Prezes UODO ustalił, że skarżąca, starając się o uzyskanie zwolnienia lekarskiego, podała jako miejsce pracy gabinet lekarski należący do lekarki. Jak ustaliła lekarka, adres zamieszkania, który wskazała skarżąca, był równocześnie adresem, pod którym żył mąż lekarki, z którym lekarka toczy sprawę rozwodową. W momencie otrzymania korespondencji od ZUS lekarka nie była świadoma ani bycia wskazaną przez skarżącą jako jej pracodawca, ani też relacji osobistej łączącej jej męża ze skarżącą. W efekcie doszło do sytuacji, w której skarżąca, związana z mężem lekarki, zgłosiła do ZUS podjęcie pracy w gabinecie lekarskim należącym do lekarki, dodatkowo sama, będąc niezdolną do pracy we wskazanym dniu podjęcia pracy – o wszystkim lekarka zaś dowiedziała się w ramach własnej analizy sprawy oraz z pisma przesłanego przez ZUS. 

W omawianej sprawie charakterystyczne było po pierwsze wystąpienie przez administratora w „podwójnej” roli, tj. lekarki mającej upoważnienie do wystawiania zaświadczeń lekarskich oraz pracodawcy, w związku z przyjętym przez ZUS podejrzeniem zatrudniania skarżącej przez lekarkę, a po drugie, że zdarzenie zaistniało w następstwie przedstawienia przez skarżącą nieprawdziwych informacji ZUS w zakresie jej sytuacji zawodowej. Organ w decyzji zwrócił uwagę na to, że właściwość PUE ZUS umożliwia osobom wystawiającym zaświadczenia lekarskie dostęp do danych osobowych, w tym informacji o stanie zdrowia pacjentów. Dane dotyczące zdrowia są szczególną kategorią danych osobowych, a uzyskanie dostępu do nich przez lekarza wymaga spełnienia przesłanek legalności, określonych w art. 9 ust. 2 RODO. 

Prezes UODO podkreślił, że lekarz, mając dostęp do danych zgromadzonych na PUE ZUS, nie może z tego dostępu korzystać w sposób dowolny. Aby dostęp ten nie naruszał przepisów RODO, musi zostać spełniony przynajmniej jeden warunek z art. 9 ust. 2 RODO. W opisywanej sprawie nie został spełniony żaden warunek legalizujący wykorzystanie danych w sposób, w jaki uczyniła to lekarka. Organ wyjaśnił w decyzji, że lekarka przyczynę wysłania do niej listu przez ZUS mogła ustalić opierając się na samej treści korespondencji, w której wskazane było wprost, że list informujący o odmownej decyzji otrzymuje z uwagi na bycie wpisaną jako płatnik składek wobec skarżącej, która ubiegała się o zasiłek chorobowy.

Organ podkreślił, że lekarz nie może w ramach tego samego procesu przetwarzania pełnić równocześnie funkcji lekarza świadczącego usługi medyczne oraz pracodawcy. Zabronione jest korzystanie z dostępu do PUE ZUS, który został przyznany lekarce z powodu wykonywanej profesji, w celach związanych z jej rolą jako pracodawcy. ZUS skierował zapytanie do lekarki w związku z uzasadnionym podejrzeniem zatrudniania przez nią skarżącej, tymczasem lekarka mogła we własnym zakresie (bez konieczności uzyskiwania dostępu do PUE ZUS z poziomu lekarza) ustalić, że żadnych relacji służbowych ze skarżącą nie posiadała. Lekarka była świadoma, że nie udzielała świadczeń medycznych skarżącej, więc brak było uzasadnienia dla korzystania z przysługującego jej, jako lekarzowi, dostępu do PUE ZUS w związku z pismem, które otrzymała od ZUS. W tej sprawie Prezes UODO skorzystał z uprawnienia przewidzianego w art. 58 ust. 2 lit. b) RODO i udzielił lekarce upomnienia za naruszenie art. 5 ust. 1 lit. a) oraz art. 9 ust. 1 RODO. DS.523.4058.2022.