Przetwarzanie danych osobowych przez pracodawców dla celów ZFŚS

1) Czy nowe przepisy dotyczące ochrony danych osobowych powodują konieczność zmian w regulaminie zakładowego funduszu świadczeń socjalnych?

Tak, konieczna jest aktualizacja zapisów regulaminu zakładowego funduszu świadczeń socjalnych (dalej Funduszu) w kontekście RODO, a także polskich przepisów uzupełniających te regulacje. Od 25 maja 2018 r., czyli od dnia obowiązywania RODO, pracodawca powinien doprowadzić do spójności zapisów regulaminu z zasadami określonymi w art. 5 w związku z motywami 39-47, 58 i 60 preambuły RODO, tj.: zgodności z prawem, rzetelności i przejrzystości, ograniczenia celu, minimalizacji danych, prawidłowości, ograniczenia przechowywania danych, integralności i poufności oraz rozliczalności. To oznacza, iż w regulaminie Funduszu musi wskazać:

swoje dane jako podmiotu uprawnionego do zbierania danych osobowych osób uprawnionych do korzystania z zakładowego funduszu świadczeń socjalnych, dalej Funduszu, jeśli ich wcześniej w nim nie umieścił,
cel przetwarzania danych tych osób, czyli realizację przysługujących im uprawnień z Funduszu,
podstawę prawną przetwarzania danych, tj. art. 8 ustawy z dnia 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych (Dz. U. z 2017 r. poz. 2191 ze zm.), dalej ustawy w związku z art. 6 ust. 1 lit. c RODO,
czas przechowywania danych zredukowany do minimum adekwatnego do realizacji celu.

Zwracamy uwagę! Doprecyzowanie tych reguł następuje w krajowych przepisach, przy czym ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, nie zajmuje się zagadnieniem przetwarzania danych dla celów Funduszu. Czyni to natomiast art. 27 projektu ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679 (poprzednia nazwa: projekt ustawy - Przepisy wprowadzające ustawę o ochronie danych osobowych), dalej projekt ustawy, nowelizując art. 8 ustawy o zakładowym funduszu świadczeń socjalnych. Po zmianie przepis ten ma zobowiązywać osoby uprawnione do korzystania z Funduszu do przekazywania swoich danych w tym celu w formie oświadczenia. Wspomnijmy, że na gruncie RODO taką formę przedstawiania danych w tych okolicznościach też da się wyprowadzić - skoro jest ona zapisana wprost w odniesieniu do zgody na przetwarzanie danych, to tym bardziej powinna mieć zastosowanie w razie realizacji obowiązków prawnych. W formie oświadczeń, jak i też zaświadczeń, osoby te będą obowiązane potwierdzić sytuację życiową (w tym zdrowotną), rodzinną i materialną (tzw. kryterium socjalne stanowiące podstawową przesłankę rozdysponowywania środków Funduszu), ponieważ pracodawcy ma przysługiwać prawo (tak jak obecnie) żądania udokumentowania tych danych, aby przyznać świadczenia z Funduszu.

Projekt ustawy przewiduje także, że pracodawca będzie mógł przetwarzać dane osób uprawnionych wyłącznie w celu i w zakresie niezbędnym do przyznania ulgowych usług i świadczeń oraz dopłat z Funduszu, a także do ustalenia ich wysokości. Zobowiązuje go ponadto do przechowywania tych danych nie dłużej niż jest to niezbędne do realizacji tych celów oraz przez okres dochodzenia do nich praw lub roszczeń, a także obliguje do uwzględnienia tych zasad w regulaminie Funduszu. Z racji bezpośredniego obowiązywania RODO, pracodawca powinien zmodyfikować postanowienia regulaminu, nie czekając na wejście w życie proponowanych rozwiązań krajowych (są w trakcie prac legislacyjnych), zwłaszcza, że ich treść jest skorelowana z RODO.

Przykład

Zakładając, że pracodawca w postanowieniach regulaminu Funduszu określił swoje dane oraz podstawy prawne sporządzenia Funduszu dodawane zapisy mogą otrzymać następujące brzmienie:

Ochrona danych osobowych osób uprawnionych

1. Dane osób uprawnionych są przetwarzane na podstawie art. 8 ustawy o zakładowym funduszu świadczeń socjalnych w związku z art. 6 ust. 1 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych... (Dz. Urz. UE L119/1 z 4.5.2016).

2. Dane osób uprawnionych są przetwarzane przez pracodawcę oraz działających w jego imieniu i z jego upoważnienia członków zakładowej komisji socjalnej, zobowiązanych do zachowania w tajemnicy danych w okresie wykonywania funkcji w komisji oraz po jej zakończeniu.

3. Dane osób uprawnionych są przetwarzane wyłącznie w celu realizacji uprawnień do uzyskania świadczeń z Funduszu.

4. Osoby uprawnione przekazują swoje dane osobowe w formie oświadczenia pisemnego lub elektronicznego, stanowiącego część wniosku o przyznanie świadczenia z Funduszu lub osobnego dokumentu, jeśli jest to konieczne. W przypadku potwierdzania danych dokumentujących spełnienie kryterium socjalnego osoby uprawnione przedstawiają oświadczenia i zaświadczenia.

5. Dane osobowe osób uprawnionych są przechowywane przez okres ubiegania się o świadczenie, jego ustalenie i realizację, a także okres 3 lat od dnia wymagalności roszczenia, zgodnie z art. 291 § 1 K.p. Po upływie tego okresu są niszczone w sposób uniemożliwiający ich odtworzenie.

6. Osoba uprawniona ma prawo do uzyskania dostępu do swoich danych, żądania sprostowania lub usunięcia (bycia zapomnianym) danych albo ograniczenia ich przetwarzania, przenoszenia danych do innego administratora, otrzymanych w ustrukturyzowanym formacie (np. w pliku pdf), sprzeciwu wobec przetwarzania danych.

W świetle RODO aktualna pozostaje interpretacja GIODO dotycząca przedstawiania przez osoby uprawnione i członków ich rodzin rocznego zeznania podatkowego do wglądu pracodawcy na okoliczność potwierdzenia kryterium dochodowego, gdy osoba uprawniona ma dodatkowe źródła dochodów oprócz stosunku pracy u tego pracodawcy (np. prowadzi działalność gospodarczą). Główny Inspektor Ochrony Danych Osobowych (obecnie Urząd Ochrony Danych Osobowych) w stanowisku dostępnym na stronie internetowej www.giodo.gov.pl zauważa, że takie żądanie zapisane w regulaminie jest zgodne z prawem (to się nie zmieniło po wejściu w życie RODO) i merytorycznie poprawne, ponieważ jest dokonywane w celu wykonywania uprawnień z Funduszu. Przypomina także, że linia orzecznicza skłania się do respektowania oświadczeń o wysokości dochodu przypadającego na jednego członka rodziny ze wskazaniem liczby osób i ich wieku, składających się na rodzinę pracownika (por. uzasadnienie wyroku SA w Poznaniu z 7 sierpnia 2014 r., sygn. akt III AUa 2028/13). Można mieć jedynie wątpliwości co do informacji w sprawie wieku członka rodziny, chyba że jest niezbędna do nabycia prawa do świadczenia. Takie oświadczenia są też wystarczające zgodnie z RODO i projektem ustawy.

2) Jak pozyskiwać informacje o członkach rodziny, np. w sytuacji, gdy ze świadczeń z Funduszu mogą korzystać konkubenci i ich dzieci?

Dane osób uprawnionych w celu korzystania ze świadczeń Funduszu pracodawca pozyskuje na podstawie art. 8 ustawy o zakładowym funduszu świadczeń socjalnych w związku z art. 6 ust. 1 lit. c RODO. Dotyczy to również osób wymienionych w pytaniu, o ile regulamin Funduszu zalicza ich do kręgu uprawnionych. W tym przypadku nie ma wymogu zbierania zgód, ponieważ wymienione przepisy są wystarczającą podstawą do żądania podania danych i ich przetwarzania. Efektem odmowy udostępnienia danych będzie odmowa przyznania świadczeń z Funduszu.

3) Czy drugi rodzic dziecka osoby uprawnionej do korzystania ze świadczeń Funduszu musi wyrazić zgodę na przetwarzanie danych tego dziecka?

Nie, zgoda w tym przypadku nie jest wymagana. W razie korzystania ze świadczeń Funduszu nie chodzi bowiem o przetwarzanie danych dziecka w celach marketingowych, do tworzenia profilu osobowego lub użytkownika czy w celu kierowania usług bezpośrednio do niego, kiedy działa szczególna ochrona danych dziecka (motyw 38 preambuły RODO). Nie są to także usługi społeczeństwa informacyjnego, w stosunku do których wymagana jest zgoda rodzica lub opiekuna dziecka do 16. roku życia (art. 8 RODO). Tutaj podstawą działań pracodawcy są konkretne przepisy, wskazane w dwóch poprzednich odpowiedziach.