W poprzednim artykule poświęciliśmy uwagę zyskującej na popularności instytucji „body leasing”, starając się zidentyfikować role podmiotów zawierających umowę o świadczenie usług body leasing w przetwarzaniu danych osobowych „najmowanego” personelu. W niniejszym wpisie poruszymy kwestię upoważnienia takich osób do przetwarzania danych w przedsiębiorstwie, które korzysta z outsourcingu personelu.
Jak już wyjaśnialiśmy w poprzednim wpisie, zjawisko „body leasing” to umowa outsourcingowa, której przedmiotem jest udostępnianie personelu jednego przedsiębiorcy innemu w zamian za określone wynagrodzenie. Nie ulega wątpliwości, iż najmowany personel zazwyczaj będzie uczestniczyć w przetwarzaniu danych osobowych w przedsiębiorstwie odbiorcy usługi body leasing mając przykładowo dostęp do danych jego klientów. Powstaje zatem pytanie czy odbiorca taki winien upoważnić najmowany personel do przetwarzania danych osobowych i ująć go w ewidencji osób upoważnionych, czy też poprzestać na regulacjach zawartych w umowie z dostawcą usług outsourcingowych, a w szczególności umowie powierzenia przetwarzania danych osobowych?
Nadawanie najmowanemu personelowi upoważnień do przetwarzania danych osobowych i ujmowanie ich w ewidencji osób upoważnionych będzie zależało od charakteru świadczonej przez te osoby pracy. Jeśli bowiem najmowany personel będzie świadczyć usługi w ramach infrastruktury podmiotu korzystającego z usługi body leasing (w szczególności w jego siedzibie, na sprzęcie stanowiącym jego własność i z przydzieleniem adresu e-mail opartego na domenie stanowiącej własność tego podmiotu), to zajdzie konieczność upoważnienia najmowanego personelu do przetwarzania danych osobowych. Jest to uzasadnione o tyle, że odbiorca usług outsourcingowych administruje wówczas co do zasady danymi najmowanego personelu, posiadając przy tym kontrolę nad procesem przetwarzania znajdujących się w swoich zasobach danych osobowych przez taki personel. Nie będzie dochodziło w takim przypadku do powierzania (w drodze umowy) przetwarzania danych osobowych dostawcy usługi body leasing, pod warunkiem jednak, że personel ten będzie świadczył usługi na rzecz odbiorcy poza infrastrukturą dostawcy usługi body leasing.
Natomiast w przypadku, gdy praca prowadzona będzie przy użyciu infrastruktury podmiotu udostępniającego personel (w jego pomieszczeniach lub na jego sprzęcie), to nie będzie potrzeby nadawania takiemu najmowanemu pracownikowi upoważnienia do przetwarzania danych osobowych przez odbiorcę usługi body leasing – wówczas zajdzie konieczność zawarcia pomiędzy stronami umowy outsourcingu personelu umowy o powierzeniu przetwarzania danych osobowych – w zgodzie z art. 28 RODO. Podmiotem upoważniającym najmowany personel do przetwarzania danych osobowych ujawnionych przez odbiorcę usługi body leasing będzie wówczas dostawca usługi body leasing.
W praktyce model „body leasing” może dostarczać bogatych rozwiązań i przybierać różne konfiguracje, jak np. świadczenie pracy przez członka personelu 3 razy w tygodniu stacjonarnie u usługobiorcy i 2 razy w tygodniu w siedzibie swojego pracodawcy (usługodawcy) i to w ramach infrastruktury obydwu podmiotów. W takim wypadku - o ile mówimy o tych samych kategoriach danych osobowych, kategoriach podmiotów danych, tych samych celach przetwarzania - zasadnym wydaje się zastosowanie jednego kompleksowego mechanizmu legitymizującego przetwarzanie danych osobowych przez personel, jakim jest umowa powierzenia przetwarzania danych osobowych (DPA). W razie gdy usługi świadczone onsite i zdalnie wiążą się z przetwarzaniem różnych danych (nieobjętych w całości DPA), zajdzie zaś co do zasady konieczność zastosowania obydwu przywołanych rozwiązań prawnych, tj. nadania personelowi przez „tymczasowego pracodawcę” upoważnienia do przetwarzania danych osobowych oraz powierzenia przez „tymczasowego pracodawcę" (usługobiorcę) przetwarzania danych osobowych „stałemu pracodawcy" najmowanego pracownika (usługodawcy), który w zależności od przyjętego z własnym personelem modelu współpracy, będzie ten personel upoważniał do przetwarzania danych osobowych albo dokonywał dalszego powierzenia przetwarzania takich danych.
Jak widać z lektury obydwu wpisów poświęconych instytucji body leasing w kontekście RODO, dostosowanie się do wymogów unijnego rozporządzenia będzie wymagało najczęściej dokumentowego „obudowania się” stron umowy outsourcingowej, wcześniej zaś, przeprowadzenia pogłębionej analizy prawnej zasad współpracy w triadzie: dostawca usługi body leasing - personel - odbiorca usługi body leasing.
Data publikacji: 25.08.2018.