Unijne rozporządzenie daje tu kilka możliwości. A planowane zmiany, m.in. w ustawie o zakładowym funduszu świadczeń socjalnych, już wkrótce mogą te kwestie jeszcze uprościć.
Po 25 maja, kiedy to RODO, czyli ogólne rozporządzenie o ochronie danych, zaczęło być u nas stosowane, w szczególnej sytuacji znalazły się podmioty prowadzące zakładowy fundusz świadczeń socjalnych (ZFŚS). Są one zmuszone do przetwarzania danych osób uprawnionych, w tym także danych wrażliwych w rozumieniu RODO (np. dane medyczne), a także wrażliwych w bardziej potocznym rozumieniu tego słowa (np. dane o wysokości zarobków).
Niewątpliwie przetwarzanie danych osobowych jest w tym przypadku koniecznością – nie można bowiem zastosować kryteriów socjalnych i dokonać wypłaty niezidentyfikowanej osobie. Świadczenia ze środków ZFŚS mają charakter osobisty, a tym samym konieczna jest nie tylko identyfikacja danej osoby, lecz także informacje o jej stanie rodzinnym i majątkowym.
Podstawy i warunki
Przetwarzanie zwykłych danych osobowych jest w myśl art. 6 ust. 1 RODO zgodne z prawem, jeżeli jest spełniony co najmniej jeden z warunków określonych w tym przepisie. Na pierwszym miejscu jest zgoda osoby, której dane dotyczą. Przy czym nie musi być ona na piśmie, ale musi być wyraźna. Z kolei zgodnie z art. 7 RODO, jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych. Ustawodawca zastrzegł przy tym, że jeżeli osoba ta wyraża zgodę w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Część takiego oświadczenia osoby, której dane dotyczą, stanowiąca naruszenie niniejszego rozporządzenia, nie jest wiążąca.
!Członek rodziny jest wprost wymieniony w katalogu osób uprawnionych do świadczeń z ZFŚS. Nie jest to zatem członek rodziny osoby uprawnionej, tylko osoba uprawniona będąca członkiem rodziny pracownika.
Przetwarzanie danych na potrzeby funduszu socjalnego może więc odbywać się na podstawie zgody wyrażonej przy uwzględnieniu ww. warunków. Osoba uprawniona może np. złożyć zgodę na przetwarzanie jej danych osobowych (także medycznych) do celów ZFŚS wraz z wnioskiem o wypłatę zapomogi z tego funduszu. Dobrą wiadomością dla wszystkich, którzy jeszcze nie dodali na wnioskach dotyczących świadczeń z ZFŚS klauzuli o zgodzie, jest to, że osoba uprawniona może wyrazić ją także poprzez „wyraźne działanie potwierdzające”. W efekcie: skoro osoba uprawniona składa wniosek z własnej i nieprzymuszonej woli, to jest to równoznaczne z wyrażeniem zgody na przetwarzanie danych zawartych we wniosku i załącznikach, nawet jeśli nigdzie nie było klauzuli o wyrażeniu zgody.
Przetwarzanie jest również legalne, kiedy jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie takiej osoby przed zawarciem umowy. W naszym przypadku pracownik, składając wniosek, chce, żeby podjąć działania zmierzające do wypłaty danego świadczenia. Nie tylko więc wyraża zgodę, ale wręcz domaga się ich przetwarzania.
Kolejnym przypadkiem dającym prawo legalnego przetwarzania danych jest sytuacja, gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Także tu sytuacja jest dość prosta. Po pierwsze prowadzenie funduszu jest obowiązkiem pracodawcy (z wyjątkami). Z art. 16 kodeksu pracy wynika, że pracodawca, stosownie do możliwości i warunków, zaspokaja bytowe, socjalne i kulturalne potrzeby pracowników. Z kolei na mocy art. 3 ustawy o zakładowym funduszu świadczeń socjalnych (dalej: ustawa) jednostki publiczne tworzą ZFŚS bez względu na liczbę pracowników, dzień 1 stycznia wyniesie co najmniej 50 osób. Co prawda, podmioty tworzące fundusz z uwagi na wielkość zatrudnienia mogą się od tego obowiązku uwolnić na zasadach zawartych w art. 4 ustawy, ale dopóki tego nie zrobią, dopóty tworzenie ZFŚS jest obowiązkowe. Poza tym obligatoryjne jest także rozliczanie funduszu. Przepisy wprost wskazują, że pracodawca powinien uwzględniać przy tym sytuację życiową, rodzinną i materialną osób uprawnionych (art. 8 ustawy). Dodatkowo musi rozliczyć podatek dochodowy od wypłaconych świadczeń, a brak stosownej dokumentacji może np. uniemożliwić korzystanie ze zwolnienia podatkowego. Wolne od podatku są np. zapomogi z funduszu socjalnego otrzymane w przypadku indywidualnych zdarzeń losowych, klęsk żywiołowych, długotrwałej choroby lub śmierci – niezależnie od ich wysokości. Oczywiste jest zatem, że pracownik, który chce otrzymać zapomogę z tytułu długotrwałej choroby, musi udokumentować ten fakt, czyli przedstawić dokumentację medyczną (przynajmniej zaświadczenie lekarskie). Pracodawca musi zaś przetwarzać dane pracownika w tym zakresie i przechowywać dokumenty złożone przez pracownika do czasu przedawnienia zobowiązania podatkowego (brak dokumentacji może skutkować naliczeniem podatku od zapomogi).
Zamiast zgody oświadczenie
Być może już wkrótce odbieranie zgody pracownika na zbieranie i przetwarzanie danych na potrzeby ZFŚS nie będzie konieczne. Zmiany w tym zakresie przewiduje bowiem projekt ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679, który modyfikuje wiele ustaw, w tym m.in. ustawę o ZFŚS (obecnie projekt jest po konsultacjach publicznych i czeka na przyjęcie przez rząd). W myśl zaproponowanych w nim regulacji udostępnienie pracodawcy danych osobowych do celów funduszu socjalnego ma następować na podstawie oświadczenia pracownika. Przy czym dotyczy to danych nie tylko pracownika, lecz także innych osób uprawnionych do korzystania z ZFŚS, w tym np. rodzin pracowników. Pracodawca będzie miał też prawo żądać udokumentowania danych.
Ponadto projekt przewiduje nałożenie na pracodawcę obowiązku dokonania przeglądu przekazanych danych osobowych, nie rzadziej niż raz w roku kalendarzowym, w celu ustalenia niezbędności ich dalszego przechowywania, a także usunięcia tych danych, których dalsze przechowywanie jest zbędne dla realizacji celu określonego w ustawie o ZFŚS.
Szczególny charakter
Również przetwarzanie danych wrażliwych może odbywać się na podstawie zgody osoby, której dane dotyczą. Ale w art. 9 ust. 2 RODO mamy kilka dodatkowych warunków. Przetwarzanie takich danych jest dopuszczalne m.in. , jeżeli jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii Europejskiej lub prawem państwa członkowskiego bądź porozumieniem zbiorowym na mocy prawa państwa członkowskiego, przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą. ZFŚS jest niewątpliwie elementem prawa pracy, wobec czego mamy niemal z definicji spełniony warunek umożliwiający przetwarzanie danych osobowych.
Kluczowe pojęcia
•Dane osobowe to zgodnie z art. 4 pkt 1 RODO wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”).©℗
•Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie imienia i nazwiska, numeru identyfikacyjnego, danych o lokalizacji, identyfikatora internetowego lub jednego bądź kilku szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
•Dane wrażliwe to zgodnie z art. 9 ust. 1 RODO dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, dane biometryczne oraz dane dotyczące zdrowia, seksualności lub orientacji seksualnej.
Uwaga! Przetwarzanie danych wrażliwych jest co do zasady zabronione, a możliwe tylko przy spełnieniu dodatkowych warunków.
•Przetwarzanie to zgodnie z art. 4 pkt 2 RODO operacja lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany; taka jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
•Zgoda to w myśl art. 4 pkt 11 RODO dobrowolne, konkretne, świadome i jednoznaczne okazanie woli w formie oświadczenia lub wyraźnego działania potwierdzającego, za pomocą którego osoba, której dane dotyczą, przyzwala na przetwarzanie dotyczących jej danych osobowych.
Członkowie rodziny
Dodatkowe wątpliwości dotyczą możliwości przetwarzania danych członków rodziny pracownika. Należy przy tym zwrócić uwagę, że członek rodziny jest wprost wymieniony w katalogu osób uprawnionych (zob. art. 2 pkt 4 ustawy). Nie jest to zatem członek rodziny osoby uprawnionej, tylko osoba uprawniona będąca członkiem rodziny pracownika. Dlatego przetwarzanie jest dopuszczalne również w tym przypadku.
Rekomendacja
Z powyższego wynika, że przetwarzanie danych osobowych (także wrażliwych) osób uprawnionych na potrzeby ZFŚS jest w pełni dopuszczalne. Z oczywistych względów dodanie na wniosku klauzuli o wyrażeniu zgody jest zdecydowanie wskazane, ale przetwarzanie jest możliwe, nawet jeśli wniosek nie zawiera takiej klauzuli. Pracodawca musi jednak pamiętać, żeby przetwarzać dane zgodnie z zasadami określonymi w art. 5 RODO, w tym m.in. przetwarzanie powinno być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których dane są przetwarzane („minimalizacja danych”).
Podstawa prawna
Art. 4 pkt 1, 2 i 11, art. 9 ust. 1, art. 5, art. 6 ust. 1, art. 7, art. 9 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, RODO (Dz.Urz. UE z 2016 r. L 119, s. 1).
Art. 2 pkt 4, art. 3, 4 i 8 ustawy z 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych (t.j. Dz.U. z 2017 r. poz. 2191 ze zm.).
