II SA/Wa 2475/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Danuta Kania, Sędzia WSA Janusz Walawski (spr.), po rozpoznaniu w trybie uproszczonym w dniu 29 września 2020 r. sprawy ze skargi W.A. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę W.A., zwana dalej "skarżącą", skierowała do Urzędu Ochrony Danych Osobowych skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Zakład Ubezpieczeń Społecznych. Skarżąca zarzuciła, że ZUS bezpodstawnie odmówił jej udzielenia w trybie wnioskowym informacji na temat procesu przetwarzania jej danych osobowych. W ocenie skarżącej powyższe uzasadnia podejrzenie, że ZUS dokonał nieuprawnionego udostępnienia jej danych osobowych w zakresie dotyczącym stanu zdrowia, pozyskanych w związku z kontrolą zasadności zwolnienia lekarskiego. Prezes Urzędu Ochrony Danych Osobowych, na podstawie art. 104 k.p.a., art. 7 ust. 1 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 ze zm.) oraz art. art. 5 ust. 1 lit. a), art. 12 ust. 1, art. 15 ust. 1 lit. c), art. 57 ust. 1 lit. a) i f) i art. 58 ust. 2 lit. c) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE.L.2016.119.1 i Dz. U.UE.L.2018.127.2), w dniu [...] września 2019 r. wydał decyzję nr [...], którą: nakazał Zakładowi Ubezpieczeń Społecznych z siedzibą w [...], spełnienie w stosunku do W.A. obowiązku informacyjnego statuowanego w art. 15 ust. 1 lit. c) powyżej określonego rozporządzenia, poprzez udzielenia jej informacji o tym, czy dotyczące jej dane osobowe zostały przez Zakład Ubezpieczeń Społecznych udostępnione, a jeżeli tak, poprzez równoczesne poinformowanie jej o odbiorcach tych danych; w pozostałym zakresie odmówił uwzględnienia wniosku. Prezes ZUS w uzasadnieniu decyzji podał, że w toku postępowania wyjaśniającego ustalono, że ZUS przetwarza danego osobowe skarżącej na podstawie przepisów rozdziału 3 i 4 ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (Dz. U. z 2019 r. poz. 300 ze zm.) i ustawy z dnia 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa (Dz. U. z 2019 r. poz. 645). ZUS przetwarza również dane osobowe skarżącej w ramach realizacji przepisów o systemie ubezpieczeń społecznych w zakresie orzekania przez lekarzy orzeczników ZUS oraz komisji lekarskich ZUS dla potrzeb ustalenia uprawnień do świadczeń z ubezpieczeń społecznych. W niniejszej sprawie skarżąca nie zakwestionowała legalności przetwarzania jej danych osobowych przez ZUS co do zasady, a jedynie legalność ewentualnego udostępniania jej danych osobowych na rzecz innych podmiotów – wyłącznie spekulując przy tym na temat możliwego udostępnienia tych danych. Tymczasem, jak ustalono w niniejszym postępowaniu, dane osobowe skarżącej nie zostały przez ZUS udostępnione żadnym osobom lub podmiotom. W konsekwencji, organ właściwy w sprawie ochrony danych osobowych nie ma żadnych instrumentów władczych oddziaływania na administratora danych. Ocena zasadności zarzutów skarżącej w obszarze określonych jej uprawnień informacyjnych oraz związanych z tym roszczeń pod adresem ZUS, musi być przez organ dokonana w kontekście aktualnie obowiązujących przepisów. Analiza treści wniosków skarżącej pod adresem ZUS w kontekście art. 15 RODO prowadzi do wniosku, że oczekuje ona – i jest to żądanie uzasadnione na gruncie ust. 1 lit. c) tego przepisu – poinformowania, czy określone rodzajowo kategorie danych osobowych skarżącej, podlegały udostępnieniu w rozumieniu przepisów RODO – a zatem ujawnieniu na rzecz podmiotów będących ich odbiorcami, a jeżeli tak, udzielenia informacji o tych odbiorcach. W kontekście poczynionych uwag wskazać należy, że informacja przekazana skarżącej przez ZUS jest myląca i niejasna (wobec sugestii o braku obowiązku informacyjnego po stronie ZUS w określonym zakresie) oraz niepełna (wobec braku informacji o odbiorcach lub kategoriach odbiorców, którym określone dane osobowe skarżącej – wyszczególnione w kolejnych jej wnioskach – zostały ujawnione, bądź o tym, że danych tych nie ujawniono żadnym odbiorcom). W podanym zakresie ZUS powinien zatem dopełnić obowiązku informacyjnego z art. 15 ust. 1 lit. c) RODO, poprzez poinformowanie skarżącej o odbiorcach lub kategorii odbiorców, którym dane osobowe skarżącej opisane w kolejnych jej wnioskach zostały udostępnione. W sytuacji braku takich podmiotów, obowiązek informacyjny ZUS w omawianym zakresie powinien zostać zrealizowany poprzez jednoznaczne poinformowanie o tym, że dane osobowe skarżącej, których dotyczyły jej kolejne wnioski, nie zostały ujawnione żądnemu odbiorcy. Odnosząc się do treści wniosków skarżącej w pozostałym zakresie (wykraczającym poza wniosek o udzielenie informacji na temat odbiorców tych danych), wskazać należy, że na gruncie obowiązujących przepisów prawa skarżąca nie może skutecznie domagać się w trybie wniosku z art. 15 ust. 1 RODO udzielenia jej wnioskowanych informacji. Art. 15 ust. 1 RODO nie nakłada również na administratora obowiązku informowania podmiotu danych o tym, kiedy konkretnie jego dane zostały udostępnione, na jakiej podstawie dokonano tego udostępnienia. Na gruncie przepisów o ochronie danych osobowych skarżąca nie może również skutecznie dochodzić od administratora wydania jej kopii określonych dokumentów o czym przesądza treść art. 15 ust. 3 RODO. Mając na uwadze powyższe wskazać należy, że żądanie skarżącej w obszarze uzyskania informacji na temat przetwarzania jej danych osobowych realizowanego przez ZUS w zakresie wykraczającym poza informacje o odbiorcach danych, nie jest zasadne. W.A. wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję nr [...] Prezesa UODO z dnia [...] września 2019 r. Skarżąca we wniesionej skardze wniosła o: Uchylenie zaskarżonej decyzji i nakazanie wydania nowej zawierającej rozstrzygnięcie zgodne z przedmiotem skargi w zakresie stwierdzenia, czy jej dane osobowe, w tym wrażliwe, były przetwarzane przez ZUS w [...] zgodnie z prawem; Wyznaczenie organowi 2 miesięcy na przeprowadzenie postępowania w przedmiocie skargi wniesionej przez skarżącą i jego zakończenie poprzez wydanie decyzji zgodnie z przedmiotem skargi i prowadzonego postępowania; Nakazanie organowi wykonania obowiązków wynikających z art. 7 k.p.a. w zakresie będącym przedmiotem skargi, a w szczególności: a) dokonania wszelkich wyjaśnień i ustaleniu, czy i w jaki sposób ZUS wykonywał obowiązek zakazu przetwarzania danych wrażliwych określonego w art. 27 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych oraz art. 9 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) dotyczących stanu zdrowia skarżącej w tym osobom/podmiotom nie będącym odbiorcami danych, b) dokonania dokładnych wyjaśnień w zakresie przedmiotu skargi dotyczącego spełnienia przez ZUS w [...] obowiązków wynikających z art. 26 ust. 1 i 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych w przypadku udostępnienia danych osobowych skarżącej w tym danych wrażliwych, a w szczególności dokładne wyjaśnienie, czy ZUS wykonał obowiązki wynikające z powyższego przepisu w zakresie ochrony interesów skarżącej, poprzez ustalenie, czy żądanie udostępnienia danych osobowych skarżącej przez osoby/podmioty. Ewentualnie odbiorców danych wynikało z przepisów prawa, czy zbieranie danych przez osobę/organ, któremu ewentualnie je udostępniono było adekwatne do potrzeb wynikających z przepisu prawa i celów w jakich je przetwarzano (udostępniono) oraz czy ewentualne udostępnienie danych osobowych skarżącej przez ZUS nie naruszyło praw i wolności skarżącej, c) ustalenia, czy dokumentacja medyczna znajdująca się w aktach ZUS w [...] sygn. akt [...] zawierająca dane o stanie zdrowia była udostępniana jakimkolwiek podmiotom, w tym podmiotom nie będącym odbiorcami danych, co nie zostało wyjaśnione w czasie prowadzenia postępowania przez organ. Zasądzenie od organu na rzecz skarżącej kosztów postępowania. Jednocześnie skarżąca zarzuciła organowi naruszenie przepisów postępowania, tj. art. 7, art. 8 § 1, art. 35 § 1 i 3, art. 36 § 1 i 2, art. 77 § 1, art. 80 i art. 107 § 1 pkt 5 i 6 k.p.a. oraz przepisów prawa materialnego tj. art. 5 ust. 1 lit. a), c) i f) i ust 2 w zw. z art. 6 ust. 1 i art. 9 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie i podtrzymał stanowisko przedstawione w uzasadnieniu zaskarżonej decyzji. Skarżąca w piśmie procesowym z dnia 22 listopada 2019 r. odniosła się do argumentację organu zawartego w odpowiedzi nas skargę i podtrzymała stanowisko w niej zawarte. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2019 r., poz. 2167 ze zm.) sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej pod względem zgodności z prawem. Stosownie do art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r. poz. 2325 z późn. zm.) - dalej "p.p.s.a." - sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną. Stosownie do treści art. 145 § 1 pkt 1 p.p.s.a. uwzględnienie przez sąd administracyjny skargi i uchylenie zaskarżonej decyzji bądź postanowienia w całości lub w części następuje wtedy gdy sąd stwierdzi: a) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, b) naruszenie prawa dające podstawę do wznowienia postępowania administracyjnego, c) inne naruszenie przepisów postępowania, jeżeli mogło ono mieć istotny wpływ na wynik sprawy. Dokonawszy w niniejszej sprawie kontroli zaskarżonej decyzji pod kątem tak określonych kryteriów, Wojewódzki Sąd Administracyjny doszedł do wniosku, że skarga nie jest uzasadniona, a zaskarżona decyzja jest prawidłowa. W pierwszej jednak kolejności wskazać należy, że zgodnie z art. 52 § 3 p.p.s.a., jeżeli stronie przysługuje prawo do zwrócenia się do organu, który wydał decyzję z wnioskiem o ponowne rozpatrzenie sprawy, strona może wnieść skargę na tę decyzję bez skorzystania z tego prawa. Z możliwości tej skarżąca w niniejszej sprawie skorzystała, zatem nie ma podstaw do odrzucenia skargi. Na wstępie wyjaśnić należy skarżącej, iż Sąd dokonał kontroli wyłącznie decyzji Prezesa UODO z dnia [...] września 2019 r. rozstrzygającej jej skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych przez ZUS. Wyjaśnienie to jest niezbędne w świetle zarzutów podniesionych w skardze. Zgodnie z art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2 ze zm), przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Natomiast art. 57 ust. 1 lit. a) i f) rozporządzenia stanowi, że bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym. Zgodnie z art. 58 ust. 1 i ust. 2 lit. c) rozporządzenia, każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie prowadzonych postępowań: a) nakazanie administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań; b) prowadzenie postępowań w formie audytów ochrony danych; c) dokonywanie przeglądu udzielonych certyfikacji na mocy art. 42 ust. 7; d) zawiadamianie administratora lub podmiotu przetwarzającego o podejrzeniu naruszenia niniejszego rozporządzenia; e) uzyskiwanie od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań; f) uzyskiwanie dostępu do wszystkich pomieszczeń administratora i podmiotu przetwarzającego, w tym do sprzętu i środków służących do przetwarzania danych, zgodnie z procedurami określonymi w prawie unijnym lub w prawie państwa członkowskiego. Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze: c) nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia; Sąd stwierdza, że stan faktyczny kontrolowanej sprawy został prawidłowo ustalony przez organ. Zgodnie z art. 68 ust. 1 pkt 1 ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (Dz. z 2019 r. poz. 300 ze zm.), do zakresu działania Zakładu należy między innymi: realizacja przepisów o ubezpieczeniach społecznych, a w szczególności: a) stwierdzanie i ustalanie obowiązku ubezpieczeń społecznych b) ustalanie uprawnień do świadczeń z ubezpieczeń społecznych oraz wypłacanie tych świadczeń, chyba że na mocy odrębnych przepisów obowiązki te wykonują płatnicy składek, c) wymierzanie i pobieranie składek na ubezpieczenia społeczne, ubezpieczenie zdrowotne, Fundusz Pracy, Fundusz Solidarnościowy, Fundusz Gwarantowanych Świadczeń Pracowniczych, d) prowadzenie rozliczeń z płatnikami składek z tytułu należnych składek i wypłacanych przez nich świadczeń podlegających finansowaniu z funduszy ubezpieczeń społecznych lub innych źródeł, e) prowadzenie indywidualnych kont ubezpieczonych i kont płatników składek, f) orzekanie przez lekarzy orzeczników Zakładu oraz komisje lekarskie Zakładu dla potrzeb ustalania uprawnień do świadczeń z ubezpieczeń społecznych. Zgodnie z art. 34 ust. 3 powyżej powołanej ustawy, do informacji zawartych na kontach ubezpieczonych i kontach płatników składek oraz danych źródłowych będących podstawą zapisów na tych kontach stosuje się przepisy o ochronie danych osobowych. Natomiast art. 50 ust. 3 ustawy o systemie ubezpieczeń społecznych, dane zgromadzone na koncie ubezpieczonego, o których mowa w art.40, i na koncie płatnika składek, o których mowa wart.45, mogą być udostępniane sądom, prokuratorom, organom podatkowym, Państwowej Inspekcji Pracy, Biuru Nadzoru Wewnętrznego, Policji, Straży Granicznej, komornikom sądowym, organom egzekucyjnym w rozumieniu ustawy z dnia 17czerwca 1966r. O postępowaniu egzekucyjnym w administracji (Dz.U. z2019r. poz.1438, z późn. zm.), ministrowi właściwemu do spraw gospodarki w zakresie koniecznym do rozstrzygania spraw prowadzonych na podstawie art.29, art.32 oraz art.34 ustawy z dnia 6marca 2018r. o Centralnej Ewidencji i Informacji o Działalności Gospodarczej i Punkcie Informacji dla Przedsiębiorcy, ministrowi właściwemu do spraw rodziny, ministrowi właściwemu do spraw zabezpieczenia społecznego, organom realizującym świadczenia rodzinne, świadczenia z funduszu alimentacyjnego oraz świadczenia wychowawcze, ośrodkom pomocy społecznej, a w przypadku przekształcenia ośrodka pomocy społecznej w centrum usług społecznych na podstawie przepisów ustawy z dnia 19lipca 2019r. O realizowaniu usług społecznych przez centrum usług społecznych - centrom usług społecznych, powiatowym centrom pomocy rodzinie, publicznym służbom zatrudnienia, Komisji Nadzoru Finansowego oraz wojewodzie i Szefowi Urzędu do Spraw Cudzoziemców w zakresie prowadzonych postępowań dotyczących legalizacji pobytu cudzoziemców na terytorium Rzeczypospolitej Polskiej, z uwzględnieniem przepisów dotyczących ochrony danych osobowych. W prawidłowo ustalonym przez organ stanie faktycznym sprawy i w świetle powyżej przytoczonych nie ulega wątpliwości, że ZUS przetwarzał dane osobowe skarżącej i czynił to w sposób zgodny prawem. Zgodnie z art. 15 ust. 1 RODO, prawo dostępu przysługujące osobie, której dane dotyczą. Osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji: a) cele przetwarzania; b) kategorie odnośnych danych osobowych; c) informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych; d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; e) informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania; f) informacje o prawie wniesienia skargi do organu nadzorczego; g) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą – wszelkie dostępne informacje o ich źródle; h) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. Natomiast art. 4 ust. 9 RODO stanowi, że "odbiorca" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią. Organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego, nie są jednak uznawane za odbiorców; przetwarzanie tych danych przez te organy publiczne musi być zgodne z przepisami o ochronie danych mającymi zastosowanie stosownie do celów przetwarzania. Jak prawidłowo ocenił organ w świetle powyżej przytoczonych przepisów RODO skarżąca bez wątpienia jest uprawniona do otrzymania żądanych informacji w zakresie określonym tymi przepisami, a w niniejszej sprawie w zakresie przetwarzania jej danych osobowych przez ZUS poprzez ujawnienie podmiotu(ów), którym ewentualnie jej dane zostały przekazane. W świetle powyższego skarga nie mogła zostać uwzględniona gdyż podniesione w niej zarzuty dotyczące naruszenia przepisów prawa procesowego i materialnego są nie zasadne. Postępowanie administracyjne zakończone zaskarżoną decyzją zostało przeprowadzone z poszanowaniem jego zasad, a decyzja została prawidłowo uzasadniona zarówno pod względem faktycznym i prawnym, a w szczególności organ dokonał właściwej interpretacji przepisów prawa materialnego. Mając powyższe na względzie, Sąd na podstawie art. 151 p.p.s.a. orzekł, jak w sentencji wyroku.