Czy kontrola prawidłowości korzystania ze zwolnień lekarskich uzasadnia przetwarzanie danych o stanie zdrowia osoby? Czy w ramach prowadzonej kontroli ZUS może domagać się dokumentacji medycznej ubezpieczonego i sprawdzać podejmowane przez niego aktywności? I, wcale nie na marginesie: czy przetwarzanie danych osobowych w oparciu o przesłankę niezbędności dla realizacji obowiązku prawnego wymaga wskazania przepisu, który na owo przetwarzanie zezwala — czy wystarczy wykazanie, iż wykonanie owego obowiązku wymaga przetwarzania?
wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 15 lipca 2021 r. (II SA/Wa 1437/20)
RODO nie nakłada wymogu, aby dla każdego indywidualnego przetwarzania istniało szczegółowe uregulowanie prawne. Wystarczyć może to, że dane uregulowanie prawne stanowi podstawę różnych operacji przetwarzania, wynikających z obowiązku prawnego, któremu podlega administrator, lub że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej.
Sprawa zaczęła się od przeprowadzenia przez ZUS, na wniosek pracodawcy, postępowania dotyczącego nieprawidłowego wykorzystywania zwolnień lekarskich przez aplikanta radcowskiego, który w okresie niezdolności do pracy uczestniczył w zajęciach organizowanych przez Okręgową Izbie Radców Prawnych. W toku postępowania ZUS wystąpił do lekarza orzecznika o wydanie opinii czy taka aktywność kolidowała ze zwolnieniem lekarskim i mogła przedłużyć okres niezdolności do pracy, a następnie wydał decyzję, w której odmówił prawa do zasiłku chorobowego i zobowiązał do zwrotu nienależnie pobranych świadczeń.
Zdaniem adepta sztuki prawniczej nie tylko ZUS nie miał prawa uzyskać dokumentacji medycznej z jego przychodni, a lekarz orzecznik nie był uprawniony do wydania takiej opinii, ale przede wszystkim kontrola wykorzystania zwolnienia lekarskiego może dotyczyć wyłącznie teraźniejszości, a nie przeszłości („nie wykonuje”, „nie wykorzystuje”, rozporządzenie w/s szczegółowych zasad i trybu kontroli prawidłowości wykorzystywania zwolnień lekarskich). Oznacza to, że doszło do nieuprawnionego wglądu w dokumentację medyczną stanowiącą szczególną kategorię danych osobowych — bez zgody zainteresowanego i bez wyraźnej podstawy prawnej — zatem wniósł skargę, w której zażądał nakazania usunięcia nielegalnie zebranych danych osobowych.
W wydanej decyzji PUODO stwierdził, że pracownik, który w podczas zwolnienia lekarskiego wykonuje pracę zarobkową lub wykorzystuje je w sposób niezgodny z celem, traci prawo do zasiłku za cały okres niezdolności. Kontrolę wykorzystania zwolnienia mogą przeprowadzić pracownicy ZUS oraz płatnik składek (pracodawca); kontrolę prawidłowości orzekania o czasowej niezdolności do pracy prowadzą lekarze orzecznicy, którzy są uprawnieni do żądania udostępnienia dokumentacji medycznej. ZUS jest więc uprawniony do przetwarzania danych osobowych w ramach prowadzonej kontroli zwolnień lekarskich, zatem zachodzi jeden z wyjątków od zakazu przetwarzania danych wrażliwych, zaś przesłanką usprawiedliwiającą przetwarzanie jest niezbędność do wypełnienia obowiązku prawnego (art. 6 ust. 1 lit. c) RODO).
art. 9 ust. 2 lit. b) i h) rozporządzenia o ochronie danych osobowych
[Zakaz przetwarzania szczególnych kategorii danych osobowych] nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:
b) przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą;
h) przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3;
Badając wniesioną przez aplikanta skargę WSA przypomniał, że co do zasady zakazane jest przetwarzanie danych wrażliwych, w tym dotyczących zdrowia, chyba że zachodzi jeden z wyjątków (art. 9 ust. 2 RODO). Katalog tych przesłanek jest zamknięty, ale każda z nich ma charakter autonomiczny i niezależny, są też sobie równoważne, zatem wystarczy wykazanie jednej z nich, by administrator był uprawniony do przetwarzania danych. Oznacza to, że zgoda osoby nie jest jedyną podstawą przetwarzania danych o jej stanie zdrowia — zatem brak zgody nie wyklucza przetwarzania. Mało tego: obowiązek prawny jako przesłanka przetwarzania nie może być rozumiany jako jedno, konkretne i szczegółowe uregulowanie prawne — całkowicie wystarczające jest, by przepisy nakładały na administratora obowiązki, których realizacja wiąże się z koniecznością przetwarzania danych osobowych. W przypadku ubezpieczonego, który podczas zwolnienia lekarskiego wykonuje pracę zarobkową lub inne czynności kolidujące z niezdolnością do pracy, podstawą taką są stosowne przepisy ustawy o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa, które pozwalają na przeprowadzanie kontroli prawidłowości korzystania ze zwolnień lekarskich.
Zdaniem WSA oznacza to, że skoro ZUS ma prawo takiej kontroli, to w jej ramach może przetwarzać dane osobowe ubezpieczonego, w tym dane dotyczące jego zdrowia — co oznacza, że decyzja PUODO była prawidłowa, a więc skarga podlegała oddaleniu.
Tytułem komentarza: to ciekawe, że wszystkie organy władzy publicznej działają na podstawie i w granicach prawa, zaś nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby — ale już wychodzi na to, że pozyskiwać dane o owych obywatelach można na podstawie nieco bardziej wykoncypowanych przesłanek. Wychodzi na to, że ode mnie tych informacji nie wyduszą… nie muszą, bo wyciągną sobie skąd inąd.