Kogo pracodawca powinien upoważnić do przetwarzania danych osobowych zlecając obsługę kadrową firmie zewnętrznej

RADA

Powinni Państwo upoważnić imiennie do przetwarzania danych swoich pracowników jedynie właściciela biura księgowego. W tym upoważnieniu powinno jednak być przyznane właścicielowi biura uprawnienie do upoważnienia innych pracowników biura księgowego do przetwarzania danych pracowników Państwa firmy.

UZASADNIENIE

Administratorem danych osobowych pracowników, w rozumieniu przepisów o ochronie danych osobowych, jest pracodawca. W przypadku przeniesienia części obowiązków pracodawcy (prowadzenie dokumentacji kadrowej itp.) na firmę zewnętrzną (w tym przypadku biuro księgowe) mamy do czynienia z powierzeniem przetwarzania danych osobowych innemu podmiotowi. W tym przypadku wymagana jest pisemna umowa między administratorem danych osobowych (pracodawca) a firmą przetwarzającą te dane (biuro księgowe). Podmiot przetwarzający dane osobowe może je przetwarzać wyłącznie w zakresie i celu przewidzianych w tej umowie.

W przypadku przejęcia prowadzenia dokumentacji kadrowej, co jest związane z przetwarzaniem danych osobowych, biuro księgowe musi spełniać wiele wymagań nałożonych w ustawie o ochronie danych osobowych. Do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych (art. 37 ustawy o ochronie danych osobowych). Upoważnienie to powinno być odrębnym, szczególnym upoważnieniem. Nie wystarczy samo wskazanie takich obowiązków np. w zakresie obowiązków pracowniczych. Powinno ono określać konkretny zakres przetwarzania danych.

WAŻNE!

Przetwarzaniem danych osobowych pracowników mogą się zajmować jedynie osoby upoważnione do tego przez pracodawcę.

W przedstawionej sytuacji upoważnienia imienne dla pracowników biura księgowego do przetwarzania danych osobowych powinien wydać właściciel tego biura. Taką opinię wyraził także Generalny Inspektor Ochrony Danych Osobowych. Aby właściciel biura księgowego mógł wydać upoważnienie swoim pracownikom do przetwarzania danych osobowych, powinien zostać do tego uprawniony przez pracodawcę, który mu zlecił prowadzenie dokumentacji kadrowej.

Pracodawca jako administrator danych powinien m.in. prowadzić ewidencję osób upoważnionych do ich przetwarzania, która powinna zawierać:

• imię i nazwisko osoby upoważnionej,
• datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych,
• identyfikator, jeżeli dane są przetwarzane w systemie informatycznym.

Należy jednak przyjąć, że w przypadku powierzenia przetwarzania danych innemu podmiotowi, taką ewidencję prowadzi ten podmiot (biuro księgowe).

Mimo powierzenia przetwarzania danych osobowych pracowników innej osobie, na pracodawcy (administratorze danych) spoczywa odpowiedzialność za ich przetwarzanie zgodnie z przepisami. Nie wyłącza to jednak odpowiedzialności biura księgowego (przetwarzającego dane) za przetwarzanie danych osobowych niezgodnie z zawartą z pracodawcą umową.

Podstawa prawna

• art. 31, art. 36, art. 37, art. 39 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (DzU z 2002 r. nr 101, poz. 926 ze zm.).