II SA/Wa 2190/23

II SA/Wa 2190/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-05-15
orzeczenie nieprawomocne
Data wpływu
2023-11-20
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Ewa Radziszewska-Krupa
Łukasz Krzycki /przewodniczący sprawozdawca/
Mateusz Rogala
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję w części
Powołane przepisy
Dz.U. 1996 nr 70 poz 335
art. 8 ust. 1a
Ustawa z dnia 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych - tekst jednolity.
Dz.U.UE.L 2016 nr 119 poz 1 art. art. 6 ust. 1 lit. d i f, 33 w zw. z 4 pkt 12, 51, 58 ust. 2
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki (spr.), Sędzia WSA Ewa Radziszewska-Krupa, Asesor WSA Mateusz Rogala, po rozpoznaniu w trybie uproszczonym w dniu 15 maja 2024 r. sprawy ze skarg A.B.i N. Sp. z o.o. z siedzibą w T. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję w punkcie 1; 2. oddala skargę A. B.; 3. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz N. Sp. z o.o. z siedzibą w T. kwotę 697 (sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania.
Uzasadnienie
Zaskarżonym aktem - przywołując art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2023 r. poz. 775), zwanej dalej "K.p.a." oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119 z 4 maja 2016), zwanego dalej "RODO", wobec skargi p. A. B., zwanego dalej "Wnioskodawcą", na nieprawidłowości w przetwarzaniu jego danych osobowych przez [...] Sp. z o.o., zwaną dalej "Spółką":
- udzielono Spółce upomnienia za naruszenie art. 6 ust. 1 RODO, polegającego na przetwarzaniu - bez podstawy prawnej - danych osobowych Wnioskodawcy w zakresie imienia i nazwiska - w procedurze rozpatrywania wniosku o przyznanie zapomogi z Zakładowego Funduszu Świadczeń Socjalnych (dalej, jako "Fundusz") w związku ze śmiercią małżonki bez podstawy prawnej (w pkt 1),
- umorzono postępowanie w zakresie przetwarzania przez Spółkę danych osobowych Wnioskodawcy co do informacji o stanie cywilnym w celu udzielenia zapomogi z Funduszu (w pkt 2).
W uzasadnieniu rozstrzygnięcia przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy:
- Wnioskodawca wskazał w skardze, że przekazał Spółce informację o śmierci żony aby skorzystać z urlopu okolicznościowego; nigdy nie upoważniał natomiast pracodawcy do przetwarzania - związanych ze śmiercią i pogrzebem żony - jego danych osobowych w żadnym innym celu, w tym na potrzeby udzielenia zapomogi z Funduszu; wniesiono o nakazanie Spółce zaprzestania przetwarzania jego danych osobowych niezgodnie z przepisami w innym celu niż je przekazano, usunięcia jego danych osobowych przetwarzanych bez podstawy prawnej oraz o nałożenie administracyjnej kary pieniężnej,
- w toku postępowania wyjaśniającego ustalono następujący stan faktyczny:
- Wnioskodawcę od 1 maja 1999 r. zatrudniono w Spółce; jest członkiem Międzyzakładowej Organizacji Związkowej NSZZ "Solidarność"; [...] lutego 2023 r. r. otrzymał przelew tytułem "zapomoga z ZFŚS" w związku ze śmiercią żony (tak: skarga z [...] kwietnia wraz z załącznikami i wyjaśnienia Spółki z [...] maja 2023 r. wraz z załącznikami),
- wedle wyjaśnień Spółki:
(z [...] maja 2023 r. wraz z załącznikami):
w dacie przyznania zapomogi z Funduszu obowiązywał w niej Regulamin Zakładowego Funduszu Świadczeń Socjalnych w [...] sp. z o. o. z [...] czerwca 2008 r. - obecnie, po zmianie nazwy Spółki (z dniem [...] grudnia 2009 r.) dla [...] sp. z o.o. (dalej, jako "Regulamin"); dokument ten zastąpiono nowym regulaminem - od [...] marca 2023 r.;
zgodnie z postanowieniem zawartym w § 6 C. 2 Regulaminu - "współpracownicy uprawnionego do świadczeń mogą ubiegać się o zapomogę w jego imieniu"; w związku z tym wniosek o przyznanie zapomogi złożył [...] lutego 2023 r. kierownik produkcji; Spółka rozpatrzyła go pozytywnie i wypłaciła Wnioskodawcy zapomogę (w kwocie 10 000 zł.);
przyznanie zapomogi nie wynikało z przetwarzania stanu cywilnego Wnioskodawcy - jako takiego - ale zdarzenia, które go spotkało: śmierci najbliższej osoby; było związane z przetwarzaniem imienia i nazwiska Wnioskodawcy nie zaś informacji o stanie cywilnym;
takie postępowanie miało charakter rutynowy i znajdowało zastosowanie we wszystkich przypadkach tragicznych dla pracowników zdarzeń - jak śmierć najbliższej osoby;
przyznając zapomogę Spółka zachowała się zgodnie z dotychczasową praktyką;
Wnioskodawcy udzielono ponadto dobrowolnie dodatkowego, płatnego zwolnienia od pracy; miał on świadomość o stosownej możliwości, ponieważ znał treść Regulaminu - w tym również postanowienie, gdzie przewidziano możliwość złożenia wniosku o zapomogę przez innego pracownika;
Spółka - po wypłacie zapomogi z Funduszu - prowadziła z Wnioskodawcą korespondencję; nie zawierała ona żądań usunięcia lub zaprzestania przetwarzania jego danych;
z [...] czerwca 2023 r.:
do chwili powzięcia wiedzy o złożeniu skargi, Spółka nie miała żadnych informacji o zastrzeżeniach Wnioskodawcy do udzielonej mu pomocy; przyjął zapomogę; przelano ją na jego rachunek bankowy; nie zwrócił jej w całości ani w części; nie złożył także żadnego wniosku do Spółki, dotyczącego anulowania czy kwestionowania przyznanej pomocy ani też innego oświadczenia, z którego wynikałoby, że pomoc tą przyznano mu niezasadnie i zamierza zwrócić przekazane środki (tak: wyjaśnienia Spółki);
Spółka aktualnie przetwarza i będzie przetwarzać do końca 2029 roku dane osobowe Wnioskodawcy - zgromadzone w procedurze przyznawania mu zapomogi - w celu realizacji obowiązku prawnego, nałożonego na nią, jako płatnika (na podstawie regulacji podatkowych),
- do obowiązków administratora należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w RODO; zgodnie z art. 4 ust. 1 tego aktu, dane osobowe oznaczają "informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (osobie, której dane dotyczą); możliwa do zidentyfikowana osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie takiego identyfikatora jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną fizjologiczną genetyczną psychiczną kulturową lub społeczną tożsamość osoby fizycznej"; przepisem uprawniającym administratora do przetwarzania danych osób fizycznych jest art. 6 ust. 1 RODO; zgodnie z nim dopuszczano przetwarzanie danych tylko, gdy spełniono jedną ze wskazanych w tym przepisie przesłanek; ich katalog jest zamknięty, a każda z nich - legalizujących proces przetwarzania danych osobowych - ma charakter autonomiczny i niezależny; poza przypadkiem zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO), przetwarzanie danych dopuszczono m.in., gdy jest to niezbędne dla wypełnienia ciążącego na administratorze obowiązku prawnego (art. 6 ust 1 lit. c RODO) oraz gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora - z wyjątkiem sytuacji, gdy nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą (art. 6 ust. 1 lit. f RODO); wszelkie formy przetwarzania danych osobowych należy realizować zgodnie z zasadami wymienionymi w art. 5 ust. 1 RODO; należy je przetwarzać m.in. rzetelnie oraz zgodnie z prawem (tak lit. a wskazanej jednostki),
- w toku postępowania ustalono, że Spółka przetwarzała dane osobowe Wnioskodawcy w zakresie imienia i nazwiska wobec informacji o śmierci jego małżonki - w procedurze rozpatrywania wniosku o zapomogę z Funduszu, złożonego przez jego współpracownika,
- jak wskazano w art. 8 ust. 1a ustawy z dnia 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych (obecnie opubl. w Dz.U. z 2024 r. poz. 288), zwanej dalej "ustawą o ZFŚS", udostępnienie pracodawcy danych osobowych osoby uprawnionej do korzystania z Funduszu, w celu przyznania ulgowej usługi i świadczenia oraz dopłaty z Funduszu i ustalenia ich wysokości, następuje w formie oświadczenia; pracodawca może żądać udokumentowania danych osobowych w zakresie niezbędnym do ich potwierdzenia; potwierdzenie może odbywać się w szczególności na podstawie oświadczeń i zaświadczeń o sytuacji życiowej (w tym zdrowotnej), rodzinnej i materialnej osoby uprawnionej do korzystania z Funduszu,
- zgodnie natomiast z art. 8 ust. 2 ustawy o ZFŚS, zasady i warunki korzystania z finansowanych z Funduszu usług i świadczeń oraz przeznaczania zeń środków na poszczególne cele i rodzaje działalności socjalnej określa pracodawca w regulaminie - ustalanym zgodnie z art. 27 ust. 1 albo art. 30 ust. 6 ustawy z 23 maja 1991 r. o związkach zawodowych (Dz. U. z 2022 r. poz. 854),
- w § 6 C. 2 Regulaminu, uzgodnionego ze związkami zawodowymi – w tym organizacją, której członkiem jest Wnioskodawca - obowiązującego w okresie, gdy wnioskowano dlań o zapomogę - wskazano, że współpracownicy uprawnionego do świadczeń mogą ubiegać się o zapomogę w jego imieniu,
- biorąc pod uwagę ustalony w toku przeprowadzonego postępowania wyjaśniającego stan faktyczny oraz przywołane regulacje, w obowiązujących w okresie złożenia wniosku o zapomogę z [...] lutego 2023 r., jak i aktualnie, w przepisach ustawy o ZFŚS nie przewidziano, aby osoby trzecie mogły wystąpić w imieniu uprawnionego o świadczenia, jak również, aby pracodawca (Spółka) mógł przyznawać świadczenia (tu: zapomogę) z własnej inicjatywy – w oparciu o pozyskane od współpracowników lub z innych źródeł informacje, dotyczące sytuacji życiowej, rodzinnej i materialnej pracownika; w postanowieniach Regulaminu, nie określono też, jak uprawniona osoba może realizować swoje przywileje, związane z procedurą przyznawania świadczeń z Funduszu, zainicjowaną przez osobę trzecią - w tym jak i kiedy dowiaduje się o zainicjowaniu procedury przyznawania świadczeń; nie zapewniono przez to prawidłowej ochrony jej danych osobowych; przetwarzanie danych dotyczących pracownika nie może mieć bowiem miejsca bez świadomości tego pracownika,
- tym samym Spółka nie była uprawniona do przetwarzania danych osobowych Wnioskodawcy - w ramach procedury rozpatrywania wniosku o zapomogę z Funduszu; nie dysponowała bowiem jego zgodą i złożonym przezeń wnioskiem (inicjującym postępowanie), przetwarzanie nie miało oparcia w przepisie, jak również nie stanowiło o realizacji prawnie uzasadnionego interesu - zarówno pracodawcy, jak i strony trzeciej; co za tym idzie proces przetwarzania danych osobowych, stanowił naruszenie art. 5 ust. 1 lit. a i art. 6 ust. 1 RODO,
- niemniej - w efekcie zainicjowanego procesu - Spółka przyznała Wnioskodawcy zapomogę, którą przyjął; w związku z tym ma zastosowanie art. 8 ust. 1c ustawy o ZFŚS; wskazano tam, że pracodawca przetwarza dane osobowe, o których mowa w ust. 1a, przez okres niezbędny do przyznania ulgowej usługi i świadczenia, dopłaty z Funduszu oraz ustalenia ich wysokości, a także przez okres niezbędny do dochodzenia praw lub roszczeń; wprawdzie zapomogi losowe, przyznawane z zakładowego funduszu świadczeń socjalnych, są wolne od podatku dochodowego od osób fizycznych, ale wydatkowanie przez pracodawcę środków z funduszu socjalnego podlega kontroli organów podatkowych; w takich sytuacjach okres przechowywania danych powinien być wyznaczony z uwzględnieniem okresu przedawnienia roszczeń, które mogą być kierowane ze strony organów podatkowych - 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku; płatnicy i inkasenci są obowiązani przechowywać związane z poborem lub inkasem podatków dokumenty do czasu upływu terminu przedawnienia zobowiązania płatnika lub inkasenta; tym samym Spółka może przetwarzać aktualnie dane osobowe Wnioskodawcy, o których mowa w skardze - zgodnie z art. 6 ust. 1 lit. c w zw. z art. 32 i 70 ustawy z 29 sierpnia 1997 r. - Ordynacja podatkowa (Dz. U. z 2022 r. poz. 2651),
- ocena dokonywana przez organ w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO dla przywrócenia stanu zgodnego z prawem w procesie przetwarzania danych; jest więc uzasadniona i potrzebna tylko, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją; organowi przysługują uprawnienia naprawcze, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów RODO przez operacje przetwarzania (lit. b); mając powyższe na uwadze - w realiach niniejszej sprawy, biorąc pod uwagę nieodwracalny charakter naruszenia danych osobowych oraz posiadanie przez Spółkę odrębnej i aktualnej na dzień wydania niniejszej decyzji podstawy do przetwarzania danych osobowych Wnioskodawcy - wystarczającym jest zastosowanie wobec niej upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych (art. 6 ust. 1 i art. 5 ust. 1 lit. a RODO), polegające na przetwarzaniu przez Spółkę danych osobowych Wnioskodawcy w zakresie imienia i nazwiska w procedurze rozpatrywania wniosku o przyznanie zapomogi z Funduszu w związku ze śmiercią małżonki bez podstawy prawnej (pkt 1 decyzji),
- co do zarzutu Wnioskodawcy, dotyczącego przetwarzania przez Spółkę w procedurze przyznawania świadczenia z Funduszu informacji o jego stanie cywilnym, ze zgromadzonego w sprawie materiału dowodowego nie wynika, aby przedmiotowe dane osobowe były przetwarzane przez Spółkę we wskazany sposób; w procedurze rozpatrywania wniosku o przyznanie Wnioskodawcy zapomogi z Funduszu – co wynika z wyjaśnień Spółki - nie miał znaczenia i nie był brany pod uwagę jego stan cywilny, lecz śmierć jego małżonki; Wnioskodawca nie przedstawił natomiast jakichkolwiek dowodów, potwierdzających stawiany w skardze zarzut; wobec tego zgromadzony w sprawie materiał dowodowy nie potwierdza, aby jego dane osobowe – w zakresie informacji o stanie cywilnym - przetwarzano w kwestionowany w skardze sposób,
- zgodnie z art. 105 § 1 K.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, wydaje się decyzję o umorzeniu postępowania; przedmiot postępowania wiąże się ze stosowaniem przez organ administracji publicznej przepisów materialnego prawa administracyjnego; w doktrynie wskazano: "bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 Kpa, oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym." (B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, C.H. Beck, Warszawa 2006, s. 489); w związku z tym umorzono niniejsze postępowania we wskazanym zakresie - zgodnie z pkt 2 decyzji,
- co do żądania Wnioskodawcy nałożenia administracyjnej kary pieniężnej na Spółkę wskazano: nie jest możliwe jego uwzględnienie; organ – jako nadzorczy - korzysta z przysługujących mu, na mocy art. 58 ust. 2 RODO, uprawnień naprawczych – m.in. w zakresie zastosowania administracyjnej kary pieniężnej na mocy art. 83 RODO, zależnie od okoliczności konkretnej sprawy (art. 58 ust. 2 lit. i RODO); dane uprawnienie naprawcze należy jednakże do autonomicznych kompetencji organu; w związku z tym ostateczną decyzję o nałożeniu na administratora administracyjnej kary pieniężnej organ podejmuje samodzielnie - na podstawie analizy materiału dowodowego danej sprawy; wskazanych czynności nie podejmuje się na wniosek strony skarżącej.
Wnioskodawca zaskarżył decyzję w zakresie umorzenia postępowania, co do przetwarzania danych osobowych (w pkt 2 decyzji) oraz wysokości kary za przetwarzanie danych bez podstawy prawnej.
W skardze zarzucono wydanie decyzji z naruszeniem przepisów:
- art. 7, 77 § 1 i art. 80 K.p.a., polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy - w tym nie wyjaśniono, na jakiej podstawie, pracodawca przetwarzał dane dotyczące przynależności związkowej Wnioskodawcy - wobec przyznawania świadczeń z Funduszu,
- art. 7, 76 § 1, art. 77 § 1 i art. 80 K.p.a., polegające na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie, wyrażającej się zwłaszcza w bezzasadnym uznaniu, że dane przekazane we wniosku dotyczącego jednego świadczenia z zakładowego funduszu świadczeń socjalnych mogą być udostępniane i przetwarzane w związku z innymi świadczeniami,
3) art. 8 i 107 § 3 K.p.a., przez nienależyte uzasadnienie zaskarżonej decyzji z uwagi na zawarcie w nim zbyt ogólnych stwierdzeń; uniemożliwia to realizację zasady pogłębiania zaufania obywateli do organów państwa.
W szerszym uzasadnieniu rozwinięto powyższe zarzuty.
Wniesiono o wnoszę o zasądzenie zwrotu kosztów postępowania według norm przepisanych.
Spółka, reprezentowana przez pełnomocnika – radcę prawnego, zaskarżyła decyzję w pkt 1. Zarzuciła jej wydanie z naruszeniem przepisów:
- postępowania
- art. 6 K.p.a. i wyrażonej w tym przepisie zasady ogólnej praworządności - poprzez wydanie decyzji z naruszeniem przepisów postępowania oraz prawa materialnego wskazanych w innych zarzutach skargi,
- art. 7, 77 § 1 i 80 K.p.a., polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i zaniechaniu dokładnego wyjaśnienia stanu faktycznego poprzez:
ustalenie, że Spółka przetwarzała dane osobowe Wnioskodawcy w procedurze rozpatrywania wniosków o przyznanie świadczeń socjalnych z Funduszu bez podstawy prawnej,
nierozpatrzenie występowania niezbędności przetwarzania do ochrony żywotnych interesów Wnioskodawcy,
ustalenie, że przetwarzanie danych osobowych Wnioskodawcy przez Spółkę odbywało się bez jego świadomości;
- art. 107 § 3 i art. 11 K.p.a., polegające na sporządzeniu uzasadnienia prawnego decyzji nieprzekonująco i niewyczerpująco - w szczególności bez wskazania powodów dla których:
przyznanie zapomogi uzależniono od zgody osoby uprawnionej,
uznano, że postanowienie Regulaminu musi znajdować oparcie w przepisach ustawy, gdy prawodawca pozostawił pracodawcom szeroką swobodę, co do uregulowania Funduszu w zakładzie pracy,
nie rozważono, czy przetwarzanie danych osobowych Wnioskodawcy było niezbędne do ochrony jego żywotnych interesów,
- materialnego:
- art. 5 ust. 1 lit. a w zw. z art. 6 ust. 1 RODO, poprzez ich niewłaściwe zastosowanie - uznano, że przetwarzanie danych osobowych przez Spółkę odbywało się niezgodnie z prawem;
- art. 3 ust. 1 w zw. z art. 8 ust. 1 ustawy o ZFŚS oraz art. 16 i 94 pkt 8 ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz.U. z 2023 r., poz. 1465), zwanej dalej: "K.p." - poprzez ich niezastosowanie i uznanie, że wypłata Wnioskodawcy zapomogi losowej nie pozostawała w ramach działalności socjalnej pracodawcy, do której jest zobowiązany,
- art. 8 ust. 1 w zw. z ust. 1a ustawy o ZFŚS poprzez ich błędną wykładnię – polegało to na uznaniu, że - do udzielenia zapomogi losowej z Funduszu - konieczna jest zgoda osoby uprawnionej; przepis ten nie określa tymczasem takiego wymogu;
- art. 8 ust. 1a ustawy o ZFŚS, poprzez jego błędną wykładnię i uznanie, że dane osobowe pracownika (w tym Wnioskodawcy) można pozyskiwać wyłącznie od niego; prawidłowa wykładnia tego przepisu prowadzi tymczasem do wniosku, że dotyczy on wyłącznie sposobu zbierania danych osobowych - opierania się o oświadczenie, a nie ogranicza ich pozyskiwania z innych źródeł;
- § 6 C. 2 Regulaminu w zw. z art. 9 § 1 K.p. i art. 8 ust. 2 ustawy o ZFŚS, poprzez ich niezastosowanie, mimo że postanowieniem tym dopuszczono wprost możliwość ubiegania się o zapomogę dla współpracownika, a uprawnienie do ustalenia przez Spółkę zasad i warunków korzystania z usług i świadczeń finansowanych z Funduszu w treści Regulaminu wynika wprost z przepisów ustawy o ZFŚS;
- art. 6 ust. 1 lit. d RODO, poprzez jego niezastosowanie i uznanie, że podstawą prawną przetwarzania danych osobowych Uczestnika nie była jego niezbędność do ochrony żywotnych interesów Wnioskodawcy;
- art. 58 ust. 2 lit. b RODO, poprzez jego zastosowanie i udzielenie Spółce upomnienia, pomimo braku naruszenia przepisów o ochronie danych osobowych przy przetwarzaniu danych Wnioskodawcy.
Wniesiono o uchylenie decyzji w zaskarżonej części oraz zasądzenie na rzecz Spółki zwrotu kosztów postępowania, w tym - zastępstwa procesowego.
W szerokim uzasadnieniu rozwinięto powyższe zarzuty, wywodząc między innymi, że - wedle stanowiska judykatury - wnioski o udzielenie pomocy z Funduszu mogą być kierowane przez osoby trzecie.
W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasową argumentację.
W dodatkowym piśmie (k. 44-48), Spółka wniosła o oddalenie skargi Wnioskodawcy, formułując szerokie stanowisko za tym przemawiające.
Skargę rozpoznano w trybie uproszczonym, wobec treści art. 119 pkt 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023 r. poz. 1634 ze zm.).
Sąd zważył, co następuje:
Skarga Spółki zasługuje na uwzględnienie, gdyż trafne są zarzuty, naruszenia przepisu prawa materialnego, gdzie określono jedną z przesłanek legalizujących przetwarzanie danych osobowych - art. 6 ust. 1 lit. f RODO, wobec mylnego uznania, jakoby dyspozycja tego przepisu nie odpowiadała stanowi faktycznemu sprawy. Prowadziło to do przedwczesnego - poprzedzającego wyjaśnienia sprawy w jej istotnych aspektach - orzeczenia w przedmiocie zastosowania jednego ze środków dyscyplinujących, przewidzianych art. 58 ust. 2 RODO (tu upomnienie – lit. b).
Na wstępie wypada odnotować, że - wbrew wywodom skargi Spółki - w kontekście nieprawidłowości, jakiej dopatrzył się organ, udzielając upomnienia, żadne istotne okoliczności nie budziły wątpliwości. Otóż, dane osobowe Wnioskodawcy, przetwarzano wobec procedowania w przedmiocie udzielenia mu zapomogi z Funduszu. Z kolei sama podstawa funkcjonowania Funduszu w Spółce i możliwość wypłaty zapomóg zawarta jest w konkretnej regulacji - ustawie o ZFŚS. Powinność jego ustanowienia nie była kwestionowana.
Nie jest sporne także uzyskanie przez Wnioskodawcę konkretnego świadczenia, oraz to, że - dla jego uzyskania - było niezbędne przetworzenie jego danych osobowych – w celu przyznania a następnie wypłaty mu stosownej kwoty – czego nie kwestionował.
Wobec takich uwarunkowań faktycznych i prawnych organ wyspecjalizowany w zakresie ochrony danych osobowych, winien był skonstatować, że przetworzenie danych nastąpiło w ramach podstaw przewidzianych w art. 6 ust. 1 lit. f RODO – gdy: "przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych (...)".
W realiach rozpoznawanej sprawy tymczasem, wyspecjalizowany organ prowadził w istocie postępowanie skierowane na ocenę, czy - w rozpatrywanym przypadku - istniały podstawy przyznania konkretnego świadczenia (tak uzasadnienie). Wywodził, że niezbędny był wniosek osoby zainteresowanej, która przedłożyłaby samodzielnie swoje dane osobowe, co ma wynikać z art. 8 ust. 1a ustawy o ZFŚS. Polemizuje z tym zaś Spółka w skardze - powołując odmienne poglądy z judykatury.
Należy wskazać, że w ramach kompetencji wyspecjalizowanego w kwestiach ochrony danych osobowych organu, nie mieści się ocena legalności konkretnych zdarzeń, gdzie ma miejsce przetworzenie danych osobowych, gdy dotyczy to realizacji typowych czynności z zakresu cywilnoprawnego, administracyjnoprawnego, prawa pracy, operacji bankowych itd. Wszelkie nieprawidłowości w obszarach tych relacji, mogą wprawdzie skutkować przetwarzaniem danych osobowych, gdzie - obiektywnie - można by to uznać za bezzasadne - np. uprzednie kierowanie żądania do osoby, która ostatecznie nie okaże się dłużnikiem, co potwierdzi ostatecznie orzeczenie sądu powszechnego. Analogicznie bezzasadne może się okazać przetwarzanie danych osobowych dla potrzeb realizacji świadczenia, które okaże się nienależne - np. już po jego wypłacie. Nie sposób stąd jednak wywodzić, aby - zakreślone RODO - reguły ochrony danych osobowych, mogły stanowić dla wyspecjalizowanego organu, powołanego dla wykonywania kompetencji określonych art. 55 danego aktu, podstawę dla oceny legalności wszelkich działań w dowolnych zakresach - obrotu cywilnego, stosunków prawa pracy, bądź relacji administracyjno-prawnych - w kontekście analizy, czy – w indywidualnym przypadku - określone czynności nie były wadliwe, a więc danych osobowych nie przetworzono bezpodstawnie. Jego rolą może być wyłącznie analiza w obszarze uprzedniego ustanowienia i zachowania reguł przetwarzania danych osobowych - służących minimalizacji (zbędnego) przetwarzania, zabezpieczenia ich przed dostępem osób trzecich czy zapewnienia możliwości wykorzystania uprawnień osób, których dane są przetwarzane - w ramach realizacji pewnego rodzaju grup działań. Wyjątkiem są wyłącznie - pozostające w kompetencji danego wyspecjalizowanego organu - pojedyncze zdarzenia incydentalne, opisane w art. 33 w zw. z art. 4 pkt 12 RODO (naruszenie ochrony danych osobowych). Tam jednak w istocie, proces przetworzenia danych nie jest następstwem zamierzonych - rutynowych - działań samego administratora.
W przeciwnym wypadku, wyspecjalizowany w sprawach ochrony danych osobowych organ zyskiwałby rangę niejako "nadzwyczajnej instytucji" - właściwej w systemie prawnym państwa członkowskiego do kontroli legalności wszelkich działań, gdy posłużono się danymi osobowymi. Mógłby on formułować oceny konkurencyjnie wobec stanowisk sądów czy innych wyspecjalizowanych organów, właściwych do rozstrzygania sporów bądź dla kontroli legalności działań w poszczególnych obszarach.
Intencji przypisania powołanemu z mocy art. 51 RODO organowi tak szerokich kompetencji - konkurencyjnych, jak odnotowano dla innych instytucji, służących ochronie porządku prawnego państw członkowskich (w tym sądów powszechnych) - nie sposób przypisać unijnemu prawodawcy. Prowadziłoby to bowiem wprost do ogólnej destabilizacji spójności systemów prawnych poszczególnych krajów.
Odnosząc te rozważania do realiów rozpoznawanej sprawy, należy wskazać, że w istocie organ zajął stanowisko, czy wypłacona Wnioskodawcy zapomoga znajdowała podstawę prawną, do czego nie był uprawniony. Samo przetworzenie danych osobowych Wnioskodawcy dla potrzeb wypłaty mu zapomogi niewątpliwie znajdowało zaś podstawę w art. 6 ust. 1 lit. f RODO. Nie sposób w szczególności uznać, by w danej sprawie indywidulanej zachodził przypadek wyłączający uzasadniony interes prawny Spółki - opisany przez prawodawcę, jako sytuacje "w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych". Wnioskodawca przyjął wszak zapomogę i nigdy nie kwestionował zasadności jej przyznania.
Jak skazano, zajęcie przez organ stanowiska w zakresie istnienia bądź nie- podstaw wypłaty zapomogi z Funduszu w Spółce nie było dopuszczalne. W kwestii tej mogą ewentualnie formułować stanowiska organy właściwe w sprawach podatkowych czy nadzoru, w zakresie zapewnienia stosownych warunków pracy. Spory w danym obszarze mogą też – w pewnych kontekstach - rozstrzygać sądy powszechne. Nie jest natomiast rolą organu wyspecjalizowanego w kwestii ochrony danych osobowych ocena zasadności wypłaty zapomogi wobec trybu wnioskowania o nią w konkretnym przypadku.
Jak wskazano, skoro świadczenie przyznano - na podstawie stosownych przepisów, gdzie generalnie przewidziano możliwość wypłaty zapomogi przez pracodawcę - rolą danego organu mogło być wyłącznie rozważenie, czy – w ramach przyjętych w Spółce procedur - zapewniono w stosownym zakresie odpowiednią ochronę danych osobowych pracowników - z uwzględnieniem praw osób, których one dotyczą. Organ zajął zresztą także w tym zakresie stanowisko w jednym z fragmentów uzasadnienia. Sformułowano tam konkretne, krytyczne uwagi co do przyjętego w Spółce sposobu procedowania nad wnioskami kierowanymi do Funduszu w kontekście reguł RODO. W danym zakresie organ prawidłowo więc realizował swoje kompetencje. Co wynika jednak z osnowy decyzji oraz treści innych części uzasadnienia, przesłanką udzielenia upomnienia (w pkt 1) nie było w danym przypadku ustalenie wadliwych reguł procedowania z wnioskami - ograniczających możliwość realizacji przywilejów zainteresowanych osób, w kontekście praw wynikających z RODO - lecz zdarzenie w postaci przetworzenia danych Wnioskodawcy, wobec wypłacenia mu konkretnej zapomogi.
W następstwie tego organ - w zakresie swoich kompetencji - nie rozpoznał, co do meritum sprawy - czy niezbędnym jest zastosowanie jednego ze środków dyscyplinujących (tu: upomnienie), bądź możliwe jest zastosowanie innych, przewidzianych prawem środków, służących zapewnieniu stosownej ochrony danych osobowych pracowników w Spółce - np. zawiadamianie administratora o podejrzeniu naruszenia RODO, w myśl art. 58 ust. 1 lit. d danego aktu.
Sprawy w danym zakresie - wobec treści uzasadnienie decyzji - nie sposób uznać za stosownie wyjaśnioną. Czyni to zasadnym zarzut naruszenia przepisów postępowania, co do powinności właściwego wyjaśnienia sprawy, przed zastosowaniem wobec Spółki sankcji, określonej w pkt 1 decyzji. Stosowne wyjaśnienie sprawy w danym zakresie musiałoby bowiem znaleźć odzwierciedlenie w treści uzasadnienia skarżonego aktu. Nie sposób się tego dopatrzeć, skoro organ sankcjonowanych nieprawidłowości upatrywał w innych okolicznościach sprawy.
Wobec wskazanych uwarunkowań, bezzasadne są także zarzuty skargi wniesionej przez Wnioskodawcę, pomijając tu kwestię, że w części nie dotyczą one w ogóle realiów przedmiotowej sprawy - np. kwestia przetwarzania danych o przynależności związkowej Wnioskodawcy, czy wykorzystania danych uzyskanych dla potrzeb innego świadczenia z Funduszu (wobec zakresu skargi do organu). Nie ma w danej sprawie istotnego znaczenia, czy informacja o śmierci żony Wnioskodawcy stanowi w istocie wiadomość o jego stanie cywilnym mimo, że stosowna ocena organu w tym zakresie stanowiła przesłankę umorzenia postępowania. Niezależnie od tej okoliczności, skoro przetwarzanie danych o fakcie śmierci żony Wnioskodawcy było niezbędne dla potrzeb wypłaty przewidzianej prawem zapomogi, nie sposób uznać aby czynności w danym zakresie nie należało kwalifikować jako "przetwarzanie niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora", w rozumieniu art. 6 ust. 1 lit. f RODO. W tym kontekście, kwestia umorzenia postępowania w określonym zakresie (tak pkt 2 decyzji), bądź alternatywnie merytorycznie orzeczenia o nieuwzględnieniu skargi nie może mieć istotnego znaczenia dla wyniku sprawy – z perspektywy ochrony uzasadnionego interesu Wnioskodawcy. Jego skargi w danym zakresie organ nie mógł wszak uwzględnić.
Chybiony jest także w tym kontekście zarzut Wnioskodawcy braku właściwego uzasadnienia decyzji.
Trafnie też wywiódł organ w uzasadnieniu skarżonego aktu (zreferowano je uprzednio szeroko w danym zakresie), że ocena zasadności zastosowania sankcji – w postaci wymierzenia administracyjnej kary pieniężnej, gdy organ nie wykorzystał tego środka - pozostaje poza oceną sądu administracyjnego. Rozstrzygnięcia w tym zakresie nie są bowiem podejmowane wobec wniosku strony lecz jedynie z urzędu. W takiej sytuacji legalność działania organów administracji publicznej (tu ewentualne zaniechanie) nie podlega w ogóle kognicji sądów administracyjnych.
Wobec takich uwarunkowań, poza granicami tej sprawy pozostaje ocena zarzutów Spółki, co do naruszenia przepisów prawa materialnego, zakreślających podstawy funkcjonowania Funduszu, czy reguł prawa pracy (ustawy o ZFŚS oraz K.p.), w tym stosownego przepisu Regulaminu. Zagadnienie to wykracza poza granice rozpoznawanej sprawy. Godzi się też zauważyć że przywołany w skardze Spółki art. 6 K.p.a. zamieszczono wprawdzie w regulacji ramowej o charakterze procesowym, ma jednak charakter normy materialnoprawnej. Ze swej istoty, każde uchybienie przepisom o charakterze materialnoprawnym bądź procesowym skutkować musi naruszeniem także tego przepisu.
Bezzasadny jest z kolei zarzut Spółki naruszenia dyspozycji art 6 ust. 1 lit. d RODO. Realizacji uprawnienia do pozyskania świadczenia z Funduszu, nie sposób kwalifikować jako "żywotne interesy wnioskodawcy". Uzyskanie zapomogi nie było dlań "żywotnie" niezbędne i - gdyby nie było zgodne z jego wolą - mógł jej nie przyjąć - zwracając uzyskaną kwotę świadczenia. W rozpatrywanej sprawie jednak, co bezsporne, nie miało to miejsca.
Natomiast zarzuty Spółki naruszenia norm postępowania w zakresie powinności właściwego wyjaśnienia sprawy oraz uzasadnienia decyzji są zasadne, jedynie w zakresie wskazanym we wcześniejszej części uzasadnienia.
Z przytoczonych wyżej przyczyn - na podstawie art. 145 § 1 pkt 1 lit. a i c ustawy - Prawo o postępowaniu przed sądami administracyjnymi - orzeczono jak w pkt 1 zaś - w pkt 2 sentencji - wobec art. 151 danego aktu. O zwrocie kosztów postępowania na rzecz Spółki Sąd orzekł jak w pkt 3 sentencji, w myśl art. 200 w zw. z art. 205 § 2 powyższej ustawy oraz § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz.U. z 2018 r., poz. 265). Koszty stanowiło wynagrodzenie pełnomocnika Spółki w kwocie 480 zł, wpis sądowy od skargi w kwocie 200 zł oraz 17 zł tytułem opłaty skarbowej od pełnomocnictwa. Wobec oddalenia skargi Wnioskodawcy - dotyczącej wyłącznie pkt 2 decyzji oraz niewymierzenia kary pieniężnej - nie uwzględniono natomiast jego żądania zwrotu kosztów.
Rozpatrując ponownie sprawę organ administracji uwzględni ocenę prawną, sformułowaną w niniejszym uzasadnieniu.