Zarządzasz funduszem socjalnym? Sprawdź jak wypełnić obowiązek informacyjny względem beneficjentów

Przyznawanie ulgowych usług i świadczeń oraz wysokość dopłat z funduszu uzależnia się od sytuacji życiowej, rodzinnej i materialnej osoby uprawnionej do korzystania z Funduszu (art. 8 ustawy o ZFŚS). Aktualnie obowiązujące przepisy nie odnoszą się jednak do kwestii związanych z przetwarzaniem danych osobowych pracowników i innych beneficjentów na potrzeby gospodarowania Funduszem. Ustawa o ZFŚS określa jedynie zasady tworzenia przez pracodawców zakładowego funduszu świadczeń socjalnych oraz zasady gospodarowania jego środkami, przeznaczonymi na finansowanie działalności socjalnej organizowanej na rzecz osób uprawnionych do korzystania z Funduszu. Żaden przepis nie wskazuje jednak, jak w związku z tym przetwarzać dane osobowe beneficjentów.

Zasady i warunki korzystania z usług i świadczeń finansowanych z funduszu oraz zasady przeznaczania środków na poszczególne cele i rodzaje działalności socjalnej określa pracodawca w regulaminie. Regulamin taki nie może pozostawać w sprzeczności z zasadami wynikającymi z przepisów prawa pracy, w szczególności w zakresie równego traktowania pracowników, jak również z zasadami przetwarzania danych osobowych wynikających z rozporządzenia RODO. Zauważyć można, że ustawodawca pozostawia szeroki zakres swobody treści regulaminu. Nic nie stoi na przeszkodzie, by kwestie przetwarzania danych osobowych beneficjentów zostały określone w regulaminie ZFŚS, niemniej jednak nie mogą one naruszać przepisów RODO.

Administrator ZFŚS pełni więc jednocześnie rolę administratora danych osobowych. Opierając się o kryterium socjalne, musi on zweryfikować sytuację rodzinną, materialną i życiową beneficjenta. Ustalenie to, konieczne na potrzeby właściwego gospodarowania ZFŚS powinno odbywać się zgodnie z celem, w zakresie wyłącznie niezbędnym do ustalenia aktualnej sytuacji pracownika. W przeciwnym razie nie można wykluczyć przekroczenia uprawnień pracodawcy, a zarazem pracowniczego prawa do prywatności, w tym obowiązującej na gruncie przepisów RODO zasady minimalizacji danych (art. 5 ust. 1 lit. c RODO).

Powstaje w związku z tym wątpliwość czy administrator powinien posiadać zgodę na pozyskiwanie danych osobowych zarówno pracowników, jak i członków ich rodzin w kontekście ustalania sytuacji pracownika. W ocenie autora wystarczającą podstawę prawną, dzięki której nie ma konieczności pozyskiwania odrębnych zgód na przetwarzanie danych osobowych na potrzeby związane z działalnością socjalną, stanowi przepis art 8 ust. 2 ustawy o ZFŚS w zw. z art 6 ust 1 pkt c RODO oraz art 22¹ Kodeksu pracy. Innymi słowy przetwarzanie danych osobowych beneficjentów ZFŚS jest konieczne do wypełnienia obowiązku prawnego ciążącego na administratorze. Z uwagi na wątpliwości interpretacyjne nie można jednak wykluczyć poglądu odmiennego, zgodnie z którym przepisy związane z udostępnianiem danych osobowych na potrzeby ustalenia sytuacji pracownika są nazbyt ogólne, co uzasadnia tym samym pozyskanie zgody na przetwarzanie danych osobowych na potrzeby związane z działalnością socjalną pracodawcy.

Niektóre ze świadczeń z ZFŚS są powiązane ze stanem zdrowia beneficjenta. Zachodzi wówczas konieczność przetwarzania danych osobowych ze szczególnej kategorii (tzw. wrażliwych danych osobowych). Generalnie przetwarzanie takich danych jest zakazane. Wyjątkowo jednak przetwarzanie jest dozwolone, jeżeli jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą (art. 9 ust. 2 lit. b RODO).

Kolejne wątpliwości wzbudza kwestia przekazywania klauzuli informacyjnej o przetwarzaniu danych osobowych – w związku z realizacją wymogów rozporządzenia RODO. Czy administrator powinien realizować obowiązek informacyjny tylko względem pracowników, emerytów i rencistów składających wnioski, czy również wobec członków ich rodzin, których dane osobowe są przetwarzane na potrzeby gospodarowania ZFŚS?

Odpowiadając na tak postawione pytanie, należy sięgnąć do art. 13 i 14 RODO. Otóż art 13 RODO dotyczy informacji podawanych w przypadku zbierania danych od osoby której dane dotyczą, natomiast art. 14 RODO reguluje kwestię informacji podawanych w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby której dane dotyczą. Nie ma wątpliwości, że dane osobowe wnioskodawcy są pobierane od samego zainteresowanego, który do wniosku dołącza stosowne oświadczenie (zgodnie z regulaminem ZFŚS). Natomiast  w przypadku pobierania danych członków rodziny wnioskodawcy na potrzeby ustalenia sytuacji wnioskodawcy dane są uzyskiwane za pośrednictwem wnioskodawcy, który wypełnia stosowne oświadczenia na potrzeby związane z uzyskaniem świadczeń z ZFŚS, ale też bezpośrednio od osób których dane dotyczą. W tej drugiej sytuacji to wnioskodawca przekazuje administratorowi oświadczenie osoby lub osób należących do jego rodziny, co oznacza, że zastosowanie znajduje tu art. 14 RODO.

Przykładowy, ramowy szablon klauzuli informacyjnej w przypadku gdy dane osobowe członków rodziny pracownika zostały pobrane od nich w sposób bezpośredni (na podstawie wypełnianych przez nich oświadczeń) – na podstawie art 13 RODO, może przestawiać się następująco:

Niestety zagadnienia związane z przetwarzaniem danych osobowych w ramach administrowaniem ZFŚS nie zostały dotychczas w przepisach powszechnie obowiązującego prawa, zaś regulacje RODO są zbyt lakoniczne, by dostarczać konkretne rozwiązania. Wobec tego należy przyjąć, że skoro opracowanie procedury weryfikacji sytuacji rodzinnej, życiowej i materialnej rodziny beneficjenta ZFŚS leży w kompetencjach administratora Funduszu, to administrator powinien także uregulować zasady pozyskiwania danych osobowych samego wnioskodawcy zamierzającego korzystać ze świadczeń socjalnych, jak i członków jego rodziny. Rozwiązania przyjęte przez administratora muszą jednak uwzględniać obowiązki wynikające z RODO, w szczególności obowiązek informacyjny, jaki spoczywa na administratorze danych względem osób, których dane będą przetwarzane. Obowiązek ten powinien być zrealizowany z zachowaniem wymogów przewidzianych w art. 13 lub art. 14 RODO, w zależności od sposobu pozyskiwania danych osobowych.