Informowanie ZUS o prawidłowości wykorzystywania zwolnień lekarskich a ochrona danych osobowych.

Ostatnio przedsiębiorcy będących płatnikami składek którzy zgłaszają do ubezpieczenia chorobowego powyżej 20 ubezpieczonych mogli otrzymać pismo z ZUS wskazujące na ustawowy obowiązek przeprowadzania przez nich kontroli prawidłowości wykorzystywania zwolnień lekarskich od pracy wraz z wzorem formularza, który miałby posłużyć do udzielania ZUS-owi za dany cykl miesięczny informacji w tym zakresie wraz z prośbą o jego przesyłanie do określonego dnia następnego miesiąca.

Co istotne ww. informacje miałyby obejmować również dane osobowe ubezpieczonego w postaci jego imienia i nazwiska oraz numeru PESEL w zestawieniu z informacjami o wyniku  kontroli, tj. czy zwolnienie zostało wykorzystywane zgodnie czy niezgodnie z przepisami.

Ww. prośba wywołała dyskusję co do podstawy prawnej dla przekazywania ww. informacji nią objętych. Warto się temu przyjrzeć również w kontekście ochrony danych osobowych, a w tym zakresie przede wszystkim na ile przedsiębiorca stosując się do ww. prośby nie narazi się na zarzut naruszenie regulacji Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony danych osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej: RODO).

Przepisy art. 61 ust. 1 ustawy z dnia 25 czerwca 1999 r.  o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa (dalej: ustawa) stanowią, iż płatnicy składek na ubezpieczenie chorobowe, którzy zgłaszają do ubezpieczenia chorobowego powyżej 20 ubezpieczonych ustalają prawo do zasiłków określonych w ustawie i ich wysokość oraz zasiłki te wypłacają (z zastrzeżeniem z pkt 2 lit. d ww. art. 61, że co do osób uprawnionym do zasiłków za okres po ustaniu ubezpieczenia realizuje już to ZUS).

Zgodnie natomiast z art. 68 ust. 1 ustawy ZUS oraz ww. płatnicy składek są uprawnieni do kontrolowania ubezpieczonych co do prawidłowości wykorzystywania zwolnień od pracy zgodnie z ich celem oraz są upoważnieni do formalnej kontroli zaświadczeń lekarskich.

Z kolej art.  68 ust. 2 ustawy zawiera delegacje do wydania rozporządzenia określającego szczegółowe zasady i tryb kontroli prawidłowości wykorzystywania zwolnień od pracy oraz formalnej kontroli zaświadczeń lekarskich. Takim rozporządzeniem jest rozporządzenie MPiPS z dnia 27 lipca 1999 r. w sprawie szczegółowych zasad i trybu kontroli prawidłowości wykorzystywania zwolnień lekarskich od pracy oraz formalnej kontroli zaświadczeń lekarskich. (dalej: rozporządzenie)

Zgodnie z § 7 rozporządzenia kontrola prawidłowości wykorzystywania zwolnień lekarskich od pracy powinna być dokonywana w miarę potrzeby, bez ustalania z góry stałych jej terminów, a nasilana szczególnie w okresach, w których występuje zwiększona absencja z powodu choroby lub sprawowania opieki. Przepisy § 5 i 6  rozporządzenia określają okoliczności podlegające ustaleniu w ramach takiej kontroli, a przepis § 9 rozporządzenia określa, iż w razie ich stwierdzenia w trakcie kontroli osoba kontrolująca sporządza protokół, w którym podaje, na czym polegało nieprawidłowe wykorzystywanie zwolnienia lekarskiego od pracy i należy go przedłożyć ubezpieczonemu w celu wniesienia przez niego uwag. Wątpliwości, czy zwolnienie lekarskie od pracy wykorzystywane było niezgodnie z jego celem, rozstrzyga właściwa jednostka organizacyjna ZUS, uzyskując w miarę potrzeby opinię lekarza leczącego, i wydaje w razie sporu decyzję, od której przysługują środki odwoławcze określone w odrębnych przepisach  (§ 10 rozporządzenia).

Ww. art. 68 ust. 1 ustawy stanowi nie o obowiązku, lecz o uprawnieniu do kontrolowania ubezpieczonych co do prawidłowości wykorzystywania zwolnień od pracy zgodnie z ich celem oraz o upoważnieniu do formalnej kontroli zaświadczeń lekarskich. Z kolei przepisy rozporządzenia nie stanowią o uprawnieniu do  cyklicznych miesięcznych kontroli, lecz o kontroli w miarę potrzeby, bez ustalania z góry stałych jej terminów (ww. § 7 rozporządzenia). Ponadto nie wynika z nich ani obowiązek, ani uprawnienie do dokumentowania - poprzez sporządzenie  protokołu, o którym mowa w ww. § 9 rozporządzenia - wyników kontroli z której ustaleń wynikałoby, że zwolnienie zostało wykorzystywane zgodnie z przepisami i udostępniania tych informacji ZUS. Przepis ten stanowi, iż osoba kontrolująca sporządza wskazany protokół w razie stwierdzenia w trakcie kontroli okoliczności, o których mowa w § 5 i 6 rozporządzenia, a więc tylko w takiej sytuacji,  i wówczas może to zostać poddane pod rozstrzygnięcie właściwej jednostki organizacyjna ZUS zgodnie z ww. § 10 rozporządzenia.

Wobec powyższego uprawnione jest stanowisko ze ww. przepisy nie stanowią  podstawy prawnej  dla udzielania ZUS cyklicznych miesięcznych informacji i to w oczekiwanym zakresie co do również kontroli z której ustaleń wynikałoby, że zwolnienie zostało wykorzystywane zgodnie z przepisami i udostępniania tych informacji dla ZUS.

Z uwagi na to ze ww. informacjami objęte byłyby dane osobowe ubezpieczonych należy mieć na względzie  konieczność przeanalizowania i dopełnienia obowiązków z zakresu ochrony danych osobowych i to przez takiego płatnika składek – przedsiębiorcę, jak  i przez ZUS.

Z punktu widzenia przedsiębiorcy podstawą kwestią jest konieczność wykazania podstawy prawnej dla dopełnienia obowiązku legalnego przetwarzania przez niego danych osobowych ubezpieczonych przy ich zakresie wskazanym  przez ZUS w ww. formularzu. Dotyczy to zarówno takich czynności jak tylko ich zbieranie i przechowywanie, ale i również następnie ich udostępnienia dla ZUS.

Konsekwencją stanowiska, że ww. przepisy nie stanowią  podstawy prawnej  dla zastosowania się do tak sformułowanej prośby ZUS jest niemożność powoływania się na spełnienie warunku z art. 6 ust. 1 lit. c), tj. iż przetwarzanie przetwarzania danych osobowych objętych dyspozycją art. 6 RODO: „jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze”. Przedsiębiorca, w tym jako płatnik składek, będący pracodawcą, może przetwarzać dane osobowe pracowników tylko w ograniczonym zakresie i celach. Możliwość powoływania się na inną przesłankę legalności przetwarzania tych danych jest jak nie wyłączone, to mocno ograniczone w świetle stanowisk i rozstrzygnięć organu nadzorczego, czego wyrazem są również najnowsze propozycje zmian przepisów art. 22 (1) Kodeksu Pracy w związku z regulacją RODO.

Z kolei wyjątkowość możliwości żądanie ujawnienia danych osobowych, z którym występują organy publiczne zaakcentowana została w motywie 31 RODO zd. 2, zgodnie z którym: „Żądanie ujawnienia danych osobowych, z którym występują takie organy publiczne, powinno zawsze mieć formę pisemną, być uzasadnione, mieć charakter wyjątkowy, nie powinno dotyczyć całego zbioru danych ani prowadzić do połączenia zbiorów danych. Przetwarzając otrzymane dane osobowe, takie organy powinny przestrzegać mających zastosowanie przepisów o ochronie danych, zgodnie z celami przetwarzania.”

W świetle powyższego -  przy aktualnym kształcie ww. regulacji - możliwość zastosowania się ww. prośby ZUS obarczone jest ryzykiem zarzutu naruszenie regulacji w zakresie ochrony danych już tylko w zakresie obowiązku dopełnienia obowiązku legalnego przetwarzania danych osobowych, nie mówiąc już o konieczności  przeanalizowania i dopełnienia pozostałych obowiązków, w tym konieczności wykazania przestrzegania takich zasad dotyczących przetwarzania danych osobowych w tym zakresie, jak zasady zgodności z prawem, ograniczenia celu, czy minimalizacji danych (por. art. 5 RODO).