Fundacja rodzinna a obowiązki z zakresu ochrony danych osobowych
Na pewno słyszałeś o rosnącej w ostatnim czasie popularności fundacji rodzinnych. Coraz więcej przedsiębiorców wykorzystuje je do zabezpieczenia majątku rodzinnego oraz zaplanowania sukcesji na kolejne pokolenia.
Czy zastanawiałeś się może, jakie obowiązki związane z ochroną danych osobowych pojawiają się już na etapie tworzenia fundacji rodzinnej?
Już od momentu utworzenia fundacji rodzinnej dochodzi do przetwarzania danych osobowych, w tym danych fundatora, beneficjentów czy członków jej organów.
W konsekwencji fundacja rodzinna musi uwzględniać wymogi wynikające przede wszystkim z rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE („RODO”).
Fundacja rodzinna a obowiązki RODO
Jak wynika z przepisów RODO, administratorem danych osobowych może być w zasadzie każdy podmiot niezależnie od swojej formy organizacyjnej (np. osoba fizyczna lub prawna), o ile ustala cele i sposoby przetwarzania danych osobowych (samodzielnie lub wspólnie z innymi).
Czy fundacja rodzinna jest administratorem danych osobowych?
Tak. Jeżeli prowadzisz fundację rodzinną (lub zamierzasz prowadzić), musisz wiedzieć, że jest (lub będzie) ona występować w roli administratora w rozumieniu RODO.
Fundacja rodzinna w ramach swojej działalności przetwarza bowiem dane osobowe wielu osób, w szczególności fundatora, beneficjentów czy członków zarządu.
Ponadto, to fundacja rodzinna (a nie np. fundator) decyduje o celach i sposobach przetwarzania tych danych, a więc określa m.in. jakie informacje są gromadzone, jak długo będą przechowywane czy też komu mogą zostać udostępnione. W konsekwencji, to fundacja rodzinna ponosi odpowiedzialność za zgodność przetwarzania danych osobowych z przepisami RODO.
Jakie obowiązki RODO ma fundacja rodzinna jako administrator danych osobowych?
Status administratora danych osobowych wiąże się z szeregiem obowiązków prawnych. Do najważniejszych obowiązków fundacji rodzinnej wynikających wprost z przepisów RODO należy:
- zapewnienie zgodności przetwarzania danych osobowych z zasadami określonymi w RODO, w tym zasadą legalności, rzetelności, przejrzystości, minimalizacji danych oraz ograniczenia celu przetwarzania;
- realizacja obowiązku informacyjnego wobec osób, których dane są przetwarzane (np. beneficjentów, pracowników lub kontrahentów);
- prowadzenie wymaganej dokumentacji z zakresu ochrony danych osobowych, w tym rejestru czynności przetwarzania oraz procedur dotyczących ochrony danych osobowych;
- wdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych (np. systemów kontroli dostępu do dokumentacji czy polityk nadawania uprawnień);
- realizacja praw osób, których dane dotyczą, w szczególności prawa dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania oraz wniesienia sprzeciwu;
- zgłaszanie naruszeń ochrony danych osobowych organowi nadzorczemu, a w określonych przypadkach również osobom, których dane dotyczą (np. w przypadku nieuprawnionego ujawnienia danych beneficjentów).
Oczywiście, powyższy katalog nie jest katalogiem zamkniętym. Przepisy RODO przewidują również szereg innych obowiązków ciążących na administratorach, które oczywiście mogą też znaleźć zastosowanie w działalności fundacji rodzinnej.
Fundacja rodzinna a obowiązki z zakresu ochrony danych osobowych wynikające z ustawy o fundacji rodzinnej
Obowiązki fundacji rodzinnej w zakresie ochrony danych osobowych nie wynikają jednak wyłącznie z przepisów RODO. Równie ważne są przepisy ustawy z dnia 26 stycznia 2023 r. o fundacji rodzinnej („ustawa o fundacji rodzinnej”), które w niektórych miejscach doprecyzowują zasady przetwarzania danych osobowych.
Obowiązek prowadzenia listy beneficjentów
Do podstawowych obowiązków należących do zarządu fundacji rodzinnej jest tworzenie, prowadzenie oraz aktualizowanie listy beneficjentów. W konsekwencji, fundacja rodzinna w pewnym zakresie została niejako zobowiązana przez samego ustawodawcę do przetwarzania danych osobowych.
Powstaje jednak pytanie, na jakiej podstawie prawnej fundacja rodzinna przetwarza dane beneficjentów, w tym czy do ich przetwarzania wymagane jest uzyskanie zgody beneficjenta.
Czy fundacja rodzinna potrzebuje zgody beneficjenta na przetwarzanie jego danych? To jedno z najczęściej zadawanych pytań przez osoby tworzące fundacje rodzinne
Aby jednak prawidłowo odpowiedzieć na to pytanie, należy rozróżnić dwie kategorie danych beneficjentów. Z jednej strony mamy dane, które fundacja rodzinna musi gromadzić zgodnie z ustawą o fundacji rodzinnej. Z drugiej strony są dane dodatkowe, które w określonych sytuacjach mogą być także przetwarzane przez fundację.
Powyższe rozróżnienie ma kluczowe znaczenie, ponieważ wpływa na podstawę prawną przetwarzania danych, a tym samym także na to, czy zgoda beneficjenta będzie potrzebna, aby móc przetwarzać jego dane.
Jakie dane obligatoryjnie muszą znajdować się na liście beneficjentów?
Ustawa o fundacji rodzinnej określa jakie dane powinny znajdować się na liście beneficjentów. W konsekwencji oznacza to więc, że fundacja rodzinna niejako zobowiązana jest do ich przetwarzania. Do tych danych należą:
- imię i nazwisko albo nazwę beneficjenta;
- identyfikator podatkowy (numer PESEL albo NIP), a w przypadku beneficjenta będącego osobą fizyczną nieposiadającego żadnego z tych numerów:
- numer i serię paszportu lub innego dokumentu stwierdzającego tożsamość lub inny numer identyfikacyjny, wraz z podaniem kraju nadania takiego numeru,
- imiona rodziców;
- adres zamieszkania lub adres do doręczeń beneficjenta;
Poza wyżej wymienionymi danymi lista powinna zawierać także inne dane niezbędne do spełnienia świadczenia na rzecz beneficjenta. Takimi danymi może okazać się np. numer rachunku beneficjenta, w przypadku, gdy świadczenia na ich rzecz mogą przybierać formę pieniężną czy też dokumenty potwierdzające spełnienie warunków określonych w statucie (np. dokumentacja medyczna przy świadczeniach zdrowotnych)
Skoro fundacja rodzinna ma obowiązek prowadzenia listy beneficjentów, pojawia się naturalne pytanie: skąd pozyskuje dane niezbędne do jej sporządzenia?
Przepisy przewidują, że beneficjent samodzielnie udostępnia fundacji rodzinnej dane na jego temat w formie odpowiedniego oświadczenia. Jako że ustawa o fundacji rodzinnej nie wskazuje formy takiego oświadczania należy przyjąć, że może ono zostać złożone w dowolnej formie.
Na jakiej podstawie fundacja przetwarza dane znajdujące się obligatoryjnie na liście beneficjentów?
RODO wskazuje, że podstawami prawnymi przetwarzania danych osobowych są w szczególności:
- zgoda podmiotu danych;
- niezbędność do wykonania umowy, której stroną jest podmiot danych;
- niezbędność do wypełnienia obowiązku prawnego ciążącego na administratorze;
- niezbędność do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
- niezbędność do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią.
Skoro przepisy nakładają obowiązek prowadzenia listy beneficjentów i określają zakres danych, które muszą się na niej znaleźć, zasadne w naszej ocenie jest przyjęcie, że podstawą przetwarzania tych danych (czyli danych, które są niezbędne do spełnienia świadczenia na rzecz beneficjenta) jest obowiązek prawny ciążący na fundacji rodzinnej, czyli przesłanka, o której mowa w art. 6 ust. 1 lit. c RODO.
W praktyce oznacza to więc, że fundacja rodzinna nie musi uzyskiwać zgody beneficjenta na zbieranie i przetwarzanie tych danych, które są niezbędne do spełnienia świadczenia na rzecz beneficjenta.
Można spotkać jednak pogląd odmienny, zgodnie z którym podstawę przetwarzania danych osobowych beneficjenta, które obligatoryjnie znajdują się na liście beneficjentów stanowi właśnie zgoda. Pogląd ten opiera się na założeniu, że skoro beneficjent przekazuje fundacji swoje dane w formie oświadczenia, to oświadczenie to należy traktować jako zgodę na przetwarzanie tych danych.
Stanowisko to budzi jednak istotne wątpliwości.
W naszej ocenie oświadczenie beneficjenta, w ramach którego przekazuje swoje dane osobowe fundacji rodzinnej nie powinno być utożsamiane ze jako zgodą w rozumieniu przepisów RODO.
Gdyby za podstawą przetwarzania przyjąć zgodę, mogłaby ona zostać w każdym czasie wycofana przez beneficjenta, podczas gdy fundacja rodzinna nadal byłaby zobowiązana do prowadzenia listy beneficjentów (czyli w praktyce także do przetwarzania danych).
Czy fundacja rodzinna może przetwarzać „dodatkowe” dane beneficjentów?
Przepisy ustawy o fundacji rodzinnej pozwalają fundacji na przetwarzanie „dodatkowych” danych osobowych beneficjenta, czyli takich które nie są niezbędne do spełnienia świadczenia na rzecz beneficjenta.
Jest to jednak możliwe wyłącznie wtedy, gdy:
- beneficjent wyrazi na to zgodę,
- dane są niezbędne do zabezpieczenia jego praw i interesów lub realizacji obowiązków wynikających ze statutu fundacji rodzinnej.
Przykładowo, jeżeli statut fundacji przewiduje wspieranie beneficjentów w procesie edukacji, fundacja może – po uzyskaniu zgody beneficjenta – przetwarzać dodatkowe informacje np. dotyczące jego wykształcenia.
Innym przykładem mogą być dane takie jak np. adres e-mail czy numer telefonu, o ile ich przetwarzanie jest niezbędne do zabezpieczenia praw i interesów beneficjenta i jednocześnie dane te nie są niezbędne do spełnienia świadczenia, jakie ustawa gwarantuje beneficjentom.
Ustawa nie zabrania przy tym przetwarzania także tzw. danych „szczególnych” (np. dotyczących zdrowia beneficjenta). Wyłączona natomiast została możliwość przetwarzania danych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa.
Jaka jest podstawa prawna przetwarzania „dodatkowych” danych beneficjentów?
Wiemy już, że ustawa o fundacji rodzinnej dopuszcza przetwarzanie przez fundację także takich danych beneficjenta, które nie są niezbędne do spełnienia świadczenia na rzecz beneficjenta. Powstaje jednak pytanie, jaka jest podstawa prawna takiego przetwarzania w rozumieniu RODO.
W tym zakresie w doktrynie prezentowane są dwa zasadnicze stanowiska.
Zgodnie z pierwszym z nich, skoro przepisy ustawy o fundacji rodzinnej wprost uzależniają możliwość przetwarzania dodatkowych danych od zgody beneficjenta, to podstawą przetwarzania powinien być art. 6 ust. 1 lit. a RODO, czyli zgoda osoby, której dane dotyczą. Skoro ustawodawca wyraźnie odwołał się do zgody beneficjenta, to właśnie ona powinna stanowić właściwą przesłankę legalizującą przetwarzanie dodatkowych danych osobowych.
Odmienne stanowisko prezentuje część przedstawicieli doktryny. Wskazują oni, że wymóg uzyskania zgody beneficjenta przewidziany w ustawie o fundacji rodzinnej nie musi oznaczać, że zgoda jest jednocześnie podstawą przetwarzania w rozumieniu RODO. Zdaniem zwolenników tej koncepcji, jeżeli przetwarzanie dodatkowych danych jest niezbędne do zabezpieczenia praw i interesów beneficjenta lub realizacji obowiązków statutowych fundacji rodzinnej, właściwą podstawą może być prawnie uzasadniony interes administratora, o którym mowa w art. 6 ust. 1 lit. f RODO.
Jak widać, kwestia właściwej podstawy prawnej przetwarzania dodatkowych danych beneficjentów nie jest jednoznacznie rozstrzygnięta. Jeżeli mają Państwo wątpliwości, która podstawa będzie właściwa w konkretnej sytuacji, zapraszamy do kontaktu z naszym zespołem. Chętnie pomożemy przeanalizować Państwa przypadek i dobrać rozwiązanie odpowiadające obowiązującym przepisom oraz praktyce ich stosowania.
Czy członkowie zarządu fundacji rodzinnej zobowiązani są zachowywać w poufności dane beneficjentów?
Tak. Osoby zarządzające fundacją obowiązane są generalnie do zachowania w poufności informacji uzyskanych w związku z pełnioną funkcją. Obowiązek ten obejmuje m.in. informacje dotyczące fundatora, beneficjentów, działalności fundacji, jej majątku, zasad przyznawania świadczeń, podejmowanych inwestycji oraz zobowiązań fundacji.
Choć obowiązek poufności obejmuje wszystkie informacje uzyskane w związku z pełnioną funkcją, ustawodawca w sposób szczególny zaakcentował ochronę „dodatkowych” danych beneficjentów, czyli danych, które nie są niezbędne do spełnienia świadczenia na rzecz beneficjenta. Można przypuszczać, że takie wyodrębnienie wynika z faktu, iż – jak wskazano wcześniej – wśród tych danych mogą znaleźć się również szczególne kategorie danych osobowych, np. dane dotyczące zdrowia.
Obowiązek przekazywania beneficjentom informacji, w tym danych osobowych. Czy beneficjent fundacji rodzinnej ma prawo dostępu do informacji?
Tak. Ustawa o fundacji rodzinnej przyznaje beneficjentowi prawo do uzyskiwania informacji o działalności fundacji rodzinnej. W szczególności beneficjent może:
- żądać wglądu do dokumentów fundacji rodzinnej,
- sporządzać z nich kopie i notatki, oraz
- domagać się przedstawienia wyjaśnień przez zarząd.
Realizacja uprawnień informacyjnych beneficjenta powinna następować z uwzględnieniem przepisów dotyczących ochrony danych osobowych. W praktyce może to niekiedy oznaczać konieczność ograniczenia zakresu udostępnianych informacji lub uprzedniego zanonimizowania części danych osobowych.
Kiedy fundacja rodzinna może odmówić beneficjentowi dostępu do informacji?
Zarząd może odmówić beneficjentowi przedstawienia wyjaśnień lub udostępnienia dokumentów fundacji rodzinnej, jeżeli istnieje uzasadniona obawa, że uprawnienie to zostanie wykorzystane w sposób sprzeczny z interesem lub celem fundacji rodzinnej. Informacja o odmowie powinna zostać przekazana beneficjentowi niezwłocznie, nie później jednak niż w terminie miesiąca od zgłoszenia żądania.
Możliwość odmowy nie ma jednak charakteru bezwzględnego. Ustawa o fundacji rodzinnej wyraźnie wskazuje, że gdy beneficjent zwraca się o dostęp do swoich własnych danych fundacja nie może odmówić udostępnienia danych, powołując się na sprzeczność żądania z interesem lub celem fundacji.
Czy mamy więc sprzeczność z RODO, które przewiduje możliwość odmowy udostępnienia danych osobowych osoby, która tego żąda, jeżeli żądanie jest ewidentnie nieuzasadnione lub nadmierne.
W ocenie Prezesa UODO nie dochodzi tutaj do kolizji przepisów. Organ wskazuje, że ustawa o fundacji rodzinnej nie wyłącza stosowania RODO, a zatem fundacja – jako administrator danych – może nadal korzystać z uprawnień przewidzianych w art. 12 ust. 5 RODO. Oznacza to, że jeżeli beneficjent wystąpi o dostęp do swoich danych osobowych, a fundacja uzna jego żądanie za ewidentnie nieuzasadnione lub nadmierne, będzie mogła odmówić jego realizacji na podstawie przepisów RODO.
Obowiązek przeglądu i usuwania danych osobowych beneficjentów
Ustawa o fundacji rodzinnej nakłada także na zarząd obowiązek dokonywania przeglądu i identyfikacji danych osobowych beneficjentów, przetwarzanych przez fundację w celu i na potrzeby realizacji jej ustawowo określonych zadań. Chodzi tutaj zarówno o dane identyfikacyjne beneficjenta znajdujące się na liście beneficjentów, jak i o dane „dodatkowe” przetwarzane przez fundację po uzyskaniu stosownej zgody beneficjenta.
Obowiązek przeglądu danych osobowych pozostaje w ścisłym związku z zasadą minimalizacji danych oraz zasadą ograniczenia przechowywania wynikającymi z RODO. Fundacja rodzinna nie powinna bowiem przechowywać danych osobowych dłużej ani w szerszym zakresie, niż jest to niezbędne do realizacji celów, dla których zostały one zebrane.
Jak często zarząd zobowiązany jest do dokonywania przeglądu danych beneficjentów?
Co najmniej raz w roku. Jest to praktyczne doprecyzowanie zasad wynikających z RODO, zgodnie z którymi dane osobowe powinny być przechowywane wyłącznie przez okres niezbędny do realizacji celu, dla którego zostały zebrane.
Kiedy zarząd obowiązany jest usuwać dane beneficjentów?
Jeżeli w toku corocznego przeglądu okaże się, że określone dane osobowe nie są już potrzebne do zabezpieczenia praw lub interesów beneficjenta albo wykonywania obowiązków wynikających ze statutu fundacji rodzinnej, zarząd ma obowiązek je usunąć. Nie powinien przy tym zwlekać z realizacją tego obowiązku, ponieważ ustawa wymaga niezwłocznego usunięcia takich danych.
Najczęstsze pytania i odpowiedzi
Nie wiesz od czego zacząć? Zajrzyj do naszego FAQ – zebraliśmy tu wszystkie najważniejsze informacje o fundacji rodzinnej i obowiązkach z zakresu ochrony danych osobowych.
Czy fundacja rodzinna jest administratorem danych osobowych?
Tak. Fundacja rodzinna w zasadzie już od momentu utworzenia przetwarza dane osobowe, w tym w szczególności dane swoich beneficjentów, a także decyduje o celach i sposobach przetwarzania tych danych osobowych. W konsekwencji fundacja rodzinna jest zobowiązana do realizacji obowiązków wynikających w szczególności z RODO.
Z jakich przepisów wynikają obowiązki fundacji rodzinnej związane z ochroną danych osobowych?
Podstawowym źródłem obowiązków fundacji rodzinnej jest RODO. Ustawa o fundacji rodzinnej nie zastępuje przepisów RODO, lecz je uzupełnia i doprecyzowuje. Przykładowo nakłada na zarząd obowiązek prowadzenia listy beneficjentów czy dokonywania corocznego przeglądu danych beneficjentów.
Czy fundacja rodzinna potrzebuje zgody beneficjenta na przetwarzanie jego danych?
To zależy od rodzaju danych. W przypadku danych niezbędnych do spełniania świadczeń na rzecz beneficjentów (czyli takich danych, które obligatoryjnie znajdują się na liście beneficjentów) zgoda beneficjenta nie jest wymagana, a przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. c RODO.
Natomiast w przypadku tzw. danych dodatkowych, które nie są niezbędne do spełnienia świadczenia na rzecz beneficjenta, ustawa o fundacji rodzinnej wymaga uzyskania zgody beneficjenta. Sporne pozostaje natomiast, czy zgoda ta stanowi jednocześnie podstawę przetwarzania w rozumieniu RODO, czy jest jedynie dodatkowym wymogiem wynikającym z ustawy o fundacji rodzinnej.
Czy fundacja rodzinna może przetwarzać dane dotyczące wyroków skazujących beneficjenta?
Nie. Ustawa o fundacji rodzinnej wyraźnie wyłącza możliwość przetwarzania danych dotyczących wyroków skazujących, czynów zabronionych oraz związanych z nimi środków bezpieczeństwa.
Fundacja rodzinna a ochrona danych osobowych – podsumowanie
Planując fundację rodzinną fundatorzy koncentrują się zwykle na kwestiach majątkowych i sukcesyjnych. Z doświadczenia wiemy, że równie ważne są obowiązki związane z ochroną danych osobowych. Nie jest to przy tym wyłącznie kwestia formalnej zgodności z przepisami. Naruszenia związane z przetwarzaniem danych osobowych mogą prowadzić do poważnych konsekwencji prawnych i organizacyjnych.
W naszej Kancelarii dbamy o to, by ochrona majątku Twojej rodziny szła w parze z dbałością o każdy detal. Pamiętamy o aspektach prawnych i organizacyjnych, które inni często odkładają na później. Dlatego przeprowadzając Cię przez cały proces rejestracji i układania struktur, nie ograniczamy się tylko do sztywnych ram związanych z utworzeniem fundacji. Równolegle dbamy o pełne wdrożenie RODO. Przewidujemy wyzwania i zabezpieczamy dane Twoje i Twojej rodziny, zanim staną się one problemem organizacyjnym.
Jeżeli planujesz utworzenie fundacji rodzinnej lub chcesz zweryfikować, czy Twoja fundacja prawidłowo realizuje obowiązki związane z ochroną danych osobowych, zachęcamy do kontaktu. Chętnie pomożemy Ci przejść przez meandry przepisów oraz zaproponujemy rozwiązania skrojone pod Twoje potrzeby!
Zapraszamy do kontaktu.
Autorka artykułu:
Wiktoria Grzywna
radca prawny
Zdjęcia: Kaitlyn Baker, Conny Schneider, Mimi Thian
***
Fundacja rodzinna a fundacja zwykła
Gdy słyszysz słowo „fundacja”, zapewne masz skojarzenie z organizacjami charytatywnymi prowadzącymi zbiórki na szczytne cele czy pomoc potrzebującym. Nie ma w tym nic dziwnego, gdyż przez lata to właśnie do takiego znaczenia fundacji przywykliśmy.
Jednak od maja 2023 roku w polskim prawie funkcjonuje pojęcie, które wywołało spore zamieszanie terminologiczne: fundacja rodzinna.
A skąd bierze się to zamieszanie? [Czytaj dalej…]