Przetwarzanie danych osobowych na umowie zlecenia i umowie o dzieło

Przetwarzanie danych osobowych na umowie zlecenia i umowie o dzieło regulowane jest bezpośrednio przepisami rozporządzenia RODO (rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)) oraz polskiej ustawy z dnia 10 maja 2018 roku o ochronie danych osobowych

W przeciwieństwie do zakresu danych osobowych, jakich pracodawca może żądać od kandydata do zatrudnienia czy pracownika, wskazanych w art. 22(1) kodeksu pracy, nie ma formalnego katalogu danych osobowych, jakich zleceniodawca może żądać od zleceniobiorcy czy zlecający dzieło do wykonania od wykonawcy dzieła. W tej sferze – zatrudnienia cywilnoprawnego – kwestię danych osobowych oraz ich gromadzenia i przetwarzania reguluje bezpośrednio rozporządzenie RODO, przy czym takiego katalogu danych osobowych w związku z umowami cywilnoprawnymi w nim nie ma.

O przetwarzaniu danych osobowych na umowach zlecenia mówimy więcej w naszym szkoleniu – szkolenie online RODO w kadrach i rekrutacji.

Przetwarzanie danych osobowych na umowie zlecenia i umowie o dzieło nie jest sprawą prostą. Samych cywilnoprawnych form zatrudnienia jest na tyle dużo, że w każdym wypadku należy osobo rozpatrywać zestaw danych osobowych, których pozyskanie i przetwarzanie jest niezbędne do realizacji danej umowy.

Przepisy prawa cywilnego gwarantują swobodę umów, polegającą na tym, że strony umowy cywilnoprawnej mogą „umawiać się, na co chcą i jak chcą”, byle nie sprzeciwiało się to charakterowi i naturze stosunku zobowiązaniowego. W zależności zatem od sytuacji i zawartej umowy cywilnoprawnej, będącej pozapracowniczą formą zatrudnienia, inne będą warunki realizacji umowy np. dla zlecenia, a inne dla dzieła, inne będą również w tym zakresie obowiązki zleceniodawcy (choćby obowiązek zgłoszenia zleceniobiorcy do ubezpieczeń w ZUS), a inne zlecającego dzieło do wykonania.

Przetwarzanie danych osobowych na umowie zlecenia i umowie o dzieło będzie uzależnione od tego, z kim taka umowa zlecenia czy umowa o dzieło zostaje zawarta – z osobą fizyczną nieprowadzącą działalności gospodarczej czy osobą fizyczną – przedsiębiorcą. Jeśli dwóch przedsiębiorców zawiera umowę zlecenia czy umowę o dzieło, to w ramach tej umowy są podmiotami równorzędnymi, działającymi niejako profesjonalnie. A skoro mają swobodę w zawieraniu umów cywilnoprawnych, jaką wprost dają im przepisy kodeksu cywilnego, to teoretycznie mogą swobodnie kształtować przetwarzanie danych osobowych na umowie zlecenia i umowie o dzieło. Tak jednak nie jest. Obowiązują tu pewne ograniczenia.

Przetwarzanie danych osobowych na umowie zlecenia i umowie o dzieło – zasady

To, że przepisy prawa cywilnego, regulujące umowy zlecenia i umowę o dzieło nie zawierają przepisów, dotyczących przetwarzania danych osobowych w związku z realizacją tych umów nie oznacza, że zleceniodawca nie podlega w tej materii ograniczeniom. Zawarcie umowy zlecenia czy umowy o dzieło wiąże się z przetwarzaniem danych osobowych osoby, z którą umowy te zostają zawarte, a w tym zakresie zleceniodawca jest ściśle ograniczany przepisami RODO, głownie w kontekście ograniczenia celu przetwarzania i minimalizacji danych.

Generalnie – zawierając umowę zlecenia czy umowę o dzieło przetwarzamy jedynie te dane osobowe, które są niezbędne do wykonania umowy oraz realizacji obowiązków zleceniodawcy – administratora danych osobowych w związku z zawartą umową. Chodzi tu głównie o obowiązki związane ze zgłoszeniem do ZUS (jeśli jest obowiązkowe w danym przypadku) czy obowiązkami w zakresie podatku dochodowego (pobór zaliczki, wysyłka PIT-11 itp.).

W kontekście przetwarzania danych osobowych w związku z zawarciem umowy zlecenia czy umowy o dzieło należy mieć na względzie cele przetwarzania i podstawy przetwarzania danych osobowych. Samo natomiast przetwarzanie danych osobowych oznacza na gruncie przepisów RODO operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Powyższy katalog jest katalogiem otwartym, co oznacza, że także i inne operacje na danych osobowych stanowią ich przetwarzanie. Przetwarzając dane osobowe w związku z realizacją umowy zlecenia czy umowy o dzieło należy stosować się do zasad, o których mowa w art. 5 RODO.

Przetwarzanie danych osobowych na umowie zlecenia i umowie o dzieło podlega następującym zasadom:

1. Zasada przejrzystości, rzetelności i legalności (zgodności z prawem) – przetwarzanie danych osobowych zgodnie z prawem to przetwarzanie oparte na co najmniej jednej podstawie z art. 6 i 9 RODO. Podstawą przetwarzania danych osobowych może być (i najczęściej bywa) zgoda osoby fizycznej, której dane dotyczą, ale może to być również obowiązek prawny administratora (zgłoszenie zleceniobiorcy do ZUS), realizacja umowy itp.
2. Zasada celowości – musi istnieć ściśle określony cel przetwarzania danych osobowych, nie może to być cel ogólny
3. Zasada minimalizacji danych osobowych – przetwarzanie danych osobowych na umowie zlecenia i umowie o dzieło powinno dotyczyć wyłącznie danych, jakie są niezbędne do realizacji umowy i obowiązków stron, nie gromadzimy danych osobowych zbędnych dla realizacji umowy czy wypełnienia obowiązków administratora danych osobowych (obrazowo – do realizacji umowy zlecenia nie są nam potrzebne np. imiona rodziców zleceniobiorcy, więc nie tej danej osobowej nie pozyskujemy)
4. Zasada prawidłowości – uzupełniamy dane osobowe, prostujemy je, zapewniamy ich aktualność, dane osobowe muszą odpowiadać aktualnemu stanowi rzeczy
5. Zasada ograniczenia przechowywania danych osobowych – pozyskanych danych osobowych nie przechowujemy „w nieskończoność”. Przetwarzanie danych osobowych na umowie zlecenia i umowie o dzieło (do przetwarzania zalicza się również przechowywanie) powinno trwać tak długo jak długo trwa umowa, jak długi jest okres ewentualnego dochodzenia roszczeń z umowy (do przedawnienia) czy jak długo aktualne są obowiązki zleceniodawcy – administratora danych osobowych wynikające z przepisów prawa (np. przechowywanie dokumentacji płacowej, zgłoszeń do ZUS itp.). Dane osobowe mogą być przechowywane przez okres nie dłuższy, niż jest to niezbędne do celów, w których te dane są przetwarzane
6. Zasada integralności i poufności danych osobowych. Przetwarzanie danych osobowych na umowie zlecenia i umowie o dzieło musi odbywać się w taki sposób, aby zapewnić bezpieczeństwo danych. Jeśli zleceniodawca przechowuje umowę zlecenia, zawierającą dane osobowe zleceniobiorcy, przechowuje dokumentację płacową (w tym kopie zgłoszeń do ZUS, zawierające numery PESEL) to musi zapewnić, że dostęp do tych danych mają jedynie osoby upoważnione i w ściśle określonym celu (np. księgowa, rozliczająca wynagrodzenie z umowy zlecenia czy o dzieło).
7. Zasada rozliczalności – ogólnie mówiąc zleceniodawca ma przestrzegać powyższych zasad i na każdym etapie przetwarzania danych osobowych musi być zdolny „rozliczyć się” z ich przestrzegania, np. udowodnić, że przetwarza je na odpowiedniej podstawie prawnej, w ściśle określonym celu, że odpowiednio je zabezpiecza itp.

Samą umowę zlecenia można zawrzeć nawet ustnie, przepisy kodeksu cywilnego nie przewidują sankcji nieważności w przypadku braku zachowania formy pisemnej. Dla celów dowodowych oczywiście najlepiej jednak taką umowę zawrzeć na piśmie.

Przetwarzanie danych osobowych na umowie zlecenia czy umowie o dzieło ma miejsce jeszcze przed formalnym zawarciem umowy. W praktyce, jeśli zleceniodawca sporządza pisemną umowę zlecenia czy umowę o dzieło, to musi w niej wskazać drugą stronę – osobę fizyczną, z imienia i nazwiska, a więc już na tym etapie przetwarza dane tej osoby.

A skoro tak, to jako administrator danych osobowych musi wypełnić swój obowiązek informacyjny. Zleceniodawca powinien poinformować osobę, od której gromadzi dane o istotnych kwestiach dotyczących tego przetwarzania (danych administratora, celu przetwarzania, okresie przechowywania itd.). Obowiązek informacyjny może być spełniony w postaci pisemnej lub elektronicznej (np. w treści umowy), a nawet ustnie. Mając jednak na względzie zasadę rozliczalności, najlepiej tego obowiązku dopełnić w formie pisemnej.

Uwaga – nie ma znaczenia, że dane osobowe pochodzą bezpośrednio od osoby fizycznej, z którą zawarta zostaje umowa zlecenia i zna ona tożsamość administratora (zleceniodawcy). Przetwarzanie danych osobowych na umowie zlecenia i umowie o dzieło wymaga spełnienia obowiązku informacyjnego w każdym przypadku. Taka klauzula informacyjna bywa z reguły odrębnym dokumentem, załącznikiem do umowy zlecenia itp.

Obowiązku informacyjnego należy dopełnić najpóźniej w chwili pozyskania danych osobowych, czyli de facto jeszcze przed formalnym zawarciem umowy zlecenia czy umowy o dzieło.

Przetwarzanie danych osobowych na umowie zlecenia i umowie o dzieło może dotyczyć kilku umów, zawieranych z tą samą osobą fizyczną, ale z przerwami między tymi umowami. Na czas trwania umowy i jej realizacji podstawą przetwarzania jest zgoda osoby, której dane dotyczą oraz obowiązek prawny administratora (zleceniodawcy). W okresie między jedną a drugą umową przetwarzanie sprowadza się w zasadzie do przechowywania danych przez okres do przedawnienia roszczeń czy okres przechowywania dokumentacji płacowej.

Może się okazać, że zgoda osoby fizycznej na przetwarzanie danych będzie dotyczyć nie jednej umowy zlecenia, zawieranej w danym momencie, ale będzie niejako zgodą „na przyszłość”. Jest to oczywiście dopuszczalne, niemniej warto dopilnować, aby ta zgoda obejmowała również przyszłe umowy zlecenia.

Kurs online RODO – ochrona danych osobowych w zakładzie pracy

W praktyce, przetwarzanie danych osobowych na umowie zlecenia i umowie o dzieło dotyczy imienia i nazwiska zleceniobiorcy czy wykonawcy dzieła, jego adresu zamieszkania oraz numeru PESEL. Dodatkowo może dotyczyć danych kontaktowych, niezbędnych do realizacji zlecenia – numeru telefonu, adresu email itp. Taki zakres danych osobowych w zupełności wystarczy do realizacji umowy i spełnienia obowiązków prawnych administratora. Nie będzie również sprzeczny z zasadą minimalizacji danych osobowych.

O danych osobowych pisaliśmy m.in. tutaj: Dane osobowe pracowników. Wrócimy do tego tematu jeszcze w najbliższym czasie. A o samej umowie zlecenia również nieco tutaj: umowa zlecenia ze studentem do 26 roku życia.