Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia 24 czerwca 2005 r. dotyczca przetwarzania danych osobowych Skarcej przez pracodawc. Warszawa, dnia 24 czerwca 2005 r. GI-DEC-DS- 159/05 D E C Y Z J A Na podstawie art. 104 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postpowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z pón. zm.) oraz art. 12 pkt 2 w zwizku z art. 23 ust. 1 pkt 2 oraz art. 36 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z pón. zm.), po przeprowadzeniu postpowania administracyjnego w sprawie skargi Pani AB, dotyczcej przetwarzania danych osobowych Skarcej przez Zakład Ubezpiecze Społecznych, z siedzib w Warszawie (...), Oddział w Białymstoku, odmawiam uwzgldnienia wniosku. Uzasadnienie Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynła skarga Pani AB, zwanej równie Skarc, w sprawie udostpnienia jej danych osobowych zawartych w aktach osobowych Skarcej osobom nieupowanionym przez pracodawc Skarcej, tj. Zakład Ubezpiecze Społecznych Oddział w Białymstoku, zwany dalej ZUS. Skarca w szczególnoci wskazała, e jej dane osobowe zawarte w jej aktach osobowych zostały udostpnione pracownikom Oddziału ZUS w Białymstoku Pani BC i Pani DE. W ocenie Skarcej ww. osoby sporzdziły pisemn opini na temat jej pracy w oparciu o znajdujc si w aktach osobowych Skarcej opini Koordynatora ds. Zarzdzania Informacj ZUS Oddział w Białymstoku Pani FG oraz Naczelnika Wydziału Rozlicze Kont Płatników Składek Ubezpieczonych ZUS Oddział w Białymstoku Pani HI. Skarca wskazała równie, i jej akta osobowe były przedmiotem analizy przez inne osoby, lecz brak [jej] dowodów na pimie. Skarca zadała jednoczenie przeprowadzenia postpowania kontrolnego w Oddziale ZUS w Białymstoku oraz skierowania do organów cigania zawiadomienia o popełnieniu przestpstwa przez ZUS. Ponadto, w pimie z dnia 15 maja 2005 r. Skarca zakwestionowała nie tylko
udostpnienie osobom nieupowanionym przez ZUS jej danych osobowych, ale wskazała równie na przetwarzanie bez [jej] wiedzy i zgody»tzw. dokumentów«znajdujcych si w [jej] aktach osobowych. W toku postpowania Generalny Inspektor Ochrony Danych Osobowych ustalił, co nastpuje: 1. Pani BC, pełnica funkcj Naczelnika Wydziału Koordynacji Obsługi Klientów Oddział ZUS w Białymstoku w dniu 7 maja 2004 r., jako przełoona Skarcej, skierowała do Dyrektora ZUS oddział w Białymstoku wniosek o przejcie Pani AB do dyspozycji słubowej. W uzasadnieniu ww. wniosku zawarta była opinia dotyczca Skarcej. 2. Do przedmiotowego wniosku dołczono sporzdzon w dniu 6 maja 2004 r. opini Pani DE Kierownika Referatu ZUS, w którym pracowała Skarca. 3. W pimie z dnia 8 lutego 2005 r. Pan JK Wicedyrektor Departamentu Ochrony Informacji ZUS wyjanił, i zarówno Pani BC, jak i Pani DE nie korzystały z dostpu do danych osobowych zawartych w aktach osobowych Pani AB podczas formułowania opinii na temat jej pracy. Do wyjanie dołczono owiadczenia Pani BC i Pani DE, w których zapewniły one, e opini o pracy Skarcej napisały w oparciu o własn ocen i zawarto akt osobowych Skarcej nie była im znana. 4. Niezalenie od powyszego, Pan JK poinformował, i jako kierownicy komórek organizacyjnych w Oddziale ZUS Pani BC i Pani DE s upowanione do wgldu w akta osobowe podległych im pracowników w takim zakresie, w jakim wynika to z ich kompetencji do przedkładania dyrektorowi oddziału lub zastpcy dyrektora wniosków w sprawach kadrowych, które s okrelone w 17 pkt 12 Regulaminu Organizacyjnego Oddziału Zakładu Ubezpiecze Społecznych w Białymstoku. 5. Ponadto, wgld w akta osobowe Skarcej miał, w zwizku z toczcym si postpowaniem sdowym, Dyrektor, radca prawny Oddziału ZUS w Białymstoku oraz inspektor Pastwowej Inspekcji Pracy, a take Departament Spraw Pracowniczych, w zwizku z rozpatrywaniem złoonych przez Pani AB skarg. Po zapoznaniu si z całoci materiału dowodowego zebranego w sprawie Generalny Inspektor Ochrony Danych Osobowych zwaył, co nastpuje. Generalny Inspektor Ochrony Danych Osobowych jest organem uprawnionym do rozpatrywania spraw z zakresu ochrony danych osobowych i zgodnie z art. 12 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z pón. zm.) do jego kompetencji naley m.in.: kontrola zgodnoci przetwarzania danych z przepisami o ochronie danych osobowych oraz wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonywania przepisów o ochronie danych osobowych. 2
Zatem tylko w takim zakresie Generalny Inspektor jest uprawniony do podejmowania działa w sferze wzajemnych relacji midzy pracownikiem a pracodawc. Pozostałe zagadnienia zwizane ze stosunkiem pracy s zastrzeone wyłcznie do kompetencji sdów powszechnych. Ustawa o ochronie danych osobowych, nakłada na administratora danych szereg obowizków, których wypełnienie ma na celu zapewnienie właciwej ochrony przetwarzanych danych. Administrator danych, tj. w myl art. 7 pkt 4 ustawy, podmiot (m. in. organy pastwowe, organy samorzdu terytorialnego oraz inne pastwowe i komunalne jednostki organizacyjne), decydujcy o celach i rodkach przetwarzania danych, jest przede wszystkim zobowizany do legitymowania si przynajmniej jedn z przesłanek przetwarzania, w tym udostpniania, danych okrelon w art. 23 ust. 1 ustawy, co jest warunkiem generalnym legalnoci przetwarzania danych. Wskazane tam przesłanki naley traktowa rozłcznie, tzn. w przypadku zaistnienia jednej z nich, zbdne jest wykazywanie posiadania pozostałych. W zwizku z powyszym owiadczenie zgody osoby, której dane dotycz nie jest wyłczn przesłank przetwarzania jej danych osobowych. Stosownie do treci art. 23 ust. 1 pkt. 2 ustawy o ochronie danych osobowych, przetwarzanie danych jest dopuszczalne, gdy jest to niezbdne do zrealizowania uprawnienia lub spełnienia obowizku wynikajcego z przepisu prawa. Na administratorze danych spoczywa równie obowizek zastosowania rodków technicznych i organizacyjnych zapewniajcych ochron przetwarzanych danych osobowych odpowiedni do zagroe oraz kategorii danych objtych ochron, a w szczególnoci obowizek zabezpieczenia tych danych przed ich udostpnieniem osobom nieupowanionym, zabraniem przez osob nieuprawnion, przetwarzaniem z naruszeniem ustawy oraz zmian, utrat, uszkodzeniem lub zniszczeniem (art. 36 ust. 1 ustawy). Prawa i obowizki pracowników i pracodawców zostały okrelone w ustawie z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. 1998 r. Nr 21, poz. 94 ze zm.). Jednym z obowizków pracodawcy jest prowadzenie dokumentacji w sprawach zwizanych ze stosunkiem pracy oraz akt osobowych pracowników (art. 94 pkt 9a Kodeksu pracy). Szczegółowy sposób prowadzenia ww. dokumentacji reguluje rozporzdzenie Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach zwizanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. Nr 62, poz. 286 ze zm.). Pracodawca ma m. in. obowizek gromadzenia w aktach osobowych pracownika dokumentów dotyczcych przebiegu zatrudnienia pracownika ( 6 ust. 1 pkt 2 ww. rozporzdzenia). Ponadto, w myl art. 104 1 Kodeksu pracy, organizacj i porzdek pracy oraz zwizane z tym prawa i obowizki pracodawcy i pracowników ustala regulamin pracy. Stosownie natomiast do 58 pkt 4 Regulaminu Organizacyjnego ZUS, do kompetencji dyrektora oddziału naley w szczególnoci ustalanie kompetencji zastpców dyrektora, kierowników biur terenowych i zakresów działania osób kierujcych komórkami organizacyjnymi oddziału oraz udzielanie dalszych pełnomocnictw w ramach udzielonego pełnomocnictwa. Do zada 3
dyrektorów oddziałów ZUS naley równie współpraca z komórkami organizacyjnymi Centrali ( 58 pkt 14 a Regulaminu Organizacyjnego ZUS). Ponadto, zgodnie z 17 pkt 12 b Regulaminu Organizacyjnego Oddziału ZUS w Białymstoku, do kompetencji kierowników komórek organizacyjnych Oddziału naley przedkładanie dyrektorowi Oddziału lub zastpcy dyrektora wniosków w sprawach dotyczcych spraw kadrowych kierowanej komórki. Z zebranego w przedmiotowej sprawie materiału dowodowego jednoznacznie wynika, i wszystkie osoby, które miały dostp do akt osobowych Skarcej były osobami do tego upowanionymi. Jak bowiem wskazał ZUS, wgld w akta osobowe Skarcej miał dyrektor Oddziału ZUS w Białymstoku, który jako osoba odpowiedzialna za zarzdzanie kadrami był uprawniony do wgldu w akta osobowe podległych mu pracowników, w tym w akta osobowe Skarcej. Jak wynika z dalszych wyjanie, w zwizku z toczcym si przed sdem postpowaniem pomidzy Skarc a ZUS, do akt osobowych Skarcej miał równie dostp radca prawny ZUS. Majc jednak na uwadze, e stosownie do art. 86 ustawy z dnia 17 listopada 1964 r. Kodeks postpowania cywilnego (Dz. U. Nr 43, poz. 296 ze zm.), która reguluje postpowanie w sprawach z zakresu prawa pracy, strony i ich organy lub przedstawiciele ustawowi mog działa przez pełnomocników, oczywistym jest, i radca prawny, jako pełnomocnik ZUS, mógł mie wgld w akta osobowe Skarcej. Osob uprawnion do zapoznania si z danymi osobowymi Pani AB był równie inspektor Pastwowej Inspekcji Pracy, w myl bowiem art. 19 b pkt 5 ustawy z dnia 6 marca 1981 r. o Pastwowej Inspekcji Pracy (Dz. U. z 2001 r. Nr 124 poz. 1362), inspektor pracy ma prawo dania od pracodawcy przedłoenia akt osobowych oraz dokumentów zwizanych z zatrudnianiem pracowników. Za w pełni uzasadnione naley take uzna działanie dyrektora Oddziału ZUS w Białymstoku polegajce na udostpnieniu akt osobowych Skarcej Departamentowi Spraw Pracowniczych, w zwizku z rozpatrywaniem przez ten Departament skarg Pani AB. Zgodne bowiem z 58 pkt 14 a Regulaminu Organizacyjnego ZUS, dyrektor jest obowizany do współpracy z komórkami organizacyjnymi Centrali. Odnoszc si natomiast do zarzutu, jakoby Pani BC i Pani DE sporzdzajc opini o pracy Skarcej korzystały z danych zawartych w aktach osobowych Skarcej, naley wskaza, i brak jest podstaw do uznania go za zasadny. Zarówno bowiem Pani BC, jak i Pani DE złoyły owiadczenia, i opracowały ww. opini wyłcznie w oparciu o własne spostrzeenia i analiz pracy wykonywanej przez Skarc. Powysze potwierdzaj równie wyjanienia ZUS złoone w niniejszej sprawie. Na marginesie doda naley, e jak wynika z zebranego w sprawie materiału dowodowego, Pani BC i Pani DE, jako kierownicy komórek organizacyjnych ZUS, były zobowizane, stosownie do treci 17 pkt 12 b Regulaminu Organizacyjnego Oddziału ZUS w Białymstoku, do przedkładania dyrektorowi Oddziału wniosków w sprawach dotyczcych spraw kadrowych podległych im pracowników. Zatem w zakresie, w jakim przedmiotowe sprawy 4
wymagaj wgldu w akta osobowe pracowników, kierownicy komórek organizacyjnych ZUS s uprawnieni do wgldu w te akta. W konsekwencji, w przedmiotowej sprawie brak jest jakiejkolwiek podstawy do stwierdzenia naruszenia przez ZUS przepisu art. 36 ust. 1 ustawy, bowiem z zebranego w niniejszej sprawie materiału dowodowego niezbicie wynika, e wszystkie osoby, które miały dostp do akt osobowych Skarcej, a wic równie zawartych tam danych, były do tego upowanione na podstawie obowizujcych przepisów prawa, a zatem spełniona została przesłanka przetwarzania danych okrelona w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Wskaza równie trzeba, i ZUS, jako pracodawca, jest zobowizany przepisami prawa do gromadzenia w aktach osobowych pracownika dokumentów zwizanych z przebiegiem jego zatrudnienia. Nie jest zatem wymagana zgoda pracownika na przetwarzanie danych osobowych zawartych w ww. dokumentach, bowiem przesłank przetwarzania ww. danych jest art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Generalny Inspektor nie jest natomiast organem uprawnionym do badania i oceny zasadnoci gromadzenia okrelonych dokumentów w aktach osobowych Skarcej oraz weryfikowania ich treci, albowiem powysze nie mieci si w zakresie kompetencji organu ochrony danych osobowych wyznaczonych przepisami art. 12 ustawy o ochronie danych osobowych. Kwestia rodzaju dokumentów składajcych si na akta osobowe pracownika oraz ich zawartoci powinna by rozpatrywana wyłcznie na gruncie prawa pracy przez właciwe do rozstrzygania tego typu spraw sdy powszechne, stosownie do art. 1 Kodeksu postpowania cywilnego. W odniesieniu natomiast do wniosku Skarcej dotyczcego przeprowadzenia czynnoci kontrolnych w siedzibie ZUS, podkrelenia wymaga, i wprawdzie jednym z zada Generalnego Inspektora jest przeprowadzanie kontroli odnonie zgodnoci przetwarzania danych osobowych z przepisami ustawy, jednake czynnoci te mog zosta podjte z urzdu, po otrzymaniu informacji o niezgodnym z prawem działaniu podmiotów przetwarzajcych dane osobowe i dokonaniu wstpnej oceny zasadnoci stawianych im zarzutów. Generalny Inspektor nie podejmuje jednak tego rodzaju działa na wniosek osoby składajcej skarg do Biura GIODO. Dodatkowo, majc na uwadze, i postpowanie wyjaniajce przeprowadzone w przedmiotowej sprawie nie wykazało naruszenia przez ZUS przepisów ustawy o ochronie danych osobowych, przeprowadzenie czynnoci kontrolnych w siedzibie ww. podmiotu naley uzna za nieuzasadnione. Odnoszc si za do dania Skarcej dotyczcego skierowania zawiadomienia o popełnieniu przestpstwa przez ZUS, wskaza przede wszystkim trzeba, e przedmiotem postpowania przeprowadzonego przez Generalnego Inspektora w niniejszej sprawie było naruszenie przez ww. podmiot przepisów ustawy o ochronie danych osobowych. Stosownie 5
do przepisu art. 18 ust. 1 tej ustawy, w razie stwierdzenia naruszenia przepisów o ochronie danych osobowych, Generalny Inspektor z urzdu lub na wniosek osoby zainteresowanej nakazuje administratorowi danych, w drodze decyzji administracyjnej, przywrócenie stanu zgodnego z prawem. W myl natomiast art. 19 ustawy, w razie stwierdzenia, e działanie lub zaniechanie kierownika jednostki organizacyjnej, jej pracownika lub innej osoby fizycznej bdcej administratorem danych wyczerpuje znamiona przestpstwa okrelonego w ustawie, Generalny Inspektor kieruje do organu powołanego do cigania przestpstw zawiadomienie o popełnieniu przestpstwa, dołczajc dowody dokumentujce podejrzenie. W wietle powołanych przepisów ustawy, naruszenie przez administratora danych przepisów o ochronie danych osobowych moe rodzi odpowiedzialno administracyjn administratora danych, prowadzc do przywrócenia przez niego stanu zgodnego z prawem w procesie przetwarzania danych osobowych, oraz odpowiedzialno karn. Jednake podkreli naley, e z przepisu art. 18 ustawy wynika, i w drodze decyzji administracyjnej Generalny Inspektor moe rozstrzygn jedynie o odpowiedzialnoci administracyjnej administratora danych. Skierowanie przez Generalnego Inspektora zawiadomienia o popełnieniu przestpstwa stanowi natomiast realizacj jego ustawowych kompetencji, która odbywa si nie w drodze decyzji administracyjnej, a poprzez wystpienie do organu właciwego do wszczcia postpowania karnego w danej sprawie. Podkrelenia równie wymaga, i przepis art. 19 ustawy nie przewiduje roszczenia osoby, której dane dotycz o wydanie przez Generalnego Inspektora zawiadomienia o popełnieniu przestpstwa. Zasadno powyszego stanowiska Generalnego Inspektora znajduje potwierdzenie w orzecznictwie Naczelnego Sdu Administracyjnego. W szczególnoci, w wyroku z dnia 19 listopada 2001 r. (sygn. akt II S.A. 2702/00), NSA stwierdził, i osoba dochodzca ochrony swych praw w trybie ustawy o ochronie danych osobowych nie jest podmiotem postpowania obliczonego na wydanie decyzji o zawiadomieniu stosownego organu o przestpstwie w zakresie przetwarzania danych osobowych i nie moe si tego domaga od GIODO w administracyjnoprawnych formach tego postpowania. Przepis art. 19 nie daje bowiem stronie roszczenia w tym wzgldzie. Niezalenie od powyszego wskaza trzeba, e przepisy karne ustawy o ochronie danych osobowych stanowi, i kto administrujc zbiorem danych lub bdc obowizany do ochrony danych osobowych udostpnia je lub umoliwia dostp do nich osobom nieupowanionym, podlega grzywnie, karze ograniczenia wolnoci albo pozbawienia wolnoci do lat 2 (art. 51 ust. 1 ustawy). W wietle powołanego przepisu, brak jest podstaw do skierowania do prokuratury, o co wnioskowała Skarca, zawiadomienia o popełnieniu przez ZUS przestpstwa okrelonego w art. 51 ust. 1 ustawy o ochronie danych osobowych, poniewa jego działanie jako majce podstaw w przepisach prawa - nie wypełniło znamion czynu okrelonego w tym przepisie. 6
W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnł, jak w sentencji. Decyzja niniejsza jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych stronie niezadowolonej z niniejszej decyzji przysługuje, w terminie 14 dni od dnia jej dorczenia, prawo złoenia do Generalnego Inspektora Ochrony Danych Osobowych wniosku o ponowne rozpatrzenie sprawy (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa). 7