RODO dla biur rachunkowych: zakres odpowiedzialności strony

Przetwarzanie danych osobowych w sektorze usług księgowych i kadrowo-płacowych wiąże się z operowaniem na informacjach o szczególnym znaczeniu. Biura rachunkowe na co dzień stykają się z danymi finansowymi, numerami PESEL, informacjami o zarobkach, a nierzadko także z danymi o stanie zdrowia pracowników swoich klientów. W tym kontekście kluczowe staje się precyzyjne zrozumienie, jak rozkłada się odpowiedzialność za przestrzeganie przepisów RODO pomiędzy biurem rachunkowym a jego klientem. Brak jasności w tym zakresie naraża oba podmioty na dotkliwe kary finansowe nakładane przez organ nadzorczy oraz utratę reputacji.

Teza: Podział ról jako fundament bezpieczeństwa prawnego

Główną tezą, od której należy wyjść, analizując zagadnienie RODO dla biur rachunkowych, jest fakt, że odpowiedzialność za bezpieczeństwo danych osobowych nigdy nie spoczywa wyłącznie na jednym podmiocie. Relacja ta opiera się na ścisłym podziale ról zdefiniowanych w Ogólnym Rozporządzeniu o Ochronie Danych (RODO). Biuro rachunkowe najczęściej występuje w roli podmiotu przetwarzającego (procesora), podczas gdy jego klient jest administratorem danych osobowych (ADO). Taki podział ról implikuje określone obowiązki i zakresy odpowiedzialności, które muszą zostać precyzyjnie odzwierciedlone w umowie powierzenia przetwarzania danych. Ignorowanie tych zasad lub błędne określenie ról w umowie to najprostsza droga do sporu prawnego i sankcji ze strony Prezesa Urzędu Ochrony Danych Osobowych.

Na czym polega problem: Administrator a procesor w usługach księgowych

Podstawowym problemem w praktyce gospodarczej jest błędne utożsamianie biura rachunkowego z samodzielnym administratorem wszystkich danych, które trafiają do jego systemów. Aby właściwie zorganizować procesy ochrony danych, należy wyraźnie rozróżnić te dwie role. Administrator danych osobowych to podmiot, który decyduje o celach i sposobach przetwarzania danych. W kontekście prowadzenia księgowości administratorem danych swoich pracowników oraz klientów jest przedsiębiorca, który zleca te usługi biuru rachunkowemu. To on decyduje, że chce zatrudnić pracowników, wypłacić im wynagrodzenia i w tym celu zbiera ich dane.

Z kolei biuro rachunkowe, wykonując usługi księgowe, kadrowe czy płacowe na rzecz swojego klienta, działa jako podmiot przetwarzający, czyli procesor. Przetwarza ono powierzone dane wyłącznie na udokumentowane polecenie administratora i w granicach określonych w umowie. Warto jednak pamiętać, że biuro rachunkowe staje się pełnoprawnym administratorem w odniesieniu do danych swoich własnych pracowników, a także danych kontaktowych i rozliczeniowych swoich klientów (będących osobami fizycznymi prowadzącymi działalność gospodarczą). Ta dwoistość ról wymaga od biur rachunkowych wdrożenia dwóch niezależnych systemów ochrony danych: jednego jako administrator dla własnych celów, a drugiego jako procesor obsługujący bazy klientów.

Kogo dotyczy ten podział i dlaczego jest kluczowy?

Opisywany podział ról i odpowiedzialności dotyczy każdego biura rachunkowego, niezależnie od jego wielkości – od jednoosobowych działalności gospodarczych świadczących usługi księgowe po wielkie korporacje outsourcingowe. Dotyczy on również wszystkich klientów tych biur, czyli przedsiębiorców, spółek prawa handlowego, stowarzyszeń czy fundacji. Kluczowy charakter tego podziału wynika z faktu, że RODO nakłada bezpośrednie obowiązki zarówno na administratorów, jak i na procesorów. Oznacza to, że biuro rachunkowe nie może już zasłaniać się twierdzeniem, że za wszystko odpowiada klient jako administrator. W przypadku kontroli organ nadzorczy zweryfikuje, czy biuro jako procesor dopełniło swoich własnych, ustawowych obowiązków w zakresie zabezpieczenia danych.

Podstawa prawna: Umowa powierzenia przetwarzania danych (DPA)

Zgodnie z art. 28 RODO, przetwarzanie danych przez procesora musi odbywać się na podstawie umowy lub innego instrumentu prawnego, który wiąże procesora z administratorem. Jest to tak zwana umowa powierzenia przetwarzania danych (ang. Data Processing Agreement – DPA). Brak zawarcia takiej umowy przed rozpoczęciem faktycznego przetwarzania danych stanowi bezpośrednie naruszenie przepisów RODO i jest jednym z pierwszych elementów weryfikowanych podczas kontroli przez organ nadzorczy.

Umowa powierzenia musi mieć formę pisemną lub elektroniczną i precyzyjnie określać przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą. Ponadto, umowa ta musi nakładać na biuro rachunkowe szereg konkretnych obowiązków, takich jak przetwarzanie danych wyłącznie na udokumentowane polecenie klienta, zapewnienie, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy, oraz pomaganie administratorowi w wywiązywaniu się z jego obowiązków.

Obowiązki i ryzyka po stronie biura rachunkowego

Jako podmiot przetwarzający, biuro rachunkowe ponosi ogromne ryzyko operacyjne i prawne. Do jego najważniejszych obowiązków należy wdrożenie odpowiednich środków technicznych i organizacyjnych, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych. W praktyce oznacza to konieczność szyfrowania danych, dbania o regularne kopie zapasowe, stosowania silnych haseł oraz dwuskładnikowej autoryzacji w systemach księgowych.

Kolejnym kluczowym obowiązkiem jest prowadzenie rejestru wszystkich kategorii czynności przetwarzania dokonywanych w imieniu każdego z administratorów. Biuro musi także ściśle kontrolować podprocesorów. Jeśli biuro rachunkowe chce korzystać z usług zewnętrznych dostawców (np. zewnętrznej firmy IT, dostawcy oprogramowania w chmurze czy kurierów), musi uzyskać uprzednią ogólną lub szczegółową pisemną zgodę administratora. Brak takiej zgody i powierzenie danych kolejnemu podmiotowi stanowi rażące naruszenie umowy i przepisów RODO.

Współpraca przy realizacji praw osób i obsługa wniosków

Osoby, których dane są przetwarzane (np. pracownicy klienta biura rachunkowego), mają prawo do realizacji swoich uprawnień wynikających z RODO, takich jak prawo dostępu do danych, sprostowania, usunięcia (prawo do bycia zapomnianym) czy ograniczenia przetwarzania. Wniosek o realizację tych praw trafia najczęściej do pracodawcy (czyli klienta biura - administratora). Jednak to biuro rachunkowe fizycznie dysponuje tymi danymi w swoich systemach kadrowo-płacowych.

W związku z tym na biurze rachunkowym spoczywa obowiązek pomocy administratorowi poprzez odpowiednie środki techniczne i organizacyjne w wywiązaniu się z obowiązku odpowiadania na takie żądania. Umowa powierzenia powinna precyzyjnie określać termin, w jakim biuro rachunkowe musi przekazać niezbędne informacje administratorowi, aby ten mógł odpowiedzieć osobie wnioskującej w ustawowym terminie jednego miesiąca. Opóźnienie ze strony biura rachunkowego może uniemożliwić klientowi dotrzymanie tego terminu, co rodzi odpowiedzialność odszkodowawczą.

Warto jednak zwrócić uwagę na niezwykle istotny aspekt prawny: prawo do usunięcia danych (prawo do bycia zapomnianym) nie ma charakteru bezwzględnego. W przypadku danych księgowych i kadrowych, nadrzędne znaczenie mają przepisy krajowe, takie jak Ordynacja podatkowa czy Ustawa o rachunkowości, które nakładają obowiązek przechowywania dokumentacji finansowej przez określony czas (zazwyczaj 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku). Biuro rachunkowe nie może zatem usunąć danych na zwykły wniosek byłego pracownika klienta, jeśli okres ten jeszcze nie upłynął. Prawidłowa ocena takich wniosków wymaga ścisłej współpracy i konsultacji prawnej między biurem a administratorem.

Procedura postępowania w przypadku naruszenia ochrony danych

Naruszenie ochrony danych osobowych (np. zgubienie pendrive'a z bazą płacową, zainfekowanie systemu przez ransomware czy wysłanie deklaracji PIT do niewłaściwego adresata) wymaga natychmiastowego działania. RODO nakłada na procesora obowiązek zgłoszenia każdego naruszenia administratorowi bez zbędnej zwłoki po jego stwierdzeniu. W praktyce oznacza to, że biuro rachunkowe nie może zwlekać ani próbować samodzielnie tuszować incydentu.

Procedura powinna wyglądać następująco: po pierwsze, natychmiastowe zabezpieczenie systemów i zminimalizowanie skutków wycieku. Po drugie, sporządzenie szczegółowego raportu z incydentu zawierającego opis charakteru naruszenia, kategorie danych, liczbę osób poszkodowanych oraz rekomendowane środki zaradcze. Po trzecie, niezwłoczne przekazanie tego raportu klientowi (administratorowi). Administrator ma bowiem tylko 72 godziny od wykrycia naruszenia na zgłoszenie go do organu nadzorczego (UODO). Jeśli opóźnienie leży po stronie biura rachunkowego, administrator może ponieść dotkliwe kary, a następnie żądać odszkodowania od biura na drodze cywilnej.

Najczęstsze błędy popełniane przez biura rachunkowe

Przesyłanie dokumentów otwartym tekstem: Wysyłanie pasków płacowych, deklaracji podatkowych czy umów o pracę drogą mailową bez jakiegokolwiek zabezpieczenia (np. bez szyfrowania załączników hasłem przesłanym innym kanałem komunikacji).
Brak weryfikacji tożsamości: Udzielanie szczegółowych informacji o zarobkach lub danych kadrowych przez telefon osobie podającej się za pracownika klienta, bez uprzedniej autoryzacji.
Niewłaściwa utylizacja dokumentów: Wyrzucanie papierowych wersji dokumentów księgowych i kadrowych do zwykłych koszy na śmieci zamiast korzystania z niszczarek o odpowiednim stopniu tajności (DIN 66399).
Współdzielenie kont w systemach: Korzystanie przez kilku pracowników biura z jednego konta logowania do programu kadrowo-płacowego, co uniemożliwia ustalenie, kto dokonał określonych modyfikacji lub pobrał dane.
Brak umów powierzenia z podwykonawcami: Korzystanie z usług zewnętrznych informatyków bez podpisania z nimi stosownych umów gwarantujących poufność i bezpieczeństwo danych.
Zagrożenia związane z pracą zdalną (Home Office): Przenoszenie dokumentacji papierowej do prywatnych mieszkań pracowników biura lub logowanie się do systemów kadrowo-płacowych z prywatnych, niezabezpieczonych komputerów domowych bez użycia szyfrowanego połączenia VPN.

Praktyczny przykład: Wyciek danych kadrowych w biurze rachunkowym

Wyobraźmy sobie sytuację, w której pracownik biura rachunkowego, przygotowując rozliczenia miesięczne dla firmy "Alfa", przez pomyłkę wysyła plik Excel zawierający pełne dane kadrowo-płacowe (imiona, nazwiska, numery PESEL, adresy zamieszkania oraz wysokość wynagrodzeń i numery kont bankowych) wszystkich pracowników firmy "Alfa" na adres e-mail należący do zupełnie innego klienta – firmy "Beta".

W tym scenariuszu doszło do poważnego naruszenia poufności danych. Pracownik biura rachunkowego natychmiast po zorientowaniu się o błędzie powinien powiadomić wewnętrznego inspektora ochrony danych (IOD) lub kierownictwo biura. Biuro rachunkowe ma obowiązek bez zbędnej zwłoki poinformować o tym incydencie zarząd firmy "Alfa" jako administratora danych. Firma "Alfa" musi dokonać analizy ryzyka naruszenia praw i wolności osób fizycznych. Ponieważ wyciekły numery PESEL wraz z adresami i danymi o zarobkach, ryzyko kradzieży tożsamości jest wysokie. Firma "Alfa" ma obowiązek zgłosić to naruszenie do Prezesa UODO w ciągu 72 godzin oraz zawiadomić wszystkich swoich pracowników, których dane wyciekły, oferując im wsparcie (np. zalecenie zastrzeżenia PESEL). Jeśli biuro rachunkowe nie poinformowałoby firmy "Alfa" natychmiast, uniemożliwiając jej realizację tych obowiązków, poniosłoby pełną odpowiedzialność za powstałe szkody i ewentualne kary nałożone przez organ nadzorczy.

Skutki prawne i finansowe naruszeń – rola organu nadzorczego

Organ nadzorczy, czyli Prezes Urzędu Ochrony Danych Osobowych, posiada szerokie uprawnienia kontrolne i sankcyjne. Może on przeprowadzić planowaną lub doraźną kontrolę w biurze rachunkowym, zwłaszcza po otrzymaniu skargi od osoby fizycznej lub zgłoszenia naruszenia od administratora. W przypadku stwierdzenia uchybień, organ może nałożyć administracyjne kary pieniężne, które zgodnie z RODO mogą wynosić do 10 000 000 EUR lub do 2% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego (a w niektórych przypadkach nawet do 20 000 000 EUR lub 4% obrotu).

Oprócz kar administracyjnych nakładanych przez organ, biuro rachunkowe musi liczyć się z odpowiedzialnością cywilną na podstawie art. 82 RODO. Każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę. Jeśli biuro rachunkowe jako procesor nie dopełniło obowiązków nałożonych na nie bezpośrednio przez RODO lub działało poza zgodnymi z prawem instrukcjami administratora lub wbrew nim, odpowiada za szkody spowodowane przetwarzaniem w sposób solidarny z administratorem. Oznacza to, że poszkodowany pracownik może żądać pełnego zadośćuczynienia bezpośrednio od biura rachunkowego.

Podsumowanie i rekomendacje dla biur rachunkowych

Bezpieczeństwo danych osobowych w biurze rachunkowym to proces ciągły, wymagający stałego monitoringu i edukacji personelu. Aby zminimalizować ryzyko odpowiedzialności prawnej i finansowej, biura rachunkowe powinny przede wszystkim zadbać o rzetelne i szczegółowe umowy powierzenia przetwarzania danych z każdym klientem. Nie należy traktować tych umów jako czystej formalności – powinny one precyzyjnie określać procedury zgłaszania incydentów, terminy oraz zakres odpowiedzialności. Równie ważne jest regularne szkolenie pracowników z zakresu cyberbezpieczeństwa i ochrony danych, wdrożenie polityki czystego biurka i czystego ekranu, a także korzystanie wyłącznie z licencjonowanego, regularnie aktualizowanego oprogramowania księgowego gwarantującego najwyższe standardy bezpieczeństwa.