Odmowa udostępnienia informacji dotyczących sposobów kontroli pracowników przez ZUS

Naczelny Sąd Administracyjny uznał, że ZUS ma prawo odmówić udostępnienia informacji dotyczących urządzeń lub programów kontroli pracowników ze względu na konieczność zachowania poufności danych. Fundacja „P.” wniosła o udostępnienie trzech ankiety dotyczących monitoringu wizyjnego, kontroli pracowników oraz weryfikacji tożsamości. Sprawa dotyczyła obowiązków administratora baz danych, ochrony danych osobowych i przetwarzania dokumentów źródłowych w ZUS.

Tematyka: ZUS, kontrola pracowników, Naczelny Sąd Administracyjny, tajemnica danych, ochrona danych osobowych, Fundacja „P.”

Obowiązkiem zachowania w tajemnicy danych zawartych w bazach i dokumentach, jak również informacji co
do sposobu ich zabezpieczenia można uzasadnić odmowę udostępnienia przez Prezesa ZUS informacji
dotyczących urządzeń lub programów służących do kontroli pracowników – uznał Naczelny Sąd
Administracyjny.
Fundacja „P.” wystąpiła z wnioskiem o udostępnienie informacji publicznej zawierającym trzy ankiety dotyczące:
wykorzystywania monitoringu wizyjnego w siedzibach oddziałów i Centrali ZUS, urządzeń lub programów służących
do kontroli pracowników oraz urządzeń lub systemów do automatycznej weryfikacji tożsamości osób wchodzących
do budynków ZUS, a także wykorzystywania narzędzi do automatycznej lub półautomatycznej analizy danych.
Prezes ZUS początkowo odmówił udostępnienia wnioskowanej informacji publicznej, jednak na skutek wniosku
o ponowne rozpoznanie sprawy udostępnił żądane informacje co do wykorzystywania monitoringu wizyjnego. Organ
utrzymał zaskarżoną decyzję w pozostałym zakresie. Jak wyjaśniono, ZUS na podstawie art. 33 ust. 1 ustawy
z 13.10.1998 r. o systemie ubezpieczeń społecznych (t. jedn.: Dz.U. z 2015 r. poz. 121), jest administratorem m.in.
trzech rozległych baz danych w postaci Centralnego Rejestru Ubezpieczonych, Centralnego Rejestru Płatników
Składek oraz Centralnego Rejestru Członków Otwartych Funduszy Emerytalnych oraz innych rejestrów niezbędnych
do realizacji zadań określonych odrębnymi przepisami, a także przetwarza dokumenty źródłowe stanowiące
podstawę do ustalania praw i obowiązków ubezpieczonych oraz płatników składek i innych podmiotów określonych
w przepisach prawa. Na podstawie art. 36 ust. 1 ustawy z 29.8.1997 r. o ochronie danych osobowych (t. jedn.: Dz.U.
z 2014 r., poz. 1182; dalej jako: OchrDanOsobU), ZUS zobowiązany jest do stosowania środków technicznych
i organizacyjnych zapewniających ochronę przetwarzania danych zgromadzonych we wskazanych bazach. Wśród
wielu środków, które składają się na powyższą ochronę należy wymienić m.in. zabezpieczenie baz danych
i dokumentów przed dostępem do nich osób nieupoważnionych, co realizowane jest przez system złożony
z wzajemnie współzależnych elementów, do których zaliczają się budynki, urządzenia techniczne i programy
komputerowe oraz ich umiejscowienie i stopień aktywnego wykorzystania, jak również sposób organizacji pracy,
w tym zasady dostępu do baz danych i dokumentów oraz ich obiegu w ZUS. W ocenie organu, pytania zawarte
w ankiecie załączonej do wniosku o udostępnienie informacji publicznej dotyczą większości z istotnych elementów
składających się na system zabezpieczenia baz danych przed dostępem do nich osób nieupoważnionych. Dlatego
organ stwierdził, że ZUS jako administrator baz danych oraz dokumentów źródłowych, a zwłaszcza pracownicy ZUS,
jako osoby upoważnione do przetwarzania danych zawartych w tych bazach i dokumentach mają, wynikający z art.
39 ust. 2 OchrDanOsobU, obowiązek zachowania w tajemnicy nie tylko danych zawartych w tych bazach
i dokumentach, ale również informacji co do sposobu zabezpieczenia baz danych i dokumentów. Tak więc pomimo,
że informacje, jakich udostępnienia żąda wnioskujący, mają charakter informacji publicznej, to – z uwagi na treść art.
5 ust. 1 ustawy z 6.9.2001 r. o dostępie do informacji publicznej (t. jedn.: Dz.U. z 2015 r. poz. 2058; dalej jako:
InfPublU) w zw. z art. 39 ust. 2 OchrDanOsobU – prawo dostępu do informacji publicznej doznaje w tym przypadku
ograniczenia.
Fundacja „P.” wniosła skargę podkreślając, że wniosek jest elementem projektu, którego celem jest zbadanie praktyk
instytucji publicznych w zakresie nabywania i wykorzystywania urządzeń oraz programów służących zbieraniu
i analizie informacji na potrzeby zapewniania porządku i bezpieczeństwa publicznego, wykrywania nadużyć, czy
zarządzania. W ocenie Fundacji „P.” rozwój środków technologicznych umożliwiających kontrolę pracowników oraz
urządzeń do automatycznej weryfikacji tożsamości osób wchodzących do budynków, stawia nowe wyzwana
w zakresie ochrony prywatności i innych praw osób nadzorowanych.
Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę. Administrator ma zapewnić ochronę przetwarzanych
danych osobowych poprzez zastosowanie odpowiednich, czyli skutecznych, środków technicznych i organizacyjnych.
Ustawodawca nie przesądza, jakie to mają być środki. Mogą być one różnego rodzaju, od rozwiązań
architektoniczno-budowlanych przez systemy alarmowe i służby ochrony, aż po środki technicznego i czysto
informatycznego charakteru. Przepis art. 39 ust. 2 OchrDanOsobU wprost nakazuje zachować w tajemnicy
informacje dotyczące sposobu zabezpieczania danych osobowych. Tajemnica osoby upoważnionej do
przetwarzania danych osobowych (odpowiednio zobowiązanej do zachowania w tajemnicy sposobu ich
zabezpieczenia) to tajemnica publicznoprawna, ustanowiona w drodze ustawy (wyznaczającej zakres
informacji objętych ochroną), a OchrDanOsobU przewiduje zasady odpowiedzialności za naruszenie
tajemnicy. Oznacza to, że wyłączenie z jawności publicznej informacji o sposobach zabezpieczania danych
osobowych (w tym systemach technicznych i programach komputerowych) jest zgodne z postanowieniami
art. 5 ust. 1 InfPublU. Zatem żądana przez stronę skarżącą informacja publiczna w postaci podania urządzeń

lub programów służących kontroli pracowników oraz urządzeń lub systemów do automatycznej weryfikacji
tożsamości osób wchodzących do budynków ZUS, jako istotna część techniczna sytemu ochrony baz
danych, korzysta z ochrony prawnej określonej powyższym przepisem. Nie bez znaczenia przy tym pozostaje
kwestia odpowiedzialności za złamanie obowiązku poufności. Obowiązek zachowania danych osobowych
i systemów zabezpieczeń tych danych w tajemnicy oznacza zakaz ich ujawniania innym osobom, przekazywania,
wykorzystywania. Naruszenie tego obowiązku może skutkować odpowiedzialnością karną przewidzianą nie tylko
w art. 51 i 52 OchrDanOsobU, jak również w Kodeksie karnym.
Sąd podkreślił, że racjonalny ustawodawca nie dopuszcza do sytuacji, w której, z jednej strony, przepisem
ustawowym nakazuje podmiotowi pod rygorem odpowiedzialności karnej zachowanie w poufności informacji
o sposobach zabezpieczania danych osobowych, z drugiej zaś, innym przepisem rangi ustawowej wyłącza ten
obowiązek. W takich sytuacjach trzeba mieć na względzie pewną spójność systemu prawa, która w tym przypadku
ustanawia prymat ochrony informacji nad prawem do jej uzyskania przez obywatela. Zwłaszcza, jeśli weźmie się pod
uwagę, że organ nie odmawia udostępnienia informacji o danych ogólnych, lecz danych zindywidualizowanych,
o stosowanych rozwiązaniach technicznych, a wchodzących w skład systemu ochrony danych osobowych.
Naczelny Sąd Administracyjny oddalił skargę kasacyjną podkreślając związanie zarzutami w niej
wskazanymi. W uzasadnieniu wyroku podkreślono zobowiązanie osób, które zostały upoważnione do
przetwarzania danych do zachowania w tajemnicy zarówno danych osobowych, jak również sposobów ich
zabezpieczenia. Wynikający z art. 39 ust. 2 OchrDanOsobU obowiązek należy traktować jako tajemnicę
ustawową.
Wyrok NSA z 9.3.2018 r., I OSK 862/16

Naczelny Sąd Administracyjny oraz Wojewódzki Sąd Administracyjny odrzucili skargi dotyczące udostępnienia informacji o kontrolach pracowników przez ZUS. Decyzje te wynikają z obowiązku zachowania tajemnicy dotyczącej sposobów zabezpieczania danych osobowych. NSA podkreślił istotę przestrzegania przepisów o ochronie danych osobowych i konieczność zachowania poufności danych i informacji.