Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Kołodziej, Sędzia WSA Ewa Radziszewska – Krupa (spr.), Sędzia WSA Piotr Borowiecki, po rozpoznaniu na posiedzeniu niejawnym w dniu 15 lipca 2021 r. sprawy ze skargi S. B. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

I. Stan sprawy przedstawia się następująco:

1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej: "Prezesem UODO") decyzją z [...] czerwca 2020r. nr [...], po przeprowadzeniu postępowania administracyjnego w sprawie ze skargi S.B. (zwany dalej "Skarżącym") na nieprawidłowości w przetwarzaniu jego danych osobowych przez Zakład Ubezpieczeń Społecznych z siedzibą w [...] (Oddział ZUS w [...], zwany dalej: "ZUS"), na podstawie art. 105 § 1 ustawy z 14 czerwca 1960r. Kodeks postępowania administracyjnego (Dz.U. z 2020r., poz. 256, zwana dalej "k.p.a."), art. 7 ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. z 2019r. poz. 1781, zwana dalej: "u.o.d.o."), w zw. z art. 57 ust. 1 lit. f, art. 6 ust. 1 lit. c, art. 9 ust. 2 lit. b i h rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm., zwane dalej: "RODO") umorzył postępowanie.

W uzasadnieniu decyzji Prezes UODO wskazał, że do Urzędu Ochrony Danych Osobowych wpłynęła skarga Skarżącego na nieprawidłowości w przetwarzaniu jego danych osobowych przez ZUS, które polegały na zbieraniu i gromadzeniu danych osobowych Skarżącego w zakresie uczestnictwa w zajęciach na aplikacji radcowskiej w Okręgowej Izbie Radców Prawnych w [...] (zwana dalej: "OIRP") i danych o Jego stanie zdrowia zawartych w dokumentacji medycznej prowadzonej przez Przychodnię Lekarską [...] w [...] przy ul. [...] (zwana dalej "Przychodnią").

Skarżący zarzucił naruszenie, że ZUS naruszył art. 6 RODO, art. 51 ust. 2 Konstytucji RP, gdyż nie zastosował tych przepisów i gromadził dane Skarżącego dotyczące uczestnictwa w zajęciach na aplikacji, bez upoważnienia prawnego do takiego działania. ZUS wysłał do OIRP pismo o udostępnienie danych osobowych Skarżącego w zakresie dni, w jakich uczestniczył w zajęciach na aplikacji radcowskiej, podając przepisy prawa, które nie są prawnie dopuszczalną przesłanką, uzasadniającą zbieranie danych, wskazując na art. 28 ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997r. Zdaniem Skarżącego wskazane przez ZUS podstawy przetwarzania danych, wynikające z art. 17 i art. 68 ustawy z 25 czerwca 1999r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa (Dz. U. z 2020r., poz. 870, zwana dalej: "u.ś.p."), nie uprawniały ZUS do pozyskania danych z OIRP.

Skarżący podniósł też zarzut naruszenia art. 6 RODO w związku z pozyskaniem przez ZUS z Przychodni danych o stanie zdrowia Skarżącego zawartych w dokumentacji medycznej. Dane te mogły być udostępnione jedynie lekarzowi orzecznikowi na okoliczność przeprowadzenia kontroli prawidłowości orzekania o czasowej niezdolności do pracy i wystawiania zaświadczeń lekarskich. Art. 59 u.ś.p. nie uprawniał ZUS do występowania do lekarza orzecznika o wydanie opinii w sprawie przeciwwskazań do uczestnictwa w zajęciach i możliwości pogorszenia stanu zdrowia lub przedłużenia okresu niezdolności do pracy, bo opinię taką sporządza i wydaje lekarz prowadzący. Wydane zaś, na podstawie art. 68 ust. 2 u.ś.p. rozporządzenia wykonawczego Ministra Pracy i Polityki Socjalnej z 27 lipca 1999r. (zwane dalej "Rozporządzeniem"), które w § 8 dopuszcza kontrolę osoby przebywającej na zwolnieniu tylko w miejscu zamieszkania, miejscu czasowego pobytu, lub miejscu zatrudnienia, nie uprawniało ZUS, prowadzącego kontrolę do pozyskania danych od ww. podmiotów. Kontrola prawidłowości wykorzystania zwolnienia lekarskiego dotyczy czynności teraźniejszych wykonywanych przez ubezpieczonego, a nie byłych lub przyszłych czynności, w związku użyciem przez prawodawcę w § 5 ust. 1 pkt 1 i 2 ww. Rozporządzenia terminów "nie wykonuje" pracy zarobkowej i "nie wykorzystuje" zwolnienia lekarskiego od pracy w sposób niezgodny z jego celem.

Skarżący w związku z tym wniósł o nakazanie usunięcia nielegalnie zebranych danych.

Prezes UODO w toku postępowania zainicjowanego ww. skargą uzyskał wyjaśnienia ZUS, z których wynika, że dane osobowe Skarżącego w zakresie informacji o uczestnictwie w zajęciach na aplikacji radcowskiej i dane z dokumentacji medycznej pozyskano na mocy art. 17 i art. 68 u.ś.p. ZUS przeprowadził postępowanie wyjaśniające w sprawie podejrzenia nieprawidłowego wykorzystywania zwolnień lekarskich na wniosek płatnika składek - Wojewódzki Ośrodek Ruchu Drogowego w [...]. ZUS w celu ustalenia czy doszło do naruszenia zasad korzystania ze zwolnień lekarskich wystąpił do lekarza orzecznika ZUS o wydanie opinii, czy były przeciwwskazania do uczestnictwa w zajęciach teoretycznych na aplikacji radcowskiej i czy uczestnictwo w tych zajęciach mogło spowodować pogorszenie stanu zdrowia lub przedłużenie okresu niezdolności do pracy. Lekarz orzecznik ZUS, w celu wydania opinii polecił pozyskanie dokumentacji medycznej, na mocy: art. 77 ust. 5 ustawy z 13 października 1998r. o systemie ubezpieczeń społecznych, art. 26 ust. 3 pkt 5 ustawy z 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta. ZUS zakończył postępowanie wydaniem decyzji z [...] marca 2019r. odmawiającej prawa do zasiłku chorobowego, zmienionej w części dotyczącej odsetek, decyzją z [...] maja 2019r. Skarżącego zobowiązano do zwrotu nienależnie pobranego świadczenia z odsetkami. ZUS wyjaśnił, że Skarżący pismem z 4 listopada 2019r. zwrócił się do ZUS o zaprzestanie przetwarzania i usunięcie danych Skarżącego o stanie zdrowia. ZUS pismem z 27 listopada 2019r. odmówił usunięcia danych, wskazując, że są one niezbędne do wypełnienia obowiązku prawnego ciążącego na ZUS, jako organie publicznym, realizującym zadania w zakresie zabezpieczenia społecznego.

Prezes UODO wskazał, że zgodnie z jedną z naczelnych zasad wynikających z RODO, każdy proces przetwarzania danych osobowych musi być zgodny z prawem. Oznacza to, że administrator, przetwarzając dane osobowe zwykłe musi legitymować się przynajmniej jedną z przesłanek określonych w art. 6 ust. 1 RODO, zaś w przypadku przetwarzania danych szczególnej kategorii jedną z przesłanek określonych w art. 9 ust. 2 RODO. Katalog przesłanek wymienionych w art. 6 ust. 1 i art. 9 ust. 2 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Przesłanki te, co do zasady, są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą, nie jest jedyną podstawą przetwarzania danych osobowych, bo proces przetwarzania danych będzie zgodny z RODO również wówczas, gdy administrator danych wykaże spełnienie innej z ww. przesłanek. Niezależnie od zgody osoby, której dane dotyczą, przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy jest to niezbędne dla wypełnienia obowiązku prawnego ciążącego na administratorze danych.

Prezes UODO wskazał, że ze względu na szczególną kategorię danych (tzw. danych "wrażliwych"), jakimi są dane o stanie zdrowia, zawarte w dokumentacji medycznej, istotne znaczenie mają przesłanki zezwalające m.in. na przetwarzanie danych do celów wypełnienia obowiązków i wykonywania szczególnych praw przez administratora (...) w dziedzinie zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego (...), przewidującym odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą, jak i do celów (...) oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego z zastrzeżeniami ust. 3. Stosownie do motywu 45 Preambuły RODO, jeżeli przetwarzanie odbywa się w celu wypełnienia obowiązku prawnego, któremu podlega administrator, lub jeżeli jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, podstawę przetwarzania powinno stanowić prawo Unii lub prawo państwa członkowskiego. RODO nie nakłada wymogu, aby dla każdego indywidualnego przetwarzania istniało szczegółowe uregulowanie prawne. Wystarczyć może to, że dane uregulowanie prawne stanowi podstawę różnych operacji przetwarzania wynikających z obowiązku prawnego, któremu podlega administrator, lub że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej.

W RODO wskazuje się, że należy również zezwolić na wyjątki od zakazu przetwarzania szczególnych kategorii danych osobowych. Wedle motywu 52 taki wyjątek może być przewidziany ze względu na cele zdrowotne, w tym związane ze zdrowiem publicznym oraz zarządzaniem usługami opieki zdrowotnej, w szczególności zapewnianiem jakości i ekonomiczności procedur stosowanych do rozstrzygania roszczeń w sprawie świadczeń i usług w ramach systemu ubezpieczeń zdrowotnych. W przypadku, gdy przepis określa kompetencje organu, wskazując uprawnienie tego organu do załatwiania określonego rodzaju spraw, oznacza to także możliwość zastosowania ww. podstawy dopuszczalności przetwarzania danych przez ten organ, gdyż realizacja tych zadań należy do obowiązków organu.

Prezes UODO, dokonując oceny legalności pozyskania przez ZUS danych osobowych, wziął pod uwagę przepisy prawa regulujące zasiłki chorobowe, zawarte w u.ś.p. Zgodnie z art. 17 ust. 1 u.ś.p. ubezpieczony, wykonujący w okresie orzeczonej niezdolności do pracy pracę zarobkową lub wykorzystujący zwolnienie od pracy w sposób niezgodny z celem tego zwolnienia, traci prawo do zasiłku chorobowego za cały okres tego zwolnienia. W myśl ustępu 3 okoliczności, o których mowa w ust. 1 i 2, ustala się w trybie określonym w art. 68. ZUS oraz płatnicy składek, o których mowa w art. 61 ust. 1 pkt 1, stosownie do art. 68 ust. 1 u.ś.p., są uprawnieni do kontrolowania ubezpieczonych, co do prawidłowości wykorzystywania zwolnień od pracy, zgodnie z ich celem oraz są upoważnieni do formalnej kontroli zaświadczeń lekarskich. Płatnik składek, zgodnie z § 8 Rozporządzenia, wystawia osobie kontrolującej prawidłowość wykorzystywania zwolnień lekarskich od pracy imienne upoważnienie, które uprawnia do wykonywania kontroli również w miejscu zamieszkania, miejscu czasowego pobytu lub miejscu zatrudnienia osoby kontrolowanej. Stosownie do § 10 Rozporządzenia wątpliwości, czy zwolnienie lekarskie od pracy wykorzystywane było niezgodnie z jego celem, rozstrzyga właściwa jednostka organizacyjna ZUS, uzyskując w miarę potrzeby opinię lekarza leczącego, i wydaje w razie sporu decyzję, od której przysługują środki odwoławcze określone w odrębnych przepisach.

Zgodnie z art. 59 ust. 1 u.ś.p. prawidłowość orzekania o czasowej niezdolności do pracy z powodu choroby oraz wystawiania zaświadczeń lekarskich podlega kontroli. Kontrolę wykonują lekarze orzecznicy ZUS (art. 59 ust. 2 u.ś.p.). W celu kontroli lekarz orzecznik ZUS może zażądać od wystawiającego zaświadczenie lekarskie udostępnienia dokumentacji medycznej dotyczącej ubezpieczonego stanowiącej podstawę wydania zaświadczenia lekarskiego lub udzielenia wyjaśnień i informacji w sprawie (art. 59 ust. 3 pkt 3 u.ś.p.).

Prezes UODO w związku z tym stwierdził, że ZUS był uprawniony do pozyskania danych osobowych Skarżącego w ramach prowadzonej kontroli wykorzystania zwolnienia lekarskiego. Kompetencje takie przyznaje mu bowiem ww. art. 68 u.ś.p. Z przeprowadzeniem tej kontroli wiąże się konieczność przetwarzania danych osobowych Skarżącego.

Prezes UODO nie podzielił też zarzutu Skarżącego, że kontrolę tę ZUS mógł przeprowadzać wyłącznie w miejscu zamieszkania, miejscu czasowego pobytu, lub miejscu zatrudnienia kontrolowanej osoby, gdyż § 8 Rozporządzenia wskazuje, że osoba upoważniona uprawniona jest do dokonywania kontroli również w miejscu zamieszkania, miejscu czasowego pobytu, lub miejscu zatrudnienia kontrolowanej osoby, co nie pozbawia ZUS uprawnienia do pozyskiwania informacji w inny sposób i z innych źródeł, w zakresie niezbędnym do ustalenia stanu faktycznego, w tym skierowania wystąpienia do OIRP o udzielenie informacji dotyczących Skarżącego, czy też pozyskiwania informacji z dokumentacji medycznej. W ramach bowiem realizacji świadczeń z ubezpieczenia społecznego ZUS ma prawo do nieodpłatnego korzystania z dokumentacji medycznej zakładów opieki zdrowotnej, na podstawie art. 77 ust. 5 ustawy o systemie ubezpieczeń społecznych.

Prezes UODO stwierdził, że poza jego oceną jest kwestia czy po stronie ZUS w związku z prowadzoną kontrolą wykorzystania zwolnienia lekarskiego wystąpiła potrzeba uzyskania opinii lekarza leczącego, o której mowa w § 10 ww. Rozporządzenia, jak również, czy ZUS w sposób właściwy określił zakres czasowy prowadzonej kontroli. Dysponentem postępowania jest ZUS, i to on decyduje, jakie dane są mu niezbędne w ramach prowadzonego postępowania do wydania decyzji. Prezes UODO, podejmując działania w oparciu o kompetencje przyznane mu przepisami u.o.d.o., nie może wkraczać w zakres kompetencji innych podmiotów zastrzeżonych zgodnie z prawem. Nie może podejmować czynności dotyczących oceny postępowań prowadzonych przez inne organy na podstawie właściwych przepisów prawa.

Skoro pozyskanie danych osobowych Skarżącego przez ZUS ma oparcie we wskazanych przepisach prawa i w przesłance zapewniającej zgodność przetwarzania z prawem, która wynika z art. 6 ust. 1 lit. c RODO w zakresie jego danych zwykłych dotyczących uczestnictwa w zajęciach na aplikacji radcowskiej, było bowiem niezbędne do wypełnienia obowiązku prawnego ciążącego na ZUS, należało uznać, że w sprawie nie doszło do naruszenia przepisów RODO i niemożliwe było wydanie decyzji nakazującej usunięcia danych Skarżącego, na podstawie art. 58 ust. 2 RODO. Przesłankę legalizującą przetwarzanie danych szczególnej kategorii stanowi zarówno art. 9 ust. 2 lit. b RODO w związku z wypełnieniem obowiązków i wykonywaniem szczególnych praw przez ZUS w dziedzinie zabezpieczenia społecznego, jak i art. 9 ust. 2 lit h RODO w związku z zarządzaniem systemami i usługami zabezpieczenia społecznego. Obie te przesłanki zakładają istnienie podstawy prawnej w postaci przepisu na szczeblu Unii Europejskiej bądź przyjętym przez państwo członkowskie Unii Europejskiej. W tym przypadku, podstawę taką stanowią obowiązujące w prawie krajowym przepisy u.ś.p.

Art. 68 u.ś.p. należy uznać za przepis zezwalający również na przetwarzanie danych osobowych szczególnej kategorii przez ZUS. Powyższe oznacza, że przetwarzanie danych osobowych przez ZUS pochodzących z dokumentacji medycznej ma oparcie w przesłankach określonych w art. 9 ust. 2 lit. b i h RODO.

Ze względu na brak naruszenia przepisów RODO postępowanie podlega obligatoryjnemu umorzeniu, na mocy art. 105 § 1 k.p.a. wobec jego bezprzedmiotowości.

2. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie Skarżący wniósł o uchylenie ww. decyzji Prezesa UODO i przekazanie sprawy do ponownego rozpatrzenia, z uwagi na naruszenie:

a) art. 7 Konstytucji RP przez jego niezastosowanie, gdzie ZUS jest organem władzy publicznej i objęty jest zakresem tej normy, co doprowadziło do kolejnych naruszeń prawa materialnego;

b) art. 51 ust 2 Konstytucji RP przez jego niezastosowanie, gdzie ZUS pozyskiwał, gromadził i udostępniał informacje o Skarżącym inne niż niezbędne w demokratycznym państwie prawnym (dane o uczestnictwie w aplikacji i dokumentacja medyczna), gdy informacje niezbędne to takie, które ZUS może zbierać na podstawie prawa do procedur przewidzianych prawem;

c) art. 6 ust. 1 lit c RODO przez jego zastosowanie w zakresie pozyskiwania danych dotyczących uczestnictwa w aplikacji radcowskiej przez ZUS, w sprawie, w której do takiej procedury pozyskiwania danych ZUS nie ma podstawy działania w przepisach prawnych;

d) art. 9 ust. 2 lit. b RODO przez jego zastosowanie w zakresie pozyskiwania danych dotyczących dokumentacji medycznej przez ZUS w sprawie, w której do takiej procedury pozyskiwania danych ZUS nie ma podstawy działania w przepisach prawnych oraz zbieranie tych danych nie było niezbędne ponieważ istnieją inne procedury przewidziane prawem;

e) art. 9 ust 2 lit h RODO przez jego zastosowanie w zakresie pozyskiwania danych, dotyczących, dokumentacji, medycznej przez ZUS w sprawie, w której do takiej procedury pozyskiwania danych ZUS nie ma podstawy działania w przepisach, prawnych oraz zbieranie tych danych wic było niezbędne ponieważ istnieją inne procedury przewidziane prawem.

Skarżący w obszernym uzasadnieniu skargi rozwinął powyższe zarzuty i stwierdził, że wadliwość decyzji wynika z niezastosowania przepisów prawa materialnego w szczególności normy zawartej w Konstytucji RP i będącą jednocześnie zasadą praworządności. Nakaz wyrażony w art. 7 Konstytucji RP adresowany jest do organów władzy publicznej. Pojęcie to na gruncie Konstytucji RP należy rozumieć szeroko. W jego zakres wchodzą organy państwa, inne organy władzy publicznej, które realizują władztwo publicznej. Stosownie do art. 7 Konstytucji RP, organy władzy publicznej działają na podstawie i w granicach prawa. Oznacza to m.in. kompetencje organów władzy publicznej powinny zostać jednoznacznie i precyzyjnie określone w przepisach prawa, wszelkie działania tych organów powinny mieć podstawę w takich przepisach, a - w razie wątpliwości interpretacyjnych - kompetencji organów władzy publicznej nie można domniemywać. W ocenie Skarżącego żaden przepis nie daje kompetencji ZUS do zbierania danych w nieograniczonym zakresie i dowolnej procedurze. Skarżący stwierdził, że ZUS posiada kompetencje do kontroli zwolnień lekarskich i prawidłowości ich wykorzystywania, ale ich nie wykorzystał, a zastosował procedurę odmienną, nieprzewidzianą przez system prawa, do czego niezbędne było zbieranie danych bez podstawy prawnej.

Skarżący stwierdził, że u.ś.p. przewiduję jedynie dwa tryby postępowania w zakresie kontroli legalności pobierania zasiłku chorobowego. Pierwsza jest unormowana w art. 59 i dotyczy prawidłowości orzekania o czasowej niezdolności do pracy oraz wystawiania zaświadczeń lekarskich. Kontrolę tą wykonują lekarze orzecznicy ZUS. Drugą procedurę przewiduje art. 68 i dotyczy ona formalnej kontroli prawidłowości wykorzystywania zwolnień od pracy, zgodnie z ich celem oraz dotyczy ona zaświadczeń lekarskich. Uprawnieni do kontroli są ZUS i płatnicy składek. Konsekwencją stwierdzenia nieprawidłowości w tej procedurze możliwe jest zastosowanie sankcji o której mowa w art. 17 u.ś.p. ZUS nie wystąpił do lekarza orzecznika o przeprowadzenie czynności, do których lekarz jest uprawniony na podstawie art. 59 ust. 3 u.ś.p., lecz wnioskował o wydanie opinii w sprawie przeciwwskazań do uczestnictwa w zajęciach i możliwości pogorszenia stanu, zdrowia lub przedłużenia okresu, niezdolności do pracy. Lekarz orzecznik nie posiada uprawnień do wydania takiej opinii, a mimo to ZUS przekazał jego dane osobowe lekarzowi orzecznikowi. Druga procedura dotyczy kontroli prawidłowości wykorzystywania zwolnień od pracy, zgodnie z ich celem oraz dotyczy formalnej kontroli zaświadczeń lekarskich. ZUS tej procedury nie zastosował, ale zastosował ją pracodawca. Kontrola nie wykazała żadnych, nieprawidłowości, a zgodnie § 10 Rozporządzenia w razie wątpliwości, ZUS powinien wystąpić o opinię do lekarka leczącego a nie (tak jak to uczynił w niniejszej sprawie) do lekarza orzecznika. Zdaniem Skarżącego ZUS mógł udostępnić jego dane osobowe lekarzowi leczącemu a nie lekarzowi orzecznikowi. Kontrola dotyczy czynności teraźniejszych wykonywanych przez ubezpieczonego, a nie byłych czynności.

3. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko w sprawie.

II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

1. Skarga nie ma uzasadnionych podstaw.

2. Sąd na wstępie wyjaśnia, że sprawę rozpoznano na posiedzeniu niejawnym, w oparciu o zarządzenie Przewodniczącego Wydziału II Wojewódzkiego Sądu Administracyjnego w Warszawie z 23 lipca 2021r. Zgodnie bowiem z obowiązującym w dniu wydania ww. zarządzenia art. 15zzs4 ust. 3 ustawy z 2 marca 2020r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz.U. z 2020r., poz. 374 ze zm.), znowelizowanej ustawą z 14 maja 2020r. o zmianie niektórych ustaw w zakresie działań osłonowych w związku z rozprzestrzenianiem się wirusa SARS-CoV-2 (Dz.U. z 2020r., poz. 875 ze zm. – art. 46 pkt 21) "Przewodniczący może zarządzić przeprowadzenie posiedzenia niejawnego, jeżeli uzna rozpoznanie sprawy za konieczne, a przeprowadzenie wymaganej przez ustawę rozprawy mogłoby wywołać nadmierne zagrożenie dla zdrowia osób w niej uczestniczących i nie można przeprowadzić jej na odległość z jednoczesnym bezpośrednim przekazem obrazu i dźwięku. Na posiedzeniu niejawnym w tych sprawach sąd orzeka w składzie trzech sędziów."

Ww. przepis należy traktować jako "szczególny" w rozumieniu art. 10 i art. 90 § 1 ustawy z 30 sierpnia 2002r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019r., poz. 2325 ze zm., zwanej dalej "P.p.s.a."). Prawo do jawnej rozprawy nie jest prawem o charakterze absolutnym, więc może podlegać ograniczeniom. Takie ograniczenia mogą wynikać z art. 31 ust. 3 Konstytucji RP, w którym wskazano warunki, jakie należy spełnić by móc ograniczyć korzystanie z konstytucyjnych wolności i praw. Po pierwsze ograniczenie powinno być wprowadzone do obrotu prawnego na poziomie ustawy. Po drugie ograniczenie musi być konieczne w demokratycznym państwie, np. dla ochrony zdrowia. Po trzecie, ograniczenie winno być proporcjonalne do chronionej wolności w sensie ścisłym. Skoro celem stosowania przepisów zawartych w ww. ustawie o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19 (...) jest m.in. ochrona życia i zdrowia ludzkiego w związku z zapobieganiem i zwalczaniem zakażenia wirusem COVID-19, zaś organy wymiaru sprawiedliwości, mając na uwadze, że pandemia nie ustąpiła, winny uwzględniać w orzekaniu normy wynikające z powyższych przepisów, to Przewodniczący Wydziału II WSA w Warszawie, z ww. powodów, skierował sprawę do rozpoznania na posiedzeniu niejawnym.

3. Sąd stwierdza ponadto, że zgodnie z art. 1 § 1 i 2 ustawy z 25 lipca 2002r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2019r., poz. 2167 ze zm., zwana dalej "P.u.s.a.") kontrola sądowa zaskarżonych decyzji, postanowień bądź innych aktów, wymienionych w art. 3 § 2 P.p.s.a. sprawowana jest przez Sądy administracyjne w oparciu o kryterium zgodności z prawem. W związku z tym, aby wyeliminować z obrotu prawnego akt wydany przez organ administracji publicznej (np. decyzję) konieczne jest stwierdzenie, że doszło w niej do naruszenia bądź przepisu prawa materialnego w stopniu mającym wpływ na wynik sprawy, bądź przepisu postępowania w stopniu mogącym mieć istotny wpływ na rozstrzygnięcie, albo też przepisu prawa dającego podstawę do wznowienia postępowania, lub ewentualnie ustalenie, że decyzja lub postanowienie organu dotknięte jest wadą nieważności (art. 145 § 1 pkt 1 lit. a)-c), pkt 2 P.p.s.a.).

W razie nieuwzględnienia skargi w całości albo w części Sąd, na mocy art. 151 P.p.s.a., oddala skargę odpowiednio w całości albo w części.

Sąd wyjaśnia również, że stosownie do art. 134 § 1 P.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną z zastrzeżeniem art. 57a. Ostatni z ww. przepisów nie miał jednak zastosowania w sprawie, gdyż organ administracyjny wydał decyzję administracyjną, którą zaskarżył Skarżący, a nie interpretację indywidualną, o której mowa w art. 57a P.p.s.a.

4. Sąd - oceniając w świetle wskazanych wyżej kryteriów zaskarżoną decyzję Prezesa UODO z [...] czerwca 2020r. - uznał, że nie naruszała ona obowiązujących przepisów prawa, wskazanych w jej podstawie prawnej, ani przepisów prawa powołanych przez Skarżące w skardze. Wbrew stanowisku prezentowanemu przez Skarżącego w uzasadnieniu skargi Prezes UODO przed wydaniem zaskarżonej prawidłowo ustalił stan faktyczny sprawy, a przy rozpoznawaniu sprawy wziął pod rozwagę wszystkie okoliczności faktyczne, mające znaczenie w sprawie, czemu dał wyraz w uzasadnieniu tej decyzji. Tym samym, w ocenie Sądu, Prezes UODO nie naruszył fundamentalnych zasad określonych w art. 7 i 51 ust. 2 Konstytucji RP, jak również reguł wynikających z art. 7, art. 8, art. 77 § 1, art. 80 i art. 105 § 1 k.p.a. w stopniu, który mógł mieć istotny wpływ na wynik sprawy. Uzasadnienie zaskarżonej decyzji zostało też skonstruowane w sposób zgodny z art. 107 § 1 i 3 k.p.a.

Sąd zgadza się ze stanowiskiem prezentowanym w zaskarżonej decyzji, że każdy proces przetwarzania danych osobowych musi być zgodny z prawem. Oznacza to, że administrator, przetwarzając dane osobowe zwykłe musi legitymować się przynajmniej jedną z przesłanek określonych w art. 6 ust. 1 RODO, zaś w przypadku przetwarzania danych szczególnej kategorii jedną z przesłanek określonych w art. 9 ust. 2 RODO. Katalog przesłanek wymienionych w art. 6 ust. 1 i art. 9 ust. 2 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z RODO, również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek.

Stosownie do motywu 45 Preambuły RODO, jeżeli przetwarzanie odbywa się w celu wypełnienia obowiązku prawnego, któremu podlega administrator, lub jeżeli jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, podstawę przetwarzania powinno stanowić prawo Unii lub prawo państwa członkowskiego. RODO nie nakłada wymogu, aby dla każdego indywidualnego przetwarzania istniało szczegółowe uregulowanie prawne. Wystarczyć może to, że dane uregulowanie prawne stanowi podstawę różnych operacji przetwarzania, wynikających z obowiązku prawnego, któremu podlega administrator, lub że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej.

W RODO wskazuje się ponadto, że należy zezwolić na wyjątki od zakazu przetwarzania szczególnych kategorii danych osobowych, jakimi są dane o stanie zdrowia zawarte w dokumentacji medycznej. Taki wyjątek, wedle motywu 52 RODO, może być przewidziany ze względu na cele zdrowotne, w tym związane ze zdrowiem publicznym oraz zarządzaniem usługami opieki zdrowotnej, w szczególności zapewnianiem jakości i ekonomiczności procedur stosowanych do rozstrzygania roszczeń w sprawie świadczeń i usług w ramach systemu ubezpieczeń zdrowotnych.

Zdaniem Sądu Prezes UODO prawidłowo wskazał w uzasadnieniu zaskarżonej decyzji, że w sprawie, przy dokonywaniu oceny legalności pozyskania przez ZUS danych osobowych Skarżącego należało wziąć pod uwagę przepisy u.ś.p. dotyczące zasiłków chorobowych. Zgodnie z art. 17 ust. 1 u.ś.p. ubezpieczony wykonujący w okresie orzeczonej niezdolności do pracy pracę zarobkową lub wykorzystujący zwolnienie od pracy w sposób niezgodny z celem tego zwolnienia, traci prawo do zasiłku chorobowego za cały okres tego zwolnienia. W myśl art. 17 ust. 3 u.ś.p. okoliczności, o których mowa w ust. 1 i 2, ustala się w trybie określonym w art. 68 u.ś.p. ZUS oraz płatnicy składek, o których mowa w art. 61 ust. 1 pkt 1 u.ś.p., stosownie do art. 68 ust. 1 u.ś.p., są uprawnieni do kontrolowania ubezpieczonych, co do prawidłowości wykorzystywania zwolnień od pracy zgodnie z ich celem oraz są upoważnieni do formalnej kontroli zaświadczeń lekarskich.

Zgodnie z art. 59 ust. 1 u.ś.p. prawidłowość orzekania o czasowej niezdolności do pracy z powodu choroby oraz wystawiania zaświadczeń lekarskich podlega kontroli. Kontrolę wykonują lekarze orzecznicy ZUS (art. 59 ust. 2 u.ś.p.). W celu kontroli lekarz orzecznik ZUS może zażądać od wystawiającego zaświadczenie lekarskie udostępnienia dokumentacji medycznej dotyczącej ubezpieczonego stanowiącej podstawę wydania zaświadczenia lekarskiego lub udzielenia wyjaśnień i informacji w sprawie (art. 59 ust. 3 pkt 3 u.ś.p.).

Płatnik składek, zgodnie z § 8 Rozporządzenia, wystawia osobie kontrolującej prawidłowość wykorzystywania zwolnień lekarskich od pracy imienne upoważnienie, które uprawnia do wykonywania kontroli również w miejscu zamieszkania, miejscu czasowego pobytu lub miejscu zatrudnienia osoby kontrolowanej. Stosownie do § 10 Rozporządzenia wątpliwości, czy zwolnienie lekarskie od pracy wykorzystywane było niezgodnie z jego celem, rozstrzyga właściwa jednostka organizacyjna ZUS, uzyskując w miarę potrzeby opinię lekarza leczącego, i wydaje w razie sporu decyzję, od której przysługują środki odwoławcze określone w odrębnych przepisach.

Prawidłowa w związku z tym była ocena Prezesa UODO - wbrew stanowisku Skarżącego - że ZUS był uprawniony do pozyskania danych osobowych Skarżącego w ramach prowadzonej kontroli wykorzystania zwolnienia lekarskiego. Skoro zatem z przeprowadzeniem tej kontroli wiąże się konieczność przetwarzania danych osobowych Skarżącego, nie można uznać, że ZUS dopuścił się naruszenia przepisów o ochronie danych osobowych powołanych w skardze. ZUS ramach realizacji świadczeń z ubezpieczenia społecznego ma prawo do nieodpłatnego korzystania z dokumentacji medycznej zakładów opieki zdrowotnej, na podstawie art. 77 ust. 5 ustawy o systemie ubezpieczeń społecznych. Skoro więc lekarz orzecznik ZUS, w celu wydania opinii polecił pozyskanie dokumentacji medycznej, na mocy ww. przepisu - art. 77 ust. 5 ustawy o systemie ubezpieczeń społecznych oraz art. 26 ust. 3 pkt 5 ustawy z 6 listopada 2008r. o prawach pacjenta i Rzeczniku Praw Pacjenta, nie sposób mówić o nielegalności w przetwarzaniu danych osobowych Skarżącego przez ZUS. Warto też wskazać, że każdy organ administracji publicznej, w tym ZUS, kontrolując zwolnienia lekarskie ma obowiązek stosować przepisy k.p.a. Stosownie zaś do art. 75 § 1 k.p.a. ma możliwość dopuścić jako dowód wszystko, co może przyczynić się do wyjaśnienia sprawy, a nie jest sprzeczne z prawem. W szczególności dowodem mogą być dokumenty, zeznania świadków, opinie biegłych oraz oględziny. ZUS ma obowiązek przestrzegać również innych reguł wynikających z k.p.a. Tym niemniej Sąd wskazuje, że Prezes UODO, podejmując działania w oparciu o kompetencje przyznane mu przepisami u.o.d.o., nie może wkraczać w zakres kompetencji zastrzeżonych, zgodnie z prawem, innym podmiotom, jak również oceniać postępowań prowadzonych przez inne organy na podstawie właściwych przepisów prawa. Prezes UODO nie jest więc właściwy do ocen, czy ZUS w toku postępowania, mając na względzie art. 7, art. 77, art. 75, art. 80 k.p.a., przeprowadził właściwe postępowanie dowodowe. Rację miał także Prezes UODO, wskazując w uzasadnieniu zaskarżonej decyzji, że poza Jego oceną jest kwestia, czy w ZUS, w związku z prowadzoną kontrolą wykorzystania zwolnienia lekarskiego Skarżącego, wystąpiła potrzeba uzyskania opinii lekarza leczącego, o której mowa w § 10 ww. Rozporządzenia, jak również, czy ZUS w sposób właściwy określił zakres czasowy prowadzonej kontroli.

Prezes UODO prawidłowo natomiast, powołując się w zaskarżonej decyzji na ww. przepisy prawa materialnego: art. 17 ust. 1, 2, art. 61 ust. 1 pkt 1 art. 68 ust. 1, art. 59 ust. 1-3 u.ś.p., art. 77 ust. 5 ustawy o systemie ubezpieczeń społecznych oraz art. 26 ust. 3 pkt 5 ustawy z 6 listopada 2008r. o prawach pacjenta i Rzeczniku Praw Pacjenta, § 5 ust. 1 pkt 1 i 2, § 8, § 10 Rozporządzenia, wyjaśnił, że ZUS miał prawo do przetwarzania danych osobowych Skarżącego. Skoro pozyskanie danych osobowych Skarżącego przez ZUS miało oparcie w ww. przepisach prawa, w tym w zakresie: zwykłych danych osobowych Skarżącego, dotyczące uczestnictwa w zajęciach na aplikacji radcowskiej - w przesłankach z art. 6 ust. 1 lit. c RODO, bo było niezbędne do wypełnienia obowiązku prawnego ciążącego na ZUS; oraz danych szczególnej kategorii w przesłankach z: - art. 9 ust. 2 lit. b RODO w związku z wypełnieniem obowiązków i wykonywaniem szczególnych praw przez ZUS w dziedzinie zabezpieczenia społecznego, jak i - art. 9 ust. 2 lit h RODO w związku z zarządzaniem systemami i usługami zabezpieczenia społecznego oraz w art. 68 u.ś.p. - należało uznać, że w sprawie nie doszło do naruszenia przepisów RODO powołanych w skardze i Prezes UODO nie mógł wydać decyzji nakazującej usunięcie danych Skarżącego, na podstawie art. 58 ust. 2 RODO. Obie ww. przesłanki zakładają istnienie podstawy prawnej w postaci przepisu na szczeblu Unii Europejskiej bądź przyjętym przez państwo członkowskie Unii Europejskiej. Dodatkowo przetwarzanie danych osobowych przez ZUS, pochodzących z dokumentacji medycznej ma oparcie w przesłankach określonych w art. 9 ust. 2 lit. b i h RODO.

Sąd w związku z tym zaaprobował stanowisko Prezesa UODO o umorzeniu, na mocy art. 105 § 1 k.p.a. postępowania administracyjnego wszczętego na mocy skargi Skarżącego na nieprawidłowości w przetwarzaniu jego danych osobowych przez ZUS. W sprawie brak było podstaw do rozstrzygnięcia sprawy co do istoty.

4. Sąd, w tym stanie rzeczy, na podstawie art. 151 i art. 132 P.p.s.a., orzekł, jak w sentencji wyroku.