Jak delegować pracowników bez naruszenia przepisów o ochronie danych osobowych?

Okoliczności, w których może wystąpić „transgraniczne” przetwarzanie danych

Administratorem danych osobowych jest sam pracodawca (art. 7 pkt 4 w zw. z art. 3 ust. 2 pkt 2 ustawy z dnia 29.08.1997 r. o ochronie danych osobowych). I to on jest odpowiedzialny za wszelkie naruszenia i nieprawidłowości w tym zakresie. Jak wynika z art. 7 pkt 6 ustawy o ochronie danych osobowych odbiorcą danych natomiast jest każdy, komu udostępnia się dane osobowe, z wyłączeniem 5 kategorii osób wskazanych w tym przepisie.

Analizując przesłanki oddelegowania wynikające z Dyrektywy 96/71/WE Parlamentu Europejskiego i Rady z dnia 16 grudnia 1996 r. dotyczącej delegowania pracowników w ramach świadczenia usług do takich okoliczności należałoby zaliczyć przede wszystkim:

• „przekazanie” pracowników do pracy na rzecz podmiotu prowadzącego działalność / wykonującego usługi na terenie innego państwa członkowskiego w ramach umowy zawartej między przedsiębiorstwem delegującym a odbiorcą usług,
• delegowanie pracowników do zakładu albo przedsiębiorstwa należącego do grupy przedsiębiorców na terytorium Państwa Członkowskiego,
• wynajmowanie pracownika jako przedsiębiorstwo pracy tymczasowej lub agencja wynajmująca personel przedsiębiorstwu, prowadzącemu działalność gospodarczą lub działającemu na terytorium Państwa Członkowskiego.

Osobą, która może dysponować danymi osobowymi może być także np. osoba kierująca pracownikami w miejscu świadczenia przez nich pracy lub też np. biuro zajmujące się sprawami kadrowymi / płacowymi w państwie przyjmującym.

Jeśli więc dane pracowników oddelegowanych zostaną udostępnione któremukolwiek z w/w podmiotów, wówczas należy dopełnić wszelkich formalności. W przypadku zatrudnionych przez pracodawcę delegującego (np. osoba kierująca pracownikami) pamiętajmy przede wszystkim o upoważnieniu do przetwarzania danych. W przypadku podmiot zewnętrznego – o formalnym powierzeniu przetwarzania ściśle określonych danych.

Wspólnotowe zasady przetwarzania danych

Odnajdziemy je w dyrektywie 95/46/WE95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych. Wśród najistotniejszych należy wymienić:

• legalność pozyskiwania danych (m.in. jednoznaczna zgoda osoby, której dane dotyczą; konieczność realizacji umowy, której stroną jest osoba, której dane dotyczą; czy też wykonanie zobowiązania prawnego, któremu podlega administrator danych),
• jakość przetwarzania danych (rzetelność, zgodność z prawem, adekwatność oraz konkretny cel przetwarzania a także ograniczenie czasowe),
• szczególna ochrona tzw. wrażliwych danych osobowych,
• poufność i bezpieczeństwo danych osobowych – każde przetwarzanie danych osobowych musi być poprzedzone poleceniem administratora danych osobowych, osoba przetwarzająca te dane musi je zabezpieczyć przed zniszczeniem lub utratą albo przed dostępem osób nieuprawnionych,
• prawo do skorzystania ze środków sądowych w razie naruszenia praw, które jej przysługują w ramach przepisów krajowych dotyczących przedmiotowego przetwarzania danych oraz / lub do wypłaty odszkodowania za ich przetwarzanie niezgodne z prawem.

Jak ustanowił wspólnotowy prawodawca przetwarzanie danych przeprowadzane na odpowiedzialność administratora danych, który prowadzi działalność gospodarczą na terenie Państwa Członkowskiego, powinno być regulowane przez ustawodawstwo tego państwa.

Mając na uwadze doniosłość zagadnienia ochrony danych osobowych warto zabezpieczyć się przed jakimikolwiek uchybieniami. Pamiętajmy więc o przygotowaniu się do „migracji” danych osobowych do innego państwa członkowskiego.