II SA/WA 2489/19
Podsumowanie
Przejdź do pełnego tekstuWSA w Warszawie stwierdził nieważność decyzji Prezesa UODO nakazującej udostępnienie danych pracowników związkowi zawodowemu, uznając, że organ nadzorczy nie miał takich uprawnień na gruncie RODO.
Sprawa dotyczyła decyzji Prezesa UODO nakazującej J. S.A. udostępnienie danych osobowych pracowników (imion, nazwisk, miejsca pracy) na rzecz związku zawodowego w celu przeprowadzenia referendum strajkowego. J. S.A. zaskarżyła tę decyzję, argumentując m.in. naruszenie RODO i brak uprawnień organu. Sąd administracyjny stwierdził nieważność decyzji Prezesa UODO, uznając, że organ nadzorczy nie posiada uprawnień do nakazania administratorowi danych udostępnienia danych osobowych podmiotowi trzeciemu, jakim jest związek zawodowy, co stanowi rażące naruszenie przepisów RODO.
Wojewódzki Sąd Administracyjny w Warszawie rozpoznał skargę J. S.A. z siedzibą w K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych (UODO) z dnia [...] sierpnia 2019 r., która nakazywała Spółce udostępnienie danych osobowych pracowników (imion, nazwisk, miejsca świadczenia pracy) na rzecz Organizacji Zakładowej nr [...] S.A. w celu przeprowadzenia referendum strajkowego. Organ nadzorczy powołał się na przepisy k.p.a. oraz RODO, uznając, że związek zawodowy ma prawnie uzasadniony interes w pozyskaniu tych danych, a dane udostępnione przez Spółkę (numery SAP) były niewystarczające. Spółka zarzuciła naruszenie przepisów postępowania i prawa materialnego, w tym RODO, wskazując na brak uprawnień organu do wydania takiego nakazu oraz naruszenie zasady minimalizacji danych i negatywnej wolności związkowej. W toku postępowania Prezes UODO sam stwierdził nieważność swojej decyzji, jednak WSA uchylił tę decyzję, uznając brak uprawnień Prezesa do wszczęcia postępowania nadzwyczajnego w tej sytuacji. Następnie, w piśmie procesowym, Prezes UODO wniósł o uchylenie zaskarżonej decyzji, przyznając, że została ona wydana z naruszeniem art. 58 ust. 2 RODO, ponieważ organ nadzorczy nie ma uprawnień do nakazania administratorowi udostępnienia danych osobowych osobie trzeciej. WSA przychylił się do tego stanowiska, stwierdzając nieważność decyzji Prezesa UODO z powodu rażącego naruszenia prawa, ponieważ przepisy RODO (art. 57 i 58) nie przyznają organowi nadzorczemu takich uprawnień, a celem RODO jest ochrona danych osobowych, a nie nakazywanie ich udostępniania podmiotom trzecim. Sąd zasądził od Prezesa UODO na rzecz J. S.A. zwrot kosztów postępowania.
Asystent AI do analizy prawnej
Przeanalizuj tę sprawę w kontekście orzecznictwa, przepisów i doktryny. Uzyskaj pogłębioną analizę, projekt pisma lub odpowiedź na pytanie prawne.
Zagadnienia prawne (2)
Odpowiedź sądu
Nie, Prezes UODO nie posiada takich uprawnień na gruncie RODO.
Uzasadnienie
Przepisy RODO, w szczególności art. 57 i 58, określają zadania i uprawnienia organu nadzorczego, które koncentrują się na egzekwowaniu przepisów RODO i ochronie praw osób, których dane dotyczą. Nakazanie administratorowi udostępnienia danych osobowych podmiotowi trzeciemu nie mieści się w katalogu uprawnień naprawczych ani innych zadań organu nadzorczego.
Rozstrzygnięcie
Decyzja
stwierdzono_nieważność
Przepisy (15)
Główne
p.p.s.a. art. 134 § 1
Ustawa - Prawo o postępowaniu przed sądami administracyjnymi
p.p.s.a. art. 145 § 1
Ustawa - Prawo o postępowaniu przed sądami administracyjnymi
Pomocnicze
k.p.a. art. 104 § 1
Ustawa - Kodeks postępowania administracyjnego
RODO art. 6 § 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
RODO art. 58 § 2
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
RODO art. 57 § 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
RODO art. 80
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
u.s.s. art. 20 § 1
Ustawa o rozwiązywaniu sporów zbiorowych
u.s.s. art. 6
Ustawa o rozwiązywaniu sporów zbiorowych
u.z.z. art. 28 § 1
Ustawa o związkach zawodowych
u.z.z. art. 3
Ustawa o związkach zawodowych
k.p. art. 181
Ustawa - Kodeks pracy
u.o.d.o.
Ustawa o ochronie danych osobowych
p.p.s.a. art. 200
Ustawa - Prawo o postępowaniu przed sądami administracyjnymi
p.p.s.a. art. 205 § 2
Ustawa - Prawo o postępowaniu przed sądami administracyjnymi
Argumenty
Skuteczne argumenty
Prezes UODO nie posiada uprawnień na gruncie RODO do nakazania administratorowi danych udostępnienia danych osobowych podmiotowi trzeciemu. Wydanie decyzji nakazującej udostępnienie danych osobowych pracodawcy innemu podmiotowi (związkowi zawodowemu) stanowi rażące naruszenie przepisów RODO. Zaskarżona decyzja została wydana z naruszeniem art. 58 ust. 2 RODO.
Godne uwagi sformułowania
Prezes Urzędu Ochrony Danych Osobowych nie ma uprawnienia do nakazania administratorowi danych udostępnienia innemu podmiotowi danych osobowych swoich pracowników. Zaskarżona decyzja została wydana z rażącym naruszeniem prawa. Oczywistość naruszenia prawa polega w tej sprawie na rzucającej się w oczy sprzeczności między treścią rozstrzygnięcia a przepisem prawa stanowiącym jego podstawę prawną.
Skład orzekający
Andrzej Góraj
przewodniczący
Iwona Maciejuk
sprawozdawca
Joanna Kube
członek
Informacje dodatkowe
Wartość precedensowa
Siła: Wysoka
Powoływalne dla: "Interpretacja uprawnień organów nadzorczych ochrony danych osobowych (Prezesa UODO) w zakresie nakazywania udostępniania danych osobowych podmiotom trzecim oraz zasady stosowania RODO w kontekście żądań związków zawodowych."
Ograniczenia: Dotyczy specyficznej sytuacji żądania danych przez związek zawodowy i oceny uprawnień Prezesa UODO. Może być mniej bezpośrednio stosowalne do innych sytuacji żądania danych przez podmioty trzecie, ale stanowi ważny wyraz interpretacji kompetencji organu.
Wartość merytoryczna
Ocena: 7/10
Sprawa dotyczy ważnych kwestii ochrony danych osobowych i kompetencji organów nadzorczych, co jest istotne dla prawników i administratorów danych. Pokazuje, że nawet organy państwowe mogą działać poza swoimi uprawnieniami.
“Sąd administracyjny: Prezes UODO nie może nakazać udostępnienia danych pracowników związkom zawodowym!”
Dane finansowe
WPS: 697 PLN
Twój asystent do analizy prawnej
Zadaj pytanie prawne, zleć analizę orzecznictwa i przepisów, lub poproś o projekt pisma — AI przeszuka ponad 1,4 mln orzeczeń i aktualne akty prawne.
Powiązane tematy
Pełny tekst orzeczenia
Oryginał, niezmienionyII SA/Wa 2489/19 - Wyrok WSA w Warszawie Data orzeczenia 2021-07-08 orzeczenie prawomocne Data wpływu 2019-11-07 Sąd Wojewódzki Sąd Administracyjny w Warszawie Sędziowie Andrzej Góraj /przewodniczący/ Iwona Maciejuk /sprawozdawca/ Joanna Kube Symbol z opisem 647 Sprawy związane z ochroną danych osobowych Sygn. powiązane III OSK 6859/21 - Wyrok NSA z 2025-03-27 Skarżony organ Generalny Inspektor Ochrony Danych Osobowych Treść wyniku Stwierdzono nieważność zaskarżonej decyzji Sentencja Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj, Sędzia WSA Iwona Maciejuk (spr.), Sędzia WSA Joanna Kube, po rozpoznaniu na posiedzeniu niejawnym w dniu 8 lipca 2021 r. sprawy ze skargi J. S.A. z siedzibą w K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2019 r. nr [...] w przedmiocie nakazu udostępnienia danych osobowych 1. stwierdza nieważność zaskarżonej decyzji; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz J. S.A. z siedzibą w K. kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania. Uzasadnienie Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] sierpnia 2019 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.), zwanej dalej k.p.a. oraz art. 6 ust. 1 lit. f w zw. z art. 58 ust. 2 lit. d rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), zwanego dalej RODO, po przeprowadzeniu postępowania administracyjnego w sprawie skargi Organizacji Zakładowej nr [...] S.A. z siedzibą w W., nakazał udostępnienie przez J. S.A. z siedzibą w K. na rzecz Organizacji Zakładowej nr [...] S.A. z siedzibą w W., danych osobowych pracowników zatrudnionych w J. S.A. w dniu wydania niniejszej decyzji, w zakresie ich imion, nazwisk oraz miejsca świadczenia pracy celem przeprowadzenia referendum strajkowego. W uzasadnieniu organ ustalił następujący stan faktyczny: 1. Organizacja Zakładowa nr [...] S.A., jest związkiem zawodowym działającym w J. S.A. z siedzibą w K. 2. Pismem z [...] grudnia 2018 r. Związek zwrócił się do Spółki o wydanie wykazu pracowników w celu przeprowadzenia referendum i wyrażenia stanowiska odnośnie akcji strajkowej przez pracowników Spółki. 3. Spółka pismem z [...] grudnia 2018 r. poinformowała Związek, że sporządzenie listy dotyczącej [...] pracowników nie jest możliwe w żądanym przez Związek terminie tj. do [...] grudnia 2018 r., przedmiotowa lista natomiast zostanie przekazana na rzecz Związku w terminie późniejszym. 4. Pismem z [...] grudnia Spółka poinformowała Związek, że na dzień [...] grudnia 2018 r. zatrudnionych było [...] pracowników. Do pisma załączono wykaz numerów SAP zatrudnionych ze wskazaniem regionu wykonywania pracy oraz poinformowano Związek, że każdy pracownik Spółki identyfikowany jest za pomocą numeru SAP . 5. [...] stycznia 2019 r. Związek w uzupełnieniu do pisma z [...] grudnia 2018 r. zwrócił się o przekazanie listy pracowników celem przeprowadzenia referendum strajkowego obejmującej wskazanie imienia i nazwiska pracownika wraz z adresem sklepu, w którym pracuje. 6. Pismem z [...] stycznia 2019 r. Spółka poinformowała Związek, że przekazane pismem z [...] grudnia 2018 r dane obejmujące indywidualny numer SAP pracownika, są wystarczające do przeprowadzenia referendum strajkowego. 7. Związek odmówił odbioru listy pracowników załączonej do pisma z [...] grudnia 2018 r. z powodu braku danych osobowych oraz okoliczności, że załączniki te zawierały tylko numer SAP, będącym numerem użytkownika w systemie informatycznym SAP, za pomocą którego identyfikuje się pracownika w Spółce. Prezes UODO powołał w uzasadnieniu przepisy art. 20 ust. 1, art. 15 i art. 9 ustawy z dnia 23 maja 1991 r. o rozwiązywaniu sporów zbiorowych (Dz. U. 2019 poz. 174). Stwierdził, że przepisy tej ustawy nie określają wprost uprawnienia do pozyskiwania przez związki zawodowe danych pracowników na potrzeby referendum strajkowego. Wskazał, że przepisy te nic nie mówią także o tym, skąd i jaki zakres danych pracowników może pozyskać Związek na potrzeby zorganizowania głosowania w związku z planowanym strajkiem. Prezes UODO podniósł, że również przepisy ustawy dnia 23 maja 1991 r. o związkach zawodowych (Dz. U. 2015 poz. 1881 z późn. zm.) nie precyzują jakiego rodzaju informacje są niezbędne do prowadzenia działalności związkowej oraz w jakiej formie pracownicy mają być poinformowani o planowanym referendum strajkowym. Ustawa ta w art. 28 ust. 1 określa jedynie, że pracodawca jest zobowiązany udzielić na żądanie związku zawodowego informacji niezbędnych do prowadzenia działalności związkowej. Prezes UODO zaznaczył jednak, że brak technicznych aspektów przeprowadzenia referendum strajkowego nie uchyla uprawnienia Związku do pozyskania danych niezbędnych do jego przeprowadzenia. Przesłanką bowiem uprawniającą do pozyskania przez Związek danych pracowników w ww. celu jest jego prawnie uzasadniony interes. W niniejszej sprawie uzasadniony interes organizatora referendum strajkowego, wiąże się z prawidłowym przeprowadzeniem strajku oraz wypełnieniem obowiązków dotyczących poinformowania wszystkich pracowników o planowanym referendum strajkowym, a zatem dotarciem do wszystkich pracowników danego zakładu pracy, w tym takich osób, którzy swoją pracę świadczą poza siedzibą zakładu pracy, bądź są nieobecni z innych przyczyn. Spółka ma zatem obowiązek przekazać Związkowi zawodowemu imiona i nazwiska zatrudnionych oraz informację umożliwiającą nawiązanie z nimi kontaktu, tylko bowiem w ten sposób Związek będzie w stanie takie referendum przeprowadzić oraz umożliwić pracownikom uzyskania informacji o referendum strajkowym a w konsekwencji wzięcie w nim udziału. Prezes UODO podkreślił, że udostępnienie Związkowi przez Spółkę danych w zakresie imion, nazwisk i danych kontaktowych nie naruszy praw i wolności tych osób, bowiem dane te wykorzystywane będą w celu przeprowadzenia referendum czyli zrealizowania uprawnienia Związku wynikającego z przepisów ustawy o rozwiązywaniu sporów zbiorowych. Prezes UODO wskazał, że udostępnione przez Spółkę informacje obejmujące numer SAP danego pracownika oraz region uznać należy za niewystarczające do poinformowania przez Związek każdego pracownika Spółki o planowanym referendum strajkowym. Wynika to z faktu, iż numer SAP nie jest daną kontaktową. Numer SAP jest daną indywidualizującą pracownika w systemie Spółki. Stąd też zdaniem organu numery SAP nie mają przymiotu danych kontaktowych dla Związku, co w procesie organizacji i przeprowadzenia referendum strajkowego uniemożliwia Związkowi dotarcie do pracowników w celu uzyskania zgody na przeprowadzenie referendum . Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2019 r. nr [...] stała się przedmiotem skargi J. S.A. z siedzibą w K., reprezentowanej przez radcę prawnego, do Wojewódzkiego Sądu Administracyjnego w Warszawie. Pełnomocnik wnosząc o uchylenie zaskarżonej decyzji i zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych zarzucił: 1. naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.: - art. 8 § 1, art. 11 k.p.a, art. 7 k.p.a. i art. 77 § 1 k.p.a. polegające na nierównym traktowaniu stron z uwagi na nieuwzględnienie wyjaśnień skarżącej w przedmiotowej sprawie, przejawiające się w lakonicznym uzasadnieniu zasadności przesłanek, które stanowią podstawę wydanego rozstrzygnięcia jak również nieuwzględnienie wszystkich okoliczności sprawy mających istotny wpływ na wynik sprawy oraz samodzielne ustalenie celu udostępnienia danych poprzez wskazanie, że dane te są konieczne do skontaktowania się z pracownikami oraz ich poinformowania o referendum, pomimo iż cel ten nie był wskazywany przez organizację związkową, 2. naruszenia przepisów prawa materialnego, które miały wpływ na wynik sprawy tj.: - art. 6 ust. 1 lit.f RODO poprzez błędne przyjęcie, że przetwarzanie danych osobowych takich jak imię, nazwisko i dane kontaktowe wszystkich osób zatrudnionych u pracodawcy jest niezbędne do osiągnięcia celu w postaci zorganizowania strajku przez związek zawodowy i stanowi prawnie uzasadniony interes; - art. 20 ustawy o rozwiązywaniu sporów zbiorowych poprzez ich błędną wykładnię polegającą na ustaleniu, że do przeprowadzenia referendum konieczne jest pozyskanie danych wszystkich pracowników i bezpośredni, indywidualny kontakt z każdym z pracowników w celu prowadzenia agitacji związkowej: - art. 6 ustawy o rozwiązywaniu sporów zbiorowych poprzez jego niezastosowanie polegające na pominięciu osób wykonujących pracę zarobkową na innej podstawie niż stosunek pracy, przez co wykonanie decyzji nie spełnia celu jakim ma być poinformowanie o referendum wszystkich podmiotów mogących wziąć w nim udział; - art. 28 ustawy o związkach zawodowych w zw. z art. 5 ust. 1 lit.c RODO poprzez błędną jego wykładnię polegającą na przyjęciu, iż dane osobowe pracowników zatrudnionych przez pracodawcę, w tym pracowników niezrzeszonych stanowią dane niezbędne do prowadzenia działalności związkowej w kontekście planowanego strajku, które to twierdzenie stoi w opozycji do zasady "minimalizacji danych"; - art. 181 ustawy Kodeks pracy wz. z art. 3 ustawy o związkach zawodowych poprzez narażenie pracowników wydaną decyzją na nieporządną przez nich personalną agitację związkową, stanowiącą naruszenie ich negatywnej wolności związkowej i prawa do pozostawania poza działaniami podejmowanymi przez związek zawodowy działający w zakładzie pracy pracodawcy; - art. 9 ust. 1 i ust. 2 lit.c RODO poprzez jego niezastosowanie polegające na błędnym przyjęciu, że dane, które mają być udostępnione organizacji związkowej przez skarżącą nie są danymi szczególnej kategorii i mogą być przetwarzane na zasadach ogólnych a nie po spełnieniu wymagań wskazanych w art. 9 ust. 1 i ust. 2 RODO. Pełnomocnik wniósł o dopuszczenie dowodu z pisma z dnia [...] kwietnia 2019 r. (niewłaściwie oznaczonego w treści decyzji jako pismo z dnia [...] kwietnia 2019 r.). W uzasadnieniu pełnomocnik rozszerzył argumentację w zakresie podniesionych zarzutów. Prezes UODO w odpowiedzi z dnia 16 października 2019 r. na skargę wniósł o jej oddalenie, podtrzymując stanowisko zawarte w zaskarżonej decyzji. Uczestnik postępowania – Organizacja Zakładowa [...] S.A. z siedzibą w W., reprezentowany przez adwokata, w piśmie procesowym z dnia [...] grudnia 2019 r. wniósł o oddalenie skargi oraz zasądzenie kosztów postępowania. Pełnomocnik wniósł też o przeprowadzenie dowodu z pisma [...] z dnia [...].05.2019 r. na okoliczność udostępnienia uczestnikowi danych osobowych wszystkich pracowników na dzień [...].12.2018 r. w ramach i na potrzeby wyłącznie sprawy toczącej się przed Sądem Rejonowym [...] i [...] sygn. nr [...] o ustalenie ilości członków związku zawodowego, przykładowego identyfikatora wydanego przez pracodawcę na okoliczność ustalenia zawartych w nim danych. Pełnomocnik wnosząc o oddalenie skargi przestawił argumentację prezentowanego stanowiska. W toku postępowania sądowoadministracyjnego Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] września 2020 r. nr [...], po przeprowadzeniu z urzędu postępowania nadzwyczajnego, stwierdził nieważność własnej decyzji z dnia [...] sierpnia 2019 r. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 26 lutego 2021 r. sygn. akt II SA/Wa 2238/20 uchylił decyzję Prezesa UODO z dnia [...] września 2020 r. wskazując, że Prezes Urzędu Ochrony Danych Osobowych nie był uprawniony do wszczęcia z urzędu postępowania nieważnościowego w sprawie decyzji z dnia [...] sierpnia 2019 r. będącej przedmiotem postępowania sądowoadministracyjnego (sygn. akt II SA/Wa 2489/19), a także do wydania decyzji w tym trybie. Pismem procesowym z dnia [...] kwietnia 2021 r. Prezes UODO wniósł o uchylenie zaskarżonej decyzji z dnia [...] sierpnia 2019 r. Stwierdził, że wydana została ona z naruszeniem art. 58 ust. 2 RODO. Podniósł, że rozpoznając wniosek Związku w przedmiocie zobowiązania Spółki do udostępnienia danych osobowych jej pracowników potrzebnych dla zorganizowania referendum strajkowego, prowadził postępowanie nie mieszczące się w kognicji organu oraz wydał rozstrzygnięcie nie mieszczące się w dyspozycji art. 58 ust. 2 RODO. Organ wskazał, że zgodnie z motywem 122 RODO "każdy organ nadzorczy powinien być właściwy na terytorium swojego państwa członkowskiego do wykonywania uprawnień i wypełniania zadań powierzonych mu w myśl niniejszego rozporządzenia. (...) Powinno to dotyczyć rozpatrywania skarg wnoszonych przez osoby, których dane dotyczą, prowadzenia postępowań w sprawie stosowania niniejszego rozporządzenia oraz uświadamiania ryzyka, zasad, zabezpieczeń i praw związanych z przetwarzaniem danych osobowych". Organ zaznaczył, że wśród uprawnień organu nadzorczego - jakim jest Prezes Urzędu - brak jest uprawnienia do nakazania administratorowi lub podmiotowi przetwarzającemu ujawnienia danych osobowych osobie trzeciej. Pełnomocnik skarżącego pismem procesowym z dnia [...] czerwca 2021 r. podtrzymał dotychczasowe twierdzenia i wnioski, a nadto wskazał, że aprobuje stanowisko organu w części, w której organ wskazuje na wydanie zaskarżonej decyzji z rażącym naruszeniem prawa. Podniósł, iż mając na uwadze, że ani RODO ani inne przepisy krajowe nie przyznały organowi uprawnień do nakazania udostępnienia danych osobowych podmiotowi, który nie jest podmiotem danych (tak jak w niniejszej sytuacji), zaskarżona decyzja została wydana z rażącym naruszeniem prawa, w związku z tym nie powinna znajdować się w obrocie prawnym i jako taka musi podlegać uchyleniu. Dodatkowo nawiązując do zarzutów skargi wskazał, że przepisy ustawy o związkach zawodowych ani też żadnej innej ustawy czy aktu prawnego nie dają uprawnienia do żądania danych pracowników (w szczególności wszystkich pracowników) bez uzyskania zgody tych osób (podmiotów danych). Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r., poz. 2325 ze zm.), sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Zaskarżona decyzja z dnia [...] sierpnia 2020 r. wydana została z rażącym naruszeniem przepisu art. 58 ust. 2 lit.d RODO (art. 156 § 1 pkt 2 k.p.a.), co stanowi przesłankę stwierdzenia jej nieważności. Na gruncie przepisów RODO Prezes Urzędu Ochrony Danych Osobowych nie ma uprawnienia do nakazania administratorowi danych udostępnienia innemu podmiotowi danych osobowych swoich pracowników. RODO określa zadania organu nadzorczego (Prezesa UODO) w art. 57 RODO. Zgodnie z art. 57 ust. 1 lit.f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium, rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowanie w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym. Przepis art. 80 RODO statuuje prawo umocowania przez osobę, której dane dotyczą podmiotu, organizacji lub zrzeszenia, o których mowa w przepisie, do wniesienia w jej imieniu skargi oraz wykonywania w jej imieniu praw, o których mowa w art. 77, 78, 79, jeżeli uznają, że w wyniku przetwarzania naruszone zostały prawa osoby, której dane dotyczą, wynikające z niniejszego rozporządzenia. W sprawie tej Prezes UODO nie rozpatrywał skargi osoby, której dane dotyczą. Rozpoznał skargę związku zawodowego domagającego się udostępnienia przez pracodawcę w istocie zbioru danych osobowych pracowników. Przepisy art. 57 i art. 58 RODO nie dają podstaw Prezesowi UODO do takiego działania, a tym bardziej do wystosowania nakazu udostępnienia przez pracodawcę innemu podmiotowi danych osobowych jego pracowników. Zasadniczą rolą organu ochrony danych osobowych jakim jest Prezes UODO, jest egzekwowanie stosowania RODO. Oznacza to podejmowanie wszelkich działań określonych w RODO, które służyć mają zapewnieniu właściwego poziomu ochrony danych osobowych. Z tego względu, decyzja wydana w niniejszej sprawie, wszczętej ze skargi związku zawodowego, narusza w sposób rażący art. 58 ust. 2 lit.d RODO. Przepis ten stanowi, że organowi nadzorczemu przysługuje uprawnienie nakazania administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu. Powołany przepis w sposób oczywisty, w kontekście zadań organu ochrony danych osobowych, nie mógł znaleźć zastosowania w tej sprawie i to poprzez nakazanie udostępnienia podmiotowi trzeciemu danych osobowych pracowników administratora danych. Oczywistość naruszenia prawa polega w tej sprawie na rzucającej się w oczy sprzeczności między treścią rozstrzygnięcia a przepisem prawa stanowiącym jego podstawę prawną, w nawiązaniu do przepisu art. 57 RODO określającego zadania organu nadzorczego. Także skutki, jakie mogłaby wywołać zaskarżona decyzja, z punktu widzenia ochrony praw i wolności osób, których dane dotyczą, są niemożliwe do zaakceptowania (v. wyrok NSA z dnia 28 października 2011 r. sygn. akt I OSK 1888/10, Lex nr 1069632; wyrok NSA z dnia 18 lipca 1994 r. sygn. akt V SA 535/94, ONSA 1995, nr 2, poz. 91). Wszystkie uprawnienia naprawcze, jakie zostały przewidziane dla organu nadzorczego w art. 58 ust. 2 RODO, jasno wskazują na potrzebę realizacji celu RODO, jakim jest zapewnienie właściwego poziomu ochrony danych osobowych. Ochrona praw i wolności osób, których dane dotyczą jest podstawowym zadaniem Prezesa UODO. Nawet nakładanie przez Prezesa Urzędu Ochrony Danych Osobowych na gruncie RODO administracyjnej kary pieniężnej w założeniu służyć ma osiągnięciu tego celu. Także w art. 57 ust. 3 RODO jednoznacznie wskazano na wypełnianie przez organ nadzorczy zadań na rzecz osoby, której dane dotyczą, i – gdy ma to zastosowanie – inspektora ochrony danych. Zaskarżona decyzja w sposób oczywisty przeczy realizacji celu RODO. Z tego też względu działanie organu ochrony danych osobowych na żądanie skargi związku zawodowego i wydanie na rzecz tego podmiotu nakazu udostępnienia danych osobowych pracowników administratora danych należało uznać za rażąco naruszające przepis art. 58 ust. 2 lit.d RODO. Ustawodawca unijny w motywie 129 RODO wskazał m.in., że aby zapewnić spójne monitorowanie i egzekwowanie niniejszego rozporządzenia w całej Unii, organy nadzorcze powinny mieć w każdym państwie członkowskim te same zadania i faktyczne uprawnienia, w tym uprawnienia do prowadzenia postępowań wyjaśniających, naprawcze, uprawnienia do nakładania kar oraz do udzielania zezwoleń i doradcze, w szczególności w przypadku skarg osób fizycznych, i - bez uszczerbku dla uprawnień organów prokuratorskich na mocy prawa państwa członkowskiego - uprawnienia do zgłaszania naruszeń niniejszego rozporządzenia organom wymiaru sprawiedliwości oraz do udziału w postępowaniu sądowym. Wśród tych uprawnień powinno być także uprawnienie do wprowadzania czasowego lub definitywnego ograniczenia przetwarzania, w tym zakazania przetwarzania. Państwa członkowskie mogą określić także inne zadania związane z ochroną danych osobowych na mocy niniejszego rozporządzenia. Swoje uprawnienia organy nadzorcze powinny wykonywać zgodnie z odpowiednimi zabezpieczeniami proceduralnymi przewidzianymi w prawie Unii i prawie państwa członkowskiego, bezstronnie, sprawiedliwie i w rozsądnym terminie. W szczególności każdy środek powinien być odpowiedni, niezbędny i proporcjonalny, aby zapewnić przestrzeganie niniejszego rozporządzenia - z uwzględnieniem okoliczności danej sprawy, z poszanowaniem prawa do wysłuchania danej osoby przed zastosowaniem indywidualnego środka, który miałby niekorzystnie na nią wpłynąć, i bez nadmiernych kosztów i niedogodności dla danej osoby. (...). W motywie tym wskazano m.in. na uprawnienie do wprowadzania czasowego lub definitywnego ograniczenia przetwarzania, w tym zakazania przetwarzania. Uprawnienie takie, jako służące ochronie praw i wolności osoby, której dane dotyczą, zostało ujęte jako jeden ze środków naprawczych (art. 58 ust. 2 lit.f RODO). Nakaz udostępnienia danych osobowych na żądanie podmiotu trzeciego, jakim jest związek zawodowy nie stanowi środka naprawczego na gruncie RODO. Także przepisy ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz. U. z 2019 r., poz. 1781), nie dają podstaw do wydania przez Prezesa UODO tego rodzaju nakazu. Z uwagi na stwierdzone rażące naruszenie prawa nie było podstaw do odrębnego odnoszenia się do zarzutów skargi. W sprawie tej nie było też podstaw do uwzględnienia wniosków dowodowych zawartych w skardze i piśmie procesowym uczestnika postępowania. Nadto, pismo z dnia [...] kwietnia 2019 r. znajduje się w aktach postępowania administracyjnego nadesłanych przez organ. W sprawie tej nie zaistniały istotne wątpliwości, które wymagałyby wyjaśnienia przez Sąd w drodze uzupełniającego postępowania dowodowego, o czym jest mowa w art. 106 § 3 ustawy – Prawo o postępowaniu przed sądami administracyjnymi. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r., poz. 2325 ze zm.) orzekł, jak w punkcie 1 wyroku. O kosztach postępowania sądowego, jak w punkcie 2 wyroku, Sąd orzekł na podstawie art. 200 w zw. z art. 205 § 2 powołanej ustawy. Do kosztów tych Sąd zaliczył uiszczony wpis sądowy w wysokości 200 zł, wynagrodzenie radcy prawnego reprezentującego skarżącego, w wysokości 480 zł oraz opłatę skarbową od dokumentu pełnomocnictwa 17 zł.
Potrzebujesz pomocy prawnej?
Asystent AI przeanalizuje Twoje pytanie w oparciu o orzecznictwo, przepisy i doktrynę — jak rozmowa z ekspertem.
Zadaj pytanie Asystentowi AI