Przetwarzanie danych osobowych w ramach kasy zapomogowo pożyczkowej

Od 10 kwietnia 2023 r. weszły w życie nowe zasady dotyczące działalności kas zapomogowo-pożyczkowych. Stosowna ustawa o KZP została uchwalona przez Sejm w dniu 11 sierpnia 2021 roku.

Ustawa o kasach zapomogowo-pożyczkowych (Dz.U. z 2021 r. poz. 1666), dalej „ustawa”, zastąpi aktualne regulacje, porządkując i aktualizując przy tym niektóre zagadnienia. Z naszej perspektywy interesujące są zapisy dotyczące przetwarzania danych osobowych w ramach procesów realizowanych w Kasach Zapomogowo Pożyczkowych (dalej „KZP”). Zgodnie z art. 43 ustawy KZP przetwarza dane osobowe w celu realizacji zadań ustawowych związanych z członkostwem w KZP, w tym gromadzeniem wkładów członkowskich oraz udzielaniem pomocy materialnej w formie pożyczek lub zapomóg, a także dochodzeniem związanych z nimi praw lub roszczeń. Zapis ustawy jednoznacznie określa dla wszystkich w/w procesów podstawę prawną przetwarzania danych osób, których dane dotyczą. Prawną przesłanką przetwarzania ma być zgoda udzielona w formie oświadczenia przez członka KZP, osobę uprawnioną lub poręczyciela.

Ustawa określa także szczegółowy zakres danych osobowych przetwarzanych przez KZP w odniesieniu do członka KZP, osoby uprawnionej oraz poręczyciela. Co ważne, KZP może żądać od w/w osób udokumentowania danych osobowych w zakresie niezbędnym do ich potwierdzenia. Potwierdzenie może odbywać się w szczególności na podstawie oświadczenia lub zaświadczenia. Ustawa wskazuje także dokładne okresy przetwarzania danych osobowych, czyli „okresy retencji danych”. Ważną zmianą zawartą w ustawie jest wskazanie wprost, iż administratorem danych osobowych przetwarzanych przez KZP jest KZP, natomiast pracodawca, u którego funkcjonuje KZP, przetwarza dane osobowe wyłącznie w celu świadczenia KZP pomocy, zakres której ustawa szczegółowo określa w art. 6 ust. 1 pkt 4-8 ustawy. A zatem pomiędzy administratorem (KZP) a pracodawcą powinna zostać zawarta umowa powierzenia, legalizująca transfer danych osobowych pomiędzy nimi.

Wróćmy jednak do podstaw prawnych przetwarzania. Jak zaznaczono wcześniej, ustawa wskazuje dla wszystkich procesów w odniesieniu do wszystkich kategorii podmiotów (których dane dotyczą) jedną wspólną przesłankę przetwarzania, jaką jest zgoda osoby, której dane dotyczą, tj. art. 6 ust. 1 lit. a) RODO. Przywołajmy w całości analizowany zapis ustawy.

Zgodnie zatem z art. 43 ust. 1 ustawy „przetwarzanie przez KZP danych osobowych w celu realizacji zadań ustawowych związanych z członkostwem w KZP, w tym gromadzeniem wkładów członkowskich oraz udzielaniem pomocy materialnej w formie pożyczek lub zapomóg, a także dochodzeniem związanych z nimi praw lub roszczeń, następuje na podstawie zgody udzielonej w formie oświadczenia członka KZP, osoby uprawnionej lub poręczyciela”.

Czy jest to wskazanie prawidłowe? Jakie dokładnie procesy przetwarzania zostają tutaj przywołane? Oczywiście w zależności od kategorii osób, których dane dotyczą będą to różne cele, spróbujmy jednak przyglądnąć się im nieco bardziej szczegółowo.

W przypadku członka KZP będą to z pewnością następujące procesy:

1. Realizacja zadań ustawowych związanych z członkostwem w KZP, w tym gromadzeniem wkładów członkowskich i udzielania zapomóg,
2. Zawarcie i wykonanie umowy związanej z udzieleniem pomocy materialnej w formie pożyczek,
3. Dochodzenie przez KZP roszczeń lub ochrony przed takimi roszczeniami,
4. Branie udziału w obradach walnego zebrania członków KZP,
5. Wybieranie i bycie wybieranym do zarządu lub komisji rewizyjnej KZP,
6. Podejmowanie przez Zarząd KZP uchwały o skreśleniu z listy członków KZP na skutek niedopełnienia obowiązku określonego w art. 12 ust. 1 pkt 2 lub 3 ustawy,
7. Prowadzenie rachunkowości, obsługi kasowej i prawnej oraz dokonywanie potrąceń wpisowego, miesięcznych wkładów członkowskich i rat pożyczek na listach płac, listach wypłat i zasiłków, a także odprowadzanie wpłat wpisowego, miesięcznych wkładów członkowskich i rat pożyczek na rachunek płatniczy KZP,

Odpowiednio w odniesieniu do poręczyciela umów dotyczących udzieleniem pomocy materialnej będą to takie procesy jak:

1. Wyrażenie zgody na pełnienie funkcji poręczyciela dla udzielanej przez KZP pomocy materialnej w formie pożyczek lub zapomóg,
2. Zawarcie i wykonanie umowy poręczenia dla udzielanej przez KZP pomocy materialnej w formie pożyczek lub zapomóg na rzecz członka KZP,
3. Dochodzenia przez KZP roszczeń lub ochrony przed takimi roszczeniami.

Zanim odpowiemy na pytanie dotyczące prawidłowego wskazania przez ustawodawcę podstaw prawnych przetwarzania, przypomnijmy opinię Prezesa UODO dotyczącą wskazywania podstaw prawnych przetwarzania danych. Prezes UODO w kilku swoich opiniach kładł nacisk na to, iż nie jest możliwe (dopuszczalne) wskazywanie jako przesłanki prawnej przetwarzania danych zgody osoby, której dane dotyczą, jeżeli administrator może lub powinien wybrać inną podstawę prawną przetwarzania. Inaczej mówiąc Prezes UODO wskazywał zgodę osoby, której dane dotyczą jako ostatnią z możliwych podstaw prawnych przetwarzania. Zgodnie z takim stanowiskiem zgoda osoby, której dane dotyczą na przetwarzanie jej danych osobowych byłaby możliwa jako skuteczna podstawa prawna takiego przetwarzania, jeżeli administrator nie jest w stanie wskazać innej możliwej lub koniecznej przesłanki. Dodatkowo, zgodnie z art. 7 ust. 4 RODO, oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy. Dodajmy w końcu, iż na podstawie art. 6 ust. 1 lit. b) RODO przetwarzanie jest zgodne z prawem, gdy – i w takim zakresie, w jakim – jest ono niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.

Biorąc powyższe pod uwagę nie będzie budzić wątpliwości przyjęcie zgody członka KZP jako podstawy prawnej przetwarzania w celu realizacja zadań ustawowych związanych z członkostwem w KZP, w tym gromadzeniem wkładów członkowskich i udzielania zapomóg, ewentualnie branie udziału w obradach walnego zebrania członków KZP, czy nawet wybieranie i bycie wybieranym do zarządu lub komisji rewizyjnej KZP. Jednak w przypadku pozostałych procesów przetwarzania oparcie ich na zgodnie osoby, której dane dotyczą wydaje się rozwiązaniem kuriozalnym i niezgodnym z art. 6 RODO. Przypomnijmy, te pozostałe procesy, to:

1. Zawarcie i wykonanie umowy związanej z udzieleniem pomocy materialnej w formie pożyczek,
2. Dochodzenie przez KZP roszczeń lub ochrony przed takimi roszczeniami,
3. Podejmowanie przez Zarząd KZP uchwały o skreśleniu z listy członków KZP na skutek niedopełnienia obowiązku określonego w art. 12 ust. 1 pkt 2 lub 3 ustawy,
4. Prowadzenie rachunkowości, obsługi kasowej i prawnej oraz dokonywanie potrąceń wpisowego, miesięcznych wkładów członkowskich i rat pożyczek na listach płac, listach wypłat i zasiłków, a także odprowadzanie wpłat wpisowego, miesięcznych wkładów członkowskich i rat pożyczek na rachunek płatniczy KZP.
    

W oczywisty sposób powinny tutaj mieć zastosowanie inne podstawy prawne przetwarzania, na przykład:

1. Dla zawarcie i wykonanie umowy związanej z udzieleniem pomocy materialnej w formie pożyczek – art. 6 ust. 1 lit. b) RODO,
2. Dla dochodzenie przez KZP roszczeń lub ochrony przed takimi roszczeniami – art. 6 ust. 1 lit. f) RODO, tj. prawnie uzasadniony interes administratora,
3. Dla podjęcia przez Zarząd KZP uchwały o skreśleniu z listy członków KZP na skutek niedopełnienia obowiązku określonego w art. 12 ust. 1 pkt 2 lub 3 ustawy - art. 6 ust. 1 lit. f) RODO, tj. prawnie uzasadniony interes administratora,
4. Dla prowadzenie rachunkowości, obsługi kasowej i prawnej oraz dokonywanie potrąceń wpisowego, miesięcznych wkładów członkowskich i rat pożyczek na listach płac, listach wypłat i zasiłków, a także odprowadzanie wpłat wpisowego, miesięcznych wkładów członkowskich i rat pożyczek na rachunek płatniczy KZP - art. 6 ust. 1 lit. c) RODO, tj. obowiązek prawny ciążący na administratorze.
    

Podobnie w przypadku poręczycieli, prawidłowym rozwiązaniem będzie oparcie na jego zgodnie możliwości pełnienia przez niego funkcji poręczyciela, jednak zawarcie z nim umowy poręczenia dla udzielanej przez KZP pomocy materialnej w formie pożyczek lub zapomóg na rzecz członka KZP i jej wykonanie, dochodzenia przez KZP swoich roszczeń lub ochrona przed takimi roszczeniami nie powinna być możliwa. W odniesieniu do zawarcia i wykonania umowy poręczenia powinien to być art. 6 ust. 1 lit. b) RODO, natomiast w przypadku dochodzenia przez KZP swoich roszczeń lub ochrona przed takimi roszczeniami, oczywiście art. 6 ust. 1 lit. f) RODO, tj. prawnie uzasadniony interes administratora.

 

Arkadiusz Kraus

Prezes Zarządu 

A2KP  KANCELARIA Sp. z o.o.