Decyzja

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.), art. 6 ust. 1 lit. c, art. 58 ust. 2 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani A. H., zwanej dalej Skarżącą, na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Zakład Ubezpieczeń Społecznych, zwany dalej Zakładem i Pana A. M. prowadzącego działalność gospodarczą pod firmą B., zwany dalej Przedsiębiorcą, polegające na udostępnieniu przez Przedsiębiorcę danych osobowych Skarżącej Zakładowi w zakresie informacji o wysokości wynagrodzenia przysługującego jej z tytułu umowy zlecenia, oraz przetwarzaniu danych osobowych Skarżącej w tym samym zakresie bez podstawy prawnej przez Zakład, Prezes Urzędu Ochrony Danych Osobowych

odmawia uwzględnienia wniosku.

Uzasadnienie

Do Urzędu Ochrony Danych Osobowych wpłynęła skarga Pani A. H. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Zakład i Przedsiębiorcę, polegające na udostępnieniu przez Przedsiębiorcę danych osobowych Skarżącej Zakładowi, w zakresie informacji o wysokości wynagrodzenia przysługującego jej z tytułu umowy zlecenia, oraz przetwarzaniu danych osobowych Skarżącej w tym samym zakresie bez podstawy prawnej przez Zakład.

W treści skargi Skarżąca wskazała, że cyt. „(…) nie wyraża zgody na przekazanie swoich danych osobowych w zakresie wynagrodzenia przysługującego z tytułu umowy zlecenia zawartej z Panem A. M. pracodawcy, ani też nie wyraża zgody na przekazanie pracodawcy takich danych przez Pana A. M., ani też przez organ rentowy w treści decyzji administracyjnej, albowiem byłoby szkodliwe dla Ubezpieczonego (Zgłaszającego) i mogło powodować powstanie po stronie Ubezpieczonego (Zgłaszającego) roszczeń odszkodowawczych.”. W związku z powyższym Skarżąca wniosła o podjęcie przez Prezesa Urzędu Ochrony Danych Osobowych działań zgodnie z kompetencjami, aby zapobiec naruszeniu ochrony danych osobowych oraz o zajęcie przez Prezesa Urzędu Ochrony Danych Osobowych stanowiska i przystąpienia do toczącego się postępowania przed Sądem Okręgowym w K.

W toku prowadzonego postępowania administracyjnego, Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny:

1. Zgodnie z wyjaśnieniami Zakładu z dnia […] lutego 2019 r. Skarżąca zawarła z Przedsiębiorcą umowę zlecenia, zgodnie z którą wykonywała pracę na rzecz M. sp. z o.o., zwanej dalej Spółką. Skarżąca była jednocześnie pracownikiem Spółki na podstawie odrębnej umowy.
2. Zakład przeprowadził u Przedsiębiorcy kontrolę w dniach […] maja 2018 r., […] czerwca 2018 r., […] czerwca 2018 r. i […] czerwca 2018 r. W ramach ww. kontroli Zakład pozyskał dane osobowe Skarżącej m. in. w zakresie informacji o wysokości wynagrodzenia przysługującego jej z tytuły umowy zlecenia celem ustalenia prawidłowej podstawy wymiaru składek. Według Zakładu pozyskanie tych danych było niezbędne do ustalenia wysokości podstawy wymiaru składek na ubezpieczenia społeczne dla właściwego płatnika składek.
3. Zakład Ubezpieczeń Społecznych Oddział w K. wydał […] października 2018 r. decyzję nr […], z treści której wynika, że Zakład uznał Spółkę, za płatnika składek na ubezpieczenia społeczne także w zakresie wynagrodzenia uzyskiwanego z tytułu umowy cywilnoprawnej jaką Skarżąca zawarła z Przedsiębiorcą.
4. Zgodnie z wyjaśnieniami Zakładu z dnia […] lutego 2019 r. Zakład przetwarza dane osobowe w celu wypełnienia obowiązku prawnego ciążącego na administratorze, działając na podstawie przepisów art. 68 ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (Dz. U. z 2017 r. poz. 1778), zwanej dalej u.s.u.s.

W tym stanie faktycznym sprawy, Prezes UODO zważył co następuje.

Wskazać należy, że Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), zwane dalej RODO, określa obowiązki administratora danych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tym Rozporządzeniu. Przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, ponieważ proces przetwarzania danych będzie zgodny z Rozporządzeniem również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO) przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO).

Zakład Ubezpieczeń Społecznych jest państwową jednostką organizacyjną posiadająca osobowość prawną. Zgodnie z art. 87 ust. 1 pkt 3 u.s.u.s. w trakcie przeprowadzania kontroli inspektor kontroli Zakładu ma prawo żądać udzielania informacji przez płatnika składek i ubezpieczonego. Zgodnie z art. 88 ust. 1 u.s.u.s. płatnicy składek są zobowiązani między innymi do udostępnienia wszelkich ksiąg, dokumentów i innych nośników informacji związanych z zakresem kontroli, które są przechowywane u płatnika oraz u osób trzecich w związku z powierzeniem tym osobom niektórych czynności na podstawie odrębnych umów (pkt 1), sporządzenia i wydania kopii dokumentów związanych z zakresem kontroli określonym przez inspektora kontroli Zakładu (pkt 3), udzielenia wyjaśnień kontrolującemu (pkt 4). Ponadto zgodnie z art. 88 ust. 3 u.s.u.s. w sprawach objętych zakresem kontroli płatnik składek ma obowiązek w wyznaczonym terminie, dostarczyć inspektorowi kontroli Zakładu żądane dokumenty.

Odnosząc się do udostępnienia przez Przedsiębiorcę danych osobowych Skarżącej w zakresie informacji o wysokości wynagrodzenia przysługującemu jej z tytułu umowy zlecenia należy wskazać, że zgodnie z art. 68 ust. 1 pkt 6 u.s.u.s. do zakresu działania Zakładu należy między innymi kontrola wykonywania przez płatników składek i przez ubezpieczonych obowiązków w zakresie ubezpieczeń społecznych oraz innych zadań zleconych Zakładowi. Wskazać należy, że Zakład przeprowadzając w dniach: […] maja 2018 r.; […] czerwca 2018 r.; […] czerwca 2018 r. i […] czerwca 2018 r. kontrolę Przedsiębiorcy działał na podstawie art. 68 ust. 1 pkt 6 i art. 87 ust. 1 pkt 3 u.s.u.s., co stanowi wypełnienie przesłanki legalizującej proces przetwarzania danych osobowych, na podstawie art. 6 ust. 1 lit c RODO. Mając na uwadze ww. przepisy, należy stwierdzić, że Zakład pozyskał dane osobowe Skarżącej w zakresie informacji o wysokości wynagrodzenia przysługującego Skarżącej z tytułu umowy zlecenia w celu zrealizowania zadania jakim jest kontrola wykonywanych przez płatników składek i przez ubezpieczonych obowiązków w zakresie ubezpieczeń społecznych. Z kolei Przedsiębiorca miał obowiązek udostępnić dane osobowe Skarżącej Zakładowi w ww. zakresie na podstawie art. 88 ust. 1 pkt 1,3 i 4  oraz art. 88 ust. 3 u.s.u.s., co oznacza, że ww. proces przetwarzania danych osobowych również miał oparcie w art. 6 ust. 1 lit. c RODO.

Odnosząc się natomiast do kwestii trwającego procesu przetwarzania danych Skarżącej przez Zakład, wskazać należy, że zgodnie z art. 68 ust. 1 pkt 1 lit. a u.s.u.s. do zakresu działań Zakładu należy między innymi realizacja przepisów o ubezpieczeniach społecznych, a w szczególności stwierdzanie i ustalanie obowiązku ubezpieczeń społecznych. Dane osobowe w zakresie informacji o wysokości wynagrodzenia przysługującego z tytułu umowy zlecenia potrzebne są do prawidłowej realizacji obowiązku ciążącego na Zakładzie. Powyższe oznacza, że przetwarzanie danych osobowych Skarżącej przez Zakład w zakresie informacji o wysokości wynagrodzenia z tytułu umowy zlecenia ma oparcie w przesłance określonej w art. 6 ust. 1 lit. c RODO.

Jednym z elementów skargi z dnia [...] listopada 2018 r. jest kwestionowanie przez Skarżącą decyzji Zakładu opartej na linii orzecznictwa uważanej przez Skarżącą za nieaktualną. Wskazać należy, że Prezes UODO nie może rozstrzygać kwestii należących do kompetencji innych organów przyznawanych im na podstawie odrębnych przepisów prawa tj. art. 83 ust. 1 pkt 3 u.s.u.s. zgodnie z którym Zakład wydaje decyzje w zakresie indywidualnych spraw dotyczących w szczególności: ustalania wymiaru składek i ich poboru, a także umarzania należności z tytułu składek. W tej kwestii właściwy był sąd rejonowy do którego Skarżąca mogła wnieść odwołanie od ww. decyzji. Prezes Urzędu Ochrony Danych Osobowych nie rozpatruje skarg na decyzje administracyjne Zakładu, a wyłącznie prowadzi postępowania wyjaśniające w zakresie przetwarzania danych osobowych.

Ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. W ocenie Prezesa Urzędu Ochrony Danych Osobowych nie ma podstaw do stwierdzenia, że w niniejszej sprawie takie nieprawidłowości istnieją, ponieważ udostępnienie danych osobowych Skarżącej przez Przedsiębiorcę znalazło oparcie w przesłance określonej w art. 6 ust. 1 lit. c RODO, z kolei przetwarzanie tych danych obecnie przez Zakład znajduje również oparcie w przesłance określonej w art. 6 ust. 1 lit. c RODO, wobec czego przychylenie się do żądań Skarżącej należy uznać za bezzasadne.

W tym stanie faktycznym i prawnym, Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Decyzja jest ostateczna. Na podstawie art. 7 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000) w zw. z art. 13 § 2, art. 53 § 1 oraz art. 54 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2018r. poz. 1302), stronie niezadowolonej z niniejszej decyzji przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o zwolnienie od kosztów sądowych lub prawo pomocy.