Pracodawcy użytkownicy, na których terenie i pod których faktycznym nadzorem wykonują zadania pracownicy tymczasowi, czują się odpowiedzialni za bezpieczeństwo i jakość pracy. Chcąc dochować należytej staranności, często proszą agencje pracy tymczasowej (APT) o szczegółowe dane pracowników, w tym o kopie dokumentów potwierdzających ich tożsamość, kwalifikacje czy legalność pobytu. Problem jest palący, zwłaszcza w kontekście zatrudniania cudzoziemców. Tymczasem relacje między agencją, pracownikiem a pracodawcą użytkownikiem są ściśle uregulowane, a RODO nie pozwala na dowolność w przepływie danych, o czym przypomina w najnowszym stanowisku prezes UODO.

Zwraca w nim uwagę na fundamentalną zasadę, zgodnie z którą to agencja pracy tymczasowej, a nie pracodawca użytkownik, jest pracodawcą w rozumieniu kodeksu pracy. To na niej spoczywają obowiązki pracodawcy, a przepisy o zatrudnianiu pracowników tymczasowych precyzyjnie określają zakres obowiązków obu stron. Uprawnienia te nie są tożsame. W związku z tym pracodawca użytkownik nie może żądać od agencji danych na takich samych zasadach, jakby sam zatrudniał pracownika.

W swoim piśmie UODO podkreśla, że podstawą do oceny legalności udostępniania danych są przede wszystkim przepisy branżowe, takie jak ustawa o zatrudnianiu pracowników tymczasowych (t.j. Dz.U. z 2025 r. poz. 236) oraz ustawa o warunkach dopuszczalności powierzania pracy cudzoziemcom na terytorium RP (Dz.U. z 2025 r. poz. 621), analizowane w powiązaniu z zasadami RODO.

„Uzasadniony interes” to nie wytrych według UODO

Wielu przedsiębiorców próbuje legalizować pozyskiwanie szerszego zakresu danych, powołując się na swój prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), argumentując go koniecznością zapewnienia bezpieczeństwa czy weryfikacji kompetencji. UODO stanowczo przestrzega przed takim podejściem. Organ wskazuje, że skoro obowiązki i uprawnienia obu podmiotów są uregulowane ustawowo, opieranie się na przesłance uzasadnionego interesu może stanowić próbę obejścia przepisów prawa. Zgodnie z wytycznymi Europejskiej Rady Ochrony Danych (EROD) przesłanka ta nie powinna być traktowana jako preferowany wariant ani nadmiernie rozszerzana w celu obejścia bardziej restrykcyjnych wymogów innych podstaw prawnych.

Szczególne ryzyko wiąże się z popularną praktyką kopiowania dokumentów tożsamości. UODO przypomina, że zasady RODO, w tym zasada minimalizacji, odnoszą się do wszystkich danych, niezależnie od formy ich przechowywania. Kopiując dokument, niemal zawsze pozyskuje się dane w zakresie szerszym, niż jest to dopuszczalne i konieczne do osiągnięcia celu. Urząd przytacza tu wymowne stanowisko sądu administracyjnego, który w wyroku z 24 maja 2024 r. (sygn. akt II SA/Wa 1788/23) orzekł, że utrwalenie danych osobowych poprzez wykonanie skanu dowodu tożsamości jest legalne wyłącznie wtedy, gdy taki obowiązek nakłada na bank przepis rangi ustawy.

Wyjątek potwierdza regułę

Czy zatem pracodawca użytkownik jest całkowicie pozbawiony możliwości weryfikacji? Nie do końca. Prawo przewiduje konkretne sytuacje, w których dane muszą zostać udostępnione. Doskonałym przykładem są pracownicy tymczasowi z zagranicy. Ustawa o warunkach dopuszczalności powierzania pracy cudzoziemcom wprost stanowi, że agencja pracy tymczasowej, na wniosek pracodawcy użytkownika, ma obowiązek przekazać mu kopię zezwolenia na pracę danego pracownika. Co więcej, sam pracodawca użytkownik jest wskazany w treści tego zezwolenia. To pokazuje, że ustawodawca przewidział mechanizmy kontrolne, ale są one precyzyjnie określone i ograniczone do konkretnych dokumentów i sytuacji.

Ostatecznie to na administratorze, czyli w tym kontekście również na pracodawcy użytkowniku, spoczywa obowiązek wykazania, że przetwarza dane zgodnie z zasadami RODO, w tym zgodnie z zasadą legalizmu. Mając świadomość istniejących wątpliwości, prezes UODO zapowiedział, że zagadnienie to zostanie uwzględnione w przygotowywanej aktualizacji poradnika dla pracodawców. Do tego czasu firmy muszą poruszać się po tym polu minowym z najwyższą ostrożnością. ©℗

To agencja pracy tymczasowej, a nie pracodawca użytkownik, jest pracodawcą w rozumieniu kodeksu pracy. Ich uprawnienia nie są tożsame