Wspólna działalność socjalna a RODO
Elektroniczna dokumentacja pracownicza to nowość w obrocie prawa pracy. Dowiedz się, jak zadbać o bezpieczeństwo przetwarzanych w niej danych osobowych.
Pracodawcy mają możliwość prowadzenia wspólnej działalności socjalnej na warunkach określonych w umowie. Wiąże się to oczywiście z przetwarzaniem danych osobowych przez więcej niż jednego pracodawcę. Wyjaśniamy, co to oznacza w kontekście RODO.
Każdy pracodawca jako ADO
Podstawą prowadzenia wspólnej działalności socjalnej jest umowa. Może ona zawierać stosowne postanowienia odnoszące się do kwestii właściwego przepływu i przetwarzania danych osobowych.
W związku ze wspólną działalnością socjalną niekiedy okaże się, że tylko jeden z pracodawców będzie wykonywał zadania w zakresie administrowania funduszem.
Utworzono wspólny ZFŚS dla urzędu gminy i czterech szkół, postanawiając jednocześnie, że to urząd gminy będzie wykonywał zadania z zakresu administrowania funduszem.
Niezależnie od tego w każdym przypadku prowadzenia wspólnej działalności socjalnej każdy pracodawca ma status administratora danych osobowych. Dysponuje bowiem własnym celem i podstawą przetwarzania danych osobowych, m.in. beneficjentów funduszu.
Współadministrowanie, a nie powierzenie
Jeżeli co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, są oni współadministratorami. W przypadku pracodawców prowadzących wspólną działalność socjalną dochodzi więc do współadministrowania (art. 26 RODO). Dlatego niewłaściwym rozwiązaniem byłoby zawieranie pomiędzy tymi pracodawcami umów powierzenia przetwarzania danych.
Konieczne jest natomiast określenie odpowiednich zakresów odpowiedzialności pracodawców dotyczącej wypełniania obowiązków wynikających z RODO. Zasadnicza część tych uzgodnień musi być udostępniona podmiotom danych, w szczególności beneficjentom ZFŚS. Udostępnić należy także punkt kontaktowy dla osób, których dotyczą dane.
Kto wypełnia obowiązek informacyjny
Jednym z najistotniejszych obowiązków pracodawców prowadzących wspólną działalność socjalną jest wypełnienie obowiązku informacyjnego względem osób uprawnionych do korzystania z ZFŚS – w zakresie wynikającym z:
- art. 13 RODO (jeżeli dane pozyskiwane są bezpośrednio od osób, których dotyczą, np. od wnioskodawców);
- art. 14 RODO (jeśli dane pozyskiwane są w inny sposób niż od osób, których dotyczą np. dane osobowe członków rodzin wnioskodawców pozyskiwane od wnioskodawców).
W ramach wspólnych uzgodnień można ustalić, który z pracodawców będzie realizował obowiązek informacyjny względem beneficjentów. Niezależnie od tego w treści informacji jako administratorów danych osobowych należy podać wszystkich pracodawców prowadzących wspólną działalność socjalną.
Analogiczne uwagi można poczynić w odniesieniu do informowania podmiotów danych o naruszeniach ochrony danych osobowych, jak również do realizowania praw podmiotów danych, niezależnie od tego, od którego pracodawcy podmiot danych żąda realizacji swoich praw.
Upoważnienia do przetwarzania danych w ramach ZFŚS
Istotnym zadaniem pracodawców wspólnie administrujących funduszem socjalnym jest wydanie stosownych upoważnień do przetwarzania danych osobowych. Obowiązki te może przejąć jeden z pracodawców w ramach wspomnianych uzgodnień współadministratorów danych. Upoważnienia powinny być udzielone np. członkom komisji socjalnej wykonującej czynności obsługowe i doradcze w zakresie administrowania funduszem.
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U. UE.L. z 2016 r. nr 119, poz. 1) – art. 13, art. 14, art. 26.
- Ustawa z 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych (tekst jedn.: Dz.U. z 2019 r. poz. 1352) – art. 8, art. 9.
Wideo: Przegląd orzecznictwa (sierpień – listopad 2022 r.) – cz. III – decyzje zagranicznych organów nadzorczych
Poznaj najważniejsze orzeczenia zagranicznych organów nadzorczych. W podsumowaniu poruszamy zagadnienia związane m.in. z geolokalizacją, prawem dostępem do danych, cyberatakiem na gminę czy rozpoznawaniem twarzy.
