>Decyzje Giodo>2005 >

Decyzja Generalnego Inspektora Ochrony Danych Osobowych, z dnia 23 listopada 2005 r., nr GI-DEC-DS-390/05, w sprawie wniosku o usunięcie danych osobowych Skarżącej ze zbioru przedsiębiorcy (podmiotu prowadzącego działalność gospodarczą) oraz usunięcie danych, które podmiot prowadzący działalność gospodarczą przekazał Zakładowi Ubezpieczeń Społecznych ze zbioru prowadzonego przez Zakład Ubezpieczeń Społecznych.

Warszawa, dnia 23 listopada 2005 r.

DECYZJA

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), art. 22, art. 12 pkt 2, art. 18 ust. 1 a contrario w zw. z art. 23 ust. 1 pkt 2 i 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), art. 22¹ i art. 94 pkt 9a ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 1998 r. Nr 21, poz. 94 z późn. zm.), § 6 rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. Nr 62, poz. 286 z późn. zm.), art. 4 pkt 2a, art. 6 ust. 1 pkt 1, art. 33 ust. 1 pkt 1, art. 36 ust. 1, ust. 2, ust. 10 i art. 40 ust. 2 pkt 1 ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (Dz. U. Nr 137, poz. 887 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie wniosku Pani X, zam. w (...), o usunięcie dotyczących jej danych osobowych ze zbioru prowadzonego przez Pana A – prowadzącego działalność gospodarczą pod nazwą „Zakład Odzieżowy (...)– jak również o usunięcie ze zbioru prowadzonego przez Zakład Ubezpieczeń Społecznych, z siedzibą w Warszawie przy ul. Czerniakowskiej 16, danych osobowych Pani X  przekazanych ww. podmiotowi przez Pana A - prowadzącego działalność gospodarczą pod nazwą „Zakład Odzieżowy (...),

odmawiam uwzględnienia wniosku.

Uzasadnienie

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pani X, zamieszkałej w (...), zwanej dalej również Skarżącą, w sprawie dotyczącej przetwarzania jej danych osobowych przez Pana A  – prowadzącego działalność gospodarczą pod nazwą „Zakład Odzieżowy (...), z siedzibą w (...), zwanego dalej także Zakład Odzieżowy, oraz Zakład Ubezpieczeń Społecznych, z siedzibą w Warszawie przy ul. Czerniakowskiej 16, zwany dalej także ZUS.
Jak wynikało z treści powyższej skargi oraz dołączonych do niej załączników, w dniu 8 marca 2005 r. Pani X  podjęła pracę w „Zakładzie Odzieżowym (...)”. Świadczenie pracy trwało jeden dzień i odbyło się z naruszeniem przepisów obowiązującego prawa – w szczególności ustawy z 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 1998 r. Nr 21, poz. 94 z późn. zm.) – co potwierdziła kontrola Państwowej Inspekcji Pacy (kopia pisma Państwowej Inspekcji Pracy, Okręgowy Inspektorat Pracy w (...), Oddział w (...) z dnia 25 marca 2005 r. skierowanego do Pani X w aktach sprawy). Pani X  poinformowała ponadto: „(...) po moim zgłoszeniu do organów właściwych wykonywania pracy z naruszeniem prawa pracy (praca na ‘czarno’) w/w {Pan A} podjął jednostronne czynności zmierzające do ‘zalegalizowania’ mojego {Skarżącej} zatrudnienia (...)”. Skarżąca zwróciła także uwagę, iż Pan A (Zakład Odzieżowy) dokonał jej zgłoszenia do ubezpieczenia społecznego, przesyłając wypełniony formularz o symbolu ZUS ZUA do ZUS (Oddział w (...), mieszczący się przy ul. (...)). Pani X podkreśliła przy tym, iż nie jest jej znane źródło, z którego Pan A  pozyskał jej dane osobowe (w szczególności numer ewidencyjny PESEL). W ocenie Skarżącej zarówno Pan A, jak i ZUS przetwarzają dotyczące jej dane osobowe bez podstawy prawnej. Przesądza o tym okoliczność, iż – zdaniem Skarżącej – nie wiązał jej z Panem A  stosunek pracy. W konsekwencji Pani X  wniosła o nakazanie Panu A  – prowadzącemu działalność gospodarczą pod nazwą „Zakład Odzieżowy (...)” usunięcia dotyczących jej danych osobowych z prowadzonego przez niego zbioru, jak również o nakazanie usunięcia ze zbioru prowadzonego przez ZUS danych osobowych Skarżącej przekazanych temu podmiotowi przez Pana A (Zakład Odzieżowy).
W celu ustalenia okoliczności przedmiotowej sprawy Generalny Inspektor Ochrony Danych Osobowych wszczął postępowanie wyjaśniające. Na podstawie zebranego w sprawie materiału dowodowego dokonano następujących ustaleń:
1.    W dniu 8 marca 2005 r, Pani X  podjęła pracę w „Zakładzie Odzieżowym (...)”. Praca świadczona była przez okres 1 dnia.
2.    Wskutek kontroli przeprowadzonej przez Państwową Inspekcję Pracy (Okręgowy Inspektorat Pracy w (...), Oddział w (...)) w „Zakładzie Odzieżowym (...)”, do Pana A  (Zakład Odzieżowy) skierowane zostało wystąpienie z dnia 31 marca 2005 r.; Nr 08035/K023/Ws02/2005 (kopia wystąpienia w aktach sprawy), w którym polecono Panu A  (Zakład Odzieżowy) w szczególności potwierdzenie w formie pisemnej warunków i rodzaju umowy o pracę z Panią X  oraz naliczenie i wypłacenie wynagrodzenia za okres świadczenia przez Panią X  pracy.
3.    Jak wynika z treści wyjaśnień złożonych w przedmiotowej sprawie przez ZUS (pismo ZUS z dnia 3 października 2005 r.; znak: NO-z/070/23-5/2005 w aktach sprawy), na podstawie informacji uzyskanych od Państwowej Inspekcji Pracy, Oddział ZUS w Biłgoraju „wezwał pracodawcę {Zakład Odzieżowy} do złożenia dokumentów rozliczeniowych i zgłoszeniowych dotyczących Pani X. W kwietniu 2005 r. płatnik dokonał zgłoszenia wymienionej osoby do ubezpieczeń społecznych i ubezpieczenia zdrowotnego jako pracownika, za okres 8 marca 2005 r. Na dokumentach ubezpieczonego podane były dane wymienionej, m. in. PESEL. Postępowanie wyjaśniające przeprowadzone przez Oddział ZUS w (....) u pracodawcy wykazało, że dane te Pan A uzyskał bezpośrednio od Pani X  w dniu 8 marca 2005 r. (...)”. Treść korespondencji pomiędzy ZUS a Skarżącą (kopia pisma ZUS z dnia 12 maja 2005 r. w aktach sprawy) potwierdza, że dokonane przez Pana A (Zakład Odzieżowy) zgłoszenie Pani X do ubezpieczenia społecznego dokonane zostało na formularzu o symbolu ZUS ZUA.
4.    Także z wyjaśnień złożonych w przedmiotowej sprawie przez Pana A (pismo z dnia 26 sierpnia 2005 r. w aktach sprawy) wynika, że pozyskał on dane osobowe Pani X  bezpośrednio od Skarżącej. Aktualnie przedmiotowe dane przetwarzane są przez Pana A  (Zakład Odzieżowy) w aktach osobowych Skarżącej.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje:

Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwana dalej również ustawą, określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy). Stosownie do brzmienia art. 7 pkt 2 ustawy, pod pojęciem przetwarzania danych rozumieć należy jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Każda ze wskazanych w art. 7 pkt 2 ustawy form przetwarzania danych osobowych powinna znaleźć oparcie w jednej z przesłanek warunkujących legalność procesu przetwarzania danych osobowych enumeratywnie wymienionych w art. 23 ust. 1 ustawy. Przetwarzanie danych jest zatem dopuszczalne m. in., gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2 ustawy) oraz gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (art. 23 ust. 1 pkt 3 ustawy).
Wobec okoliczności, iż rozpatrywana sprawa dotyczy przetwarzania danych osobowych m. in. w ramach stosunku pracy, podkreślenia wymaga konieczność uwzględnienia regulujących tę materię przepisów prawa pracy.
Zgodnie z art. 22¹ § 1 Kodeksu pracy, pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących: imię (imiona) i nazwisko (pkt 1), imiona rodziców (pkt 2), datę urodzenia (pkt 3), miejsce zamieszkania (adres do korespondencji) (pkt 4), wykształcenie (pkt 5), przebieg dotychczasowego zatrudnienia (pkt 6). Art. 22¹ § 2 Kodeksu pracy upoważnia ponadto pracodawcę do żądania od pracownika podania, niezależnie od danych osobowych o których mowa w art. 22¹ § 1, także jego numeru PESEL (pkt 2). W zakresie nieuregulowanym w art. 22¹ § 1-4 Kodeksu pracy, do danych osobowych, o których mowa w tych przepisach stosuje się przepisy ustawy o ochronie danych osobowych (art. 22¹ § 5 Kodeksu pracy).
Art. 94 pkt 9a Kodeksu pracy obliguje pracodawcę do prowadzenia dokumentacji w sprawach związanych ze stosunkiem pracy oraz akt osobowych pracowników. Powyższy obowiązek został skonkretyzowany w przepisach wydanego na podstawie upoważnienia wynikającego z art. 298¹ Kodeksu pracy - rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 28 marca 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. Nr 62, poz. 286 z późn. zm.). W myśl § 6 wskazanego rozporządzenia pracodawca zakłada i prowadzi oddzielnie dla każdego pracownika akta osobowe. Powołane przepisy nie tylko uprawniają, lecz wręcz zobowiązują pracodawcę do przetwarzania danych osobowych pracownika utrwalonych w określonych dokumentach. Podkreślenia wymaga zarazem, że dane osobowe pracownika, zawarte w omawianej dokumentacji przetwarzane są także po ustaniu zatrudnienia. Powyższe wynika zarówno z przepisów ww. rozporządzenia - które w § 6 ust. 2 pkt 3 stanowi wprost że akta osobowe w części C składają się z dokumentów związanych z ustaniem zatrudnienia (podkreślenie Generalnego Inspektora), jak i przepisów ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2002 r. Nr 171, poz. 1396 z późn. zm.). Zgodnie bowiem z art. 51u ust. 1 ustawy o narodowym zasobie archiwalnym i archiwach, w przypadku postawienia pracodawcy w stan likwidacji lub ogłoszenia jego upadłości pracodawca wskazuje podmiot prowadzący działalność w dziedzinie przechowywania dokumentacji, któremu zostanie ona przekazana do dalszego przechowywania (podkreślenie Generalnego Inspektora), zapewniając na ten cel środki finansowe na czas, jaki pozostał do końca 50-letniego okresu przechowywania dokumentacji liczonego: od dnia rozwiązania lub wygaśnięcia stosunku pracy – dla dokumentacji osobowej (pkt 1), od dnia wytworzenia – dla dokumentacji płacowej (pkt 2).
Jak wynika z materiałów zgromadzonych w niniejszej sprawie, pozyskanie przez Pana A  (Zakład Odzieżowy) danych osobowych Pani X pozostawało w ścisłym związku z nawiązaniem pomiędzy tymi podmiotami stosunku pracy. Zarówno fakt istnienia pomiędzy Zakładem Odzieżowym a Panią X stosunku pracy, jak i sposób jego nawiązania (w drodze umowy) zostały potwierdzone przez Państwową Inspekcję Pracy. Pismem z dnia 31 marca 2005 r. organ ten wystąpił bowiem do Zakładu Odzieżowego jedynie o „Potwierdzenie w formie pisemnej warunków i rodzaju umowy o pracę {podkreślenie Generalnego Inspektora} z X (...)” a także o „(...) Naliczenie i wypłacenie wynagrodzenia za okres świadczenia pracy {podkreślenie Generalnego Inspektora} przez X (...)”. Pozyskanie i dalsze przetwarzanie przez Pana A (Zakład Odzieżowy) danych osobowych Skarżącej w okresie świadczenia przez Skarżącą pracy na rzecz ww. znajdowało zatem oparcie w powołanym wcześniej art. 23 ust. 1 pkt 3 ustawy. Jednocześnie, wobec istnienia wyraźnej prawnej podstawy (zawartej w art. 22¹ i 94 pkt 9a Kodeksu pracy a także w przepisach rozporządzenia Ministra Pracy i Polityki Socjalnej w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika) do przetwarzania przez pracodawcę danych osobowych pracownika/byłego pracownika, proces przetwarzania przez Pana A (Zakład Odzieżowy) danych osobowych Pani X znajduje uzasadnienie także w art. 23 ust.1 pkt 2 ustawy. Z uwagi na sformułowane przez Skarżącą żądanie usunięcia jej danych osobowych ze zbioru prowadzonego przez Pana A (Zakład Odzieżowy) zaakcentowania wymaga, iż powołane wcześniej przepisy dotyczące obligatoryjnego prowadzenia przez pracodawców dokumentacji związanej ze stosunkiem pracy i akt osobowych pracownika nie tylko dają Panu A (Zakład Odzieżowy) prawo, lecz zobowiązują go do przetwarzania danych osobowych obecnych oraz byłych pracowników – w tym Pani X.
Nadmienić należy, że w ramach złożonych w przedmiotowej sprawie wyjaśnień Pan A (Zakład Odzieżowy) poinformował, że dane osobowe Pani X, zostały mu przekazane przez samą Skarżącą, w formie ustnej. Mając na uwadze istnienie prawnych podstaw do pozyskania danych osobowych pracownika/kandydata do pracy, brak szczególnych wymogów co do formy pozyskania tych danych (art. 22¹ § 3 Kodeksu pracy przewiduje jedynie, że udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której one dotyczą, nie stawia jednak w tym względzie dalszych wymogów – np. wymogu pisemności), jak również bezsporną okoliczność, iż Pani X świadczyła pracę w >Zakładzie Odzieżowym<, Generalny Inspektor nie znajduje podstaw do zakwestionowania prawdziwości wyjaśnień Pana a (Zakład Odzieżowy) w omawianym zakresie.
Odnosząc się do kwestii udostępnienia przez Pana A (Zakład Odzieżowy) danych osobowych Pani X na rzecz ZUS podkreślić należy, iż nastąpiło ono w wykonaniu obowiązków określonych przepisami ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (Dz. U. Nr 137, poz. 887 z późn. zm.). Stosownie bowiem do brzmienia art. 6 ust. 1 pkt 1 powołanego aktu prawnego, obowiązkowo ubezpieczeniom emerytalnemu i rentowemu podlegają, z zastrzeżeniem art. 8 i 9, osoby fizyczne, które na obszarze Rzeczypospolitej Polskiej są pracownikami (z wyłączeniem prokuratorów). Każda osoba objęta obowiązkowo ubezpieczeniami emerytalnymi i rentowymi podlega zgłoszeniu do ubezpieczeń społecznych (art. 36 ust. 1 ustawy o systemie ubezpieczeń społecznych). Obowiązek zgłoszenia do ubezpieczeń społecznych osób określonych w art. 6 ust. 1 pkt 1 – 4 należy do płatnika składek (art. 36 ust. 2 ustawy o systemie ubezpieczeń społecznych). Płatnikiem składek – w stosunku do pracowników - jest natomiast pracodawca (art. 4 pkt 2a ustawy o systemie ubezpieczeń społecznych). Zgłoszenie do ubezpieczeń społecznych obejmuje szereg danych osobowych osoby zgłaszanej, w szczególności dane o których mowa w art. 35 ust. 1 pkt 1 (a wśród nich, w przypadku ubezpieczonych - numer PESEL i NIP), nazwisko, imię pierwsze i drugie, datę urodzenia, nazwisko rodowe, obywatelstwo i płeć, tytuł ubezpieczenia, adres zameldowania na stałe miejsce pobytu (art. 36 ust. 10 ustawy o systemie ubezpieczeń społecznych). Omawiane zgłoszenie następuje w ściśle określonej formie – tj. na formularzu o symbolu ZUS ZUA, którego wzór określony został w załączniku nr 1 do rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 4 grudnia 1998 r. w sprawie określenia wzorów zgłoszeń do ubezpieczeń społecznych i ubezpieczenia zdrowotnego, imiennych raportów miesięcznych i imiennych raportów miesięcznych korygujących, zgłoszeń płatnika, deklaracji rozliczeniowych i deklaracji rozliczeniowych korygujących oraz innych dokumentów (Dz. U. z Nr 149, poz. 982 z późn. zm.). Podstawę dla określenia w powyższy sposób wzorca zgłoszenia do ubezpieczenia społecznego stanowił art. 49 ust. 2 pkt 1 ustawy o systemie ubezpieczeń społecznych, w myśl którego minister właściwy do spraw zabezpieczenia społecznego, w drodze rozporządzenia, określa m. in. wzory zgłoszeń do ubezpieczeń społecznych.
Wobec powyższego, działania Pana A (Zakład Odzieżowy), polegające na przekazaniu danych osobowych Pani X zawartych w formularzu zgłoszeniowym ZUS ZUA do ZUS, znajdowały pełne uzasadnienie w przepisach obowiązującego prawa – tj. w powołanych regulacjach ustawy o systemie ubezpieczeń społecznych, a tym samym w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych.
Z obowiązkiem pracodawcy przekazania do ZUS - w ramach zgłoszenia do ubezpieczenia społecznego - określonych danych osobowych pracownika, związane jest prawo ZUS do pozyskania tychże danych. Powołane przepisy ustawy o systemie ubezpieczeń społecznych w równym stopniu kształtują zatem obowiązki pracodawcy jak i uprawnienia ZUS w podanym zakresie. Niewątpliwie więc ZUS w sposób w pełni uprawniony – albowiem znajdujący oparcie w przepisach ustawy o systemie ubezpieczeń społecznych (tj. przy spełnieniu przesłanki z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych) pozyskał od >Zakładu Odzieżowego< dane osobowe Pani X. Również proces dalszego przetwarzania przez ten podmiot danych osobowych Skarżącej jest zgodny z prawem. W myśl bowiem art. 33 ust. 1 pkt 1 ustawy o systemie ubezpieczeń społecznych ZUS prowadzi konta ubezpieczonych, z których każde jest oznaczone numerem ewidencyjnym PESEL. Na koncie ubezpieczonego ewidencjonuje się m. in. informacje wymienione w drukach zgłoszenia do ubezpieczeń społecznych (art. 40 ust. 2 pkt 1 ustawy o systemie ubezpieczeń społecznych).
Na marginesie zaznaczyć należy, że wniosek Pani X o usunięcie ze zbioru prowadzonego przez Pana A (Zakład Odzieżowy) dotyczących jej danych osobowych, jak również o usunięcie ze zbioru prowadzonego przez ZUS jej danych osobowych przekazanych ww. podmiotowi przez Pana A Zakład Odzieżowy ) wynika z przeświadczenia Skarżącej, iż nie łączył jej nigdy z Panem A(Zakład Odzieżowy ) stosunek pracy. Z całokształtu zgromadzonego w przedmiotowej sprawie materiału dowodowego wynika jednak, że Pan A ( Zakład Odzieżowy ) wykonywał wobec Pani X obowiązki pracodawcy. W konsekwencji, proces przetwarzania przez Pana A (>Zakład Odzieżowy <) danych osobowych Skarżącej (w tym udostępnienie tych danych na rzecz ZUS) musi podlegać ocenie w świetle przepisów dotyczących przetwarzania danych osobowych w ramach stosunku pracy – te zaś nie tylko uprawniają skarżony podmiot, lecz wręcz obligują go do działań, których legalność zakwestionowała Pani X. Jednocześnie podkreślenia wymaga, że uprawnionym do rozstrzygania kwestii spornych związanych ze świadczeniem pracy jest wyłącznie sąd powszechny, nie zaś organ do spraw ochrony danych osobowych.

W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak na wstępie.



Decyzja jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych i art. 129 § 2 w zw. z art. 127 § 3 Kodeksu postępowania administracyjnego, strona niezadowolona z niniejszej decyzji może zwrócić się do Generalnego Inspektora Ochrony Danych Osobowych (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00 - 193 Warszawa) z wnioskiem o ponowne rozpatrzenie sprawy, w terminie 14 dni od dnia doręczenia niniejszej decyzji.