Od 25 maja 2018 roku zaczęło obowiązywać RODO, czyli Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej jako „RODO”).

Nad wdrożeniem reformy systemu ochrony danych osobowych czuwało Ministerstwo Cyfryzacji, którego jednym z zadańbyłodostosowanie porządku prawnego do nadchodzącej rewolucji w zakresie ochrony danych osobowych. Zmiany jednak nie dotknęłyustawy z dnia 9 lipca 2003 roku o zatrudnianiu pracowników tymczasowych (dalej: uzpt), która to pośrednio wskazuje, jakie prawa i obowiązki związane z zatrudnianiem pracowników tymczasowych mają w świetle RODO agencja pracy tymczasowej (dalej APT) oraz pracodawcy użytkownicy(dalej PU). 

Najważniejszym dla statusu APT oraz PU w świetle RODO jest ustalenie ich wzajemnej relacji. W oparciu o art. 4 pkt 7-10 RODO, można wysunąć wniosek, że w związku z przetwarzaniem danych osobowych jest sposobnymwystępować w charakterze: administratora, podmiotu przetwarzającego, odbiorcy lub strony trzeciej. Dla RODO największe znaczenie ma posiadanie statusu administratora lub podmiotu przetwarzającego, gdyż to wobec nich są formułowane w RODO obowiązki – wdrożenie odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie odbywało się zgodnie z prawem, obowiązek informacyjny skierowany ku podmiotom danych (osobom fizycznym, których dane osobowe są przetwarzane), czy sankcje administracyjne, które będą mogły zostać nałożone przez właściwe organy nadzorcze. Występują jednak sytuacje polegające na tym, że podmioty przetwarzające dane mogą mieć więcej niż jeden status. Mamy z tym do czynienia w przypadku świadczenia usług APT oraz prowadzenia działalności w oparciu o korzystanie z usług pracowników tymczasowych przez PU. 

Zgodnie z art. 2 pkt 1 uzpt pracodawca użytkownik to pracodawca lub podmiot niebędący pracodawcą w rozumieniu kodeksu pracy, wyznaczający pracownikowi skierowanemu przez APT zadania i kontrolujący ich wykonanie. Formalnym pracodawcą pracowników tymczasowych jest APT, która zawiera z nimi umowę na mocy art. 7 ust. 1 uzpt orazkierujepracowników, aby świadczyli pracę na rzecz PU. APT przetwarza dane osobowe w celu, jakim jest zatrudnianie pracowników. Zawierając umowę cywilnoprawną z PU o skierowanie do niego pracowników tymczasowych, APT pozostaje administratorem danych osobowych tychże pracowników (tj. decyduje o celach i sposobach przetwarzania tych danych). PU, wchodząc w relację z APT, nie decyduje o celach przetwarzania danych osobowych pracowników samodzielnie- umowa z APT jest zawierana celem wyznaczania zadań pracownikowi tymczasowemu oraz kierowanie ich wykonaniem przez PU- takie też są cele przetwarzania przez niego danych osobowych pracowników. Skoro PU przetwarza dane osobowe w celach, które nie są przez niego wyznaczane samodzielnie i sposobami, których również nie ustala, musi występować w takim układzie jako podmiot przetwarzający. 

Tym samym przetwarza dane osobowe, które są niezbędne do wypełnienia umowy. Pomocniczo, do uzasadnienia uprawnienia w zakresie przetwarzania danych osobowych przez PU, można zastosować art. 14 ust. 1 uzpt, w którym to zostało wskazane, że PU wykonuje obowiązki i korzysta z praw pracodawcy w zakresie niezbędnym do organizowania pracy z udziałem pracownika tymczasowego- można wskazać, że danymi koniecznymi dla tego działania są: imię, nazwisko, adres do komunikacji w postaci numeru. Wątpliwym jest jednak udostępnianiePU przez APT numeru PESEL. 

Wyzwanie jednak, które pojawia się w opisywanej sytuacji,oparte jest na tym, że PU występuje ze względu na pełnioną funkcję w podwójnej roli tj. zarówno podmiotu przetwarzającego jak i administratora. Naszym zdaniem, przetwarzanie danych w celu organizacji pracy, prowadzenie ewidencji czasu pracy pracowników tymczasowych, sprawdzanie listy obecności w pracy są czynnościami przetwarzania, których PU dokonuje w imieniu administratora, tj. APT. Inaczej jednak kształtują się czynności, które PU wykonuje samodzielnie jako administrator. Zgodnie z uzpt, PU może przeprowadzać szkolenia w celu podnoszenia kwalifikacji zawodowych, zapewnić bezpieczne i higieniczne warunki pracy oraz środki ochrony indywidulanej. W tym zakresie, PU przetwarza dane w sposób, który mogą zapewnić mu status administratora. 

Problem, który materializuje się w związku działalnością APT i PU,sprowadza się jednak do konieczności prowadzenia ewidencji zatrudnienia pracowników tymczasowych(dalej: rejestr 18/36). Rejestr 18/36 ma na celu zabezpieczenie przed nadużywaniem formy zatrudnienia pracowników w formie zatrudnienia tymczasowego, aby nie wyparła onasposobuzatrudnienia, jaką jest umowa o pracę. Ustawodawca, przez ograniczenie czasowe zatrudnienia pracowników, daje wyraz swoim preferencjom, którymi są promowanie oraz dążenie do tego, aby pracownicy znaleźli stałą pracę. Zgodnie z art. 20 ust. 1: Agencja pracy tymczasowej może skierować danego pracownika tymczasowego do wykonywania pracy tymczasowej na rzecz jednego pracodawcy użytkownika przez okres nieprzekraczający łącznie 18 miesięcy w okresie obejmującym 36 kolejnych miesięcy. Analogiczny przepis znajduje się w art. 20 ust. 3, który odnosi się do PU: Pracodawca użytkownik może korzystać z pracy tego samego pracownika tymczasowego przez okres nieprzekraczający łącznie 18 miesięcy w okresie obejmującym 36 kolejnych miesięcy. 

Z nieprowadzeniem rejestru nie są związane bezpośredniożadne negatywne konsekwencje.Może to doprowadzić jednak do odpowiedzialności wykroczeniowej, która przewiduje wymierzenie grzywny w wysokości od 1000 do 30000 złotych, jeśli wspomniane przepisy dotyczące czasu zatrudnienia pracowników zostaną naruszone. Abyuniknąć tej odpowiedzialności, prowadzenie rejestru jest warunkiem niezbędnie koniecznym. Zgodnie z art. 5 ustawy o zatrudnianiu pracowników tymczasowych, w zakresie nieuregulowanym tą ustawą stosuje się odpowiednio przepisy kodeksu pracy. Aby rejestr 18/36 był prowadzony skutecznie,niezbędnym jest posiadanie w nim danych osobowych jednoznacznie identyfikujących pracownika tymczasowego (w rejestrze mogą znajdować się osoby o tym samym imieniu i nazwisku, a tym samym mogłoby to uniemożliwić skuteczną kontrolę tego, czy pracownicy użytkownicy nie przekraczają okresu zatrudnienia 18 miesięcy u danego pracodawcy w ciągu 3 lat). Zgodnie z art. 22§2 pkt 2 kodeksu pracy, pracodawca może żądać podania od pracownika numeru PESEL. Z tego też względu APT jako pracodawca ma możliwość skutecznego prowadzenia rejestru 18/36. Odmiennie jest jednak z PU. Z formalnego punktu widzenia nie jest on pracodawcą pracowników tymczasowych (umowa o pracę jest zawarta między APT a pracownikiem tymczasowym), a tym samym jest on uprawniony do przetwarzania danych osobowych w ograniczonym zakresie, ponieważ może przetwarzać wyłącznie te dane, które zostały mu powierzone przez APT. Zaistniała sytuacjazmusza do postawieniapytania: czy APT może udostępnić PU – jako administratorowi- numery PESEL swoich pracowników? 

Udostępnianie danych osobowych jest także ich przetwarzaniem. Aby przetwarzanie było dokonane zgodnie z prawem, administrator musi wykazać spełnienie jednej z przesłanek występujących w art. 6 (w przypadku tzw. danych osobowych zwykłych) lub art. 9 (w przypadku tzw. danych wrażliwych) RODO. PESEL jest daną osobową zwykłą. Ewentualnymi podstawami do takiego przetwarzania mogłyby być pkt. a, c i f art. 6 RODO, czyli kolejno: zgoda osoby na przetwarzanie, wykonywanie obowiązku prawnego ciążącego na administratorze,lub niezbędność przetwarzania do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez osobę trzecią.  

Z poszczególnymi podstawami przetwarzania wiążą się konkretne uprawnienia podmiotów danych. Ze zgodą np. wiąże się możliwość wycofania jej w każdych momencie, bez wpływu na ważność wcześniejszego przetwarzania. W przypadku jej wycofania administrator jest zobligowany do usunięcia bez zbędnej zwłoki przekazanych mu danych osobowych. Przyjmuje się jednak, że zgoda na przetwarzanie nie powinna być pobierana w sytuacji, w której administrator ma inną podstawę do przetwarzania- pracownik mógłby udzielić zgody na udostępnienie jego danych osobowych PU w celu prowadzenia przez tego ostatniego jego rejestru 18/36. Jednakże przy tego typu zgodzie, pracownik tymczasowy nie mógłby korzystać z dużej ilości swoich praw, które z udzieleniem zgody są związane (przykładowo, PU ma obowiązek prowadzenia rejestru 18/36, a tym samym ma legalizującą przetwarzanie przesłankę), stąd też udzielenie zgody na przekazanie w takim zakresie stanowiłoby pewną fikcję. Stąd zgoda na udostepnienie PU takich danych jak PESEL nie powinna być pobierana od pracowników przez APT. 

Aby prowadzić rejestr 18/36 APT może przetwarzać dane osobowe na mocy wykonywania obowiązku na niej ciążącego. Nie daje jej to jednak prawa do udostępnienia numeru PESEL PU jako administratorowi, gdyż jego obowiązek wynika z innej podstawy prawnej. Ostatnim przypadkiem, kiedy APT mogłaby udostępnić numer PESEL PU jest sytuacja, w której przetwarzanie byłoby niezbędne do celów wynikających z prawnie uzasadnionych interesów administratora lub strony trzeciej. RODO nie wskazuje w swojej części normatywnej, kiedy dochodzi do aktualizacji tej podstawy do przetwarzania. Wskazówkę interpretacyjną w tym zakresie stanowi motyw 47 RODO, gdzie wskazano, jak należy badać, czy podmiot danych może spodziewać się uzasadnionego interesu administratora w przypadku przetwarzania jego danych osobowych: „Abystwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu.”APT przez udostępnienie danych nie realizuje żadnych ze swoich słusznych interesów- posiada wszystkie dane potrzebne jej do realizacji swoich obowiązków. Rozważyć należy, czy takie przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów strony trzeciej. Strona trzecia została opisana w art. 4 pkt 10 RODO jako osoba fizyczna lub prawna, organ publiczny, jednostka lub podmiot inny niż osoba, której dane dotyczą, administrator, podmiot przetwarzający czy osoby, które- z upoważnienia administratora lub podmiotu przetwarzającego- mogą przetwarzać dane osobowe. PU jest administratorem danych w zakresie prowadzenia rejestru 18/36, jednakże w takiej sytuacji funkcjonuje względem APT jako osoba trzecia – osobny administrator. W tymprzypadku, wydaje się, że przetwarzanie polegające na udostepnieniu danych pracowników tymczasowych przez APTPU, jako stronie trzeciej, jest uzasadnione. Dodatkowo należy zastanowić się, czy pracownicy tymczasowi zatrudniani przez APT mogą spodziewać się przetwarzania swoich danych, opartego na ich udostępnianiu innemu administratorowi (a nie podmiotowi przetwarzającemu). Osoby mające zawrzeć umowę w charakterze pracowników tymczasowych przedstawiają zaświadczenia i świadectwa pracy, z których wynika, że nie naruszają przepisów o zatrudnianiu pracowników tymczasowych ze względu na okresy zatrudnienia. Obowiązek kontrolny w tym zakresie jak już wspomniano ciąży także na PU. W takiej sytuacji uzasadnionym jest spodziewać się tego, że dane osobowe zostaną udostępnione przez ich administratora, w celu kontrolowania przestrzegania przepisów prawa przez stronę trzecią. Dodatkowo, uzasadnione prawnie interesy mogą być oparte na podstawie ekonomicznej, faktycznej czy prawnej. Wskazuje to kolejny raz, że APT (jako administrator) może udostępnić dane PU, jako osobnemu administratorowi ze względu na jego podstawę prawną do takiego przetwarzania (interes oparty na prawie). 

Wątpliwości w tym zakresie może budzić jednak to, że skoro przetwarzanie danych, jakimi są numery PESEL (jako danych jednoznacznie identyfikujących osobę fizyczną) jest konieczne do zrealizowania obowiązku prawnego ciążącego na administratorze (PU), w takim razie to art. 6 ust. 1 lit c. powinienbyć przesłanką udostępnienia danych osobowych przez APT do PU. Jak jednak wyżej wskazano, podstawy takiego udostępnienia upatruje się w słusznie uzasadnionych interesach administratora lub strony trzeciej. W tym miejscu z pomocą może jednak przyjść wykładnia z konsekwencji (a fortiorityp a maiori ad minus). Jeśli administrator danych może udostępnić je stronie trzeciej w sytuacji, kiedy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów strony trzeciej, to tym bardziej takie udostępnienie jest możliwe w sytuacji, w której przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. W tym też zakresie możliwym jest przy udostępnieniu powołanie się na tę swoiście zmodyfikowaną przesłankę z art. 6 ust. 1 pkt f) RODO. 

Zastanowić się należy także nad innymi możliwościami pobrania danejidentyfikującej jednoznacznie jak numer PESEL. Najprostszą drogą jest zebranie tego numeru bezpośrednio od pracowników tymczasowych przez PU. W przypadku PU przesłanką legalizującą przetwarzanie danych osobowych pracownika celem prowadzenia rejestru 18/36 jest wykonywanie obowiązku prawnego ciążącego na administratorze opisanego w art. 20 uzpt. W takiej sytuacji PU, pobierając dane, jakimisą numery PESEL, jako administrator powinien spełnić obowiązek informacyjny względem osób, których dane pobiera do przetwarzania w charakterze administratora z uwzględnieniem tego, że przesłanką przetwarzania jest wypełnienie obowiązku prawnego ciążącego na administratorze. Obowiązek informacyjny ciąży na PU jako administratorze także w sytuacji, w której otrzymuje dane od APT. Obowiązek ten został szczegółowo opisany w art. 14 RODO, wraz z sytuacjami, kiedy jest wyłączone jego stosowanie. 

Rozważyć należy także inną drogę, która pozwoli na prowadzenie rejestru 18/36 przez PU zgodnie z RODO, a mianowicie zawarcie umowy powierzenia przetwarzania przez PU z APT. APT posiada wszystkie informacje potrzebne do prowadzenia rejestru 18/36 zarówno dla siebie, jak i PU. Jak ustalono wcześniej, można znaleźć dla niej przesłankę do udostępnienia danych, jakimi są numery PESEL PU. Problemem jest to, że opisana sytuacja bazuje na założeniu uproszczonym, według któregoPU współpracuje z jedną APT. W przypadku współpracy z wieloma APT, PU musiałby zawrzeć umowy powierzenia przetwarzania danych osobowych z każdą z nich (ponieważ różne agencje kierują do PU różnych pracowników). 

Konkludując, wskazać należy fakt, że w ustawie z 2003 roku dotyczącej zatrudniania pracowników tymczasowych mamy do czynienia z rzeczywistą luką prawną, która to uniemożliwia PU skuteczne prowadzenie rejestru 18/36 bez otrzymania informacji od APT, co do których pojawia się wątpliwość co do możliwości ich przekazania. Luka ta wymaga uzupełnienia w przepisach prawa, które zezwolą na udostępnianie przez APT PU danych jednoznacznie identyfikujących osoby, które znajdują się w rejestrze 18/36. Najlepszym rozwiązaniem jest przetwarzanie numeru PESEL, który APT może pobierać od pracowników tymczasowych, których zatrudnia. Zmiana ta mogłaby zostać wprowadzona w przepisach wprowadzających ustawę o ochronie danych osobowych. W przypadku jednak braku zmian w prawie, przetwarzanie w oparciu o sposób opisany powyżej wydaje się uzasadnione.