Jak działać zgodnie z RODO przy raportowaniu ESG?

Raport ESG to podsumowanie działań podejmowanych przez przedsiębiorstwa z punktu widzenia ich wpływu na ochronę środowiska (E), dbanie o społeczeństwo (S) i prowadzenie ładu korporacyjnego (G). Od 2025 r. będzie obowiązkowy dla części firm. Znajdą się w nim opisy, statystyki, tabele, wykresy m.in. o stosowanych praktykach, w tym dane osób działających w firmie. Czy będą to dane osobowe?

Jeśli skoncentrujemy się na społecznych aspektach ESG, to kluczową rolę w tej części raportu będą odgrywać osoby fizyczne. Przedsiębiorca będzie zobowiązany podać dane dotyczące spraw pracowniczych w swojej organizacji. W związku z tym raport może zawierać m.in.: dane demograficzne firmy, informacje o warunkach zatrudniania, wynagrodzeniu, parytetach, równym traktowaniu czy różnorodności. Sytuacją niepożądaną jest kiedy końcowa wersja raportu ESG, w szczególności jeśli ma ona podlegać weryfikacji zewnętrznej, zawiera dane osobowe. Przedsiębiorca – jako administrator danych osobowych swojej organizacji – nie powinien umożliwić osobom trzecim zidentyfikowania tożsamości danej osoby (np. pracownika) na podstawie informacji zawartych w raporcie. Może wydawać się to kuriozalne na pierwszy rzut oka, jednak nieumiejętnie dobrane wskaźniki statystyczne w raporcie ESG mogą zaprowadzić administratora danych na dywanik prezesa Urzędu Ochrony Danych Osobowych. Inaczej jednak wygląda sam proces tworzenia raportu ESG wewnątrz przedsiębiorstwa. Na wielu etapach może dochodzić (i dochodzi) do przetwarzania danych osobowych. Zbieranie, przesyłanie, analizowanie i odpowiednie dobieranie danych, w celu stworzenia wskaźników statystycznych opisujących osoby fizyczne wewnątrz organizacji, trudno jest potraktować jako dane zanonimizowane. Szczególnie, gdy organizacja posiada wszelkie możliwe narzędzia, aby te...