RODO w biurze rachunkowym: dokumenty i załączniki do sprawy

Biura rachunkowe odgrywają szczególną rolę w obrocie gospodarczym. Codziennie przetwarzają ogromne ilości danych osobowych, w tym dane o wysokim stopniu wrażliwości, takie jak informacje o wynagrodzeniach, absencjach chorobowych, potrąceniach komorniczych czy przynależności do związków zawodowych. W związku z tym ochrona danych osobowych (RODO) w biurze rachunkowym nie jest jedynie formalnością, lecz kluczowym elementem zarządzania ryzykiem operacyjnym. Właściwe przygotowanie dokumentacji, wdrożenie odpowiednich procedur oraz dbałość o załączniki do spraw to podstawowe obowiązki każdego właściciela biura rachunkowego, które pozwalają uniknąć dotkliwych kar finansowych nakładanych przez organ nadzorczy.

Podwójna rola biura rachunkowego na gruncie RODO

Aby prawidłowo wdrożyć procedury RODO w biurze rachunkowym, należy w pierwszej kolejności zrozumieć specyfikę jego funkcjonowania. Biuro rachunkowe występuje bowiem w podwójnej roli: jako administrator danych osobowych (ADO) oraz jako podmiot przetwarzający (procesor). Rozróżnienie to ma fundamentalne znaczenie dla określenia zakresu odpowiedzialności oraz rodzaju dokumentacji, jaką należy przygotować.

Jako administrator danych (ADO), biuro rachunkowe decyduje o celach i sposobach przetwarzania danych swoich własnych pracowników, współpracowników, a także kontrahentów prowadzących jednoosobowe działalności gospodarcze oraz osób kontaktowych po stronie klientów. W tym zakresie biuro musi spełnić wszystkie obowiązki informacyjne wynikające z art. 13 RODO, prowadzić własny rejestr czynności przetwarzania oraz dbać o bezpieczeństwo tych danych.

Z kolei w odniesieniu do danych pracowników, zleceniobiorców oraz klientów swoich mocodawców (czyli firm, które zleciły biuru obsługę księgową lub kadrowo-płacową), biuro rachunkowe działa jako podmiot przetwarzający (procesor). Oznacza to, że przetwarza dane wyłącznie na udokumentowane polecenie administratora (klienta). Ta rola nakłada na biuro obowiązek zawarcia umowy powierzenia przetwarzania danych oraz prowadzenia rejestru kategorii czynności przetwarzania, co szczegółowo omawiamy w dalszej części artykułu.

Rejestr Czynności Przetwarzania (RCP) a Rejestr Kategorii Czynności Przetwarzania (RKCP)

Jednym z najczęstszych błędów popełnianych przez biura rachunkowe jest przekonanie, że ze względu na zatrudnianie mniej niż 250 osób są one zwolnione z obowiązku prowadzenia rejestrów, o których mowa w art. 30 RODO. Przepisy wyraźnie wskazują, że zwolnienie to nie ma zastosowania, jeżeli przetwarzanie nie ma charakteru sporadycznego lub obejmuje dane szczególnych kategorii (np. dane o zdrowiu pracowników klientów przekazywane do ZUS). Ponieważ biuro rachunkowe przetwarza dane w sposób ciągły i systematyczny, prowadzenie rejestrów jest jego bezwzględnym obowiązkiem.

W biurze rachunkowym muszą funkcjonować dwa odrębne dokumenty:

  • Rejestr Czynności Przetwarzania (RCP) – prowadzony przez biuro jako administratora. Wpisuje się do niego takie czynności jak: obsługa kadrowo-płacowa własnych pracowników, rekrutacja, marketing usług własnych, czy też obsługa administracyjna klientów.
  • Rejestr Kategorii Czynności Przetwarzania (RKCP) – prowadzony przez biuro jako procesora. Zawiera on informacje o kategoriach czynności wykonywanych w imieniu każdego z klientów (np. prowadzenie ksiąg rachunkowych, sporządzanie deklaracji podatkowych, obsługa kadrowo-płacowa). W rejestrze tym należy wskazać dane identyfikacyjne każdego administratora (klienta), w imieniu którego biuro działa, oraz ewentualnych podwykonawców (podprocesorów).

Umowa powierzenia przetwarzania danych (DPA) jako kluczowy załącznik

Podstawą prawną umożliwiającą biuru rachunkowemu legalne przetwarzanie danych klientów jest umowa powierzenia przetwarzania danych osobowych (ang. Data Processing Agreement - DPA). Umowa ta stanowi obligatoryjny załącznik do głównej umowy o świadczenie usług księgowych. Zgodnie z art. 28 RODO, umowa powierzenia musi mieć formę pisemną (w tym elektroniczną) i precyzyjnie określać przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą.

W umowie powierzenia biuro rachunkowe zobowiązuje się m.in. do:

  • przetwarzania danych wyłącznie na udokumentowane polecenie administratora,
  • zapewnienia, by osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy,
  • wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku,
  • przestrzegania warunków korzystania z usług innego podmiotu przetwarzającego (podpowierzenie),
  • pomagania administratorowi w wywiązywaniu się z obowiązków odpowiadania na żądania osoby, której dane dotyczą.

Warto pamiętać, że brak takiej umowy w przypadku kontroli, którą przeprowadzi organ nadzorczy, stanowi rażące naruszenie przepisów RODO i może skutkować nałożeniem administracyjnej kary pieniężnej zarówno na biuro rachunkowe, jak i na jego klienta.

Upoważnienia do przetwarzania danych i oświadczenia o poufności

Każda osoba pracująca w biurze rachunkowym – niezależnie od tego, czy jest zatrudniona na umowę o pracę, umowę zlecenie, czy współpracuje na zasadach B2B – musi posiadać imienne upoważnienie do przetwarzania danych osobowych. Upoważnienie to powinno precyzyjnie określać zakres danych, do których pracownik ma dostęp (np. tylko dane kadrowe, tylko dane księgowe konkretnych klientów) oraz systemy informatyczne, z których może korzystać.

Integralną częścią upoważnienia jest oświadczenie o zachowaniu poufności. Pracownik must podpisać dokument potwierdzający, że został przeszkolony z zasad ochrony danych osobowych obowiązujących w biurze oraz że jest świadomy odpowiedzialności karnej i dyscyplinarnej za ich naruszenie. Dokumenty te należy przechowywać w aktach osobowych pracowników lub w dedykowanym segregatorze z dokumentacją RODO.

Procedura obsługi wniosków osób, których dane dotyczą

Osoby, których dane są przetwarzane, posiadają szereg uprawnień wynikających z RODO, takich jak prawo dostępu do danych, ich sprostowania, usunięcia („prawo do bycia zapomnianym”) czy ograniczenia przetwarzania. W biurze rachunkowym musi funkcjonować jasna procedura określająca, jak postępować, gdy do biura wpłynie taki wniosek.

Kluczowe jest zrozumienie, że jeśli wniosek składa pracownik klienta biura rachunkowego, biuro nie może samodzielnie podjąć decyzji o realizacji tego żądania. Jako procesor, biuro ma obowiązek niezwłocznie przekazać wniosek do właściwego administratora (swojego klienta) i postępować zgodnie z jego wytycznymi. Na realizację wniosku przepisy przewidują termin jednego miesiąca, który w skomplikowanych przypadkach może zostać przedłużony o kolejne dwa miesiące, o czym należy poinformować wnioskodawcę.

Postępowanie w przypadku naruszenia ochrony danych osobowych

Naruszenie ochrony danych osobowych to każde zdarzenie prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych. W biurze rachunkowym może to być np. wysłanie deklaracji PIT do niewłaściwego adresata, zgubienie pendrive'a z danymi kadrowymi czy zainfekowanie komputerów oprogramowaniem szyfrującym (ransomware).

W przypadku wykrycia naruszenia, biuro rachunkowe jako procesor ma obowiązek zgłosić ten fakt administratorowi (klientowi) bez zbędnej zwłoki. Z kolei administrator ma termin 72 godzin od wykrycia naruszenia na zgłoszenie go do organu nadzorczego (Prezesa Urzędu Ochrony Danych Osobowych), chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Biuro rachunkowe musi również prowadzić wewnętrzny rejestr naruszeń, w którym dokumentuje się każde zdarzenie, jego skutki oraz podjęte działania naprawcze.

Praktyczny przykład: Wniosek o usunięcie danych a obowiązki biura

Wyobraźmy sobie sytuację, w której do biura rachunkowego „Księgowy i Partnerzy” zgłasza się były pracownik jednego z obsługiwanych klientów (firmy „Bud-Max”). Osoba ta składa pisemny wniosek o usunięcie wszystkich jej danych osobowych z systemów kadrowo-płacowych biura rachunkowego, powołując się na prawo do bycia zapomnianym.

Jak powinno postąpić biuro rachunkowe? Prawidłowa procedura wygląda następująco:

  1. Pracownik biura przyjmuje wniosek, rejestruje datę jego wpływu i niezwłocznie (najlepiej tego samego dnia) przesyła go do właściciela firmy „Bud-Max”, która jest administratorem tych danych.
  2. Biuro informuje wnioskodawcę, że działa jako podmiot przetwarzający i przekazało sprawę do administratora, który podejmie decyzję o dalszych krokach.
  3. Administrator (firma „Bud-Max”) analizuje wniosek. W tym przypadku dane płacowe i kadrowe byłego pracownika muszą być przechowywane przez okres wymagany przepisami prawa pracy i ubezpieczeń społecznych (np. 10 lub 50 lat). W związku z tym administrator odmawia usunięcia danych, powołując się na art. 17 ust. 3 lit. b RODO (wywiązanie się z prawnego obowiązku wymagającego przetwarzania).
  4. Biuro rachunkowe, na polecenie administratora, przygotowuje odpowiedź dla wnioskodawcy z wyjaśnieniem podstawy prawnej odmowy i wysyła ją w ustawowym terminie jednego miesiąca.

Kompletna checklista dokumentów RODO dla biura rachunkowego

Aby mieć pewność, że biuro rachunkowe jest w pełni przygotowane na ewentualną kontrolę ze strony Urzędu Ochrony Danych Osobowych, warto zweryfikować posiadanie następujących dokumentów i załączników:

  • Polityka Ochrony Danych Osobowych (PODO) – główny dokument określający zasady przetwarzania danych w firmie.
  • Instrukcja Zarządzania Systemem Informatycznym (IZSI) – opisująca zabezpieczenia techniczne, procedury tworzenia kopii zapasowych, nadawania haseł i uprawnień.
  • Rejestr Czynności Przetwarzania (RCP) – dla danych, których biuro jest administratorem.
  • Rejestr Kategorii Czynności Przetwarzania (RKCP) – dla danych przetwarzanych w imieniu klientów.
  • Wzór umowy powierzenia przetwarzania danych (DPA) – dostosowany do specyfiki usług księgowych i kadrowych.
  • Rejestr upoważnień oraz imienne upoważnienia dla wszystkich pracowników i współpracowników.
  • Oświadczenia o zachowaniu poufności podpisane przez personel.
  • Klauzule informacyjne (art. 13 RODO) dedykowane dla klientów, pracowników oraz kandydatów do pracy.
  • Procedura zgłaszania naruszeń wraz z gotowym formularzem zgłoszenia i rejestrem naruszeń.
  • Procedura realizacji praw osób, których dane dotyczą (obsługa wniosków).
  • Analiza ryzyka (szacowanie ryzyka) przeprowadzona dla kluczowych procesów przetwarzania danych.

Najczęstsze błędy i jak ich unikać

Podczas audytów w biurach rachunkowych najczęściej ujawniane są błędy wynikające z rutyny oraz braku odpowiednich zabezpieczeń technicznych. Do najpoważniejszych należą:

  • Wysyłanie niezaszyfrowanych plików – przesyłanie list płac, deklaracji PIT czy umów o pracę drogą mailową bez zabezpieczenia hasłem. Hasło do pliku powinno być przekazywane innym kanałem komunikacji (np. SMS-em).
  • Brak umów powierzenia z podwykonawcami – korzystanie z zewnętrznych firm IT, dostawców oprogramowania w chmurze czy firm niszczących dokumenty bez podpisania umowy DPA.
  • Niewłaściwe przechowywanie dokumentów papierowych – pozostawianie akt osobowych czy dokumentów księgowych na biurkach w miejscach dostępnych dla osób trzecich (np. klientów odwiedzających biuro). Obowiązuje tu tzw. zasada czystego biurka.
  • Wspólne konta użytkowników – logowanie się kilku pracowników na jedno konto w systemie księgowym, co uniemożliwia identyfikację osoby, która dokonała określonych operacji na danych.

Podsumowanie

Wdrożenie RODO w biurze rachunkowym to proces ciągły, wymagający regularnych przeglądów i aktualizacji dokumentacji. Posiadanie kompletu dokumentów, takich jak rejestry, umowy powierzenia czy upoważnienia, to nie tylko realizacja wymogów prawnych, ale przede wszystkim tarcza ochronna w przypadku kontroli Prezesa UODO lub roszczeń ze strony klientów. Dbałość o bezpieczeństwo danych osobowych buduje profesjonalny wizerunek biura rachunkowego jako zaufanego partnera w biznesie.