Temat: Umowa B2B

W przypadku pracowników (a właściwie podwykonawców) zatrudnionych na B2B (jednoosobowa działalność gospodarcza), którzy w związku z obowiązkami przetwarzają dane osobowe - należy podpisać umowę powierzenia przetwarzania czy wystarczy upoważnienie?
Mam wątpliwości, czy taki pracownik weźmie na siebie ciężar obowiązków procesora wg rodo.

Temat: Umowa B2B

Jest to powierzenie.
Osoba prowadząca JDG może rzeczywiście czuć się przytłoczona wymaganiami takiej umowy, ale moim zdaniem nic nie stoi na przeszkodzie, żebyście w umowie ustalili, w jakim zakresie jej w spełnieniu wymagań pomożecie.

Przecież możecie opracować dla tych ludzi gotowe, proste metodyki analizy ryzyka, określić minimalne wymagania dotyczące zabezpieczeń sprzętu i sieci, pomóc im informatycznie, dać procedury przechowania dokumentacji papierowej, transportu danych, niszczenia dokumentów i nośników, napraw sprzętu i urządzeń, zarządzania dostępem do pomieszczeń, szaf i biurek, opracować klauzule informacyjne dla podmiotów danych...

Temat: Umowa B2B

Adriana L.:
W przypadku pracowników (a właściwie podwykonawców) zatrudnionych na B2B (jednoosobowa działalność gospodarcza), którzy w związku z obowiązkami przetwarzają dane osobowe - należy podpisać umowę powierzenia przetwarzania czy wystarczy upoważnienie?

Odpowiedź na te pytania da analiza ryzyka jaką winniście wykonać w stosunku do współpracy z podmiotami obcymi. Jeśli tego nie zrobicie będzie występowało duży ryzyko naruszenia ochrony danych osobowych po waszej stronie.

Mam wątpliwości, czy taki pracownik weźmie na siebie ciężar obowiązków procesora wg rodo.

Jeśli nazywacie ich pracownikami, a zmuszacie do samozatrudnienia, to obchodzicie prawo.

ps.
Warto śledzić prace kodyfikacyjne nad nowym kodeksem pracy gdyż z pojawiających się informacji wynika, że z mocy prawa, umowy B2B będą traktowane jako umowy o pracę.

Temat: Umowa B2B

Zależy to pewnie od konkretnego przypadku, czyli na czym polega to przetwarzanie danych.

Inaczej podszedłbym do podwykownawcy świadczącego usłgi np. email marketingu, który w dodatku ma 100 innych klientów, a inaczej do informatyka, który opiekuje się moją siecią i serwerami.

RODO posługuje się pojęciem "personelu" a nie pracowników. IMHO nalezy założyć, że forma zatrudnienia jest drugorzędna. W przywołanym przykladzie - informatyk - prowadzący działalność jednoosobową jest w istocie zleceniobiorcą, więc zaliczyłbym go do personelu (pracowników). Forma prowadzonej przez niego działalności gospodarczej służy tylko celom podatkowym/ZUS. Dlatego uważam, że w takim wypadku wystarczy upoważnienie, ale z dobrze spisaną umową o poufności i ochronie danych oraz jego odpowiedzialnością w razie Wu.

Pozdrawiam,
Michał

Temat: Umowa B2B

Personel, to pojęcie które nie ma legalnej definicji. Z tego powodu należy posługiwać się znaczeniem językowym gdzie personel to zespół pracowników (sjp).

Rodo wyraźnie rozgranicza personel od zatrudnionego na podstawie umowy o świadczenie usług (art.37.6.)

Argumentacja iż forma prowadzenia działalności służy tylko celom podatkowym/ZUS jest przyznaniem do obchodzenia prawa (art.58 kc).

Temat: Umowa B2B

Michał S.:
Inaczej podszedłbym do podwykownawcy świadczącego usłgi np. email marketingu, który w dodatku ma 100 innych klientów, a inaczej do informatyka, który opiekuje się moją siecią i serwerami.

Dotychczas dominującą wykładnią byłą taka, że każdy, kto nie jest pracownikiem, jest procesorem.

Temat: Umowa B2B

Paweł G.:

Michał S.:
Inaczej podszedłbym do podwykownawcy świadczącego usłgi np. email marketingu, który w dodatku ma 100 innych klientów, a inaczej do informatyka, który opiekuje się moją siecią i serwerami.

Dotychczas dominującą wykładnią byłą taka, że każdy, kto nie jest pracownikiem, jest procesorem.

Zleceniobiorca też?! Pierwsze słyszę.

Temat: Umowa B2B

Radosław Z.:
Personel, to pojęcie które nie ma legalnej definicji. Z tego powodu należy posługiwać się znaczeniem językowym gdzie personel to zespół pracowników (sjp).

Rodo wyraźnie rozgranicza personel od zatrudnionego na podstawie umowy o świadczenie usług (art.37.6.)

Argumentacja iż forma prowadzenia działalności służy tylko celom podatkowym/ZUS jest przyznaniem do obchodzenia prawa (art.58 kc).

Skoro personel nie ma legalnej definicji, to dlaczego zakładasz, że dostarcza ją właśnie SJP? Czy to jest źródło obowiązujących definicji w PL, które legalizuje wszystkie niedookreślone prawem terminy?

To może dokonajmy analizy tego zdania w języku angielskim przywołanego przez Ciebie art. 37 ust. 6:

"The data protection officer may be a staff member of the controller or processor, or fulfil the tasks on the basis of a service contract."

I pytanie pomocnicze, dlaczego ustawodawca europejski posługuje się w jednym miejscu słowem staff (zespół, personel, załoga) a w innym słowem employee (pracownik) np. art. 39 ust 1 lit a.

No i na koniec fragment komentarza do rozporządzenia autorstwa Litwiński/Barta/Kawecki odnośnie przepisu kt przywołujesz:

[...] Ogólne rozporządzenie o ochronie danych nie definiuje pojęcia "personelu". Należy jednak przyjąć, że [...] bedzie chodziło o sytuację, w której inspektor ochrony danych będzie pracownikiem (niekoniecznie jako strona umowy o pracę, gdyż RODO uzywa pojęcia "personel" a nie "pracownik")[...]

Mam jeszcze takie pytanie: czy naprawdę uważasz, że prowadzenie dz. gospodarczej w PL jest obchodzeniem prawa?! No powiem Ci, że w takim razie mamy parę milionów przestępców hehe

Pozdrawiam,
MichałTen post został edytowany przez Autora dnia 20.03.18 o godzinie 18:16

Temat: Umowa B2B

Michał S.:

Skoro personel nie ma legalnej definicji, to dlaczego zakładasz, że dostarcza ją właśnie SJP? Czy to jest źródło obowiązujących definicji w PL, które legalizuje wszystkie niedookreślone prawem terminy?

Jeśli ustawa nie definiuje znaczenia jakiegoś zwrotu, to przyjmuje się wykładnię językową. SJP (podobnie PWN, WSJP, a nawet już Wiki itd.) jest uznanym publikatorem lecz jeśli masz inne określenie, to proszę zacytuj tamtą definicję i miejsce publikacji (a sprawę i tak rozstrzygnie sąd ;) )

To może dokonajmy analizy tego zdania w języku angielskim przywołanego przez Ciebie art. 37 ust. 6:

zgodnie z prawem UE wszystkie wersje językowa mają tą samą wartość. Jeśli są rozbieżności w interpretacji językowej nie można odwoływać się do tego języka w którym oznaczenie jest korzystniejsze dla cytującego.

I pytanie pomocnicze, dlaczego ustawodawca europejski posługuje się w jednym miejscu słowem staff (zespół, personel, załoga) a w innym słowem employee (pracownik) np. art. 39 ust 1 lit a.

Czytając kontekst (a to jest obowiązek) jednostki redakcyjnej można zorientować się, że użycie pojęcia personel jest użyte w odniesieniu do ogółu pracowników, zaś w cytowanym przepisie dotycz tej części pracowników którzy przetwarzają dane osobowe. Innymi słowy - pracowników, którzy nie przetwarzają danych osobowych ta jednostka redakcyjna nie dotyczy, choć są częścią personelu pracodawcy.

No i na koniec fragment komentarza do rozporządzenia autorstwa Litwiński/Barta/Kawecki odnośnie przepisu kt przywołujesz:

[...] Ogólne rozporządzenie o ochronie danych nie definiuje pojęcia "personelu". Należy jednak przyjąć, że [...] bedzie chodziło o sytuację, w której inspektor ochrony danych będzie pracownikiem (niekoniecznie jako strona umowy o pracę, gdyż RODO uzywa pojęcia "personel" a nie "pracownik")[...]

Wykładnia przepisów unijnych jest zastrzeżona do wyłącznej kompetencji TSUE (stąd pytania w trybie prejudycjalnym).

Mam jeszcze takie pytanie: czy naprawdę uważasz, że prowadzenie dz. gospodarczej w PL jest obchodzeniem prawa?! No powiem Ci, że w takim razie mamy parę milionów przestępców hehe

Włożyłaś w usta twierdzenie, którego nie napisałem. "Argumentacja iż forma prowadzenia działalności służy tylko celom podatkowym/ZUS jest przyznaniem do obchodzenia prawa (art.58 kc)." W tym stwierdzeniu oceniono argumentację, a nie fakt prowadzenia działalności.
"Za 'pracownika' należy uznać każdego, kto wykonuje konkretne i rzeczywiste zajęcie, z wyłączeniem działalności, której zakres jest na tyle ograniczony, że jest ona całkowicie marginalna i dodatkowa. Cechą charakteryzującą stosunek pracy jest fakt, że dana osoba wykonuje przez pewien okres na rzecz innej osoby i pod jej kierownictwem świadczenia, za które w zamian otrzymuje wynagrodzenie." (wyrok C-94/07 TS) W tego wyroku wynika, że zatrudnianie podwykonawców na B2B , którzy de facto wykonują pracę na rzecz i pod kierownictwem innej osoby za wynagrodzeniem jest obejściem prawa. To prowadzi do konkluzji, że tak, mamy parę (nie milionów, a) tysięcy pracodawców, którzy obchodzą prawo (to nie to samo co przestępca - patrz art.1§1 k.k.).

Temat: Umowa B2B

Michał S.:

Dotychczas dominującą wykładnią byłą taka, że każdy, kto nie jest pracownikiem, jest procesorem.

Zleceniobiorca też?! Pierwsze słyszę.

Możliwe, ale nie spotkałem jeszcze cywilisty, który uważałby inaczej. Warto też spojrzeć do tezy 3 do art. 31 uodo krótkiego komentarza Becka (Barta, Litwiński, wyd. 2).

Temat: Umowa B2B

Paweł G.:

Michał S.:

Dotychczas dominującą wykładnią byłą taka, że każdy, kto nie jest pracownikiem, jest procesorem.

Zleceniobiorca też?! Pierwsze słyszę.

Możliwe, ale nie spotkałem jeszcze cywilisty, który uważałby inaczej. Warto też spojrzeć do tezy 3 do art. 31 uodo krótkiego komentarza Becka (Barta, Litwiński, wyd. 2).

Znam firmę, która nie zatrudnia na umowę o pracę ani jednego pracownika (!). Zarząd jest powołany bez stosunku pracy a personel stanowią osoby zatrudnione na umowę zlecenia - jest ich ok. 20 osób. Firma - spółka z o.o. - jest oczywiście administratorem w rozumieniu RODO. Z Twojej wypowidzi wynika, że tych 20 osób są procesorami i spółka powinna zawrzeć z nimi umowy powierzenia. Nie zgadzam się z takmi poglądem.

Inna sytuacja. Mała spółka zatrudniająca 10 osób na umowe o pracę - głównie pracownicy fizyczni - korzysta z uslug księgowej, kadrowej i radcy prawnego. Osoby te wykonują umowy zlecenia. Czy w tym przypadku również mają zawrzeć umowy powierzenia?

Ostatecznie, to ADO decyduje kogo upoważnia do przetwarzania danych i robi to na własną odpowiedzialność. Nie wyobrażam sobie, żeby ktoś to podważył, uznając, że osoba fizyczna świadcząca zlecenie nie ma prawa do przetwarzania danych administrowanych przez ADO na mocy otrzymanego upoważnienia.

Pozdrawiam,
Michał

Temat: Umowa B2B

Michał S.:
Ostatecznie, to ADO decyduje kogo upoważnia do przetwarzania danych i robi to na własną odpowiedzialność. Nie wyobrażam sobie, żeby ktoś to podważył, uznając, że osoba fizyczna świadcząca zlecenie nie ma prawa do przetwarzania danych administrowanych przez ADO na mocy otrzymanego upoważnienia.

Podchodzisz do tematu od złej strony. Tu nie chodzi o ich prawo do przetwarzania tych danych, ale o ich obowiązki. Jaki tytuł prawny ma ADO, by wyegzekwować od tych ludzi przestrzeganie ustalonych przez niego zasad ochrony danych, jeżeli nie są jego pracownikami i nie muszą wykonywać jego poleceń służbowych? Czy te osoby ponoszą wobec ADO jakąkolwiek odpowiedzialność regresową, jeżeli z ich winy dojdzie do naruszenia ochrony danych?

Temat: Umowa B2B

Paweł G.:

[...]

Podchodzisz do tematu od złej strony. Tu nie chodzi o ich prawo do przetwarzania tych danych, ale o ich obowiązki.

Obowiązki są określone w umowie a dodatkowo oni zobowiązują się do ich przestrzegania podpisując oświadczenie o poufności i ochronie, deklarując dodatkowo świadomość odpowiedzialności wynikającą z przepisów UOD/RODO. KC, KK.

Jaki tytuł prawny ma ADO, by wyegzekwować od tych ludzi przestrzeganie ustalonych przez niego zasad ochrony danych, jeżeli nie są jego pracownikami i nie muszą wykonywać jego poleceń służbowych?

Ogólna odpowiedzialność odszkodowawcza na bazie prawa cywilnego oraz odpowiedzialność karna.

Czy te osoby ponoszą wobec ADO jakąkolwiek odpowiedzialność regresową, jeżeli z ich winy dojdzie do naruszenia ochrony danych?

Oczywiście, że ponoszą na bazie obowiązująego prawa. Dodatkowo można dla spokoju to przywołać w treści umowy zlecenia. Ja naprawdę nie widzę tu problemu a skąd inąd wiem, że jest to częsta praktyka stosowana w firmach.

Pozdrawiam,
MichałTen post został edytowany przez Autora dnia 21.03.18 o godzinie 17:07

Temat: Umowa B2B

Michał S.:

Podchodzisz do tematu od złej strony. Tu nie chodzi o ich prawo do przetwarzania tych danych, ale o ich obowiązki.

Obowiązki są określone w umowie

No to trzeba by przeczytać tę umowę. Jeżeli są w niej określone obowiązki związane z powierzeniem przetwarzania danych osobowych, to ok. Trzeba tylko pamiętać o art. 28 ust. 3 Rodo.

Ogólna odpowiedzialność odszkodowawcza na bazie prawa cywilnego

Musi być jeszcze wina.Ten post został edytowany przez Autora dnia 21.03.18 o godzinie 17:09

Temat: Umowa B2B

Paweł G.:

[...]

No to trzeba by przeczytać tę umowę. Jeżeli są w niej określone obowiązki związane z powierzeniem przetwarzania danych osobowych, to ok. Trzeba tylko pamiętać o art. 28 ust. 3 Rodo.

Panie Pawle, kurczowo trzyma się Pan instytucji powierzenia, kiedy w tym przypadku (i opisanych przeze mnie przykładach w/w) nie ma tego elementu. Obojętnie czy to jest umowa z osobą fizyczną czy osobą fizyczną prowadzącą dz. gosp. mamy tu do czynienia z umową zlecenia. To czy ktoś prowadzi działalność czy nie, wpływa jedynie na sposób rozliczenia podatków i ZUS a to jest wtórne dla RODO.

Przywołany przez Pana art. 28.ust.3 brzmi tak (fragment):
"Przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego [...]

IMHO nie bez powodu ustawodawca wskazuje tu na podmiot (osobowość prawna) a nie wymienia pracowników, osób fizycznych, personelu, etc

Ogólna odpowiedzialność odszkodowawcza na bazie prawa cywilnego

Musi być jeszcze wina.

Wina muszą być zawsze :)

Temat: Umowa B2B

Michał S.:
Obojętnie czy to jest umowa z osobą fizyczną czy osobą fizyczną prowadzącą dz. gosp. mamy tu do czynienia z umową zlecenia.

Otóż to. Administrator zleca przetwarzanie. Czyli przetwarzanie następuje w imieniu administratora. Każda relacja cywilnoprawna to przetwarzanie w imieniu administratora.

IMHO nie bez powodu ustawodawca wskazuje tu na podmiot (osobowość prawna)

Otóż to. Warunkiem posiadania osobowości prawnej nie jest prowadzenie DG.

Ogólna odpowiedzialność odszkodowawcza na bazie prawa cywilnego

Musi być jeszcze wina.

Wina muszą być zawsze :)

Nie będzie winy, kiedy nie nałożysz obowiązku związanego z przetwarzaniem. Musisz umową. Umową o pracę lub umową powierzenia. Tertium non datur.