Decyzja Generalnego Inspektora Ochrony Danych Osobowych, z dnia 23 listopada 2005 r., nr GI-DEC-DS-390/05, w sprawie wniosku o usunicie danych osobowych Skarcej ze zbioru przedsibiorcy (podmiotu prowadzcego działalno gospodarcz) oraz usunicie danych, które podmiot prowadzcy działalno gospodarcz przekazał Zakładowi Ubezpiecze Społecznych ze zbioru prowadzonego przez Zakład Ubezpiecze Społecznych. Warszawa, dnia 23 listopada 2005 r. GI-DEC-DS-390/05 DECYZJA Na podstawie art. 104 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postpowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z pón. zm.), art. 22, art. 12 pkt 2, art. 18 ust. 1 a contrario w zw. z art. 23 ust. 1 pkt 2 i 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z pón. zm.), art. 22¹ i art. 94 pkt 9a ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 1998 r. Nr 21, poz. 94 z pón. zm.), 6 rozporzdzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach zwizanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. Nr 62, poz. 286 z pón. zm.), art. 4 pkt 2a, art. 6 ust. 1 pkt 1, art. 33 ust. 1 pkt 1, art. 36 ust. 1, ust. 2, ust. 10 i art. 40 ust. 2 pkt 1 ustawy z dnia 13 padziernika 1998 r. o systemie ubezpiecze społecznych (Dz. U. Nr 137, poz. 887 z pón. zm.), po przeprowadzeniu postpowania administracyjnego w sprawie wniosku Pani X, zam. w (...), o usunicie dotyczcych jej danych osobowych ze zbioru prowadzonego przez Pana A prowadzcego działalno gospodarcz pod nazw Zakład Odzieowy (...) jak równie o usunicie ze zbioru prowadzonego przez Zakład Ubezpiecze Społecznych, z siedzib w Warszawie przy ul. Czerniakowskiej 16, danych osobowych Pani X przekazanych ww. podmiotowi przez Pana A - prowadzcego działalno gospodarcz pod nazw Zakład Odzieowy (...), odmawiam uwzgldnienia wniosku. Uzasadnienie Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynła skarga Pani X, zamieszkałej w (...), zwanej dalej równie Skarc, w sprawie dotyczcej przetwarzania jej danych osobowych przez Pana A prowadzcego działalno gospodarcz pod nazw Zakład Odzieowy (...), z siedzib w (...), zwanego dalej take Zakład Odzieowy, oraz
Zakład Ubezpiecze Społecznych, z siedzib w Warszawie przy ul. Czerniakowskiej 16, zwany dalej take ZUS. Jak wynikało z treci powyszej skargi oraz dołczonych do niej załczników, w dniu 8 marca 2005 r. Pani X podjła prac w Zakładzie Odzieowym (...). wiadczenie pracy trwało jeden dzie i odbyło si z naruszeniem przepisów obowizujcego prawa w szczególnoci ustawy z 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 1998 r. Nr 21, poz. 94 z pón. zm.) co potwierdziła kontrola Pastwowej Inspekcji Pacy (kopia pisma Pastwowej Inspekcji Pracy, Okrgowy Inspektorat Pracy w (...), Oddział w (...) z dnia 25 marca 2005 r. skierowanego do Pani X w aktach sprawy). Pani X poinformowała ponadto: (...) po moim zgłoszeniu do organów właciwych wykonywania pracy z naruszeniem prawa pracy (praca na czarno ) w/w {Pan A} podjł jednostronne czynnoci zmierzajce do zalegalizowania mojego {Skarcej} zatrudnienia (...). Skarca zwróciła take uwag, i Pan A (Zakład Odzieowy) dokonał jej zgłoszenia do ubezpieczenia społecznego, przesyłajc wypełniony formularz o symbolu ZUS ZUA do ZUS (Oddział w (...), mieszczcy si przy ul. (...)). Pani X podkreliła przy tym, i nie jest jej znane ródło, z którego Pan A pozyskał jej dane osobowe (w szczególnoci numer ewidencyjny PESEL). W ocenie Skarcej zarówno Pan A, jak i ZUS przetwarzaj dotyczce jej dane osobowe bez podstawy prawnej. Przesdza o tym okoliczno, i zdaniem Skarcej nie wizał jej z Panem A stosunek pracy. W konsekwencji Pani X wniosła o nakazanie Panu A prowadzcemu działalno gospodarcz pod nazw Zakład Odzieowy (...) usunicia dotyczcych jej danych osobowych z prowadzonego przez niego zbioru, jak równie o nakazanie usunicia ze zbioru prowadzonego przez ZUS danych osobowych Skarcej przekazanych temu podmiotowi przez Pana A (Zakład Odzieowy). W celu ustalenia okolicznoci przedmiotowej sprawy Generalny Inspektor Ochrony Danych Osobowych wszczł postpowanie wyjaniajce. Na podstawie zebranego w sprawie materiału dowodowego dokonano nastpujcych ustale: 1. W dniu 8 marca 2005 r, Pani X podjła prac w Zakładzie Odzieowym (...). Praca wiadczona była przez okres 1 dnia. 2. Wskutek kontroli przeprowadzonej przez Pastwow Inspekcj Pracy (Okrgowy Inspektorat Pracy w (...), Oddział w (...)) w Zakładzie Odzieowym (...), do Pana A (Zakład Odzieowy) skierowane zostało wystpienie z dnia 31 marca 2005 r.; Nr 08035/K023/Ws02/2005 (kopia wystpienia w aktach sprawy), w którym polecono Panu A (Zakład Odzieowy) w szczególnoci potwierdzenie w formie pisemnej warunków i rodzaju umowy o prac z Pani X oraz naliczenie i wypłacenie wynagrodzenia za okres wiadczenia przez Pani X pracy. 3. Jak wynika z treci wyjanie złoonych w przedmiotowej sprawie przez ZUS (pismo ZUS z dnia 3 padziernika 2005 r.; znak: NO-z/070/23-5/2005 w aktach sprawy), na podstawie informacji uzyskanych od Pastwowej Inspekcji Pracy, Oddział ZUS w Biłgoraju wezwał pracodawc {Zakład Odzieowy} do złoenia dokumentów rozliczeniowych i zgłoszeniowych dotyczcych Pani X. W kwietniu 2005 r. płatnik 2
dokonał zgłoszenia wymienionej osoby do ubezpiecze społecznych i ubezpieczenia zdrowotnego jako pracownika, za okres 8 marca 2005 r. Na dokumentach ubezpieczonego podane były dane wymienionej, m. in. PESEL. Postpowanie wyjaniajce przeprowadzone przez Oddział ZUS w (...) u pracodawcy wykazało, e dane te Pan A uzyskał bezporednio od Pani X w dniu 8 marca 2005 r. (...). Tre korespondencji pomidzy ZUS a Skarc (kopia pisma ZUS z dnia 12 maja 2005 r. w aktach sprawy) potwierdza, e dokonane przez Pana A (Zakład Odzieowy) zgłoszenie Pani X do ubezpieczenia społecznego dokonane zostało na formularzu o symbolu ZUS ZUA. 4. Take z wyjanie złoonych w przedmiotowej sprawie przez Pana A (pismo z dnia 26 sierpnia 2005 r. w aktach sprawy) wynika, e pozyskał on dane osobowe Pani X bezporednio od Skarcej. Aktualnie przedmiotowe dane przetwarzane s przez Pana A (Zakład Odzieowy) w aktach osobowych Skarcej. Po zapoznaniu si z całoci zgromadzonego w sprawie materiału dowodowego Generalny Inspektor Ochrony Danych Osobowych zwaył, co nastpuje: Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z pón. zm.), zwana dalej równie ustaw, okrela zasady postpowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe s lub mog by przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy). Stosownie do brzmienia art. 7 pkt 2 ustawy, pod pojciem przetwarzania danych rozumie naley jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie udostpnianie i usuwanie, a zwłaszcza te, które wykonuje si w systemach informatycznych. Kada ze wskazanych w art. 7 pkt 2 ustawy form przetwarzania danych osobowych powinna znale oparcie w jednej z przesłanek warunkujcych legalno procesu przetwarzania danych osobowych enumeratywnie wymienionych w art. 23 ust. 1 ustawy. Przetwarzanie danych jest zatem dopuszczalne m. in., gdy jest to niezbdne dla zrealizowania uprawnienia lub spełnienia obowizku wynikajcego z przepisu prawa (art. 23 ust. 1 pkt 2 ustawy) oraz gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotycz jest jej stron lub gdy jest to niezbdne do podjcia działa przed zawarciem umowy na danie osoby, której dane dotycz (art. 23 ust. 1 pkt 3 ustawy). Wobec okolicznoci, i rozpatrywana sprawa dotyczy przetwarzania danych osobowych m. in. w ramach stosunku pracy, podkrelenia wymaga konieczno uwzgldnienia regulujcych t materi przepisów prawa pracy. Zgodnie z art. 22¹ 1 Kodeksu pracy, pracodawca ma prawo da od osoby ubiegajcej si o zatrudnienie podania danych osobowych obejmujcych: imi (imiona) i nazwisko (pkt 1), imiona rodziców (pkt 2), dat urodzenia (pkt 3), miejsce zamieszkania (adres do korespondencji) (pkt 4), wykształcenie (pkt 5), przebieg dotychczasowego zatrudnienia (pkt 6). Art. 22¹ 2 Kodeksu pracy upowania ponadto pracodawc do dania od pracownika podania, niezalenie od danych osobowych o których mowa w art. 22¹ 1, 3
take jego numeru PESEL (pkt 2). W zakresie nieuregulowanym w art. 22¹ 1-4 Kodeksu pracy, do danych osobowych, o których mowa w tych przepisach stosuje si przepisy ustawy o ochronie danych osobowych (art. 22¹ 5 Kodeksu pracy). Art. 94 pkt 9a Kodeksu pracy obliguje pracodawc do prowadzenia dokumentacji w sprawach zwizanych ze stosunkiem pracy oraz akt osobowych pracowników. Powyszy obowizek został skonkretyzowany w przepisach wydanego na podstawie upowanienia wynikajcego z art. 298¹ Kodeksu pracy - rozporzdzenia Ministra Pracy i Polityki Socjalnej z dnia 28 marca 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach zwizanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. Nr 62, poz. 286 z pón. zm.). W myl 6 wskazanego rozporzdzenia pracodawca zakłada i prowadzi oddzielnie dla kadego pracownika akta osobowe. Powołane przepisy nie tylko uprawniaj, lecz wrcz zobowizuj pracodawc do przetwarzania danych osobowych pracownika utrwalonych w okrelonych dokumentach. Podkrelenia wymaga zarazem, e dane osobowe pracownika, zawarte w omawianej dokumentacji przetwarzane s take po ustaniu zatrudnienia. Powysze wynika zarówno z przepisów ww. rozporzdzenia - które w 6 ust. 2 pkt 3 stanowi wprost e akta osobowe w czci C składaj si z dokumentów zwizanych z ustaniem zatrudnienia (podkrelenie Generalnego Inspektora), jak i przepisów ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2002 r. Nr 171, poz. 1396 z pón. zm.). Zgodnie bowiem z art. 51u ust. 1 ustawy o narodowym zasobie archiwalnym i archiwach, w przypadku postawienia pracodawcy w stan likwidacji lub ogłoszenia jego upadłoci pracodawca wskazuje podmiot prowadzcy działalno w dziedzinie przechowywania dokumentacji, któremu zostanie ona przekazana do dalszego przechowywania (podkrelenie Generalnego Inspektora), zapewniajc na ten cel rodki finansowe na czas, jaki pozostał do koca 50-letniego okresu przechowywania dokumentacji liczonego: od dnia rozwizania lub wyganicia stosunku pracy dla dokumentacji osobowej (pkt 1), od dnia wytworzenia dla dokumentacji płacowej (pkt 2). Jak wynika z materiałów zgromadzonych w niniejszej sprawie, pozyskanie przez Pana A (Zakład Odzieowy) danych osobowych Pani X pozostawało w cisłym zwizku z nawizaniem pomidzy tymi podmiotami stosunku pracy. Zarówno fakt istnienia pomidzy Zakładem Odzieowym a Pani X stosunku pracy, jak i sposób jego nawizania (w drodze umowy) zostały potwierdzone przez Pastwow Inspekcj Pracy. Pismem z dnia 31 marca 2005 r. organ ten wystpił bowiem do Zakładu Odzieowego jedynie o Potwierdzenie w formie pisemnej warunków i rodzaju umowy o prac {podkrelenie Generalnego Inspektora} z X (...) a take o (...) Naliczenie i wypłacenie wynagrodzenia za okres wiadczenia pracy {podkrelenie Generalnego Inspektora} przez X (...). Pozyskanie i dalsze przetwarzanie przez Pana A (Zakład Odzieowy) danych osobowych Skarcej w okresie wiadczenia przez Skarc pracy na rzecz ww. znajdowało zatem oparcie w powołanym wczeniej art. 23 ust. 1 pkt 3 ustawy. Jednoczenie, wobec istnienia wyranej prawnej podstawy (zawartej w art. 22¹ i 94 pkt 9a Kodeksu pracy a take w przepisach rozporzdzenia Ministra Pracy i Polityki Socjalnej w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach 4
zwizanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika) do przetwarzania przez pracodawc danych osobowych pracownika/byłego pracownika, proces przetwarzania przez Pana A (Zakład Odzieowy) danych osobowych Pani X znajduje uzasadnienie take w art. 23 ust.1 pkt 2 ustawy. Z uwagi na sformułowane przez Skarc danie usunicia jej danych osobowych ze zbioru prowadzonego przez Pana A (Zakład Odzieowy) zaakcentowania wymaga, i powołane wczeniej przepisy dotyczce obligatoryjnego prowadzenia przez pracodawców dokumentacji zwizanej ze stosunkiem pracy i akt osobowych pracownika nie tylko daj Panu A (Zakład Odzieowy) prawo, lecz zobowizuj go do przetwarzania danych osobowych obecnych oraz byłych pracowników w tym Pani X. Nadmieni naley, e w ramach złoonych w przedmiotowej sprawie wyjanie Pan A (Zakład Odzieowy) poinformował, e dane osobowe Pani X, zostały mu przekazane przez sam Skarc, w formie ustnej. Majc na uwadze istnienie prawnych podstaw do pozyskania danych osobowych pracownika/kandydata do pracy, brak szczególnych wymogów co do formy pozyskania tych danych (art. 22¹ 3 Kodeksu pracy przewiduje jedynie, e udostpnienie pracodawcy danych osobowych nastpuje w formie owiadczenia osoby, której one dotycz, nie stawia jednak w tym wzgldzie dalszych wymogów np. wymogu pisemnoci), jak równie bezsporn okoliczno, i Pani X wiadczyła prac w >Zakładzie Odzieowym<, Generalny Inspektor nie znajduje podstaw do zakwestionowania prawdziwoci wyjanie Pana a (Zakład Odzieowy) w omawianym zakresie. Odnoszc si do kwestii udostpnienia przez Pana A (Zakład Odzieowy) danych osobowych Pani X na rzecz ZUS podkreli naley, i nastpiło ono w wykonaniu obowizków okrelonych przepisami ustawy z dnia 13 padziernika 1998 r. o systemie ubezpiecze społecznych (Dz. U. Nr 137, poz. 887 z pón. zm.). Stosownie bowiem do brzmienia art. 6 ust. 1 pkt 1 powołanego aktu prawnego, obowizkowo ubezpieczeniom emerytalnemu i rentowemu podlegaj, z zastrzeeniem art. 8 i 9, osoby fizyczne, które na obszarze Rzeczypospolitej Polskiej s pracownikami (z wyłczeniem prokuratorów). Kada osoba objta obowizkowo ubezpieczeniami emerytalnymi i rentowymi podlega zgłoszeniu do ubezpiecze społecznych (art. 36 ust. 1 ustawy o systemie ubezpiecze społecznych). Obowizek zgłoszenia do ubezpiecze społecznych osób okrelonych w art. 6 ust. 1 pkt 1 4 naley do płatnika składek (art. 36 ust. 2 ustawy o systemie ubezpiecze społecznych). Płatnikiem składek w stosunku do pracowników - jest natomiast pracodawca (art. 4 pkt 2a ustawy o systemie ubezpiecze społecznych). Zgłoszenie do ubezpiecze społecznych obejmuje szereg danych osobowych osoby zgłaszanej, w szczególnoci dane o których mowa w art. 35 ust. 1 pkt 1 (a wród nich, w przypadku ubezpieczonych - numer PESEL i NIP), nazwisko, imi pierwsze i drugie, dat urodzenia, nazwisko rodowe, obywatelstwo i płe, tytuł ubezpieczenia, adres zameldowania na stałe miejsce pobytu (art. 36 ust. 10 ustawy o systemie ubezpiecze społecznych). Omawiane zgłoszenie nastpuje w cile okrelonej formie tj. na formularzu o symbolu ZUS ZUA, którego wzór okrelony został w załczniku nr 1 do rozporzdzenia Ministra Pracy i Polityki Socjalnej z dnia 4 grudnia 1998 r. w sprawie 5
okrelenia wzorów zgłosze do ubezpiecze społecznych i ubezpieczenia zdrowotnego, imiennych raportów miesicznych i imiennych raportów miesicznych korygujcych, zgłosze płatnika, deklaracji rozliczeniowych i deklaracji rozliczeniowych korygujcych oraz innych dokumentów (Dz. U. z Nr 149, poz. 982 z pón. zm.). Podstaw dla okrelenia w powyszy sposób wzorca zgłoszenia do ubezpieczenia społecznego stanowił art. 49 ust. 2 pkt 1 ustawy o systemie ubezpiecze społecznych, w myl którego minister właciwy do spraw zabezpieczenia społecznego, w drodze rozporzdzenia, okrela m. in. wzory zgłosze do ubezpiecze społecznych. Wobec powyszego, działania Pana A (Zakład Odzieowy), polegajce na przekazaniu danych osobowych Pani X zawartych w formularzu zgłoszeniowym ZUS ZUA do ZUS, znajdowały pełne uzasadnienie w przepisach obowizujcego prawa tj. w powołanych regulacjach ustawy o systemie ubezpiecze społecznych, a tym samym w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Z obowizkiem pracodawcy przekazania do ZUS - w ramach zgłoszenia do ubezpieczenia społecznego - okrelonych danych osobowych pracownika, zwizane jest prawo ZUS do pozyskania tyche danych. Powołane przepisy ustawy o systemie ubezpiecze społecznych w równym stopniu kształtuj zatem obowizki pracodawcy jak i uprawnienia ZUS w podanym zakresie. Niewtpliwie wic ZUS w sposób w pełni uprawniony albowiem znajdujcy oparcie w przepisach ustawy o systemie ubezpiecze społecznych (tj. przy spełnieniu przesłanki z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych) pozyskał od >Zakładu Odzieowego< dane osobowe Pani X. Równie proces dalszego przetwarzania przez ten podmiot danych osobowych Skarcej jest zgodny z prawem. W myl bowiem art. 33 ust. 1 pkt 1 ustawy o systemie ubezpiecze społecznych ZUS prowadzi konta ubezpieczonych, z których kade jest oznaczone numerem ewidencyjnym PESEL. Na koncie ubezpieczonego ewidencjonuje si m. in. informacje wymienione w drukach zgłoszenia do ubezpiecze społecznych (art. 40 ust. 2 pkt 1 ustawy o systemie ubezpiecze społecznych). Na marginesie zaznaczy naley, e wniosek Pani X o usunicie ze zbioru prowadzonego przez Pana A (Zakład Odzieowy) dotyczcych jej danych osobowych, jak równie o usunicie ze zbioru prowadzonego przez ZUS jej danych osobowych przekazanych ww. podmiotowi przez Pana A Zakład Odzieowy ) wynika z przewiadczenia Skarcej, i nie łczył jej nigdy z Panem A(Zakład Odzieowy ) stosunek pracy. Z całokształtu zgromadzonego w przedmiotowej sprawie materiału dowodowego wynika jednak, e Pan A ( Zakład Odzieowy ) wykonywał wobec Pani X obowizki pracodawcy. W konsekwencji, proces przetwarzania przez Pana A (>Zakład Odzieowy <) danych osobowych Skarcej (w tym udostpnienie tych danych na rzecz ZUS) musi podlega ocenie w wietle przepisów dotyczcych przetwarzania danych osobowych w ramach stosunku pracy te za nie tylko uprawniaj skarony podmiot, lecz wrcz obliguj go do działa, których legalno zakwestionowała Pani X. Jednoczenie podkrelenia wymaga, e uprawnionym do rozstrzygania kwestii spornych zwizanych ze wiadczeniem pracy jest wyłcznie sd powszechny, nie za organ do spraw ochrony danych osobowych. 6
W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnł, jak na wstpie. Decyzja jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych i art. 129 2 w zw. z art. 127 3 Kodeksu postpowania administracyjnego, strona niezadowolona z niniejszej decyzji moe zwróci si do Generalnego Inspektora Ochrony Danych Osobowych (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa) z wnioskiem o ponowne rozpatrzenie sprawy, w terminie 14 dni od dnia dorczenia niniejszej decyzji. 7