RODO w kontekście zatrudnienia
reguluje sposób, w jaki pracodawcy przetwarzają dane pracowników: podstawy prawne wykraczające poza zgodę (umowa, obowiązek prawny, uzasadniony interes), informacje dotyczące przejrzystości, zasada minimalizacji, bezpieczeństwo oraz ścisłe ograniczenia dotyczące monitorowania. Przekazywanie danych kadrowych do dostawców usług płacowych i podmiotów świadczących usługi EOR wymaga zawarcia umów z podmiotami przetwarzającymi dane oraz zapewnienia zabezpieczeń związanych z przekazywaniem danych.
Najważniejsze przepisy dotyczące zatrudnienia
- Zgoda rzadko ma znaczenie: nierównowaga sił unieważnia większość zgód pracowników — należy opierać się na umowie, obowiązku prawnym i uzasadnionym interesie, dokumentując proces wyważenia tych czynników.
- Monitorowanie ma swoje granice: tajna lub powszechna inwigilacja nie sprawdza się; w Niemczech rady zakładowe współdecydują o stosowanych narzędziach; kryteriami są proporcjonalność i obowiązek powiadomienia.
- Dostawcy pełnią rolę podmiotów przetwarzających dane: firmy zajmujące się obsługą płac, EOR oraz świadczeniodawcy podpisują umowy na podstawie art. 28; przepływy transgraniczne wymagają standardowych klauzul umownych (SCC) lub stwierdzenia adekwatności.
- Wnioski dotyczące praw trafiają do działu kadr: wnioski o udostępnienie danych dotyczą wiadomości e-mail i plików dotyczących danej osoby — o tym, czy udzielenie odpowiedzi jest możliwe, decyduje okres przechowywania danych oraz ich struktura.
- Okres przechowywania danych zależy od ich przeznaczenia: dokumentacja płacowa jest przechowywana przez okresy określone przepisami, natomiast dane kandydatów – nie.
Najczęściej zadawane pytania
Czy możemy przekazywać dane pracowników do spółek należących do grupy za granicą?
Z zachowaniem środków zabezpieczających: decyzje o adekwatności, o ile zostały wydane, standardowe klauzule umowne oraz, w pozostałych przypadkach, oceny przekazywania danych, a także wiążące reguły korporacyjne dla grup o ugruntowanej pozycji. Przekazywanie danych wewnątrz grupy to przekazywanie danych — pojęcie „ta sama rodzina spółek” nie stanowi podstawy prawnej.
Jakie dane może przechowywać dostawca usług EOR lub usług płacowych?
Co jest potrzebne do świadczenia usługi: dane dotyczące tożsamości, umowy, dane bankowe, podatkowe i socjalne — na podstawie umowy o przetwarzaniu danych zawartej zgodnie z art. 28, z zapewnieniem przejrzystości w odniesieniu do podwykonawców przetwarzających dane oraz usunięciem danych w momencie zakończenia współpracy. Dział kadr po stronie klienta nie powinien bez uzasadnionego powodu odsyłać pełnego pliku płacowego; zasada minimalizacji danych obowiązuje w obu kierunkach.