Procesy kadrowo-płacowe a ochrona danych osobowych - w praktyce
Przyspieszenie postępowań ws. przypadków nieprzestrzegania przepisów o ochronie danych osobowych i wprowadzenie kar finansowych to tylko niektóre założenia wstępnego projektu nowej ustawy o ochronie danych osobowych, który ma być przedstawiony w czerwcu 2017 roku. Proces legislacyjny zakończy się na początku 2018 r., natomiast sama ustawa powinna zacząć obowiązywać 25 maja 2018 r. Projekt ten ma wdrożyć rozporządzenie Unii Europejskiej przyjęte w maju 2016 r. czyli wprowadzić Nowy Krajowy System Ochrony Danych Osobowych.
Tymczasem już obecne przepisy ustawy o ochronie danych osobowych (Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. 1997 nr 133 poz. 883 z póź. zmianami), nakładają na pracodawców działających na terenie Polski gromadzących dane osobowe, szereg obowiązków. Przepisy jasno określają, że za spełnienie wszystkich wymagań ustawowych dotyczących ochrony danych osobowych pracowników, a także konsekwencje prawne za ich nieprzestrzeganie ponosi administrator danych osobowych czyli pracodawca. Warto więc upewnić się czy obowiązek ochrony danych osobowych pracowników jest realizowany prawidłowo.
Zgodnie z ww. ustawą danymi osobowymi są wszystkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.
Minimalne wymogi, jakie musi spełniać pracodawca - administrator danych osobowych
Musi on pamiętać o trzech kluczowych elementach, które stanowią absolutne minimum gwarantujące spełnienie wymogów Ustawy. Są to:
- Legalność przetwarzania danych osobowych
Każda osoba, której dane przetwarzamy musi wyrazić na to zgodę. Najlepiej, aby zgoda taka była częścią kwestionariusza osobowego, który jest pierwszym dokumentem, na podstawie którego wprowadzamy dane pracownika do naszego systemu.
- Obowiązek informacyjny
Polega na poinformowaniu osoby, od której są zbierane dane, o tym, kto jest administratorem tych danych oraz o prawie do wniesienia sprzeciwu na przetwarzanie swoich danych.
- Obowiązek zabezpieczenia przetwarzanych danych osobowych
Możemy wyodrębnić zabezpieczenia organizacyjne i fizyczne. Organizacyjnym zabezpieczeniem będzie przede wszystkim dokumentacja z zakresu ochrony danych osobowych czyli polityka bezpieczeństwa, instrukcja zarządzania systemem informatycznym, upoważnienia dla pracowników i rejestr upoważnień oraz umowy powierzenia. Z kolei zabezpieczeniem fizycznym jest system dostępu do zbiorów danych osobowych - zarówno tych papierowych jak i przetwarzanych w systemach informatycznych. Mowa tu o zabezpieczeniu pomieszczeń, szaf do przechowywania akt osobowych, komputerów i systemów, na których dane są przetwarzane, a także systemów dostępu uprawnionych osób, które to mają pisemne upoważnienia, udzielone przez administratora danych osobowych lub powołanego przez niego administratora bezpieczeństwa informacji (ABI).
Administrator danych ma także obowiązek przeprowadzania cyklicznych kontroli stanu bezpieczeństwa przetwarzanych danych osobowych, które zakończone są sporządzeniem sprawozdań. Audyt bezpieczeństwa teleinformatycznego powinien być przeprowadzany co najmniej raz na 5 lat.
Zwolnienia z obowiązku rejestracji zbioru danych
Pracodawca - określony w Ustawie jako administrator danych osobowych, art.7, pkt. 4 - który gromadzi dane osobowe tylko do celów kadrowo - płacowych jest zwolniony z obowiązku rejestracji zbioru danych u Generalnego Inspektora Ochrony Danych (GIODO), art. 43 ust. 1 pkt. 1-11 Ustawy.
Zgodnie z art.43, ust.1, pkt. 4 przywołanego przepisu, z obowiązku rejestracji zbioru danych są zwolnieni "administratorzy danych, przetwarzanych w związku z zatrudnieniem u nich, świadczeniem im usług na podstawie umów cywilnoprawnych, a także dotyczących osób u nich zrzeszonych lub uczących się".
Musimy jednak pamiętać, że art. 22 Kodeksu Pracy precyzyjnie wskazuje, jakiego typu dane pracodawca może zażądać od osoby podejmującej pracę. Wykroczenie poza wymieniony w Kodeksie zakres będzie naruszeniem prawa, a ponadto skutkuje koniecznością rejestracji zbioru danych osobowych.
Kary za nieprzestrzeganie obowiązku ochrony danych osobowych
Wykrycie nieprawidłowości w zakresie przetwarzania danych osobowych, może skutkować przede wszystkim wydaniem decyzji nakazującej zaprzestanie przetwarzania tych danych, co w praktyce prowadzi do utraty możliwości prowadzenia działalności. Ponadto po wykryciu nieprawidłowości, kontrolujący inspektor może zawiadomić o popełnianiu przestępstwa polegającego na przykładowo na niezgłoszeniu do rejestracji zbioru danych lub przetwarzaniu danych osobowych niezgodnie z Ustawą, niewłaściwego ich zabezpieczenia. Tego typu przestępstwo grozi karą pozbawienia wolności nawet do 2 lat oraz karą finansową w wysokości do 10.000 zł dla osób fizycznych prowadzących działalność gospodarczą oraz do 50.000 zł dla osób prawnych. Grzywna wyniesie do 50.000 zł w przypadku jednorazowego naruszenia i do 200.000 zł w przypadku wielokrotnego naruszenia obowiązków o charakterze niepieniężnym.
Outsourcing w zakresie ochrony danych osobowych
Outsourcing funkcji administratora bezpieczeństwa informacji (ABI) to sprawdzona i akceptowana przez GIODO forma przejęcia obowiązków związanych z ochroną danych osobowych. Możliwość powierzania tych obowiązków określa art. 31 ustawy o ochronie danych osobowych stanowiąc, że administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Główna zaletą tego rozwiązania jest umożliwienie administratorowi (pracodawcy) korzystanie z wiedzy i doświadczenia podmiotów wyspecjalizowanych w świadczeniu określonego rodzaju usług oraz zagwarantowanie bezpieczeństwa danych.
Autor: Ilona Węgłowska-Hajnus, Payroll Supervisor, Accace
Źródło: Accace
