Naruszenie zasad przetwarzania danych

Nie jest wystarczające do przetwarzania danych upoważnienie wynikające ze stosunku prawnego łączącego daną osobę z administratorem danych, np. w związku z zawarciem umowy o pracę czy umowy zlecenia. Administrator danych jest obowiązany dołożyć szczególnej staranności w doborze osób upoważnionych do przetwarzania danych osobowych.

Tak orzekł Sąd Najwyższy w wyroku II PK 37/16 z 4 kwietnia 2017 r.

E.D. była zatrudniona w Oddziale Zakładu Ubezpieczeń Społecznych w B. (ZUS) na podstawie umowy o pracę na stanowisku kierowniczym. Równocześnie na podstawie umowy zlecenia świadczyła usługi dla R.W. który prowadził firmę P.W.J.M. Zakres zlecenia obejmował m.in. sporządzanie dokumentacji rozliczeniowej składek ZUS.

W ramach obowiązków służbowych w ZUS E.D. posiadała kartę magnetyczną z dostępem do systemu informatycznego, służącego przetwarzaniu danych osobowych. E.D. nadano upoważnienie do przetwarzania danych np. ubezpieczonych i świadczeniobiorców, w celach wynikających ze stosunku pracy. Własnoręcznym podpisem potwierdziła znajomość odpowiednich przepisów m.in.: kodeksu pracy, ustawy o ochronie danych osobowych, instrukcji zarządzania systemami informatycznymi.

16 października 2014 r. ZUS rozwiązał z E.D. umowę o pracę bez wypowiedzenia. Przyczyną było sprawdzenie i pobranie przez E.D. w systemie informatycznym ZUS dokumentacji rozliczeniowej składek na ubezpieczenie społeczne, przygotowanej i złożonej przez nią w imieniu płatnika - zleceniodawcy. Uznano, że E.D. w sposób nieuzasadniony wykorzystuje zasoby zgromadzone w ZUS, co zostało zakwalifikowane jako ciężkie naruszenie podstawowych obowiązków...