Przypomnijmy, pracodawca jako administrator danych jest zobowiązany do zastosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. W szczególności chodzi tu o zabezpieczenie danych przed ich (art. 33 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, Dz. U. Nr 133, poz. 833; dalej: „ustawa”):

• udostępnieniem osobom nieupoważnionym,
• zabraniem przez osobę nieuprawnioną,
• przetwarzaniem z naruszeniem ustawy,
• zmianą,
• utratą,
• uszkodzeniem lub
• zniszczeniem.

Przepisy ustawy nie zakazują przekazania danych osobowych firmie zewnętrznej. Wręcz przeciwnie- art. 31 ust. 1 ustawy stanowi, że administrator danych ma prawo (w drodze zawartej na piśmie umowy) powierzyć ich przetwarzanie innemu podmiotowi. A zatem, biuro księgowości może zająć się prowadzeniem dokumentacji pracowniczej jedynie na podstawie pisemnej umowy z pracodawcą.

Przekazując dane do biura księgowego, pracodawca nie musi zabiegać o uzyskanie zgody osoby, której dane te dotyczą (pracownika). Ustawa wymaga natomiast, aby umowa łącząca zleceniodawcę i zleceniobiorcę wyraźnie określała zakres i cel przetwarzania danych.

Kolejną sprawą, o której należy pamiętać, jest udzielenie pełnomocnictwa do przetwarzania danych. Zgodnie bowiem z art. 37 ustawy, do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. Pracodawca musi więc wystawić stosowny dokument, z którego treści wynikać będzie, iż dane biuro jest uprawnione do przetwarzania danych osobowych jego podwładnych.

Imienne upoważnienie może zostać wystawione jedynie właścicielowi biura księgowego. Trzeba jednak pamiętać, że prowadzeniem dokumentacji pracowniczej zleceniodawcy przeważnie zajmują się pracownicy biura, którzy również muszą być uprawnieni do przetwarzania otrzymanych danych. Dlatego też w treści upoważnienia powinno znaleźć się miejsce dla klauzuli upoważniającej właściciela biura do przekazania upoważnienia jego personelowi. Pogląd ten podziela Generalny Inspektor Ochrony Danych Osobowych.

Do obowiązków pracodawcy należy również prowadzenie ewidencji osób upoważnionych do przetwarzania danych, która powinna zawierać (art. 39 ust. 1 ustawy):

• imię i nazwisko osoby upoważnionej,
• datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych,
• identyfikator, jeżeli dane są przetwarzane w systemie informatycznym.

W sytuacji, gdy przetwarzanie danych powierzone zostało innemu podmiotowi zasadne wydaje się przyjąć, iż powyższe powinności związane z ewidencją osób upoważnionych spoczywają właśnie na tym podmiocie (biuro rachunkowe).

WAŻNE!

Przekazanie danych osobowych pracowników firmie zewnętrznej nie zdejmuje z pracodawcy odpowiedzialności za przestrzeganie przepisów ustawy. Szef nadal pozostaje administratorem danych, co nie wyklucza jednak odpowiedzialności biura księgowego za przetwarzanie ich niezgodnie z zakresem i celem uzgodnionym w umowie.