Jak przebiega rejestrowanie czynności przetwarzania w outsourcingu kadrowo-płacowym

Zatrudnianie pracowników czyli posiadanie statusu pracodawcy nakłada na podmiot zatrudniający szereg obowiązków wynikających z prawa pracy. Jak wiadomo stosunek pracy zachodzi między oznaczonymi personalnie stronami. W związku z powyższym w relacjach pracowniczych nieodłącznym elementem towarzyszącym realizacji przez pracodawcę obowiązków wynikających ze stosunku pracy jest przetwarzanie danych osobowych pracowników.

Prowadzenie spraw kadrowych, czy związanych z problematyką bhp może być prowadzone przez pracodawcę bezpośrednio, nie ma jednak przeciwwskazań aby określone zadania w powyższym zakresie były zlecone podmiotom zewnętrznym (za wyjątkiem przypadków gdy pracodawca nie ma możliwości delegowania zadań bhp specjalistom spoza zakładu pracy). Prowadzenie spraw kadrowych przez firmę zewnętrzną na rzecz pracodawcy tworzy w praktyce relację: pracodawca (administrator danych) - firma zewnętrzna zapewniająca obsługę kadrową (podmiot przetwarzający).

Zgodnie z art 30 RODO każdy administrator oraz - gdy ma to zastosowanie - przedstawiciel administratora prowadzą rejestr czynności przetwarzania danych osobowych za które odpowiadają. Zgodnie z art 30 ust 2 rozporządzenia RODO każdy podmiot przetwarzający oraz gdy ma to zastosowanie przedstawiciel podmiotu przetwarzającego prowadzą rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratora. Uwzględniając powyższe przepisy wskazują na dwa odrębne rodzaje rejestrów przetwarzania.

Problemem dla podmiotu przetwarzającego – w omawianym przypadku firmy zewnętrznej prowadzącej sprawy kadrowe może być właściwa ocena kategorii czynności przetwarzania danych. Problem w tym, że rozporządzenie RODO nakładające na potem przetwarzający obowiązek prowadzenia rejestru nie definiuje zarówno pojęcia „kategorii czynności przetwarzania” jak również pojęcia „kategorii przetwarzań”. Przyjmuje się, że kategoria czynności przetwarzania to rodzaj usługi wykonywanej przez podmiot przetwarzający na zlecenie administratora, jaka jest związana ze zleconymi czynnościami przetwarzania.

Na pracodawcy jako na administratorze spoczywa obowiązek prowadzenia rejestru czynności przetwarzania danych, natomiast podmiot zapewniający obsługę kadrową występujący w charakterze podmiotu przetwarzającego prowadzi rejestr kategorii czynności. W związku z tym że to administrator jest obowiązany prowadzić rejestr czynności przetwarzania, to można przyjąć, że czynności przetwarzania związane z sprawami kadrowymi, niezależnie od zapewniania obsługi przez firmę zewnętrzną, powinny być rejestrowane przez administratora. Przepisy regulujące zakres rejestru kategorii przetwarzania danych, który jest prowadzony przez podmiot przetwarzający nie przewidują obowiązku rejestrowania czynności przetwarzania.