Body leasing, zwany także outsourcingiem pracowniczym, czyli wynajem specjalistów przez jedną firmę na rzecz drugiej, to coraz popularniejsze rozwiązanie na rynku pracy
Tak jak każde działanie związane z przepływem danych osobowych, wymaga ono przestrzegania zasad określonych w RODO. W tym artykule przedstawiamy kluczowe aspekty dotyczące ochrony danych osobowych w kontekście umów body leasingu.
Role administratora i podmiotu przetwarzającego
W przypadku body leasingu – w perspektywie przepisów o ochronie danych osobowych – najważniejsze jest prawidłowe określenie ról w procesie przetwarzania z uwzględnieniem przepisów o ochronie danych osobowych, w tym Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), stron w zakresie przetwarzania danych osobowych.
Role w przetwarzaniu danych osobowych
W body leasingu kluczowe jest prawidłowe określenie, kto pełni rolę administratora danych, a kto jest podmiotem przetwarzającym.
- Administrator danych to podmiot, który samodzielnie decyduje o celach i sposobach przetwarzania danych osobowych.
- Podmiot przetwarzający działa na zlecenie administratora, przetwarzając dane zgodnie z jego wytycznymi.
Decydujące znaczenie ma cel przetwarzania danych osobowych. Jeśli firma korzystająca z usług (usługobiorca) określa odrębne cele przetwarzania (np. onboarding, uczestnictwo w projektach wewnętrznych), działa jako odrębny administrator. Istnieją jednak odstępstwa od tej zasady w związku z korzystaniem z usług specjalistów w ramach outsourcingu pracowniczego, należy bowiem zwrócić uwagę że:
- Firma leasingująca
- Jest pracodawcą osoby oddelegowanej i administratorem jej danych osobowych, np. imienia, nazwiska czy danych kontaktowych, a także innych danych podanych w kodeksie pracy lub przepisach szczegółowych.
- To na niej spoczywają obowiązki wynikające z prawa pracy, w tym zapewnienie zgodności przetwarzania danych z RODO jako na samodzielnym administratorze.
- Firma korzystająca z usług pracowników specjalistów:
- Jeśli decyduje o celach przetwarzania danych pracownika (np. onboarding, uczestnictwo w projektach wewnętrznych), staje się niezależnym administratorem.
- Mimo iż dane pracownika w ramach body leasingu są przetwarzane w ramach ustaleń z firmą leasingującą, nie będzie konieczne zawarcie umowy powierzenia przetwarzania danych osobowych w związku z delegowaniem pracowników na podstawie umowy z firmą leasingującą, gdyż odbiorca usług sam określa cele przetwarzania, więc jest odrębnym administratorem.
Kiedy konieczna jest umowa powierzenia danych?
Umowa powierzenia danych osobowych jest niezbędna, jeśli oddelegowany pracownik korzysta z infrastruktury firmy leasingującej (np. sprzętu, systemów IT, oprogramowania) do celów świadczenia usług, w ramach których wykonuje czynności przetwarzania danych osobowych na rzecz klienta firmy leasingującej.
Kiedy tak się dzieje? W sytuacji, gdy pracownik specjalista mimo, iż świadczy usługi na rzecz zewnętrznej formy (firmy korzystającej z usług body leasingu) korzysta podczas tych czynności z zasobów firmy leasingującej. Wynika to z tego, iż w związku ze świadczeniem usług firma leasingująca w rezultacie wykonania usługi body leasingu będzie miała dostęp także do danych administrowanych przez firmę będącą klientem korzystającym z usług pracowników specjalistów (w tym do danych osobowych np. poprzez zapisanie ich lub dostęp do tych danych) – w związku z faktem, że pracownik przetwarza dane z wykorzystaniem zarządzanego przez firmę leasingującą systemu informatycznego lub innych środków mogących wiązać się z przetwarzaniem danych w rozumieniu RODO. W tym przypadku zawarcie umowy powierzenia będzie konieczne, gdyż dostęp do danych osobowych w ramach realizowanych zadań pracowników specjalistów, będzie wynikał z potrzeby realizacji celów klienta korzystającego z body leasingu (dostarczenie mu usługi lub rezultatów pracy pracownika specjalisty).
Jeśli chodzi natomiast o inne aspekty związane z przetwarzaniem danych samych pracowników specjalistów (wywiązanie się z obowiązków w zakresie wdrożenia pracownika, zapewnienie mu bezpieczeństwa BHP lub prowadzenia ewidencji przepracowanych godzin etc.) firma korzystająca z usług samodzielnie określa cele i sposoby przetwarzania danych, więc powinna być traktowana jako niezależny administrator.
O co należy zadbać przy body leasingu
Przy zawieraniu umowy body leasingu warto także pamiętać, aby wdrożyć:
- Upoważnienia do przetwarzania danych – oddelegowany pracownik powinien otrzymać upoważnienia od podmiotu, w którego infrastrukturze będzie przetwarzał dane osobowe (jeśli działa w oparciu o infrastrukturę firmy leasingującej, która działa jako procesor to ta firma powinna udzielić upoważnienie).
- Transparentność wobec pracownika i obowiązki informacyjne – firma leasingująca musi poinformować oddelegowanego pracownika o przetwarzaniu jego danych w kontekście współpracy z klientem.
- Dokumentacja RODO – brak jasnych regulacji wewnętrznych podmiotu świadczącego usługę body leasingu lub klienta, który korzysta z pracy pracowników specjalistów może prowadzić do niezgodności z przepisami. Dlatego konieczne jest przygotowanie lub aktualizacja dokumentów takich jak polityka ochrony danych osobowych, procedura nadawania upoważnień, rejestr czynności przetwarzania, czy klauzule informacyjne
Możliwe inne modele korzystania z pracowników w relacjach gospodarczych
Warto wskazać na marginesie, że oprócz możliwości korzystania z usług pracowników specjalistów w ramach body leasingu, na rynku istnieją inne możliwości, aby pozyskać wykwalifikowany personel do realizowanych projektów bez konieczności samodzielnego zatrudniania takich osób w oparciu o przepisy kodeksu pracy.
W praktyce często stosowanym modelem zbliżonym do body leasingu jest korzystanie z usług agencji pracy tymczasowej, która deleguje pracowników do pracodawcy użytkownika. Należy wskazać, że w zakresie ochrony danych osobowych w przedmiotowej relacji, nie ma także potrzeby zawierania umów powierzenia przetwarzania (każdy z podmiotów we wskazanej sytuacji działa jako odrębny administrator danych osobowych).
Mimo pewnych podobieństw związanych z w/w modelami pozyskiwania wyspecjalizowanych osób do realizacji zadań w organizacji należy jednak wskazać, że pracownicy kierowani z agencji pracy tymczasowej, której działalności regulowana jest przez ustawę z dnia 9 lipca 2003 r. o zatrudnianiu pracowników tymczasowych, do pracodawcy użytkownika, będą często różnili się profilem specjalizacji zawodowej. Korzystanie z usług pracowników specjalistów z zakresu IT jest bowiem częściej realizowane właśnie w modelu outsourcingu pracowniczego (body leasingu), gdyż świadczenie usług w tym zakresie możliwe jest zdalnie, z wykorzystaniem choćby narzędzi komunikacji elektronicznej, bez potrzeby adaptowania takiej osoby w strukturę podmiotu będącego klientem firmy leasingującej.
Podsumowanie
Body leasing to elastyczne narzędzie umożliwiające szybkie zaangażowanie specjalistów. Aby działał zgodnie z prawem, należy dokładnie przeanalizować przepływ danych osobowych, jasno określić role stron i zapewnić odpowiednią dokumentację. Kluczowe znaczenie ma tu cel przetwarzania danych – to on decyduje o tym, kto jest administratorem, a kto podmiotem przetwarzającym.
Dobrze przygotowana umowa body leasingu oraz właściwe podejście do ochrony danych osobowych minimalizują ryzyko prawne i zwiększają efektywność współpracy. W razie wątpliwości warto skonsultować się z ekspertem ds. ochrony danych lub prawnikiem.
