II SA/Wa 190/22

II SA/Wa 190/22 - Wyrok WSA w Warszawie
Data orzeczenia
2022-08-05
orzeczenie prawomocne
Data wpływu
2022-01-28
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Danuta Kania /sprawozdawca/
Joanna Kruszewska-Grońska
Sławomir Antoniuk /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 2672/22 - Wyrok NSA z 2024-12-19
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2021 poz 735
art. 107 par. 1,3 art. 7 art. 77 par. 1 art. 80
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - tekst jedn.
Dz.U. 2018 poz 1000
art. 7
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Danuta Kania (spr.), Sędzia WSA Joanna Kruszewska-Grońska, , Protokolant ref. staż. Beata Kowalska, po rozpoznaniu na rozprawie w dniu 5 sierpnia 2022 r. sprawy ze skargi Polskich Linii Lotniczych [...] S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2021 r. nr [...] w przedmiocie nieprawidłowości w procesie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz Polskich Linii Lotniczych [...] S.A. z siedzibą w W. kwotę 697 zł (słownie: sześćset dziewięćdziesiąt siedem złotych) tytułem zwrotu kosztów postępowania
Uzasadnienie
Decyzją nr [...] z dnia [...] listopada 2021r. Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ"), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735 ze zm.), dalej: "k.p.a.", oraz art. 5 ust. 1 lit. c, art. 9 ust. 1, art. 58 ust. 2 lit. g rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z dnia 4 maja 2016, s. 1 oraz Dz. Urz. UE L 127 z dnia 23 maja 2018, s. 2), dalej: "ogólne rozporządzenie o ochronie danych", nakazał P. S.A. z siedzibą w W. (dalej: "Spółka", "Skarżąca") usunięcie danych osobowych I. P. ("Strona", "Uczestniczka postępowania") w zakresie danych dotyczących jej aktywności w mediach społecznościowych na portalu [...], tj. informacji o wpisach, ich treści oraz udostępnieniach postów, które ujawniają jej poglądy polityczne, światopoglądowe oraz przekonania.
W uzasadnieniu decyzji organ wskazał, że do Urzędu Ochrony Danych Osobowych wpłynęła skarga I. P. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Spółkę polegające na pozyskiwaniu jej danych osobowych z zasobów [...] i dalszemu przetwarzaniu tych danych w celach związanych z jej zatrudnieniem, tj. udzielenia jej kary porządkowej nagany.
W toku postępowania Prezes UODO ustalił, że:
Strona była pracownikiem Spółki zatrudnionym w obszarze Biura [...] na stanowisku [...]. W dniu [...] marca 2021 r. Strona otrzymała wypowiedzenie warunków pracy i płacy w ramach procedury zwolnienia grupowego przeprowadzanej w Spółce (zmiana stanowiska na [...]), od którego złożyła odwołanie w wewnętrznej procedurze ustalonej przez Spółkę. Skarżącej udzielono negatywnej odpowiedzi na to odwołanie, wskazując, iż Spółka nie widzi podstaw do zmiany ocen w zakresie kryteriów doboru, a tym samym do cofnięcia oświadczenia o wypowiedzeniu warunków pracy i płacy. Wobec powyższego zakończony został wobec Strony wewnątrzzakładowy proces zwolnienia grupowego.
Spółka pismem z dnia [...] maja 2021 r. zawiadomiła Stronę o zastosowaniu kary porządkowej nagany na podstawie art. 108 § 1 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 2020 r., poz. 1320), dalej: "k.p.", w związku z nieprzestrzeganiem ustalonej organizacji i porządku w procesie pracy w zakresie przestrzegania Polityki Medialnej [...]. Zgodnie z treścią zawiadomienia nałożenie ww. kary porządkowej nastąpiło po analizie treści udostępnianych przez Stronę na jej profilu na [...] w dniach: [...], [...], [...] i [...] marca 2021 r. oraz [...], [...] i [...] kwietnia 2021 r., do których Spółka nawiązuje w uzasadnieniu faktycznym ww. zawiadomienia. Pismem z dnia [...] maja 2021 r. Strona złożyła sprzeciw od udzielonej kary, który został odrzucony przez Spółkę, o czym poinformowano Stronę pismem z dnia [...] maja 2021 r.
Następnie Spółka, pismem z dnia [...] lipca 2021 r., poinformowała Stronę o nałożeniu na nią drugiej kary porządkowej nagany na podstawie art. 108 § 1 k.p. w związku z nieprzestrzeganiem ustalonej organizacji i porządku w procesie pracy w zakresie przestrzegania Polityki Medialnej [...] oraz Regulaminu pracy. Zgodnie z treścią zawiadomienia nałożenie ww. kary nastąpiło po analizie treści udostępnianych przez stronę na jej profilu na [...] w dniach: [...], [...] i [...] czerwca 2021 r. oraz [...], [...], [...], [...] i [...] lipca 2021 r., do których Spółka nawiązuje oraz cytuje fragmenty w uzasadnieniu faktycznym ww. zawiadomienia. Pismem z dnia [...] lipca 2021 r. strona złożyła sprzeciw od udzielonej kary.
Spółka wyjaśniła, że w dniu [...] stycznia 2021 r. wraz z organizacjami związkowymi zawarła Porozumienie w sprawie zwolnienia grupowego (dalej: "Porozumienie") na podstawie przepisów ustawy z dnia 13 marca 2003 r. o szczególnych zasadach rozwiązywania z pracownikami stosunków pracy z przyczyn niedotyczących pracowników. Spółka wskazała, że Porozumienie to zostało podane do wiadomości wszystkich pracowników. W załącznikach do Porozumienia jego strony zgodnie określiły kryteria doboru osób do zwolnienia. Jednym z takich kryteriów jest "naruszanie Polityki Medialnej [...] lub używanie mowy nienawiści; zamieszczanie w internecie obraźliwych komentarzy mających prowokować inne osoby do kłótni lub znacząco obniżać samoocenę osoby obrażanej, okazywanie niechęci w stosunku do osób danych czy grup społecznych; wszelkie formy uderzenia w kogoś słowem, grafiką czy filmem; zachowanie przekraczające granice dozwolonej krytyki; tzw. hejt (ostatnie 36 miesięcy)". W celu należytego wykonania ww. Porozumienia w zakresie weryfikacji kryteriów doboru do zwolnienia grupowego, zarządzeniem nr [...] w dniu [...] stycznia 2021 r. wprowadzono "Instrukcję weryfikacji przestrzegania polityki medialnej i hejtu w Spółce [...].". W ramach prowadzonego procesu, o którym mowa powyżej, weryfikacji podlegały przejawy aktywności pracowników Spółki w internecie podane do publicznej wiadomości, m.in. polegające na umieszczeniu informacji na ogólnodostępnych forach internetowych.
Spółka wskazała, że wypowiedzi Strony na portalu [...] zgromadzone przez pracodawcę stanowią naruszenie postanowień Polityki Medialnej Spółki, bowiem godzą w jej dobre imię, zawierają pomówienia oraz duży ładunek negatywnych emocji, przyczyniając się do podburzania innych pracowników przeciwko Spółce oraz naruszają ogólne obowiązki pracownika dbałości o dobro zakładu pracy oraz przestrzegania zasad współżycia społecznego (art. 100 § 2 pkt. 4 i 6 k.p.). W ocenie Spółki, powyższe działanie znajduje swoje uzasadnienie prawne w art. 6 ust. 1 lit. f ogólnego rozporządzenia o ochronie danych, tj. prawnie uzasadnionym interesie administratora polegającym na przeprowadzeniu procesu zwolnień grupowych m.in. w oparciu o ww. kryteria (naruszanie Polityki Medialnej obowiązującej w Spółce i używanie mowy nienawiści), a w odniesieniu do danych szczególnych kategorii (tzw. danych wrażliwych) w art. 9 ust. 2 lit. e ww. rozporządzenia, tj. oczywistego upublicznienia danych przez osobę, której dane dotyczą.
Strona w dniu [...] stycznia 2021 r. skierowała do Spółki sprzeciw wobec przetwarzania jej danych osobowych, w tym "danych wrażliwych, w zakresie ich gromadzenia, utrwalania i zestawiania (...) pochodzących z zewnętrznych medialnych źródeł, w tym grup społecznościowych". Spółka wyjaśniła, że sprzeciw Strony nie został uwzględniony, o czym została ona poinformowana pismem z dnia [...] lutego 2021 r.
Uwzględniając powyższe organ wskazał, że przepisem uprawniającym administratorów do przetwarzania szczególnych kategorii danych osobowych, do których zaliczona jest informacja o przynależności związkowej osoby (art. 9 ust. 1 ogólnego rozporządzenia o ochronie danych), jest art. 9 ust. 2 tego rozporządzenia. Zaznaczył również, że wszelkie formy przetwarzania danych osobowych muszą odbywać się zgodnie z zasadami wymienionymi w art. 5 ust. 1 ww. rozporządzenia, w tym z zasadą "minimalizacji danych". Przy czym nawet wówczas, gdy określone dane odpowiadają celowi, dla którego są zbierane i są dla tego celu adekwatne, nie oznacza, iż mogą być przetwarzane, w tym też udostępniane innym podmiotom.
Dalej organ wskazał, iż w dniu [...] stycznia 2021 r. Spółka wraz z organizacjami związkowymi zawarła Porozumienie w sprawie zwolnienia grupowego. W załącznikach do Porozumienia jego strony określiły kryteria doboru osób do zwolnienia. Jednym z takich kryteriów jest "naruszanie Polityki Medialnej [...] lub używanie mowy nienawiści; zamieszczanie w internecie obraźliwych komentarzy mających prowokować inne osoby do kłótni lub znacząco obniżać samoocenę osoby obrażanej, okazywanie niechęci w stosunku do danych osób czy grup społecznych; wszelkie formy uderzenia w kogoś słowem, grafiką czy filmem; zachowanie przekraczające granice dozwolonej krytyki; tzw. hejt".
W celu należytego wykonania ww. Porozumienia w zakresie weryfikacji kryteriów doboru do zwolnienia grupowego zarządzeniem Prezesa Zarządu z dnia [...] stycznia 2021 r. nr [...] w Spółce wprowadzono "Instrukcję weryfikacji przestrzegania polityki medialnej i hejtu w spółce [...].". Zgodnie z ww. Instrukcją weryfikacja przestrzegania obowiązującej w Spółce Polityki Medialnej oraz używania mowy nienawiści obejmowała wszystkich pracowników i dotyczyła działań z ostatnich 36 miesięcy. W ramach prowadzonego procesu, o którym mowa powyżej, weryfikacji podlegały przejawy aktywności Strony w internecie podane do publicznej wiadomości, m.in. polegające na umieszczeniu przez nią informacji na ogólnodostępnych forach internetowych, które ujawniały jej poglądy polityczne, światopoglądowe oraz przekonania.
Organ stwierdził, iż pozyskanie przez Spółkę ww. informacji dokumentujących aktywność Strony w mediach społecznościowych na portalu [...] nie znajduje oparcia w art. 6 ust. 1 oraz art. 9 ust. 1 ogólnego rozporządzenia o ochronie danych. Co do zasady niedopuszczalne jest gromadzenie przez pracodawców informacji zamieszczanych przez pracowników w mediach społecznościowych. Nie uzasadnia ich gromadzenia również chęć wykonania Porozumienia w sprawie zwolnienia grupowego, które nakłada na pracownika obowiązek należytego reprezentowania pracodawcy na zewnątrz i ochrony jego dobrego imienia poprzez przestrzeganie przez niego polityki medialnej Spółki czy nałożenia kary porządkowej nagany za nieprzestrzeganie polityki medialnej Spółki. Kwestia poszanowania prywatności odgrywa znaczącą rolę w stosunkach pracy. Pracownika nie można traktować przedmiotowo, wyłącznie w kategoriach założonych przez pracodawcę celów. Ww. Porozumienie ingeruje w strefę prywatności Strony. Strona nie miała wpływu na treść Porozumienia, do którego przestrzegania została zobowiązana. W ocenie organu przetwarzanie danych osobowych pracownika w związku z działaniami podejmowanymi przez niego w czasie prywatnym nie mogą być uzasadnione narzuconym mu przez Spółkę sposobem postępowania, tym bardziej to nie pracownik swoim działaniem w czasie prywatnym odpowiada za realizację polityki medialnej Spółki, tylko sama Spółka.
Pracodawca nie jest więc uprawniony do pozyskiwania bez zgody pracownika informacji dotyczących jego życia prywatnego. Dzięki dostępności oraz możliwości przechowywania i rozpowszechniania dużych ilości danych, portale internetowe w znacznym stopniu przyczyniają się do poprawy publicznego dostępu do wiadomości i informacji o użytkownikach oraz ogólnie do ułatwienia przekazywania informacji. Jednakże łatwość dostępu do informacji o osobie nie oznacza, że działanie takie jest zgodne z prawem.
Dalej organ wskazał, iż w Opinii [...] na temat przetwarzania danych w miejscu pracy przyjętej w dniu [...] czerwca 2017 r. Grupa Robocza art. 29 podkreśliła, że pracodawcy nie powinni zakładać, iż tylko dlatego, że profil społecznościowy danej osoby jest publicznie dostępny, mogą przetwarzać jej dane do własnych celów. Przed wdrożeniem jakiegokolwiek narzędzia monitorowania pracowników na portalach internetowych należy przeprowadzić analizę proporcjonalności, aby zbadać, czy wszystkie dane są niezbędne, czy konieczność przetwarzania danych przeważa nad ogólnymi prawami pracowników do prywatności, które przysługują im również w miejscu pracy oraz czy w danym przypadku zachodzi potrzeba wdrożenia środków zapewniających ograniczenie skali naruszenia prawa do życia i poufności komunikacji do niezbędnego minimum. Jednocześnie pracowników należy skutecznie informować o wszelkich środkach monitorowania wdrożonych w miejscu pracy, celach tego monitorowania oraz okolicznościach, w których się ono odbywa, a także działaniach, które pracownicy mogą podejmować, aby uniemożliwić gromadzenie ich danych przez technologie monitorowania, czego Spółka nie wykonała.
Organ zaznaczył, iż zgodnie z art. 222 § 1 oraz art. 223 § 1 k.p. pracodawca może stosować monitoring w zakładzie pracy, jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pracowników lub ochrony mienia lub kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę oraz jeżeli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania i udostępnionych pracownikowi narzędzi pracy. Śledzenie przez Spółkę "prywatnej" aktywności pracowników na portalach społecznościowych nie mieści się w żadnym z ww. celów.
Uwzględniając powyższe organ stwierdził, że w sprawie nie została spełniona przez Spółkę żadna z przesłanek określonych w art. 9 ust. 2 ogólnego rozporządzenia o ochronie danych. W szczególności Spółka nie dysponowała zgodą Strony na takie działanie.
Zdaniem organu, Spółka pozyskując w sposób nieprawidłowy dane Strony w zakresie jej wypowiedzi udostępnionych na portalu [...], nie ma prawa dalej ich przetwarzać. Brak legalnego pozyskania danych osobowych wpływa jednocześnie na legalność następczego ich przetwarzania. Organ wskazał przy tym na treść art. 17 ust. 3 lit. b i lit. e ww. rozporządzenia, w myśl którego reguł dotyczących możliwości żądania usunięcia danych określonych w ust. 1 (w tym przetwarzanych z naruszeniem prawa) nie stosuje się, gdy przetwarzanie danych jest niezbędne do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (lit. b) lub do ustalenia, dochodzenia lub obrony roszczeń (lit. e). Stwierdził jednak, że ten przepis nie ma zastosowania w przypadku, gdy Spółka pozyskała dane Strony w sposób nielegalny.
Końcowo organ wskazał, iż dokonał kontroli procesu przetwarzania danych osobowych Strony przez administratora (Spółkę) w zakresie zakwestionowanym w skardze inicjującej postępowanie administracyjne przed organem. Stosownie do art. 58 ust. 2 lit. g ogólnego rozporządzenia o ochronie danych stwierdził, iż miało miejsce naruszenie w zakresie przetwarzania danych osobowych Strony przez Spółkę. W związku z tym organ nakazał Spółce przywrócenie stanu zgodnego z prawem tj. usunięcie będących w jej posiadaniu danych osobowych strony w zakresie wskazanym w sentencji decyzji.
Pismem z dnia [...] grudnia 2021 r. P. wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa UODO z dnia [...] listopada 2021 r. zarzucając naruszenie:
- art. 7, art. 77 § 1 i art. 80 k.p.a. poprzez ich niewłaściwe zastosowanie i zaniechanie zgromadzenia całości materiału dowodowego w postaci zrzutów ekranu wpisów w mediach społecznościowych Uczestniczki postępowania, a w konsekwencji ustalenie, że wpisy te ujawniają poglądy polityczne oraz światopoglądowe, i tym samym są danymi szczególnej kategorii, o których mowa w art. 9 ust. 1 ogólnego rozporządzenia o ochronie danych, podczas gdy we wpisach widoczne są jedynie udostępniane przez Uczestniczkę odniesienia do artykułów o Spółce oraz o Zarządzie i Prezesie Spółki i ich niewłaściwym - według Uczestniczki - zarządzaniu Spółką, które nie mogą być traktowane jako dane ujawniające poglądy polityczne czy "światopoglądowe",
- art. 7, art. 77 § 1 i art. 80 k.p.a. poprzez zaniechanie zgromadzenia całości materiału oraz niewłaściwą ocenę posiadanego materiału dowodowego, a w konsekwencji błędne założenie, że treści udostępnione przez Uczestniczkę na jej koncie w portalu społecznościowym [...] są "informacjami dotyczącymi jej życia prywatnego", podczas gdy, po pierwsze, wszystkie te wypowiedzi odnosiły się do działalności jej pracodawcy, czyli Spółki, i do jej Zarządu, a po drugie, Uczestniczka wypowiadała się jako pracownik Skarżącej, a na portalu społecznościowym wyraźnie wskazała, że jest pracownikiem Spółki i nadała przedmiotowym publikacjom charakter publiczny (tj. bez ograniczenia dostępu np. do grona znajomych uczestniczki), tym samym nadając publikowanym przez siebie wypowiedziom charakter pozaprywatny,
- art. 6 ust. 1 lit. f ogólnego rozporządzenia o ochronie danych poprzez jego niewłaściwe zastosowanie i w konsekwencji uznanie, że Skarżąca nie miała prawnie uzasadnionego interesu w zbieraniu i przetwarzaniu danych umieszczonych na portalu społecznościowym Uczestniczki pomimo, że wszystkie wpisy dotyczą działalności Skarżącej, a przepis art. 100 pkt 4 i 6 k.p. nakłada na pracownika obowiązek dbania o dobro zakładu pracy, i tym samym pracodawca ma prawo weryfikować, czy pracownik nie narusza kodeksowo określonych podstawowych obowiązków pracowniczych, zwłaszcza że u Skarżącej obowiązuje Polityka Medialna, a porozumienie ze związkami zawodowymi, stanowiące zgodnie z art. 9 k.p. źródło prawa pracy, zobowiązywało pracodawcę do weryfikacji, czy działania Uczestniczki stanowią jej naruszenie,
- art. 5 ust. 1 ogólnego rozporządzenia o ochronie danych poprzez jego niewłaściwe zastosowanie i uznanie, że fakt braku wpływu Uczestniczki na treść Porozumienia ze związkami zawodowymi powoduje wadliwość przetwarzania danych osobowych (s. 5 decyzji), podczas gdy art. 5 ust. 1 ww. rozporządzenia nie wymienia takiej przesłanki, a nadto w większości sytuacji, w której przetwarzane są dane osobowe podmiotów danych nie mają one wpływu na treść aktów prawnych lub wewnętrznych,
- art. 222 i art. 223 k.p. poprzez ich niewłaściwą interpretację i przyjęcie, że jednorazowe lub kilkukrotne pobranie publicznie dostępnych informacji z konta pracownika na portalu społecznościowym w celu wykonania praw i zobowiązań wynikających z porozumienia zbiorowego oraz weryfikacji przestrzegania podstawowych obowiązków pracowniczych (dbanie o dobro zakładu pracy) oraz istniejących w Spółce procedur jest formą monitoringu, o którym mowa w ww. przepisach, podczas gdy zgodnie z definicją słowa "monitoring" oraz przyjętą wykładnią ww. przepisów przez "monitoring" należy uznać "stałą obserwację, kontrolę lub nadzór",
- art. 17 ust. 1 lit. e ogólnego rozporządzenia o ochronie danych poprzez jego nieprawidłową interpretację i uznanie, że przetwarzanie danych do celów obrony w toczącym się postępowaniu przed Sądem Pracy, nie jest podstawą do odmowy usunięcia danych, ponieważ zostały one - według opinii organu - zebrane w sposób nielegalny, co nie wynika z treści ww. przepisu oraz wprost ogranicza prawo do obrony w toczących się obecnie postępowaniach.
Z ostrożności procesowej - na wypadek gdyby Sąd uznał, te dane zawarte w zrzutach ekranu mają charakter danych szczególnych kategorii - skarżąca zarzuciła również naruszenie:
- art. 9 ust. 2 lit. b ogólnego rozporządzenia o ochronie danych poprzez jego niezastosowanie i całkowite pominięcie, że Porozumienie w sprawie zwolnienia grupowego jest porozumieniem zawartym na podstawie art. 3 ustawy z dnia 13 marca 2003 r. o szczególnych zasadach rozwiązywania z pracownikami stosunków pracy z przyczyn niedotyczących pracowników (dalej: "ustawa o zwolnieniach grupowych"), i tym samym stanowi źródło prawa w rozumieniu art. 9 k.p., a także jest porozumieniem zbiorowym zawartym na mocy prawa państwa członkowskiego w rozumieniu art. 9 ust. 2 lit b ww. rozporządzenia, a tym samym jest to podstawa prawna przetwarzania szczególnej kategorii danych przez pracodawcę,
- art. 9 ust. 2 lit. e ww. rozporządzenia poprzez jego niezastosowanie i uznanie, że udostępnienie przez Uczestniczkę treści na swoim ogólnodostępnym profilu w mediach społecznościowych, przy jednoczesnym ustawieniu dostępności przedmiotowych wpisów jako "publiczne" (tj. dla każdego użytkownika), nie jest przejawem oczywistego upublicznienia danych osobowych, o którym mowa w ww. przepisie, i że jedyną możliwą podstawą prawną przetwarzania takich danych osobowych jest zgoda osoby, której dane dotyczą (art. 9 ust. 1 lit. a).
W związku z powyższymi zarzutami Skarżąca wniosła o uchylenie zaskarżonej decyzji w całości oraz zasądzenie od Prezesa UODO zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych.
W motywach skargi Skarżąca podniosła w szczególności, że organ zakwalifikował wpisy w mediach społecznościowych jako dane stanowiące szczególne kategorie danych osobowych, tj. dane ujawniające poglądy polityczne, światopoglądowe, jednak w żaden sposób nie uzasadnił, dlaczego przyjął taką ocenę. Jest to tym bardziej zaskakujące, że sama Uczestniczka w swojej skardze wskazuje: "Zarzucono mi udostępnianie na moim [...] profilu postów ze strony " [...]". (...) Treści te traktują o łamaniu przepisów bezpieczeństwa i hipokryzji zarządu firmy". Organ powinien samodzielnie ocenić na podstawie zebranego materiału dowodowego, czy faktycznie przedstawione przez Uczestniczkę zrzuty z ekranu (tj. informacje na nich uwidocznione) stanowią dane szczególnych kategorii, o których mowa w art. 9 ust. 1 ogólnego rozporządzenia o ochronie danych. Z treści decyzji nie wynika, aby organ to uczynił bezpodstawnie przyjmując, że opinia Uczestniczki stanowi dane ujawniające "poglądy polityczne, światopoglądowe oraz przekonania".
Skarżąca podniosła również, iż organ stwierdzając, że pracodawca przetwarza dane dotyczące życia prywatnego Uczestniczki nie zebrał i nie przeanalizował w sposób dostateczny materiału dowodowego. Wpisy Skarżącej w mediach społecznościowych dotyczą działalności skarżącej Spółki oraz sytuacji panującej w Spółce. Brak jest choćby jednej informacji na temat życia prywatnego Uczestniczki, a wszystkie materiały udostępnione zostały przez Uczestniczkę z powołaniem się na fakt bycia pracownikiem Skarżącej, a nie osobą prywatną, niezwiązaną ze Spółką. Potwierdzeniem tego jest okoliczność, że Uczestniczka wprost wskazała jako miejsce swojego zatrudnienia P., a na zdjęciach profilowych występuje w stroju służbowym na tle [...]. Wszystkie te wypowiedzi były czynione z perspektywy pracownika i odnosiły się do sfery służbowej, a nie prywatnej Uczestniczki postępowania.
Skarżąca podniosła, iż zdaniem organu niedopuszczalne co do zasady jest gromadzenie przez pracodawców informacji zamieszczanych przez pracowników w mediach społecznościowych. Organ pominął przy tym postanowienia Porozumienia w sprawie zwolnienia grupowego, Polityki medialnej P. oraz przepisy Kodeksu pracy. Jednocześnie organ sam sobie zaprzeczył, wskazując przy okazji wywodu na temat monitoringu pracowników na portalach internetowych, że przed wprowadzeniem takiego monitoringu należy przeprowadzić analizę proporcjonalności i skutecznie poinformować pracowników o jego wprowadzeniu. Tym samym - wbrew ww. stwierdzeniu organu - należy przyjąć interpretację, że przetwarzanie wskazanych danych osobowych jest co do zasady dopuszczalne, jeśli istnieje ku temu podstawa prawna i przeprowadzona zostanie tzw. analiza proporcjonalności oraz rozważone zostanie, czy interesy pracodawcy przeważają nad prawem pracownika do prywatności.
Zgodnie z przepisami ustawy o zwolnieniach grupowych dobór pracowników do zwolnień grupowych odbywa się na podstawie kryteriów uzgodnionych ze związkami zawodowymi. Mogą być to kryteria pozapracownicze (odnoszące się np. do szczególnej sytuacji rodzinnej pracowników). Sam fakt przetwarzania danych osobowych do oceny spełnienia kryteriów ustalonych w Porozumieniu związkowym stanowi prawnie uzasadniony interes administratora. To, co podlegać powinno ocenie to kwestia proporcjonalności, której organ nie zbadał, wskazując jedynie, że przetwarzanie danych z mediów społecznościowych "jest co do zasady niedopuszczalne", a porozumienie "ingeruje w sferę prywatności" Uczestniczki postępowania.
Przyjmując logikę organu, fakt umieszczenia przez pracownika określonych treści w mediach społecznościowych powoduje, że nie mogą one podlegać ocenie pracodawcy (nawet jeśli np. są przedmiotem zgłoszenia sygnalisty, a sam pracownik upublicznia post do nieograniczonego kręgu odbiorców). Zatem pomimo treści art. 100 k.p. pracodawca nie mógłby takich treści w ogóle przetwarzać i chronić swojego dobrego imienia, a nawet informacji prawnie chronionych. Z uzasadnienia decyzji bowiem wynika, że jedyne co jest dla organu istotne to fakt, że medium służącym do rozpowszechniania treści są media społecznościowe.
Zdaniem Skarżącej, miała ona prawo i obowiązek przetwarzać dane osobowe uczestniczki, bowiem zgodnie z Porozumieniem zachowanie pracowników w internecie stanowiło jedno z kryteriów doboru do zwolnień grupowych. Nadto, zgodnie z postanowieniami Polityki medialnej oraz treścią art. 100 k.p. Skarżąca miała prawo weryfikować czy dobre imię pracodawcy nie jest naruszane przez pracowników. Zatem Skarżąca miała prawnie uzasadniony interes w przetwarzaniu danych (art. 6 ust. 1 lit. f ogólnego rozporządzenia o ochronie danych).
Nawet gdyby uznać, że dane osobowe będące przedmiotem postępowania stanowią dane osobowe szczególnych kategorii, Skarżąca nadal byłaby uprawniona do ich przetwarzania, a to na podstawie art. 9 ust. 2 lit. b i e ww. rozporządzenia wobec zawarcia porozumienia zbiorowego ze związkami zawodowymi, które stanowi źródło prawa pracy oraz wobec upublicznienia przez Uczestniczkę danych osobowych zawartych na ogólnodostępnym portalu społecznościowym.
W odpowiedzi na skargę Prezes UODO wniósł o oddalenie skargi podtrzymując stanowisko przedstawione w zaskarżonej decyzji.
Ustosunkowując się do zarzutów skargi organ wskazał w szczególności, że w załączonych do skargi zrzutach ekranu wyraźnie można stwierdzić, że uczestniczka posiada negatywny stosunek do działań swojego pracodawcy. Z kolei P. jest Spółką z udziałem większościowym Skarbu Państwa, co oznacza, że na działania pracodawcy mają wpływ czynniki polityczne. Uczestniczka przyznała w treści skargi, że jej negatywny stosunek do działań pracodawcy, który ujawniła we wpisach na portalu społecznościowym, wyraża pośrednio jaki jest jej światopogląd czy przekonania polityczne. Dane osobowe ujawniające światopogląd czy poglądy polityczne zawsze należą do sfery prywatności, a osoba, której informacje te dotyczą może oczekiwać szczególnego traktowania tego rodzaju danych, z uwagi na gwarantowaną konstytucyjnie wolność poszanowania życia prywatnego.
Organ ponownie podkreślił, że pozyskane przez Spółkę informacje dokumentujące aktywność Skarżącej w mediach społecznościowych na portalu [...] nie znajdują oparcia w art. 6 ust. 1 oraz art. 9 ust. 1 ogólnego rozporządzenia o ochronie danych i tym samym naruszają zasady określone w art. 5 ust. 1.
W piśmie procesowym z dnia [...] marca 2022 r., stanowiącym replikę na odpowiedź na skargę, Skarżąca podtrzymała zarzuty i wnioski skargi przedstawiając dodatkową argumentację na jej poparcie.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2021 r., poz. 137 ze zm.), dalej: "p.u.s.a." oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej.
W myśl art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2).
Skarga oceniana w świetle powyższych kryteriów zasługuje na uwzględnienie.
Zaskarżona decyzja została wydana z naruszeniem art. 107 § 1 i § 3 k.p.a., a naruszenie tych przepisów jest konsekwencją naruszenia przez organ art. 7, art. 77 § 1 i art. 80 k.p.a. w związku z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), dalej: "u.o.d.o." w stopniu mogącym mieć istotny wpływ na wynik sprawy.
Wśród elementów decyzji administracyjnej przepis art. 107 § 1 k.p.a. wymienia rozstrzygnięcie (pkt 5) oraz uzasadnienie faktyczne i prawne (pkt 6).
Z kolei przepis art. 107 § 3 k.p.a. stanowi, że uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne - wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa.
W utrwalonym orzecznictwie sądów administracyjnych podkreśla się, że rozstrzygnięcie stanowi obligatoryjny i jeden z najważniejszych elementów decyzji administracyjnej. Nie jest możliwe zastąpienie rozstrzygnięcia uzasadnieniem decyzji, ani też wywodzenie rozstrzygnięcia z uzasadnienia orzeczenia. Innymi słowy, rozstrzygnięcie musi być sformułowane w taki sposób, aby nie było wątpliwości czego dotyczy, jakie uprawnienia zostały przyznanie stronie lub jakie obowiązki zostały na nią nałożone. Rozstrzygnięcie powinno być sformułowane precyzyjnie, bez niedomówień i możliwości różnej interpretacji. Powinno być zrozumiałe dla stron bez wnikania w treść uzasadnienia. Wynika to z władczego charakteru aktu administracyjnego, który kształtuje prawa i obowiązki strony i musi w związku z tym być jednoznaczny i precyzyjny, jak też z podstawowych zasad postępowania administracyjnego, w tym zasady praworządności zawartej w art. 6 k.p.a. oraz zasady pogłębiania zaufania do organów państwa wyrażonej w art. 8 k.p.a. (por. wyroki NSA: z dnia 23 lutego 2022 r. sygn. akt II GSK 1477/18; z dnia 6 grudnia 2021 r. sygn. akt I OSK 1086/20; z dnia 20 października 2020 r. sygn. akt I OSK 1670/20; z dnia 2 lipca 2018 r. sygn. akt I OSK 873/18; publ. CBOSA).
Zaskarżoną decyzją Prezes UODO nakazał P. S.A. usunięcie danych osobowych I. P. w zakresie danych dotyczących jej aktywności w mediach społecznościowych na portalu [...], tj. informacji o wpisach, ich treści oraz udostępnieniach postów, które ujawniają jej poglądy polityczne, światopoglądowe oraz przekonania.
Tak sformułowana sentencja decyzji nie spełnia wymogów wymienionych powyżej. Jej treść jest nieprecyzyjna, niejednoznaczna i niezrozumiała. Nie wiadomo w istocie jakich danych osobowych dotyczy obowiązek nałożony na Spółkę, bowiem nie zostało wskazane które konkretnie (czy też pochodzące z jakich konkretnie dat) informacje o: wpisach, treści tych wpisów oraz udostępnieniach postów na portalu [...] organ określił jako "ujawniające poglądy polityczne, światopoglądowe oraz przekonania" Uczestniczki postępowania.
Nie sposób zrozumieć sentencji zaskarżonej decyzji bez analizy treści uzasadnienia, co świadczy o jej wadliwości. Co jednak istotne, również uzasadnienie decyzji nie wyjaśnia wątpliwości co do tego, które konkretnie dane osobowe - dotyczące aktywności uczestniczki postępowania w mediach społecznościowych - powinna usunąć skarżąca Spółka, aby wykonać nałożony na nią obowiązek, a przede wszystkim dlaczego dane te zostały uznane za dane sensytywne, a więc dane osobowe chronione w sposób szczególny w myśl art. 9 ust. 1 ogólnego rozporządzenia o ochronie danych (przy czym zgodnie z ww. przepisem dane osobowe sensytywne to dane ujawniające m.in. poglądy polityczne oraz przekonania światopoglądowe, nie zaś "poglądy polityczne, światopoglądowe oraz przekonania").
Przyczyna tego stanu rzeczy wynika z zaniechania dokonania przez organ kluczowych ustaleń okoliczności faktycznych w niniejszej sprawie.
Podkreślić należy, że ustalenie stanu faktycznego ma fundamentalne znaczenie dla prowadzonego postępowania, gdyż warunkuje prawidłowe określenie zakresu przyznanych praw bądź obowiązków nałożonych na strony postępowania. W celu ustalenia stanu faktycznego i realizacji zasady prawdy obiektywnej organ obowiązany jest - zarówno na wniosek strony, jak i z urzędu - do podejmowania wszelkich czynności, które konieczne są do dokładnego wyjaśnienia stanu faktycznego sprawy, a w konsekwencji do jej załatwienia (art. 7 k.p.a.). Zebranie wszystkich potrzebnych dowodów obliguje organ do całościowej ich analizy i oceny (art. 77 § 1, art. 80 k.p.a.). Wynik tych czynności powinien zostać odzwierciedlony w uzasadnieniu podjętej decyzji (art. 107 § 3 k.p.a.).
Rolą uzasadnienia jest objaśnienie toku myślenia, który doprowadził organ administracji do zastosowania przepisu prawa w konkretnej sprawie. W sferze faktów (uzasadnienia faktycznego) chodzi tu o wyjaśnienie okoliczności wskazujących na potrzebę lub konieczność wydania decyzji w danej sprawie i wobec określonych podmiotów oraz wpływu tych okoliczności na treść rozstrzygnięcia. W sferze prawa (uzasadnienia prawnego) chodzi zaś o wskazanie obowiązującej normy i jej znaczenia ustalonego w drodze wykładni. Do naruszenia art. 107 § 3 k.p.a. dochodzi wtedy, gdy uzasadnienie decyzji nie zawiera wszystkich elementów wymienionych w tym przepisie albo gdy mimo formalnej poprawności jego treść nie pozwala na skontrolowanie poprawności rozstrzygnięcia sprawy, a tym samym czyni - w stopniu istotnym - wątpliwym poprawność przeprowadzenia postępowania wyjaśniającego w sprawie (por. wyroki NSA: z dnia 6 października 2020 r. sygn. akt I 3235/18; z dnia 24 kwietnia 2018 r. sygn. akt I OSK 1351/16; publ. CBOSA).
Z taką właśnie sytuacją mamy do czynienia w niniejszej sprawie. W uzasadnieniu zaskarżonej decyzji organ nie wyjaśnił w oparciu o jaki materiał dowodowy ustalił, że dane dotyczące aktywności uczestniczki postępowania w mediach społecznościowych, o których mowa w sentencji decyzji, ujawniają jej "poglądy polityczne, światopoglądowe oraz przekonania". Organ wprawdzie wskazał, że podstawą zastosowania przez Spółkę wobec Uczestniczki postępowania kary porządkowej nagany z dnia [...] maja 2021 r. były treści udostępniane przez nią na jej profilu na [...] w dniach [...], [...], [...] i [...] marca 2021 r. oraz [...], [...] i [...] kwietnia 2021 r., zaś kary porządkowej nagany z dnia [...] lipca 2021 r. treści udostępniane przez nią na jej profilu na [...] w dniach [...], [...] i [...] czerwca 2021 r. oraz [...], [...], [...], [...] i [...] lipca 2021 r., jednak w ogóle nie dokonał analizy i oceny tychże treści. Organ wskazał jedynie, że Spółka nawiązuje do ww. treści oraz cytuje fragmenty w uzasadnieniu faktycznym zawiadomienia o zastosowaniu kary, sam jednak treści tych ani nie powołał, ani nie poddał ich jakiejkolwiek analizie.
W tym miejscu wskazać należy, że aktach administracyjnych sprawy brak jest wydruków zrzutów z ekranu profilu Uczestniczki postępowania na portalu [...], które zawierałyby pełne treści wpisów przedstawionych w zawiadomieniach o zastosowaniu kar porządkowych. W zawiadomieniach tych cytowane są często tylko fragmenty tychże wpisów - np. z dnia [...] marca 2021 r. W takich przypadkach dopiero analiza ww. wydruków jako źródłowego materiału dowodowego mogłaby stanowić podstawę kwalifikacji danych osobowych Uczestniczki jako tzw. danych osobowych zwykłych bądź wrażliwych w rozumieniu odpowiednio art. 6 ust. 1 i art. 9 ust. 1 ogólnego rozporządzenia o ochronie danych. Wobec braku takiej analizy samo stwierdzenie organu, że weryfikacji dokonanej przez Spółkę "podlegały przejawy aktywności skarżącej w internecie podane do publicznej wiadomości, m.in. polegające na umieszczeniu przez nią informacji na ogólnodostępnych forach internetowych, które ujawniały jej poglądy polityczne, światopoglądowe oraz przekonania" (s. 5) nosi cechy arbitralności i dowolności.
Bez istotnego znaczenia w tym względzie pozostaje powołana przez organ treść sprzeciwu Uczestniczki postępowania z dnia [...] stycznia 2021 r. skierowanego do Spółki wobec przetwarzania jej danych osobowych, "w tym danych wrażliwych, w zakresie ich gromadzenia, utrwalania i zestawiania (...) pochodzących z zewnętrznych medialnych źródeł (...)" (s. 3). To nie na Uczestniczce postępowania, lecz na organie spoczywa obowiązek oceny, czy w istocie przetwarzaniu podlegały dane osobowe wrażliwe w rozumieniu art. 9 ust. 1 ww. rozporządzenia, czy też dane zwykłe, o których mowa w art. 6 ust. 1. Ma to tym większe znaczenie, że w skierowanej do organu skardze z dnia [...] maja 2021 r. Uczestniczka wskazuje również: "Zarzucono mi udostępnianie na moim [...] profilu postów ze strony [...]. Dostałam za to również naganę. Treści te traktują o łamaniu przepisów bezpieczeństwa i hipokryzji zarządu firmy (...)". Zatem już w świetle tak sformułowanej skargi obowiązkiem organu była wnikliwa, samodzielna ocena czy treści te należy zakwalifikować jako dane osobowe wrażliwe, a jeśli tak, to czy dane te faktycznie ujawniają poglądy polityczne oraz przekonania światopoglądowe.
Analizując treść zaskarżonej decyzji nie sposób również nie dostrzec, że jej uzasadnienie nie koresponduje z istotą postępowania administracyjnego prowadzonego przez organ w niniejszej sprawie.
Mianowicie, z akt sprawy wynika, że organ wszczął i prowadził postępowanie wyjaśniające w sprawie skargi I. P. "na nieprawidłowości w procesie przetwarzania danych osobowych przez P., polegające na pozyskiwaniu jej danych osobowych z zasobów [...] i dalszemu przetwarzaniu tych danych w celach związanych z zatrudnieniem, tj. udzielenia kary porządkowej nagany" (zawiadomienie o wszczęciu postępowania - k. 15, wezwanie Spółki do złożenia wyjaśnień - k. 16, wezwanie do zapoznania się materiałem dowodowym - k. 55, 54 akt admin.). Z zaskarżonej decyzji również wynika, że została ona wydana po przeprowadzeniu postępowania administracyjnego "na nieprawidłowości w procesie przetwarzania danych osobowych przez P., polegające na pozyskiwaniu danych osobowych z zasobów [...] i dalszemu przetwarzaniu tych danych w celach związanych z zatrudnieniem, tj. udzielenia kary porządkowej nagany".
Natomiast w uzasadnieniu decyzji organ szeroko odnosi się do okoliczności wykonania "Porozumienia w sprawie zwolnienia grupowego" zawartego przez Spółkę oraz organizacje związkowe w dniu [...] stycznia 2021 r. w oparciu o "Instrukcję weryfikacji przestrzegania polityki medialnej i hejtu w Spółce P." i z tych okoliczności wywodzi, że miało miejsce niezgodne z prawem przetwarzanie danych osobowych Uczestniczki postępowania dotyczących jej aktywności w mediach społecznościowych. Organ stwierdza bowiem, że "w ramach prowadzonego procesu, o którym mowa powyżej (wykonania ww. Porozumienia - uwaga Sądu) weryfikacji podlegały przejawy aktywności skarżącej w internecie podane do publicznej wiadomości, m.in. polegające na umieszczeniu przez nią informacji na ogólnodostępnych forach internetowych, które ujawniały jej poglądy polityczne, światopoglądowe oraz przekonania (s. 5).
W dalszej części uzasadnienia organ również nawiązuje do ww. procesu wskazując m.in., że gromadzenia informacji dokumentujących aktywność skarżącej w mediach społecznościowych nie uzasadnia chęć wykonania Porozumienia. Stwierdza nadto, że Porozumienie ingeruje w sferę prywatności Uczestniczki postępowania oraz, że nie miała ona wpływu na treść Porozumienia, do którego przestrzegania była zobowiązana. Organ w istocie marginalnie odnosi się w uzasadnieniu decyzji do okoliczności przetwarzania danych osobowych Uczestniczki postępowania w związku z zastosowaniem wobec niej ww. kary porządkowej koncentrując się na postanowieniach Porozumienia w sprawie zwolnienia grupowego oraz procedurze jego wykonania. Tymczasem uzasadnienie decyzji, wobec zakreślonego przedmiotu postępowania, powinno odnosić się do kwestii przetwarzania danych osobowych Uczestniczki w związku z zastosowaniem ww. kary porządkowej, a w szczególności powinno wyjaśniać jakich konkretnie danych osobowych przetwarzanie to dotyczyło oraz czy było usprawiedliwione (czy też nie) w świetle przepisów ogólnego rozporządzenia o ochronie danych w związku z postanowieniami Polityki Medialnej P. oraz Regulaminu pracy. Wyjaśnienia tych kwestii uzasadnienie zaskarżonej decyzji nie zawiera.
Organ stwierdzając brak przesłanek legalizujących pozyskanie przez Skarżącą informacji dokumentujących aktywność Uczestniczki postępowania na portalu [...] stwierdził, że "co do zasady niedopuszczalne jest gromadzenie przez pracodawców informacji zamieszczonych przez pracowników w mediach społecznościowych". Wskazał przy tym m.in., że "przetwarzanie danych osobowych pracownika w związku z działaniami podejmowanymi przez niego w czasie prywatnym nie mogą być uzasadnione narzuconym mu przez Spółkę sposobem postepowania (...)", a nadto, że "pracodawca nie jest uprawniony do pozyskiwania bez zgody pracownika informacji dotyczących jego życia prywatnego".
Organ powołał się następnie na fragment Opinii [...] przyjętej w dniu [...] czerwca 2017 r. przez Grupę Roboczą art. 29 dyrektywy 95/46/WE, która dotyczy przetwarzania danych w miejscu pracy. Z fragmentu tego można wyprowadzić wniosek, że przetwarzanie przez pracodawcę danych osobowych pracowników z publicznie dostępnych profili społecznościowych jest dopuszczalne, jednak uzależnione po pierwsze, od uprzedniego przeprowadzenia przez pracodawcę analizy proporcjonalności w celu zbadania, najogólniej rzecz ujmując, czy konieczność przetwarzania danych przeważa nad ogólnymi prawami pracowników do prywatności oraz poufności komunikacji, a po drugie, od spełnienia obowiązku informacyjnego względem pracowników. Organ stwierdził, że Skarżąca nie wykonała ww. czynności, nie wyjaśnił jednak czy i w jaki sposób ewentualne ich wykonanie mogłoby mieć wpływ na wynik sprawy.
Następnie organ powołał art. 222 § 1 k.p. oraz art. 223 § 1 k.p. stwierdzając, że śledzenie przez Skarżącą prywatnej aktywności pracowników na portalach społecznościowych nie mieści się w zakresie przedmiotowym ww. przepisów. Wskazać jednak należy, że ww. przepisy nie mogły mieć zastosowania w przedmiotowej sprawie, bowiem pierwszy z nich dotyczy wprowadzenia monitoringu (w postaci rejestracji obrazu) na terenie zakładu pracy, drugi natomiast monitoringu służbowej poczty elektronicznej pracownika.
Wskazać również należy, że powołując się na ww. Opinię [...] oraz przepisy Kodeksu pracy organ nie wyjaśnił, czy w niniejszej sprawie przetwarzanie danych osobowych było wynikiem "monitorowania" przez Skarżącą aktywności Uczestniczki postępowania w mediach społecznościowych w rozumieniu ww. regulacji.
Jak z powyższego wynika, argumentacja organu w odniesieniu do przyjętego stanowiska jest niespójna i nielogiczna. Ponadto organ pominął szereg istotnych kwestii. Mianowicie, akcentując "prywatny" charakter aktywności Uczestniczki postępowania w mediach społecznościowych organ nie wziął pod uwagę, że weryfikacji przez Skarżącą podlegały "przejawy aktywności Uczestniczki w internecie podane do publicznej wiadomości, m.in. polegające na umieszczeniu przez nią informacji na ogólnodostępnych forach internetowych", choć sam powoływał się na tę okoliczność (s. 5). Skarżąca bowiem wyjaśniała, że przetwarza informacje z publicznie dostępnych źródeł, co oznacza "dostęp bez ograniczeń dla każdego" (k. 19 akt admin.). Ponadto, organ nie wykazał, że przetwarzane informacje dotyczą życia prywatnego Uczestniczki postępowania, tj. życia osobistego - rodzinnego, intymnego, itp. Skarżąca zaś w ww. wyjaśnieniach, jak i w skardze podnosiła, że wypowiedzi Uczestniczki na portalu [...] stanowią naruszenie postanowień Polityki Medialnej Spółki, bowiem godzą w jej dobre imię. Naruszają również ogólne obowiązki pracownika dbałości o dobro zakładu pracy oraz przestrzegania zasad współżycia społecznego (art. 100 § 2 pkt 4 i 6 k.p.). Wskazywała również, że Uczestniczka wypowiadała się z perspektywy pracownika, wskazując Spółkę jako miejsce zatrudnienia, występując na zdjęciach profilowych w stroju służbowym na tle [...]. Wypowiedzi te odnosiły się zatem do sfery służbowej, a nie prywatnej Uczestniczki postępowania.
Organ wydaje się stać na stanowisku, że niedopuszczalność gromadzenia przez pracodawcę informacji zamieszczanych przez pracownika wynika z samego faktu zamieszczania informacji w mediach społecznościowych - wykorzystujących technologie internetowe. Takie stanowisko budzi uzasadnione wątpliwości. Oznacza bowiem, że czynnikiem, który miałby determinować możliwość gromadzenia informacji (przetwarzania danych osobowych) pracowników przez pracodawcę jest to, czy określone informacje stanowią treści komunikacji elektronicznej czy tradycyjnej ("analogowej"). Pomija natomiast to, jakie treści komunikuje pracownik podając je do publicznej wiadomości, a w szczególności czy mogą one stanowić naruszenie obowiązków pracowniczych wynikających z art. 100 § 2 pkt 4 i 6 k.p.
Konkludując Sąd stwierdza, że wskazane powyżej naruszenia przepisów postępowania administracyjnego skutkowały uchyleniem zaskarżonej decyzji. Przy czym wykazane w sprawie wadliwości natury procesowej powodują, że na obecnym etapie przedwczesnym było szczegółowe ustosunkowanie się do podniesionych w skardze zarzutów naruszenia prawa materialnego.
Ponownie rozpatrując sprawę organ uwzględni przedstawioną ocenę prawną. Ustali okoliczności faktyczne sprawy w oparciu o pełny, wszechstronnie rozpatrzony materiał dowodowy. Dokona subsumpcji ustalonego stanu faktycznego do obowiązujących przepisów prawa. Podejmując rozstrzygnięcie w sprawie należycie je uzasadni, stosownie do wymogów z art. 107 § 3 k.p.a.
Mając na względzie wszystko powyższe Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 145 § 1 pkt 1 lit. c p.p.s.a. orzekł jak w punkcie 1 sentencji wyroku. O kosztach postępowania obejmujących wpis od skargi (200 zł) oraz koszty wynagrodzenia pełnomocnika Skarżącej w stawce minimalnej wraz z opłatą od pełnomocnictwa Sąd postanowił w oparciu o art. 200 i art. 205 § 2 p.p.s.a., jak w punkcie 2 sentencji wyroku.