Archiwizacja e-dokumentów

Archiwizacja, przechowywanie e-dokumentów pracowniczych i podatkowych (PIT-11, 8C i PIT-4R) osób zatrudnionych, online - w chmurze - i offline - na komputerze.

Szereg dokumentów związanych z zatrudnieniem musi być przechowywany oraz archiwizowany. Przepisy ustalają katalog danych objętych tymi obowiązkami, a także precyzują okres, przez który muszą znajdować się u płatników. Nie wskazują jednak formy w jakiej archiwizacji należy dokonać, a odpowiedzialność w tym zakresie, pod rygorem kary grzywny, przenoszą na sporządzającego dokumentację. Czy dopuszczalne jest zatem elektroniczne prowadzenie dokumentacji kadrowej, płacowej lub podatkowej, związanej z zatrudnieniem?

Obecnie okres archiwizacji dokumentów pracowniczych wynosi 10 lat a w przypadku dokumentacji ZUS - do 10 lat pod warunkiem, że przekazany zostanie do organów ZUS raport informacyjny. Wyłącznie w organach archiwizujących obowiązuje termin 50 letni.  

Dokumentacja kadrowa – stosunek pracy

W związku z umową o pracę, pracodawca zobowiązany jest w szczególności do prowadzenia:

• oddzielne dla każdego pracownika akt osobowych;
• dokumentacji dotyczącej podejrzeń o choroby zawodowe, chorób zawodowych, wypadków przy pracy oraz wypadków w drodze do pracy i z pracy, a także świadczeń związanych z tymi chorobami i wypadkami;
• karty ewidencji czasu pracy;
• karty ewidencyjnej przydziału odzieży i obuwia roboczego oraz środków ochrony indywidualnej i wypłaty ekwiwalentu pieniężnego za używanie własnej odzieży i obuwia oraz ich pranie i konserwację,

Na pracodawców nałożono również obowiązek przechowywania listy płac, karty wynagrodzeń albo innych dowodów, na podstawie których następuje ustalenie podstawy wymiaru emerytury lub renty.

Zgodnie z art. 51u ustawy o narodowym zasobie archiwalnym i archiwach, w przypadku postawienia pracodawcy w stan likwidacji lub ogłoszenia jego upadłości, pracodawca wskazuje podmiot prowadzący działalność w dziedzinie przechowywania dokumentacji, któremu zostanie ona przekazana do dalszego przechowywania, zapewniając na ten cel środki finansowe na czas, jaki pozostał do końca 50-letniego okresu przechowywania dokumentacji liczonego:

• od dnia zakończenia pracy u danego pracodawcy– dla dokumentacji osobowej;
• od dnia wytworzenia– dla dokumentacji płacowej.

Dokumentacja kadrowa – umowy cywilnoprawne

Do prowadzenia dokumentacji pracowniczej obowiązany jest nie tylko pracodawca, lecz każdy inny płatnik. Zgodnie z art. 125 a ust. 4 ustawy o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych  płatnik składek musi przechowywać listy płac, karty wynagrodzeń albo inne dowody, na podstawie których następuje ustalenie podstawy wymiaru emerytury lub renty, przez okres 50 lat od dnia zakończenia przez ubezpieczonego pracy u danego płatnika.

Okres przechowywania dokumentacji kadrowej

Zgodnie z przepisem art. 51u ust. 1 ustawy o narodowym zasobie archiwalnym i archiwach dokumentacja pracownicza powinna być przechowywana przez 50 lat, licząc od dnia zakończenia stosunku pracy u danego pracodawcy, a dokumentacja płacowa - także 50 lat, z tym że licząc od daty jej wytworzenia.

W stosunku do umów cywilnoprawnych na podstawie art. 125a ust. 4 ustawy o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych płatnik składek jest zobowiązany przechowywać listy płac, karty wynagrodzeń albo inne dowody, na podstawie których następuje ustalenie podstawy wymiaru emerytury lub renty, przez okres 50 lat od dnia zakończenia przez ubezpieczonego pracy u danego płatnika.

Dokumentacja podatkowa zatrudnionego i okres jej przechowywania

Przechowywanie dokumentacji podatkowej musi się odbywać nie krócej niż do przedawnienia się zobowiązań podatkowych wynikających z opłacanych zaliczek oraz z realizacji funkcji płatnika. W efekcie dokumenty dla celów podatkowych muszą być przechowywane co najmniej przez pełnych 7 lat od daty ich pobrania lub daty wykonania określonej czynności związanej z podatkami. Dotyczy to w szczególności:

• danych dotyczących kwoty pobieranych i wpłacanych zaliczek na podatek,
• daty pobrania i zapłaty na rzecz organów skarbowych zaliczek na podatek,
• dat i treści oświadczeń pracowniczych wpływających na kwestie ustalania wysokości zaliczek,
• dat, w tym dat otrzymania przez adresata i treści wypełnionych deklaracji i informacji podatkowych (wystawianych na rzecz pracownika jak i na rzecz organów skarbowych),
• przekazywanych przez zatrudnionego danych informacyjnych dla celów podatkowych.

Forma przechowywania dokumentacji kadrowej i podatkowej – papierowo czy elektronicznie

Przepisy nie wskazują formy, w jakiej należy przechowywać archiwizowane oraz bieżące dokumenty kadrowe (w tym osobowe) i podatkowe. To pracodawca decyduje, czy dla każdego pracownika założy teczkę imienną i będzie do niej wpinać imienne karty wynagrodzeń za kolejne lata zatrudnienia, czy też będzie przechowywać te dokumenty za każdy rok oddzielnie, gdzie w jednej teczce będą te dokumenty wystawione dla wszystkich pracowników za dany rok.

Niezależnie od przyjętej formy istnieją dokumenty, których archiwizacja w formie elektronicznej nie będzie możliwa bez podstaw prawnych regulujących tę metodę przechowywania. Dotyczy to w szczególności dokumentów podpisanych własnoręcznie przez pracownika bez korzystania z elektronicznej formy udostępniania zatrudniającemu tych oświadczeń (podpisanych np. z wykorzystaniem podpisu czy profilu zaufanego). Skan dokumentu podpisany własnoręcznie nie będzie bowiem równoznaczny formie pisemnej przyjętego dokumentu i nie będzie miał tej samej wagi, co dokument pisemny.

Natomiast przepisy nie zawierają ograniczeń co do elektronicznego przechowywania wszystkich pozostałych dokumentów zatrudniającego. Tworząc elektroniczną teczkę – czy to spraw bieżących, czy to spraw zarchiwizowanych należy pamiętać przede wszystkim o działaniu chroniącym posiadane dane osobowe. Administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.

Elektronicznie e-dokumenty – czyli co najmniej ze zwiększonymi standardami ochrony danych

Forma archiwizacji dokumentacji kadrowej i podatkowej ma wpływ na standardy bezpieczeństwa, jakie firma musi spełnić w związku z przechowywaniem danych osobowych zatrudnionych. Nie ma automatycznego obowiązku powoływania w związku z archiwizacją dokumentów administratora bezpieczeństwa informacji. Nie ma również obowiązku rejestracji zbioru danych archiwizowanych w GIODO (RODO) -  o ile chodzi wyłącznie o dane przetwarzane w związku z zatrudnieniem, świadczeniem usług na podstawie umów cywilnoprawnych, a także dotyczących osób zrzeszonych lub uczących się w podmiocie posiadającym dane.

W przypadku archiwizacji papierowej lub przechowywania danych pracownioczych lub związanych z innymi zawartymi umowami cywilnoprawnymi, niezbędnym jest co najmniej utworzenie polityki bezpieczeństwa zawierającej w szczególności:

1) wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe;

2) wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych;

3) opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi;

4) sposób przepływu danych pomiędzy poszczególnymi systemami;

5) określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych.

Archiwizacja danych kadrowych i podatkowych offline – bez dostępu do internetu

Jeżeli przetwarzane dane wprowadzone zostały do komputera niepodłączonego do sieci Internet niezbędne jest również stworzenie instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych oraz ustalenia poziomu bezpieczeństwa przetwarzania danych osobowych w systemie informatycznym w stopniu co najmniej podstawowym. W takim przypadku:

1. Obszary miejsc w firmie, w których przetwarzane są dane, zabezpiecza się przed dostępem osób nieuprawnionych na czas nieobecności w nim osób upoważnionych do przetwarzania danych osobowych.
2. Przebywanie osób nieuprawnionych w tym obszarze jest dopuszczalne za zgodą administratora danych lub w obecności osoby upoważnionej do przetwarzania danych osobowych.
3. W systemie informatycznym służącym do przetwarzania danych osobowych stosuje się mechanizmy kontroli dostępu do tych danych.
4. Jeżeli dostęp do danych przetwarzanych w systemie informatycznym posiadają co najmniej dwie osoby, wówczas zapewnia się, aby:
   1. w systemie tym rejestrowany był dla każdego użytkownika odrębny identyfikator;
   2. dostęp do danych był możliwy wyłącznie po wprowadzeniu identyfikatora i dokonaniu uwierzytelnienia.
5. System informatyczny służący do przetwarzania danych osobowych zabezpiecza się, w szczególności przed:
   1. działaniem oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu informatycznego;
   2. utratą danych spowodowaną awarią zasilania lub zakłóceniami w sieci zasilającej.
6. Identyfikator użytkownika, który utracił uprawnienia do przetwarzania danych, nie może być przydzielony innej osobie.
7. W przypadku gdy do uwierzytelniania użytkowników używa się hasła, jego zmiana następuje nie rzadziej niż co 30 dni. Hasło składa się co najmniej z 6 znaków.
8. Dane osobowe przetwarzane w systemie informatycznym zabezpiecza się przez wykonywanie kopii zapasowych zbiorów danych oraz programów służących do przetwarzania danych.
9. Kopie zapasowe:
   1. przechowuje się w miejscach zabezpieczających je przed nieuprawnionym przejęciem, modyfikacją, uszkodzeniem lub zniszczeniem;
   2. usuwa się niezwłocznie po ustaniu ich użyteczności.
10. Osoba użytkująca komputer przenośny zawierający dane osobowe zachowuje szczególną ostrożność podczas jego transportu, przechowywania i użytkowania poza obszarem miejsca przechowywania danych w zakładzie pracy, w tym stosuje środki ochrony kryptograficznej wobec przetwarzanych danych osobowych.
11. Urządzenia, dyski lub inne elektroniczne nośniki informacji, zawierające dane osobowe, przeznaczone do:
    1. likwidacji - pozbawia się wcześniej zapisu tych danych, a w przypadku gdy nie jest to możliwe, uszkadza się w sposób uniemożliwiający ich odczytanie;
    2. przekazania podmiotowi nieuprawnionemu do przetwarzania danych - pozbawia się wcześniej zapisu tych danych, w sposób uniemożliwiający ich odzyskanie;
    3. naprawy - pozbawia się wcześniej zapisu tych danych w sposób uniemożliwiający ich odzyskanie albo naprawia się je pod nadzorem osoby upoważnionej przez administratora danych.
12. Administrator danych monitoruje wdrożone zabezpieczenia systemu informatycznego. 

Archiwizacja Online (w tym w chmurze) – z podłączeniem do sieci Internet

W przypadku dostępu do sieci online w urządzeniu służącym do gromadzenia/archiwizowania danych stosować należy środki bezpieczeństwa na poziomie podstawowym oraz dodatkowo – podwyższonym i wysokim. Powoduje to, że należy oprócz polityki bezpieczeństwa, instrukcji korzystania z sieci oraz zabezpieczenia zgodnie z zasadami podstawowymi, stosować następujące zabezpieczenia:

1. w przypadku gdy do uwierzytelniania użytkowników używa się hasła, składa się ono co najmniej z 8 znaków, zawiera małe i wielkie litery oraz cyfry lub znaki specjalne.
2. urządzenia i nośniki zawierające dane osobowe, o których mowa w art. 27 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, przekazywane poza obszar budynku firmy służącego do przetwarzania danych, zabezpiecza się w sposób zapewniający poufność i integralność tych danych.
3. instrukcja zarządzania systemem informatycznym – w stosunku do danych przekazywanych poza obszar pomieszczeń siedziby przedsiębiorstwa (np. przechowywanych w chmurze) rozszerza się o sposób stosowania środków zapewniający poufność i integralność tych danych.
4. System informatyczny służący do przetwarzania danych osobowych chroni się przed zagrożeniami pochodzącymi z sieci publicznej poprzez wdrożenie fizycznych lub logicznych zabezpieczeń chroniących przed nieuprawnionym dostępem.
5. W przypadku zastosowania logicznych zabezpieczeń, obejmują one:
   1. kontrolę przepływu informacji pomiędzy systemem informatycznym administratora danych a siecią publiczną;
   2. kontrolę działań inicjowanych z sieci publicznej i systemu informatycznego administratora danych.
6. Administrator danych stosuje środki kryptograficznej ochrony wobec danych wykorzystywanych do uwierzytelnienia, które są przesyłane w sieci publicznej.

Archiwizacja i przechowywanie danych kadrowych i podatkowych w chmurze

Przechowywanie danych w chmurze odbywać się musi na zasadzie zachowania co najmniej najwyższego stopnia zabezpieczenia danych oraz – jeśli inne podmioty mają również dostęp do chmury – na zasadzie powierzenia danych osób zatrudnionych do administrowania. Zgodnie z przepisami o ochronie danych, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie. Jako, że chodzi wyłącznie o powierzenie gromadzenia danych związanych z zatrudnieniem, powierzenie nie wymaga uzyskiwania dodatkowych zgód ze strony zatrudnionych na wykorzystanie takiego podmiotu trzeciego do archiwizacji.