DECYZJA. Warszawa, dnia 23 sierpnia 2004 r. GI-DEC-DS-172/04

Transkrypt

1 Decyzja GIODO (nakazujca Fundacji zaprzestanie przetwarzania danych osobowych zawartych w aktach osobowych i płacowych pracowników Zespołu Lecznictwa Ambulatoryjnego Fundacji oraz przekazanie tych danych ww. Zespołowi Lecznictwa Ambulatoryjnego). Warszawa, dnia 23 sierpnia 2004 r. GI-DEC-DS-172/04 DECYZJA Na podstawie art ustawy z dnia 14 czerwca 1960 r. Kodeks postpowania administracyjnego (Dz. U. z 2000 r., Nr 98 poz z pón. zm.) oraz art. 12 pkt 2 i art. 18 ust. 1 pkt 1 i 5 w zw. z art. 7 pkt 4 oraz art. 23 ust. 1 i art. 27 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926) w zw. z art. 3, i art. 94 pkt 9a ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 1998 r. Nr 21, poz. 93 z pón. zm.) oraz 6 i 8 rozporzdzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach zwizanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. Nr 62, poz. 286 z pón. zm.), art. 1 ust. 1 ustawy z dnia 30 sierpnia 1991 r. o zakładach opieki zdrowotnej (Dz. U. Nr 91, poz. 408 z pón. zm.) oraz 12 ust. 1 pkt 2 Regulaminu organizacyjnego Fundacji i 14 ust. 6 pkt 3, ust. 8 i ust. 9 Statutu Zespołu Lecznictwa Ambulatoryjnego Fundacji, po przeprowadzeniu postpowania administracyjnego w sprawie skargi Komisji Zakładowej Zwizku Zawodowego (działajcego w Fundacji) na przetwarzanie danych osobowych zawartych w aktach osobowych i płacowych pracowników ww. Zespołu Lecznictwa Ambulatoryjnego Fundacji przez Fundacj, nakazuj Fundacji zaprzestanie przetwarzania danych osobowych pracowników Zespołu Lecznictwa Ambulatoryjnego Fundacji zawartych w ich aktach osobowych i płacowych oraz przekazanie tych danych ww. Zespołowi Lecznictwa Ambulatoryjnego Fundacji.

2 Uzasadnienie Do Generalnego Inspektora Ochrony Danych Osobowych wpłynła skarga Przewodniczcej Komisji Zakładowej Zwizku Zawodowego (działajcego w Fundacji) na przetwarzanie przez Fundacj danych osobowych zawartych w aktach osobowych i płacowych pracowników Zespołu Lecznictwa Ambulatoryjnego Fundacji. Ze skargi wynikało, e Zespół Lecznictwa Ambulatoryjnego jest zakładem opieki zdrowotnej utworzonym przez Fundacj i pracodawc dla pracowników Zespołu Lecznictwa Ambulatoryjnego Fundacji, natomiast w grudniu 2003 r. zarzd Fundacji zobowizał dyrektora Zespołu Lecznictwa Ambulatoryjnego Fundacji do przekazania akt osobowych i płacowych pracowników tego zakładu do Wydziału Spraw Pracowniczych Fundacji. W skardze podniesiono, e Fundacja nie miała prawa da przekazania jej ww. akt osobowych i płacowych, bowiem nie jest pracodawc dla pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji, a w konsekwencji nie moe dokonywa adnych czynnoci na zawartych w tych aktach danych osobowych. Wskazano przy tym, e pomidzy Zakładem Lecznictwa Ambulatoryjnego Fundacji a Fundacj nie została zawarta umowa powierzenia przetwarzania danych osobowych, jak te pracownicy tego zakładu nie wyraali zgody na przechowywanie ich danych przez Fundacj. W wietle powyszego, Przewodniczca Komisji Zakładowej Zwizku Zawodowego (działajcego w Fundacji) wniosła o podjcie przez GIODO działa zmierzajcych do uniemoliwienia Fundacji dalszego naruszania przepisów ustawy o ochronie danych osobowych oraz usunicia naszych danych osobowych z bazy danych Fundacji. Okolicznoci przedstawione w skardze zostały potwierdzone w toku postpowania wyjaniajcego, jakie w tej sprawie wszczł Generalny Inspektor Ochrony Danych Osobowych (zwany dalej Generalnym Inspektorem). W toku tego postpowania odebrano od Fundacji pisemne wyjanienia oraz stosowne dokumenty, w tym Statut Fundacji z dnia 6 czerwca 2002 r., Regulamin organizacyjny Fundacji z dnia 1 wrzenia 2003 r. oraz Statut Zakładu Lecznictwa Ambulatoryjnego Fundacji z dnia 22 grudnia 2003 r. Na tej podstawie ustalono, e: 1) Fundacja jest osob prawn działajc na podstawie przepisów ustawy z dnia 6 kwietnia 1984 r. o fundacjach (Dz. U. z 1991 r. Nr 46, poz. 203 z pón. zm.), prowadzc działalno dotyczc zabezpieczenia opieki medycznej w zakresie podstawowej i specjalistycznej opieki zdrowotnej oraz medycyny pracy ( 2 Statutu Fundacji); 2) dla realizacji celów statutowych Fundacja powołała wydzielone jednostki organizacyjne zakłady opieki zdrowotnej, w tym Zakład Lecznictwa Ambulatoryjnego Fundacji, który jest niepublicznym zakładem opieki zdrowotnej działajcym na podstawie przepisów ustawy z dnia 30 sierpnia 1991 r. o zakładach opieki zdrowotnej, Dz. U. Nr 91, poz. 408 z pón. zm. ( 1 Statutu Zakładu Lecznictwa Ambulatoryjnego Fundacji); 2

3 3) pracodawc w rozumieniu Kodeksu pracy dla zakładów opieki zdrowotnej utworzonych przez Fundacj, w tym Zakład Lecznictwa Ambulatoryjnego Fundacji, s te zakłady ( 12 ust. 1 pkt 2 w zw. z 5 ust. 1 pkt 2 Regulaminu organizacyjnego Fundacji); Fundacja jest pracodawc dla członków swojego zarzdu oraz pracowników jej wewntrznych jednostek organizacyjnych pionów ( 12 ust. 1 pkt 1 w zw. z 5 ust. 1 pkt 1 Regulaminu organizacyjnego Fundacji); 4) osobami dokonujcymi czynnoci z zakresu prawa pracy w imieniu pracodawcy wobec pracowników zakładów opieki zdrowotnej utworzonych przez Fundacj, w tym pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji, s jej dyrektorzy ( 12 ust. 2 pkt 2 Regulaminu organizacyjnego Fundacji); 5) dyrektor Zakładu Lecznictwa Ambulatoryjnego Fundacji upowaniony jest do samodzielnego kierowania działalnoci tego zakładu i reprezentowania go w zakresie dokonywania czynnoci z zakresu prawa pracy wobec pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji, jak te samodzielnie prowadzi polityk zatrudnienia ( 14 ust. 6, ust. 8 i ust. 9 Statutu Zakładu Lecznictwa Ambulatoryjnego Fundacji); 6) w dniu 13 maja 2003 r., w zwizku z trudn sytuacj finansow Fundacji, zarzd Fundacji podjł uchwał o przyjciu Programu Antykryzysowego dla Fundacji, w nastpstwie którego podjto szereg decyzji dotyczcych zmian w organizacji i funkcjonowaniu zakładów opieki zdrowotnej Fundacji, w tym Zakładu Lecznictwa Ambulatoryjnego Fundacji; m.in. postanowiono o skonsolidowaniu administracji poszczególnych zakładów, a w szczególnoci w dniu 1 wrzenia 2003 r. uchwalony został nowy Regulamin organizacyjny Fundacji, o którym mowa w ww. punktach 3 i 4 niniejszej decyzji, przewidujcy, e dokumentacja dotyczca stosunków pracy pracowników zakładów opieki zdrowotnej Fundacji prowadzona bdzie przez wewntrzn jednostk organizacyjn Fundacji Wydział ds. Zasobów Pracowniczych (załcznik Nr 1 do Regulaminu organizacyjnego Fundacji Regulamin Pionu Organizacyjnego i Zasobów Pracowniczych); 7) w grudniu 2003 r. dyrektor Zakładu Lecznictwa Ambulatoryjnego Fundacji zobowizany został do przekazania m.in. akt osobowych i płacowych pracowników tego zakładu do Wydziału ds. Zasobów Pracowniczych Fundacji (uchwała zarzdu Fundacji z dnia 15 grudnia 2003 r. w sprawie zasad funkcjonowania Zakładu Lecznictwa Ambulatoryjnego Fundacji) i akta te zostały przekazane; 8) Fundacja opracowała dokument o nazwie Porozumienie w sprawie powierzenia przetwarzania danych kadrowo płacowych, z dnia 5 kwietnia 2004 r., stronami którego uczyniła Fundacj oraz dyrektora Zakładu Lecznictwa Ambulatoryjnego Fundacji; porozumienie to dotyczyło powierzenia przetwarzania Fundacji przez dyrektora Zakładu Lecznictwa Ambulatoryjnego Fundacji, okrelonego jako administrator danych, zbioru danych osób zatrudnionych w tym 3

4 zakładzie, na który składaj si elektroniczna baza danych oraz akta osobowe osób zatrudnionych ; w szczególnoci w porozumieniu tym postanowiono, i przyjmujcy do przetwarzania bdzie przetwarzał dane osobowe w celu realizacji obowizków spoczywajcych na pracodawcy okrelonych w przepisach prawa (...) ; dyrektor Zakładu Lecznictwa Ambulatoryjnego Fundacji nie podpisał tego porozumienia; 9) Fundacja powierzyła przetwarzanie danych osobowych zawartych w aktach osobowych i płacowych pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji w systemie elektronicznym osobie prowadzcej Zakład Usług Informatycznych; 10) W wyjanieniach złoonych w tej sprawie Fundacja podniosła, e dyrektor Zakładu Lecznictwa Ambulatoryjnego Fundacji prowadzi zakład opieki zdrowotnej jedynie jako jej pełnomocnik i wskazała na pełnomocnictwo z dnia 19 stycznia 2004 r. Z treci tego pełnomocnictwa wynika, e Fundacja upowaniła dyrektora Zakładu Lecznictwa Ambulatoryjnego Fundacji do m.in. podejmowania czynnoci z zakresu prawa pracy, w tym składania owiadcze woli zwizanych ze wiadczeniem pracy, dotyczcych pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji. Wyjaniajc podstawy prawne przetwarzania danych osobowych zawartych w dokumentacji osobowej i placowej pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji, Fundacja wskazała, e ponosi odpowiedzialno za zobowizania zacigane przez utworzone przez ni zakłady opieki zdrowotnej i w zwizku z trudn sytuacj finansow wprowadziła Program Antykryzysowy, skutkujcy m.in. utworzeniem skonsolidowanej administracji kadrowej, wspólnej dla wszystkich utworzonych przez ni zakładów opieki zdrowotnej. W toku zapoznawania si ze zgromadzonym w toku postpowania materiałem dowodowym, pełnomocnicy Komisji Zakładowej Zwizku Zawodowego działajcego w Fundacji złoyli do akt sprawy kopi wystpienia inspektora pracy Pastwowej Inspekcji Pracy Okrgowego Inspektoratu Pracy do Zakładu Lecznictwa Ambulatoryjnego Fundacji, z dnia 13 kwietnia 2004 r. Z treci tego wystpienia wynika, e inspektor pracy wniósł o prowadzenie i przechowywanie akt osobowych i dokumentacji w sprawach zwizanych ze stosunkiem pracy pracowników w siedzibie pracodawcy. W uzasadnieniu inspektor pracy, wskazujc na przepisy z zakresu prawa pracy oraz 12 ust. 2 pkt 3 Regulaminu organizacyjnego Fundacji stwierdził, e na Zakładzie Lecznictwa Ambulatoryjnego, jako pracodawcy spoczywa obowizek prowadzenia dokumentacji w sprawach zwizanych ze stosunkiem pracy. Fundacja, odnoszc si do powyszego wystpienia, podniosła natomiast, e przepisy z zakresu prawa pracy nie precyzuj, gdzie powinny by przechowywane akta pracownicze. Wskazała przy tym, i jeeli wynika to z organizacji struktury zatrudnienia oraz wzgldów ekonomicznych to pracodawca ma pełne prawo do przechowywania akt osobowych pracowników w wyznaczonym przez siebie miejscu (...). Ponadto, Fundacja 4

5 wskazała, e wystpienie Inspektora Pracy jest (...) istotne z tego powodu, i uznał on Pastwow Inspekcj Pracy za właciw w niniejszej sprawie. W pierwszej kolejnoci Generalny Inspektor powinien zatem rozstrzygn czy jest organem właciwym do władczego wyznaczania (w drodze decyzji administracyjnej) miejsca przechowywania dokumentacji pracowniczej (czy szerzej danych pracowników), przy czym pozytywna odpowied moe prowadzi do pozytywnego sporu kompetencyjnego pomidzy nim a Inspektorem Pracy. W takim stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych zwaył, co nastpuje: W wietle przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z pón. zm.), zwanej dalej ustaw, dla uznania, e podmiot przetwarzajcy dane osobowe działa zgodnie z prawem niezbdne jest spełnienie przez niego jednej z okrelonych w ustawie materialnych przesłanek dopuszczalnoci przetwarzania danych. Przy czym, ilekro w ustawie jest mowa o przetwarzaniu danych, rozumie si przez to jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostpnianie i usuwanie (art. 7 pkt 2 ustawy). Majc na uwadze, e przedmiotem rozpatrywanej sprawy jest przetwarzanie danych osobowych zawartych m.in. w aktach osobowych, które co wynika z przepisów rozporzdzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach zwizanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. Nr 62, poz. 286 z pón. zm.), zawieraj w szczególnoci dane o stanie zdrowia pracowników, dokumenty zwizane z wymierzeniem kary porzdkowej oraz mogce ujawnia przynaleno zwizkow - wskaza naley zarówno na przesłanki wymienione w art. 23 ust. 1, jak i art. 27 ust. 2 ustawy. Zgodnie natomiast z 6 ust. 1 ww. rozporzdzenia, pracodawca zakłada i prowadzi oddzielnie dla kadego pracownika akta osobowe. Akta osobowe pracownika składaj si z 3 czci i obejmuj w czci A dokumenty zgromadzone w zwizku z ubieganiem si o zatrudnienie, okrelone w przepisach 1 ust. 1 i 2 rozporzdzenia ( 6 ust. 2 pkt 1 rozporzdzenia). Przepis 1 ust. 1 pkt 5 rozporzdzenia wskazuje natomiast na orzeczenie lekarskie, które stwierdza brak przeciwwskaza do pracy na okrelonym stanowisku. Ponadto, akta osobowe pracownika obejmuj w czci B dokumenty dotyczce nawizania stosunku pracy oraz przebiegu zatrudnienia pracownika ( 6 ust. 2 pkt 2 rozporzdzenia), w tym dokumenty zwizane z wymierzeniem kary porzdkowej (lit. g), orzeczenia lekarskie wydane w zwizku z przeprowadzonymi badaniami okresowymi i kontrolnymi (lit. i) oraz korespondencj z reprezentujc pracownika zakładow 5

6 organizacj zwizkow we wszystkich sprawach ze stosunku pracy wymagajcych współdziałania pracodawcy z t organizacj lub innymi podmiotami konsultujcymi sprawy ze stosunku pracy (lit. k). Zgodnie z przepisem art. 23 ust. 1 ustawy, przetwarzanie danych jest dopuszczalne w szczególnoci, gdy jest to niezbdne dla zrealizowania uprawnienia lub spełnienia obowizku wynikajcego z przepisu prawa (pkt 2) oraz gdy jest to niezbdne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolnoci osoby, której dane dotycz (pkt 5). Za prawnie usprawiedliwiony cel, o którym mowa w art. 23 ust. 1 pkt 5 uwaa si w szczególnoci marketing bezporedni własnych produktów lub usług administratora danych (pkt 2), dochodzenie roszcze z tytułu prowadzonej działalnoci gospodarczej (pkt 2) art. 23 ust. 4 ustawy. Podkreli natomiast naley, e w wietle art. 27 ust. 1 ustawy o ochronie danych osobowych przetwarzanie danych ujawniajcych stan zdrowia, orzeczenia o ukaraniu oraz przynaleno zwizkow jest w ogóle zabronione, natomiast wyjtki w tym wzgldzie w sposób wyczerpujcy wymienia ww. ust. 2 tego przepisu. Z art. 27 ust. 2 ustawy wynika, e przetwarzanie danych jest dopuszczalne, w szczególnoci gdy przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotycz, i stwarza pełne gwarancje ich ochrony (pkt 2) oraz gdy przetwarzanie danych jest niezbdne do wykonania zada administratora danych odnoszcych si do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest okrelony w ustawie (pkt 6). Odnoszc powołane przepisy ustawy do okolicznoci rozpatrywanej sprawy, stwierdzi naley, e Fundacja pozyskała i przetwarza dane osobowe zawarte w aktach osobowych i płacowych pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji bez spełnienia choby jednego z warunków dopuszczalnoci przetwarzania danych, okrelonych w art. 27 ust. 2, jak te art. 23 ust. 1 ustawy. W szczególnoci, działanie Fundacji nie znajduje uzasadnienia w adnym z przepisów szczególnych (art. 27 ust. 2 pkt 2 oraz art. 23 ust. 1 pkt 2 ustawy), bowiem z przepisów prawa wynika, i dokumentacj w sprawach zwizanych ze stosunkiem pracy prowadzi pracodawca. Z ustale faktycznych niniejszej sprawy wynika natomiast, i Fundacja posiada ten status jedynie wobec dyrektora Zakładu Lecznictwa Ambulatoryjnego Fundacji, natomiast nie jest pracodawc dla pracowników tego zakładu opieki zdrowotnej. Wniosek powyszy opiera si na przepisach Kodeksu pracy oraz Regulaminu organizacyjnego Fundacji, jej Statutu oraz Statutu Zakładu Lecznictwa Ambulatoryjnego Fundacji. Zgodnie bowiem z art. 3 Kodeksu pracy, pracodawc jest jednostka organizacyjna, choby nie posiadała osobowoci prawnej, a take osoba fizyczna, jeeli zatrudniaj one pracowników. Za 6

7 pracodawc bdcego jednostk organizacyjn czynnoci w sprawach z zakresu prawa pracy dokonuje osoba lub organ zarzdzajcy t jednostk albo inna wyznaczona do tego osoba (art. 3 ¹ 1 Kodeksu pracy). Z powołanych przepisów wynika zatem, e aby dana jednostka organizacyjna mogła by uznana za pracodawc, powinna posiada zdolno do zatrudniania pracowników we własnym imieniu. Zdolno ta moe w szczególnoci wynika z aktu powołujcego dan jednostk do ycia, statutu lub regulaminu organizacyjnego (tak te np. K. Rczka, Prawo pracy, Tom I, Warszawa Wydawnictwo Prawnicze LexisNexis). Odnoszc powysze uwagi do niniejszej sprawy, wskaza naley na postanowienia Regulaminu organizacyjnego Fundacji oraz Statutu nadanego Zakładowi Lecznictwa Ambulatoryjnego Fundacji. Z treci 12 ust. 1 pkt 2 w zw. z 5 ust. 1 pkt 1 i 2 Regulaminu organizacyjnego Fundacji wynika natomiast wprost, e pracodawc w rozumieniu Kodeksu pracy dla zakładów opieki zdrowotnej utworzonych przez Fundacj, w tym Zakładu Lecznictwa Ambulatoryjnego Fundacji, s te zakłady, natomiast Fundacja jest pracodawc jedynie dla członków swojego zarzdu oraz pracowników jej wewntrznych jednostek organizacyjnych. Ponadto, w myl 12 ust. 2 pkt 2 Regulaminu organizacyjnego Fundacji, osobami dokonujcymi czynnoci z zakresu prawa pracy w imieniu pracodawcy wobec pracowników zakładów opieki zdrowotnej utworzonych przez Fundacj s jej dyrektorzy. Z 14 ust. 6, ust. 8 i ust. 9 Statutu Zakładu Lecznictwa Ambulatoryjnego Fundacji wynika natomiast, e dyrektor Zakładu Lecznictwa Ambulatoryjnego upowaniony został do samodzielnego kierowania działalnoci tego zakładu i reprezentowania go w zakresie dokonywania czynnoci z zakresu prawa pracy wobec pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji, jak te samodzielnego prowadzenia polityki zatrudnienia. Ze Statutu Fundacji wynika natomiast, i Fundacja jest jedynie organem załoycielskim Zakładu Lecznictwa Ambulatoryjnego Fundacji, za porednictwem którego realizuje swoje statutowe zadania i jest odrbnym wobec tego zakładu podmiotem prawa. W konsekwencji, pracodawc w rozumieniu Kodeksu pracy dla osób zatrudnionych w Zakładzie Lecznictwa Ambulatoryjnego Fundacji jest sam zakład opieki zdrowotnej, reprezentowany przez jego dyrektora. Natomiast Fundacja jest jedynie organem załoycielskim Zakładu Lecznictwa Ambulatoryjnego Fundacji, jednake nie posiada uprawnie do dokonywania czynnoci dotyczcych stosunków pracy pracowników. Jednoczenie, tre 1 Statutu Zakładu Lecznictwa Ambulatoryjnego Fundacji wskazuje, i Zakład Lecznictwa Ambulatoryjnego jest niepublicznym zakładem opieki zdrowotnej działajcym na podstawie przepisów ustawy z dnia 30 sierpnia 1991 r. o zakładach opieki zdrowotnej (Dz. U. Nr 91, poz. 408 z pón. zm.). Przepis art. 1 ust. 1 powołanej ustawy wskazuje natomiast na zdolno zakładu opieki zdrowotnej do samodzielnego zatrudniania pracowników. Stanowi on bowiem, e zakład opieki zdrowotnej jest 7

8 wyodrbnionym organizacyjnie zespołem osób i rodków majtkowych utworzonym i utrzymywanym w celu udzielania wiadcze zdrowotnych i promocji zdrowia. Fundacja podniosła w toku postpowania, e dyrektor Zakładu Lecznictwa Ambulatoryjnego Fundacji prowadzi zakład opieki zdrowotnej jedynie jako jej pełnomocnik, upowaniony m.in. do podejmowania czynnoci z zakresu prawa pracy dotyczcych pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji. Naley wobec tego zauway, e o statusie Zakładu Lecznictwa Ambulatoryjnego Fundacji, jako pracodawcy przesdzaj ww. postanowienia 12 Regulaminu organizacyjnego Fundacji oraz 14 Statutu Zakładu Lecznictwa Ambulatoryjnego Fundacji, w zw. z art. 3 Kodeksu pracy oraz art. 1 ustawy o zakładach opieki zdrowotnej, natomiast pełnomocnictwo, na jakie powołuje si Fundacja w aden sposób tych aktów wewntrznych nie zmienia. Fundacja nie wskazała take, aby ww. postanowienia statutowe zostały w inny sposób uchylone lub zmienione. Przepisy Kodeksu pracy oraz akty wykonawcze wydane na jego podstawie nakładaj natomiast na pracodawc obowizek prowadzenia dokumentacji w sprawach zwizanych ze stosunkiem pracy oraz akt osobowych pracowników. Obowizek ten wyraony został expressis verbis w art. 94 pkt 9a Kodeksu pracy, a konkretyzuj go postanowienia 6 ust. 1, 7 i 8 powołanego ju wyej rozporzdzenia w sprawie z zakresu prowadzenia przez pracodawców dokumentacji w sprawach zwizanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika. Przepis art. 94 pkt 9a Kodeksu pracy stanowi natomiast, e pracodawca jest obowizany w szczególnoci prowadzi dokumentacj w sprawach zwizanych ze stosunkiem pracy oraz akta osobowe pracowników. Zgodnie ze wskazanym 6 ust. 1 rozporzdzenia, pracodawca zakłada i prowadzi oddzielnie dla kadego pracownika akta osobowe. Stosownie natomiast do 8 ww. rozporzdzenia, pracodawca zakłada i prowadzi odrbnie dla kadego pracownika m.in. imienn kart (list) wypłacanego wynagrodzenia za prac i innych wiadcze zwizanych z prac (pkt 2). Z powołanych przepisów prawa pracy wynika, e Zakład Lecznictwa Ambulatoryjnego Fundacji, bdc pracodawc jest take administratorem danych osobowych zawartych w aktach osobowych i płacowych pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji, przysługuje mu bowiem prawo do decydowania o celach i rodkach ich przetwarzania. W wietle przepisów ustawy, administratorem danych jest natomiast organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3 ustawy, decydujce o celach i rodkach przetwarzania danych osobowych (art. 7 pkt 4 ustawy). Art. 3 ustawy wskazuje m.in. na osoby prawne oraz jednostki organizacyjne nie bdce osobami prawnymi, jeli przetwarzaj dane osobowe w zwizku z działalnoci zarobkow, zawodow, lub dla realizacji celów statutowych. 8

9 Prawo do przetwarzania danych osobowych zawartych we wskazanej dokumentacji osobowej i płacowej przysługuje zatem wyłcznie Zakładowi Lecznictwa Ambulatoryjnego Fundacji, jako pracodawcy pracowników, których dane te dotycz i ich administratorowi. Naley przy tym zauway, i racj ma Fundacja, podnoszc argument, i przepisy prawa nie okrelaj wprost, gdzie pracodawca powinien przechowywa dokumentacj prowadzon w sprawach zwizanych ze stosunkami pracy, w szczególnoci, i nie musi by to jego siedziba. W wietle przepisów ustawy o ochronie danych osobowych dopuszczalne jest bowiem powierzenie przez administratora danych przetwarzania danych osobowych innemu podmiotowi. Przepis art. 31 ustawy przewiduje bowiem, i administrator danych moe powierzy innemu podmiotowi, w drodze umowy zawartej na pimie, przetwarzanie danych (ust. 1), natomiast podmiot ten moe przetwarza dane wyłcznie w zakresie i celu przewidzianym w umowie (ust.2). Jednoczenie w przepisach regulujcych prowadzenie dokumentacji pracowniczej brak jest postanowie, które wykluczałyby moliwo zawarcia przez pracodawc takiej umowy. Z ustalonych okolicznoci sprawy wynika jednak, e dyrektor Zakładu Lecznictwa Ambulatoryjnego Fundacji nie zawarł z Fundacj umowy powierzenia przetwarzania wskazanych danych. Fundacja podkreliła w wyjanieniach złoonych w toku niniejszego postpowania, e przygotowała projekt takiej umowy, jednake dyrektor Zakładu Lecznictwa Ambulatoryjnego Fundacji odmówił jej podpisania. Naley zatem zauway, e z okolicznoci sprawy wynika, i projekt takiej umowy Fundacja przygotowała dopiero po dniu, w którym pozyskała ju dane pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji. Ponadto, z przepisów ustawy o ochronie danych osobowych wynika, e zawarcie umowy powierzenia przetwarzania danych naley do sfery autonomii woli administratora danych, której granice wyznaczaj powszechnie obowizujce przepisy prawa, bowiem to on w sposób wyłczny decyduje o celach i rodkach przetwarzania danych. W konsekwencji, Fundacja mogłaby legalnie pozyska dokumentacj zawierajc dane osobowe pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji wyłcznie o ile dyrektor tego zakładu zawarłby z ni umow powierzenia przetwarzania danych, która spełniałaby warunki okrelone w art. 31 ustawy. W wietle powyszego, pozyskanie i dalsze przetwarzanie przez Fundacj danych osobowych pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji zawartych w ich aktach osobowych i płacowych nie znajduje podstaw ani w przepisach prawa (art. 27 ust. 2 pkt 2 i art. 23 ust. 1 pkt 2 ustawy), ani te wobec tego, i Fundacja nie jest pracodawc tych osób, nie jest niezbdne do wykonania zada administratora danych odnoszcych si do zatrudnienia (art. 27 ust. 2 pkt 6 ustawy). Naley przy tym zauway, e powoływana przez Fundacj okoliczno majca usprawiedliwia jej działanie, wskazujca, i powodem pozyskania dokumentacji pracowniczej Zakładu Lecznictwa Ambulatoryjnego Fundacji była restrukturyzacja spowodowana koniecznoci wprowadzenia oszczdnoci w kosztach działania Fundacji, nie moe by uznana za podstaw 9

10 przetwarzania danych, o jakiej stanowi art. 27 ust. 2 i art. 23 ust. 1 ustawy. adna ze wskazanych w tym przepisach przesłanek nie odnosi si bowiem do takiej sytuacji. Podkreli naley, e działanie Fundacji nie jest take zgodne z powołanym wyej art. 23 ust. 1 pkt 5 ustawy. Warunkiem przetwarzania danych osobowych na podstawie tego przepisu jest bowiem istnienie prawnie usprawiedliwionego celu po stronie administratora danych, natomiast jak wskazano, z przepisów prawa wynika, i akta osobowe i płacowe pracowników zakłada i prowadzi pracodawca. Pracodawca jest zatem wyłcznym administratorem zawartych w tych aktach danych osobowych. Tym samym, Fundacja, nie posiadajc tego statusu wobec pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji, nie ma prawa do przechowywania tych danych i podejmowania na nich jakichkolwiek operacji. Niezasadny jest take argument Fundacji wskazujcy na niedopuszczalno władczego wyznaczania (w drodze decyzji administracyjnej) miejsca przechowywania dokumentacji pracowniczej (czy szerzej danych pracowników). Generalny Inspektor jak wynika z uzasadnienia niniejszej decyzji nie wskazuje bowiem, gdzie powinny by przechowywane akta osobowe i płacowe pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji. Jak wyej wskazano, w szczególnoci nie jest wykluczona sytuacja, w której Fundacja mogłaby przetwarza dane osobowe zawarte w tej dokumentacji, o ile pozyskałaby je na podstawie umowy powierzenia, o której mowa w art. 31 ustawy o ochronie danych osobowych, warunku tego jednak nie spełniła. W konsekwencji, niezbdne jest nakazanie Fundacji zaprzestanie przetwarzania danych osobowych pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji, zawartych w aktach osobowych i dokumentacji prowadzonej w sprawach zwizanych ze stosunkiem pracy i niezwłoczne zwrócenie ich administratorowi tych danych, tzn. Zakładowi Lecznictwa Ambulatoryjnego Fundacji. Z okolicznoci sprawy wynika, e Fundacja powierzyła przetwarzanie tych danych w systemie informatycznym osobie prowadzcej Zakład Usług Informatycznych. Niezbdne jest zatem take podjcie przez Fundacj stosownych działa w celu niezwłocznego zaprzestania przetwarzania danych osobowych pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji równie przez ten podmiot. Zauway take naley, e Fundacja nie miała prawa powierzy przetwarzania tych danych innemu podmiotowi, poniewa nie jest ich administratorem. Status ten przysługuje wyłcznie pracodawcy pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji samemu zakładowi opieki zdrowotnej. W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnł, jak w sentencji. 10

11 Decyzja jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych oraz art w zw. z art Kodeksu postpowania administracyjnego strona niezadowolona z niniejszej decyzji moe zwróci si do Generalnego Inspektora Ochrony Danych Osobowych (adres: Warszawa, ul. Stawki 2) z wnioskiem o ponowne rozpatrzenie sprawy, w terminie 14 dni od daty dorczenia niniejszej decyzji. 11