Walka z ZUS o jawność

Czy opinia publiczna ma prawo wiedzieć, jak kontrolowani są pracownicy organu rentowego? Fundacja Panoptykon twierdzi, że tak. I walczy o dostęp do tych informacji w sądzie. W 2015 r. rozesłała do wielu instytucji ankiety z prośbą o wskazanie, czy wykorzystują one narzędzia służące automatycznemu zbieraniu informacji o aktywności swoich pracowników. Przykładowo: czy urząd monitoruje wejścia i wyjścia z budynku, czy komputery pracowników są na podglądzie itd.

Część urzędów odpowiedziało, ZUS odmówił.

- Odmawiając udzielenia informacji publicznej Fundacji Panoptykon, powołaliśmy się na ograniczenie jej udostępniania wynikające z przepisów o ochronie innych tajemnic ustawowo chronionych - informuje Radosław Milczarski z biura prasowego zakładu. Wskazuje, że z ustawy o ochronie danych osobowych (t.j. Dz.U. z 2014 r. poz. 1182 ze zm.) wynika, iż należy chronić informacje dotyczące sposobów zabezpieczenia danych osobowych.

- Uznano, że sposoby zabezpieczenia danych osobowych mają być nieujawniane przez osoby upoważnione do ich przetwarzania - argumentuje Milczarski. Mówiąc prościej: argumentacja przemawiająca za odmową udostępnienia informacji opiera się na tym, że groziłoby to wyciekiem. Na nim zaś straciliby i pracownicy ZUS, i być może nawet ubezpieczeni, których dane ZUS przechowuje.

Rację organowi przyznał Wojewódzki Sąd Administracyjny w Warszawie (wyrok z 21 grudnia 2015 r., sygn. akt II SA/Wa 1261/15). Eksperci z zakresu ochrony danych osobowych twierdzą jednak, że zarówno organ rentowy, jak i sąd wykazały się niezrozumieniem przepisów.

Fundacja Panoptykon złożyła skargę do NSA. Zarzuca w niej, że sąd pierwszej instancji niesłusznie przyjął, iż art. 36 ust. 1 i art. 39 ust. 2 ustawy o ochronie danych osobowych, na które powołał się ZUS, mogą być podstawą do odmowy udostępnienia informacji publicznej.

- Przepisy te stanowią jedynie o tym, że osoby upoważnione do przetwarzania danych osobowych są zobowiązane do zachowania w tajemnicy zarówno samych danych, jak i sposobów ich zabezpieczania. Regulacje te są więc tajemnicą pracowniczą, zakazującą udostępniania danych osobom nieupoważnionym - wskazuje Wojciech Klicki z Panoptykonu. Zwraca on uwagę także na to, że sąd bezpodstawnie przyjął, iż urządzenia i programy służące do kontroli pracowników są środkami zabezpieczania danych osobowych. - Pytania dotyczyły sposobu kontroli pracowników przez pracodawcę, a nie sposobów zapobiegania zagrożeniom dla bezpieczeństwa danych osobowych pochodzącym z zewnątrz - wskazuje Klicki.

Opinię tę podziela mec. Adrianna Gumowska z kancelarii Lach Janas Paśko Biernat. Jej zdaniem z analizy wyroku WSA wynika, że zarówno ZUS, jak i sąd nie do końca zrozumiały pytania fundacji.

- Nie można bowiem zaliczyć do jednej kategorii informacji dotyczących urządzeń lub programów służących kontroli pracowników oraz urządzeń lub systemów do automatycznej weryfikacji tożsamości osób wchodzących do budynków ZUS - wskazuje Gumowska.

Wyjaśnia, że w odniesieniu do urządzeń lub programów służących kontroli pracowników fundacji zależało na uzyskaniu informacji dotyczących zbierania przez ZUS danych w zakresie aktywności pracowników, m.in. w zakresie odwiedzanych przez nich w godzinach pracy stron internetowych. - Trudno więc zgodzić się z poglądem, że informacja o kontroli w takim zakresie związana jest w jakikolwiek sposób z systemami ochrony przetwarzania danych zgromadzonych w bazach ZUS. Już z tych względów krytycznie należy ocenić wyrok WSA - wskazuje prawniczka.

ZUS swoją argumentację podtrzymuje. Z przesłanej nam odpowiedzi wynika, że w jego ocenie należy system ochrony danych postrzegać jako całość. Składa się on z wzajemnie współzależnych elementów. Zaliczają się do nich m.in. zabezpieczenia budynków, urządzeń technicznych i programów komputerowych. Ale także zasady dostępu do tych baz. Gdyby więc ujawnione zostały choćby pojedyncze informacje, mogłoby się okazać, że cały system zostałby narażony na szwank.

Patryk Słowik

patryk.slowik@infor.pl