GI-DEC-DS-172/04 - Prowadzenie akt osobowych pracownika oraz dokumentacji związanej ze stosunkiem pracy.

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r., Nr 98 poz. 1071 z późn. zm.) oraz art. 12 pkt 2 i art. 18 ust. 1 pkt 1 i 5 w zw. z art. 7 pkt 4 oraz art. 23 ust. 1 i art. 27 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926) w zw. z art. 3, i art. 94 pkt 9a ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz. U. z 1998 r. Nr 21, poz. 94 z późn. zm.) oraz § 6 i § 8 rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. Nr 62, poz. 286 z późn. zm.), art. 1 ust. 1 ustawy z dnia 30 sierpnia 1991 r. o zakładach opieki zdrowotnej (Dz. U. Nr 91, poz. 408 z późn. zm.) oraz § 12 ust. 1 pkt 2 Regulaminu organizacyjnego Fundacji i § 14 ust. 6 pkt 3, ust. 8 i ust. 9 Statutu Zespołu Lecznictwa Ambulatoryjnego Fundacji, po przeprowadzeniu postępowania administracyjnego w sprawie skargi Komisji Zakładowej Związku Zawodowego (działającego w Fundacji) na przetwarzanie danych osobowych zawartych w aktach osobowych i płacowych pracowników ww. Zespołu Lecznictwa Ambulatoryjnego Fundacji przez Fundację,

nakazuję Fundacji zaprzestanie przetwarzania danych osobowych pracowników Zespołu Lecznictwa Ambulatoryjnego Fundacji zawartych w ich aktach osobowych i płacowych oraz przekazanie tych danych ww. Zespołowi Lecznictwa Ambulatoryjnego Fundacji.

Do Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Przewodniczącej Komisji Zakładowej Związku Zawodowego (działającego w Fundacji) na przetwarzanie przez Fundację danych osobowych zawartych w aktach osobowych i płacowych pracowników Zespołu Lecznictwa Ambulatoryjnego Fundacji. Ze skargi wynikało, że Zespół Lecznictwa Ambulatoryjnego jest zakładem opieki zdrowotnej utworzonym przez Fundację i pracodawcą dla pracowników Zespołu Lecznictwa Ambulatoryjnego Fundacji, natomiast w grudniu 2003 r. zarząd Fundacji zobowiązał dyrektora Zespołu Lecznictwa Ambulatoryjnego Fundacji do przekazania akt osobowych i płacowych pracowników tego zakładu do Wydziału Spraw Pracowniczych Fundacji. W skardze podniesiono, że Fundacja nie miała prawa żądać przekazania jej ww. akt osobowych i płacowych, bowiem nie jest pracodawcą dla pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji, a konsekwencji nie może dokonywać żadnych czynności na zawartych w tych aktach danych osobowych. Wskazano przy tym, że pomiędzy Zakładem Lecznictwa Ambulatoryjnego Fundacji a Fundacją nie została zawarta umowa powierzenia przetwarzania danych osobowych, jak też pracownicy tego zakładu nie wyrażali zgody na przechowywanie ich danych przez Fundację. W świetle powyższego, Przewodnicząca Komisji Zakładowej Związku Zawodowego (działającego w Fundacji) wniosła o "podjęcie przez GIODO działań zmierzających do uniemożliwienia Fundacji dalszego naruszania przepisów ustawy o ochronie danych osobowych oraz usunięcia naszych danych osobowych z bazy danych Fundacji".

Okoliczności przedstawione w skardze zostały potwierdzone w toku postępowania wyjaśniającego, jakie w tej sprawie wszczął Generalny Inspektor Ochrony Danych Osobowych (zwany dalej Generalnym Inspektorem). W toku tego postępowania odebrano od Fundacji pisemne wyjaśnienia oraz stosowne dokumenty, w tym Statut Fundacji z dnia 6 czerwca 2002 r., Regulamin organizacyjny Fundacji z dnia 1 września 2003 r. oraz Statut Zakładu Lecznictwa Ambulatoryjnego Fundacji z dnia 22 grudnia 2003 r. Na tej podstawie ustalono, że:

W toku zapoznawania się ze zgromadzonych w toku postępowania materiałem dowodowym pełnomocnicy Komisji Zakładowej Związku Zawodowego działającego w Fundacji złożyli do akt sprawy kopię wystąpienia inspektora pracy Państwowej Inspekcji Pracy - Okręgowego Inspektoratu Pracy do Zakładu Lecznictwa Ambulatoryjnego Fundacji, z dnia 13 kwietnia 2004 r. Z treści tego wystąpienia wynika, że inspektor pracy wniósł o "prowadzenie i przechowywanie akt osobowych i dokumentacji w sprawach związanych ze stosunkiem pracy pracowników - w siedzibie pracodawcy". W uzasadnieniu inspektor pracy, wskazując na przepisy z zakresu prawa pracy oraz § 12 ust. 2 pkt 3 Regulaminu organizacyjnego Fundacji stwierdził, że na GZLA, jako pracodawcy spoczywa obowiązek prowadzenia dokumentacji w sprawach związanych ze stosunkiem pracy. Fundacja, odnosząc się do powyższego wystąpienia, podniosła natomiast, że przepisy z zakresu prawa pracy nie precyzują, gdzie powinny być przechowywane akta pracownicze. Wskazała przy tym, iż "jeżeli wynika to z organizacji struktury zatrudnienia oraz względów ekonomicznych to pracodawca ma pełne prawo do przechowywania akt osobowych pracowników w wyznaczonym przez siebie miejscu (...)". Ponadto, Fundacja wskazała, że "wystąpienie Inspektora Pracy jest (...) istotne z tego powodu, iż uznał on Państwową Inspekcję Pracy za właściwą w niniejszej sprawie. W pierwszej kolejności Generalny Inspektor powinien zatem rozstrzygnąć czy jest organem właściwym do władczego wyznaczania (w drodze decyzji administracyjnej) miejsca przechowywania dokumentacji pracowniczej (czy szerzej danych pracowników), przy czym pozytywna odpowiedź może prowadzić do pozytywnego sporu kompetencyjnego pomiędzy nim a Inspektorem Pracy".

W takim stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje:

W świetle przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwanej dalej ustawą, dla uznania, że podmiot przetwarzający dane osobowe działa zgodnie z prawem niezbędne jest spełnienie przez niego jednej z określonych w ustawie materialnych przesłanek dopuszczalności przetwarzania danych. Przy czym, ilekroć w ustawie jest mowa o przetwarzaniu danych, rozumie się przez to jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie (art. 7 pkt 2 ustawy). Mając na uwadze, że przedmiotem rozpatrywanej sprawy jest przetwarzanie danych osobowych zawartych m.in. w aktach osobowych, które - co wynika z przepisów rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. Nr 62, poz. 286 z późn. zm.), zawierają w szczególności dane o stanie zdrowia pracowników, dokumenty związane z wymierzeniem kary porządkowej oraz mogące ujawniać przynależność związkową - wskazać należy zarówno na przesłanki wymienione w art. 23 ust. 1, jak i art. 27 ust. 2 ustawy.

Zgodnie natomiast z § 6 ust. 1 ww. rozporządzenia, pracodawca zakłada i prowadzi oddzielnie dla każdego pracownika akta osobowe. Akta osobowe pracownika składają się z 3 części i obejmują w części A - dokumenty zgromadzone w związku z ubieganiem się o zatrudnienie, określone w przepisach § 1 ust. 1 i 2 rozporządzenia (§ 6 ust. 2 pkt 1 rozporządzenia). Przepis § 1 ust. 1 pkt 5 rozporządzenia wskazuje natomiast na orzeczenie lekarskie, które stwierdza brak przeciwwskazań do pracy na określonym stanowisku. Ponadto, akta osobowe pracownika obejmują w części B - dokumenty dotyczące nawiązania stosunku pracy oraz przebiegu zatrudnienia pracownika (§ 6 ust. 2 pkt 2 rozporządzenia), w tym dokumenty związane z wymierzeniem kary porządkowej (lit. g), orzeczenia lekarskie wydane w związku z przeprowadzonymi badaniami okresowymi i kontrolnymi (lit. i) oraz korespondencję z reprezentującą pracownika zakładową organizacją związkową we wszystkich sprawach ze stosunku pracy wymagających współdziałania pracodawcy z tą organizacją lub innymi podmiotami konsultującymi sprawy ze stosunku pracy (lit. k).

Zgodnie z przepisem art. 23 ust. 1 ustawy, przetwarzanie danych jest dopuszczalne w szczególności, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2) oraz gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5). Za prawnie usprawiedliwiony cel, o którym mowa w art. 23 ust. 1 pkt 5 uważa się w szczególności marketing bezpośredni własnych produktów lub usług administratora danych (pkt 2), dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (pkt 2) - art. 23 ust. 4 ustawy. Podkreślić natomiast należy, że w świetle art. 27 ust. 1 ustawy o ochronie danych osobowych przetwarzanie danych ujawniających stan zdrowia, orzeczenia o ukaraniu oraz przynależność związkową jest w ogóle zabronione, natomiast wyjątki w tym względzie w sposób wyczerpujący wymienia ww. ust. 2 tego przepisu. Z art. 27 ust. 2 ustawy wynika, że przetwarzanie danych jest dopuszczalne, w szczególności gdy przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony (pkt 2) oraz gdy przetwarzanie danych jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie (pkt 6).

Odnosząc powołane przepisy ustawy do okoliczności rozpatrywanej sprawy, stwierdzić należy, że Fundacja pozyskała i przetwarza dane osobowe zawarte w aktach osobowych i płacowych pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji bez spełnienia choćby jednego z warunków dopuszczalności przetwarzania danych, określonych w art. 27 ust. 2, jak też art. 23 ust. 1 ustawy.

W szczególności, działanie Fundacji nie znajduje uzasadnienia w żadnym z przepisów szczególnych (art. 27 ust. 2 pkt 2 oraz art. 23 ust. 1 pkt 2 ustawy), bowiem z przepisów prawa wynika, iż dokumentację w sprawach związanych ze stosunkiem pracy prowadzi pracodawca. Z ustaleń faktycznych niniejszej sprawy wynika natomiast, iż Fundacja posiada ten status jedynie wobec dyrektora Zakładu Lecznictwa Ambulatoryjnego Fundacji, natomiast nie jest pracodawcą dla pracowników tego zakładu opieki zdrowotnej. Wniosek powyższy opiera się na przepisach Kodeksu pracy oraz Regulaminu organizacyjnego Fundacji, jej Statutu oraz Statutu Zakład Lecznictwa Ambulatoryjnego Fundacji.

Zgodnie bowiem z art. 3 Kodeksu pracy, pracodawcą jest jednostka organizacyjna, choćby nie posiadała osobowości prawnej, a także osoba fizyczna, jeżeli zatrudniają one pracowników. Za pracodawcę będącego jednostką organizacyjną czynności w sprawach z zakresu prawa pracy dokonuje osoba lub organ zarządzający tą jednostką albo inna wyznaczona do tego osoba (art. 3¹ § 1 Kodeksu pracy).

Z powołanych przepisów wynika zatem, że aby, dana jednostka organizacyjna mogła być uznana za pracodawcę, powinna posiadać zdolność do zatrudniania pracowników we własnym imieniu. Zdolność ta może w szczególności wynikać z aktu powołującego daną jednostkę do życia, statutu lub regulaminu organizacyjnego (tak też np. K. Rączka, Prawo pracy, Tom I, Warszawa 1997 - 2004 Wydawnictwo Prawnicze LexisNexis).

Odnosząc powyższe uwagi do niniejszej sprawy, wskazać należy na postanowienia Regulaminu organizacyjnego Fundacji oraz Statutu nadanego Zakładowi Lecznictwa Ambulatoryjnego Fundacji. Z treści § 12 ust. 1 pkt 2 w zw. z § 5 ust. 1 pkt 1 i 2 Regulaminu organizacyjnego Fundacji wynika natomiast wprost, że pracodawcą w rozumieniu Kodeksu pracy dla zakładów opieki zdrowotnej utworzonych przez Fundację, w tym Zakładu Lecznictwa Ambulatoryjnego Fundacji, są te zakłady, natomiast Fundacja jest pracodawcą jedynie dla członków swojego zarządu oraz pracowników jej wewnętrznych jednostek organizacyjnych. Ponadto, w myśl § 12 ust. 2 pkt 2 Regulaminu organizacyjnego Fundacji, osobami dokonującymi czynności z zakresu prawa pracy w imieniu pracodawcy wobec pracowników zakładów opieki zdrowotnej utworzonych przez Fundację są jej dyrektorzy. Z § 14 ust. 6, ust. 8 i ust. 9 Statutu Zakładu Lecznictwa Ambulatoryjnego Fundacji wynika natomiast, że dyrektor Zakładu Lecznictwa Ambulatoryjnego upoważniony został do samodzielnego kierowania działalnością tego zakładu i reprezentowania go w zakresie dokonywania czynności z zakresu prawa pracy wobec pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji, jak też samodzielnego prowadzenia polityki zatrudnienia. Ze Statutu Fundacji wynika natomiast, iż Fundacja jest jedynie organem założycielskim Zakładu Lecznictwa Ambulatoryjnego Fundacji, za pośrednictwem którego realizuje swoje statutowe zadania i jest odrębnym wobec tego zakładu podmiotem prawa.

W konsekwencji, pracodawcą w rozumieniu Kodeksu pracy dla osób zatrudnionych w Zakładzie Lecznictwa Ambulatoryjnego Fundacji jest sam zakład opieki zdrowotnej, reprezentowany przez jego dyrektora. Natomiast Fundacja jest jedynie organem założycielskim Zakładu Lecznictwa Ambulatoryjnego Fundacji, jednakże nie posiada uprawnień do dokonywania czynności dotyczących stosunków pracy pracowników w Sosnowcu. Jednocześnie, treść § 1 Statutu Zakładu Lecznictwa Ambulatoryjnego Fundacji wskazuje, iż GZLA jest niepublicznym zakładem opieki zdrowotnej działającym na podstawie przepisów ustawy z dnia 30 sierpnia 1991 r. o zakładach opieki zdrowotnej (Dz. U. Nr 91, poz. 408 z późn. zm.). Przepis art. 1 ust. 1 powołanej ustawy wskazuje natomiast na zdolność zakładu opieki zdrowotnej do samodzielnego zatrudniania pracowników. Stanowi on bowiem, że zakład opieki zdrowotnej jest wyodrębnionym organizacyjnie zespołem osób i środków majątkowych utworzonym i utrzymywanym w celu udzielania świadczeń zdrowotnych i promocji zdrowia.

Fundacja podniosła w toku postępowania, że dyrektor Zakładu Lecznictwa Ambulatoryjnego Fundacji w Sosnowcu prowadzi zakład opieki zdrowotnej jedynie jako jej pełnomocnik, upoważniony m.in. do podejmowania czynności z zakresu prawa pracy dotyczących pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji. Należy wobec tego zauważyć, że o statusie Zakładu Lecznictwa Ambulatoryjnego Fundacji, jako pracodawcy przesądzają ww. postanowienia § 12 Regulaminu organizacyjnego Fundacji oraz § 14 Statutu Zakładu Lecznictwa Ambulatoryjnego Fundacji, w zw. z art. 3 Kodeksu pracy oraz art. 1 ustawy o zakładach opieki zdrowotnej, natomiast pełnomocnictwo, na jakie powołuje się Fundacja w żaden sposób tych aktów wewnętrznych nie zmienia. Fundacja nie wskazała także, aby ww. postanowienia statutowe zostały w inny sposób uchylone lub zmienione.

Przepisy Kodeksu pracy oraz akty wykonawcze wydane na jego podstawie nakładają natomiast na pracodawcę obowiązek prowadzenia dokumentacji w sprawach związanych ze stosunkiem pracy oraz akt osobowych pracowników. Obowiązek ten wyrażony został expressis verbis w art. 94 pkt 9a Kodeksu pracy, a konkretyzują go postanowienia § 6 ust. 1, § 7 i § 8 powołanego już wyżej rozporządzenia w sprawie z zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika. Przepis art. 94 pkt 9a Kodeksu pracy stanowi natomiast, że pracodawca jest obowiązany w szczególności prowadzić dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracowników. Zgodnie ze wskazanym § 6 ust. 1 rozporządzenia, pracodawca zakłada i prowadzi oddzielnie dla każdego pracownika akta osobowe. Stosownie natomiast do § 8 ww. rozporządzenia, pracodawca zakłada i prowadzi odrębnie dla każdego pracownika m.in. imienną kartę (listę) wypłacanego wynagrodzenia za pracę i innych świadczeń związanych z pracą (pkt 2).

Z powołanych przepisów prawa pracy wynika, że Zakład Lecznictwa Ambulatoryjnego Fundacji, będąc pracodawcą jest także administratorem danych osobowych zawartych w aktach osobowych i płacowych pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji, przysługuje mu bowiem prawo do decydowania o celach i środkach ich przetwarzania. W świetle przepisów ustawy administratorem danych jest natomiast organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3 ustawy, decydujące o celach i środkach przetwarzania danych osobowych (art. 7 pkt 4 ustawy). Artykuł 3 ustawy wskazuje m.in. na osoby prawne oraz jednostki organizacyjne nie będące osobami prawnymi, jeśli przetwarzają dane osobowe w związku z działalnością zarobkową, zawodową, lub dla realizacji celów statutowych.

Prawo do przetwarzania danych osobowych zawartych we wskazanej dokumentacji osobowej i płacowej przysługuje zatem wyłącznie Zakładowi Lecznictwa Ambulatoryjnego Fundacji, jako pracodawcy pracowników, których dane te dotyczą i ich administratorowi. Należy przy tym zauważyć, iż rację ma Fundacja, podnosząc argument, iż przepisy prawa nie określają wprost, gdzie pracodawca powinien przechowywać dokumentację prowadzoną w sprawach związanych ze stosunkami pracy, w szczególności, iż nie musi być to jego siedziba. W świetle przepisów ustawy o ochronie danych osobowych dopuszczalne jest bowiem powierzenie przez administratora danych przetwarzania danych osobowych innemu podmiotowi. Przepis art. 31 ustawy przewiduje bowiem, iż administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych (ust. 1), natomiast podmiot ten może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (ust. 2). Jednocześnie w przepisach regulujących prowadzenie dokumentacji pracowniczej brak jest postanowień, które wykluczałyby możliwość zawarcia przez pracodawcę takiej umowy. Z ustalonych okoliczności sprawy wynika jednak, że dyrektor Zakładu Lecznictwa Ambulatoryjnego Fundacji nie zawarł z Fundacją umowy powierzenia przetwarzania wskazanych danych. Fundacja podkreśliła w wyjaśnieniach złożonych w toku niniejszego postępowania, że przygotowała projekt takiej umowy, jednakże dyrektor Zakładu Lecznictwa Ambulatoryjnego Fundacji odmówił jej podpisania. Należy zatem zauważyć, że z okoliczności sprawy wynika, iż projekt takiej umowy Fundacja przygotowała dopiero po dniu, w którym pozyskała już dane pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji. Ponadto, z przepisów ustawy o ochronie danych osobowych wynika, że zawarcie umowy powierzenia przetwarzania danych należy do sfery autonomii woli administratora danych, której granice wyznaczają powszechnie obowiązujące przepisy prawa, bowiem to on w sposób wyłączny decyduje o celach i środkach przetwarzania danych. W konsekwencji, Fundacja mogłaby legalnie pozyskać dokumentację zawierającą dane osobowe pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji wyłącznie o ile dyrektor tego zakładu zawarłby z nią umowę powierzenia przetwarzania danych, która spełniałaby warunki określone w art. 31 ustawy.

W świetle powyższego, pozyskanie i dalsze przetwarzanie przez Fundację danych osobowych pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji zawartych w ich aktach osobowych i płacowych nie znajduje podstaw ani w przepisach prawa (art. 27 ust. 2 pkt 2 i art. 23 ust. 1 pkt 2 ustawy), ani też - wobec tego, iż Fundacja nie jest pracodawcą tych osób, nie jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia (art. 27 ust. 2 pkt 6 ustawy). Należy przy tym zauważyć, że powoływana przez Fundację okoliczność mająca usprawiedliwiać jej działanie, wskazująca, iż powodem pozyskania dokumentacji pracowniczej Zakładu Lecznictwa Ambulatoryjnego Fundacji była restrukturyzacja spowodowana koniecznością wprowadzenia oszczędności w kosztach działania Fundacji, nie może być uznana za podstawę przetwarzania danych, o jakiej stanowi art. 27 ust. 2 i art. 23 ust. 1 ustawy. Żadna ze wskazanych w tym przepisach przesłanek nie odnosi się bowiem do takiej sytuacji.

Podkreślić należy, że działanie Fundacji nie jest także zgodne z powołanym wyżej art. 23 ust. 1 pkt 5 ustawy. Warunkiem przetwarzania danych osobowych na podstawie tego przepisu jest bowiem istnienie "prawnie usprawiedliwionego celu" po stronie administratora danych, natomiast - jak wskazano, z przepisów prawa wynika, iż akta osobowe i płacowe pracowników zakłada i prowadzi pracodawca. Pracodawca jest zatem wyłącznym administratorem zawartych w tych aktach danych osobowych. Tym samym, Fundacja, nie posiadając tego statusu wobec pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji, nie ma prawa do przechowywania tych danych i podejmowania na nich jakichkolwiek operacji.

Niezasadny jest także argument Fundacji wskazujący na niedopuszczalność "władczego wyznaczania (w drodze decyzji administracyjnej) miejsca przechowywania dokumentacji pracowniczej (czy szerzej danych pracowników)". Generalny Inspektor - jak wynika z uzasadnienia niniejszej decyzji - nie wskazuje bowiem, gdzie powinny być przechowywane akta osobowe i płacowe pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji. Jak wyżej wskazano, w szczególności nie jest wykluczona sytuacja, w której Fundacja mogłaby przetwarzać dane osobowe zawarte w tej dokumentacji, o ile pozyskałaby by je na podstawie umowy powierzenia, o której mowa w art. 31 ustawy o ochronie danych osobowych, warunku tego jednak nie spełniła.

W konsekwencji, niezbędne jest nakazanie Fundacji zaprzestanie przetwarzania danych osobowych pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji, zawartych w aktach osobowych i dokumentacji prowadzonej w sprawach związanych ze stosunkiem pracy i niezwłoczne zwrócenie ich administratorowi tych danych, tzn. Zakładowi Lecznictwa Ambulatoryjnego Fundacji. Z okoliczności sprawy wynika, że Fundacja powierzyła przetwarzanie tych danych w systemie informatycznym osobie prowadzącej Zakład Usług Informatycznych. Niezbędne jest zatem także podjęcie przez Fundację stosownych działań w celu niezwłocznego zaprzestania przetwarzania danych osobowych pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji również przez ten podmiot. Zauważyć także należy, że Fundacja nie miała prawa powierzyć przetwarzania tych danych innemu podmiotowi, ponieważ nie jest ich administratorem. Status ten przysługuje wyłącznie pracodawcy pracowników Zakładu Lecznictwa Ambulatoryjnego Fundacji - samemu zakładowi opieki zdrowotnej.

W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Decyzja jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych oraz art. 129 § 2 w zw. z art. 127 § 3 Kodeksu postępowania administracyjnego strona niezadowolona z niniejszej decyzji może zwrócić się do Generalnego Inspektora Ochrony Danych Osobowych (adres: 00 - 193 Warszawa, ul. Stawki 2) z wnioskiem o ponowne rozpatrzenie sprawy, w terminie 14 dni od daty doręczenia niniejszej decyzji.