Ustawa o kasach zapomogowo-pożyczkowych z dnia 11 sierpnia 2021 r. precyzuje – wydawać by się mogło – w sposób dość oczywisty i wyraźny, przez kogo, w jakim celu oraz czyje dane mogą być przetwarzane przez KZP. Niefrasobliwość przedstawicieli zarządu kasy zapomogowo-pożyczkowej, połączona z „nadgorliwością” pracodawcy, u którego działa KZP prowadzą bardzo często do nieprawidłowego wskazania administratora danych osobowych. Wspomniana wyżej ustawa o KZP wskazuje jednoznacznie, że jest nim sama KZP (patrz: Art. 43 ust. 7 uokzp). Warto dostrzec wynikające z tego konsekwencje i rozgraniczenia.
Prawdopodobnie nie ma nikogo, kto nie słyszałby słowa „RODO”. Niektórzy zapewne orientują się, że skrót ten oznacza ogólne rozporządzenie o ochronie danych osobowych. 25 maja 2018 roku weszło w życie rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.). Zapisy tego dokumentu wpłynęły oczywiście na kształt ustawy o KZP, ponieważ z oczywistych względów kasy zapomogowo-pożyczkowe mają do czynienia z szeroko rozumianym przetwarzaniem danych osobowych. Przetwarzanie danych, (również tych związanych z osobami fizycznymi) jest jednym z kluczowych pojęć dotyczących ochrony prywatności w dzisiejszym cyfrowym świecie. Za przetwarzanie można uznać wszelkie operacje wykonywane na danych osobowych, takie jak n.in. zbieranie, przechowywanie, udostępnianie innym podmiotom.
Warto pamiętać, że art. 43 ust. 2 uokzp wskazuje zamknięty katalog danych osobowych. Uwzględnione są w nim podstawowe zasady przetwarzania danych osobowych sprowadzające się do minimalizacji danych, ograniczenia celu, prawidłowości, ograniczenia przechowywania, rzetelności, przejrzystości, integralności i poufności. Zatem KZP żąda udokumentowania danych osobowych w zakresie niezbędnym do ich potwierdzenia, na podstawie oświadczenia lub zaświadczenia o sytuacji życiowej (zdrowotnej), rodzinnej czy materialnej. Statut KZP ma natomiast określić wzór oświadczenia woli, który w treści zawiera zgodę na przetwarzanie danych osobowych tego, kto składa oświadczenia – a może być nim w szczególności członek kzp, poręczyciel lub osoba uprawniona (na wypadek śmierci członka). Dodatkowe obwarowania wskazane w ustawie o kzp to: upoważnienie wydane przez zarząd uprawniające do przetwarzania danych, terminy maksymalne ich przetwarzania, wskazanie sposobu zabezpieczenia danych (m.in. przed utratą, zniszczeniem lub uszkodzeniem). Dotyczy to wszystkich danych niezależnie od tego czy są w formie elektronicznej czy papierowej. Nie dajmy się również złapać w pułapkę przetwarzania danych nadmiarowych, czyli takich, na których przetwarzanie KZP może nie mieć zgody, bądź wydają się one zbędne w świetle celowości i zasadności dostępu do nich. Przetwarzajmy możliwie minimalne zbiory danych, co zapewne wyjdzie nam na dobre.
Pracodawca, u którego funkcjonuje KZP, musi pamiętać o swoim obowiązku, polegającym na m.in.: udzielaniu informacji możliwości bycia członkiem KZP lub poręczycielem pożyczki, prowadzeniu rachunkowości, obsługi kasowej i prawnej, czy wreszcie przekazywania przez zarząd członkom KZP informacji o stanie ich wkładów i zadłużeń. Pracodawca jest więc odrębnym administratorem, któremu KZP udostępnia dane w celu realizacji jego obowiązków wskazanych w art. 43 ust. 8 ustawy o KZP. Warto podkreślić, że zbiory tych danych osobowych, wymienianych między pracodawcą, a KZP – w wyniku działań wspomagających – przenikają się, przy czym administratorzy (zarówno pracodawca jak KZP) są od siebie niezależni w zakresie administrowania danymi. Pracodawca pod żadnym pozorem nie powinien być wskazywany jako administrator danych osobowych przetwarzanych przez KZP. Zarówno pracodawca, jak KZP, w zakresie przetwarzanych przez siebie danych osobowych, samodzielnie ustalają własne cele i sposoby przetwarzania tych danych, zatem muszą być traktowani jako odrębni administratorzy.
Dostęp do szkoleń (również w wersji online) związanych z przetwarzaniem danych osobowych jest bardzo szeroki. Warto zauważyć, że w trakcie szkoleń prowadzonych przez firmę Casco poruszamy szeroko temat danych osobowych, starając się przekonać Państwa do skorzystania z wypracowanych przez lata metod, wzorów i klauzul. Wskazujemy konieczność opisania w statucie KZP zasad i sposobu przetwarzania danych osobowych oraz właściwego poziomu ich zabezpieczenia. Istotnym elementem współpracy między KZP i pracodawcą jest przewidziana w art. 6 ust. 2 umowa zwarta między pracodawcą i KZP, która szczegółowo wskazuje na warunki pomocy udzielanej przez pracodawcę (również w przypadku kasy międzyzakładowej). Jednym z elementów takiej współpracy może być wsparcie wykwalifikowanego Inspektora Ochrony Danych (IOD) zatrudnianego przez pracodawcę lub świadczącego na jego rzecz usługi. Być może istnieje szansa aby IOD objął swoim działaniem również KZP (za co oczywiście ewentualną odpłatność poniesie pracodawca – warto zapisać to w w/w umowie). Działania takie przełoży się zapewne na obopólne korzyści, gwarantując rzetelne i zgodne z przepisami zarządzanie danymi osobowymi.
