Jak sporządzić i komu przekazać klauzulę informacyjną ZFŚS

Generalnie administrator przetwarzający dane osobowe w ramach ZFŚS nie jest zwolniony z obowiązku informacyjnego RODO względem wnioskodawców czyli pracowników, emerytów i rencistów. Dane osobowe wnioskodawcy są pobierane od samego zainteresowanego, który do wniosku dołącza stosowne oświadczenie. Art. 13 RODO przewiduje zaś bezwzględny obowiązek informacyjny w przypadku zbierania danych od osoby, której te dane dotyczą.

Sytuacja przedstawia się jednak inaczej w przypadku członków ich rodzin, których dane osobowe są przetwarzane na potrzeby gospodarowania ZFŚS. W przypadku pobierania danych członków rodziny wnioskodawcy na potrzeby ustalenia sytuacji wnioskodawcy dane są uzyskiwane za pośrednictwem wnioskodawcy, który wypełnia stosowne oświadczenia na potrzeby związane z uzyskaniem świadczeń z ZFŚS, ale też bezpośrednio od osób których dane dotyczą. W tej drugiej sytuacji to wnioskodawca przekazuje administratorowi oświadczenie osoby lub osób należących do jego rodziny, co oznacza, że zastosowanie znajduje tu art. 14 RODO.

W takim przypadku administrator jest zwolniony z obowiązku informacyjnego z uwagi na to, że pozyskiwanie danych członków rodzin jest wyraźnie uregulowane prawem krajowym, któremu podlega administrator, przewidującym odpowiednie środki chroniące prawnie uzasadnione interesy osoby, której dane dotyczą (art. 14 ust. 5 lit. c RODO).

W klauzuli informacyjnej przekazywanej wnioskodawcy przez pracodawcę powinny znaleźć się następujące informacje:

• tożsamość dane kontaktowe administratora;
• tożsamość i dane kontaktowe przedstawiciela administratora - gdy ma to zastosowanie,
  dane kontaktowe inspektora ochrony danych - gdy ma to zastosowanie;
• cele przetwarzania danych osobowych oraz podstawę prawną przetwarzania;
• jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f RODO - prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;
• informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
  informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję Europejską odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi RODO, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia - gdy ma to zastosowanie;

• okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
• informacje o prawach podmiotów danych do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
• jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a RODO - informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
• informacje o prawie wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych;
• informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
• informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4 RODO, oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.

Jednym z najważniejszych elementów klauzuli informacyjnej RODO jest wskazanie podstawy przetwarzania danych. Wiemy już, że przyznawanie ulgowych usług i świadczeń oraz wysokość dopłat z funduszu uzależnia się od sytuacji życiowej, rodzinnej i materialnej osoby uprawnionej do korzystania z Funduszu (art. 8 ust. 1 ustawy o ZFŚS). Aby więc przyznać dane świadczenie z funduszu, należy przetwarzać dane osobowe beneficjentów. Są one przekazywane w oświadczeniach. Poza tym pracodawca może żądać udokumentowania danych osobowych w zakresie niezbędnym do ich potwierdzenia. Potwierdzenie to może odbywać się zwłaszcza na podstawie oświadczeń i zaświadczeń o sytuacji życiowej (w tym zdrowotnej), rodzinnej i materialnej osoby uprawnionej do korzystania z funduszu socjalnego (art. 8 ust. 1a ustawy o ZFŚS).

Przetwarzanie danych osobowych beneficjenta nie wymaga pozyskiwania odrębnych zgód. Następuje bowiem w wykonaniu obowiązku prawnego ciążącego na administratorze - zgodnie z art. 6 ust. 1 lit. c RODO. Nie ma więc konieczności pozyskiwania odrębnych zgód na przetwarzanie danych osobowych na potrzeby związane z działalnością socjalną. Innymi słowy przetwarzanie danych osobowych beneficjentów ZFŚS jest konieczne do wypełnienia obowiązku prawnego ciążącego na administratorze.

Niektóre ze świadczeń z ZFŚS są powiązane ze stanem zdrowia beneficjenta. Zachodzi wówczas konieczność przetwarzania danych osobowych ze szczególnej kategorii (tzw. wrażliwych danych osobowych), o czym mowa jest w art. 8 ust. 1b ustawy o ZFŚŚ. Dane takie są przetwarzane, bowiem jest to niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy (art. 9 ust. 2 lit. b RODO). Właśnie taką podstawę przetwarzania należy podać w klauzuli informacyjnej.

Ustalenie sytuacji socjalnej beneficjenta konieczne na potrzeby właściwego gospodarowania ZFŚS powinno odbywać się zgodnie z tym celem. Należy respektować w tym zakresie zasadę minimalizacji danych osobowych.

Przeczytaj także:

• Klauzule informacyjne w regulaminie ZFŚS
• Jak chronić dane osobowe w ramach ZFŚS – 9 rad dla administratora
• ZFŚS – co z danymi poręczyciela
• Usuwanie danych osobowych w ramach ZFŚS w praktyce