II SA/Wa 1841/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Izabela Głowacka-Klimas (spr.), Sędzia WSA Andrzej Wieczorek, po rozpoznaniu w trybie uproszczonym w dniu 9 listopada 2021 r. sprawy ze skargi S. B. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] marca 2021 r. nr [...] działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256 ze zm.) w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz. U. z 2019 r. poz. 1781) oraz na podstawie art. 6 ust. 1 lit. c oraz art. 9 ust. 2 lit. b oraz art. 58 ust. 2 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) dalej RODO, po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana S. B. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Wojewódzki Ośrodek Ruchu Drogowego w [...] (dalej WORD), odmówił uwzględnienia wniosku. Do wydania przedmiotowego rozstrzygnięcia doszło w następującym stanie faktycznym i prawnym: Do Urzędu Ochrony Danych Osobowych dnia [...] kwietnia 2020 r. wpłynęła skarga Pana S. B., zwanego dalej Skarżącym, na nieprawidłowości w procesie przetwarzania jego danych osobowych przez WORD polegające na udostępnieniu pismem z [...] listopada 2018 r. jego danych osobowych w zakresie: informacji o jego dodatkowej pracy, udziału w zajęciach na aplikację, częstym przebywaniu na zwolnieniach lekarskich, a także imienia i nazwiska, nr-u PESEL oraz adresu zamieszkania na rzecz Zakładu Ubezpieczeń Społecznych z siedzibą w [...] przy ul. [...] (Oddział w [...]), zwanego dalej ZUS. W treści skargi Pan S. B. wskazał, że informację o dodatkowej pracy przekazał pracodawcy wyłącznie w celu uzyskania zgody na tę pracę, natomiast informację o odbywaniu aplikacji wyłącznie w celu zwolnienia od pracy na czas udziału w zajęciach szkoleniowych. W ocenie Skarżącego WORD nie miał podstaw do udostępnienia jego danych osobowych na rzecz ZUS, ponieważ zebrane były w innym celu. Skarżący zażądał od Prezesa Urzędu Ochrony Danych Osobowych nakazanie zaprzestania nielegalnego przetwarzania jego danych osobowych, nałożenia kar administracyjnych i stwierdzenia naruszenia prawa. W toku prowadzonego postępowania administracyjnego, Prezes Urzędu Ochrony Danych Osobowych uzyskał wyjaśnienia odnośnie okoliczności sprawy i ustalił następujący stan faktyczny: 1. WORD w [...] jest płatnikiem składek na rzecz ZUS Oddział w [...] powstałych z tytułu stosunku pracy nawiązanego z S. B. i z tego tytułu na podstawie art. 6 ust. 1 lit. c) RODO pracodawca uprawniony jest do przetwarzania danych osobowych w zakresie wypełnienia ciążącego na nim obowiązku prawnego. W zakresie tego obowiązku mieści się udostępnienie danych osobowych pracownika (m.in. imię, nazwisko, PESEL, adres zamieszkania) do ZUS na cele zgłoszenia pracownika do ubezpieczenia społecznego (dowód: wyjaśnienia WORD z [...] czerwca 2020 r.). 2. WORD na zasadach określonych w § 1 ust. 1, § 5 ust. 1, § 7, § 8 i § 9 Rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 27 lipca 1999 r. w sprawie szczegółowych zasad i trybu kontroli prawidłowości wykorzystywania zwolnień lekarskich od pracy oraz formalnej kontroli zaświadczeń lekarskich (Dz. U. Nr 65, poz. 743), zwanego dalej Rozporządzeniem, dokonał kontroli wykorzystywania zwolnień lekarskich przez pracownika S. B. (dowód: wyjaśnienia WORD z [...] czerwca 2020 r.). 3. Wobec wątpliwości pracodawcy czy zwolnienie lekarskie było wykorzystywane zgodnie z jego celem, na podstawie § 10 Rozporządzenia, WORD złożył do ZUS O/Chorzów wniosek o przeprowadzenie kontroli prawidłowości wykorzystywania zwolnień lekarskich Skarżącego i wydanie decyzji w sprawie uprawnień do zasiłku, przekazując przy tym oprócz danych identyfikacyjnych informacje istotne z punktu widzenia kontroli ZUS (dowód: wyjaśnienia WORD z [...] czerwca 2020 r., kopia pisma WORD z [...] listopada 2018 r.). 4. WORD poinformował, że kontrola była celowa i uzasadniona, a ZUS decyzją orzekającą o zwrocie nienależnie pobranego zasiłku chorobowego potwierdził wątpliwości wynikłe z kontroli w zakresie nieprawidłowości wykorzystywania zwolnień lekarskich (dowód: wyjaśnienia WORD z [...] czerwca 2020 r.). Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje: Przedmiotowa sprawa dotyczy danych z zakresu tzw. "danych zwykłych", których przetwarzanie regulowane jest w art. 6 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej jako RODO, zgodnie z którym, przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie oraz szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1 RODO w zakresie informacji o częstym przebywaniu na zwolnieniach lekarskich przez Skarżącego. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Niezależnie od zgody osoby, której dane dotyczą, przetwarzanie danych osobowych jest dopuszczalne, gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO). Natomiast przetwarzanie szczególnych kategorii danych osobowych jest co do zasady zakazane (art. 9 ust. 1 RODO), chyba że spełniona jest jedna z przesłanek określonych w art. 9 ust. 2 RODO. Zgodnie z art. 9 ust. 2 lit. b RODO przetwarzanie ww. kategorii danych osobowych (jak informacji o stanie zdrowia) jest zgodne z prawem, gdy jest ono niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą. Podstawę prawną przeprowadzania kontroli prawidłowości wykorzystywania zwolnień lekarskich od pracy stanowi art. 17 ust. 1 ustawy z dnia 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa (Dz.U. z 2020 r., poz. 870 ze zm.), zwanej dalej ustawą, zgodnie z którym ubezpieczony wykonujący w okresie orzeczonej niezdolności do pracy pracę zarobkową lub wykorzystujący zwolnienie od pracy w sposób niezgodny z celem tego zwolnienia traci prawo do zasiłku chorobowego za cały okres tego zwolnienia i art. 68 ust. 1 ww. ustawy, w myśl którego Zakład Ubezpieczeń Społecznych oraz płatnicy składek, o których mowa w art. 61 ust. 1 pkt 1, są uprawnieni do kontrolowania ubezpieczonych co do prawidłowości wykorzystywania zwolnień od pracy zgodnie z ich celem oraz są upoważnieni do formalnej kontroli zaświadczeń lekarskich. Organ wskazał, że szczegółowe zasady i tryb kontroli prawidłowości wykorzystywania zwolnień od pracy zostały określone w Rozporządzeniu. Organ zwrócił również uwagę na art. 61 ust. 1 pkt 1 ustawy, zgodnie z którym prawo do zasiłków określonych w ustawie i ich wysokość ustalają oraz zasiłki te wypłacają płatnicy składek na ubezpieczenie chorobowe, którzy zgłaszają do ubezpieczenia chorobowego powyżej 20 ubezpieczonych, z zastrzeżeniem pkt 2 lit. d. W przedmiotowej sprawie WORD, jako pracodawca na zasadach określonych w § 1 ust. 1, § 5 ust. 1, § 7, § 8 i § 9 Rozporządzenia dokonał kontroli wykorzystywania zwolnień lekarskich przez Skarżącego. Zgodnie z § 10 Rozporządzenia wątpliwości, czy zwolnienie lekarskie od pracy wykorzystywane było niezgodnie z jego celem, rozstrzyga właściwa jednostka organizacyjna Zakładu Ubezpieczeń Społecznych, uzyskując w miarę potrzeby opinię lekarza leczącego i wydaje w razie sporu decyzję, od której przysługują środki odwoławcze określone w odrębnych przepisach. Pismem [...] listopada 2018 r. WORD wystąpił do ZUS o przeprowadzenie kontroli prawidłowości wykorzystywania zwolnień lekarskich Skarżącego i wydanie decyzji w sprawie uprawnień do zasiłku. W ocenie Prezesa Urzędu Ochrony Danych Osobowych udostępnienie przez WORD na rzecz ZUS kwestionowanych przez Skarżącego danych osobowych było niezbędne do realizacji obowiązku prawnego, o którym mowa w art. 61 ust. 1 ustawy, tj. ustalenia prawa do zasiłku. Powyższe działanie WORD jako płatnika zasiłku miało oparcie w art. 6 ust. 1 lit. c RODO odnośnie danych zwykłych oraz art. 9 ust. 2 lit. b RODO w zakresie danych szczególnej kategorii. Ocena dokonywana przez Prezesa Urzędu Ochrony Danych Osobowych w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego dyspozycji art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem, w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. W niniejszej sprawie jednak stanu niezgodności z prawem nie stwierdzono. Skargę na powyższe rozstrzygnięcie do Wojewódzkiego Sądu Administracyjnego w Warszawie wywiódł Skarżący. Powyższej decyzji zarzucił naruszenie: 1. prawa materialnego, tj. art. 6 ust. 1 lit. c RODO przez jego zastosowanie i błędne uznanie, że przekazane dane osobowe były w sposób legalny; 2. prawa materialnego, tj. art. 9 ust. 2 lit. b RODO, przez jego zastosowanie i błędne uznanie, że przekazane dane osobowe były w sposób legalny; 3. prawa materialnego, tj. art. 61 ust. 1 ustawy o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa przez jego zastosowanie i błędne uznanie, że WORD [...] zbierał dane w przypadku kiedy niezbędne to było do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przepis ten jest przepisem kompetencyjnym, dającym uprawnienie płatnikowi i ZUS do ustalania prawa do zasiłków i ich wypłaty. Do legalnego działania tych podmiotów niezbędna jest wraz z normą kompetencyjną, również norma zadaniowa, która wyznacza granicę dopuszczalnego działania tych podmiotów. Wnosił o uchylenie skarżonej decyzji i przekazanie sprawy do ponownego rozpatrzenia i zasądzenie zwrotu kosztów postępowania sądowoadministracyjnego od organu na rzecz Skarżącego. W uzasadnieniu skargi rozwinął poszczególne jej zarzuty. W odpowiedzi na skargę organ wniósł o jej oddalenie podtrzymując dotychczasową argumentację. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2021 r., poz. 137), oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. W myśl art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). Skarga oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie, bowiem zaskarżona decyzja Prezesa UODO z dnia [...] marca 2021 r. nr [...] o odmowie uwzględnienia wniosku S. B. na nieprawidłowości w procesie przetwarzania danych osobowych przez Wojewódzki Ośrodek Ruchu Drogowego w [...] nie narusza prawa. Organ trafnie bowiem uznał, że Dyrektor WORD w [...] - administrator danych osobowych Skarżącego jako jego pracodawca - legitymował się przesłanką legalizującą przetwarzanie danych, wyrażoną w art. 6 ust. 1 lit. c RODO w zakresie danych "zwykłych" i art. 9 ust. 2 lit. b RODO w zakresie danych szczególnej kategorii. Należy zauważyć, iż w świetle przepisu art. 4 pkt 2 RODO, przez "przetwarzanie" rozumie się operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Z niespornych okoliczności fatycznych sprawy wynika, że Skarżący jest pracownikiem WORD w [...] zatrudnionym na stanowisku egzaminatora prawa jazdy. Skarżący złożył do Urzędu Ochrony Danych Osobowych skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez WORD polegające na udostępnieniu pismem z [...] listopada 2018 r. jego danych osobowych w zakresie: informacji o jego dodatkowej pracy, udziału w zajęciach na aplikację, częstym przebywaniu na zwolnieniach lekarskich, a także imienia i nazwiska, nr-u PESEL oraz adresu zamieszkania na rzecz ZUS w celu dokonania kontroli prawidłowości wykorzystania przez Skarżącego zwolnień lekarskich. Nie ulega wątpliwości, że dane Skarżącego, które były pozyskiwane i przetwarzane w niniejszej sprawie należą do dwóch kategorii danych, są to dane "zwykłe", do których przetwarzania znajduje zastosowanie art. 6 ust. 1 RODO i szczególne kategorie danych w tym wypadku informacja o częstym przebywaniu na zwolnieniu lekarskim, do których to danych znajduje zastosowanie art. 9 ust.1 i 2 RODO. Zgodnie art. 6 ust. 1 RODO, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest przesłanka wskazana w tym przepisie. Zgodnie z art. 6 ust.1 lit c RODO, który to przepis stanowił podstawę przetwarzania danych, przetwarzanie jest zgodne z prawem, gdy jest niezbędne do wypełnienia obowiązku ciążącego na administratorze. Jest to przesłanka niezależna od zgody osoby, której dane dotyczą. Natomiast przetwarzanie szczególnych kategorii danych osobowych jest co do zasady zakazane, chyba że spełniona jest jedna z przesłanek określonych w art. 9 ust. 2 RODO. Zgodnie z art. 9 ust 2 lit. b RODO przetwarzanie danych jest dozwolone, jeżeli przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą. Przepisy dotyczące kontroli zwolnień lekarskich zawarte są w ustawie o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa, w jej art. 17 ust. 1 i art. 61 ust. 1 pkt 1, których treść przywołano w części historycznej uzasadnienia oraz Rozporządzeniu Ministra Pracy i Polityki Socjalnej z dnia 27 lipca 1999 r. w sprawie szczegółowych zasad i trybu kontroli prawidłowości wykorzystywania zwolnień lekarskich od pracy oraz formalnej kontroli zaświadczeń lekarskich. W ocenie Sądu, która w tym wypadku jest zbieżna ze stanowiskiem Prezesa UODO, WORD jako pracodawca był uprawniony do przekazania do ZUS danych osobowych Skarżącego, gdyż było to niezbędne do realizacji obowiązku prawnego, o którym mowa w art. 61 ust. 1 ustawy, tj. ustalenia prawa do zasiłku, tak więc istniał przepis prawa, który nakładał na administratora obowiązek prawny. Powyższe działanie WORD jako płatnika zasiłku miało oparcie w art. 6 ust. 1 lit. c RODO odnośnie do danych zwykłych oraz art. 9 ust. 2 lit. b RODO w zakresie danych szczególnej kategorii. Odnosząc się do zarzutów skargi należy wskazać, że Sąd nie dopatrzył się naruszenia przepisów postępowania wskazanych w skardze, gdyż w ocenienie Sądu zgromadzony w sprawie materiał dowodowy jest wystarczający do wydania prawidłowego rozstrzygnięcia w niniejszej sprawie, a przepisy prawa stanowiące podstawę rozstrzygnięcia zostały w sprawie prawidłowo zastosowane. Konkludując stwierdzić należy, że zaskarżona decyzja Prezesa UODO z dnia 17 marca 2021 r. nie narusza prawa, zaś argumenty i wnioski skargi nie zasługują na uwzględnienie. W tym stanie rzeczy, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 p.p.s.a. orzekł, jak w sentencji wyroku.