II SA/Wa 1789/13

II SA/Wa 1789/13 - Wyrok WSA w Warszawie
Data orzeczenia
2017-01-19
orzeczenie prawomocne
Data wpływu
2013-09-12
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Adam Lipiński /przewodniczący sprawozdawca/
Andrzej Góraj
Ewa Grochowska-Jung
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Sygn. powiązane
I OZ 608/14 - Postanowienie NSA z 2014-07-31
I OZ 1116/14 - Postanowienie NSA z 2014-12-04
I OZ 223/16 - Postanowienie NSA z 2016-03-11
I OZ 1162/16 - Postanowienie NSA z 2016-11-22
I OSK 2149/17 - Wyrok NSA z 2019-09-05
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Adam Lipiński (spr.), Sędziowie WSA Andrzej Góraj, Ewa Grochowska-Jung, Protokolant specjalista Sylwia Mikuła, po rozpoznaniu na rozprawie w dniu 19 stycznia 2017 r. sprawy ze skargi C. K. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2013 r. nr [...] w przedmiocie przetwarzania danych osobowych - oddala skargę -
Uzasadnienie
Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] lipca 2013 r. utrzymał w mocy swoją poprzedzającą decyzję z dnia [...] maja 2013 r. o odmowie uwzględnienia wniosku (skargi) C. K. nieprawidłowości w procesie przetwarzania jego danych osobowych przez G. Sp. z o.o. z siedzibą w W.
Decyzja została wydana w oparciu o przepisy art. 138 § 1 pkt 1 Kodeksu postępowania administracyjnego i art. 12 pkt 2, art. 22 w związku z art. 7 pkt 4 ustawy z dnia 29 sierpnia 1997r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.).
W uzasadnieniu decyzji organ wskazał co następuje:
Do Biura GIODO wpłynęła skarga C. K. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez G. Sp. z o.o. z siedzibą w W.
Skarżący zarzucił wyżej wskazanej Spółce naruszanie zasad ochrony danych osobowych. Wskazał, iż w dniu [...] czerwca 2012 r. odpowiedział , na tzw. "ogłoszenie ukryte" o pracy w branży określonej jako "A", umieszczone na portalu internetowym Spółki, przesyłając CV i list motywacyjny. Skarżący wyjaśnił, iż zdecydował się aplikować na powyższe ogłoszenie, pomimo braku wskazania nazwy pracodawcy, albowiem Spółka na swoim portalu informowała, iż w razie aplikowania na ogłoszenie bez podania nazwy firmy, informacja o danych (pracodawcy) zostanie przekazana aplikującemu bezpośrednio przez pracodawcę, w czasie późniejszym, niezwłocznie po otrzymaniu przez niego aplikacji. Ponieważ od pracodawcy skarżący nie otrzymał żadnej informacji, zwrócił się e-mailem do Spółki o powiadomienie go do jakiej firmy trafiły jego CV i list motywacyjny. Powołując się na powyższe okoliczności, skarżący zażądał od GIODO podjęcie działań w kierunku nakazanie, w drodze decyzji administracyjnej, obu podmiotom powiadomienia skarżącego o posiadaniu i przetwarzaniu jego danych osobowych i o zakazanie umieszczania takich ogłoszeń, w których anonimowy ogłoszeniodawcy zbiera dane osobowe.
Generalny Inspektor Ochrony Danych Osobowych przeprowadził postępowanie wyjaśniające, w toku którego ustalił następujące okoliczności faktyczne:
1) Skarżący dnia [...] grudnia 2010 r. zarejestrował się na portalu . Spółka pozyskała dane osobowe skarżącego w postaci jego adresu e-mail kociuba@post.com, na podstawie art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych, w związku z faktem, że na żądanie użytkownika posiadającego ww. adres świadczyła usługi drogą elektroniczną. Zgoda na przetwarzanie danych osobowych przez Spółkę nie została nigdy cofnięta przez użytkownika.
2) Spółka przetwarza dane osobowe skarżącego w zakresie imienia, nazwiska i adresu e-mail kociuba@post.com w Zbiorze danych użytkowników portalu Pracuj.pl zarejestrowanym pod numerem [...], wyłącznie w celu prawidłowej realizacji usług określonych w Regulaminie świadczenia usług drogą elektroniczną.
3) Dnia [...] czerwca 2012 r. skarżący odpowiedział na "ogłoszenie ukryte" zamieszczone na portalu http://pracui.pl/. Dnia [...] lipca 2012 r. zwrócił się do Spółki z wnioskiem o spełnienie obowiązku informacyjnego, przez poinformowanie go, na rzecz jakiego podmiotu udostępniono jego dane osobowe.
4) W wyjaśnieniach udzielonych w sprawie przez Spółkę wskazano: "(...) z adresu e-mail [...], za pośrednictwem [...], wskazanym przez skarżącego w skardze, w dniu [...] czerwca 2012 r. nie została złożona aplikacja na ofertę pracy. Oznacza to, że skarżący najprawdopodobniej aplikował na wskazaną w swojej skardze ofertę przy użyciu innego adresu e-mail, którego nie podał w skardze, ani w korespondencji mailowej z G. W związku z powyższym G. nie jest w stanie ustalić - dysponując jedynie imieniem i nazwiskiem: C. K. oraz adresem e-mail: [...]- czy osoba ta rzeczywiście aplikowała na ogłoszenie we dniu wskazanym przez skarżącego". Dodano, że Spółka jest wyłącznie podmiotem przetwarzającym dane osobowe na zlecenie administratora danych, którym jest konkretny pracodawca i nie posiada informacji o tym czy pracodawca, na którego ofertę pracy aplikował skarżący - jako administrator danych osobowych - dopełnił wobec skarżącego obowiązku informacyjnego, który został określony w art. 24, art. 25 lub art. 33 ustawy o ochronie danych osobowych.
5) Ogłoszenie rekrutacyjne, na które odpowiedział skarżący, stanowiło tzw. "ogłoszenie ukryte", czyli bez podawania nazwy firmy. Spółka wyjaśniła: "W przypadku korzystania z ogłoszenia ukrytego to pracodawca decyduje o celach i środkach przetwarzania danych osobowych kandydatów aplikujących na ogłoszenie, gromadzonych w ramach prowadzonego przez siebie postępowania rekrutacyjnego, stając się tym samym administratorem ich danych osobowych. Rola G. w procesie przekazywania pracodawcom danych osobowych kandydatów ogranicza się wyłącznie do udostępniania platformy, za pomocą której kandydat przesyła swoje dokumenty aplikacyjne bezpośrednio do potencjalnego pracodawcy. G. przekazuje dane pracodawcom na podstawie zawartych z nimi umów o świadczenie usług oraz Ogólnych Zasad Współpracy z G. sp. z o.o. (...), jako podmiot przetwarzający dane na ich zlecenie i w ramach udzielonych przez nich upoważnień niezbędnych do wykonania usługi. G. nie jest w powyższym zakresie administratorem danych osobowych kandydatów".
6) Spółka ponadto wyjaśniła: "Przy aplikowaniu na ogłoszenie ukryte każdy użytkownik uzyskuje informację o treści: »Dane osobowe zawarte w dokumentach aplikacyjnych są zbierane w celu przeprowadzenia procesów rekrutacyjnych i pozostają niejawne. W razie aplikowania na ogłoszenie bez podanej nazwy firmy, informacje na temat administratora danych (pracodawcy) zostaną Ci przekazane bezpośrednio przez pracodawcę w terminie późniejszym, niezwłocznie po otrzymaniu aplikacji przez Pracodawcę. Jeżeli nie zgadzasz się na taką procedurę, prosimy o nieprzesyłanie aplikacji na to ogłoszenie«. Cały proces rekrutacyjny oparty o powyższą konstrukcję jest w pełni dobrowolny, co zostało podkreślone w treści samej klauzuli, a użytkownik świadomie korzysta z tak skonstruowanej usługi oferowanej przez G.".
Generalny Inspektor decyzją z dnia [...] maja 2013r. o odmówił uwzględnienia wniosku skarżącego, wskazując, iż G. Sp. z o.o. nie była podmiotem przetwarzającym w tej sprawie dane osobowe skarżącego, natomiast brak jest dowodu wskazującego na aplikowanie w dniu [...] czerwca 2012 r. przez skarżącego na ogłoszenie ukryte zamieszczone na portalu powyższej Spółki.
We wniosku o ponowne rozpatrzenie spawy skarżący wskazał, iż w dniu [...] czerwca 2012 r. wysłał ze swojego adresu e-mail [...] odpowiedź na ofertę pracy umieszczoną na ww. portalu rozpoczynającą się od słów: "[...] z branży A...." Skarżący zaznaczył, iż również jak i w powyższym przypadku, nie otrzymał od nikogo żadnej informacji, do kogo trafiły jego poprzednie aplikacje wysłane w dniu [...] marca 2012 r. na inne ogłoszenia ukryte »[...] będąca częścią struktury międzynarodowej, zatrudni pracownika na stanowisko Kontroler Finansowy/Główny Księgowy Miejsce Pracy: L. ...«. Skarżący podniósł, iż nie znając nazwy i adresu administratora, który jest w posiadaniu jego danych osobowych nie ma możliwości korzystania z przysługujących mu praw w zakresie kontroli przetwarzania jego danych osobowych. Skarżący nie zgodził się z przedstawionym w decyzji stanowiskiem, według którego spółka G. nie jest administratorem jego danych osobowych, zawartych w aplikacji. Spółka ta powinna powiadomić go, do kogo została przekazana jego aplikacja. Sam fakt przetwarzania przez G. jego adresu e-mailowego kociuba@post.com, który służy do logowania się na platformie www.pracui.pl pozwala Spółce ustalić, na jakie ogłoszenie odpowiedział, korzystając z tego e-maila i komu zostały przekazane jego dane. Przedstawione w decyzji rozwiązania w sprawie tzw. »ukrytych ogłoszeń« są nie do zaakceptowania. Skarżący dodał, że zwrócił się do Spółki drogą e-mailową o poinformowanie, do kogo trafiła jego aplikacja i istotne jest to, że nie otrzymał żądanej odpowiedzi. Dlatego w sprawie nie jest istotne czy jego żądnie zostało przekazane na podstawie art. 24, art. 25 czy art. 33 ustawy o ochronie danych osobowych.
Generalny Inspektor nie podzielił zarzutów odwołania i decyzja z dnia [...] lipca 2013 r. utrzymał w mocy swoje poprzedzające rozstrzygnięcie z dnia [...] maja 2013 r.
Organ wskazał na art. 7 ust. 4 ora z na art. 3 ustawy i wyjaśnił, iż w niniejszej spawie Spółka w procesie przekazywania pracodawcom danych osobowych kandydatów ogranicza się wyłącznie do udostępniania platformy, za pomocą której kandydat przesyła swoje dokumenty aplikacyjne bezpośrednio do potencjalnego pracodawcy. Natomiast Spółka przekazuje ww. dane pracodawcom na podstawie zawartych z nimi umów o świadczenie usług oraz Ogólnych Zasad Współpracy, jako podmiot przetwarzający dane na ich zlecenie i w ramach udzielonych przez nich upoważnień niezbędnych do wykonania usługi. Spółka nie jest w tym zakresie administratorem danych osobowych kandydatów, dlatego także nie jest administratorem danych osobowych skarżącego w związku z jego aplikacją na "ogłoszenie ukryte", a jedynie podmiotem z art. 31 ustawy, który udostępnia platformę, za pomocą której kandydat przesyła swoje dokumenty aplikacyjne bezpośrednio do potencjalnego pracodawcy.
Jak wynika z materiału dowodowego, zgromadzonego w sprawie, przy aplikowaniu na "ogłoszenie ukryte" Spółka umieściła klauzulę, zgodnie z którą użytkownik świadomie i dobrowolnie korzysta z usługi oferowanej przez Spółkę. Klauzula zawiera informacje dotyczące zbierania danych osobowych użytkownika zamierzającego skorzystać z tego ogłoszenia. Ponadto Spółka każdorazowo poucza swoich klientów o obowiązku informacyjnym określonym w art. 24 ustawy o ochronie danych osobowych, m.in. przez umieszczanie w systemie, z którego korzystają klienci w celu zamieszczania ogłoszeń, wyświetlającego się okienka z informacją dotyczącą tego obowiązku wraz z hiperłączem do broszury dotyczącej ogłoszeń ukrytych oraz dopełnienia obowiązku informacyjnego.
Nadto w toku postępowania kontrolnego Spółka usunęła uchybienia w procesie przetwarzania danych osobowych m.in. poprzez zmianę przez Spółkę sposobu świadczenia usługi "Aplikuj" dla "ogłoszeń ukrytych", w zakresie ograniczenia się Spółki do roli podmiotu przetwarzającego (pozyskującego) na rzecz pracodawców danych kandydatów odpowiadających na ogłoszenia. Spółka będzie świadczyła ww. usługę na rzecz pracodawców na podstawie zawartych z nimi umów, tj. na ich zlecenie i w ramach udzielonych przez pracodawców upoważnień niezbędnych do wykonania ww. usługi.
Spółka podjęła dodatkowe starania w celu edukowania pracodawców w zakresie przepisów ustawy o ochronie danych osobowych m.in. przez wysyłanie mailingu informacyjnego do klientów.
W konkluzji powyższego wywodu, organ wskazał, że Spółka nie jest administratorem danych osobowych skarżącego, zawartych w jego aplikacji wysłanej dnia [...] czerwca 2012 r. na ww. ogłoszenie ukryte, a jedynie podmiotem, o którym mowa w art. 31 ustawy.
Zrównanie odpowiedzialności podmiotu, któremu powierzono dane osobowe do przetwarzania, z odpowiedzialnością administratora danych, dotyczy tylko kwestii uregulowanych w przepisach wymienionych w art. 31 ust. 3 ustawy. Konsekwencją powyższego jest zwolnienie podmiotu przetwarzającego dane osobowe na zlecenie z tych obowiązków, które ustawa nakłada wyłącznie na administratora danych, w szczególności obowiązków informacyjnych, w tym określonych w art. 24 i art. 25 ustawy. Ponadto wskazać należy, że ze zgromadzonego materiału dowodowego wynika, że skarżący nie zwracał się do Spółki z wnioskiem o spełnienie obowiązku informacyjnego z art. 33 ustawy, ale o podanie nazwy dającego ogłoszenie ukryte pracodawcy. Natomiast we wniosku o ponowne rozpatrzenie sprawy skarżący podał, że zwrócił się do Spółki "drogą e-mailową o poinformowanie mnie, do kogo trafiła moja aplikacja, bez podawania jakiejkolwiek podstawy prawnej. Dla mnie istotne było i jest otrzymanie żądanej odpowiedzi, a nieważne jest, czy zostanie ona przekazana mi na podstawie art. 24, art. 25 czy art. 33 u.o.d.o". Wobec powyższego podkreślenia wymaga, że wprawdzie skarżącemu obojętne jest, na jakiej podstawie prawnej udzielono by mu żądanych informacji, jednak ze względu na zróżnicowane konstrukcje prawne każdego z ww. obowiązków miałoby znaczenie - w odniesieniu do administratora danych - na której z ww. podstaw skarżący opiera swoje żądanie. Ponadto okoliczność, że we wniosku o ponowne rozpatrzenie sprawy skarżący wskazuje na art. 33 ustawy nie może konwalidować braku powołania tego przepisu w skardze, bowiem wniosek o ponowne rozpatrzenie sprawy nie stanowi uzupełnienia wniosku inicjującego sprawę.
Odnosząc się do zarzutu skarżącego, że wbrew twierdzeniom Spółki wysłał dnia [...] czerwca 2012 r. na ww. ogłoszenie ukryte aplikację z adresu [...], GIODO stwierdził, że za dowód potwierdzający tę okoliczność nie można uznać dokumentu załączonego przez skarżącego do wniosku o ponowne rozpatrzenie sprawy.
Generalny Inspektor w zaskarżonej decyzji uznał za wystarczające wyjaśnienia Spółki, że z ww. adresu za pośrednictwem [...] w ww. terminie nie została złożona aplikacja na ofertę pracy i że skarżący najprawdopodobniej aplikował na tę ofertę przy użyciu innego adresu e-mail. Dlatego organ podtrzymuje stanowisko zajęte w poprzedzającej decyzji.
Niezależnie od powyższego Generalny Inspektor wskazał w zaskarżonej decyzji, że status administratora danych osobowych przysługuje Spółce odnośnie do danych osobowych skarżącego w zakresie jego imienia, nazwiska i adresu e-mail pozyskanych w związku z dokonaniem przez niego rejestracji na portalu [...]. W tym zakresie administrowanie przez spółkę danymi osobowymi skarżącego znajduje oparcie zarówno w przepisach ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. Nr 144, poz. 1204 ze zm.), jak i w przepisach ustawy o ochronie danych osobowych. Zgodnie z art. 23 ust. 1 pkt 3 ustawy przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to konieczne dla realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to konieczne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą.
Natomiast w zakresie objętym skargą inicjującą postepowanie przez GIODO, Spółka nie jest administratorem danych skarżącego i dlatego Generalny Inspektor stwierdził brak podstaw do zastosowania art. 18 ust. 1 ustawy i wydania decyzji nakazującej Spółce przywrócenie stanu zgodnego z prawem.
We wniosku o ponowne rozpatrzenie sprawy skarżący wskazał: "również nie otrzymałem od nikogo żadnej informacji, do kogo trafiła moja aplikacja wysłana w dniu 22/03/2012 roku w odpowiedzi na anonimowe/ukryte ogłoszenie (...)".
Podkreślenia wymaga, że skarżący podniósł ten zarzut ten dopiero we wniosku o ponowne rozpatrzenie spawy, natomiast nie uczynił go przedmiotem skargi inicjującej postępowanie przed Generalnym Inspektorem Ochrony Danych Osobowych i dlatego brak jest podstaw do oceny zasadności tego zarzutu w toku postępowania dotyczącego wniosku o ponowne rozpatrzenie sprawy.
Organ odwoławczy nie może zmieniać rodzaju sprawy, a zatem w postępowaniu odwoławczym może być rozpoznana i rozstrzygnięta wyłącznie tożsama pod względem podmiotowym i przedmiotowym sprawa.
C. K. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Generalnego Inspektora Ochrony Danych Osobowych.
Skarżący zarzucił organowi nieprawidłowe rozpatrzenie sprawy, albowiem nie uzyskano od administratora [...] - to jest G. Sp. z o.o. informacji o podmiocie, na którego ogłoszenie ukryte skarżący aplikował w dniu [...] czerwca 2012 r i właściciel tego portalu odmawia przekazania nazwy anonimowego ogłoszeniodawcy.
W ocenie skarżącego nieprawidłowe jest ustalenie organu, iż Spółka - G. nie jest administratorem danych osobowych skarżącego w związku z jego aplikowaniem na portal tej Spółki.
Organ dokonał nieprawidłowej oceny przedstawionego przez skarżącego dowodu na okoliczność aplikowania w dniu [...] czerwca 2012 r. przez niego na portal [...] z e-mailowego adresu skarżącego [...]. Uznanie braku takiego aplikowanie jest niezasadne, tym bardziej, iż na ten portal skarżący, w sprawach innych tzw. "ogłoszeń ukrytych", aplikował już wcześniej, czego Spółka nie zaprzeczała. Natomiast skarżący w postepowaniu administracyjnym przedstawił dowód w postaci wydruku ze swojego konta kociuba@,post.com aplikowania w dniu [...] czerwca 2012 r. na portal [...] i dlatego zaprzeczanie tego faktu przez Spółkę nie jest prawdziwe.
Organ nie ustosunkował się także do naruszania danych osobowych skarżącego w związku z innymi aplikowaniami skarżącego na portal [...], których skarżący dokonywał w dniu [...] marca 2012 r., czy w dniu [...] września 2012 r. albo w dniu [...] listopada 2012 r.
W załączniku do skargi, skarżący dołączył wydruki ze swojego konta kociuba@,post.com, dotyczące wskazanych w skardze aplikacji.
Powyższe zarzuty skarżący podtrzymał w kolejnych pismach procesowych, dołączając do jednego z nich ponowny wydruk z e-mailowego adresu skarżącego kociuba@,post.com na okoliczność aplikowania w dniu [...] czerwca 2012 r. na stronę internetową [...]
Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie.
Organ podtrzymał w całości argumentację zawartą w uzasadnieniu zaskarżonej decyzji. Natomiast ustosunkowując się do przedstawionych dowodów aplikowania skarżącego w dniu [...] czerwca 2012 r. na stronę internetową [...] organ podtrzymał swoją ocenę tego dowodu i dodał, iż nie można odmówić wiarygodności stanowiska Spółki w tej sprawie, albowiem Spółka potwierdziła aplikowanie przez skarżącego na swój portal internetowy w innych wskazanych przez skarżącego dniach, a zatem dlaczego miała by ukrywać fakt aplikowania skarżącego w dniu [...] czerwca 2012 r.
Wojewódzki Sąd Administracyjny w Warszawie zważył co następuje.
Skarga nie jest zasadna.
Przede wszystkim należy podkreślić, iż przedmiotem kontroli Wojewódzkiego Sądu Administracyjnego w Warszawie jest sprawa administracyjna w takim jej przedmiocie, w którym została ona wniesiona przez skarżącego do Generalnego Inspektora Ochrony Danych Osobowych (skargą - wniosek inicjujący tę sprawę) i w takim przedmiocie w jakim rozpatrywał ja organ w pierwszej instancji.
W doktrynie podkreśla się, iż zakres rozstrzygnięcia sprawy administracyjnej decyzją odwoławczą wyznaczony jest zakresem rozstrzygnięcia sprawy decyzją organu I instancji. Organ odwoławczy nie może zmieniać rodzaju sprawy, a zatem w postępowaniu odwoławczym może być rozpoznana i rozstrzygnięta wyłącznie tożsama pod względem podmiotowym i przedmiotowym sprawa. Organ odwoławczy nie może również rozszerzać zakresu sprawy (porównaj B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, Wydawnictwo H. Beck, 7. wydanie, Warszawa 2005, s. 600). Granice rozpoznania i rozstrzygnięcia sprawy w drugiej instancji wyznacza zatem rozstrzygnięcie decyzji pierwszej instancji (por. wyrok SN z dnia 9 listopada 1995 r., sygn. akt III ARN 53/95, publikowany: OSN 1996, Nr 11, poz. 152; wyrok NSA z dnia 12 lipca 2002 r., sygn. akt II SA 277/2001). Oznacza to, iż organ odwoławczy nie może rozstrzygać sprawy w zakresie innym, niż uczynił to organ I instancji.
W takim też zakresie przedmiotowym sprawy zaskarżone rozstrzygniecie administracyjne może kontrolować Wojewódzki Sąd Administracyjny w Warszawie.
Dlatego też przedmiotem niniejszej sprawy jest jedynie zagadnienie ochrony danych osobowych skarżącego wynikające z dokonania przez skarżącego w dniu [...] czerwca 2012 r. aplikowania na stronę internetową G. Sp. z o.o. - [...] Tak określony przedmiot sprawy jest zgodny z wnioskiem skarżącego (zwanym skargą na nieprawidłowości w przetwarzaniu danych osobowych), inicjującym stosowne postepowanie administracyjne przez Generalnym Inspektorem Ochrony Danych Osobowych.
Dlatego przedmiotem kontroli Wojewódzkiego Sądu Administracyjnego w Warszawie, w tej sprawie, nie mogą być zagadnienia przetwarzania danych osobowych skarżącego w ramach dokonywanych przez niego innych aplikacji na w/w portal na inne tzw. "ogłoszenia ukryte".
W prawie polskim brak jest normy, która wprost zakazywała by "ogłoszeń ukrytych".
Wojewódzki Sąd Administracyjny w Warszawie dostrzega rażącą nierówność stron w tego rodzaju ogłoszeniach, gdy pracodawca dający takie ogłoszenie o poszukiwaniu pracownika pozostaje anonimowy, zaś pracownik na takie ogłoszenie odpowiadający, wskazuje swoje personalia, adres oraz posiadane kwalifikacje. Problem ten jest szeroko omawiany w doktrynie prawa pracy jak i w licznych opracowaniach GIODO, dostępnych na jego stronie internetowej.
Jednakże sąd administracyjny może wypowiadać się jedynie w ramach konkretnego przedmiotu sprawy i w ramach obowiązującego porządku prawnego, nie zaś w zakresie uwag de lege ferenda. Dlatego ten zakres skargi i pism ja uzupełniających, w tym również uwag skarżącego zgłaszanych na rozprawie nie może być przedmiotem rozpoznania.
W niniejszej spawie nie zostało udowodnione aby skarżący istotnie w dniu 30 czerwca 2012 r. aplikował na tzw. "ogłoszenie ukryte" o pracy w branży określonej jako "A", umieszczone na portalu internetowym G. Sp. z o.o. - [...], przesyłając CV i list motywacyjny ze swojego komputera, posługując się swoim adresem poczty internetowej kociuba@,post.com.
Powyższe ustalenie jest kluczowe dla wyniku sprawy i w ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie ustalenie to jest prawidłowe.
Z przedstawionego przez skarżącego kilkukrotnie w trakcie postępowania administracyjnego oraz załączonego do skargi wydruku (jest to ten sam wydruk) nie wynika fakt logowania z powyższego adresu na wyżej wspomniany portal w dniu [...] czerwca 2012 r. Brak tu odpowiedniego oznaczenia adresów internetowych nadawcy i adresata oraz czasu nadania korespondencji, które to dane, dla skuteczności doreczenia muszą wystąpić łącznie.
Z materiału spawy, w tym z licznych pism skarżącego, niezbicie wynika, iż już wcześniej, bo w dniu [...] grudnia 2010 r. skarżący zarejestrował się na portalu [...] tejże Spółki, korzystając z adresu e-mail [...] i posługują się tym adresem dokonywał aplikowania na różne głoszenia o pracę zawarte na tym portalu. Powyższy fakt potwierdza także Spółka G., zaprzeczając jednocześnie aplikowaniu skarżącego z adresu e-mail [...] na portal [...] w dniu [...] czerwca 2012 r.
W odpowiedzi na to zaprzeczenie skarżący nie przedstawił, innych wydruków pozwalających np. prześledzić historię jego logowań na powyższy portal, czy wskazującym dokładne dane adresata i nadawcy e-maila z dnia [...] czerwca 2012 r., poza wskazanym wyżej wydrukiem - z którego fakt aplikowania przez skarżącego z adresu e-mail [...] na portal [...] w dniu [...] czerwca 2012 r. nie wynika. Skarżący nie wykazał także aby tego dnia dokonywał aplikowania na ogłoszenie zamieszczone na portalu [...] albo [...] posługując się innym adresem poczty elektronicznej.
Wojewódzki Sąd Administracyjny w Warszawie nie wymaga tu wykazania się takim dowodem elektronicznego doręczenia korespondencji, jak w przypadku doręczeń dokonywanych pomiędzy organami administracyjnymi a obywatelem za pośrednictwem systemu: Urzędowe Poświadczenie Przedłożenia nr ePUAP-UPP (porównaj wyrok NSA z dnia 22 listopada 2016 r. sygn. akt I OSK 2137/15), bo w prywatnym obrocie elektronicznym nie jest to możliwe, ale wykazania wysłania e-mailu z adresu skarżącego na adres Spółki w dniu 30 czerwca 2012 r.
Powyższe negatywne ustalenie, co do faktu aplikowania skarżącego w dniu [...] czerwca 2012 r. na zamieszczone na stronie internetowej Spółki G. ogłoszenie ukryte, uniemożliwia automatycznie prowadzenie przez Generalnego Inspektora Ochrony Danych Osobowych postępowania sprawdzającego prawidłowość przetwarzania danych osobowych skarżącego, podanych przez niego w związku z tym konkretnym aplikowaniem.
Spółka natomiast mogła przetwarzać dane skarżącego w postaci jego adresu e-mailowego, albowiem w dniu [...] grudnia 2010 r. skarżący, podając swój adres poczty elektronicznej, zarejestrował się na portalu internetowym tej Spółki. W tym zakresie administrowanie przez Spółkę danymi osobowymi skarżącego znajduje oparcie zarówno w przepisach ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. Nr 144, poz. 1204 ze zm.), jak i w przepisach ustawy o ochronie danych osobowych. Zgodnie z art. 23 ust. 1 pkt 3 ustawy przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to konieczne dla realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to konieczne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą.
W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie prawidłowe są także dalsze ustalenia organu dokonane w postępowaniu administracyjnym, aczkolwiek, wobec braku udowodnienia faktu aplikowania przez skarżącego w dniu [...] czerwca 2012 r. na ogłoszenie publikowane na stronie internetowej Spółki (o czym wyżej), ustalenia te nie mają istotnego znaczenia dla sprawy.
Z zapisów umieszczonych na stronie internetowej Spółki, dotyczących tzw. "ogłoszeń ukrytych" wynika, iż skarżący wiedział o sposobie aplikowania i względnej anonimowości dającego ogłoszenie pracodawcy. Wiedział także, iż Spółka nie przetwarza danych osobowych wskazanych przez osoby aplikujące na takie ogłoszenia ani nie przetwarza treści zamieszczanych przez osoby aplikujące (starające się o pracę). Powyższe wynika zarówno z treści pism skarżącego (zwłaszcza wniosku inicjującego sprawę) jak i z przedstawionych organowi przez Spółkę zasad jej działania, zawartych w umowach o świadczenie usług oraz Ogólnych Zasadach Współpracy.
Z powyższego stanu faktycznego organ trafnie wyciągnął wniosek, iż Spółka nie jest w tym zakresie administratorem danych osobowych kandydatów, a jedynie podmiotem określonym w art. 31 ustawy, który udostępnia platformę, za pomocą której kandydat przesyła swoje dokumenty aplikacyjne bezpośrednio do potencjalnego pracodawcy.
Zrównanie odpowiedzialności podmiotu, któremu powierzono dane osobowe do przetwarzania, z odpowiedzialnością administratora danych, dotyczy tylko kwestii uregulowanych w przepisach wymienionych w art. 31 ust. 3 ustawy. Konsekwencją powyższego jest zwolnienie podmiotu przetwarzającego dane osobowe na zlecenie z tych obowiązków, które ustawa nakłada wyłącznie na administratora danych, w szczególności obowiązków informacyjnych, w tym określonych w art. 24 i art. 25 ustawy. Ponadto wskazać należy, że ze zgromadzonego materiału dowodowego wynika, że skarżący nie zwracał się do Spółki z wnioskiem o spełnienie obowiązku informacyjnego z art. 33 ustawy, ale o podanie nazwy dającego ogłoszenie ukryte pracodawcy.
Dlatego, w zakresie objętym wnioskiem skarżącego, inicjującym postępowanie administracyjnym przed GIODO, Spółka nie jest administratorem danych skarżącego i dlatego Generalny Inspektor prawidłowo, w zaskarżonej decyzji, stwierdził brak podstaw do zastosowania wobec niej art. 18 ust. 1 ustawy i wydania decyzji nakazującej Spółce przywrócenie stanu zgodnego z prawem.
Natomiast dalsze żądania skarżącego w kierunku rozszerzenia postępowania administracyjnego o okoliczności aplikowania przez niego, w innych dniach, na inne ogłoszenia w sprawie ofert pracy, zamieszczonych na stronie internetowej G. Sp. z o.o. nie może stanowić przedmiotu niniejszego postępowania, albowiem żądania w tej materii zostały złożone co najwcześniej w postępowaniu wywołanym wnioskiem o ponowne rozparzenie sprawy przez GIODO, albo w treści pism uzupełniających skargę na decyzje z dnia [...] lipca 2013 r., co zresztą zostało już wyjaśnione na wstępie wywodów sądu.
Z kolei sąd administracyjny nie ma uprawnień do ewentualnego nakazania działania z urzędu Generalnego Inspektora Ochrony Danych Osobowych.
Wojewódzki Sąd Administracyjny w Warszawie uznał, iż podjęte przez organ decyzję były zgodne z prawem i dlatego na podstawie art. 151 ustawy - Prawo o postępowaniu przed sądami administracyjnymi orzekł, jak w sentencji wyroku.