W typowej współpracy agencji pracy tymczasowej z pracodawcą użytkownikiem nie ma potrzeby zawierania umowy powierzenia przetwarzania danych osobowych. UODO sygnalizuje, że w tym modelu obie strony zwykle są samodzielnymi administratorami i działają we własnych celach. Umowa powierzenia ma sens tylko wtedy, gdy jedna strona przetwarza dane wyłącznie w imieniu i na rzecz drugiej.
Najczęstszy błąd: umowa powierzenia zamiast ustaleń administrator–administrator
Firmy często próbują podpisać umowę powierzenia „na wszelki wypadek”. To problematyczne, bo zaciemnia role i odpowiedzialności. Pracodawca użytkownik wykorzystuje dane pracowników tymczasowych do własnych procesów: organizacji pracy i BHP, ewidencji czasu, nadawania uprawnień dostępu, prowadzenia postępowań powypadkowych czy planowania zmian. To działania podejmowane na własny rachunek, co wskazuje na status administratora, a nie podmiotu przetwarzającego.
Równocześnie UODO zwraca uwagę, że żądanie pełnych akt osobowych, skanów paszportów czy zezwoleń na pracę bywa nadmiarowe względem celu bycia pracodawcą użytkownikiem. Zbyt szeroki transfer danych generuje niepotrzebne ryzyko i utrudnia wykazanie zasady minimalizacji.
Co ustalić zamiast DPA w relacji agencja–pracodawca użytkownik
Skoro strony zwykle są odrębnymi administratorami, kluczowe jest uregulowanie zasad udostępniania danych. To nie jest umowa powierzenia, lecz praktyczne postanowienia w umowie o współpracy lub aneksie.
- Zakres danych: wymień pola, które są niezbędne do dopuszczenia do pracy, BHP, ewidencji czasu i rozliczeń na linii agencja–pracodawca użytkownik. Unikaj całych teczek osobowych i skanów dokumentów tożsamości, jeśli nie są potrzebne.
- Cel i podstawa: opisz cele każdej strony własnymi słowami. Każdy administrator przetwarza dane we własnych, określonych celach.
- Kanały i bezpieczeństwo: wskaż, jak przekazywać dane (szyfrowanie, systemy), kto ma dostęp i jak długo utrzymujesz kopie robocze.
- Retencja: uzgodnij minimalne okresy przechowywania wynikające z procesów kadrowych i BHP po stronie każdej ze stron.
- Incydenty i reklamacje: opisz wymianę informacji o naruszeniach oraz obsługę żądań osób, których dane dotyczą, tak aby każda strona realizowała własny obowiązek.
Kiedy pojawia się prawdziwe powierzenie
Powierzenie występuje, gdy podmiot przetwarza dane wyłącznie w imieniu i na rzecz administratora, nie decydując o celach. Przykład praktyczny: jedna ze stron dostarcza i utrzymuje system lub usługę, w której przetwarza dane drugiej strony tylko technicznie, według jej instrukcji. W takiej sytuacji zawierasz umowę powierzenia, określając m.in. charakter i cel przetwarzania, zakres danych, czas trwania, zasady poufności i bezpieczeństwa.
Dla porównania: zewnętrzna firma prowadząca szkolenia BHP dla pracodawcy działa co do zasady jako podmiot przetwarzający i wymaga umowy powierzenia. Natomiast sam pracodawca użytkownik, który szkoli i prowadzi ewidencje we własnej strukturze, działa jako administrator.
Bezpieczny obieg danych w praktyce BHP
W praktyce BHP po stronie pracodawcy użytkownika mieszczą się m.in. szkolenia wstępne, dopuszczenie do pracy, organizacja stanowiska i ewidencje związane z czasem pracy oraz wypadkami. Do tych celów wystarczy zwykle ograniczony zestaw danych, a nie pełne akta. Warto też uporządkować obieg dokumentów i wiedzieć, które informacje są niezbędne na wejściu, o czym piszemy szerzej w materiale o procedurze przyjęcia pracownika tymczasowego i krokach BHP po stronie pracodawcy użytkownika.
Decyzja: jak szybko ocenić, co podpisać i co przekazać
- Opisz scenariusz: czy którakolwiek strona przetwarza dane wyłącznie w imieniu drugiej? Jeśli nie, prawdopodobnie nie ma powierzenia.
- Wypisz konkretne czynności po obu stronach: BHP, ewidencje, przepustki, rozliczenia. To ułatwi przypisanie roli administratora.
- Zdefiniuj minimalny zakres danych do każdego celu. Odrzuć żądania „pełnych akt”, jeśli nie są potrzebne do zadań użytkownika.
- Ustal formę: albo postanowienia o udostępnianiu danych administrator–administrator, albo umowa powierzenia, gdy spełnione są przesłanki powierzenia.
- Uzgodnij kanały przekazu i zabezpieczenia techniczne, w tym szyfrowanie i kontrolę dostępu.
- Opisz obsługę incydentów i zapytań osób, których dane dotyczą. Każda strona realizuje własne obowiązki informacyjne i reaguje w swoim zakresie.
FAQ
Czy agencja może przekazać pracodawcy użytkownikowi całe akta osobowe?
UODO podkreśla, że to nadmiarowe względem celu pełnienia roli pracodawcy użytkownika. W praktyce należy ograniczyć przekaz do danych niezbędnych do dopuszczenia do pracy, organizacji BHP i rozliczeń między stronami.
Czy wyniki badań profilaktycznych powinny trafiać do pracodawcy użytkownika?
Z uwagi na wrażliwy charakter danych zdrowotnych warto przekazywać wyłącznie informacje niezbędne do dopuszczenia do pracy w danym środowisku. Zakres należy zweryfikować z IOD i uzgodnionym celem.
Kiedy zawrzeć umowę powierzenia między agencją a pracodawcą użytkownikiem?
Gdy jedna strona rzeczywiście przetwarza dane wyłącznie w imieniu drugiej, np. utrzymuje system przetwarzający jej dane według instrukcji. Jeśli obie strony realizują własne cele kadrowe i BHP, działają jako odrębni administratorzy i zwykle wystarczą ustalenia o udostępnianiu danych.
Czy z firmą zewnętrzną prowadzącą szkolenia BHP trzeba zawrzeć umowę powierzenia?
W praktyce tak, jeśli firma przetwarza dane pracowników wyłącznie w imieniu pracodawcy, aby zrealizować szkolenie. W przypadku szkolenia przez pracownika wewnętrznego wystarczy upoważnienie do przetwarzania danych.
Podstawa prawna
RODO: art. 28 w zakresie umów powierzenia przetwarzania. Stanowiska UODO wskazujące, że w relacji agencja–pracodawca użytkownik współpraca nie musi opierać się na powierzeniu oraz że należy ograniczać zakres udostępnianych danych do celu pełnienia roli pracodawcy użytkownika.