Różne aspekty stosowania RODO w sprawach pracowniczych

W aktach tylko to, co potrzebne

Z dniem 25 maja 2018 r. zaczęło obowiązywać rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE... (Dz. Urz. UE L z 2016 r., nr 119/1), zwane RODO. Objęło ono bardzo szeroki krąg podmiotów, w tym pracodawców.

Zgodnie z RODO przetwarzanie danych osobowych pracownika musi mieć określoną podstawę prawną i cel. Cel ten ma być konkretny, wyraźny i prawnie uzasadniony. Pracodawca, który przetwarza dane związane z zatrudnieniem, musi więc opierać się na przepisie, który mu na to pozwala oraz posiadać sprecyzowany cel przetwarzania tych danych. Podstawą prawną do przetwarzania danych mogą być odpowiednie regulacje RODO lub/i przepisy prawa krajowego. W myśl art. 6 ust. 1 RODO, przetwarzanie danych jest zgodne z przepisami (legalne przetwarzanie danych), jeżeli m.in.:

• osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów,
   
• przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy,
   
• przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.

Omawiane rozporządzenie określa też w art. 5 ust. 1 ogólne zasady dotyczące przetwarzania danych osobowych (patrz ramka). Podmiotem odpowiedzialnym za ich realizację jest administrator danych osobowych, m.in. pracodawca. Musi on być zdolny do wykazania przed organem nadzorczym, że ich przestrzega (zasada rozliczalności). W Polsce takim organem jest Prezes Urzędu Ochrony Danych Osobowych.

Pomoc socjalna z ochroną danych

Nowe przepisy dotyczące ochrony danych osobowych dotyczą w praktyce każdej sprawy kadrowej, zarówno ściśle pracowniczej, jak i pośrednio związanej z zatrudnieniem. Do takich pośrednich kategorii spraw należą kwestie dotyczące zakładowego funduszu świadczeń socjalnych.

Administrowanie ZFŚS wiąże się z wykorzystywaniem danych osobowych osób uprawnionych do świadczeń z ZFŚS, głównie dotyczących ich sytuacji materialno-bytowej. Wejście w życie RODO nie wykluczyło ani nie ograniczyło możliwości przetwarzania tych danych przez pracodawcę. Nadal aktualna pozostaje podstawa prawna ich przetwarzania - jest nią art. 8 ust. 1 ustawy o zakładowym funduszu świadczeń socjalnych (a od 25 maja br. również art. 6 ust. 1 lit. c RODO). W tym przypadku nie ma wymogu uzyskania zgody od osób uprawnionych na przetwarzanie ich danych, ponieważ wymienione przepisy są do tego wystarczającą podstawą. Natomiast może zajść konieczność aktualizacji regulaminu ZFŚS w kontekście wymagań RODO i krajowych przepisów dotyczących ochrony danych osobowych. We wspomnianym regulaminie pracodawca powinien wskazać:

• swoje dane jako podmiotu uprawnionego do zbierania danych osobowych osób uprawnionych do świadczeń z ZFŚS (o ile wcześniej ich nie podał),
   
• cel przetwarzania danych ww. osób (którym jest realizacja przysługujących im uprawnień z ZFŚS),
   
• podstawę prawną przetwarzania danych (tj. art. 8 ust. 1 ustawy o ZFŚS w związku z art. 6 ust. 1 lit. c RODO).

Należy nadmienić, że pozostaje w mocy interpretacja Głównego Inspektora Ochrony Danych Osobowych (od 25 maja br. Prezesa Urzędu Ochrony Danych Osobowych), zgodnie z którą żądanie przedstawienia pracodawcy zeznania rocznego dla potrzeb przyznania świadczenia z ZFŚS jest zgodne z prawem. Jak uznał wskazany urząd, taka praktyka jest przejawem realizacji ustawy o ZFŚS, z tym zastrzeżeniem, że przetwarzanie uzyskanych w ten sposób danych będzie adekwatne do celu, w jakich zostały udostępnione, tj. do przyznania świadczenia socjalnego.