Praca tymczasowa – status pracodawcy użytkownika w ujęciu RODO
Praca tymczasowa – uregulowana Ustawą z dnia 9 lipca 2003 r. o zatrudnianiu pracowników tymczasowych (dalej: „UZPT”) – tworzy trójpodmiotową strukturę, na którą składa się agencja pracy tymczasowej, pracodawca użytkownik oraz pracownik tymczasowy.
W ramach tej struktury pracownik tymczasowy – jako osoba fizyczna jest podmiotem, którego dane osobowe podlegają ochronie na mocy postanowień Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej: „RODO”).
Nie ulega też wątpliwości, iż agencja pracy tymczasowej – jako formalny pracodawca pracownika tymczasowego – jest administratorem jego danych osobowych.
Niejednoznaczny jest natomiast status pracodawcy użytkownika – czy jest on odrębnym od agencji zatrudnienia administratorem danych osobowych, czy też może przysługuje mu status podmiotu przetwarzającego?
W celu odpowiedzi na powyższe pytanie należy sięgnąć w pierwszej kolejności do definicji administratora oraz podmiotu przetwarzającego.
Co do zasady za administratora uznaje się podmiot, który ustala cele i sposoby przetwarzania danych osobowych (art. 4 p. 7 RODO).
Za podmiot przetwarzający uznaje się natomiast podmiot, który przetwarza dane osobowe w imieniu administratora (art. 4 p. 8 RODO).
Powyższe przepisy dają jasne wskazówki umożliwiające zidentyfikowanie roli danego podmiotu w konkretnym stosunku prawnym. Warto zauważyć, że ustaleń tych należy dokonywać w oparciu o prawa i obowiązki stron danego stosunku prawnego, które mogą wynikać wprost z przepisów prawa jak i z umowy zawartej między stronami.
W kontekście pracy tymczasowej proponuję skupić się na przepisach UZPT, które w mojej ocenie przesądzają, iż pracodawcę użytkownika należy uznać za administratora danych osobowych pracowników tymczasowych:
a) 2 p. 1) UZPT: „Użyte w ustawie określenia oznaczają: 1) pracodawca użytkownik – pracodawcę lub podmiot niebędący pracodawcą w rozumieniu Kodeksu pracy wyznaczający pracownikowi skierowanemu przez agencję pracy tymczasowej zadania i kontrolujący ich wykonanie;”,
b) 9 ust. 2a) UZPT: „Pracodawca użytkownik dostarcza pracownikowi tymczasowemu odzież i obuwie robocze oraz środki ochrony indywidualnej, zapewnia napoje i posiłki profilaktyczne, przeprowadza szkolenia w zakresie bezpieczeństwa i higieny pracy, ustala okoliczności i przyczyny wypadku przy pracy, przeprowadza ocenę ryzyka zawodowego oraz informuje o tym ryzyku.”,
c) 14 ust. 1) UZPT: „Pracodawca użytkownik wykonuje obowiązki i korzysta z praw przysługujących pracodawcy, w zakresie niezbędnym do organizowania pracy z udziałem pracownika tymczasowego.”,
d) 14 ust. 2) UZPT: „Pracodawca użytkownik: 1) jest obowiązany zapewnić pracownikowi tymczasowemu bezpieczne i higieniczne warunki pracy w miejscu wyznaczonym do wykonywania pracy tymczasowej; 2) prowadzi ewidencję czasu pracy pracownika tymczasowego w zakresie i na zasadach obowiązujących w stosunku do pracowników;”,
e) 14a UZPT: „Pracodawca użytkownik prowadzi ewidencję osób wykonujących pracę tymczasową na podstawie umowy o pracę oraz umowy prawa cywilnego, zawierającą informacje o dacie rozpoczęcia i dacie zakończenia wykonywania takiej pracy w okresie obejmującym 36 kolejnych miesięcy, o którym mowa w art. 20, oraz przechowuje tę ewidencję przez okres jej prowadzenia i przypadający bezpośrednio po nim okres 36 miesięcy.”
Jak widać pracodawca użytkownik posiada szerokie uprawnienia i liczne obowiązki w procesie organizacji pracy oraz operacyjnego zarządzania pracownikami tymczasowymi (lit. a – d powyżej). Trudno się dziwić takiemu ukształtowaniu tego zagadnienia, ponieważ to pracodawca użytkownik najlepiej zna procesy i mechanizmy funkcjonowania swojego przedsiębiorstwa, ma też świadomość zagrożeń związanych z wykonywaniem pracy na jego rzecz.
W mojej ocenie powyższe regulacje świadczą o niezależności pracodawcy użytkownika w zakresie organizacji, nadzoru i rozliczania pracy wykonywanej przez pracowników tymczasowych. W praktyce niezależność ta przejawia się w podejmowaniu przez pracodawcę użytkownika działań na danych osobowych w imieniu własnym, na potrzeby realizacji definiowanych samodzielnie procesów gospodarczych. W ujęciu przepisów RODO, takie ukształtowanie pozycji pracodawcy użytkownika świadczy o statusie administratora danych osobowych.
Pracodawcę użytkownika należy również uznać za administratora z uwagi na obowiązek prowadzenia ewidencji osób wykonujących na jego rzecz pracę tymczasową (lit. e powyżej). Obowiązek ten jest skorelowany z limitami czasowymi dopuszczalnego korzystania przez pracodawcę użytkownika z pracy tymczasowej tej samej osoby – co do zasady przez łączny okres 18 miesięcy w okresie kolejnych 36 miesięcy. Jest to obowiązek prawny nałożony wprost na pracodawcę użytkownika i ma na celu umożliwienie weryfikacji przestrzegania przez pracodawcę użytkownika powyższych limitów.
Podsumowując powyższe rozważania wydaje się w pełni uzasadnione twierdzenie, że w przypadku pracy tymczasowej zarówno agencji pracy tymczasowej jak i pracodawcy użytkownikowi przysługuje status administratora danych osobowych pracowników tymczasowych. Niestety na tym stwierdzeniu nie możemy zakończyć powyższych rozważań. Wynika to z faktu przyjęcia przez Urząd Ochrony Danych Osobowych bardzo nieprecyzyjnego stanowiska dotyczącego zagadnienia pracy tymczasowej (zawartego w opublikowanym poradniku: „Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców.”).
Z jednej strony Urząd przyznaje, że pracodawcy użytkownikowi przysługuje status administratora, z drugiej jednak wskazuje, że „stosunek pracy tymczasowej wymaga, aby agencja zawarła z pracodawcą użytkownikiem umowę powierzenia przetwarzania danych osób świadczących pracę tymczasową, która określałaby zakres i cel przetwarzania przez niego danych.”
W mojej ocenie kategoryczny pogląd, że stosunek pracy tymczasowej implikuje wprost i w każdym przypadku obowiązek zawarcia pomiędzy agencją a pracodawcą użytkownikiem umowy powierzenia przetwarzania danych osobowych jest co najmniej wątpliwy.
Konieczność zawarcia umowy powierzenia powinna wynikać z elementów konkretnego stanu faktycznego, w którym pracodawca użytkownik realizowałby pewne prawa lub obowiązki agencji pracy tymczasowej w jej imieniu oraz w zakresie celów i sposobów przetwarzania danych osobowych definiowanych właśnie przez agencję.
W związku z tym, aby przyjąć poprawność stanowiska przyjętego przez Urząd należałoby wyodrębnić jakiekolwiek czynności realizowane przez każdego pracodawcę użytkownika na danych osobowych pracowników tymczasowych w imieniu każdej agencji pracy tymczasowej (oraz w zakresie celów i sposobów określonych przez agencję).
Jak wcześniej wskazano za tego typu czynności nie można uznać czynności związanych z organizacją pracy oraz koordynacją i nadzorem nad pracownikami tymczasowymi, a także czynności ewidencyjnych, które stanowią przejaw działania pracodawcy użytkownika jako administratora danych osobowych.
Niestety stanowisko Urzędu nie zawiera żadnych sugestii w zakresie tego, o jakie czynności mogłoby chodzić. Mimo wieloletniej współpracy zarówno z agencjami pracy tymczasowej jak i pracodawcami użytkownikami bardzo trudno znaleźć tego typu czynności, które miałyby niejako charakter generalny (mający zastosowanie do każdego przypadku).
W związku z powyższym zastosowanie stanowiska Urzędu w praktyce do typowego układu pracy tymczasowej jest praktycznie niemożliwe.
Na marginesie powyższych rozważań warto wskazać, że brak w typowej relacji pomiędzy agencją pracy tymczasowej a pracodawcą użytkownikiem czynności stanowiących przejaw powierzenia przetwarzania danych osobowych oczywiście nie oznacza, iż podmioty te nie mogą w konkretnym przypadku ukształtować wzajemnych praw i obowiązków tak, aby jednemu z nich (a nawet obu) przysługiwał status podmiotu przetwarzającego. Taki status wynikałby jednak z postanowień konkretnej umowy, a nie z charakteru typowego stosunku prawnego dotyczącego pracy tymczasowej.
Autor: Michał Łysakowski, Partner w Kancelarii AT LAW Łysakowski Zajkowski Radcowie Prawni Spółka Partnerska