Procesy kadrowo-płacowe a ochrona danych osobowych – w praktyce

Zwolnienia z obowiązku rejestracji zbioru danych

Pracodawca – określony w Ustawie jako administrator danych osobowych, art.7, pkt. 4 – który gromadzi dane osobowe tylko do celów kadrowo - płacowych jest zwolniony z obowiązku rejestracji zbioru danych u Generalnego Inspektora Ochrony Danych (GIODO), art. 43 ust. 1 pkt. 1-11 Ustawy.

Zgodnie z art. 43, ust.1, pkt. 4 przywołanego przepisu, z obowiązku rejestracji zbioru danych są zwolnieni „administratorzy danych, przetwarzanych w związku z zatrudnieniem u nich, świadczeniem im usług na podstawie umów cywilnoprawnych, a także dotyczących osób u nich zrzeszonych lub uczących się”.

Musimy jednak pamiętać, że art. 22¹ Kodeksu Pracy precyzyjnie wskazuje, jakiego typu dane pracodawca może zażądać od osoby podejmującej pracę. Wykroczenie poza wymieniony w Kodeksie zakres będzie naruszeniem prawa, a ponadto skutkuje koniecznością rejestracji zbioru danych osobowych.

Kary za nieprzestrzeganie obowiązku ochrony danych osobowych

Wykrycie nieprawidłowości w zakresie przetwarzania danych osobowych, może skutkować przede wszystkim wydaniem decyzji nakazującej zaprzestanie przetwarzania tych danych, co w praktyce prowadzi do utraty możliwości prowadzenia działalności. Ponadto po wykryciu nieprawidłowości, kontrolujący inspektor może zawiadomić o popełnianiu przestępstwa polegającego na przykładowo na niezgłoszeniu do rejestracji zbioru danych lub przetwarzaniu danych osobowych niezgodnie z Ustawą, niewłaściwego ich zabezpieczenia. Tego typu przestępstwo grozi karą pozbawienia wolności nawet do 2 lat oraz karą finansową w wysokości do 10.000 zł dla osób fizycznych prowadzących działalność gospodarczą oraz do 50.000 zł dla osób prawnych. Grzywna wyniesie do 50.000 zł w przypadku jednorazowego naruszenia i do 200.000 zł w przypadku wielokrotnego naruszenia obowiązków o charakterze niepieniężnym.

Outsourcing w zakresie ochrony danych osobowych

Outsourcing funkcji administratora bezpieczeństwa informacji (ABI) to sprawdzona i akceptowana przez GIODO forma przejęcia obowiązków związanych z ochroną danych osobowych. Możliwość powierzania tych obowiązków określa art. 31 ustawy o ochronie danych osobowych stanowiąc, że administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Główna zaletą tego rozwiązania jest umożliwienie administratorowi (pracodawcy) korzystanie z wiedzy i doświadczenia podmiotów wyspecjalizowanych w świadczeniu określonego rodzaju usług oraz zagwarantowanie bezpieczeństwa danych.

Autor: Ilona Węgłowska-Hajnus, Payroll Supervisor, Accace

Źródło: Accace

Sprawdź: Wskaźniki i stawki