Grupowe ubezpieczenie pracowników w świetle ochrony danych osobowych

Pracodawca jest administratorem danych osobowych pracowników na podstawie art. 22¹ K.p. w zw. z art. 6 ust. 1 lit. c oraz art. 4 pkt 7 RODO. Dlatego ma prawo przetwarzać dane osobowe pozyskane w trybie pierwszego z wymienionych przepisów, czyli zbierać, utrwalać, organizować, porządkować, przechowywać, adaptować lub modyfikować, pobierać, przeglądać, wykorzystywać, ujawniać poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywać lub łączyć, ograniczać, usuwać lub niszczyć (art. 4 pkt 2 RODO). Prawo przetwarzania danych osobowych swoich klientów (ubezpieczających i ubezpieczonych) ma również firma ubezpieczeniowa. W celu zawarcia umowy grupowego ubezpieczenia pracowników i po tym fakcie, a także po przystąpieniu osób uprawnionych do tego ubezpieczenia jest ona uprawniona przetwarzać dane osobowe pracodawcy (ubezpieczającego), osób ubezpieczonych (pracowników i ich współmałżonków/partnerów) oraz uposażonych na podstawie art. 6 ust. 1 lit. a-c w zw. z art. 9 ust. 2 lit. a RODO, a także przepisów ustawy z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej (Dz. U. z 2020 r. poz. 895 ze zm.), dalej ustawy ubezpieczeniowej. Staje się bowiem odrębnym administratorem, realizującym własne cele przetwarzania danych i wykonującym obowiązki (w tym informacyjne) związane z ochroną danych osobowych.

Oświadczenia o wyrażeniu zgód na przystąpienie do tego ubezpieczenia, opłacania składki ubezpieczeniowej, przetwarzanie danych osobowych (w tym o stanie zdrowia) w celu wykonania umowy ubezpieczenia i ewentualnie innych wymienionych celach (np. marketingowych) pracownik składa firmie ubezpieczeniowej, zgodnie z art. 19, art. 38 ust. 1, 6 i 8, art. 39 i art. 41 ustawy ubezpieczeniowej w zw. z art. 6 ust. 1 lit. a-c i art. 9 ust. 2 lit. a RODO. Mają one ścisły związek z wykonywaniem umowy ubezpieczenia. Ich adresatem nie jest pracodawca.

Uwaga! Przyjmując, że umowę na obsługę grupowego ubezpieczenia pracowników firma ubezpieczeniowa zawarła z jednym z zatrudnionych, w jej treści powinny znajdować się postanowienia dotyczące powierzenia przetwarzania danych osobowych. Jeśli nie zostały tam umieszczone, powinna być zawarta osobna umowa powierzenia przetwarzania danych osobowych (art. 28 RODO). Taki pracownik jest bowiem podmiotem przetwarzającym, gdyż przetwarza powierzone mu dane w imieniu ich administratora, jakim jest firma ubezpieczeniowa (art. 4 pkt 8 RODO). Nie miałby takiego statusu, gdyby umowę na obsługę grupowego ubezpieczenia zawarł z nim pracodawca. Wystarczyłoby upoważnienie od pracodawcy do przetwarzania danych w jego imieniu jako administratora (art. 29 RODO).

Zwykle deklarację o przystąpieniu do ubezpieczenia grupowego, w której zazwyczaj znajduje się zgoda pracownika na potrącanie składek na grupowe ubezpieczenie z wynagrodzenia, posiada firma ubezpieczeniowa. Tym samym pracodawca fizycznie nie będzie dysponował pisemną zgodą na realizację takich potrąceń, jakiej wymaga art. 91 § 1 K.p. (tzw. potrącenia dobrowolne, do których należy potrącanie składek na grupowe ubezpieczenie). Stąd powinien mieć odrębne, sporządzone na piśmie, oświadczenie pracownika, wyrażające zgodę na potrącanie składek na grupowe ubezpieczenie z jego wynagrodzenia.