Informacja ogólna, nie porada prawna. Sprawdzono RODO, art. 22¹ i art. 229 Kodeksu pracy (tekst jednolity ogłoszony w Dz. U. z 2026 r. poz. 1245), komunikaty i poradnik Prezesa UODO oraz wzór orzeczenia lekarskiego. Nie znaleziono stanowiska UODO dotyczącego wprost relacji generalny wykonawca i podwykonawca, więc proponowany model jest ostrożną praktyką. Role stron i podstawy prawne w konkretnej firmie oceni inspektor ochrony danych lub prawnik.
Kto jest administratorem danych pracowników podwykonawcy?
Podwykonawca jako pracodawca jest administratorem danych swoich pracowników i to on ma podstawę z art. 22¹ Kodeksu pracy, by żądać od nich danych osobowych. Generalny wykonawca, który otrzymuje te informacje od podwykonawcy, przetwarza je we własnym celu: ocenia, czy osoba może wejść na budowę i czy spełnia wymagania BHP. W takim układzie jest zwykle odrębnym administratorem, a nie podmiotem przetwarzającym.
Umowa powierzenia z art. 28 RODO pasuje, gdy ktoś przetwarza dane na polecenie administratora, na przykład dostawca systemu. Nie pasuje do generalnego wykonawcy, który sam ustala cel i zakres. Współadministrowanie (art. 26 RODO) wchodzi w grę, gdy strony wspólnie ustalają cele i sposoby przetwarzania, a w zwykłym zleceniu robót zdarza się to rzadko. Nie znaleźliśmy stanowiska UODO dotyczącego wprost relacji generalny wykonawca i podwykonawca. Role ocenia się według tego, kto decyduje o celach i środkach. W razie wątpliwości zapytaj inspektora ochrony danych lub prawnika.
Na jakiej podstawie generalny wykonawca może przetwarzać te dane?
Najczęściej wskazywaną podstawą jest prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO): bezpieczeństwo na budowie i wykonanie obowiązków współpracy pracodawców z art. 208 Kodeksu pracy, w tym wzajemnego informowania o zagrożeniach. Art. 22¹ KP nie daje tej podstawy generalnemu wykonawcy, bo reguluje relację pracodawcy z pracownikiem. Uzasadniony interes wymaga oceny: celu, niezbędności danych i równowagi interesów. Spisz tę ocenę w kilku zdaniach i trzymaj w dokumentacji RODO.
Zgoda pracownika to wątła podstawa dla kontroli wejścia: można ją wycofać, a bez niej nikt nie wejdzie na budowę, więc trudno uznać ją za dobrowolną. Obok podstawy obowiązują zasady z art. 5 ust. 1 RODO: cel (lit. b), minimalizacja (lit. c), ograniczenie przechowywania (lit. e) oraz integralność i poufność (lit. f). Każdy dokument z listy wymagań generalnego wykonawcy (zob. lista dokumentów pracownika przed wejściem na budowę) powinien mieć przypisany cel. Jeśli go nie ma, dokumentu nie należy żądać.
Czy generalny wykonawca może kopiować dowód osobisty i zbierać PESEL?
Co do zasady nie. W komunikacie z 16 marca 2026 r. o karze dla spółki Glovo Prezes UODO wskazał, że kopiowanie lub utrwalanie dokumentów tożsamości powinno być stosowane wyłącznie w wyjątkowych przypadkach, w sytuacjach wyraźnie przewidzianych prawem, a samo powołanie się na uzasadniony interes nie wystarczyło przy tak szerokim zakresie danych. Sprawa dotyczyła platformy dostawczej, ale rozumowanie o minimalizacji ma charakter ogólny. W poradniku dla pracodawców UODO ocenia, że zazwyczaj nie ma uzasadnionej potrzeby kserowania dokumentu tożsamości pracownika.
PESEL może żądać od pracownika jego pracodawca (art. 22¹ § 3 pkt 2 KP). Generalny wykonawca takiego przepisu nie ma. UODO podkreśla szczególny charakter numeru PESEL i jego ochronę z art. 87 RODO. Do identyfikacji osoby zwykle wystarczy imię, nazwisko, firma i sprawdzenie dokumentu ze zdjęciem przy wejściu, bez kopiowania. Gdy potrzebny jest stały identyfikator, użyj numeru nadanego w wykazie osób. Wyjątki muszą wynikać z przepisu lub z ocenianej na piśmie potrzeby. Przy cudzoziemcach obowiązują dodatkowe dokumenty, które opisuje artykuł o cudzoziemcu na budowie.
Orzeczenie lekarskie to dane o zdrowiu. Co z nim zrobić?
Dane dotyczące zdrowia należą do szczególnej kategorii (art. 9 ust. 1 RODO). Orzeczenie wydawane pracodawcy stwierdza brak lub istnienie przeciwwskazań do pracy na określonym stanowisku, nie zawiera wyników badań, które trafiają do dokumentacji medycznej (rozporządzenie w sprawie badań lekarskich pracowników). Podwykonawca nie może dopuścić pracownika do pracy bez aktualnego orzeczenia (art. 229 § 4 KP). Wzór orzeczenia obejmuje jednak PESEL i adres zamieszkania osoby badanej oraz dane pracodawcy.
Generalnemu wykonawcy wystarczy wiedzieć, że osoba jest zdolna do pracy na danym stanowisku i do kiedy. Od najmniej do najbardziej inwazyjnej opcji: oświadczenie podwykonawcy z datą ważności i wgląd u niego przy audycie, kopia orzeczenia z zasłoniętym PESEL i adresem, pełna kopia tylko wtedy, gdy wymaga tego umowa i potrafisz to uzasadnić. Podstawa z art. 9 ust. 2 RODO dla pełnej kopii nie jest oczywista, co przemawia za modelem z potwierdzeniem. To ostrożna praktyka, a nie stanowisko UODO. Terminy opisuje artykuł o ważności badań lekarskich.
Jak bezpiecznie przekazywać skany, skoro krążą e-mailem?
Skany wysyłane e-mailem to częste źródło incydentów: zły adres, przesłanie dalej, kopie na prywatnych telefonach. Art. 32 RODO wymaga środków dostosowanych do ryzyka. Ustal jedno miejsce odbioru (wyznaczona skrzynka albo portal z uprawnieniami), szyfruj załączniki hasłem przekazywanym innym kanałem, nie używaj prywatnych komunikatorów i usuwaj wiadomości po przeniesieniu dokumentu do archiwum. Dostęp daj tym, którzy decydują o dopuszczeniu, a podwykonawca A nie powinien widzieć danych podwykonawcy B.
Błędnie wysłany e-mail ze skanami jest naruszeniem ochrony danych. Administrator ocenia ryzyko i zgłasza naruszenie do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób (art. 33 RODO). Przygotuj krótką procedurę: kto ocenia incydent, kto zgłasza go do UODO i kto informuje osoby, których dane dotyczą, gdy ryzyko dla nich jest wysokie (art. 34 RODO).
Jak długo przechowywać dokumenty i co zapisać w umowie?
Przepisy nie wyznaczają jednego okresu dla generalnego wykonawcy, więc obowiązuje zasada z art. 5 ust. 1 lit. e RODO: nie dłużej, niż wymaga cel. Praktyczny model: wykaz osób i terminy na czas robót, po ich zakończeniu usunięcie kopii, a zapis potwierdzający dopuszczenie (kto, kiedy, jakie wymagania) na okres, który uzasadnisz własną analizą. Punktem odniesienia bywają terminy przedawnienia z art. 118 KC: trzy lata dla roszczeń związanych z działalnością gospodarczą, sześć lat ogólnie, z końcem roku kalendarzowego. To wskazówka, nie obowiązek. Pracodawca-podwykonawca przechowuje swoje akta według odrębnych zasad.
W umowie podwykonawczej opisz zakres danych, cel, kanał przekazywania, okres usunięcia i obowiązek poinformowania pracowników o przetwarzaniu przez generalnego wykonawcę (art. 14 RODO). Umowa powierzenia jest potrzebna tylko wtedy, gdy ktoś rzeczywiście przetwarza dane na czyjeś polecenie, na przykład dostawca systemu. Systemy takie jak Atestero ograniczają krążenie skanów po skrzynkach, bo dokumenty trafiają w jedno miejsce z rolami dostępu, ale nie zastępują decyzji, jakie dokumenty w ogóle zbierać.
Co zbierać, a czego nie zbierać od podwykonawcy
| Dane lub dokument | Zbierać? | Uwagi |
|---|---|---|
| Imię i nazwisko, firma zatrudniająca, stanowisko lub rodzaj prac | Tak | Potrzebne do przypisania osoby do zakresu robót i kontroli wejścia. |
| Data i rodzaj szkolenia BHP, termin ważności | Tak | Wystarczy karta, zaświadczenie lub oświadczenie podwykonawcy z datami. Oryginał zostaje w aktach pracodawcy. |
| Orzeczenie lekarskie: zdolność do pracy na stanowisku, data następnego badania | Minimum | Najlepiej potwierdzenie od podwykonawcy. Kopia tylko z zasłoniętym PESEL i adresem. |
| Uprawnienia kwalifikacyjne (UDT, SEP, inne): rodzaj, numer, ważność | Tak | Kopia lub zapis danych. Zasłoń informacje zbędne do oceny. |
| Dokument tożsamości | Nie kopiować | Sprawdzenie ze zdjęciem przy wejściu, bez skanowania i archiwizacji. |
| Numer PESEL | Co do zasady nie | Podstawa z art. 22¹ KP dotyczy pracodawcy. Do identyfikacji użyj numeru z wykazu osób. |
| Wyniki badań, dokumentacja medyczna, zwolnienia lekarskie | Nie | Dane szczególnej kategorii (art. 9 RODO), zbędne do decyzji o dopuszczeniu. |
| Adres zamieszkania, numer konta, wynagrodzenie, treść umowy o pracę | Nie | Zbędne dla celu BHP. Status zatrudnienia potwierdza oświadczenie podwykonawcy. |
| Dokumenty cudzoziemca (pobyt, zezwolenie, oświadczenie o powierzeniu pracy) | Zakres uzgodnić | Kopie dokumentów pobytowych przechowuje podmiot powierzający pracę, z wyjątkami z art. 4 ust. 5 (art. 4 ust. 2–4 ustawy z 20.03.2025 r.). Zwykle potwierdza to podwykonawca. |
To ostrożna praktyka oparta na zasadzie minimalizacji, a nie lista wskazana wprost w przepisach. Zakres dostosuj do umowy, rodzaju prac i oceny inspektora ochrony danych.