Skarga do UODO: PESEL wpisany „przez pomyłkę”

Skarga do UODO zaczęła się od wpisu, który kobieta zauważyła na swoim profilu na Platformie Usług Elektronicznych ZUS. Wynikało z niego, że 2 grudnia 2021 r. jej danymi zainteresował się gabinet lekarski, w którym, jak twierdziła, nigdy się nie leczyła. Cztery dni później poskarżyła się do urzędu na lekarza prowadzącego klinikę. Sprawa zakończyła się dopiero wyrokiem Naczelnego Sądu Administracyjnego z 25 sierpnia 2026 r., sygn. III OSK 3226/23, opublikowanym w Centralnej Bazie Orzeczeń Sądów Administracyjnych.

Lekarz wyjaśnił urzędowi, że jego pracownica, upoważniona do wystawiania zwolnień lekarskich, wypełniała druk ZUS-ZLA i omyłkowo wpisała nieprawidłowy numer PESEL. W ten sposób zobaczyła dane skarżącej, ale według lekarza ich nie pobrała, nie zapisała i nikomu nie przekazała. Prezes UODO decyzją z 26 stycznia 2023 r. uznał, że dane wykorzystano bez podstawy prawnej, i udzielił lekarzowi upomnienia. Ten wynik utrzymał wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 27 lipca 2023 r. (II SA/Wa 564/23), który ocenił naruszenie jako niewielkie.

Skarżąca nie wierzyła w pomyłkę. Wskazywała, że pracownica kliniki znała ją i jej byłego męża, a on, w czasie sporu o władzę rodzicielską nad ich synem, interesował się jej stanem zdrowia. Urząd nie przesłuchał ani pracownicy, ani byłego męża. Poprzestał na wyjaśnieniach lekarza i dołączonym do nich upoważnieniu.

NSA uznał, że to za mało. Wyjaśnienia o przypadkowym wpisaniu jedenastu cyfr ocenił jako niewystarczające i mało wiarygodne, zwłaszcza wobec znajomości pracownicy ze skarżącą i jej mężem. Przypomniał, że obowiązek dokładnego wyjaśnienia sprawy z art. 7 Kodeksu postępowania administracyjnego ma szczególne znaczenie przy danych o zdrowiu, które RODO zalicza do szczególnych kategorii danych. Sąd uchylił wyrok WSA i decyzję Prezesa UODO, a od urzędu zasądził na rzecz skarżącej 1500 zł zwrotu kosztów postępowania sądowego.

Kluczowe jest to, do czego ta różnica prowadzi. Umyślny albo nieumyślny charakter naruszenia to jedna z okoliczności z art. 83 ust. 2 lit. b RODO, od których zależy, czy wystarczy upomnienie, czy potrzebny jest surowszy środek, w tym kara pieniężna. Ustalenie, że chodziło o przypadek, było według sądu przedwczesne. Prezes UODO musi teraz rozpatrzyć sprawę ponownie i uzupełnić dowody. Jaki będzie wynik, dziś nie wiadomo.

Wyrok ma też znaczenie praktyczne dla każdego, kto składa skargę do UODO. NSA zauważył, że skarżąca znała tylko to, co pokazał jej PUE ZUS, czyli nazwisko lekarza. Nie mogła wiedzieć, że dostęp miała jego pracownica, ani wskazać, kto fizycznie wpisał numer. Sąd uznał, że te okoliczności powinien ustalić organ. Zgodził się jednak z urzędem, że skarżący wskazuje, przeciwko komu kieruje skargę, i to wyznacza zakres sprawy.

Dostęp do PUE ZUS bywa źródłem naruszeń także po stronie pracodawców. W rejestrze opisujemy prawomocną karę 545 748 zł dla Santander Bank Polska, który nie odebrał dostępu do profilu płatnika byłemu pracownikowi.

Uczciwie: wyrok nie daje skarżącej pieniędzy za samo naruszenie. Zasądzone 1500 zł to zwrot kosztów postępowania przed sądem, a nie zadośćuczynienie. Upomnienie albo kara UODO też nie trafiają do osoby, której dane dotyczą. O odszkodowaniu za naruszenie ochrony danych decyduje sąd cywilny na podstawie art. 82 RODO.

Ta sprawa pokazuje jednak dwie rzeczy. Po pierwsze, ślad w PUE ZUS może być jedynym dowodem, że ktoś zajrzał do naszych danych, więc warto co jakiś czas sprawdzić swój profil. Po drugie, w skardze do UODO warto opisać wszystko, co się wie, także okoliczności wskazujące, że ktoś mógł mieć powód, by sięgnąć po dane. Urząd ma obowiązek je zbadać, a sąd administracyjny może sprawdzić, czy zrobił to rzetelnie.