Dnia 25 maja 2020 r. na stronie Urzędu Ochrony Danych Osobowych pojawiło się stanowisko, zgodnie z którym w związku z pozyskiwaniem przez pracodawcę od pracownika danych członków jego rodziny niezbędnych do zgłoszenia ich do ubezpieczenia zdrowotnego, pracodawca nie będzie musiał dopełniać wobec nich obowiązku informacyjnego, o którym mowa w art. 14 RODO. ponieważ jest z niego wyłączony na podstawie art. 14 ust. 5 lit. c RODO, jako że to pozyskiwanie jest wyraźnie uregulowane prawem przewidującym odpowiednie środki chroniące prawnie uzasadnione interesy osoby, zgłaszanej do ubezpieczenia.

Zmniejszenie liczby obowiązków administratora?

Takie stanowisko z pewnością jest odpowiedzią na potrzeby praktyki dążącej do zredukowania ilości często uciążliwych obowiązków wynikających z prawa ochrony danych osobowych.

Czy pracodawca jest w ogóle administratorem?

W swojej analizie Urząd zdaje się  jednak nie zauważać kwestii zupełnie podstawowych. W szczególności, takich jak treść definicji pojęcia administratora zawartej w RODO. Zgodnie z Rozporządzeniem, administratorem jest bowiem jednostka, która samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych lub która została wyznaczona administratorem przez przepisy prawa. Przyglądając się więc tej definicji można dojść do wniosku, że pracodawca zbierający i przetwarzający dane osób zgłaszanych do ubezpieczenia nie występuje w roli administratora, ponieważ cele i sposoby tego przetwarzania wyznaczył nie on, lecz samo państwo w aktach prawa powszechnie obowiązującego. Jednocześnie nie został on wprost ustanowiony administratorem na gruncie wskazanych przepisów.

Pracodawca nie ma więc obowiązku dopełniać obowiązku informacyjnego z art. 14 RODO. Nie jest tak dlatego, że ten obowiązek został wobec niego wyłączony, ale dlatego, że ten obowiązek nigdy na nim nie ciążył. Nie jest on bowiem administratorem danych w tym zakresie.

Podsumowanie

Dopiero taka systemowa i całościowa analiza przepisów RODO pozwala na ograniczenie zbytniego formalizmu związanego z ochroną danych osobowych. Formalizm ten często wynika wyłącznie z jednostkowej i oderwanej od istoty interpretacji poszczególnych regulacji i instytucji RODO.

[stan prawny: 28.05.2020 r.]

Autorka: Paula Nowak