(dotyczy przetwarzania danych osobowych przez zakład ubezpieczeń) DECYZJA

GI-DEC-DS- 191/01 Warszawa, dnia 10 grudnia 2001 r. (dotyczy przetwarzania danych osobowych przez zakład ubezpieczeń) DECYZJA Na podstawie art. 138 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.) oraz art. 12 pkt 2, art. 23 ust. 1 pkt 2 i art. 27 ust. 1 pkt 2 ustawy z dnia 29 stycznia 1997 r. o ochronie danych osobowych (Dz. U. Nr 133, poz. 883 z późn. zm.) w związku z art. 1a ust. 3 i art. 8a ustawy z dnia 28 lipca 1990 r. o działalności ubezpieczeniowej (Dz. U. z 1996 r. Nr 11, poz. 62 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie wniosku Skarżącego o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia 24 sierpnia 2001 (sygn. GI-DEC-DS-100/01/745) odmawiającą uwzględnienia wniosku w sprawie przetwarzania jego danych osobowych przez Zakład Ubezpieczeń, utrzymuję w mocy decyzję z dnia 24 sierpnia 2001 r. (sygn. GI-DEC-DS-100/01/745) UZASADNIENIE Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga, w której Skarżący poinformował, iż pracownicy jednego z inspektoratów zakładu ubezpieczeń, zwanego dalej również Spółką lub Inspektoratem, nielegalnie, bez jego "wiedzy i zgody" gromadzą jego dane osobowe, w tym dane o stanie zdrowia, a także udostępniają je osobom postronnym. Skarżący wskazał ponadto, iż pracownicy Inspektoratu gromadzą szereg nieprawdziwych danych o jego stanie zdrowia, "manipulują" jego aktami prowadzonymi w związku z zawartą umową ubezpieczenia i nie dopełnili ciążącego na nich z mocy ustawy o ochronie danych osobowych obowiązku informacyjnego. W związku z powyższymi zarzutami, Skarżący wniósł o wydanie decyzji nakazującej Spółce zaniechanie przetwarzania jego danych osobowych oraz o "zobowiązanie pod rygorem karnym" do zwrotu zgromadzonych jego danych osobowych. Generalny Inspektor Ochrony Danych Osobowych, w celu wyjaśnienia wskazanych przez Skarżącego okoliczności, na podstawie art. 14 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. Nr 133, poz. 883 z późn. zm.), zwanej dalej także ustawą, podjął decyzję o przeprowadzeniu przez upoważnionego inspektora czynności kontrolnych w Inspektoracie Zakładu Ubezpieczeń. W toku powyższych czynności odebrano wyjaśnienia od pracowników Inspektoratu, dokonano oględzin znajdującej się w Inspektoracie oraz w Prokuraturze Rejonowej dokumentacji oraz oględzin stosowanych w Inspektoracie zabezpieczeń przed dostępem do niej osób nieuprawnionych. W wyniku przeprowadzonych czynności ustalono, że obecnie Inspektorat prowadzi postępowanie w dziewięciu sprawach szkodowych dotyczących Skarżącego. Część z nich dotyczy szkód osobowych Skarżącego powstałych w wyniku wypadków na terenie jednej ze Spółdzielni Mieszkaniowych, której jest członkiem. W związku z tym, że pomiędzy Spółdzielnią, a Spółką została zawarta umowa o dobrowolne ubezpieczenie od odpowiedzialności cywilnej, roszczeniami Skarżącego z tytułu wypadków na terenie Spółdzielni zajmował się również Zakład Ubezpieczeń. Najstarsza prowadzona sprawa związana jest ze szkodą powstałą w wyniku wypadku komunikacyjnego w 1980 r. (sygn. akt I SKN/R - 24), w związku z którym wypłacane jest Skarżącemu świadczenie rentowe. Dwie ze spraw dotyczą szkody odniesionej przez Skarżącego w lutym 2000 r. (upadek na progu klatki schodowej), w związku z którą Skarżący dochodził odszkodowania z własnej polisy ubezpieczenia od Następstw Nieszczęśliwych Wypadków

(NW). Związane z tymi zdarzeniami roszczenia zostały również zgłoszone z ubezpieczenia odpowiedzialności cywilnej ww. Spółdzielni Mieszkaniowej. Z powodu odmowy wypłaty odszkodowania Skarżący wystąpił z pozwem do Sądu Rejonowego. Ustalono również, że dane o stanie zdrowia gromadzone są przez Spółkę, w związku ze zgłaszaniem przez Skarżącego zaistnienia zdarzeń, które spowodowały w jego opinii uszczerbek na zdrowiu i udostępniane są jedynie lekarzom orzekającym o stopniu owego uszczerbku. W aktach spraw dotyczących postępowań w zakresie odszkodowań związanych z likwidacją szkód komunikacyjnych i następstw nieszczęśliwych wypadków gromadzone są oryginały orzeczeń komisji lekarskich, wyniki badań, zaświadczenia lekarskie, faktury dokumentujące poniesione koszty (jeżeli umowa obejmuje zwrot takich kosztów) oraz korespondencja pomiędzy ubezpieczonym a Inspektoratem. W przypadku zgłoszenia szkody, pracownicy Sekcji Likwidacji Szkód NW i OC dokonują najpierw sprawdzenia, czy zgłaszający szkodę jest rzeczywiście ubezpieczony, a następnie ustalają okoliczności powstania szkody. W tym celu zakład ubezpieczeń korzysta z biuletynów policyjnych (jeżeli poszkodowany poda godzinę i datę wypadku komunikacyjnego), zaświadczeń wystawianych przez Policję, a przedstawianych przez poszkodowanego, dokumentacji pogotowia ratunkowego, przychodni lub szpitala. Równolegle ubezpieczony umówiony jest na badanie lekarskie przeprowadzane przez lekarza orzecznika. Dokumenty, które mają związek z wypadkiem i są konieczne dla ustalenia związku przyczynowego między roszczeniem a wypadkiem załączane są do akt danej sprawy. Pozostałe natomiast dokumenty przedstawiane są na komisji lekarskiej. Komisja lekarska wydaje orzeczenie, które załącza się do akt. Czynności kontrolne nie potwierdziły zarzutu Skarżącego, jakoby akta zawierające dane osobowe były nieodpowiednio zabezpieczone i przez to dostępne dla osób nieupoważnionych. Kierownik Sekcji Likwidacji Szkód NW i OC Inspektoracie wyjaśnił, że akta spraw szkodowych Skarżącego, tj. szkoda nr SKN/r-24 Tom I, II, i II, szkoda nr 662WLLK00117, szkoda nr 662WLLL000152 i szkoda nr 662WMLL00061 zostały doręczone Prokuratorowi Prokuratury Rejonowej w dniu 11 lipca 2001 r. w związku z prowadzeniem sprawy karnej. Dokumentacja Skarżącego nie była udostępniana innym osobom. Nie stwierdzono także istnienia wniosków o udostępnienie tej dokumentacji. Pracownicy Inspektoratu stwierdzili, że nigdy nie odmówili Skarżącemu wglądu w jego akta szkodowe. Podkreślono, iż udostępnienie akt do wglądu Skarżącemu odbywało się zawsze w obecności pracownika Inspektoratu. W dniu 24 sierpnia 2001 r. Generalny Inspektor Ochrony Danych Osobowych wydał decyzję administracyjną (GI-DEC-DS-100/01/744,745) odmawiającą uwzględnienia wniosku Skarżącego w sprawie przetwarzania jego danych osobowych przez Zakład Ubezpieczeń. W treści przedmiotowej decyzji wskazano, iż przetwarzanie danych osobowych przez Spółkę odbywa się na podstawie przepisów prawa, tj. na podstawie przepisów ustawy o działalności ubezpieczeniowej. Pozyskiwanie danych o stanie zdrowia przez Spółkę odbywa się ponadto na podstawie ustawy o zakładach opieki zdrowotnej. W ocenie Generalnego Inspektora przeprowadzone postępowanie nie potwierdziło zarzutu udostępnienia danych Skarżącego osobom nieuprawnionym jak również zarzutu niewłaściwego zabezpieczenia danych o stanie zdrowia Skarżącego. Z uwagi na fakt zebrania przez Inspektorat przedmiotowych danych przed wejściem w życie ustawy o ochronie danych osobowych, Generalny Inspektor Ochrony Danych Osobowych nie dopatrzył się również naruszenia przez administratora danych obowiązku informacyjnego określonego w art. 24 i 25 ustawy o ochronie danych osobowych. W dniu 12 października 2001 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynął wniosek Skarżącego o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia 24 sierpnia 2001 r. doręczoną Skarżącemu w dniu 4 października 2001 r. We wniosku tym Skarżący zarzucił decyzji Generalnego Inspektora niezgodność ustaleń prawnych ze zgromadzonym materiałem dowodowym, błędne ustalenia faktyczne polegające na oddaleniu wniosków dowodowych Skarżącego i nieuwzględnieniu całości zebranego materiału dowodowego w sprawie, "nadużycie uprawnień" przez Generalnego Inspektora, polegające na przeprowadzeniu niezgodnej z prawem "dla pozoru" kontroli w Spółce. Skarżący wywodzi, iż jego dane

osobowe, wbrew ustaleniom Generalnego Inspektora, były przetwarzanie przez Spółkę bezprawnie, jak również zostały udostępnione osobom nieupoważnionym i wskazuje na "...fakty wynoszenia danych do domu przez lekarzy czy pracowników GIODO dla wymiany i dzielenia się jego zawartością z innymi lekarzami, czy funkcjonariuszami służb specjalnych, czy funkcjonariuszami organów ścigania w drodze nieoficjalnej...". Ponadto w treści przedmiotowego wniosku Skarżący wniósł o przyjęcie dowodu z przesłuchania strony w przedmiocie "zarzutów i okoliczności po 30 kwietnia 1998 r." Uwzględniając powyższe żądanie, w dniu 19 listopada 2001 r., odebrano Skarżącego wyjaśnienia na okoliczność przetwarzania jego danych osobowych (w tym danych o stanie zdrowia) przez Spółkę. W trakcie przesłuchania Skarżący potwierdził zarzuty stawiane decyzji Generalnego Inspektora we wniosku o ponowne rozpatrzenie sprawy, a ponadto podkreślił, iż nie został zapoznany z całością materiału dowodowego zgromadzonego w niniejszej sprawie, w szczególności nie został zapoznany z całością dokumentacji dotyczącej kontroli przeprowadzonej przez upoważnionych przez Generalnego Inspektora Ochrony Danych Osobowych inspektorów w siedzibie Spółki. W dalszych pismach kierowanych do Generalnego Inspektora (pismo z dnia 26 listopada 2001 r. oraz pismo z dnia 28 listopada 2001 r. Skarżący zarzucił Generalnemu Inspektorowi "niepodjęcie w niniejszej sprawie czynności określonych przepisami kodeksu postępowania administracyjnego". Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego i ponownej jego analizie Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje: Generalny Inspektor Ochrony Danych Osobowych w pełni podtrzymuje swoje stanowisko wyrażone w zaskarżonej decyzji i ponownie wskazuje, że warunkiem uznania procesu przetwarzania danych osobowych za zgodny z prawem jest spełnienie przez administratora danych wszystkich warunków przetwarzania danych osobowych określonych w przepisach ustawy o ochronie danych osobowych. Przetwarzanie danych osobowych jest zatem dopuszczalne nie tylko wtedy, gdy administrator danych spełni co najmniej jedną z przesłanek dopuszczalności przetwarzania danych określoną w art. 23 ust. 1 ustawy, ale gdy równocześnie będzie przetwarzał dane osobowe w sposób zgodny z pozostałymi przepisami ustawy. Stosownie do art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych przetwarzanie danych jest dopuszczalne wtedy, gdy zezwalają na to przepisy prawa. W odniesieniu do danych o stanie zdrowia podkreślić należy, iż należą one do kategorii danych podlegających szczególnej ochronie, a jej przejawem jest wyrażony w art. 27 ust. 1 zakaz ich przetwarzania. Jednakże ustawodawca przewidział możliwość przetwarzania takich danych w enumeratywnie wymienionych sytuacjach. Zgodnie z art. 27 ust. 2 pkt 2 ustawy przetwarzanie danych o stanie zdrowia jest dopuszczalne, jeżeli przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony. Za przepisy uprawniające Zakład Ubezpieczeń do przetwarzania danych Skarżącego w niniejszej sprawie uznać należy przepisy ustawy z dnia 28 lipca 1990 r. o działalności ubezpieczeniowej (Dz. U. z 1996 r. Nr 11, poz. 62 z późn. zm.). Dla uzasadnienia powyższego stwierdzenia konieczne jest przytoczenie definicji czynności ubezpieczeniowych podejmowanych wobec Skarżącego przez Spółkę. Czynnościami ubezpieczeniowymi, w myśl art. 1a ust. 3 pkt 1 ustawy o działalności ubezpieczeniowej jest ocena ryzyka w ubezpieczeniach majątkowych i osobowych oraz umowach gwarancji ubezpieczeniowych. Zakład ubezpieczeń, dokonując czynności ubezpieczeniowych w ramach swej działalności, jest uprawniony do kontrolowania przestrzegania przez ubezpieczających zastrzeżonych w umowie bądź ogólnych warunkach ubezpieczeń obowiązków i zasad bezpieczeństwa odnoszących się do przedmiotów objętych ochroną ubezpieczeniową oraz ustalanie przyczyn i okoliczności wypadków ubezpieczeniowych (art. 1a ust. 3 pkt 4 i 5 ustawy). Dla określania uszczerbku na zdrowiu i dla oceny stopnia odniesionego uszczerbku oraz rozmiaru krzywdy konieczne jest porównanie stanu istniejącego przed wypadkiem (na który mają wpływ zarówno choroby samoistne, jak i wcześniejsze urazy) ze stanem zaistniałym po wypadku lub zdarzeniu objętym odpowiedzialnością Zakładu Ubezpieczeń. Obowiązek powyższy wynika również z 27 ust. 5 ogólnych warunków ubezpieczenia następstw nieszczęśliwych wypadków i 8 tabeli norm oceny procentowej trwałego uszczerbku na zdrowiu

stanowiącej załącznik do zarządzenia nr 38/96 Prezesa Zarządu Zakładu Ubezpieczeń z dnia 12 listopada 1996 r. w sprawie trybu ustalania trwałego uszczerbku na zdrowiu w ramach ubezpieczeń prowadzonych przez ten Zakład. Zgodnie z art. 8a ustawy o działalności ubezpieczeniowej, na wniosek zakładu ubezpieczeń, Ubezpieczeniowego Funduszu Gwarancyjnego lub Polskiego Biura Ubezpieczeń Komunikacyjnych oraz w zakresie zadań wykonywanych przez te instytucje ubezpieczeniowe i w celu ich wykonania, w związku z wypadkiem lub zdarzeniem będącym podstawą ustalania odpowiedzialności, sądy, organy prokuratury, policji oraz inne organy i instytucje mają obowiązek udzielić informacji i udostępnić materiały niezbędne do ustalenia okoliczności tych wypadków i zdarzeń oraz do określenia wysokości odszkodowania lub świadczenia. Podkreślić należy, że powyższe regulacje nie są jedynymi uprawniającymi Spółkę do przetwarzania danych osobowych Skarżącego. Stosownie bowiem do art. 18 ust. 3 pkt 6 ustawy z dnia 30 sierpnia 1991 r. o zakładach opieki zdrowotnej (Dz. U. Nr 91, poz. 408 z późn. zm.), zakład opieki zdrowotnej udostępnia dokumentację medyczną organom rentowym, zakładom ubezpieczeniowym oraz zespołom do spraw orzekania o stopniu niepełnosprawności, w związku z prowadzonym przez nie postępowaniem. Zakłady opieki zdrowotnej nie mogą zatem odmówić wydania żądanej przez zakład ubezpieczeń dokumentacji medycznej, jeśli wykaże on, że powyższa dokumentacja jest mu niezbędna w związku z prowadzonym postępowaniem odszkodowawczym. Zakład Ubezpieczeń ma zatem prawo gromadzić i przetwarzać dane, w tym również dane o stanie zdrowia, niezbędne dla ustalenia związku przyczynowego między roszczeniem a wypadkiem, określenia rodzaju uszczerbku na zdrowiu i ustalenia wysokości ewentualnego odszkodowania, bądź świadczenia. Ponadto dodatkowo należy wskazać, że wszystkie informacje znajdujące się w zbiorze danych zakładu ubezpieczeń, związane z zawieranymi umowami (w tym informacje o stanie zdrowia Skarżącego) podlegają szczególnej ochronie wynikającej z tzw. tajemnicy ubezpieczeniowej. Zgodnie z art. 9 ust. 1 ustawy o działalności ubezpieczeniowej zakład ubezpieczeń nie może udzielać informacji dotyczących poszczególnych umów ubezpieczenia, z wyjątkiem informacji związanych z umową ubezpieczenia, przekazywanych uposażonym i uprawnionym do świadczenia wynikającego z umowy ubezpieczenia oraz osobom trzecim, na rzecz których zawarta jest umowa ubezpieczenia. Zakaz, o którym mowa w ust. 1 nie dotyczy informacji udzielanych na żądanie podmiotów enumeratywnie określonych w art. 9 ust. 2 ww. ustawy (np. sądu, prokuratora, organu nadzoru ubezpieczeniowego itd.). Reasumując, przetwarzanie danych Skarżącego przez wskazaną przez niego Spółkę, znajdując uzasadnienie w ww. przepisach prawa nie może być uznane za niezgodne z ustawą o ochronie danych osobowych. Przeprowadzone postępowanie administracyjne nie potwierdziło ponadto zarzucanych przez Skarżącego nieprawidłowości w procesie przetwarzania jego danych osobowych przez Zakład Ubezpieczeń w postaci udostępnienia danych osobowych Skarżącego osobom nieupoważnionym, jak również niewłaściwego zabezpieczenia przedmiotowych danych. W sprzeczności ze stanowiskiem Skarżącego pozostają również wyniki czynności kontrolnych przeprowadzonych w Inspektoracie, m.in. dokonane w toku przedmiotowych czynności oględziny pomieszczeń, w których jest przechowywana dokumentacja oraz odebrane od pracowników Inspektoratu ustne wyjaśnienia. W toku inspekcji ustalono, że do akt szkodowych Skarżącego mają dostęp jedynie lekarze orzecznicy i pracownicy Inspektoratu upoważnieni do dostępu do danych osobowych. Zastosowane są również odpowiednie środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych przed dostępem osób nieupoważnionych, zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem. Dane o stanie zdrowia zgromadzone przez Spółkę pochodzą z orzeczeń komisji lekarskich istniejących w strukturach organizacyjnych Spółki i są wykorzystywane wyłącznie w ramach prowadzonych postępowań odszkodowawczych. Na podstawie bowiem uzyskanej dokumentacji medycznej, lekarze orzecznicy powoływani przez Dyrektorów Oddziałów Okręgowych i Inspektoratów

Spółki wydają orzeczenia, na mocy których albo przyznaje się, albo odmawia się przyznania stosownego odszkodowania. W świetle powyższego za nieuzasadniony należy uznać zarzut Skarżącego polegający na niewyjaśnieniu wszelkich okoliczności faktycznych sprawy, a tym bardziej zarzut bezczynności Generalnego Inspektora w przedmiotowym postępowaniu. Skarżącemu zapewniono pełną realizację zasady czynnego udziału strony w postępowaniu administracyjnym; jako strona niniejszego postępowania Skarżący był na bieżąco był informowany o przebiegu i wynikach toczącego się postępowania, umożliwiono mu przeglądanie akt i zapoznanie się z ich treścią w każdym jego stadium, Skarżącemu umożliwiono również składanie wyjaśnień i przedłożenie dodatkowych dokumentów uzasadniających jego stanowisko w niniejszej sprawie. Dodatkowo, stosownie do złożonego wniosku o przyjcie dowodu z przesłuchania strony, Skarżący został przesłuchany na okoliczność przetwarzania jego danych osobowych przez Zakład Ubezpieczeń. Wbrew twierdzeniom zawartym we wniosku o ponowne rozpoznanie sprawy Skarżący został zapoznany z całością materiału dowodowego, w tym również, w zakresie swojej skargi, z ustaleniami dotyczącymi czynności kontrolnych przeprowadzonych przez upoważnionych pracowników Biura GIODO w Zakładzie Ubezpieczeń - pismo z dnia 19 lipca 2001 r. (GI-DS-430/117/01/1068), doręczone Skarżącemu w dniu 23 lipca 2001 r. (zwrotne poświadczenie odbioru w aktach sprawy). Czynności wyjaśniające podejmowane przez Generalnego Inspektora Ochrony Danych Osobowych wobec Skarżącego oraz Zakładu Ubezpieczeń dokonywane były zatem z uwzględnieniem wszelkich reguł administracyjno - prawnych określonych zarówno w przepisach kodeksu postępowania administracyjnego, jak i w przepisach ustawy o ochronie danych osobowych. W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.