Rada Zakładowa jako administrator prawa ochrony danych osobowych?

Wszędzie tam, gdzie dane osobowe są przetwarzane w firmie, odpowiedni administrator musi przestrzegać przepisów o ochronie danych. Naruszenie przepisów o ochronie danych może skutkować wysokimi grzywnami. Z reguły grzywna ta jest nakładana na pracodawcę w przypadku naruszenia. Jednak w przypadku przetwarzania danych przez radę zakładową, rada zakładowa może również Administrator na mocy przepisów o ochronie danych być?

W jakim zakresie rada zakładowa przetwarza dane?

W spółkach, w których istnieje rada zakładowa (spółki współzarządzane), większość transakcji zbycia dokonywana jest za pośrednictwem rady zakładowej. dane osobowe w tej sprawie. Rada zakładowa musi być zaangażowana przy zatrudnianiu nowych pracowników. Otrzymuje ona wszystkie dokumenty aplikacyjne (§ 99 I BetrVG). Rada zakładowa jest również informowana o przyczynach zwolnienia, długotrwałej niezdolności do pracy i ciąży. Rada zakładowa może również kontrolować niezanonimizowane listy płac i wynagrodzeń (§ 80 II 2 BetrVG). Oznacza to, że nie tylko dane osoboweale nawet te należące do kategorii specjalnej (art. 9 RODO) są przetwarzane przez radę zakładową.

Gdzie są uregulowane kwestie przetwarzania danych i rozliczalności?

Zasadniczo Przetwarzanie danych zgodnie z RODO w Europie. RODO zawiera klauzulę otwierającą dla przetwarzania danych w kontekście zatrudnienia (art. 88 RODO). Oznacza to, że w tym obszarze możliwe są regulacje krajowe. Niemiecki ustawodawca stworzył zatem art. 26 BDSG. Nie zawiera on jednak żadnych regulacji dotyczących tego, czy rada zakładowa może być administratorem danych. Artykuł 26 BDSG Definicja pojęcia "osoba odpowiedzialna leży całkowicie w gestii RODO. Podsumowując, administrator danych to osoba, która dane osobowe faktycznie przetwarzane i decyduje o celach i środkach przetwarzania (art. 4 nr 7 RODO).

Czy rada zakładowa może ponosić odpowiedzialność?

Że rada zakładowa dane osobowe jest oczywiste, jak już wspomniano.

Ponadto administrator danych musi również zdecydować o środkach i celach przetwarzania. Krok ten następuje przed faktycznym przetwarzaniem. W końcu Przetwarzanie danych osobowych jest zgodne z prawem wyłącznie w odniesieniu do wcześniej określonych celów (art. 5 Ib RODO). W ten sam sposób administrator decyduje o środkach przetwarzania, tj. przede wszystkim o metodach technicznych.

Rada zakładowa decyduje o Przetwarzanie danych osobowych nie tylko to, czy lub w jakim celu odnotowuje te dane (cel), ale także w jaki sposób lub co dzieje się z tymi danymi (środki). Z tego punktu widzenia można go postrzegać jako administratora danych.

Krytyka w świetle prawa pracy

Krytyka tego poglądu wyrażana jest przede wszystkim przez prawników pracy. Podkreślają oni, że ustawa o konstytucji rady zakładowej (BetrVG) wyznacza wąskie granice decyzji rady zakładowej o tym, czy i jak przetwarzać dane. Tym samym nie może ona decydować swobodnie i nie może być osobą odpowiedzialną.

Konsekwencją tego poglądu byłoby to, że wszystkie dane przetwarzane przez radę zakładową musiałyby być przypisane pracodawcy. Jednak w ramach określonych przez ustawę o statucie rady zakładowej (BetrVG) rada zakładowa przetwarza dane dla siebie, a nie dla pracodawcy. Pracodawca nie ma wpływu na decyzje rady zakładowej o tym, czy i jak przetwarzać dane. Ograniczenia nałożone przez ustawę o statucie rady zakładowej nie zmieniają tej sytuacji.

Problem zdolności prawnej

Ponadto poglądowi afirmującemu odpowiedzialność przeciwstawia się fakt, że odpowiedzialność jako osoby odpowiedzialnej stoi w sprzeczności z działalnością w radzie zakładowej jako nieodpłatnym honorowym urzędzie. Sama rada zakładowa nie ponosi odpowiedzialności, a jej członkowie nie powinni ponosić odpowiedzialności osobistej z racji pełnienia funkcji honorowej. Nie można było domagać się skutecznego odszkodowania za szkody.

Zdaniem ETS, zdolność prawna osoby odpowiedzialnej nie odgrywa jednak żadnej roli. W związku z tym odpowiedzialność należy interpretować szeroko, jako tę, która jest zdolna do podejmowania decyzji. W związku z tym należy zbadać, komu można przypisać to działanie, tj. w czyim interesie dokonywane jest przetwarzanie. Zdaniem ETS, rada zakładowa w postaci jej członków może być uznana za administratora danych, jeżeli podejmuje decyzje samodzielnie. Nie jest zatem ani podmiotem przetwarzającym (art. 28 III GDPR), ani osobą podległą (art. 29 GDPR).

Konsekwencje dla rady zakładowej

Rada zakładowa, jako podmiot odpowiedzialny, podlega zatem obowiązkom wynikającym z prawa ochrony danych. Zgodnie z orzecznictwem są one również uzasadnione dla rady zakładowej. Rada zakładowa jest również adresatem praw osób, których dane dotyczą.

Jeśli rada zakładowa nie wypełnia tych obowiązków, może zostać objęta środkami dochodzeniowymi (art. 58 I GDPR), środkami zaradczymi (art. 58 II GDPR) i w ostateczności grzywnami (art. 83 GDPR przeciwko poszczególnym członkom) w przypadku odpowiednio wysokiego poziomu naruszenia. Co do zasady pracodawca nie ponosi odpowiedzialności obok rady zakładowej w przypadku naruszenia.

Chciałbyś uzyskać poradę na temat Ochrona danych osobowych w firmie? Nasz zespół ekspertów z przyjemnością Ci pomoże!