Fundusz socjalny w skrócie

ZFŚS służy finansowaniu pomocy socjalnej dla pracowników i ich bliskich. Fundusz muszą utworzyć jednostki budżetowe, bez względu na liczbę zatrudnionych oraz pracodawcy, którzy według stanu na 1 stycznia danego roku zatrudniają co najmniej 50 osób w przeliczeniu na pełne etaty. Mniejsi pracodawcy mogą taki fundusz założyć z własnej woli. Zasady jego działania określa ustawa z dnia 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych.

Przyznanie świadczenia zależy od sytuacji życiowej, rodzinnej i materialnej osoby, która o nie występuje. Oznacza to przetwarzanie danych osobowych, czyli wszelkie operacje na danych:

• ich zbieranie,
• zapisywanie,
• przechowywanie
• i przekazywanie dalej.

Z funduszu mogą korzystać pracownicy i ich rodziny, emeryci i renciści będący dawnymi pracownikami oraz inne osoby, które regulamin funduszu wskaże jako uprawnione.

Pracodawca jako administrator danych

Administrator danych to podmiot, który decyduje, w jakim celu i w jaki sposób dane są przetwarzane. W przypadku ZFŚS jest nim pracodawca i to on odpowiada za zgodność przetwarzania z rozporządzeniem (UE) 2016/679 (RODO). Fakt, że regulamin funduszu uzgadnia się ze związkiem zawodowym albo przedstawicielami załogi, nie dzieli tej odpowiedzialności, bo żaden z tych podmiotów nie wyznacza celów ani sposobów przetwarzania.

Komisja socjalna

Ustawa o ZFŚS nie przewiduje komisji socjalnej, lecz pracodawca może ją powołać i w praktyce często tak się dzieje. Komisja pomaga przy układaniu planu dochodów i wydatków funduszu, przygotowuje propozycje podziału środków i opiniuje wnioski. Nie staje się jednak samodzielnym administratorem danych – jej członkowie działają z upoważnienia pracodawcy i wolno im robić z danymi tylko tyle, na ile pozwala to upoważnienie. Powołanie komisji nie odbiera zatem pracodawcy odpowiedzialności za fundusz i dane osobowe.

Organizacja związkowa

Rola związku wynika z art. 27 ust. 1 ustawy o związkach zawodowych: pracodawca uzgadnia z nim regulamin funduszu. Zdaniem UODO nie daje to jednak związkowi prawa do wglądu w dane z indywidualnych wniosków. Poradnik zaznacza też, że związek nie może żądać danych pracowników w ramach ogólnej kontroli. Dostęp do nich jest możliwy tylko wtedy, gdy zgodzi się na to sam zainteresowany albo gdy sam o to poprosi związek. Poradnik odwołuje się przy tym do poglądu z doktryny, że uzgodnienia nie muszą obejmować każdej pojedynczej sprawy, wystarczy rozstrzygnięcie komisji socjalnej.

Podstawa prawna i zakres danych

Dane zwykłe pracodawca przetwarza na podstawie art. 6 ust. 1 lit. c RODO, czyli dlatego, że wymaga tego przepis prawa. Dane szczególnych kategorii, np. dotyczące zdrowia, przetwarza na podstawie art. 9 ust. 2 lit. b RODO, który odnosi się do obowiązków z zakresu prawa pracy i ochrony socjalnej. Materialnoprawną podstawą w obu przypadkach jest art. 8 ustawy o ZFŚS. Zgoda pracownika nie jest tu potrzebna, a według poradnika pracodawca nie powinien jej zbierać (co w praktyce się zdarza).

Zakres danych wyznacza zasada minimalizacji (art. 5 ust. 1 lit. c RODO): pracodawca może pozyskiwać tylko to, co adekwatne i niezbędne. Dobrze pokazuje to przykład z poradnika. Gdy do oceny dochodów rodziny potrzebny jest PIT małżonka, pracodawca może go obejrzeć, ale nie powinien zostawiać sobie kopii. Dokument zawiera bowiem informacje bezużyteczne dla funduszu, jak nazwa pracodawcy małżonka czy numer PESEL. Dopuszczalna jest za to notatka, z której wynika, na podstawie jakich dokumentów sprawdzono dane i uwzględnianie średniego dochodu przypadającego na członka rodziny, bo to zwykłe kryterium oceny sytuacji materialnej.

Punktem wyjścia jest oświadczenie osoby uprawnionej, a pracodawca może żądać jego potwierdzenia oświadczeniami i zaświadczeniami, w zakresie niezbędnym. Dokumentów może wymagać tylko od wnioskodawcy, nie od osób trzecich. Poradnik dopuszcza też sprawdzenie oświadczenia w danych kadrowo-płacowych, ale za wiedzą i wolą pracownika. Pracodawca powinien ograniczać ryzyko, że wnioskodawcy dołączą więcej danych, niż trzeba, a jeśli tak się stanie, ma je niezwłocznie usunąć.

Poradnik UODO podaje dwa przykłady naruszeń

• W pierwszym poprzedni pracodawca zapytał obecnego pracodawcę emeryta o jego status (decyzja Prezesa UODO, sygn. DS.523.608.2024).
• W drugim zapomogę przyznano bez wniosku, na podstawie informacji od współpracownika (decyzja Prezesa UODO, sygn. DS.523.2588.2023).

Z tej drugiej decyzji wynika reguła ogólna: ustawa nie pozwala osobom trzecim występować w imieniu uprawnionego ani pracodawcy przyznawać świadczeń z własnej inicjatywy. Poradnik przywołuje także uchwałę Sądu Najwyższego z 21 marca 2024 r. (sygn. akt: III PZP 3/23), z której wynika, że pytanie o korzystanie ze świadczeń u innego pracodawcy wykracza poza niezbędny zakres danych.

Obowiązek informacyjny

Obowiązek informacyjny polega na tym, że administrator wskazuje osobie, której dane przetwarza, kim jest, na jakich zasadach i w jakim celu to robi. Wobec osób, które składają wniosek o świadczenie, pracodawca wykonuje go na podstawie art. 13 RODO, chyba że dana osoba ma już te informacje. Poradnik oczekuje, że obowiązek ten znajdzie miejsce w procedurach funduszu.

Inaczej jest z członkami rodziny w jednym gospodarstwie domowym. Art. 14 ust. 5 lit. c RODO zwalnia z obowiązku informacyjnego, gdy pozyskiwanie danych jest wprost uregulowane prawem i przewidziano odpowiednie zabezpieczenia. Według poradnika art. 8 ustawy o ZFŚS spełnia ten warunek. Pracodawca nie musi więc osobno informować domowników, a ustawa nie wymaga od nich dodatkowych oświadczeń, ponieważ dane przekazuje pracownik.

Przechowywanie i coroczny przegląd

Od 4 maja 2019 r. pracodawca musi co najmniej raz w roku kalendarzowym przejrzeć całą dokumentację funduszu i usunąć dane, których nie musi już mieć. Jednorazowe porządki nie wystarczą, bo poradnik stawia wymóg ciągłego, prawidłowego przetwarzania. Dane można trzymać tak długo, jak potrzeba do przyznania świadczenia i ustalenia jego wysokości oraz do dochodzenia praw lub roszczeń. Podmioty publiczne muszą przy tym uwzględniać przepisy archiwalne i wykaz akt.

Co warto sprawdzić w organizacji?

Po lekturze poradnika pracodawca powinien zweryfikować przede wszystkim:

• czy regulamin ZFŚS wprost wskazuje, jakie dane i dokumenty są wymagane przy poszczególnych świadczeniach,
• czy członkowie komisji socjalnej mają pisemne upoważnienia i znają ich granice,
• czy wzory wniosków lub Regulamin zawierają informację z art. 13 RODO,
• czy we wnioskach nie ma pytań o świadczenia z innych zakładów pracy i czy nie zostają w aktach kopie dokumentów, które wystarczyło obejrzeć,
• czy świadczenia przyznaje się wyłącznie na wniosek uprawnionego,
• czy w kalendarzu funduszu jest wyznaczony termin corocznego przeglądu dokumentacji.

Przypominamy przy tym, że zgodnie z zasadą uwzględniania ochrony danych już w fazie projektowania (privacy by design, art. 25 ust. 1 RODO) minimalizację danych trzeba przewidzieć na etapie tworzenia funduszu. Przy ustalaniu procedur i pisaniu regulaminu pracodawca powinien z góry określić, jakie dane i dokumenty są rzeczywiście potrzebne do przyznania poszczególnych świadczeń, zamiast zbierać je na wszelki wypadek.

Z poradnikiem UODO można zapoznać się TUTAJ.

Jeśli pojawią się u Państwa pytania lub wątpliwości, zespół prawa pracy i ochrony informacji danych KTW.Legal chętnie pomoże w przeglądzie regulaminu ZFŚS i procedur ochrony danych osobowych w Państwa organizacji.

autor: r.pr. Anna Wojciechowska