Okres przetwarzania danych, ich przegląd i usuwanie

Pracodawca przetwarza dane osobowe osób uprawnionych przez okres niezbędny do przyznania ulgowej usługi i świadczenia, dopłaty z Funduszu oraz ustalenia ich wysokości, a także przez okres niezbędny do dochodzenia praw lub roszczeń (art. 8 ust. 1c ustawy o Funduszu). W tym drugim przypadku okres retencji danych osobowych wynosi:

• 3 lata od dnia, w którym roszczenie o świadczenie socjalne stało się wymagalne, np. od dnia upływu terminu, w którym świadczenie socjalne powinno być, lecz nie zostało wypłacone (art. 291 § 1 K.p. i wyrok SN z 4 lipca 2007 r., sygn. akt II PK 25/07, OSNP 2008/17-18/251),
• 5 lat w stosunku do danych, które mogą być objęte kontrolą składkowo-podatkową; termin liczy się odpowiednio od dnia, w którym składki ZUS stały się wymagalne lub od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 24 ust. 4 ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych - Dz. U. z 2024 r. poz. 497 z późn. zm., dalej ustawy o sus i art. 70 § 1 ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa - Dz. U. z 2023 r. poz. 2383 z późn. zm.).

Do obowiązków pracodawcy należy przegląd danych osobowych nie rzadziej niż raz w roku kalendarzowym w celu ustalenia niezbędności ich dalszego przechowywania (art. 8 ust. 1d zd. 1 ustawy o Funduszu). W tym celu upoważnia osoby (najlepiej spoza komisji socjalnej) do dokonania przeglądu. Osoby te:

• sprawdzają każdą dokumentację (w postaci papierowej i elektronicznej) związaną z udzielonymi świadczeniami socjalnymi,
• pozostawiają do dalszego przechowywania tylko dane niezbędne do wykazania prawidłowości przyznanego świadczenia socjalnego,
• usuwają dane, dla których upłynął okres przechowywania (art. 8 ust. 1d zd. 2 ustawy o Funduszu),
• dokumentują przegląd, np. w postaci sprawozdania czy protokołu.

Uwaga! O częstotliwości i terminie dokonywania przeglądu danych osobowych w roku kalendarzowym decyduje pracodawca (por. stanowisko MRPiPS w sprawie przeglądów danych osobowych dotyczących ZFŚS udostępnione naszemu Wydawnictwu 13 grudnia 2019 r.). Z kolei w piśmie udostępnionym naszemu Wydawnictwu 17 grudnia 2019 r. UODO potwierdził, że jeden raz w roku to: "(...) minimalna częstotliwość dokonywania takiego przeglądu, określona przez ustawodawcę. (...)".

Nienaruszanie zasad ochrony danych osobowych zawarte w art. 5 RODO wymagałoby od pracodawcy bieżącego monitorowania danych (por. Ustawa o zakładowym funduszu świadczeń socjalnych. Komentarz, red. dr Paweł Litwiński, C.H. Beck 2021, kom. do art. 8). Takie stanowisko zajął również UODO, wskazując, że: "(...) RODO wymaga nieprzerwanego, ciągłego, prawidłowego przetwarzania danych, w każdym procesie wykonywania operacji na danych. Nie wystarczy więc dokonać jednorazowego przeglądu danych w istniejących zasobach. Przepisy te nakazują pracodawcy usuwać dane osobowe, których dalsze przechowywanie jest zbędne, jest ściśle związane z zasadą ograniczenia celu (art. 5 ust. 1 lit. b RODO), tj. przyznawanie świadczeń socjalno-bytowych w ramach działania Funduszu. (...)" (por. https://archiwum.uodo.gov.pl/pl/138/1360).

Państwowa Inspekcja Pracy może skontrolować przestrzeganie art. 8 ust. 1a-1d ustawy o Funduszu (oraz jej pozostałych przepisów), działając w tej sprawie samodzielnie lub na wniosek pracowników. Negatywny wynik postępowania PIP może zakończyć się karą grzywny (art. 12a ustawy o Funduszu). Co więcej, naruszenie zasad ochrony danych osobowych osób uprawnionych do świadczeń socjalnych może stać się przedmiotem postępowania UODO, zakończonego środkiem dyscyplinującym wymienionym w art. 58 ust. 2 RODO (np. upomnieniem) albo administracyjną karą finansową, która za złamanie art. 5 RODO może wynieść nawet do 20 milionów euro lub stanowić 4% całkowitego rocznego światowego obrotu kontrolowanego przedsiębiorstwa (art. 83 ust. 5 lit. a RODO). UODO nie ma jednak uprawnienia do sprawdzania czy przyznanie danego świadczenia socjalnego miało podstawę prawną w przepisach RODO (por. wyrok WSA w Warszawie z 15 maja 2024 r., sygn. akt II SA/Wa 2190/23).