Ustawa wdrażająca RODO: zmiany w ZFŚS

Wraz z ustawą z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania RODO [ustawa wdrażająca RODO], doczekaliśmy się uregulowania kwestii związanych z dokumentowaniem uprawnień do skorzystania ze środków z zakładowego funduszu świadczeń socjalnych [ZFŚS]. Zasady funkcjonowania funduszu reguluje ustawa z dnia 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych. Zgodnie z art. 8 przyznawanie ulgowych usług i świadczeń oraz wysokość dopłat z Funduszu uzależnia się od sytuacji życiowej, rodzinnej i materialnej osoby uprawnionej do korzystania z Funduszu, a zasady przyznawania świadczeń określa regulamin ZFŚS uchwalony u pracodawcy. W praktyce w związku z oceną sytuacji życiowej wnioskodawców, pracodawcy przetwarzają dane osobowe wnioskodawców oraz ich bliskich w bardzo szerokim zakresie. Dodatkowo nie ma ujednoliconego standardu dokumentowania uprawnień wnioskodawcy, co prowadzi do tego, że niektórzy pracodawcy wymagają dołączania do wniosków o przyznanie środków z funduszu zeznań podatkowych, dokumentacji medycznej, zaświadczeń z ośrodka pomocy społecznej, itd., podczas gdy inni proszą o te dokumenty jedynie do wglądu i odnotowują, że dokonano weryfikacji podanych we wniosku informacji z przedstawionymi dokumentami. Przechowywanie oraz przetwarzanie danych w tak szerokim zakresie, w szczególności dokumentacji medycznej, informacji o sytuacji życiowej wnioskodawców, zwiększa ryzyko związane z zapewnieniem skutecznej ochrony danych. Poza tym pracodawca nie był do końca pewien, czy przyjęte przez niego rozwiązanie potwierdzania sytuacji życiowej wnioskodawcy, jest zgodne z obowiązującymi przepisami o ochronie danych osobowych. Szczególne wątpliwości wynikały z zasad minimalizacji danych oraz adekwatności danych wskazanych w art. 5 RODO.

Powyższe kwestie zostały uregulowane w przepisach ustawy wdrażającej RODO. W artykule 8 ustawy o ZFŚS dodano ust. 1a-1d, zgodnie z którymi:

Wnioskodawca składa pracodawcy oświadczenie o swojej sytuacji życiowej, stanie zdrowia, itd. Pracodawca może żądać udokumentowania danych wskazanych we wniosku poprzez okazanie oświadczeń i zaświadczeń o sytuacji życiowej (w tym zdrowotnej), rodzinnej i materialnej osoby uprawnionej do korzystania z funduszu.
Członkowie komisji socjalnej muszą posiadać pisemne upoważnienie do przetwarzania danych szczególnych kategorii, których przetwarzanie jest niezbędne w związku z przyznawaniem świadczeń. Wszystkie osoby muszą zostać zobligowane do zachowania tajemnicy.
Pracodawca co najmniej raz do roku dokonuje przeglądu danych osobowych, które zostały zebrane w związku z przyznawaniem świadczeń w celu ustalenia niezbędności ich dalszego przechowywania. Pracodawca usuwa dane osobowe, których dalsze przechowywanie jest zbędne do realizacji celu.

W praktyce oznacza to, że pracodawca powinien otrzymywać do wglądu wszelkie dokumenty potwierdzające oświadczenia wnioskodawcy o jego sytuacji życiowej, w tym zdrowotnej i materialnej, jednakże ze względu na obowiązek minimalizacji danych, który został zapisany wprost w ustawie o ZFŚS, powinien (a w zasadzie komisja socjalna powinna) sporządzać notatkę służbową, w której stwierdza, że zostały przekazane odpowiednie dokumenty potwierdzające stan opisany we wniosku. W ten sposób pracodawca ograniczy liczbę przechowywanych dokumentów, zwłaszcza tych dokumentów, które zawierają dane szczególnych kategorii oraz zminimalizuje ryzyko dla ochrony tych danych. Przyjmując dokumenty do wglądu i odnotowując, że zostały przekazane i potwierdzają stan faktyczny, pracodawca ograniczy czas i koszty związane z regularnymi przeglądami dokumentów gromadzonych w związku z działaniem ZFŚS. Należy także zwrócić uwagę, że obowiązek przeglądu dokumentów odnosi się także do tych, które zostały wcześniej zgromadzone w ramach funkcjonowania funduszu. Pracodawca powinien dokonać ich przeglądu, zbędne dokumenty zastąpić oświadczeniami, np. w miejsce kopii PIT-u informacja, że został przedłożony PIT potwierdzający dochody, a w miejsce dokumentacji medycznej, czy zaświadczenia lekarskiego notatka, że została przedstawiona dokumentacja potwierdzająca stan zdrowia. Przy każdej notatce zalecałabym opisanie, jaki dokument został przekazany (można wskazać jako organ i kiedy go wydał), a także datę i podpisy osób, które dokonały jego weryfikacji.

Nazywam się Sylwia Czub-Kiełczewska, jestem ekspertką ds. ochrony danych osobowych oraz certyfikowaną audytorką wewnętrzną ISO 27001 /TISAX. Pomagam organizacjom wdrożyć skuteczne systemy bezpieczeństwa informacji, przeprowadzam audyty zgodności z RODO / ISO27001. Jestem skuteczna, bo stosuję indywidualne podejście, oparte na zrozumieniu klienta oraz jego działalności. Potrzebujesz wsparcia? Napisz do mnie