Body leasing a RODO: Jak skonstruować bezpieczną umowę pomiędzy firmą body leasingową a Klientem?

TL;DR: W umowach body leasingowych, umowa powierzenia (UPDO) nie zawsze jest potrzebna, a jej pochopne podpisanie to błąd, ponieważ kluczem jest fizyczna kontrola nad infrastrukturą IT. Dla obu stron umowy – klienta i firmy body leasingowej – zrozumienie tej prostej zasady jest fundamentem bezpiecznej, transparentnej i zgodnej z prawem współpracy. Ten artykuł da Wam wspólne narzędzie, by prawidłowo zdefiniować role, obowiązki i uniknąć dotkliwych kar.

Dlaczego RODO jest wyzwaniem zarówno dla firmy body leasingowej, jak i jej Klienta?

Współpraca w modelu body leasingowym to potężne narzędzie biznesowe, które kryje w sobie pułapkę prawną związaną z rozporządzeniem RODO. Błąd w kwalifikacji ról i obowiązków może kosztować obie strony – zarówno klienta zamawiającego usługę, jak i dostawcę delegującego specjalistę – nie tylko wysokie kary, ale i utratę wzajemnego zaufania. 

Problem polega na tym, że firmy często nie wiedzą, czy muszą podpisywać umowę powierzenia przetwarzania danych (UPDO) czy jednak jest to zbędne. Ta niepewność prowadzi często do podpisywania zbędnych dokumentów, które zamiast chronić, komplikują relacje i zaciemniają realny podział odpowiedzialności, a czasem wręcz mogą prowadzić do problemów prawnych. Czas to zmienić, wprowadzając jasne i zrozumiałe dla obu partnerów zasady gry.

Sprawdź również: Umowa na body leasing IT — na co zwrócić uwagę?

Zamów wzory umów IT!

Analiza ról stron umowy w modelu body leasingowym

Aby zrozumieć, kto za co odpowiada, należy porzucić klasyczne myślenie o umowie body leasingowej. Kluczem jest rozdzielenie analizy na dwa całkowicie niezależne kwestie. Takie podejście pozwali wam precyzyjnie określić swoje role i obowiązki, eliminując ryzyko po obu stronach kontraktu. Pierwsza kwestia dotyczy danych osobowych samego specjalisty, a druga – danych należących do klienta, które ten specjalista przetwarza.

Kwestia 1: Dane osobowe leasingowanego specjalisty

Pierwszy obszar dotyczy danych samego eksperta: jego imienia, nazwiska, kwalifikacji czy ewidencji czasu pracy. W tym zakresie obie strony umowy działają jako niezależni administratorzy danych.

Firma body leasingowa, jako formalny pracodawca lub zleceniodawca, przetwarza dane specjalisty do celów kadrowo-płacowych i realizacji umowy, samodzielnie określając cele i sposoby tego przetwarzania.

Klient, jako organizator pracy w projekcie, również przetwarza dane specjalisty, aby zarządzać zespołem, nadać mu dostępy do systemów czy prowadzić wewnętrzną komunikację – realizując własne, odrębne cele.

W tej relacji nie ma mowy o powierzeniu. Jest to jedynie udostępnienie danych między dwoma administratorami. Dlatego podpisywanie tutaj umowy powierzenia jest bezzasadne i niepotrzebnie komplikuje formalności.

Kwestia 2: Dane klienta w rękach wynajmowanego specjalisty – tutaj decydują fakty, a nie zapisy w umowie

Druga kwestia to sedno sprawy i źródło największych ryzyk. Chodzi o dane, których administratorem jest klient (np. bazy jego kontrahentów), a do których dostęp uzyskuje oddelegowany specjalista. W tym układzie klient zawsze jest Administratorem Danych, a specjalista działa z jego upoważnienia, niczym pracownik etatowy.

Pozostaje kluczowe pytanie: jaką rolę odgrywa tu firma body leasingowa? 

Odpowiedź zależy od jednego, fizycznego czynnika.

„Test Infrastruktury”, czyli narzędzie do oceny ryzyka i obowiązków

Tym czynnikiem jest kontrola nad środowiskiem (technicznym), w którym pracuje ekspert. To, kto dostarcza kluczowe narzędzia – sprzęt, oprogramowanie i dostęp do sieci – jednoznacznie definiuje role obu stron.

Scenariusz 1 (90% przypadków): Specjalista pracuje na infrastrukturze Klienta

To standardowy i najczęściej wykorzystywany model. Specjalista otrzymuje laptop od klienta, loguje się do jego sieci i pracuje na jego serwerach.

Dla Klienta: Oznacza to pełną kontrolę nad danymi i proste obowiązki – nadanie specjaliście upoważnienia i zobowiązanie go do poufności. Umowa powierzenia z firmą body leasingową jest zbędna.
Dla firmy body leasingowej: Jej rola ogranicza się do rekrutacji i delegowania personelu. Firma nie wchodzi w reżim RODO jako procesor, co znacząco upraszcza współpracę i redukuje formalności.

Scenariusz 2 (Rzadki, ale czasami pojawia się na mojej skrzynce): Specjalista pracuje na infrastrukturze firmy body leasingowej

Sytuacja zmienia się o 180 stopni, gdy specjalista pracuje na sprzęcie lub serwerach należących do firmy body leasingowej.

Dla Klienta: Korzystanie z usługi w tym modelu bez zawarcia UPDO jest poważnym naruszeniem RODO, narażającym firmę na wysokie kary.
Dla firmy body leasingowej: Udostępniając własną infrastrukturę, firma automatycznie przyjmuje na siebie rolę i odpowiedzialność podmiotu przetwarzającego (procesora). Brak UPDO w tej sytuacji jest naruszeniem nie tylko po stronie Klienta, ale również stanowi dla niej ogromne ryzyko prawne, finansowe i reputacyjne dla firmy body leasingowej.

Jak więc skonstruować umowę body leasingową zgodną z RODO?

Aby współpraca była bezpieczna i transparentna dla obu stron, należy wspólnie zadbać o kilka kluczowych elementów w umowie. Przede wszystkim, precyzyjnie ustalcie, która ze stron dostarcza sprzęt, oprogramowanie i inne narzędzia niezbędne do pracy. Samo fizyczne miejsce pracy ma dużo mniejsze znaczenie – najważniejsza jest infrastruktura IT i narzędzia.

Niezbędne jest włączenie do kontraktu zapisu, który jednoznacznie potwierdza, że dostawca personelu (firma body leasingowa) nie ma technicznego dostępu do danych, których administratorem jest klient. Klient ze swojej strony musi pamiętać o nadaniu każdemu specjaliście formalnego, imiennego upoważnienia do przetwarzania danych. Finalnie, obie strony powinny zadbać o to, by zakres przekazywanych wzajemnie danych był ograniczony do absolutnego minimum wymaganego przez prawo i cel współpracy.

Sprawdź również: Audyt umów B2B – nie czekaj, aż kontrola zapuka do drzwi!

Body leasing a RODO: podsumowanie

W relacjach body leasingowych wszystko sprowadza się do jednej, fizycznej zasady: kontrola nad infrastrukturą IT dyktuje podział ról i odpowiedzialności. Zastosowanie „Testu infrastruktury” przed podpisaniem umowy pozwoli obu stronom – klientowi, jak i firmie body leasingowej – precyzyjnie określić swoje obowiązki, uniknąć kosztownych błędów i zbudować trwałe partnerstwo oparte na zaufaniu i poszanowaniu prawa.

Potrzebujesz wsparcia prawnika IT? Napisz do mnie!