Spółka zatrudniająca pracowników chce przekazać obsługę kadrowo-płacową firmie zewnętrznej. Wiąże się to z udostępnieniem danych osobowych swoich pracowników. Czy pracodawca musi uzyskać zgodę od każdego zatrudnionego, którego dane dotyczą, na przekazanie ich firmie zewnętrznej?
Nie. Zatrudniający nie musi uzyskać indywidualnej zgody od każdego podwładnego (zarówno na przekazanie danych, jak i ich przetwarzanie przez inny podmiot). Pracodawca powinien jednak zawrzeć z firmą zewnętrzną umowę o powierzeniu przetwarzania danych osobowych, co reguluje obecnie art. 31 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2016 r. poz. 922). Szczegółowa regulacja w tym zakresie znalazła się także w art. 28 unijnego rozporządzenia z 27 kwietnia 2016 r. o ochronie danych osobowych (Dz.Urz. UE L 119 z 4 maja 2016 r.), które wejdzie w życie 25 maja 2018 r. Zatrudniający muszą więc pamiętać o dostosowaniu obecnych umów o powierzeniu przetwarzania danych do nowych przepisów unijnych.
W omawianym przypadku istotne znaczenie ma to, że pomimo przekazania wspomnianych obowiązków firmie zewnętrznej, administratorem danych pracowników nadal pozostaje pracodawca. Dlatego też nie jest konieczne pozyskanie indywidualnych zgód od zatrudnionych. Ochronę ich danych osobowych zapewnia umowa o powierzeniu przetwarzania danych, która powinna mieć formę pisemną oraz musi szczegółowo określać zakres i cel przetwarzania przekazanych informacji. Co ważne, odpowiedzialność za przestrzeganie przepisów o ochronie danych osobowych pracowników ponosić będzie zarówno pracodawca, jak i firma zewnętrzna (w ograniczonym zakresie). Ta druga powinna zastosować odpowiednie środki techniczne i organizacyjne zapewniające ochronę i zabezpieczenie informacji, tj. przede wszystkim sprawować kontrolę nad tym, jakie dane przez kogo są przetwarzane i komu są przekazywane. Firma ta powinna również nadać stosowne upoważnienia do przetwarzania danych swoim pracownikom, którzy będą się tym zajmować (takich upoważnień nie nadaje zatem sam pracodawca). Jeśli zamierza ona powierzyć przetwarzanie tych informacji kolejnemu podmiotowi (tzw. subpowierzenie), konieczne jest wskazanie takiej możliwości w umowie z pracodawcą (ten ostatni musi wyrazić na to zgodę).