W niniejszym wpisie mam zamiar zająć się bardzo ciekawym (moim zdaniem) zagadnieniem „danych wspólnych”. Zagadnienie to ma duże znaczenie dla pracodawców prowadzących ZFŚS, ale ma też o wiele szersze znaczenie, i może dotyczyć każdego, kto przetwarza dane dotyczące sytuacji rodzinnej osób fizycznych. O co chodzi?
Otóż art. 13 RODO mówi o obowiązkach administratora danych w sytuacji, gdy otrzymuje dane dotyczące jakiejś osoby od niej – wskazuje o czym trzeba taką osobę poinformować. Z kolei art. 14 RODO mówi o obowiązkach administratora w sytuacji, gdy otrzymuje dane osobowe jakiejś osoby od innej osoby – w tym przypadku informację należy skierować do osoby której dane dotyczą, i to ona jest podmiotem szeregu uprawnień (np. może żądać by danych jej nie przetwarzano).
Powyższe wydaje się proste. Problem w tym, że RODO nie reguluje sytuacji przetwarzania danych które dotyczą więcej niż jednej osoby. Przykładowo jeżeli X podaje, że jest w związku małżeńskim z Y, to informacja ta stanowi zarówno dane osobowe X, jak i Y. Co więcej, sama informacja że chodzi o małżonka X bez podania jego/jej imienia i nazwiska też stanowi dane osobowe, bo może wystarczyć do zidentyfikowania osoby, o którą chodzi.
W efekcie powstają dwa problemy. Pierwszy – czy administrator, który wszedł w posiadanie danych „wspólnych” dla kilku osób od jednej z nich, ma obowiązek powiadomić pozostałe stosownie do art. 14 RODO. Drugi – co ma zrobić administrator, który otrzymał od jednej osoby wyraźną zgodę na przetwarzanie danych o charakterze wspólnym, gdy ta druga osoba wyrazi sprzeciw?
Uważam, że kluczem jest pojęcie zbioru danych. Analizując motyw 15 RODO (fragment preambuły, która jest tu dłuższa niż samo rozporządzenie), art. 4 pkt 6 oraz art. 2 ust. 1 RODO można odkryć, że aktu tego nie stosuje się do zbiorów które nie są uporządkowane. A zatem przypadkowe posiadanie danych jakiejś osoby bez umieszczenia ich uporządkowanym zbiorze nie podlega RODO.
Teraz odnieśmy to do zasad funkcjonowania ZFŚS. Posiadanie przez pracodawcę spisu pracowników stanowi przetwarzanie ich danych osobowych. Jeżeli przy konkretnych pracownikach podana jest informacja o posiadaniu bądź nie małżonka czy dzieci, są to dalej dane pracowników. Natomiast jeżeli przy danych pracownika podane są dane (imię i nazwisko) małżonka, to kluczowe znaczenie zaczyna mieć kwestia, czy dane małżonków są w jakiś sposób uporządkowane. Uważam, że uporządkowanie małżonków będące skutkiem ubocznym uporządkowania pracowników ma charakter przypadkowy, i nie stanowi formy prowadzenia zbioru danych małżonków pracowników. W efekcie, o ile pracodawca nie podejmuje dalszych działań co do tych danych, można uznać, że nie istnieje zbiór danych małżonków. RODO nie miałoby w ogóle zastosowania. Sprawa nie jest niestety ewidentna, bowiem niezwykle szeroka definicja przetwarzania wskazuje, że jest nim również samo przechowywanie danych (art. 4 pkt 2 RODO).
Z powyższego wynika, że w przypadku danych potrzebnych do przyznania środków z ZFŚS pracodawca powinien rozważyć, czy dane małżonków są mu w ogóle konieczne. Być może wystarczające okażą się informacje że małżonek jest, i jakiej wysokości osiąga dochody. Ja uważam, że imię i nazwisko małżonka nie jest potrzebne.