Działalność biura rachunkowego ma specyficzny charakter w kontekście zabezpieczenia danych osobowych, bowiem podmiot ten przetwarza informacje uzyskane od klientów w celu realizacji konkretnej usługi, równocześnie jednak musi zachować odpowiednie środki bezpieczeństwa w odniesieniu do danych swoich pracowników. Czy zabezpieczenie dokumentacji pracowników w biurze rachunkowym wiąże się ze szczególnymi obowiązkami - piszemy na ten temat poniżej.
Zabezpieczenie dokumentacji pracowników w biurze rachunkowym – podstawy prawne
Tak jak inne podmioty prowadzące działalność gospodarczą, biura rachunkowe podlegają powszechnie obowiązującym przepisom, w tym także regulacjom dotyczącym odpowiedniego zabezpieczenia akt osobowych i dokumentacji pracowniczej. W tym kontekście w pierwszej kolejności należy odwołać się do Ustawy z dnia 26 czerwca 1974 roku – Kodeks pracy, zwanej dalej „kp”.
Na podstawie kp został wydany akt wykonawczy zawierający szczegółowe wytyczne w zakresie prowadzenia akt osobowych i dokumentacji pracowniczej oraz ich zabezpieczenia. Chodzi w tym przypadku o Rozporządzenie Ministra Rodziny, Pracy i Polityki Społecznej z dnia 10 grudnia 2018 roku w sprawie dokumentacji pracowniczej (Dz.U. poz. 2369), określane dalej mianem „rozp. z 10 grudnia 2018 roku”.
Oczywiście do biura rachunkowego będą miały w pełni zastosowanie postanowienia ujęte w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. L 119 z 4.5.2016, s. 1), zwanym potocznie „RODO”.
Obowiązki dotyczące zabezpieczenia akt osobowych i dokumentacji pracowniczej wynikające z prawa pracy
Biuro rachunkowe zatrudniające pracowników jest obowiązane przestrzegać przepisów prawa pracy, w tym kp, w zakresie dotyczącym prowadzenia i przechowywania akt osobowych i dokumentacji pracowniczej.
Ponadto, zgodnie z art. 94 pkt 9b kp, pracodawca ma obowiązek przechowywać dokumentację pracowniczą w sposób gwarantujący zachowanie jej poufności, integralności, kompletności oraz dostępności, w warunkach niegrożących uszkodzeniem lub zniszczeniem przez okres zatrudnienia, a także przez 10 lat, licząc od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł, chyba że odrębne przepisy przewidują dłuższy okres przechowywania dokumentacji pracowniczej.
Jak już wspomnieliśmy, przytoczone unormowania mają w pełni zastosowanie w odniesieniu do osób zatrudnionych w biurze rachunkowym na podstawie stosunku pracy. Dotyczy to również przepisów rozp. z 10 grudnia 2018 roku. Oznacza to zatem, że biuro rachunkowe jako pracodawca prowadzi oddzielnie dla każdego pracownika akta osobowe obejmujące:
część A – czyli dokumenty związane z ubieganiem się o pracę;
część B – w skład której wchodzą oświadczenia i dokumenty dotyczące nawiązania stosunku pracy i przebiegu zatrudnienia;
część C – w której gromadzi się oświadczenia i dokumenty dotyczące rozwiązania albo wygaśnięcia stosunku pracy;
część D – gdzie umieszcza się odpis zawiadomienia o ukaraniu oraz inne dokumenty związane z ponoszeniem przez pracownika odpowiedzialności porządkowej lub odpowiedzialności określonej w odrębnych przepisach, które przewidują zatarcie kary po upływie określonego czasu;
- część E- część ta obowiązuje od 20 marca 2023 roku i nalezy w niej przechowywać dokumenty wynikające z kontroli trzeźwości.
Należy podkreślić, że pracodawca prowadzi także – oddzielnie dla każdego pracownika – dokumentację w sprawach związanych ze stosunkiem pracy zawierającą m.in. ewidencję czasu pracy, wnioski pracownika dotyczące korzystania z określonych uprawnień, dokumenty związane z ubieganiem się i korzystaniem z urlopu wypoczynkowego, kartę wypłaconego wynagrodzenia i innych świadczeń.
Obecnie dokumentacja pracownicza może być prowadzona również w formie elektronicznej. Z tego względu w rozp. z 10 grudnia 2018 roku poświęcono odrębny rozdział dotyczący szczególnych wymagań prowadzenia i przechowywania dokumentacji pracowniczej we wskazanej formie. W myśl § 9 rozp. z 10 grudnia 2018 roku dokumentacja pracownicza w postaci elektronicznej powinna być prowadzona i przechowywana w systemie teleinformatycznym zapewniającym:
zabezpieczenie jej przed uszkodzeniem, utratą oraz nieuprawnionym dostępem;
integralność treści dokumentacji i metadanych polegającą na zabezpieczeniu przed wprowadzaniem zmian, z wyjątkiem zmian wprowadzanych w ramach ustalonych i udokumentowanych procedur;
stały dostęp do dokumentacji osobom do tego upoważnionym;
identyfikację osób mających dostęp do dokumentacji oraz rejestrowanie dokonywanych przez te osoby zmian w dokumentacji i metadanych;
skuteczne wyszukiwanie dokumentacji na podstawie metadanych przyporządkowanych do każdego dokumentu, zapisanych w odrębnym pliku XML;
wydawanie, w tym przez eksport w postaci elektronicznej, dokumentacji albo części dokumentacji w sposób określony w rozdziale 4 rozp. z 10 grudnia 2018 roku;
funkcjonalność wydruku dokumentacji.
Zabezpieczenie dokumentacji pracowników w biurze rachunkowym wynikające z RODO
Biuro rachunkowe świadczące usługi np. w zakresie prowadzenia dokumentacji pracowniczej na rzecz klientów jest zobowiązane wdrożyć określone procedury bezpieczeństwa wynikające z postanowień RODO. W istocie, jak już wspominaliśmy wcześniej przy okazji omawiania zabezpieczenia dokumentacji pracowniczej wynikającej z prawa pracy, biuro rachunkowe – występujące w roli administratora dla swoich pracowników – powinno stosować takie same zasady zapewnienia ochrony danych, jak w przypadku zleceń zewnętrznych.
Zgodnie z art. 32 RODO, uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, administrator, czyli w omawianym przypadku biuro rachunkowe wobec swoich pracowników, wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w tym między innymi w stosownym przypadku:
pseudonimizację oraz szyfrowanie danych osobowych;
zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;
regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.
Biuro rachunkowe wykonujące określone usługi związane z przetwarzaniem danych osobowych jest zobligowane prowadzić rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratora. Jednocześnie obowiązek ten dotyczy czynności realizowanych na danych osobowych pracowników biura rachunkowego. Istnieje wprawdzie możliwość zwolnienia z tego obowiązku dla podmiotów zatrudniających poniżej 250 osób (art. 30 ust. 5 RODO), jednakże konieczne jest wówczas spełnianie dodatkowych warunków, takich jak m.in. sporadyczny charakter przetwarzania lub brak przetwarzania danych wrażliwych. Przetwarzanie danych w biurze rachunkowym należy do specyfiki tej działalności, w konsekwencji nie można mu przypisać incydentalnego charakteru.
Przykład
Biuro rachunkowe świadczy na rzecz podmiotów zewnętrznych usługi finansowe, rozliczeniowe oraz w zakresie prowadzenia dokumentacji kadrowej i księgowej. W odniesieniu do powierzonych przez firmy danych osobowych dla celów realizacji obsługi kadrowej biuro prowadzi rejestr czynności przetwarzania danych osobowych odrębnie dla każdej firmy, z którą ma podpisaną umowę. W biurze jest zatrudnionych 12 osób na podstawie stosunku pracy. W odniesieniu do danych osobowych własnych pracowników biuro rachunkowe także powinno prowadzić wspomniany rejestr.
Rejestr czynności przetwarzania danych osobowych zawiera m.in. następujące informacje:
imię i nazwisko lub nazwę oraz dane kontaktowe podmiotu przetwarzającego lub podmiotów przetwarzających oraz każdego administratora, w imieniu którego działa podmiot przetwarzający, a gdy ma to zastosowanie – przedstawiciela administratora lub podmiotu przetwarzającego oraz inspektora ochrony danych;
kategorie przetwarzań dokonywanych w imieniu każdego z administratorów, czyli w przypadku biura rachunkowego będą to czynności o charakterze obsługi kadrowej oraz płacowo-księgowej;
jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, np. sposoby pseudonimizacji i szyfrowania danych, metody zapewnienia szybkiego przywrócenia dostępności danych w razie awarii, mechanizmy zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania.
Zabezpieczenie dokumentacji pracowników w biurze rachunkowym – podsumowanie
Biuro rachunkowe, które zatrudnia pracowników na podstawie umów o pracę, jest zobligowane stosować wszelkie przepisy prawa pracy dotyczące zabezpieczenia akt osobowych i dokumentacji pracowniczej – na zasadach określonych dla pracodawców.
Ponadto na biurze rachunkowym ciążą określone zobowiązania w powyższym zakresie przedmiotowym, które wynikają z RODO. Jedną z takich powinności jest prowadzenie rejestru czynności przetwarzania danych osobowych, który zawiera wymagane przepisami RODO informacje.
