Przetwarzanie danych osobowych przez inny podmiot wymaga umowy

Tak, gdyż obowiązek ten wynika z ustawy o ochronie danych osobowych, a prowadzenie dokumentacji księgowej wiąże się nierozerwalnie z przetwarzaniem danych osobowych pracowników.

Na podstawie art. 31 ust. 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, administrator danych (np. pracodawca) może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Niezbędnymi elementami tej umowy jest określenie celu, w jakim podmiot, któremu powierzono przetwarzanie danych, może je przetwarzać oraz zakresu powierzonych do przetwarzania danych. Podmiot ten może bowiem przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie. Powierzenie przetwarzania danych na podstawie umowy, o której stanowi art. 31 ustawy, w określonym w niej celu, jest działaniem prawnie dopuszczalnym i nie stanowi nieuprawnionego udostępnienia danych przez ich administratora innemu podmiotowi. Powierzenie przetwarzanych danych nie wymaga zgody osoby, której dane dotyczą.

Należy zauważyć, że, stosownie do art. 31 ust. 3 omawianej ustawy, podmiot podejmujący się przetwarzania danych na podstawie umowy powierzenia obowiązany jest zastosować środki zabezpieczające powierzony zbiór danych, gdyż w zakresie zabezpieczenia danych osobowych podmiot ten ponosi odpowiedzialność jak administrator danych. Musi zatem dbać o to, aby powierzone mu dane osobowe nie dostały się w ręce osób nieupoważnionych, bądź nie zostały uszkodzone lub zniszczone. Ponadto podmiot, któremu administrator danych powierzył ich przetwarzanie, odpowiada wobec administratora danych za przetwarzanie danych niezgodnie z zawartą umową.

Pracodawca, udostępniając dane osobowe pracowników podmiotowi zewnętrznemu w celu prowadzenia obsługi księgowej swojej dokumentacji, ma obowiązek zawrzeć z nim odrębną umowę powierzenia danych osobowych. Często bowiem pracodawca mylnie uważa, że skoro udzielił podmiotowi zewnętrznemu pełnomocnictwa do jego reprezentowania (np. przed urzędem skarbowym i Zakładem Ubezpieczeń Społecznych) we wszystkich sprawach związanych z prowadzeniem księgowości, to pełnomocnictwo to stanowi podstawę powierzenia przetwarzania danych osobowych. Jest to sprzeczne z ustawą o ochronie danych osobowych, gdyż jej przepisy wyraźnie wymagają, aby umowa powierzenia przetwarzania danych osobowych była odrębną umową.

Zdaniem Generalnego Inspektora Ochrony Danych Osobowych tylko umowa zawarta na piśmie, zawierająca zakres i cel, w jakim dane osobowe będą przetwarzane, może być podstawą powierzenia przez pracodawcę innemu podmiotowi przetwarzania danych osobowych pracowników w celu prowadzenia obsługi księgowej.

Opracował Maciej Kasperowicz