Wprowadzenie limitu zatrudnienia tymczasowego nie tylko przez agencję pracy, lecz także przez pracodawców użytkowników spowodowało u tych drugich lawinowy wzrost biurokracji. Muszą oni kontrolować, czy nie korzystali z pracy danej osoby więcej niż 18 w ciągu kolejnych 36 miesięcy oraz prowadzić i przechowywać ewidencję pracowników tymczasowych obejmującą informację o dacie rozpoczęcia i zakończenia przez nich pracy. Za naruszenie tych przepisów grożą kary.
Od 1 czerwca limit zatrudnienia tymczasowego dotyczy już nie tylko – jak było do tej pory – agencji pracy tymczasowej, lecz także pracodawcy użytkownika. Agencja może skierować daną osobę do wykonywania pracy tymczasowej na rzecz jednego pracodawcy użytkownika, a pracodawca użytkownik może korzystać z pracy takiej osoby (bez względu na liczbę pośredników), tylko przez 18 w ciągu 36 kolejnych miesięcy. Ponadto pracodawcy użytkownicy muszą prowadzić ewidencje osób wykonujących pracę tymczasową, obejmujące informacje o dacie rozpoczęcia i zakończenia przez nie pracy nawet przez okres 6 lat. Za naruszenie tych obowiązków zarówno agencjom, jak i pracodawcom użytkownikom grozi kara grzywny od 1 tys. do 30 tys. zł.
Na rynku pojawiły się więc pomysły, jak ułatwić spełnianie nowych wymogów. Jednym z nich jest korzystanie przez agencje i pracodawców-użytkowników z internetowych baz danych tworzonych przez podmioty zewnętrzne, obejmujących informacje o pracownikach tymczasowych i pracodawcach, u których byli zatrudnieni. Tak działa m.in. platforma internetowa Jobel.pro. Przy czym baza danych dotycząca konkretnego pracownika tymczasowego jest dostępna dla wszystkich agencji, które uprzednio wskazał dany pracodawca użytkownik.
Zapytaliśmy więc generalnego inspektora ochrony danych osobowych, czy takie bazy danych są dopuszczalne na gruncie przepisów o ochronie danych osobowych. GIODO wskazuje, że obecnie brak pełnych i szczegółowych informacji dotyczących sposobu przetwarzania danych osobowych za pośrednictwem bliżej nieokreślonego systemu, którego usługi oferowane są za pośrednictwem strony internetowej https://jobel.pro . Przez to w chwili obecnej udzielenie rzetelnej i merytorycznej, a tym bardziej wiążącej odpowiedzi na zadane pytanie, nie jest możliwe. GIODO zapewnia jednak, że sprawę zbada z urzędu. Zaznacza przy tym, że konieczne jest ustalenie podstawy prawnej przetwarzania danych osobowych pracowników tymczasowych w internetowej bazie pracowników tymczasowych, a także tego, czy stworzenie takiego narzędzia informatycznego jest rzeczywiście niezbędne do osiągnięcia celu, jakim jest unikanie kar finansowych. Wątpliwości co do istnienia podstawy prawnej gromadzenia danych pracowników tymczasowych w tej formie mają również eksperci.
Stanowisko generalnego inspektora ochrony danych osobowych
Z dostępnych informacji wynika, że platforma Jobel.pro została stworzona w celu uniknięcia możliwych kar finansowych za nieprzestrzeganie przez pracodawcę użytkownika przepisów ustawy z dnia 9 lipca 2003 r. o zatrudnianiu pracowników tymczasowych [t.j. Dz.U. z 2016 r. poz. 360 ze zm. – red.], dotyczących prowadzenia ewidencji osób wykonujących pracę tymczasową (art. 14a) oraz ustanawiających ograniczenia okresu wykonywania pracy na rzecz konkretnego pracodawcy użytkownika (art. 20). Podstawą prawną do nałożenia takich kar na pracodawcę użytkownika jest art. 27b ust. 2 pkt. 1 i 3 tej ustawy. Nasuwa się jednak pytanie, czy stworzenie takiego narzędzia, które będzie zbierało ogromną ilość danych osobowych pracowników tymczasowych i udostępniało je określonym agencjom, jest rzeczywiście niezbędne do osiągnięcia zamierzonego celu, jakim będzie uniknięcie kary finansowej.
Z przepisów powołanej ustawy nie wynika bowiem, aby agencje pracy tymczasowej, do których również odnoszą się zawarte w art. 20 ustawy ograniczenia związane z dopuszczalnym okresem wykonywania przez pracownika tymczasowego pracy na rzecz konkretnego pracodawcy użytkownika, i związane z tym kary określone w art. 27a pkt. 5 i 6, mogły mieć dostęp do danych udostępnianych bezpośrednio przez pracodawców tymczasowych. Stanowią one jedynie, że na potrzeby zawarcia umowy o pracę lub umowy prawa cywilnego między agencją pracy tymczasowej a osobą, której ma być powierzone wykonywanie pracy tymczasowej, agencja ustala łączny okres pracy dotychczas wykonywanej przez taką osobę na rzecz danego pracodawcy użytkownika (art. 11a). Wskazują, że to osoba, której ma być powierzone wykonywanie pracy tymczasowej, przedkłada agencji świadectwa pracy lub inne dokumenty potwierdzające okresy wykonywania pracy tymczasowej na rzecz danego pracodawcy użytkownika (art. 11b). (...)
W powyższej sprawie istotne byłoby ustalenie podstawy prawnej przetwarzania danych osobowych pracowników tymczasowych we wskazanej internetowej bazie pracowników tymczasowych, czyli kwestii spełnienia jednej z przesłanek legalności przetwarzania takich danych osobowych określonych w art. 23 ust. 1 pkt 1-5 ustawy o ochronie danych osobowych (oczywiście przy założeniu, że będą to jedynie dane zwykłe, a nie dane szczególnie chronione, o których mowa w art. 27 tej ustawy). Konieczne byłoby ponadto uzyskanie informacji dotyczących zasad przetwarzania i zakresu przetwarzanych danych osobowych, ich retencji, roli poszczególnych podmiotów biorących udział w przetwarzaniu danych osobowych, sposobu realizacji innych obowiązków, w tym informacyjnego, oraz obowiązku zabezpieczenia takich danych przed dostępem osób nieupoważnionych.
GIODO, nie negując istoty tworzenia rozwiązań czy narzędzi informatycznych ułatwiających realizację nowych obowiązków nałożonych zarówno na pracodawców użytkowników, jak i agencje pracy tymczasowej, wskazuje jedynie, że musi się to odbywać z poszanowaniem przepisów prawa w zakresie ochrony danych osobowych.
Ponieważ wskazany przypadek wzbudził zaniepokojenie GIODO, organ do spraw ochrony danych osobowych postanowił, że zajmie się tą sprawą z urzędu i dokładnie ją przeanalizuje. Jednocześnie GIODO liczy na współpracę w tym zakresie ze strony Ministerstwa Rodziny, Pracy i Polityki Społecznej oraz Państwowej Inspekcji Pracy, z którą ściśle współpracuje na mocy zawartego w grudniu 2012 r. porozumienia.
OPINIA EKSPERTA
Michał Kluska adwokat, associate w kancelarii Domański Zakrzewski Palinka / Dziennik Gazeta Prawna
Tworzenie baz danych osobowych pracowników tymczasowych nie będzie jeszcze naruszać przepisów ustawy o ochronie danych osobowych. Wszystko zależy jednak od tego, w jaki sposób ułożony jest cały proces lub usługa tworzenia baz.
Dostawca tego typu rozwiązania najczęściej występuje w roli administratora danych osobowych, a zatem przede wszystkim musi mieć podstawę do tego, aby dane pracownika tymczasowego umieścić w bazie po to, by świadczyć usługę dla innych agencji pracy tymczasowej lub pracodawców. Posiadanie podstawy prawnej jest fundamentem budowania usługi (tworzenia baz danych) i jest istotne również z punktu widzenia pracodawców użytkowników tychże usług. Jednak wskazanie takiego przepisu/ów nie jest w tym przypadku zadaniem łatwym. Warto pamiętać o dualizmie agencji i pracodawcy w jednym podmiocie, co w odniesieniu do szerokiego orzecznictwa dotyczącego zgody pracownika w relacji do pracodawcy (kwestionowania dobrowolnego, swobodnego charakteru wyrażenia zgody) może skutecznie wykluczyć tę przesłankę. Pracownikowi tymczasowemu przysługują wszystkie prawa osób, których dane dotyczą, takie jak np. prawo sprzeciwu, i wtedy de facto pozostanie jedynie przesłanka prawnie usprawiedliwionego celu (a ciężar wykazania tegoż leży po stronie administratora).
Trzeba zwrócić uwagę na jeszcze jedną ważną kwestię. Otóż dostawcy usług i aplikacji polegających na tworzeniu baz danych również muszą przygotować się do zmian, jakie przynosi RODO. Po 25 maja 2018 r. istotnie zmienia się również ryzyko związane z funkcjonowaniem tego typu usług (ryzyko finansowe na poziomie do 20 mln euro). Agencje pracy tymczasowej mogą rozważyć wdrożenie m.in. instytucji współadministratora danych osobowych (wspólnego decydowania o celach i środkach w odniesieniu do wspólnego zbioru danych osobowych pracowników tymczasowych).
OPINIA EKSPERTA
Tomasz Ochocki ekspert ds. ochrony danych, administrator bezpieczeństwa informacji w organizacji pozarządowej / Dziennik Gazeta Prawna
Tworzenie internetowych baz danych pracowników tymczasowych samo w sobie nie stanowi naruszenia przepisów o ochronie danych osobowych, niemniej jednak proces ich gromadzenia i dalszego udostępniania powinien być należycie uregulowany. Rzeczą podstawową jest, aby podmiot prowadzący przedmiotową bazę posiadał podstawę prawą do przetwarzania danych osób będących pracownikami tymczasowymi. W analizowanym przypadku przesłanką legalizującą przekazanie danych osobowych do podmiotu prowadzącego internetową bazę będzie art. 23 ust. 1 pkt 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922 ze zm.), tj. zgoda osoby, której dane dotyczą. Powyższe oznacza, że to pracownik tymczasowy może (natomiast nie musi) złożyć swojemu pracodawcy oświadczenie woli, na mocy którego jego dane osobowe zostaną przekazane do internetowej bazy. Co ważne, zgodnie z treścią art. 24 ww. ustawy pracownik tymczasowy winien zostać poinformowany m.in. o celu zbierania danych, a w szczególności o przewidywanych odbiorcach lub kategoriach odbiorców danych, tj. podmiotów, które wejdą w posiadanie jego danych osobowych. Sam właściciel internetowej bazy w momencie utrwalenia danych pracownika tymczasowego ma obowiązek udzielić mu informacji o: adresie swojej siedziby i pełnej nazwie; celu i zakresie zbierania danych, a w szczególności o odbiorcach lub kategoriach odbiorców danych; źródle danych; prawie dostępu do treści swoich danych oraz ich poprawiania; możliwości złożenia sprzeciwu wobec przetwarzania danych osobowych w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych.
Należy pamiętać, że na podmiocie prowadzącym internetową bazę pracowników tymczasowych, jako na administratorze danych w rozumieniu art. 7 pkt 4 ww. ustawy, ciążą pozostałe obowiązki wynikające z tej ustawy, tj. konieczność ich zabezpieczenia (art. 36-39a) oraz obowiązek rejestracji zbioru w GIODO (art. 40-46f).