Albo podwyżka dla administratora bezpieczeństwa informacji, albo więcej formalności

1 stycznia 2015 r. w życie wejdzie ustawa z 7 listopada 2014 r. o ułatwieniu wykonywania działalności gospodarczej (Dz.U. z 2014 r. poz. 1662; dalej: ustawa deregulacyjna), uszczegóławiająca m.in. zasady powoływania administratorów bezpieczeństwa informacji (dalej: ABI) określone w art. 36 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2014 r. poz. 1182; dalej: ustawa).

Do końca...

Przypomnijmy, iż zgodnie z art. 36 ust. 3 ustawy administrator danych powołuje ABI, który zgodnie z dotychczasowymi regulacjami miał za zadanie nadzorowanie przestrzegania zasad ochrony (tj. stosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną; zabezpieczanie danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem).

Administrator danych mógł nie wyznaczać ABI w sytuacji, gdy sam sprawował wskazane czynności.

...i od początku roku

W ustawie deregulacyjnej art. 36 ust. 3 ustawy został usunięty i zastąpiony art. 36a-36c, które bardziej szczegółowo warunkują sposób powoływania ABI oraz warunki, jakie musi spełniać.

Mimo wprowadzonej zmiany podtrzymana została zasada dobrowolności powoływania ABI w zależności od potrzeb administratora danych. Zaznaczyć należy jednak, iż zgodnie z nowym art. 36b ustawy w przypadku niepowołania ABI to administrator danych wykonuje jego zadania z wyłączeniem przygotowywania sprawdzania zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowania w tym zakresie sprawozdania dla administratora danych.

Nowo określone obowiązki ABI to:

1. Zapewnianie przestrzegania przepisów o ochronie danych osobowych, w szczególności przez:

a) sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych,

b) nadzorowanie opracowania i aktualizowania dokumentacji, o której mowa w art. 36 ust. 2, oraz przestrzegania zasad w niej określonych,

c) szkolenie osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych;

2. Prowadzenie rejestru zbiorów danych przetwarzanych przez administratora danych, z wyjątkiem zbiorów, o których mowa w art. 43 ust. 1 ustawy, zawierającego nazwę zbioru oraz informacje, o których mowa w art. 41 ust. 1 pkt 2-4a i 7 ustawy.

Jakie skutki

Nowelizacja może spowodować konieczność dostosowania obowiązków pracowniczych ABI zatrudnionych przed 1 stycznia 2015 r. z uwagi na rozszerzenie ich ustawowych obowiązków względem tych, które spoczywały na nich do tej pory. Ponieważ zmiana zakresu obowiązków stanowi pogorszenie ich warunków pracy w związku ze zwiększeniem zakresu odpowiedzialności za przygotowywane materiały, konieczne jest, aby pracodawcy dokonali odpowiedniej zamiany warunków pracy tych pracowników. Może to zostać dokonane na dwa sposoby. Oczywiście, jeżeli bierzemy pod uwagę dalsze zatrudnianie na tym stanowisku tej samej osoby. Inaczej będzie, jeśli nie spełnia ona nowych wymogów, wtedy pozostaje nam nowa rekrutacja.

Wariant I Porozumienie zmieniające

W pierwszej kolejności należy pracownikowi zaproponować zawarcie porozumienia zmieniającego z pracownikiem zatrudnionym na stanowisku ABI lub poprzez wręczenie takiemu pracownikowi wypowiedzenia zmieniającego. Dodatkowo w związku z art. 36a ust. 4 ustawy można powierzyć także inne obowiązki niż te wynikające z ustawy, pod warunkiem że te działania nie będą negatywnie wpływać na podstawowe obowiązki ABI.

Zawarcie porozumienia zmieniającego jest w praktyce najkorzystniejszą dla pracodawcy formą zmiany warunków pracy pracownika, gdyż pozwala na rozszerzenie obowiązków o zadania wymagane przez ustawę w terminie określonym przez strony, czyli można będzie dostosować obowiązki ABI do postanowień ustawy bezpośrednio po wejściu w życie tej ustawy, tj. 1 stycznia 2015 r. Pamiętać należy jednak, iż porozumienie zmieniające stanowi czynność dwustronną, w związku z czym pracownik musi wyrazić zgodę na zawarcie takiego porozumienia. Nie dla wszystkich pracowników musi to być korzystne, zwłaszcza gdy będzie dochodziło do rozszerzenia obowiązków ABI bez jednoczesnego wprowadzenia odpowiedniej rekompensaty finansowej poprzez zwiększenie wynagrodzenia w związku ze wzrostem obowiązków.

Wariant II Wypowiedzenie zmieniające

W przypadku kiedy pracownik nie wyrazi zgody na porozumienie zmieniające, pracodawca w celu dokonania zmian warunków pracy będzie zobligowany do złożenia wypowiedzenia zmieniającego na zasadach określonych w art. 42 ustawy z 26 czerwca 1974 r. - Kodeks pracy (t.j. Dz.U. z 2014 r. poz. 1502; dalej: k.p.). Pamiętać należy jednak, iż do takich wypowiedzeń stosuje się odpowiednio przepisy o wypowiedzeniach umów o pracę, co oznacza, iż takie wypowiedzenie musi być uzasadnione w sposób konkretny, prawdziwy i rzeczywisty. W omawianym przypadku samo uzasadnienie nie powinno być problemem, gdyż wynika ono wprost z ustawy nowelizacyjnej, tj. z powodu ustawowej zmiany zakresu obowiązków ABI. Niemniej jednak już sama ewentualna konieczność zastosowania wypowiedzeń zmieniających zgodnie z art. 42 k.p. niesie ze sobą inne rzeczywiste problemy dla pracodawców.

Pierwszym jest konieczność zastosowania okresu wypowiedzeń właściwego dla danego pracownika, w związku z czym możliwe jest, że część ABI będzie obejmował nawet 3-miesięczny okres wypowiedzenia. Wielu osobom nie uda się więc zmienić warunków pracy i płacy do 1 stycznia 2015 r. Złożenie wypowiedzeń zmieniających przed 17 grudnia 2014 r. pozwoli na skuteczną zmianę obowiązków pracowniczych wyłącznie w stosunku do tych, którzy legitymują się dwutygodniowym okresem wypowiedzenia.

A to oznacza, iż w przypadku pracowników, którym nie zmieniono warunków pracy, do końca ich okresów wypowiedzeń pracodawcy będą naruszać postanowienia ustawy, gdyż ABI nie będzie wykonywać swoich obowiązków. W takim wypadku uniknięcie naruszania postanowień ustawy możliwe jest na dwa sposoby:

a) zgodnie z nowym art. 36b ustawy w przypadku niepowołania ABI jego zadania osobiście wykonuje administrator danych, okoliczność niewykonywania przez ABI ustawowych zadań można uznać za równoznaczne z niepowołaniem go;

b) mniej problematycznym dla pracodawców rozwiązaniem jest możliwość powierzenia ABI zgodnie z art. 42 par. 4 k.p. innej pracy bez potrzeby dokonywania wypowiedzeń zmieniających. Zatem pracodawca może powierzyć dotychczasowemu ABI zadania, jakie będzie pełnił po okresie wypowiedzenia już w trakcie okresu wypowiedzenia. Wymagane jest w tym celu wyłącznie spełnienie przesłanki polegającej na uzasadnionych potrzebach pracodawcy. W omawianym przypadku niewątpliwie zachodzą potrzeby pracodawcy uzasadnione koniecznością dostosowania stanu faktycznego do stanu prawnego. Jest to zaraz po możliwości zawarcia porozumienia zmieniającego najskuteczniejsza forma implementacji nowych przepisów dotyczących ABI.

Ponadto należy zwrócić uwagę, iż po stronie pracodawcy w związku z koniecznością przedłożenia pracownikowi wypowiedzenia zmieniającego w omawianym przypadku powstaje dodatkowy problem. A chodzi o konieczność zastosowania art. 10 ustawy z 13 marca 2003 r. o szczególnych zasadach rozwiązywania z pracownikami stosunków pracy z przyczyn niedotyczących pracowników (Dz.U. nr 90, poz. 844 ze zm.; dalej: ustawa o zwolnieniach grupowych).

Zgodnie z tym przepisem powstaje obowiązek wypłaty odprawy w razie konieczności rozwiązania przez pracodawcę zatrudniającego co najmniej 20 pracowników stosunków pracy z przyczyn niedotyczących pracowników, jeżeli przyczyny te stanowią wyłączny powód uzasadniający wypowiedzenie stosunku pracy lub jego rozwiązanie na mocy porozumienia stron, a zwolnienia w okresie nieprzekraczającym 30 dni obejmują mniejszą liczbę pracowników niż określona w art. 1. Przepis będzie miał także zastosowanie do wypowiedzeń zmieniających, w przypadku gdy z uwagi na brak przejęcia tego wypowiedzenia przez pracownika dojdzie do rozwiązania stosunku pracy. Przede wszystkim należy pamiętać, iż w omawianym przypadku wypowiedzenie nie będzie składane pracownikowi z przyczyn leżących po jego stronie, w związku z czym zastosowanie będzie miał art. 10 ustawy o zwolnieniach grupowych, a pracodawca będzie zobowiązany wypłacić odprawę zgodnie z art. 8 tej ustawy w wysokości:

a) jednomiesięcznego wynagrodzenia, jeżeli pracownik był zatrudniony u danego pracodawcy krócej niż 2 lata;

b) dwumiesięcznego wynagrodzenia, jeżeli pracownik był zatrudniony u danego pracodawcy od 2 do 8 lat;

c) trzymiesięcznego wynagrodzenia, jeżeli pracownik był zatrudniony u danego pracodawcy ponad 8 lat.

Wariant III Nowa rekrutacja

Na zakończenie należy zauważyć, iż pracodawcy mogą - podobnie jak w dotychczasowym stanie prawnym - zrezygnować z zatrudniania ABI, pod warunkiem że jego obowiązki przejmie administrator danych. Ponadto niektórzy pracodawcy mogą być zobligowani do zmiany osoby pełniącej funkcję ABI, gdyż dotychczasowe przepisy nie stawiały żadnych szczególnych wymagań takim pracownikom. Z kolei od 1 stycznia 2015 r. każdy ABI będzie musiał cechować się:

1) pełną zdolnością do czynności prawnych oraz korzystaniem z pełni praw publicznych,

2) posiadaniem odpowiedniej wiedzy w zakresie ochrony danych osobowych,

3) niekaralnością za umyślne przestępstwo.

W praktyce może się zdarzyć, iż obecni ABI nie spełniają powyższych warunków, co obliguje pracodawcę do zmiany osoby pełniącej funkcję ABI lub rezygnację z powoływania ABI.

@RY1@i02/2014/240/i02.2014.240.217000300.803.jpg@RY2@

dr Marcin Wojewódka radca prawny w Kancelarii Prawa Pracy "Wojewódka i Wspólnicy" Sp. k.

dr Marcin Wojewódka

radca prawny w Kancelarii Prawa Pracy "Wojewódka i Wspólnicy" Sp. k.

@RY1@i02/2014/240/i02.2014.240.217000300.804.jpg@RY2@

Krzysztof Sosnowski aplikant radcowski w Kancelarii Prawa Pracy "Wojewódka i Wspólnicy" Sp. k.

Krzysztof Sosnowski

aplikant radcowski w Kancelarii Prawa Pracy "Wojewódka i Wspólnicy" Sp. k.