Kodeks pracy nakłada na pracodawcę liczne obowiązki. Należy do nich m.in. konieczność prowadzenia dokumentacji w sprawach związanych ze stosunkiem pracy oraz akt osobowych pracowników. Niejednokrotnie pracodawcy korzystają z usług zewnętrznych biur prowadzących obsługę kadrowo – płacową. O czym pracodawca musi pamiętać w kontekście ochrony danych osobowych?

Administrator danych osobowych, osoby upoważnione do przetwarzania danych

Każdy ma prawo do ochrony dotyczących go danych osobowych. Obowiązująca od 1997r. ustawa w sposób ścisły reguluje procedury związane z dopuszczalnością i zakresem ich przetwarzania. Pracodawca jako administrator danych osobowych jest uprawniony do ich pozyskiwania na podstawie art. 221 kodeksu pracy, dodatkowa zgoda na dane „pracownicze” nie jest wymagana. W pozostałych przypadkach, do zgodnego z prawem dysponowania danymi, niezbędna jest zgoda pracownika wyrażona na podstawie art. 23 ustawy. Do przetwarzania danych w obrębie zakładu pracy mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. co wynika wprost z art. 37 ustawy. Upoważnienie muszą mieć te wszystkie grupy pracowników, które w ramach swoich obowiązków służbowych wykorzystują dane osobowe. Dotyczy to pracowników działu kadr, menedżerów zarządzających firmą, kierowników, informatyków, pełnomocników ds. informacji niejawnych oraz innych osób stale lub doraźnie zajmujących się przetwarzaniem danych osobowych pracowników.

Jak należy postąpić w przypadku outsourcingu usług?

W świetle art. 31 ustawy z dnia 29.08.1997 r. o ochronie danych osobowych administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Wówczas podmiot ten może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie. Przed rozpoczęciem przetwarzania danych jest obowiązany podjąć środki zabezpieczające zbiór danych oraz spełnić wymagania określone w odrębnych przepisach dotyczących zasad ich przechowywania. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych. Z punktu widzenia prawa pracy należy podkreślić, iż obowiązek zawarcia odrębnej umowy na przetwarzanie danych osobowych dotyczy głównie takich podmiotów, jak: biura rachunkowe, osoby wykonujące zadania służby bhp w zakładzie pracy (specjaliści spoza zakładu) czy też serwisanci systemów informatycznych.

Zdaniem GIODO

W kwestii konieczności zawarcia z podmiotem zewnętrznym prowadzącym obsługę księgową również umowy powierzenia przetwarzania danych osobowych wypowiedział się Generalny Inspektor Ochrony Danych Osobowych.

Zdaniem GIODO prowadzenie dokumentacji księgowej wiąże się nierozerwalnie z przetwarzaniem danych osobowych pracowników, dlatego też ma w tym zakresie zastosowanie art. 31 ustawy z dnia 29.08.1997r. o ochronie danych osobowych. GIODO podkreśla, iż pracodawca udostępniając dane osobowe pracowników podmiotowi zewnętrznemu w celu prowadzenia obsługi księgowej swojej dokumentacji ma obowiązek zawrzeć z nim odrębną umowę powierzenia danych osobowych. Często bowiem pracodawca mylnie uważa, że skoro udzielił podmiotowi zewnętrznemu pełnomocnictwa do jego reprezentowania (np. przed Urzędem Skarbowym i ZUS) we wszystkich sprawach związanych z prowadzeniem księgowości, to pełnomocnictwo to stanowi podstawę powierzenia przetwarzania danych osobowych. Jest to sprzeczne z ustawą o ochronie danych osobowych, gdyż jej przepisy wyraźnie wymagają, aby umowa powierzenia przetwarzania danych osobowych była odrębną umową.

Zobacz szkolenia:

• Czas pracy 2013 z uwzględnieniem zmian wynikających z nowelizacji Kodeksu pracy z dnia 12 lipca 2013 r.