Wielu pracodawców zastanawia się, w jaki sposób powinni traktować dane osobowe byłych i obecnych członków zarządu związku zawodowego. Czy informacje te podlegają np. przepisom RODO? Czy jest podstawa do ich przetwarzania i czy trzeba względem tych osób spełnić obowiązek informacyjny wynikający z art. 13 lub 14 RODO? Niedawno opublikowane stanowisko prezesa Urzędu Ochrony Danych Osobowych odpowiada na te pytania.
Szczególna kategoria
‒ Organ nadzorczy jednoznacznie stwierdził, że dane osobowe władz związku zawodowego podlegają przepisom RODO. Przypomniał również, że przynależność do związków zawodowych jest szczególną kategorią danych osobowych, co oznacza, że wykorzystanie takiej informacji wymaga spełnienia jednego z warunków wymienionych w art. 9 ust. 2 RODO – mówi Adam Klimowski, główny specjalista ds. ochrony danych osobowych w JAMANO sp. z o.o. Administrator poszukując odpowiedniej podstawy prawnej, musi więc odpowiedzieć na pytanie, jaką ma podstawę prawną i w jakim celu przetwarza dane osobowe członków zarządu związku zawodowego.
WAŻNE Przetwarzanie przez pracodawcę danych władz związków zawodowych reprezentujących interesy zatrudnionych można uznać za niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy.
UODO przywołuje, że w literaturze wskazuje się, iż „według prawa polskiego przynależnością do związków zawodowych mogą legitymować się pracownicy (bez względu na podstawę stosunku pracy), członkowie rolniczych spółdzielni produkcyjnych, osoby wykonujące pracę na podstawie umowy agencyjnej (o ile nie są one pracodawcami), emeryci i renciści, bezrobotni w rozumieniu przepisów o zatrudnieniu, osoby skierowane do zakładów pracy w celu odbycia służby zastępczej, jak również funkcjonariusze Policji, Straży Granicznej i Służby Więziennej oraz strażacy Państwowej Straży Pożarnej [art. 2 ustawy o związkach zawodowych (t.j. Dz.U. z 2019 r. poz. 263; dalej: uz.z.)]. Sam zaś związek zawodowy to dobrowolna i samorządna organizacja ludzi pracy powołana do reprezentowania i obrony ich praw, interesów zawodowych i socjalnych (art. 1 ust. 1 u.z.z.). Z uwagi na ten zakres podmiotowy omawiana kategoria danych może dotyczyć wyłącznie osób związanych ze sferą zatrudnienia.” („RODO. Ogólne rozporządzenie o ochronie danych. Komentarz”, red. E. Bielak-Jomaa, D. Lubasz, Warszawa 2018).
Organ nadzorczy wskazuje, że w związku z powyższym przetwarzanie przez pracodawcę danych osobowych władz związków zawodowych w celach określonych w art. 1 ust. 1 u.z.z. można uznać za „niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy”. A zatem właściwą podstawą prawną będzie art. 9 ust. 2 lit. b RODO.
Ustawa ważniejsza
UODO wyjaśnił, że nie ma potrzeby podawać dodatkowo innej podstawy prawnej do przetwarzania danych osobowych władz związku zawodowego. Część administratorów doszukiwała się takiej w art. 9 ust. 2 lit. e RODO („przetwarzanie szczególnych kategorii danych osobowych jest dopuszczalne, jeśli dane te zostały w sposób oczywisty upublicznione przez osobę, której dane dotyczą”). Chodzi o to, że zgodnie z art. 32 ust. 92 u.z.z. zarząd zakładowej organizacji związkowej lub komitet założycielski zakładowej organizacji związkowej samodzielnie przekazują pracodawcy dane o członkach zarządu organizacji związkowej: imiona, nazwiska, oraz czas trwania ochrony, o której mowa w art. 32 ust. 1 (ochrona przed zwolnieniem oraz niekorzystną zmianą warunków pracy). Organ nadzorczy wyraźnie wskazał jednak, że jeżeli uprawnienie do przetwarzania (w tym udostępniania lub pozyskiwania) danych osobowych wynika z przepisów prawa, to nie ma potrzeby wskazywania innych podstaw prawnych.
Brak wyłączenia
A co z obowiązkiem informacyjnym, o którym mowa w art. 13 i 14 RODO? Chodzi o konieczność poinformowania osób, których dane dotyczą, m.in. o podstawach, celach i okresie przechowywania o nich informacji. Adam Klimowski tłumaczy, że pracodawca nie miałby obowiązku jego spełnienia wyłącznie wtedy, gdyby zaistniała przesłanka zwalniająca administratora z tego obowiązku. Zdaniem prawnika, znalezienie takiej przesłanki mogłoby być problematyczne. ‒ A zatem pracodawca powinien spełnić obowiązek informacyjny, w klauzuli wskazując w szczególności odpowiednią podstawę do przetwarzania danych osobowych władz związku zawodowego – wyjaśnia Klimowski.
Podstawa prawna
• art. 9, 13 i 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE z 2016 r. L 119, s. 1; RODO)
• art. 1 ust. 1, art. 2, art. 32 ust. 1 i 92 ustawy z 23 maja 1991 r. o związkach zawodowych (t.j. Dz.U. z 2019 r. poz. 263)