DOLIS/DEC-200/09 - Stanowisko GIODO w sprawie eliminowania nieprawidłowości w procesie przetwarzania danych osobowych pracownika.

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98 poz. 1071 z późn. zm.), art. 12 pkt 2 w zw. z art. 18 ust. 1 pkt 6 oraz art. 26 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana X zam. (...), dotyczącej nieprawidłowości w przetwarzaniu jego danych osobowych przez Pana Y- Prezesa Zarządu i Pana Z- V-ce Prezesa Zarządu (...) Sp. z o.o. z siedzibą w (...),

nakazuję (...) Sp. z o.o. wyeliminowanie nieprawidłowości w procesie przetwarzania danych osobowych Pana X, poprzez usunięcie danych osobowych Pana X w zakresie jego imienia, nazwiska i adresu zamieszkania zawartych w ekspertyzie z zakresu badania pisma ręcznego sporządzonej przez Pana K z Pracowni Ekspertyz Dokumentów i Psychografologii z siedzibą w (...) z prowadzonych przez Prezesa Zarządu (...) Sp. z o.o. zbiorów danych.

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pana X zam. (...), zwanego dalej także Skarżącym, na udostępnienie przez Pana Y- Prezesa Zarządu i Pana Z- V-ce Prezesa Zarządu (...) Sp. z o.o. z siedzibą w (...), zwanej dalej także Spółką, jego danych osobowych w zakresie imienia, nazwiska i adresu zamieszkania Pracowni Ekspertyz Dokumentów i Psychografologii z siedzibą w (...). Skarżący wskazał, że powyższe dane znajdowały się w dokumentach zgromadzonych w jego aktach osobowych jako byłego pracownika (...) Sp. z o.o., a Prezesi Spółki posłużyli się nimi "do celów prywatnych (...) bez mojej (Skarżącego) zgody i wiedzy".

Pan X wskazał, iż powyższe dokumenty zawierające jego dane osobowe zostały przesłane jako materiał porównawczy do ekspertyzy grafologicznej zleconej przez Prezesów Spółki w celu zidentyfikowania autora donosu adresowanego do właściciela (...) Sp. z o.o., dotyczącego nieprawidłowości w zarządzaniu Spółką przez ww. W związku z powyższym Skarżący wystosował pod adresem organu ochrony danych osobowych wniosek o "usunięcie wszelkich uchybień, a także (...) o wyciągnięcie wszelkich możliwych konsekwencji prawnych wobec tych osób".

W toku postępowania administracyjnego przeprowadzonego w niniejszej sprawie Generalny Inspektor Ochrony Danych Osobowych ustalił następujące okoliczności faktyczne:

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje:

Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwana dalej ustawą, określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy). Przetwarzanie danych może być bowiem uznane za zgodne z prawem jedynie wówczas, gdy administrator danych wykaże się spełnieniem co najmniej jednej z materialnych przesłanek przetwarzania danych osobowych. Przesłanki te - co do zasady równoprawne i odnoszące się do wszelkich form przetwarzania danych wymienionych w art. 7 pkt 2 ustawy, w tym w szczególności do ich udostępniania, zostały enumeratywnie wymienione w art. 23 ust. 1 ustawy. Na mocy tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (pkt 1), jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2), jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (pkt 3), jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4), jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5).

Stwierdzić zatem należy, iż w niniejszej sprawie brak było jakichkolwiek przesłanek do wykorzystania danych osobowych Skarżącego w celach innych niż cel zatrudnienia.

W przedmiotowej sprawie Spółka jako podstawę prawną udostępnienia danych osobowych Skarżącego w zakresie jego imienia, nazwiska i adresu zamieszkania wskazała art. 23 ust. 1 pkt 2 i 5 ustawy o ochronie danych osobowych. Jak wskazano powyżej przesłanka, o której mowa w art. 23 ust. 1 pkt 2 omawianej ustawy, odnosi się niewątpliwie do takich sytuacji, gdy przepis prawa powszechnie obowiązującego określa uprawnienie lub obowiązek, których spełnienie nie jest możliwe bez udostępnienia danych osobowych. Stwierdzić wobec tego należy, że nie istnieje żaden przepis prawa, który upoważniałby Prezesów Spółki do udostępnienia danych osobowych Skarżącego w celu sporządzenia ekspertyzy grafologicznej.

Analizując z kolei ww. art. 23 ust. 1 pkt 5 ustawy, zauważyć należy, że kładzie on nacisk na to, aby interes prawny realizowany przez administratora danych był prawnie uzasadniony. Natomiast przepisy prawa jasno określają, jakie działania na danych osobowych zawartych w aktach osobowych pracownika mogą być podejmowane przez pracodawcę. Na podstawie zgromadzonego w sprawie materiału dowodowego ustalono, że Spółka przetwarza dane osobowe Pana X w aktach osobowych pracownika, po ustaniu stosunku pracy, który łączył Skarżącego z (...) Sp. z o.o. Tryb przetwarzania danych osobowych pracowników gromadzonych w aktach osobowych został uregulowany w przepisach rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. z 1996 r. Nr 62, poz. 286 z późn. zm.). Stosownie do treści § 6 ww. aktu prawnego celem prowadzenia akt osobowych pracowników jest gromadzenie dokumentów dotyczących ubiegania się o zatrudnienie, nawiązania stosunku pracy i przebiegu zatrudnienia oraz związanych z ustaniem zatrudnienia. W sytuacji zaś ustania stosunku pracy, co nastąpiło w przypadku Skarżącego, dalsze przetwarzanie jego danych osobowych zgromadzonych w aktach osobowych odbywa się w celach archiwalnych na podstawie przepisów ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (tekst jedn. Dz. U. z 2006 r., Nr 97, poz. 673 z późn. zm.). W świetle powyższego uzasadniona jest konkluzja, że Spółka, jako były pracodawca Skarżącego, wykorzystała jego dane osobowe niezgodnie z celem ich przetwarzania, określonym przez ww. przepisy. Udostępnienie danych osobowych Skarżącego nastąpiło zatem z naruszeniem także art. 26 ust. 1 pkt 2 ustawy, zgodnie z którym administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem ust. 2.

Reasumując, stwierdzić należy, iż wykorzystanie danych osobowych Pana X przez Spółkę nastąpiło po ustaniu celu ich przetwarzania oraz nie znajduje oparcia w żadnej z przesłanek legalizujących przetwarzanie danych. W konsekwencji powyższego przetwarzanie danych Skarżącego należy uznać za niezgodne z prawem i w związku z tym zasadne jest stwierdzenie, że dane Skarżącego, pozyskane w ekspertyzie z zakresu badania pisma ręcznego przetwarzane są przez Spółkę nielegalnie i jako takie powinny być usunięte.

Odnosząc się zaś do poruszonej przez Skarżącego kwestii przetwarzania jego danych osobowych, uzyskanych wskutek otrzymania od Spółki zlecenia wykonania ekspertyzy, przez Pracownię Ekspertyz Dokumentów i Psychografologii w (...), wskazać należy, iż przetwarzanie danych osobowych przez ww. podmiot wynika ze spoczywających na nim obowiązków ustawowych, dotyczących obowiązków archiwizacyjnych w związku ze zrealizowanym zleceniem.

W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Decyzja jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych i art. 129 § 2 Kodeksu postępowania administracyjnego strona niezadowolona z niniejszej decyzji może zwrócić się do Generalnego Inspektora Ochrony Danych Osobowych (adres: 00-193 Warszawa, ul. Stawki 2) z wnioskiem o ponowne rozpatrzenie sprawy, w terminie 14 dni od dnia doręczenia niniejszej decyzji.