane wykraczające poza to (np. prywatny telefon) lepiej opierać na zgodzie.

Co zrobić z profilem pracownika, który odszedł z firmy?

Dezaktywować od razu — kod QR przestaje pokazywać dane, a historię i statystyki można zachować do celów rozliczeniowych bez trwałego usuwania.

Czy dostawca narzędzia do cyfrowych wizytówek musi mieć siedzibę w UE?

Nie musi mieć siedziby w UE, ale dane pracowników powinny być przechowywane na serwerach w Unii Europejskiej, a firma powinna mieć z nim podpisaną umowę powierzenia przetwarzania danych.