DOLiS/DEC-247/08 - Udostępnianie przez pracodawcę danych osobowych na rzecz zakładu ubezpieczeń społecznych.

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.) oraz art. 12 pkt 2, art. 22 i art. 23 ust. 1 pkt 2, 3 i 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana X, na udostępnienie jego danych osobowych przez Komendanta Komendy Miejskiej Policji na rzecz zakład ubezpieczeń S.A. Punkt Obsługi Klienta.

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pana X, zwanego dalej również Skarżącym, na udostępnienie jego danych osobowych przez Komendanta Komendy Miejskiej zwanego dalej Komendantem, na rzecz zakładu ubezpieczeń S.A Punkt Obsługi Klienta zwanej dalej S.A. Skarżący wskazał, że jego ówczesny pracodawca, Komendant, informując S.A., iż: " (...) w dniach od 22 sierpnia 2006 r. do 8 września 2006 r. Pan X przebywał na leczeniu szpitalnym", udostępnił tej spółce jego dane osobowe tzw. szczególnie chronione bez spełnienia przesłanek ustawowych. Wobec powyższego Skarżący wniósł o wydanie decyzji administracyjnej nakazującej zaprzestanie przetwarzania przedmiotowych danych osobowych Skarżącego przez S.A. oraz usunięcie ich ze zbioru danych osobowych prowadzonego przez ten podmiot. W piśmie z dnia 11 października 2007 r. Skarżący podniósł, że na leczeniu szpitalnym przebywał w okresie od dnia 22 sierpnia do dnia 4 września 2006 r.

Na podstawie materiału dowodowego zebranego w toku postępowania administracyjnego przeprowadzonego w niniejszej sprawie Generalny Inspektor ustalił następujący stan faktyczny:

Mając na uwadze powyższe, Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje:

Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwana dalej również ustawą, określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy). Przez przetwarzanie danych osobowych zgodnie z art. 7 pkt 2 ustawy rozumie się jakiekolwiek operacje wykonywane na tych danych, w tym ich udostępnianie. W myśl art. 7 pkt 4 ustawy administratorem danych osobowych jest organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych. W niniejszej sprawie administratorami danych osobowych Skarżącego są Komendant oraz S.A.

Przetwarzanie danych osobowych tzw. zwykłych jest dopuszczalne - jak stanowi art. 23 ust. 1 pkt 2 ustawy - gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Tym samym ustawa o ochronie danych osobowych odsyła do przepisów regulujących w sposób szczególny działalność określonych podmiotów i instytucji, wskazujących, kto, komu i w jakich przypadkach może udostępnić dane osobowe. Przetwarzanie danych osobowych jest ponadto dopuszczalne, gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (art. 23 ust. 1 pkt 3) oraz gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (art. 23 ust. 1 pkt 5).

Zgodnie z art. 24 ust. 1 ustawy z dnia 22 maja 2003 r. o działalności ubezpieczeniowej (Dz. U. Nr 124, poz. 1151 z późn. zm.) zakład ubezpieczeń może zbierać, odpowiednio w celu oceny ryzyka ubezpieczeniowego lub wykonania umowy ubezpieczenia, zawarte w umowach ubezpieczenia lub oświadczeniach ubezpieczających składanych przed zawarciem umowy ubezpieczenia, dane ubezpieczonych lub uprawnionych z umowy ubezpieczenia. Zbieranie tych danych - stosownie do ust. 2 ww. przepisu - nie powoduje po stronie zakładu ubezpieczeń obowiązku powiadomienia, o którym mowa w art. 25 ust. 1 ustawy o ochronie danych osobowych.

W myśl art. 3 ustawy o działalności ubezpieczeniowej przez działalność ubezpieczeniową rozumie się wykonywanie czynności ubezpieczeniowych związanych z oferowaniem i udzielaniem ochrony na wypadek ryzyka wystąpienia skutków zdarzeń losowych (ust. 1). Czynnościami ubezpieczeniowymi są m.in. zawieranie umów ubezpieczenia, a także wykonywanie tych umów (ust. 3 pkt 1) oraz prowadzenie kontroli przestrzegania przez ubezpieczających lub ubezpieczonych, zastrzeżonych w umowie lub w ogólnych warunkach ubezpieczeń, obowiązków i zasad bezpieczeństwa odnoszących się do przedmiotów objętych ochroną ubezpieczeniową (ust. 4 pkt 4).

W niniejszej sprawie S.A. pozyskało dane osobowe Skarżącego w związku z podpisaniem przez Skarżącego deklaracji przystąpienia do umowy ubezpieczenia zawartej z pracodawcą Skarżącego.

Zgodnie z art. 6a ustawy z dnia 6 kwietnia 1990 r. o Policji (Dz. U. z 2007 r. Nr 43, poz. 277 z późn. zm.) w postępowaniu administracyjnym, w sprawach związanych z wykonywaniem zadań i kompetencji Policji, jeżeli ustawy nie stanowią inaczej, organem właściwym jest komendant powiatowy (miejski) Policji. Z art. 6f tej ustawy wynika, że komendant powiatowy (miejski) Policji jest przełożonym policjantów na terenie swojego działania.

W niniejszej sprawie prawo Komendanta do przetwarzania danych osobowych Skarżącego zawartych w dotyczącej go dokumentacji pracowniczej wynika z przepisów ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz. U. z 1998 r. Nr 21, poz. 94 z późn. zm.) oraz wydanego na podstawie art. 94 pkt 9a tej ustawy rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. Nr 62, poz. 286 z późn. zm.), w których ustawodawca jednoznacznie określił, jakie dane osobowe pracownika i jakie dokumenty, zawierające dane osobowe, pracodawca może przetwarzać zarówno w trakcie trwania stosunku pracy, jak i po jego ustaniu.

Z materiału dowodowego niniejszej sprawy wynika, że przedmiotowa umowa ubezpieczenia została zawarta na podstawie m.in. ogólnych warunków grupowego ubezpieczenia na życie i na podstawie ogólnych warunków dodatkowego grupowego ubezpieczenia na wypadek leczenia szpitalnego. Przepis § 17 ust. 2 pkt 7 ogólnych warunków grupowego ubezpieczenia na życie zobowiązywał KMP jako ubezpieczającego do przekazywania na życzenie S.A. dokumentów niezbędnych do prawidłowej realizacji zawartej między tymi podmiotami umowy ubezpieczenia.

Skarżący podpisując deklarację przystąpienia do ww. umowy, potwierdził, że zapoznał się z warunkami ubezpieczenia.

W myśl art. 384 § 1 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (Dz. U. Nr 16, poz. 93 z późn. zm.), ustalony przez jedną ze stron wzorzec umowy, w szczególności ogólne warunki umów, wzoru umów, regulaminy wiążą drugą stronę, jeżeli zostały jej doręczone przy zawarciu umowy.

Wskazać należy, że instytucja wzorców oparta jest na zasadzie swobody umów. Zarówno posłużenie się przez profesjonalistę przy zawieraniu umowy określonego rodzaju wzorcem, jak i jego aprobata przez drugą stronę (przystąpienie) stanowią ich oświadczenia woli i kwalifikują się jako jeden ze sposobów zawarcia umowy. Zaznaczyć należy, że zasadą jest posługiwanie się przy zawieraniu umów ubezpieczenia ogólnymi warunkami ubezpieczenia, gdyż masowość tych umów czyni niemożliwym negocjowanie przez ubezpieczyciela z każdym klientem szczegółów treści umowy. Z tego względu istotne postanowienia dla wszystkich umów w zakresie danego rodzaju ubezpieczenia określają w sposób jednolity ogólne warunki ubezpieczenia.

W świetle powołanych przepisów prawa oraz powyższych uwag stwierdzić należy, że żądanie S.A. udostępnienia przedmiotowych danych Skarżącego skierowane do Komendanta dotyczyło wykonywania zawartej między tymi podmiotami umowy ubezpieczenia (art. 23 ust. 1 pkt 3 ustawy). Zostało ono wystosowane w ramach prowadzenia przez S.A. kontroli przestrzegania przez Skarżącego jako ubezpieczonego zastrzeżonych w umowie lub w ogólnych warunkach ubezpieczeń, obowiązków i zasad bezpieczeństwa odnoszących się do przedmiotów objętych ochroną ubezpieczeniową, stanowiło zatem czynności ubezpieczeniowe, o których mowa w ustawie o działalności ubezpieczeniowej (art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych). Po uzyskaniu przedmiotowych informacji od Komendanta wobec treści § 10 ust. 1 ogólnych warunków grupowego ubezpieczenia na życie, stanowiącego, że: "Jeżeli osoba przystępująca do ubezpieczenia podpisała deklarację przystąpienia przebywając na zwolnieniu lekarskim, czynność ta nie wywołuje skutków prawnych", S.A. uznało, że podpisanie deklaracji przez Skarżącego przebywającego w dniu 5 września 2006 r. na leczeniu szpitalnym nie wywołało skutków prawnych. Wystąpienie do Komendanta o ww. informacje podjęte więc zostało przez S.A. także w usprawiedliwionym celu tego administratora danych (art. 23 ust. 1 pkt 5 ustawy). W ramach zawartej umowy ubezpieczenia Komendant, zobowiązany ogólnymi warunkami grupowego ubezpieczenia na życie do przekazywania jako ubezpieczający na życzenie S.A. dokumentów niezbędnych do prawidłowej realizacji ww. umowy, udostępnił temu podmiotowi zawarte w piśmie z dnia 27 grudnia 2006 r. dane osobowe Skarżącego. Zaznaczyć przy tym należy, że przepis art. 23 ust. 1 ustawy dotyczy, jak wskazano powyżej, danych osobowych tzw. zwykłych, a z takimi mamy do czynienia w niniejszej sprawie. Uznać należy, że sam fakt przebywania na leczeniu szpitalnym nie przesądza jeszcze o stanie zdrowia, pobyt ten mógł być bowiem związany np. z pozostawaniem na obserwacji.

Z materiału dowodowego niniejszej sprawy wynika, że aktualnie S.A. przetwarza dane osobowe Skarżącego w celach archiwalnych. Wskazać należy, że w myśl § 5 ust. 3 pkt 1 rozporządzenia Ministra Finansów z dnia 24 grudnia 2007 r. w sprawie szczególnych zasad rachunkowości zakładów ubezpieczeń (Dz. U. Nr 248, poz. 1846) w ramach działalności ubezpieczeniowej zakład ubezpieczeń rejestruje na bieżąco w szczególności zawarte umowy ubezpieczenia. Zgodnie z art. 71 ust. 1 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2002 r. Nr 76, poz. 694 z późn. zm.) dokumentację, o której mowa w art. 10 ust. 1, księgi rachunkowe, dowody księgowe (...) należy przechowywać w należyty sposób i chronić przed niedozwolonymi zmianami, nieupoważnionym rozpowszechnianiem, uszkodzeniem lub zniszczeniem. Stosownie do Art. 74 ust. 2 tej ustawy dowody księgowe dotyczące m.in. umów handlowych, roszczeń dochodzonych w postępowaniu cywilnym lub objętych postępowaniem karnym albo podatkowym przechowuje się co najmniej przez okres 5 lat od początku r. następującego po r. obrotowym, w którym operacje, transakcje i postępowanie zostały ostatecznie zakończone, spłacone, rozliczone lub przedawnione (pkt 4), natomiast pozostałe dowody księgowe i dokumenty - przez okres co najmniej 5 lat (pkt 8).

W konsekwencji proces przetwarzania przez S.A. danych osobowych Skarżącego w celach archiwalnych przez okres wskazany w powołanych przepisach jest zgodny z obowiązującymi przepisami prawa. Wobec powyższego żądanie Skarżącego, dotyczące nakazania S.A. zaprzestania przetwarzania przedmiotowych danych osobowych Skarżącego oraz usunięcia ich ze zbioru danych osobowych prowadzonego przez ten podmiot, nie może zostać uwzględnione.

Podkreślenia wymaga, że poza kompetencjami Generalnego Inspektora Ochrony Danych Osobowych pozostaje zagadnienie związane z badaniem prawidłowości wykonywania przez S.A. wobec Skarżącego umowy ubezpieczenia zawartej z KMP, w tym kwestia słuszności stwierdzenia przez ten podmiot nieskuteczności przystąpienia Skarżącego do ww. umowy oraz odmowa wypłaty świadczenia. Dokonywanie oceny umów cywilno-prawnych, w tym umów ubezpieczenia oraz ogólnych warunków ubezpieczenia pod kątem ich legalności, należy bowiem do właściwości sądów powszechnych (wyrok Naczelnego Sądu Administracyjnego z dnia 6 czerwca 2005 r., I OPS 2/2005).

W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Decyzja niniejsza jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych i art. 129 § 2 Kodeksu postępowania administracyjnego stronie niezadowolonej z niniejszej decyzji przysługuje, w terminie 14 dni od dnia jej doręczenia, prawo złożenia do Generalnego Inspektora Ochrony Danych Osobowych wniosku o ponowne rozpatrzenie sprawy (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa).