Legalność zatrudnienia jest bez wątpienia kluczową kwestią w przypadku angażowania cudzoziemców. W oczywisty sposób o legalizację pracy musi zadbać podmiot, który zatrudnia cudzoziemców. A co dzieje się gdy cudzoziemcy wykonują powierzone im zadania w innym zakładzie, np. jako pracownicy tymczasowi lub przy realizacji usług w ramach outsourcingu? Czy odbiorca takich usług może dla swoich własnych celów sprawdzić i potwierdzić legalne zatrudnienie cudzoziemców w Polsce?
Także przy korzystaniu z personelu zewnętrznego obowiązuje zasada – legalizacja pracy cudzoziemców jest w rękach i odbywa się na odpowiedzialność podmiotu powierzającego pracę, czyli agencji pracy tymczasowej albo firmy świadczącej usługi w ramach wyodrębnionych procesów. Nierzadko jednak w praktyce biznesowej odbiorcy tych usług (czyli pracodawcy użytkownicy lub tzw. insourcerzy) chcą sprawdzić, czy na pewno cudzoziemcy przebywający na terenie ich zakładów pracy świadczą pracę w sposób legalny. Idea słuszna, tylko że w świetle stanowiąca wyzwanie.
Nie tylko chęć odbiorcy usługi upewnienia się, że cudzoziemcy pracują i przebywają w Polsce legalnie, czyli szeroko rozumiane działanie compliance, może stać za taką wolą weryfikacji legalności zatrudnienia personelu zewnętrznego. Często firmy są powiązane siecią współpracy i to zewnętrzni kooperanci narzucają konieczność weryfikacji, że zgodność z prawem, w tym legalność pracy cudzoziemców, jest w pełni zapewniona, także przez podwykonawców.
Artykuł 6 ust. 1 RODO określa podstawy prawne przetwarzania danych osobowych. Aby przetwarzać dane pracowników lub zleceniobiorców zewnętrznych odbiorca usługi (czy jako pracodawca użytkownik, czy jako usługobiorca/ insourcer) musi mieć do tego przede wszystkim podstawę prawną i cel.
W ramach tzw. outsourcingu nie istnieją żadne szczególnie przepisy, posiłkujemy się więc kodeksem cywilnym. W przypadku z kolei pracowników tymczasowych ustawa z 9 lipca 2003 r. o zatrudnianiu pracowników tymczasowych wprawdzie nakłada na pracodawcę użytkownika szereg obowiązków i przyznaje mu pewne uprawnienia, m.in. użytkownik wyznacza zadania pracownikom tymczasowym i kontroluje wykonanie zleconych prac, czy prowadzi ewidencję czasu pracy, jednak nie reguluje kwestii legalności pracy cudzoziemców i jej badania przez użytkownika. Ten zaś staje się administratorem danych, które przetwarza w zakresie niezbędnym dla wykonania czynności, ale tylko tych, które powierza mu ustawa.
Z kolei wymiana danych osobowych pracowników tymczasowych pomiędzy agencją, a użytkownikiem najczęściej odbywać się będzie w oparciu o udostępnianie danych między odrębnymi administratorami, a nie w oparciu o umowę powierzenia przetwarzania. Tę samą zasadę stosuje się w ramach outsourcingu procesów, gdzie relacja pomiędzy personelem dostawcy usług, a ich odbiorcą, powinna być z gruntu rzeczy jak najsłabsza. To oznacza, że podmiot odbierający dane osobowe będzie samodzielnie decydował o celach i sposobach ich przetwarzania, jaki i ponosił odpowiedzialność w zakresie przewidzianym dla administratora.
Jako podstawę prawną takiego przekazania i dalszego przetwarzania danych wobec stron umowy czy to o skierowanie pracowników tymczasowych, czy umowy o świadczenie wyodrębnionych usług można wskazać art. 6 ust 1 lit. b RODO, czyli niezbędność „do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy”. Dodatkowo można wskazać art. 6 ust. 1 lit. f RODO, czyli niezbędność „do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora”.
Skoro mamy podstawę prawną, należy zbadać jaki zakres danych jest rzeczywiście potrzebny odbiorcy usługi i – w konsekwencji – jakie dane może udostępnić kontrahent, aby nie narazić się na odpowiedzialność z RODO.
Nie można zapominać, że legalizacja zatrudnienia cudzoziemców należy do obowiązków podmiotu powierzającego pracę: pracodawcy lub zleceniodawcy. Czyli to podmiot zatrudniający (agencja lub outsourcer) ponosi konsekwencje prawne związane z niewypełnianiem takich obowiązków. Brakuje jednak podstawy prawnej do udostępnienia odbiorcy usługi danych osobowych dotyczących legalizacji personelu zewnętrznego (oczywiście mowa tu o danych indywidualnych dotyczących konkretnego cudzoziemca).
Czasem firmy próbują podeprzeć się przepisami ustawy z 15.6.2012 r. o skutkach powierzania wykonywania pracy cudzoziemcom przebywającym wbrew przepisom na terytorium Rzeczypospolitej Polskiej. Jak wynika z art. 6 tej ustawy, wykonawca zwolni się z odpowiedzialności, o której mowa w ust. 1 tego przepisu, jeżeli „spełnił wymagania należytej staranności, w szczególności poinformował podwykonawcę o skutkach powierzania wykonywania pracy cudzoziemcowi przebywającemu bez ważnego dokumentu uprawniającego do pobytu na terytorium Rzeczypospolitej Polskiej oraz sprawdził wykonanie obowiązku zgłoszenia cudzoziemca do ubezpieczeń społecznych”.
Zakładając, że odbiorca usługi byłby uznany za wykonawcę, o którym mowa w tym przepisie, to przepis nie mówi nic o weryfikacji dokumentów legalizacyjnych cudzoziemców, a odnosi się wyłącznie do weryfikacji, czy spełniono obowiązek zgłoszenia personelu do ubezpieczeń społecznych. W konsekwencji żądanie przez odbiorców usług od dostawców np. kopii zgłoszenia cudzoziemca do ZUS, a tym bardziej później RMUA jest zadecydowanie nadmierne i niezgodnie z RODO. We wskazanym przepisie ujęto bowiem bardzo wąski zakres informacji o cudzoziemcu. „Sprawdzenie”, o którym mowa w ustawie, powinno ograniczać się wyłącznie np. do oświadczenia podmiotu zatrudniającego w tym zakresie; ewentualnie do okazania odbiorcy usługi do wglądu stosownych dokumentów zgłoszeniowych, ale już nie do ich kopiowania i przechowywania przez odbiorcę usług.
Podsumowując i odpowiadając na zadane w tytule pytanie, okazuje się, że o poszczególnych członkach załogi zewnętrznej odbiorca usługi może wiedzieć bardzo niewiele. W świetle przepisów podmiot realizujący usługi (agencja lub dostawca usług) nie może udostępniać odbiorcy usług m.in. takich danych osobowych swojego personelu jak dokumenty dotyczące legalności pobytu i pracy cudzoziemców. Może tylko potwierdzić zgłoszenie do ubezpieczeń społecznych. To z kolei powinno polegać np. na oświadczeniu podmiotu zatrudniającego, ale już nieprzesyłaniu kopii dokumentacji, która zawiera dużo więcej danych osobowych niż tylko potwierdzenie zgłoszenia, jak choćby numer paszportu, obywatelstwo, nazwisko rodowe cudzoziemca). Posiadanie innych danych o konkretnych cudzoziemcach zatrudnionych zewnętrznie będzie zatem stanowić naruszenie jednej z kluczowych zasad RODO – zasady minimalizacji danych.
Zapraszamy na najbliższe wydarzenia organizowane przez C&C Chakowski & Ciszek:
BEZPŁATNA KONFERENCJA ON-LINE: SYGNALIŚCI 2024 – NOWE OBOWIĄZKI DLA HR I COMPLIANCE (KLIKNIJ) OSTATNIE ZAPISY!
ZAAWANSOWANY DWUDNIOWY KURS – SPECJALISTA DS. LEGALIZACJI CUDZOZIEMCÓW W POLSCE – REWOLUCYJNE ZMIANY 2024 (KLIKNIJ)
