RODO dla biur rachunkowych: jak przygotować wniosek albo oświadczenie?

Przetwarzanie danych osobowych w biurze rachunkowym to codzienność, która wiąże się z ogromną odpowiedzialnością prawną i finansową. Księgowi, doradcy podatkowi oraz kadrowcy każdego dnia operują na danych wrażliwych, takich jak numery PESEL, informacje o zarobkach, dane o stanie zdrowia pracowników klientów czy szczegóły dotyczące sytuacji majątkowej. Wdrożenie Ogólnego Rozporządzenia o Ochronie Danych (RODO) w sektorze usług księgowych wymaga nie tylko znajomości przepisów, ale przede wszystkim umiejętności ich praktycznego zastosowania. Kluczowym elementem tego procesu jest prawidłowe przygotowanie dokumentacji, w tym oświadczeń informacyjnych oraz procedur obsługi wniosków płynących od osób, których dane dotyczą. W niniejszym opracowaniu szczegółowo analizujemy, jak biuro rachunkowe powinno podejść do tych obowiązków, aby uniknąć kar ze strony Urzędu Ochrony Danych Osobowych (UODO) i zapewnić maksymalne bezpieczeństwo swoim klientom.

Rola biura rachunkowego w świetle RODO: Administrator czy Podmiot Przetwarzający?

Jednym z najczęstszych dylematów, z jakimi mierzą się właściciele biur rachunkowych, jest prawidłowe określenie swojej roli w procesie przetwarzania danych osobowych. RODO wyróżnia dwa podstawowe podmioty: Administratora Danych Osobowych (ADO) oraz Podmiot Przetwarzający (procesora). Biuro rachunkowe bardzo często występuje w obu tych rolach jednocześnie, w zależności od kategorii danych i celu ich przetwarzania.

Biuro jako Administrator Danych Osobowych (ADO): Biuro rachunkowe staje się administratorem w odniesieniu do danych swoich własnych pracowników, kontrahentów, dostawców oraz samych klientów (np. osób fizycznych prowadzących jednoosobową działalność gospodarczą, z którymi podpisuje umowę). W tym zakresie biuro samodzielnie decyduje o celach i sposobach przetwarzania danych, np. w celu realizacji umowy, marketingu usług własnych czy dochodzenia ewentualnych roszczeń.

Biuro jako Podmiot Przetwarzający (procesor): Sytuacja zmienia się diametralnie, gdy biuro rachunkowe świadczy usługi księgowe, kadrowe lub płacowe na rzecz swoich klientów. Wówczas przetwarza dane osobowe pracowników klienta, jego kontrahentów czy wspólników. Cele i sposoby tego przetwarzania są określane przez klienta (który jest administratorem tych danych), a biuro działa wyłącznie na jego zlecenie i w jego imieniu. W takim scenariuszu niezbędne jest zawarcie umowy powierzenia przetwarzania danych osobowych (DPA - Data Processing Agreement), zgodnie z art. 28 RODO.

Kluczowe obowiązki biura rachunkowego w zakresie ochrony danych

Prawidłowe wdrożenie RODO w biurze rachunkowym wymaga podjęcia szeregu działań organizacyjnych i technicznych. Do najważniejszych obowiązków należą:

Prowadzenie Rejestru Czynności Przetwarzania (RCP): Obowiązek ten dotyczy większości biur rachunkowych, gdyż przetwarzanie danych ma charakter stały, a dodatkowo często obejmuje dane szczególnych kategorii (np. dane o zdrowiu w dokumentacji kadrowo-płacowej).
Prowadzenie Rejestru Kategorii Czynności Przetwarzania: Dotyczy sytuacji, w których biuro występuje jako procesor (podmiot przetwarzający).
Wdrożenie odpowiednich środków technicznych i organizacyjnych: Szyfrowanie dysków, zabezpieczenie sieci Wi-Fi, stosowanie silnych haseł, fizyczne zabezpieczenie dokumentacji papierowej (szafy zamykane na klucz), a także regularne szkolenia personelu.
Wyznaczenie Inspektora Ochrony Danych (IOD): Choć nie każde biuro ma taki obowiązek, powołanie IOD jest zalecane przy dużej skali przetwarzania danych wrażliwych.

Jak przygotować oświadczenie RODO (klauzulę informacyjną)?

Oświadczenie RODO, potocznie nazywane klauzulą informacyjną, to dokument realizujący obowiązek informacyjny wynikający z art. 13 (w przypadku zbierania danych bezpośrednio od osoby) lub art. 14 RODO (gdy dane pozyskano z innych źródeł). Biuro rachunkowe musi przygotować takie oświadczenie dla swoich bezpośrednich klientów oraz pracowników.

Elementy niezbędne w klauzuli informacyjnej

Prawidłowo przygotowane oświadczenie RODO musi być sformułowane jasnym, prostym i zrozumiałym językiem. Powinno zawierać następujące elementy:

Tożsamość i dane kontaktowe administratora: Pełna nazwa biura rachunkowego, adres rejestrowy, numer KRS/NIP oraz dane kontaktowe (e-mail, telefon).
Dane kontaktowe Inspektora Ochrony Danych: Jeśli został wyznaczony.
Cele i podstawa prawna przetwarzania: Należy precyzyjnie wskazać, dlaczego dane są przetwarzane (np. realizacja umowy - art. 6 ust. 1 lit. b RODO, obowiązek prawny związany z podatkami i rachunkowością - art. 6 ust. 1 lit. c RODO, prawnie uzasadniony interes - art. 6 ust. 1 lit. f RODO).
Odbiorcy danych: Podmioty, którym dane mogą być przekazywane (np. urzędy skarbowe, ZUS, dostawcy oprogramowania księgowego, banki).
Okres przechowywania danych: Dane nie mogą być przechowywane w nieskończoność. Należy wskazać konkretne terminy (np. 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku, zgodnie z Ordynacją podatkową).
Prawa osoby, której dane dotyczą: Prawo do dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz wniesienia sprzeciwu.
Prawo do wniesienia skargi do organu nadzorczego: Wskazanie Prezesa Urzędu Ochrony Danych Osobowych (PUODO) jako właściwego organu.
Informacja o dobrowolności lub obowiązku podania danych: Czy podanie danych jest wymogiem ustawowym lub umownym i jakie są konsekwencje ich niepodania.

Jak przygotować i obsłużyć wniosek o realizację praw osoby, której dane dotyczą?

Osoby, których dane są przetwarzane przez biuro rachunkowe (zarówno klienci, jak i ich pracownicy), mają prawo do składania różnego rodzaju wniosków. Najpopularniejsze z nich to wniosek o dostęp do danych, sprostowanie danych oraz wniosek o usunięcie danych (tzw. 'prawo do bycia zapomnianym').

Procedura obsługi wniosku krok po kroku

Biuro rachunkowe musi posiadać wewnętrzną procedurę, która określa, jak reagować na takie wnioski. Brak procedury może prowadzić do uchybienia terminom, co grozi sankcjami ze strony UODO.

Krok 1: Identyfikacja tożsamości wnioskodawcy. Przed udzieleniem jakichkolwiek informacji biuro musi upewnić się, że osoba składająca wniosek jest tą, za którą się podaje. Można to zrobić poprzez weryfikację adresu e-mail, prośbę o podanie dodatkowych danych identyfikacyjnych lub osobiste stawiennictwo.
Krok 2: Analiza charakteru wniosku i roli biura. Biuro must ustalić, czy w odniesieniu do tych danych jest administratorem (ADO), czy procesorem. Jeśli wniosek dotyczy danych pracownika klienta (gdzie biuro jest tylko procesorem), biuro nie może samodzielnie go realizować. Musi niezwłocznie przekazać wniosek do swojego klienta (administratora) i postępować zgodnie z jego instrukcjami.
Krok 3: Ocena zasadności wniosku. Nie każde żądanie musi być spełnione. Na przykład wniosek o usunięcie danych podatkowych przed upływem okresu przedawnienia zobowiązań podatkowych musi zostać odrzucony, ponieważ przetwarzanie tych danych jest obowiązkiem prawnym biura lub jego klienta.
Krok 4: Przygotowanie i wysłanie odpowiedzi. Odpowiedź powinna być sformułowana w sposób jasny i przesłana w tej samej formie, w której wpłynął wniosek, chyba że wnioskodawca zażądał inaczej.

Termin na odpowiedź i rola organu nadzorczego

Zgodnie z art. 12 ust. 3 RODO, administrator ma obowiązek udzielić odpowiedzi na wniosek bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. W skomplikowanych przypadkach termin ten może zostać przedłużony o kolejne dwa miesiące, jednak biuro musi poinformować wnioskodawcę o takim przedłużeniu w ciągu pierwszego miesiąca, podając przyczyny opóźnienia. Jeśli biuro nie dotrzyma terminu, osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego (Prezesa UODO), co może zainicjować kontrolę w biurze.

Umowa powierzenia przetwarzania danych (DPA) jako fundament współpracy

Biuro rachunkowe nie może rozpocząć księgowania dokumentów klienta zawierających dane osobowe bez podpisania umowy powierzenia przetwarzania danych. Umowa ta musi precyzyjnie określać przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą. Ponadto musi nakładać na biuro obowiązek zachowania poufności przez wszystkie osoby upoważnione do przetwarzania danych oraz obowiązek pomagania administratorowi w wywiązywaniu się z jego obowiązków (np. przy obsłudze wniosków RODO czy zgłaszaniu naruszeń).

Zgłaszanie naruszeń ochrony danych osobowych - procedura dla biura

Naruszenie ochrony danych osobowych to każde zdarzenie, które prowadzi do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. W biurze rachunkowym może to być np. zgubienie pendrive'a z danymi klientów, wysłanie maila z listą płac do niewłaściwego adresata, czy też atak ransomware szyfrujący bazy danych.

W przypadku wykrycia naruszenia, kluczowe znaczenie ma czas. Jeżeli biuro działa jako procesor, ma obowiązek zgłosić naruszenie administratorowi (swojemu klientowi) bez zbędnej zwłoki po jego stwierdzeniu. To administrator podejmuje decyzję o dalszych krokach. Jeżeli natomiast naruszenie dotyczy danych, dla których biuro jest administratorem (np. dane własnych pracowników lub bezpośrednich klientów), biuro musi ocenić ryzyko naruszenia praw lub wolności osób fizycznych. Jeśli ryzyko to jest wyższe niż znikome, biuro ma obowiązek zgłosić naruszenie do Prezesa UODO w ciągu 72 godzin od wykrycia zdarzenia. W skrajnych przypadkach, gdy ryzyko jest wysokie, należy również zawiadomić osoby, których dane dotyczą.

Praca w chmurze a RODO w księgowości

Współczesne biura rachunkowe coraz częściej korzystają z programów księgowych i kadrowych działających w modelu SaaS (Software as a Service), czyli w chmurze obliczeniowej. Z punktu widzenia RODO, korzystanie z takich narzędzi to tzw. podpowierzenie przetwarzania danych (subprocessing). Biuro rachunkowe must upewnić się, że dostawca oprogramowania chmurowego gwarantuje odpowiedni poziom bezpieczeństwa i podpisać z nim stosowną umowę powierzenia. Ważne jest także zweryfikowanie, gdzie fizycznie znajdują się serwery dostawcy - jeśli poza Europejskim Obszarem Gospodarczym (EOG), konieczne jest spełnienie dodatkowych wymogów dotyczących transferu danych do państw trzecich.

Najczęstsze błędy biur rachunkowych w obszarze RODO

Analiza kontroli przeprowadzanych przez UODO pozwala na wskazanie najczęstszych uchybień w biurach rachunkowych:

Brak umów powierzenia: Świadczenie usług księgowych 'na gębę' lub wyłącznie w oparciu o umowę o współpracę bez klauzul dotyczących powierzenia danych.
Niewłaściwe niszczenie dokumentów: Wyrzucanie papierowych deklaracji PIT czy list płac do zwykłego kosza na śmieci zamiast używania niszczarek o odpowiedniej klasie tajności.
Używanie wspólnych kont użytkowników: Sytuacja, w której kilku pracowników biura loguje się do programu kadrowego za pomocą tego samego loginu i hasła, co uniemożliwia rozliczalność (ustalenie, kto dokonał zmian w danych).
Brak szyfrowania przesyłanych danych: Wysyłanie pasków płacowych lub deklaracji podatkowych do klientów za pośrednictwem niezabezpieczonej poczty e-mail (bez hasłowania plików PDF).

Praktyczny przykład: Obsługa wniosku o usunięcie danych (prawo do bycia zapomnianym)

Wyobraźmy sobie sytuację, w której były pracownik jednego z klientów biura rachunkowego kieruje bezpośrednio do biura wniosek o usunięcie wszystkich jego danych osobowych z systemów kadrowo-płacowych. Jak powinno zachować się biuro rachunkowe?

Po pierwsze, biuro musi zidentyfikować, że w tym przypadku administratorem danych jest klient (pracodawca), a biuro jedynie procesorem. Biuro nie może samodzielnie usunąć tych danych. Musi niezwłocznie skontaktować się z klientem i przekazać mu wniosek. Po drugie, klient (jako administrator) musi przeanalizować wniosek. Zgodnie z polskim prawem pracy i prawem podatkowym, dokumentacja pracownicza oraz dokumenty rozliczeniowe ZUS i US muszą być przechowywane przez ściśle określony czas (np. 10 lub 50 lat). W związku z tym klient podejmuje decyzję o odmowie realizacji wniosku o usunięcie danych w zakresie, w jakim ich przechowywanie jest obowiązkiem prawnym. Biuro rachunkowe, działając na instrukcję klienta, przygotowuje odpowiedź odmowną, wskazując konkretną podstawę prawną (np. art. 17 ust. 3 lit. b RODO w zw. z przepisami prawa pracy i ordynacji podatkowej).

Podsumowanie i rekomendacje dla biur rachunkowych

Zapewnienie zgodności z RODO w biurze rachunkowym to proces ciągły, wymagający regularnych przeglądów procedur i aktualizacji dokumentów. Kluczem do sukcesu jest rzetelne przeszkolenie personelu oraz wypracowanie jasnych schematów postępowania w przypadku wpłynięcia wniosków od osób, których dane dotyczą. Posiadanie gotowych wzorów oświadczeń informacyjnych, umów powierzenia oraz rejestrów pozwala nie tylko na spełnienie wymogów formalnych, ale również buduje wizerunek biura jako profesjonalnego i godnego zaufania partnera biznesowego. Pamiętajmy, że w obszarze ochrony danych osobowych profilaktyka jest znacznie tańsza i mniej stresująca niż radzenie sobie ze skutkami ewentualnego wycieku danych czy karami administracyjnymi.