Subskrybuj nas na Youtube
Przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO), które są u nas stosowane od 25 maja 2018 r., mają wpływ również na funkcjonowanie zakładowego funduszu świadczeń socjalnych. Dla zapewnienia prawidłowego działania ZFŚS niezbędne jest przetwarzanie danych osobowych zarówno pracowników, jak i osób trzecich. Niejednokrotnie będą to dane wrażliwe dotyczące ich sytuacji życiowej, chociażby stanu zdrowia. W związku z tym zasady przetwarzania danych na potrzeby funduszu mają zostać doprecyzowane w zgodzie z RODO. Nowelizacja ustawy z 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych (t.j. Dz.U. z 2018 r. poz. 1316 ze zm.; dalej: ustawa o zfśs) zawarta została w projekcie ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679, który obecnie jest procedowany w Sejmie (na dzień zamknięcia niniejszego wydania po I czytaniu oczekuje na rozpatrzenie przez komisje sejmowe).
imię, nazwisko i co jeszcze?
Zgodnie z zasadami minimalizacji danych oraz ograniczenia celu pracodawca może przetwarzać dane jedynie w prawnie uzasadnionych celach oraz tylko w zakresie niezbędnym do ich realizacji. Celem ZFŚS jest zaspokajanie potrzeb socjalnych poprzez przyznawanie świadczeń na podstawie kryteriów socjalnych. Ponieważ to na pracodawcy ciąży obowiązek kontroli prawidłowości przyznawania świadczeń, musi on mieć możliwość zbadania, czy dany pracownik spełnia określone kryteria.
Główną zasadą przyznawania świadczeń z funduszu jest stosowanie kryteriów socjalnych, które obejmują sytuację życiową, rodzinną i materialną osoby uprawnionej. Danymi, które są niezbędne w celu przyznania ulgowej usługi i świadczenia oraz dopłaty z funduszu, a także ustalenia ich wysokości, są z pewnością dane dotyczące liczby członków rodziny we wspólnym gospodarstwie domowym czy wysokości dochodu na członka rodziny. Mogą one dotyczyć również innych okoliczności związanych z sytuacją życiową, takich jak zdarzenia losowe typu pożar powódź czy śmierć członka rodziny bądź też stan zdrowia. Co ważne, dane te dotyczyć będą nie tylko pracownika, lecz także innych osób uprawnionych do świadczeń.
Projektowane zmiany w art. 8 ustawy o zfśs wprost zezwalają pracodawcy na przetwarzanie takich danych. Powtórzone zostało przy tym zastrzeżenie wskazane w RODO, że mogą one być wykorzystywane jedynie w celu przyznania świadczeń z funduszu.
W myśl projektowanych przepisów przekazywanie danych przez pracownika ma się odbywać w formie oświadczenia. Pracodawca jednak, aby nie narazić się chociażby na zarzut nieprawidłowego dysponowania środkami funduszu, uprawniony będzie do żądania ich udokumentowania przez zatrudnionego. W tym celu będzie mógł zobowiązać pracownika do przedłożenia zaświadczeń i innych dokumentów potwierdzających przekazane dane w zakresie niezbędnym do realizacji celu. W praktyce będą to więc zaświadczenia o dochodach, rozliczenia roczne PIT, akty ślubu lub urodzenia czy dokumenty dotyczące zdrowia.
jak postępować z danymi wrażliwymi?
W kontekście przetwarzania danych na potrzeby funduszu największe obawy budzi możliwość przechowywania danych oraz dokumentacji dotyczącej stanu zdrowia. Informacje te, zgodnie z art. 9 RODO, mają charakter danych szczególnej kategorii, czyli danych wrażliwych.
Ponieważ pracodawca ma obowiązek przyznawania każdego świadczenia zgodnie z przepisami, a więc przy spełnieniu konkretnych warunków i na podstawie oceny sytuacji pracownika, projekt nowelizacji dopuszcza wprost przetwarzanie tej kategorii danych. Pracodawca musi jednak zachować pewne warunki.
Warto przy tym zwrócić uwagę, że w najnowszym projekcie zmian do ustawy rozszerzony został krąg osób, które mogą przetwarzać dane o zdrowiu pracownika. Zgodnie z poprzednią wersją projektu do przetwarzania takich danych dopuszczeni mogli być jedynie pracownicy, którzy mają pisemne upoważnienie pracodawcy oraz zobowiążą się do zachowania tych danych w tajemnicy. Obecny projekt zakłada przetwarzanie również przez inne osoby mające upoważnienie. Jeżeli więc zmiany zostaną uchwalone w obecnym kształcie, do przetwarzania danych dotyczących zdrowia będą mogli być dopuszczeni członkowie komisji socjalnej, którzy nie są pracownikami danego podmiotu, a więc np. członkowie międzyzakładowej organizacji związkowej nie zatrudnieni u danego pracodawcy.
Wątpliwości budzi możliwość przechowywania dokumentacji zdrowotnej przekazywanej przez pracownika. Ponieważ jedną z reguł przetwarzania danych jest zasada minimalizacji, to pracodawca powinien zadbać, aby nie przetwarzać (a więc również nie przechowywać) zbyt dużej ilości danych. Może się bowiem zdarzyć, że pracownik dostarczy dokumentację zdrowotną znacząco wykraczającą poza zakres niezbędny do przyznania świadczenia. Wówczas pracodawca powinien – zgodnie z własną oceną – niezwłocznie zwrócić pracownikowi wszelkie dokumenty zawierające dane nadmiarowe. Regulamin funduszu lub procedura ubiegania się o konkretne świadczenie powinny wskazywać, że pracownik ma obowiązek przekazać dane niezbędne do przyznania świadczenia, z tym jednak zastrzeżeniem, że to pracodawca ostatecznie decyduje, jakie jego zdaniem dane i dokumenty są faktycznie niezbędne w tym celu. W razie gdyby przekazane dane i dokumenty nie były wystarczające, pracodawca będzie bowiem mógł zażądać od pracownika przedłożenia dodatkowych. Ważne jest również odpowiednie przeszkolenie lub poinstruowanie pracowników zajmujących się obsługą funduszu o zakresie danych i dokumentów, które mogą być w tym celu zbierane. Dzięki temu pracodawca zmniejszy ryzyko zarzutu przetwarzania danych nadmiarowych, co w wypadku tych dotyczących zdrowia (lub innych wrażliwych) nabiera szczególnego znaczenia.
za zgodą czy nie?
Wielu pracodawców zarówno przed 25 maja 2018 r., jak i do tej pory, miało i nadal ma wątpliwości, czy wymagana jest zgoda pracownika na przetwarzanie danych w celach realizacji zadań funduszu. Wielu z nich „na wszelki wypadek” pobierało i nadal pobiera ją od pracowników. RODO wskazuje zgodę jako jedną z podstaw przetwarzania danych, jednak powinna być ona stosowana tylko wówczas, gdy przetwarzanie nie może odbywać się na żadnej innej podstawie. Tymczasem przetwarzanie danych na potrzeby ZFŚS związane jest z realizacją obowiązków pracodawcy wynikających z prowadzenia funduszu oraz przyznawania świadczeń, a przetwarzanie to jest niezbędne do prawidłowej realizacji tego celu. Tak więc zgoda pracownika nie jest w tym wypadku podstawą do przetwarzania danych.
Warto odnotować, że pierwotny projekt zmian do ustawy o zfśs zakładał konieczność uzyskania zgody na przetwarzanie danych. Wymóg taki utrudniałby jednak prawidłowe funkcjonowanie funduszu. Zgoda pochodzić może bowiem jedynie od osoby, której dane dotyczą. Ponieważ pracodawca na potrzeby zfśs przetwarza również dane dotyczące osób trzecich, w takim wypadku konieczne byłoby uzyskanie zgód od wszystkich tych osób. Ponadto zgoda na przetwarzanie co do zasady zawsze może zostać cofnięta, co również mogłoby mieć negatywne konsekwencje dla prawidłowego funkcjonowania funduszu oraz przyznawania świadczeń. Na szczęście projektodawca w porę dostrzegł ten problem i wprowadził stosowne zmiany w projekcie. W efekcie obecny projekt ustawy daje pracodawcy prawo żądania niezbędnych danych bez konieczności wyrażania zgody przez pracownika. Ten natomiast zawsze ma prawo do nieprzekazania określonych danych. W takiej sytuacji musi jednak liczyć się z nieotrzymaniem świadczenia z funduszu.
gromadzić czy nie i jak długo przechowywać?
Zgodnie z RODO dane osobowe muszą być przechowywane przez okres nie dłuższy, niż jest to niezbędne do celów, w których są one przetwarzane. Konsekwencją tej zasady jest wskazanie w projekcie zmian do ustawy o zfśs, że pracodawca może przechowywać dane przez okres nie dłuższy, niż jest to niezbędne w celu przyznania ulgowej usługi i świadczenia oraz dopłaty z funduszu, a także ustalenia ich wysokości. Dodatkowo pracodawca będzie mógł przechowywać dane przez okres dochodzenia praw lub roszczeń związanych z konkretnym świadczeniem.
Ponadto uzasadnione jest twierdzenie, że dane te będą mogły być przetwarzane również przez okres niezbędny do wykazania chociażby zasadności przyznania świadczeń w razie kontroli organów skarbowych lub Zakładu Ubezpieczeń Społecznych. Dlatego też, mając na uwadze pięcioletni okres przedawnienia należności publicznoprawnych, dane niezbędne do wykonania tego celu powinny być przechowywane przez pracodawcę przez ten czas. Należy jednak zwrócić uwagę, że dotyczy to jedynie tych danych, które są konieczne do wykazania prawidłowości przyznanego świadczenia w razie kontroli, nie zaś wszystkich danych zebranych w celu jego przyznania.
Co więcej, aby zapewnić realizację zasad RODO, w tym zasady prawidłowości i minimalizacji danych, projekt zmian nakłada na pracodawcę obowiązek przeglądu danych przynajmniej raz w danym roku kalendarzowym. W przypadku stwierdzenia, że dalsze przechowywanie pewnych danych jest zbędne do realizacji celów, dla jakich zostały zebrane, pracodawca będzie musiał je usunąć. Ponadto, zgodnie z RODO, w razie stwierdzenia, że dane te są nieaktualne lub nieprawidłowe, powinien podjąć działania mające na celu ich aktualizację i sprostowanie.
czego trzeba dopilnować?
Pracodawcy prowadzący fundusz są administratorami danych osobowych przekazywanych przez pracowników, w związku z czym to na nich ciąży obowiązek prawidłowego i zgodnego z prawem ich przetwarzania. Muszą więc pamiętać o obowiązkach i zasadach wynikających zarówno bezpośrednio z RODO, jak i z projektowanych zmian do ustawy o zfśs. Ponieważ Państwowa Inspekcja Pracy oraz prezes Urzędu Ochrony Danych Osobowych są organami uprawnionymi do przeprowadzania kontroli w tym zakresie, które już zapowiedziały współpracę przy sprawdzaniu prawidłowości przetwarzania danych przez pracodawców, wprowadzenie i przestrzeganie odpowiednich procedur oraz dokonanie zmian w regulaminach funduszu ma kluczowe znaczenie. W przeciwnym razie praco dawcy narażają się na ryzyko nałożenia kar, a także na odpowiedzialność odszkodowawczą wobec osób, których dane są przetwarzane.
czy i kiedy wykonać obowiązek informacyjny?
Zgodnie z RODO każdy administrator danych co do zasady musi wykonać obowiązek informacyjny względem osoby, której dane przetwarza. Zakres tych informacji jest szczegółowo określony w art. 13 i 14 RODO i obejmuje m.in. dane administratora, cele i okres przetwarzania danych czy informację o prawach osób, których dane dotyczą.
W związku z tym pojawiają się wątpliwości, czy i kiedy pracodawca ma obowiązek przekazać te informacje osobom ubiegającym się o świadczenia z funduszu. Zarówno dotychczasowa praktyka, jak i doktryna nie wypracowały jednolitego stanowiska w tym zakresie. Również ani ustawa o zfśs, ani projekt zmian do niej nie wskazuje wprost, czy i kiedy przekazywać informacje osobom korzystającym z funduszu.
Stoimy na stanowisku, że w stosunku do pracowników obowiązek informacyjny zostaje spełniony wraz z przekazaniem im klauzuli informacyjnej przy rozpoczęciu zatrudnienia. Przetwarzanie danych na potrzeby ZFŚS wpisuje się bowiem w cel polegający na wypełnianiu obowiązków pracodawcy w związku ze stosunkiem pracy oraz celem ewentualnego ustalenia, dochodzenia lub obrony przed roszczeniami. Tak więc nie ma konieczności przekazywania pracownikom odrębnej klauzuli informacyjnej.
Sytuacja będzie już nieco odmienna w odniesieniu do członków rodziny pracownika, których dane również mogą być przetwarzane. Ze względów praktycznych skuteczne poinformowanie takich osób byłoby utrudnione lub wręcz niemożliwe, a ponadto niezbędne byłoby wówczas pozyskanie kolejnych danych kontaktowych tych osób. W naszej opinii w stosunku do nich spełnienie obowiązku informacyjnego będzie wyłączone na podstawie art. 14 ust. 5 lit. c RODO. Przepis ten znosi obowiązek informacyjny w sytuacji, gdy pozyskiwanie lub ujawnianie danych osobowych jest wyraźnie uregulowane przez prawo. Skoro więc projekt zmian ustawy o zfśs przewiduje bezpośrednie uregulowanie możliwości pozyskiwania danych członków rodziny w celach przyznawania świadczeń z funduszu, to nie ma konieczności przekazywania im klauzuli informacyjnej.
Jedynie wobec innych osób uprawnionych, jak np. emeryci czy renciści, praco dawca musi spełnić ten obowiązek. Praktycznym rozwiązaniem jest w takim przypadku umieszczenie klauzuli bezpośrednio na wniosku o przyznanie świadczenia czy też jej przekazanie w chwili składania wniosku.