II SA/Wa 1007/23

II SA/Wa 1007/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-02-21
orzeczenie prawomocne
Data wpływu
2023-05-22
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Danuta Kania
Joanna Kruszewska-Grońska /przewodniczący sprawozdawca/
Tomasz Szmydt
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2019 poz 1781
art. 7
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Dz.U.UE.L 2016 nr 119 poz 1  art. 5 ust. 1 lit. a, lit. c i lit. e oraz art. 6 ust. 1 lit.f
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska (spr.), Sędzia WSA Danuta Kania, Sędzia WSA Tomasz Szmydt, , Protokolant referent Beata Kowalska, , po rozpoznaniu na rozprawie w dniu 21 lutego 2024 r. sprawy ze skargi [...] Sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Zaskarżoną w niniejszej sprawie decyzją z [...] marca 2023 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ"), mając za podstawę art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r., poz. 775 ze zm.; dalej: "k.p.a.") w związku z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), a także art. 5 ust. 1 lit. a), lit. c) i lit. e), art. 6 ust. 1 lit. f), art. 58 ust. 2 lit. c) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z 2016 r., str. 1 ze sprost.; dalej: "RODO"), po przeprowadzeniu postępowania administracyjnego w przedmiocie nieprawidłowości w procesie przetwarzania danych osobowych D. M. (dalej: "uczestnik postępowania") przez [...] Sp. z o.o. z siedzibą w [...] (dalej: "skarżąca", "spółka"), nakazał skarżącej usunięcie danych osobowych uczestnika postępowania w zakresie adresu e-mail, zawierającego pierwszą literę jego imienia oraz jego nazwisko, tj. [...], z uwagi na naruszenie art. 5 ust. 1 lit. a), lit. c) i lit. e) w związku z art. 6 ust. 1 lit. f) RODO poprzez wykorzystywanie tego adresu przez okres dłuższy niż jest to niezbędne do celów, w których dane te są przetwarzane przez spółkę.
Powyższa decyzja została wydana w następujących okolicznościach sprawy.
W dniu [...] kwietnia 2022 r. uczestnik postępowania złożył do organu, za pośrednictwem środków komunikacji elektronicznej, skargę na bezpodstawne wykorzystywanie jego danych osobowych w postaci adresu poczty elektronicznej przez byłego pracodawcę, tj. skarżącą. Uczestnik postępowania zwrócił się do PUODO o niezwłoczną interwencję, wskazując, iż spółka nie ma prawnej potrzeby przetwarzania jego danych po upływie 5 miesięcy od ustania stosunku pracy.
W toku postępowania administracyjnego, wszczętego ww. skargą, organ ustalił, że uczestnik postępowania do listopada 2021 r. był pracownikiem spółki i w okresie zatrudnienia posługiwał się następującym adresem poczty elektronicznej (e-mail): [...]. Adres ten został zdezaktywowany [...] września 2021 r. przez skarżącą, przy czym przekazano go na rzecz potencjalnych kontrahentów oraz klientów spółki dla celów kontaktowych i handlowych. Zatem na ww. adres e-mail mogą być wysyłane wiadomości od podmiotów trzecich zainteresowanych nawiązaniem współpracy ze skarżącą. Obecnie spółka nie wykorzystuje omawianego adresu do celów korespondencyjnych - został on oznaczony jako baza danych stanowiąca zbiór wiadomości poczty elektronicznej, wymienianych przez uczestnika postępowania z podmiotami trzecimi w czasie jego zatrudnienia. Skarżąca oświadczyła, że usunięcie ww. adresu e-mail spowodowałoby negatywne konsekwencje w postaci utraty intratnych relacji handlowych z kontrahentami oraz klientami.
W uzasadnieniu powołanej na wstępie decyzji PUODO podkreślił, iż nie kwestionuje przysługującego skarżącej uprawnienia do przetwarzania danych osobowych jej byłego pracownika (uczestnika postępowania) w ww. zakresie, w celu zapewnienia ciągłości spraw służbowych oraz korespondencji handlowej prowadzonej pomiędzy spółką a jej klientami i kontrahentami. Jednak skoro zatrudnienie uczestnika postępowania ustało w listopadzie 2021 r., to przetwarzanie jego służbowego adresu e-mail powinno zostać ograniczone przez spółkę do kierowania automatycznej odpowiedzi do nadawców wiadomości na ten adres. W odpowiedzi tej należy poinformować, że [...] nie jest już aktualnym adresem do prowadzenia korespondencji ze skarżącą, podając jednocześnie właściwy adres poczty elektronicznej do kontaktu z przedstawicielami spółki.
Ustosunkowując się do argumentacji skarżącej odnośnie negatywnych dla niej konsekwencji usunięcia skrzynki e-mail uczestnika postępowania, organ stwierdził, iż spółka nie legitymowała się żadną z zasad wymienionych w art. 5 ust. 1 RODO, w zakresie przetwarzania adresu [...] w celach korespondencyjnych oraz handlowych. Przetwarzanie do chwili obecnej tego adresu nie jest niezbędne do wypełnienia ciążącego na administratorze (skarżącej) obowiązku prawnego jakim jest zapewnienie kontaktu z jej kontrahentami i klientami, który dotychczas był realizowany przez uczestnika postępowania za pośrednictwem jego służbowej elektronicznej skrzynki pocztowej.
W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na opisaną wyżej decyzję, spółka (reprezentowana przez adwokata I. K.) zarzuciła naruszenie:
1) art. 5 ust. 1 lit. a), lit. c) i lit. e) w związku z art. 6 ust. 1 lit. f) RODO, polegające na przyjęciu, że przetwarzanie do chwili obecnej danych osobowych uczestnika postępowania w zakresie adresu e-mail nie jest niezbędne do wypełnienia ciążącego na administratorze (spółce) obowiązku prawnego jakim jest zapewnienie kontaktu z kontrahentami oraz klientami skarżącej, podczas gdy organ w niniejszej sprawie nie wskazał w jaki sposób przetwarzanie narusza ww. przepisy;
2) art. 58 ust. 2 lit. c) w związku z art. 17 ust. 1 RODO poprzez nakazanie spółce usunięcia danych osobowych uczestnika postępowania, podczas gdy nie istniały ku temu przesłanki określone w art. 17 ust. 1 RODO;
3) art. 7, art. 11, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. przez niewyjaśnienie istotnych dla prawidłowego rozpoznania sprawy okoliczności faktycznych oraz dowolną ocenę zebranego materiału dowodowego w postaci wyjaśnień skarżącej zawartych w pismach z [...] czerwca 2022 r. i [...] sierpnia 2022 r., polegającą na ustaleniu, że ustał cel, który stanowił uzasadnienie do przetwarzania przez skarżącą danych osobowych uczestnika postępowania w zakresie jego służbowego adresu e-mail oraz że spółka przetwarza te dane osobowe bez podstawy prawnej, podczas gdy z wyjaśnień skarżącej wynika, iż adres [...] został dezaktywowany, a spółka posiada istotny interes prawny w przetwarzaniu tych danych.
W oparciu o ww. zarzuty skarżąca wniosła o uchylenie zaskarżonej decyzji i zasądzenie od PUODO na jej rzecz zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych.
W uzasadnieniu skargi spółka rozwinęła poszczególne jej zarzuty. Zaakcentowała, że uczestnik postępowania w ramach swoich obowiązków pracowniczych poczynił wiele istotnych ustaleń z kontrahentami spółki. Duża część tych ustaleń, dotyczących wzajemnych praw i obowiązków w relacjach biznesowych, znajduje się obecnie jedynie w formie wymienianych przez uczestnika postępowania wiadomości e-mail z przedstawicielami podmiotów trzecich.
Poza tym wykorzystanie oznaczenia [...] ma dla spółki także takie znaczenie, że system nie pozwoli na założenie skrzynki e-mail o tym samym adresie w przypadku, gdy skarżąca zatrudni osobę o takim samym imieniu i nazwisku, co zapobiegnie ewentualnemu i nieuprawnionemu dostępowi nowego pracownika do korespondencji byłego pracownika.
Ponadto skarżąca jest administratorem danych osobowych zamieszczonych w korespondencji znajdującej się w ww. skrzynce e-mail, do których to danych mają dostęp - zgodnie z zasadą minimalizacji - tylko osoby z najwyższego kierownictwa spółki (zarząd oraz prokurent).
W odpowiedzi na skargę PUODO wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji.
W piśmie z 3 lipca 2023 r. spółka podtrzymała swoje stanowisko. Dodatkowo podniosła, że wysyłanie automatycznej odpowiedzi do klientów i kontrahentów czy przekierowanie kontaktów na inne adresy e-mail wymaga dalszego przetwarzania służbowego adresu poczty elektronicznej uczestnika postępowania, czego przecież organ zakazuje skarżącej. Spółka zakwestionowała też wykonalność decyzji.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga nie zasługuje na uwzględnienie, bowiem zaskarżona decyzja nie narusza prawa tak materialnego, jak i procesowego.
Zasady przetwarzania danych osobowych określa art. 5 ust. 1 RODO. Wedle tego przepisu, dane osobowe muszą być:
a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość");
b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu");
c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych");
d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ("prawidłowość");
e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania");
f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność").
W myśl art. 5 ust. 2 RODO za przestrzeganie tych zasad odpowiedzialny jest administrator danych, który musi być w stanie wykazać ich przestrzeganie ("rozliczalność").
Przesłanki legalizujące przetwarzanie danych osobowych wymienia przede wszystkim art. 6 ust. 1 RODO, zgodnie z którym przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
W niniejszej sprawie bezsporne między stronami było zakwalifikowanie adresu poczty elektronicznej (e-mail) składającego się z pierwszej litery imienia i nazwiska uczestnika postępowania - byłego pracownika skarżącej ([...]) do kategorii danych osobowych jako informacji pozwalającej zidentyfikować osobę fizyczną (vide art. 4 ust. 1 RODO). Istota sporu sprowadzała się do oceny legalności przetwarzania ww. adresu w sytuacji, gdy ustało zatrudnienie uczestnika postępowania w spółce. W tym sporze rację należy przyznać organowi.
O ile nie budzi wątpliwości, że adres e-mail uczestnika postępowania był przez niego wykorzystywany w ramach działalności spółki, a przez to skrzynka pocztowa oznaczona [...] zawiera ważną dla relacji biznesowych skarżącej korespondencję z kontrahentami, klientami czy też innymi podmiotami zainteresowanymi podjęciem z nią współpracy handlowej, to okoliczność ta nie uzasadnia dalszego (nieustającego / w nieskończoność) przetwarzania ww. adresu e-mail w szerszym zakresie niż jest to niezbędne dla zachowania dotychczasowych kontaktów handlowych. Spółka jako administrator adresu poczty elektronicznej związanego z jej działalnością gospodarczą ma dostęp do jej zawartości. Jednakże imienne oznaczenie elektronicznej skrzynki pocztowej przypisanej do uczestnika postępowania (pierwszą literą jego imienia i nazwiskiem), stanowiące dane osobowe podlegające przepisom RODO, implikuje - w sytuacji zakończenia stosunku pracy uczestnika postępowania – konieczność usunięcia takiego adresu skrzynki, np. poprzez zastąpienie go innym oznaczeniem. Zachowanie ww. adresu e-mail (nawet zdezaktywowanego) nie jest niezbędne do kontynuacji prowadzonych uprzednio przez uczestnika postępowania działań na rzecz podtrzymania więzi handlowych lub pozyskania nowych kontrahentów / klientów spółki. Co więcej, może ono wprowadzać w błąd, że uczestnik postępowania nadal jest zatrudniony w spółce. Zatem sama dezaktywacja spornego adresu nie jest wystarczająca. Trafnie zauważył PUODO, iż skarżąca powinna wdrożyć rozwiązanie automatycznie informujące nadawców wiadomości, że [...] nie jest już aktualnym adresem do prowadzenia z nią korespondencji. Natomiast chybiony jest wywód spółki, iż wykorzystanie ww. oznaczenia uniemożliwi założenie elektronicznej skrzynki pocztowej o tym samym adresie w sytuacji, gdy skarżąca zatrudni osobę o takim samym imieniu i nazwisku jak uczestnik postępowania, co z kolei zapobiegnie ewentualnemu i nieuprawnionemu dostępowi nowego pracownika do korespondencji byłego pracownika. Taka argumentacja, oparta na wysoce hipotetycznym założeniu, nie tylko nie przemawia za spełnieniem warunku "niezbędności do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora" z art. 6 ust. 1 lit. f) RODO, ale wręcz sugeruje możliwość pomylenia przez spółkę danych osobowych w przypadku zatrudnienia osób o takich samych imionach i nazwiskach.
Wbrew zarzutowi skarżącej, organ wskazał, że naruszenie, jakiego się dopuściła, polega na wykorzystywaniu służbowego adresu e-mail uczestnika postępowania przez okres dłuższy niż jest to niezbędne do celów, w których dane te są przetwarzane przez spółkę. Takie zaś działanie skarżącej godzi w następujące zasady przetwarzania danych osobowych: zgodności z prawem, rzetelności i przejrzystości - art. 5 ust. 1 lit. a) RODO; minimalizacji danych - art. 5 ust. 1 lit. c) RODO oraz ograniczenia przechowywania - art. 5 ust. 1 lit. e) RODO.
Wobec stwierdzenia ww. naruszenia organ prawidłowo zastosował przewidziane w art. 58 ust. 2 lit. c) RODO uprawnienie naprawcze, nakazując spółce usunięcie danych osobowych uczestnika postępowania w zakresie adresu e-mail.
W ocenie tutejszego Sądu, PUODO nie naruszył wskazanych w skardze przepisów - wyjaśnił bowiem wszystkie istotne dla przedmiotowej sprawy okoliczności, dokonał prawidłowej kwalifikacji prawnej poczynionych ustaleń faktycznych, a uzasadnienie jego rozstrzygnięcia odpowiada wymogom określonym w art. 107 § 3 k.p.a.
Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 1634 ze zm.), oddalił skargę.