Source: http://kipwa.pl/numery/wrzesien-pazdziernik-2019/ochrona-danych-osobowych-w-pkzp.html
Timestamp: 2020-03-28 20:35:52+00:00
Document Index: 4608123

Matched Legal Cases: ['art. 39', 'art. 4', 'art. 39', 'art. 3', 'art. 5', 'art. 9', 'art. 6', 'art. 9', 'art. 6', 'art. 6', 'art. 6', 'art. 6']

Ochrona danych osobowych w PKZP - Kadry i Płace w Administracji
Strona główna » Wrzesień - Październik 2019 » Stosunek pracy » Ochrona danych osobowych w PKZP
Ochrona danych osobowych w PKZP
Jednym z obszarów przetwarzania danych osobowych pracowników wywołującym pewne wątpliwości jest działalność pracowniczych kas zapomogowo-pożyczkowych. Można spotkać się z problemami dotyczącymi oznaczenia administratora, podstaw prawnych przetwarzania danych osobowych członków kas, a także określenia wzajemnych relacji pomiędzy kasą a pracodawcą.
Zgodnie z treścią art. 39 ust. 1 ustawy z dnia 23 maja 1991 r. o związkach zawodowych (dalej: uzz) u pracodawców mogą być tworzone pracownicze kasy zapomogowo-pożyczkowe (dalej: PKZP), których członkami mogą być osoby wykonujące pracę zarobkową, emeryci i renciści bez względu na przynależność związkową. Nadzór społeczny nad tymi kasami sprawują związki zawodowe. Z kolei szczegółowe zasady organizowania i działania kas oraz obowiązki zakładów pracy zostały określone w rozporządzeniu Rady Ministrów z dnia 19 grudnia 1992 r. w sprawie pracowniczych kas zapomogowo-pożyczkowych oraz spółdzielczych kas oszczędnościowo-kredytowych w zakładach pracy (DzU nr 100, poz. 502; dalej: rozporządzenie w sprawie PKZP).
To właśnie jego przepisy dostarczają materiału do oceny funkcjonowania PKZP w kontekście przepisów o ochronie danych osobowych.
Odpowiedzialność za realizację obowiązków wiążących się z ochroną danych osobowych obciąża przede wszystkim administratora. W związku z tym należy rozważyć, kto – pracodawca czy PKZP – pełni tę rolę. Zgodnie z treścią art. 4 pkt 7 rodo „administrator” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. Prawodawca unijny w tym przepisie wskazuje, że dla określania roli administratora nie ma znaczenia jego forma prawna czy posiadanie osobowości prawnej. Rozstrzygające znaczenie ma jedynie określanie celów i sposobów przetwarzania danych osobowych. Ustawodawca w art. 39 ust. 1 uzz w zasadzie wyklucza pracodawcę jako administratora danych. Wskazuje bowiem, że „u pracodawców mogą być tworzone kasy zapomogowo-pożyczkowe”.
Rolę administratora danych osobowych przetwarzanych przez kasę zapomogowo-pożyczkową można by przypisać pracodawcy, gdyby przepis brzmiał „pracodawca tworzy kasę zapomogowo-pożyczkową”. Tytułem przykładu można wskazać zakładowy fundusz świadczeń socjalnych, w przypadku którego art. 3 ust. 1 ustawy z dnia 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych (DzU z 2019 r., poz. 1352) przesądza o statusie administratora. Zgodnie z jego treścią „fundusz tworzą pracodawcy (…)”. Natomiast w przypadku kasy zapomogowo-pożyczkowej brakuje podobnej regulacji. Co więcej, nadzór społeczny nad kasami sprawują związki zawodowe. Jednocześnie rozporządzenie w sprawie PKZP określa w sposób autonomiczny choćby:
utworzenie PZKP – „O utworzeniu PKZP (…) decydują założyciele, którzy uchwalają statut i dokonują wyboru organów przewidzianych w statucie” (§ 3);
cele PKZP – „Celem PKZP jest udzielanie członkom pomocy materialnej w formie pożyczek długo- i krótkoterminowych oraz zapomóg – w miarę posiadanych środków – na zasadach określonych w statucie” (§ 6);
organy PKZP i ich kompetencje (§ 13–§ 27).
W przypadku PKZP rolę administratora pełni sama kasa. Oznacza to, że na PKZP ciążą obowiązki wynikające z przepisów o ochronie danych osobowych.
Obowiązki spoczywające na administratorze
Pracownicze kasy zapomogowo-pożyczkowe są zobowiązane do realizacji zasad przetwarzania danych osobowych określonych w art. 5 ust. 1 rodo. Zgodnie z jego treścią dane osobowe muszą być:
W przypadku zapewnienia zgodności z prawem przetwarzania danych osobowych PKZP musi określić podstawę prawną przetwarzania. Co jednak istotne, w przypadku PKZP może pojawić się konieczność przetwarzania szczególnych kategorii danych osobowych określonych w art. 9 ust. 1 rodo (dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, dane biometryczne w celu jednoznacznego zidentyfikowania osoby fizycznej, dane dotyczące zdrowia, seksualności lub orientacji seksualnej tej osoby). Wynika to z brzmienia § 9 pkt 3 rozporządzenia w sprawie PKZP, który wskazuje, że członek PKZP ma prawo w razie wydarzeń losowych ubiegać się o udzielenie zapomogi, co może wiązać się z przekazaniem danych o zdrowiu uzasadniających udzielenie zapomogi. W związku z tym konieczne jest rozważenie podstaw prawnych określonych zarówno w art. 6 ust. 1 rodo (podstawy prawne przetwarzania danych osobowych innych niż szczególne kategorie danych osobowych), jak i w art. 9 ust. 2 rodo (podstawy prawne przetwarzania szczególnych kategorii danych osobowych).
W przypadku art. 6 ust. 1 rodo podstawą prawną przetwarzania danych osobowych członków PKZP będzie:
art. 6 ust. 1 lit. b rodo – przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy w zakresie zawieranych umów z członkami PKZP;
art. 6 ust. 1 lit. c rodo – przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze w zakresie realizacji obowiązków podatkowych ciążących na PKZP;
art. 6 ust. 1 lit. f rodo – przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem, w zakresie realizacji celów PKZP oraz prowadzenia czynności windykacyjnych.