Oddanie spraw kadrowych zewnętrznemu zespołowi zmienia to, kto ma w rękach dane pracowników, kto pilnuje terminów i do kogo ludzie idą z pytaniem o urlop. Decyzje o zatrudnieniu i wynagrodzeniach nadal zapadają w firmie, ale część wiedzy i dokumentów trafia do partnera. Opisujemy pięć obszarów, w których najczęściej pojawiają się trudności, i zapisy, które ograniczają ryzyko jeszcze przed startem współpracy.
W skrócie
- pracodawca jest nadal administratorem danych, a firma zewnętrzna podmiotem przetwarzającym, z którym zawiera umowę powierzenia (art. 28 RODO),
- akta osobowe i pozostałą dokumentację przechowuje się do ustania zatrudnienia i przez 10 kolejnych lat liczonych od końca tamtego roku (Kodeks pracy, art. 94 pkt 9b),
- naruszenie ochrony danych administrator zgłasza Prezesowi UODO w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia, więc dostawca musi informować o incydencie od razu,
- przy jednym partnerze firma traci bieżący wgląd we własne kartoteki, dlatego umowa powinna opisywać dostęp do danych i sposób przekazania spraw po zakończeniu współpracy.
Jakie dane pracowników trafiają do firmy zewnętrznej?
Do partnera trafia prawie cała zawartość akt osobowych: PESEL, adresy, numery rachunków, wysokość pensji, nieobecności, zwolnienia od lekarza i orzeczenia z badań medycyny pracy. Informacje o zdrowiu RODO zalicza do szczególnych kategorii (art. 9 ust. 1), dlatego ich obieg wymaga większej ostrożności niż zwykła korespondencja. Przed startem ustal, którym kanałem idą dokumenty (program kadrowy, szyfrowana poczta, papier), kto po obu stronach ma do nich wgląd i gdzie leżą oryginały. Inny podział ryzyka daje obsługa kadrowo-płacowa prowadzona w systemie partnera, a inny taka, w której akta zostają w biurze i zewnętrzny zespół pracuje na kopiach.
Jak zachować poufność i zgodność z RODO przy outsourcingu HR?
Podstawą jest umowa powierzenia, w której pracodawca występuje jako administrator, a usługodawca jako podmiot przetwarzający. Artykuł 28 ust. 3 RODO wymienia elementy obowiązkowe. Najczęściej sprawdza się te zapisy:
- dane są przetwarzane wyłącznie na udokumentowane polecenie administratora,
- osoby z dostępem zobowiązały się do zachowania tajemnicy,
- dalszy podwykonawca, np. dostawca programu płacowego w chmurze, tylko za pisemną zgodą,
- po zakończeniu usługi dane wracają albo zostają usunięte razem z kopiami, chyba że przepis nakazuje je przechowywać,
- klient może przeprowadzić audyt, także na miejscu.
Obowiązek zgłoszenia naruszenia ciąży na administratorze. Usługodawca musi go zawiadomić „bez zbędnej zwłoki” (art. 33 ust. 2 RODO), a pracodawca ma na zgłoszenie do Prezesa UODO w miarę możliwości 72 godziny od stwierdzenia incydentu. Dlatego w umowie dobrze jest wpisać konkretny czas, np. 24 godziny, i adresata takiej wiadomości.
Jak wybrać partnera do obsługi spraw kadrowych?
Partnera najlepiej ocenić na dokumentach: poproś o wzór umowy powierzenia i opis zabezpieczeń jeszcze przed podpisaniem kontraktu głównego. Według art. 28 ust. 1 RODO administrator może korzystać tylko z podmiotów, które dają wystarczające gwarancje ochrony, więc pytanie o nie należy do jego obowiązków. Zapytaj, w jakim programie powstają kartoteki, czy dostaniesz do niego własne konto i w którym formacie odbierzesz informacje przy rozstaniu. Sprawdź też zastępstwa: ile osób zna Twoją sytuację i kto odpowiada w czasie urlopu opiekuna. Samo naliczanie płac to inna usługa niż outsourcing HR z regulaminami i wsparciem kierowników, a przy nieuporządkowanych aktach przed przekazaniem przyda się przegląd opisany w tekście kiedy zdecydować się na audyt HR.
Jak ułożyć komunikację z pracownikami po zmianie obsługi kadr?
Zespół powinien wiedzieć, do kogo kieruje sprawy urlopu, paska wynagrodzenia albo zaświadczenia o zatrudnieniu i ile czeka na odpowiedź. Bez takiej informacji ludzie wracają z każdym pytaniem do właściciela, a zewnętrzni specjaliści dowiadują się o problemie z opóźnieniem. Po stronie firmy wystarczy jeden koordynator, który zbiera ewidencję czasu pracy, wnioski i aneksy. Kalendarz przekazywania tych danych układa się wstecz od terminu składek: spółka z osobowością prawną opłaca je do 15. dnia następnego miesiąca, pozostali płatnicy do 20.
Jak ograniczyć zależność od jednego dostawcy?
Zależność ogranicza stały wgląd w kartoteki oraz zapisany w kontrakcie sposób rozstania. Kłopot pojawia się wtedy, gdy dokumenty istnieją wyłącznie w systemie usługodawcy, a historia ustaleń z ludźmi tylko w jego skrzynce mailowej. Akta trzeba przechowywać przez wymagane 10 lat, a ten obowiązek zostaje u pracodawcy także po zleceniu obsługi. Okres wypowiedzenia powinien wystarczyć na przekazanie spraw nowej firmie albo własnej kadrowej, najlepiej według gotowej listy.
Co zapisać w umowie o outsourcing HR, żeby się zabezpieczyć?
Umowa powinna opisywać zakres czynności, terminy po obu stronach, zasady odpowiedzialności i sposób zakończenia współpracy. Przed podpisem sprawdź, czy zawiera:
- listę zadań z podziałem, co robi usługodawca, a co zostaje u klienta (decyzje o zatrudnieniu, warunkach pracy i podwyżkach),
- terminy przekazywania danych i czas reakcji na zgłoszenia,
- osobę kontaktową po każdej stronie i zasady zastępstwa,
- umowę powierzenia z elementami z art. 28 RODO,
- zasady pokrywania szkód z winy wykonawcy i informację o jego ubezpieczeniu OC,
- sposób wydania dokumentów i danych po zakończeniu współpracy.
Szerzej o przepisach, które wiążą obie strony, piszemy w artykule co prawo mówi o outsourcingu kadr i płac. Gdy te punkty są uzgodnione, łatwiej ocenić, czy korzyści z outsourcingu HR przeważą nad kosztem zmiany.
Większość trudności przy zleceniu kadr na zewnątrz wynika z braku ustaleń, a nie z samego modelu współpracy. Pracodawca, który przed podpisem sprawdzi umowę powierzenia, zachowa wgląd w akta i wyznaczy osobę do kontaktu, sprowadza ryzyko do poziomu, którym da się zarządzać na co dzień.