Czy ZUS może domagać się od uczelni udostępnienia danych osobowych studenta, jeśli jest to niezbędne do sprawdzenia czy świadczeniobiorca jest uprawniony do otrzymywania renty rodzinnej? Czy jednak udostępnienie danych osobowych studenta przez szkołę wyższą może nastąpić wyłącznie na podstawie zgody wyrażonej przez zainteresowanego? (nieprawomocny wyrok WSA w Warszawie z 17 listopada 2020 r., II SA/Wa 1937/19).
Sprawa zaczęła się od złożonej przez Zakład Ubezpieczeń Społecznych skargi do Prezesa Urzędu Ochrony Danych Osobowych na odmowę udostępnienia przez uczelnię wyższą (politechnikę) danych osobowych osoby dla ustalenia jej statusu jako studenta. Zdaniem ZUS udostępnienie danych osobowych było niezbędne ze względu na ustalenie uprawnień do renty rodzinnej (w skrócie chodziło o to, że beneficjent zrezygnował z renty, co wzbudziło podejrzenia, że być może już wcześniej przerwał studia, co by oznaczało, że przez pewien czas stanowiła ona nienależne świadczenie), jednak politechnika odmówiła udzielenia informacji powołując się na brak zgody zainteresowanego i brak podstawy prawnej do przekazania danych bez tej zgody.
art. 122 ust. 1 ustawy o emeryturach i rentach z FUS
Organy administracji rządowej, samorządowej i pracodawcy są zobowiązane do udzielania organom rentowym pomocy i informacji w sprawach świadczeń przewidzianych w ustawie.
PUODO podzielił pogląd uczelni: organy władzy publicznej działając wyłącznie na podstawie i w granicach prawa (zasada legalizmu), co oznacza, iż podstawą przetwarzania danych osobowych może być wyłącznie niezbędność dla wypełnienia przez administratora obowiązku prawnego lub niezbędność dla wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej. W ramach swych kompetencji ZUS jest uprawniony do ustalania uprawnień do świadczeń społecznych — ale szkoły wyższe nie są zobowiązane do udzielania organowi pomocy i wyjaśnień — co oznacza, że brak jest podstaw prawnych do żądania przekazania ZUS danych osobowych studenta.
art. 6 ust. 1 lit. c) i e) rozporządzenia 679/2016 o ochronie danych osobowych
Zgodność przetwarzania z prawem
Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy — i w takim zakresie, w jakim — spełniony jest co najmniej jeden z poniższych warunków:
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
W skardze na decyzję ZUS zarzucił m.in. błędne przyjęcie, że nie ma prawa żądać od uczelni udostępnienia danych osobowych w sytuacji gdy jest to niezbędne dla weryfikacji uprawnień beneficjenta świadczenia, podstawą przetwarzania danych jest art. 6 ust. 1 lit. c) i e) RODO oraz przepisy ustawy o emeryturach i rentach z FUS regulujące kwestie nabycia prawa do świadczenia.
art. 6 ust. 3 RODO
(…) 3. Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) — musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. (…)
Wojewódzki Sąd Administracyjny nie dopatrzył się nieprawidłowości po stronie PUODO: żaden przepis ustawy o systemie ubezpieczeń społecznych (a zwłaszcza art. 80 i 82), ani też żaden przepis ustawy FUS (a zwłaszcza art. 122 ust. 1) nie stanowią w tej sytuacji podstawy do przetwarzania danych osobowych. Art. 6 ust. 1 lit. c) RODO nie może być traktowany jako samodzielna podstawa przetwarzania danych osobowych — norma ta legalizuje przetwarzanie wyłącznie w połączeniu z odpowiednim przepisem prawa, którego adresatem jest administrator.
Niezbędność dla wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej (art. 6 ust. 1 lit. e) RODO) oczywiście stanowi samodzielną podstawą przetwarzania danych osobowych, jednak pod warunkiem, iż zadania te dotyczą administratora danych, którym wszakże jest politechnika. A przecież ZUS powołał się na własne obowiązki wynikające z ustawy — z czego wcale nie wynika obowiązek udostępniania danych studentów przez uczelnię wyższą. Szkoła wyższa nie jest organem administracji i nie jest pracodawcą w stosunku do studenta, toteż nie ma obowiązku udzielania pomocy i informacji organowi rentowemu; dane z wykazu studentów (obejmujące także datę rozpoczęcia i zakończenia studiów) nie są przy tym udostępniane ZUS (art. 344 prawa o szkolnictwie wyższym i nauce).
Na marginesie WSA zgodził się z PUODO, iż nie oznacza to, by ZUS był w sprawie całkowicie bezsilny — zamiast domagać się udostępnienia danych osobowych przez uczelnię, powinien był wydać decyzję bazując na przepisach, w myśl których to beneficjent świadczenia powinien przedstawić stosowne dokumenty.
Z tego względu skarga ZUS na decyzję PUODO została oddalona.
Zamiast komentarza: część P.T. Czytelników zapewne uzna zaprezentowaną w orzeczeniu wykładnię za co najmniej kontrowersyjną, mnie natomiast od razu przypomina się dwugłos po uchyleniu art. 29 d.uodo (to już prawie 10 lat!), kiedy to niektórzy twierdzili, że podstawą do żądania udostępnienia danych osobowych jest przepis o… przetwarzaniu danych osobowych przez „nowego” administratora — ja zaś twierdziłem i zdanie podtrzymuję, że pozyskujący dane może powołać się na taką podstawę dopiero po legalnym otrzymaniu danych, zaś „starego” administratora obowiązują jego przepisy — więc jakiekolwiek przekazanie danych bez wyraźnej podstawy prawnej (w tym zgody) nie jest dopuszczalne.