Dokumentacja RODO dla biur rachunkowych: odmowa i dalsze kroki prawne

Przetwarzanie danych osobowych w sektorze usług księgowych oraz kadrowo-płacowych wiąże się z ogromną odpowiedzialnością prawną i organizacyjną. Biura rachunkowe codziennie operują na szerokim spektrum danych wrażliwych, obejmujących informacje o zarobkach, ubezpieczeniach społecznych, stanie zdrowia pracowników klientów, a także szczegółach finansowych i podatkowych przedsiębiorstw. W dobie rosnącej świadomości prawnej społeczeństwa, osoby, których dane dotyczą, coraz częściej decydują się na egzekwowanie swoich praw gwarantowanych przez Ogólne Rozporządzenie o Ochronie Danych (RODO). Kompleksowa dokumentacja RODO dla biur rachunkowych stanowi fundament, który pozwala na bezpieczne i zgodne z prawem zarządzanie tymi żądaniami. Kluczowym elementem tej dokumentacji jest procedura postępowania w sytuacjach, gdy biuro zmuszone jest odmówić realizacji wniosku oraz określenie dalszych kroków prawnych, jakie mogą nastąpić po takiej decyzji. Wdrożona w firmie dokumentacja rachunkowych procesów przetwarzania danych osobowych musi precyzyjnie określać, jak personel ma reagować na wpływające wnioski.

Status prawny biura rachunkowego a obowiązek realizacji praw RODO

Aby prawidłowo zaimplementować procedury RODO w biurze rachunkowym, konieczne jest precyzyjne rozróżnienie ról, w jakich podmiot ten występuje w obrocie prawnym. Błędne określenie statusu prawnego jest jedną z najczęstszych przyczyn uchybień proceduralnych, które mogą skutkować dotkliwymi karami nakładanymi przez organ nadzorczy.

Biuro rachunkowe jako Administrator Danych Osobowych (ADO)

Status administratora danych (ADO) przysługuje biuru rachunkowemu w odniesieniu do danych osobowych jego własnych pracowników, współpracowników, dostawców usług oraz bezpośrednich klientów (np. osób fizycznych prowadzących jednoosobową działalność gospodarczą, z którymi biuro podpisało umowę ramową). Jako ADO, biuro samodzielnie ustala cele i sposoby przetwarzania danych. W przypadku wpłynięcia wniosku od tych osób (np. żądania dostępu do danych czy sprostowania), biuro rachunkowe ma bezpośredni, prawny obowiązek rozpatrzenia takiego wniosku we własnym imieniu i na własną odpowiedzialność.

Biuro rachunkowe jako Podmiot Przetwarzający (Procesor)

W przeważającej części swojej działalności, zwłaszcza przy prowadzeniu ksiąg rachunkowych, ewidencji podatkowych oraz obsługi kadrowo-płacowej dla pracowników swoich klientów, biuro rachunkowe działa jako podmiot przetwarzający (procesor). Przetwarzanie to odbywa się na zlecenie klienta (który jest administratorem danych) i na podstawie pisemnej umowy powierzenia przetwarzania danych osobowych, sporządzonej zgodnie z art. 28 RODO. W tej relacji biuro nie decyduje o celach przetwarzania. Jeśli pracownik klienta skieruje wniosek o realizację swoich praw bezpośrednio do biura rachunkowego, biuro nie ma prawa samodzielnie decydować o jego uwzględnieniu lub odmowie. Obowiązkiem biura jest niezwłoczne przekazanie wniosku administratorowi (klientowi) oraz pomoc w jego realizacji, zgodnie z warunkami określonymi w umowie powierzenia.

Kiedy biuro rachunkowe może odmówić realizacji praw?

Prawa przyznane osobom fizycznym na mocy RODO nie mają charakteru bezwarunkowego. Istnieje szereg sytuacji, w których biuro rachunkowe, działając jako administrator, ma pełne prawo, a niekiedy nawet obowiązek, odmówić spełnienia żądania wnioskodawcy. Kluczem jest wykazanie nadrzędności innych przepisów prawa lub wykazanie nieuzasadnionego charakteru żądania.

Kolizja z przepisami prawa powszechnie obowiązującego

Najczęstszą przyczyną odmowy realizacji prawa do usunięcia danych (tzw. prawa do bycia zapomnianym - art. 17 RODO) lub ograniczenia ich przetwarzania (art. 18 RODO) jest istnienie obowiązku prawnego nakładającego na biuro lub jego klienta konieczność dalszego przechowywania danych. Zgodnie z art. 17 ust. 3 lit. b RODO, prawo do usunięcia danych nie ma zastosowania w zakresie, w jakim przetwarzanie jest niezbędne do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego. Dla biur rachunkowych kluczowe znaczenie mają tu przepisy:

Ustawy o rachunkowości (obowiązek przechowywania ksiąg rachunkowych i dokumentów dowodowych przez okres 5 lat);
Ordynacji podatkowej (przechowywanie dokumentacji podatkowej do czasu przedawnienia zobowiązania podatkowego, co do zasady również przez 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku);
Kodeksu pracy (obowiązek przechowywania dokumentacji pracowniczej i akt osobowych przez okres 10 lub 50 lat, w zależności od daty zatrudnienia pracownika).

W obliczu tych regulacji, żądanie byłego pracownika lub klienta dotyczące natychmiastowego usunięcia jego danych z systemów finansowo-księgowych musi spotkać się z odmową.

Żądania ewidentnie nieuzasadnione lub nadmierne

Zgodnie z art. 12 ust. 5 RODO, w sytuacjach, gdy żądania osoby, której dane dotyczą, są ewidentnie nieuzasadnione lub nadmierne (np. ze względu na swój ustawiczny, powtarzalny charakter), administrator danych może odmówić podjęcia działań. Może również naliczyć opłatę pokrywającą koszty administracyjne. Każda taka decyzja musi być jednak poparta szczegółową analizą. Biuro rachunkowe musi być w stanie wykazać przed organem nadzorczym, że częstotliwość lub treść wniosków paraliżuje jego normalne funkcjonowanie i stanowi nadużycie prawa.

Brak możliwości weryfikacji tożsamości

Bezpieczeństwo danych osobowych wymaga, aby administrator nie udostępniał informacji osobom nieuprawnionym. Jeśli wniosek wpływa drogą elektroniczną z nieznanego adresu e-mail lub telefonicznie, a biuro rachunkowe nie ma możliwości jednoznacznego potwierdzenia tożsamości wnioskodawcy, ma ono prawo zażądać dodatkowych informacji uwierzytelniających. Odmowa realizacji żądania do czasu potwierdzenia tożsamości jest w pełni uzasadniona i stanowi element ochrony przed wyciekiem danych.

Procedura obsługi wniosków krok po kroku

Aby zminimalizować ryzyko błędów, każde biuro rachunkowe powinno wdrożyć wewnętrzną procedurę obsługi wniosków. Poniżej przedstawiamy optymalny algorytm postępowania:

Rejestracja wniosku: Każde żądanie, niezależnie od formy jego wpływu (e-mail, pismo papierowe, osobiście), musi zostać odnotowane w wewnętrznym rejestrze żądań z dokładną datą i godziną wpływu.
Weryfikacja tożsamości: Pracownik biura sprawdza, czy tożsamość wnioskodawcy jest bezdyskusyjna. W razie wątpliwości wysyła wezwanie do uwierzytelnienia.
Określenie roli (ADO vs. Procesor): Biuro ustala, czy jest administratorem wnioskowanych danych, czy jedynie procesorem. Jeśli jest procesorem – niezwłocznie przekazuje sprawę klientowi (ADO).
Analiza merytoryczna: Badanie, czy żądanie jest zasadne, czy też zachodzą przesłanki do odmowy (np. obowiązek retencji danych wynikający z przepisów podatkowych).
Sporządzenie odpowiedzi: Przygotowanie pisma realizującego żądanie lub decyzji odmownej zawierającej pełne uzasadnienie prawne i faktyczne oraz niezbędne pouczenia.
Wysłanie odpowiedzi i archiwizacja: Przekazanie odpowiedzi wnioskodawcy z zachowaniem ustawowych terminów oraz zarchiwizowanie całej korespondencji w celach dowodowych.

Terminy w procedurze RODO

Dla biur rachunkowych kluczowe znaczenie ma rygorystyczne przestrzeganie terminów określonych w RODO. Niedopełnienie tych obowiązków jest najczęstszym powodem nakładania kar przez organ nadzorczy.

Podstawowy termin miesięczny

Zgodnie z art. 12 ust. 3 RODO, administrator ma obowiązek udzielić odpowiedzi na wniosek bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od dnia otrzymania żądania. Termin ten dotyczy zarówno realizacji żądania, jak i poinformowania o odmowie podjęcia działań.

Przedłużenie terminu

W sprawach szczególnie skomplikowanych lub przy dużej liczbie wniosków, termin ten może zostać przedłużony o kolejne dwa miesiące. Jednakże, aby przedłużenie było legalne, administrator musi w ciągu pierwszego miesiąca poinformować wnioskodawcę o opóźnieniu, podając konkretne, obiektywne przyczyny przedłużenia terminu.

Jak prawidłowo sformułować decyzję o odmowie?

Decyzja o odmowie realizacji praw RODO nie może być lakonicznym pismem informującym o braku zgody. Musi to być dokument spełniający wysokie standardy formalno-prawne. Prawidłowo sporządzona odmowa powinna zawierać:

Oznaczenie administratora: Pełne dane biura rachunkowego.
Datę i miejsce sporządzenia pisma.
Dane wnioskodawcy.
Jasne określenie zakresu odmowy: Wskazanie, których konkretnie praw i danych dotyczy odmowa.
Uzasadnienie faktyczne: Wyjaśnienie okoliczności sprawy (np. wskazanie, że wnioskodawca był zatrudniony w okresie X-Y, a jego dokumentacja płacowa musi być przechowywana).
Uzasadnienie prawne: Powołanie się na konkretne przepisy RODO (np. art. 17 ust. 3 lit. b) oraz przepisy krajowe (np. art. 74 ustawy o rachunkowości).
Pouczenie o prawie do wniesienia skargi: Wyraźna informacja o prawie do złożenia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
Pouczenie o prawie do drogi sądowej: Informacja o możliwości wniesienia pozwu do sądu powszechnego przeciwko administratorowi.

Dalsze kroki prawne wnioskodawcy po otrzymaniu odmowy

Osoba, która otrzymała decyzję odmowną, a uważa, że jej prawa zostały naruszone, ma do dyspozycji dwa niezależne tory postępowania prawnego.

Postępowanie przed Prezesem Urzędu Ochrony Danych Osobowych (PUODO)

Wnioskodawca może złożyć skargę do PUODO jako wyspecjalizowanego organu nadzorczego. W skardze należy opisać stan faktyczny, załączyć kopię korespondencji z biurem rachunkowym oraz wskazać, jakich działań oczekuje się od organu. PUODO wszczyna postępowanie administracyjne, w toku którego bada, czy odmowa była uzasadniona. Postępowanie to może zakończyć się nakazem spełnienia żądania, a w przypadku stwierdzenia rażących zaniedbań po stronie biura rachunkowego – nałożeniem administracyjnej kary pieniężnej.

Skarga do sądu powszechnego (powództwo cywilne)

Niezależnie od skargi do PUODO, osoba, której dane dotyczą, może dochodzić swoich praw na drodze cywilnej na podstawie art. 79 RODO. W pozwie skierowanym przeciwko biuru rachunkowemu można żądać nakazania określonego zachowania, a także domagać się odszkodowania za szkodę majątkową lub zadośćuczynienia za doznaną krzywdę (szkodę niemajątkową) wynikającą z bezprawnego przetwarzania danych lub nieuzasadnionej odmowy realizacji praw.

Najczęstsze błędy popełniane przez biura rachunkowe

W praktyce doradczej i kontrolnej można wyróżnić kilka kardynalnych błędów, które popełniają biura rachunkowe w procesie obsługi żądań RODO:

Brak reakcji na wnioski (milczenie): Ignorowanie pism od byłych pracowników lub klientów w nadziei, że sprawa ucichnie. Jest to najprostsza droga do otrzymania kary od PUODO.
Przekroczenie terminu: Udzielenie odpowiedzi po upływie miesiąca bez uprzedniego, formalnego przedłużenia terminu.
Niewłaściwe pouczenie: Pominięcie w piśmie odmownym informacji o prawie do skargi do PUODO oraz drogi sądowej, co stanowi bezpośrednie naruszenie art. 12 ust. 4 RODO.
Brak dokumentowania odmów: Niewpisywanie odmów do rejestru żądań, co uniemożliwia wykazanie zasady rozliczalności podczas kontroli.

Praktyczny przykład (Case Study)

Pan Jan, były klient biura rachunkowego (prowadzący wcześniej jednoosobową działalność gospodarczą), rozwiązał umowę o obsługę księgową w grudniu 2023 roku. W marcu 2024 roku skierował do biura rachunkowego pisemny wniosek o całkowite usunięcie jego danych osobowych z bazy danych biura, w tym danych dotyczących jego faktur przychodowych i kosztowych. Biuro rachunkowe, będąc administratorem tych danych w zakresie rozliczeń własnych (faktury wystawione Panu Janowi za usługi księgowe), przeanalizowało wniosek. Prawidłowo zidentyfikowało, że dane te muszą być przechowywane ze względu na przepisy podatkowe (obowiązek przechowywania dokumentacji podatkowej przez 5 lat). Biuro sporządziło formalne pismo odmowne, wskazując jako podstawę prawną art. 17 ust. 3 lit. b RODO w związku z art. 86 Ordynacji podatkowej. W piśmie zawarto pełne uzasadnienie oraz pouczenie o prawie do wniesienia skargi do PUODO i prawie do drogi sądowej. Odpowiedź została wysłana listem poleconym w terminie 14 dni od otrzymania wniosku, a całe zdarzenie odnotowano w Rejestrze Żądań Osób, Których Dane Dotyczą. Postępowanie biura rachunkowego w tym przypadku było w pełni prawidłowe i zgodne z najwyższymi standardami RODO.

Podsumowanie i rekomendacje dla biur rachunkowych

Prawidłowe zarządzanie dokumentacją RODO w biurze rachunkowym to nie tylko kwestia unikania kar finansowych, ale także budowania wizerunku profesjonalnego i godnego zaufania partnera biznesowego. Każda odmowa realizacji praw wnioskodawcy musi być traktowana jako proces podwyższonego ryzyka prawnego. Kluczowe rekomendacje dla właścicieli biur rachunkowych obejmują regularne szkolenia personelu z zakresu procedur RODO, prowadzenie rzetelnego rejestru żądań oraz ścisłe monitorowanie terminów ustawowych. Pamiętajmy, że dobrze uzasadniona odmowa, poparta odpowiednimi przepisami prawa powszechnego, chroni biuro przed zarzutami bezprawności i pozwala na skuteczną obronę przed organem nadzorczym.