ÞJÓNUSTA Á LITLUM MARKAÐI
Ábyrgðin hverfur ekki við útvistun
Fyrirtæki sem útvistar þjónustu við viðskiptavini kann að þekkja verktakann sem það semur við án þess að vita hver sinnir erindum viðskiptavinanna á endanum.
Vita þarf hver vinnur verkið
Tökum ímyndað fyrirkomulag sem dæmi. Þjónustuaðili í einu Evrópulandi felur verkið undirverktaka sem síðan ræður fyrirtæki utan Evrópu til þess. Eftir nokkra slíka samninga gæti sá sem svarar spurningu viðskiptavinar starfað hjá fyrirtæki sem upphaflegi kaupandi þjónustunnar hefur aldrei átt bein samskipti við.
Þetta fyrirkomulag er ekki endilega ólöglegt. Það vekur þó mikilvægar spurningar. Hver er vinnuveitandi þess sem sinnir erindinu? Hvaða réttinda og verndar nýtur starfsmaðurinn? Hver hefur umsjón með vinnu hans? Hver hefur aðgang að upplýsingum um viðskiptavini? Og hvað gerist ef eitthvað fer úrskeiðis?
Ólíkar skyldur hafa ólíkt gildissvið
Reglur Evrópusambandsins um útsenda starfsmenn fela í sér ákvæði um ábyrgð í undirverktakakeðjum, einkum í byggingarstarfsemi. Íslensk lög um opinber innkaup hafa einnig að geyma reglur um keðjuábyrgð sem vernda starfsfólk. Þessar reglur eiga við afmarkaðar lagalegar aðstæður. Þær eru ekki ein almenn regla sem gerir alla kaupendur útvistaðrar þjónustu ábyrga fyrir öllum skyldum undirverktaka gagnvart starfsfólki.
Persónuvernd bætir annarri hlið við málið. Þegar persónuverndarreglugerð Evrópusambandsins, GDPR, á við og þjónustuaðili vinnur persónuupplýsingar fyrir hönd kaupanda þjónustunnar ber ábyrgðaraðila að nota vinnsluaðila sem veita fullnægjandi tryggingar. Til að fela undirvinnsluaðila vinnslu þarf fyrirfram veitta, sértæka eða almenna skriflega heimild frá ábyrgðaraðila. Upphaflegi vinnsluaðilinn ber áfram ábyrgð gagnvart ábyrgðaraðilanum á persónuverndarskyldum undirvinnsluaðilans. Samkvæmt leiðbeiningum Evrópska persónuverndarráðsins ættu ábyrgðaraðilar að hafa tiltækar upplýsingar um hverjir vinnsluaðilar og undirvinnsluaðilar eru á öllum stigum keðjunnar.
Gerðu ábyrgðina sýnilega
Þegar fyrirtæki velur sér samstarfsaðila um útvistun geta milliliðir haft áhrif á gagnsæi, eftirlit og möguleika þess til að sýna fram á að farið sé að reglum. Auðveldara getur verið að átta sig á styttri keðju, en lengd hennar ein og sér sannar hvorki að ráðningarsambönd séu lögmæt né að persónuvernd sé í lagi.
Við mælum með því að skráð sé hver vinnur verkið, á hvaða grundvelli viðkomandi starfar, hver hefur umsjón með vinnunni og hvaða upplýsingum viðkomandi hefur aðgang að. Semdu um hvernig tilkynnt er um breytingar á þessu fyrirkomulagi og hver tekur ábyrgð þegar sinna þarf erindi, álitaefni um ráðningu eða starfskjör eða atviki sem varðar meðferð gagna.
Hagnýtt ráð
Spurningin er ekki aðeins hver svarar viðskiptavininum, heldur hvort fyrirtækið viti hver stendur að baki svarinu.
Samhengi og takmarkanir
Þetta er almenn umfjöllun, ekki ráðgjöf um tiltekinn samning. Hvaða skyldur gilda fer eftir vinnunni, lögsögu og raunverulegum hlutverkum aðila við vinnslu persónuupplýsinga. Flutningur persónuupplýsinga milli landa getur kallað á viðbótarverndarráðstafanir. Útvistun leysir hvorugan aðilann sjálfkrafa undan skyldum sínum.