Zatrudnienie pracownika pociąga za sobą szereg obowiązków wynikających z innych dziedzin prawa, np. zabezpieczenia społecznego, czy podatkowego, które również wiążą się z koniecznością przetwarzania danych osobowych pracownika. W tym przypadku podstaw do przetwarzania danych osobowych należy poszukiwać w treści przepisów prawa materialnego z innych dziedzin.
Zatrudnienie pracownika wiąże się z obowiązkiem zgłoszenia go do ubezpieczeń społecznych w ustawowym terminie (formularz ZUS ZUA), co oznacza konieczność przetwarzania danych osobowych pracownika, a ich zakres wynika z art. 36 ust. 10 ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (Dz. U. z 2023 r. poz. 1230 z późn. zm.). Na tej podstawie można przetwarzać dane takie jak: nazwisko oraz imiona, a także nazwisko rodowe, datę urodzenia, obywatelstwo, płeć, stopień niepełnosprawności, posiadanie ustalonego prawa do emerytury lub renty, wykonywany zawód, adres zameldowania na stałe miejsce pobytu, adres zamieszkania, jeżeli jest inny niż adres zameldowania na stałe miejsce pobytu, a także adres do korespondencji, jeżeli jest inny niż adres zameldowania na stałe miejsce pobytu i adres zamieszkania. Zakres tych danych jest szerszy niż dane niezbędne, wynikające z Kodeku pracy, gdyż mamy w tym katalogu również dane takie jak: nazwisko rodowe, posiadanie ustalonego prawa do emerytury, czy wreszcie aż 3 rodzaje adresów pracownika, tj.: zamieszkania, zameldowania oraz do korespondencji.
W odniesieniu do powyższego UODO w stanowisku z 19 lipca 2019 r. wskazał, że pracodawca w toku rekrutacji może pozyskać dane kontaktowe, do których może należeć zarówno adres korespondencyjny, zamieszkania czy zameldowania, a także adres e-mail i nr telefonu. Następnie od osoby zatrudnionej pracodawca może żądać podania jedynie adresu zamieszkania, ale ponadto pracodawca może żądać podania innych danych osobowych, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z innego przepisu prawa. Jeżeli zatem pracodawca nie dysponuje którąś z danych wymienionych w art. 36 ust. 10 ustawy o systemie ubezpieczeń społecznych, to do realizacji obowiązków z niego wynikających może żądać od pracownika podania mu odpowiednich danych. Dane te są zatem, podobnie jak dane osobowe wynikające z art. 221 K.p., przetwarzane na podstawie przesłanki wynikającej z art. 6 ust. 1 lit. c RODO.
Odnosząc się do powyższego zakresu danych MRPiPS w stanowisku z 8 lipca 2019 r. wyjaśniło, że przepisy ubezpieczeń społecznych nie nakładają obowiązku podawania danych niezbędnych do zgłoszenia do ubezpieczeń w kwestionariuszu dla pracownika. Obok danych dotyczących adresu zameldowania, zamieszkania i korespondencji, w zgłoszeniu do ubezpieczeń należy zamieścić również informację o prawie do emerytury lub renty itd. Dane te przekazywane są przez pracodawcę na druku ZUS ZUA i na tym druku osoba zgłaszana oświadcza, że dane zawarte w formularzu są zgodne ze stanem prawnym i faktycznym. Mając powyższe na uwadze nie jest właściwe podawanie w ww. kwestionariuszu innych danych osobowych niż te, które wynikają z art. 221 § 3 K.p.
Kolejne podstawy przetwarzania danych osobowych pracownika będą wynikały z przepisów dotyczących PPK oraz PPE i w obydwu przypadkach podstawą prawną przetwarzania danych osobowych będzie wypełnienie obowiązków prawnych ciążących na administratorze danych osobowych (pracodawcy) - art. 6 ust. 1 lit. c RODO, a więc w tym zakresie nie należy odbierać zgód od pracowników na przetwarzanie ich danych osobowych. W odniesieniu do PPK potwierdził to UODO w stanowisku z 8 listopada 2019 r. (https://archiwum.uodo.gov.pl/pl/138/1251) stwierdzając, że pracodawca ma obowiązek prawny przekazania danych osobowych m.in. w postaci adresu poczty elektronicznej i numeru telefonu od pracownika bez wyrażenia jego zgody do wybranej instytucji finansowej, o ile pracownik takie dane mu udostępni. Urząd podkreślił, że takie dane stanowią załącznik do umowy o prowadzenie Pracowniczych Planów Kapitałowych i zgodnie z ustawą są uznane za dane identyfikujące uczestnika PPK.
Również na gruncie przepisów ustawy z dnia 26 lipca 1991 r. o podatku dochodowym od osób fizycznych (Dz. U. z 2022 r. poz. 2647 z późn. zm.), zwanej ustawą o pdof pracownik może złożyć szereg oświadczeń, których celem jest właściwe ustalenie przez płatnika (pracodawcę) zaliczki na podatek dochodowy od osób fizycznych i które będą zawierały dane osobowe. Także w tym przypadku należy przyjąć, że podstawą prawną przetwarzania danych osobowych będzie wypełnienie obowiązków prawnych ciążących na administratorze danych osobowych (pracodawcy) - art. 6 ust. 1 lit. c RODO. Od 1 stycznia 2023 r. oświadczenia podatkowe połączono w druku PIT-2(9), który obecnie zawiera oświadczenia i wnioski podatnika dla celów obliczania miesięcznych zaliczek na podatek dochodowy od osób fizycznych. Co ważne, zgodnie z art. 31a ust. 1 ustawy o pdof, oświadczenia i wnioski pracownicy mogą złożyć na piśmie albo w inny sposób przyjęty u danego płatnika, a więc także elektronicznie.
Uwaga! Biorąc pod uwagę różne podstawy przetwarzania danych osobowych, które przełożą się następnie na różne okresy retencji tychże danych, należy stwierdzić, że dane te nie powinny być zbierane w jednym rozbudowanym kwestionariuszu osobowym dla pracownika, a w odrębnych kwestionariuszach dotyczących jednej dziedziny prawa. Powinien zatem powstać:
- kwestionariusz osobowy z danymi z Kodeksu pracy,
- kwestionariusz z danymi do ZUS - ZUS ZUA,
- PIT-2,
- oświadczenie dotyczące danych do PPK lub PPE.
