II SA/Wa 2571/19

II SA/Wa 2571/19 - Wyrok WSA w Warszawie
Data orzeczenia
2020-08-25
orzeczenie prawomocne
Data wpływu
2019-11-20
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Wieczorek
Izabela Głowacka-Klimas /przewodniczący/
Joanna Kruszewska-Grońska /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 4541/21 - Wyrok NSA z 2024-06-14
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2016 poz 922
art. 23 ust. 1 pkt 2 i art. 26 ust. 1
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.
Dz.U. 2018 poz 623
art. 10, art. 14 ust. 1 i art.l 48 ust. 2
Ustawa z dnia 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy - tekst jedn.
Dz.U.UE.L 2016 nr 119 poz 1  art. 6 ust. 1 lit. c oraz art. 58 ust. 2
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Andrzej Wieczorek, Asesor WSA Joanna Kruszewska-Grońska (spr.), po rozpoznaniu w trybie uproszczonym w dniu 25 sierpnia 2020 r. sprawy ze skargi Głównego Inspektora Pracy na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Pismem z [...] lipca 2018 r. J. K. (dalej: "uczestnik postępowania") wniósł do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") skargę na udostępnienie jego danych osobowych zawartych w formularzach PIT-37 za lata 2015-2016 przez Naczelnika [...] Urzędu Skarbowego [...] z siedzibą w L. (dalej: "Naczelnik US") na wniosek Głównego Inspektora Pracy (dalej: "skarżący", "GIP"), podważając legalność tego wniosku i przetwarzanie jego danych przez Państwową Inspekcję Pracy (dalej: "PIP"). Zażądał podjęcia przez organ "możliwych działań dla ochrony prawnej" jego osoby. Zdaniem uczestnika postępowania, doszło do naruszenia prawa w relacjach pomiędzy organami w zakresie kompetencji ujawnienia i pozyskania danych osobowych stanowiących tajemnicę skarbową, a także w relacjach pracodawca - pracownik ze względu na postępowanie osób działających w imieniu PIP, mające cechy inwigilacji. O tym, jakiego rodzaju dane zostały przekazane PIP przez Naczelnika US, uczestnik postępowania dowiedział się z pisma Naczelnika US z [...] lipca 2018 r. (w odpowiedzi na jego wniosek z [...] czerwca 2018 r.).
W toku prowadzonego postępowania administracyjnego, zainicjowanego ww. skargą z [...] lipca 2018 r., Prezes UODO ustalił, że uczestnik postępowania był pracownikiem PIP Okręgowego Inspektoratu w L. do [...] października 2017 r. Wykonywał czynności kontrolne, przez co podlegał nadzorowi GIP.
W dniu [...] września 2017 r. GIP skierował do Naczelnika US wniosek o udostępnienie danych osobowych zawartych w deklaracjach podatkowych uczestnika postępowania za lata 2015-2016 w zakresie wysokości dochodów z praw autorskich oraz pozostałych źródeł. Nadto GIP wystąpił z zapytaniem, czy w latach 2015-2017 odnotowano wpływ informacji o dochodach podatnika (uczestnika postępowania) wystawionych przez płatnika w osobie R. J. (prowadzącego działalność gospodarczą pod nazwą [...]).
W odpowiedzi na ten wniosek Naczelnik US w dniu [...] października 2017 r. udostępnił dane osobowe uczestnika postępowania z Centralnego Rejestru Danych Podatkowych w żądanym zakresie, opatrując je klauzulą "Tajemnica Skarbowa".
Okręgowy Inspektor Pracy w L. (dalej: "OIP"), w którego to okręgu świadczył pracę uczestnik postępowania, podał, iż nie zwracał się do GIP o udostępnienie danych uczestnika zawartych w formularzu PIT-37 za 2015 r. i 2016 r., a także nie posiada kopii tych dokumentów.
Pozyskane dane osobowe zostały wykorzystane przez OIP do rozwiązania stosunku pracy z uczestnikiem postępowania.
Decyzją z [...] września 2019 r. nr [...], mając za podstawę art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256 ze zm.; dalej: "k.p.a."), art. 6 ust. 1 lit. c oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz.U. UE L 119/1 z 4 maja 2016 r.; dalej: "RODO"), organ nakazał PIP usunięcie danych uczestnika postępowania zawartych w formularzach PIT-37 za lata 2015 oraz 2016, a w pozostałym zakresie odmówił uwzględnienia wniosku.
W uzasadnieniu rozstrzygnięcia organ podniósł, że udostępnienie danych osobowych uczestnika postępowania przez Naczelnika US na rzecz GIP było zdarzeniem jednorazowym, do którego doszło [...] października 2017 r., tj. w czasie obowiązywania ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.; dalej: "u.o.d.o. z 1997 r."). Dlatego legalność udostępnienia danych osobowych powinna być oceniana na podstawie przepisów u.o.d.o. z 1997 r. Natomiast w związku z kontynuacją przetwarzania przez GIP pozyskanych danych, zastosowanie mają także przepisy RODO.
Za kluczowe w sprawie Prezes UODO uznał określenie obowiązków i ról pełnionych przez PIP, GIP oraz OIP w świetle ustawy z dnia 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy (Dz. U. z 2019 r., poz. 1251; dalej: "ustawa o PIP"). Podkreślił, iż skarżący był zatrudniony w Okręgowym Inspektoracie Pracy w L., który zgodnie z art. 3 ust. 1 ustawy o PIP stanowi jednostkę organizacyjną PIP. Natomiast GIP, w myśl art. 3 ust. 2 ustawy o PIP, kieruje PIP, a także - na podstawie art. 18 ust. 6 ustawy o PIP - wykonuje czynności z zakresu prawa pracy m.in. w stosunku do pracowników nadzorujących lub wykonujących czynności kontrolne (m.in. w stosunku do uczestnika postępowania). Ustawowe kompetencje PIP są wykonywane za pośrednictwem osób do tego upoważnionych, w tym GIP. Za wykonywanie kompetencji PIP jako organu, przez jednostkę organizacyjną wpisaną w strukturę tego organu, odpowiada PIP. Z tej przyczyny, mimo tego, że skarga uczestnika postępowania dotyczy GIP (gdyż to ten podmiot wystąpił do Naczelnika US o udostępnienie danych osobowych uczestnika postępowania), to za to działanie podmiotem odpowiedzialnym - jako administrator danych osobowych w rozumieniu art. 4 ust. 7 RODO - jest PIP. Dodatkowo odpowiedzialnym jest OIP, który będąc bezpośrednim pracodawcą uczestnika postępowania, wykorzystał pozyskane przez GIP dane do rozwiązania z nim stosunku pracy.
Odnosząc się do udostępnienia danych przez Naczelnika US na rzecz PIP, organ zaznaczył, że każda forma przetwarzania danych osobowych tzw. "zwykłych" powinna znaleźć oparcie w jednej z przesłanek enumeratywnie wyliczonych w art. 23 ust. 1 u.o.d.o. z 1997 r., warunkujących legalność tego procesu. Każda z tych przesłanek miała charakter autonomiczny i niezależny, co oznacza, że przesłanki te były równoprawne, a spełnienie co najmniej jednej z nich stanowiło o zgodnym z prawem przetwarzaniu danych osobowych. W tym kontekście Prezes UODO wskazał na dopuszczalność przetwarzania danych osobowych zwykłych (nawet bez zgody zainteresowanej osoby), gdy było to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2 u.o.d.o. z 1997 r.).
W przedmiotowej sprawie zakres udostępnionych danych ograniczony jest do informacji podatkowych uczestnika postępowania, które unormowane są przepisami ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa (Dz. U. z 2018 r., poz. 800 dalej: "O.p."), a mianowicie art. 293 § 1, art. 299 § 1 i art. 298 O.p.
W ocenie Prezesa UODO, udostępnienie żądanych danych osobowych przez Naczelnika US nie stanowiło naruszenia przepisów o ochronie danych osobowych, bowiem odpowiadało art. 23 ust. 1 pkt 2 u.o.d.o. z 1997 r., ponieważ ww. organ skarbowy jest ustawowo zobowiązany do współpracy z PIP.
W tym miejscu organ zwrócił uwagę na konieczność rozgraniczenia ustawowych uprawnień posiadanych przez PIP występującą w roli organu nadzorczego oraz uprawnień posiadanych przez jednostkę organizacyjną PIP, jako pracodawcy. W przedmiotowej sprawie działania podjęte przez PIP nie miały na celu realizacji zadań przewidzianych w art. 10 ustawy o PIP, lecz dokonanie kontroli przestrzegania przez pracownika zapisu art. 48 ust. 2 ustawy o PIP, który ogranicza działalność zarobkową pracowników PIP. Dane pozyskane przez PIP w ramach art. 14 w związku z art. 10 ustawy o PIP powinny dotyczyć podmiotów kontrolowanych bądź nadzorowanych, a nie pracowników zatrudnionych w jej strukturach. W konsekwencji Prezes UODO stwierdził, iż pozyskanie przez GIP danych od Naczelnika US było niezgodne z art. 23 ust. 1 u.o.d.o. z 1997 r. Według wyjaśnień skarżącego (złożonych [...] listopada 2018 r. i [...] kwietnia 2019 r.), dane osobowe uczestnika miały znaczący wpływ na rozwiązanie z nim stosunku pracy przez jego bezpośredniego pracodawcę – OIP. Zatem doszło do naruszenia art. 23 ust. 1 w związku z art. 26 ust. 1 u.o.d.o. z 1997 r., bowiem GIP nie tylko przekroczył przyznane ustawowo PIP kompetencje, ale również przekazał pozyskane dane i dopuścił do ich przetwarzania. Tymczasem zgodnie z zasadą ograniczonego celu, administrator danych powinien dołożyć wszelkich starań, aby przetwarzanie danych odbywało się na potrzeby konkretnych i prawnie uzasadnionych celów. Taki obowiązek nakładał art. 26 ust. 1 pkt 2-4 u.o.d.o. z 1997 r., a obecnie znajduje on swoją podstawę w art. 5 ust. 1 lit. b RODO.
Dane osobowe uczestnika postępowania są nadal przetwarzane, a w świetle art. 6 ust. 1 lit. c RODO i art. 221 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 2020 r., poz. 1320; dalej: "k.p.") nie są one niezbędne do realizacji obowiązku prawnego ciążącego na OIP jako pracodawcy. Nadto, jak już wskazano, GIP nie powinien ich pozyskać, ani przekazywać do wiadomości podlegających mu jednostek organizacyjnych. Dlatego organ nakazał PIP usunięcie przedmiotowych danych uczestnika postępowania.
Powyższa decyzja Prezesa UODO stała się przedmiotem skargi GIP do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której sformułowano następujące zarzuty:
I. naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, a w szczególności:
1) art. 6 i art. 7 w związku z art. 28, art. 107 § 1 pkt 3 oraz art. 156 § 1 pkt 4 k.p.a. w związku z art. 1 i art. 3 oraz 17 i art. 18 ust. 1 pkt 1, pkt 5 i pkt 6 ustawy o PIP oraz § 2 i § 3 Statutu Państwowej Inspekcji Pracy (M.P. z 2007 r. Nr 58, poz. 657; dalej: "Statut PIP") poprzez błędne oznaczenie strony postępowania i przyjęcie, że stroną w sprawie jest "Państwowa Inspekcja Pracy z siedzibą w W.", a co za tym idzie – skierowanie decyzji do podmiotu niebędącego stroną w sprawie.
Podnosząc powyższy zarzut, skarżący podkreślił, że zarówno ustawa o PIP, jak i Statut PIP wyraźnie wskazują, iż stroną postępowania w tej sprawie może być wyłącznie organ, tj. GIP. Skierowanie decyzji do podmiotu niebędącego stroną w sprawie ("Państwowej Inspekcji Pracy z siedzibą w Warszawie") jest poważną wadą tego aktu, stanowiącą przesłankę stwierdzenia jego nieważności na podstawie art. 156 § 1 pkt 4 k.p.a.;
2) art. 7, art. 77 i art. 80 k.p.a. poprzez niewyczerpujące rozpatrzenie materiału dowodowego, powodujące błąd w ustaleniach faktycznych mający istotny wpływ na treść rozstrzygnięcia, polegający m.in. na:
- przyjęciu, że GIP "przekroczył przyznane ustawowo PIP kompetencje", bowiem "przekazał pozyskane dane i dopuścił do ich przetwarzania przez kolejne jednostki organizacyjne PIP"- wbrew treści znajdujących się w aktach sprawy dokumentów, z których wprost wynika, że pozyskane dane - objęte tajemnicą skarbową - nigdy nikomu nie zostały udostępnione, a w szczególności OIP nie przetwarza i nigdy nie przetwarzał ww. danych,
- przyjęciu, że dane osobowe uczestnika postępowania, pozyskane z Urzędu Skarbowego, zostały wykorzystane do rozwiązania z nim stosunku pracy, a co za tym idzie błędnym wniosku, iż pozyskane dane zostały "wykorzystane w innym celu, niż ten dla którego zostały zebrane", podczas gdy w rzeczywistości miały one związek z celem, o którym mowa w piśmie Sekcji Kontroli Wewnętrznej do Naczelnika Urzędu Skarbowego, tj. kontrolą legalności zatrudnienia w zakresie m.in. zawieranych umów cywilnoprawnych,
- przyjęciu, że w przedmiotowej sprawie "działania podjęte przez PIP nie miały na celu realizacji zadań przewidzianych w art. 10 ustawy o PIP, lecz dokonanie kontroli przestrzegania przez pracownika zapisu art. 48 ust. 2 ustawy o PIP, który ogranicza działalność zarobkową pracowników Państwowej Inspekcji Pracy", z czego Prezes UODO wyprowadził błędny wniosek, iż realizacja kompetencji organu wymienionych w art. 10 i art. 14 ustawy o PIP wyklucza podejmowanie przez GIP działań, jako podmiotu wykonującego czynności ze stosunku pracy wobec pracowników nadzorujących lub wykonujących czynności kontrolne, które to działania stanowią wypełnienie obowiązku prawnego i są niezbędne do wykonania zadań realizowanych w interesie publicznym i w ramach sprawowania władzy publicznej powierzonej GIP (art. 6 ust. 1 lit. c i e RODO);
3) naruszenie art. 107 § 1 pkt 6 w związku z art. 6 i art. 7 oraz art. 77 k.p.a. poprzez błędne założenie, że przetwarzanie danych osobowych uczestnika postępowania przez "Państwową Inspekcję Pracy" "nie spełnia żadnej z przesłanek zawartych w art. 6 ust. 1 RODO" i bezpodstawne twierdzenie, iż dane te "nie powinny były zostać przez GIP pozyskane ani przekazywane do wiadomości podlegających mu jednostek organizacyjnych", gdy z dowodów zgromadzonych w sprawie wprost wynika, że przedmiotowe dane są objęte tajemnicą skarbową i nigdy nie zostały udostępnione żadnemu podmiotowi, a GIP przetwarza ww. dane zgodnie z prawem;
4) art. 107 § 1 pkt 4 k.p.a. w związku z art. 58 ust. 2 RODO poprzez błędne zastosowanie polegające na nieprawidłowym powołaniu podstawy prawnej, tj. wskazanie art. 58 ust. 2 RODO bez przywołania właściwego punktu ww. ustępu;
5) art. 107 § 1 pkt 5 k.p.a. poprzez błędne sformułowanie rozstrzygnięcia decyzji, z którego nie można wywieść, ani tego, które dane osobowe "zawarte w formularzach PIT-37 za lata 2015 oraz 2016" nakazuje się usunąć (pkt 1), ani też w jakim zakresie Prezes UODO "odmawia uwzględnienia wniosku" (pkt 2);
6) naruszenie art. 11 w związku z art. 107 § 3 k.p.a. poprzez błędne uzasadnienie faktyczne decyzji, wynikające m.in. z niewskazania faktów, które organ uznał za udowodnione i przyczyn, z powodu których odmówił wiarygodności i mocy dowodowej twierdzeniom organów PIP, wyrażonych w pismach wymienionych przez Prezesa UODO jako dowody w sprawie (vide uzasadnienie decyzji str. 2);
II. naruszenie przepisów prawa materialnego, tj.:
1) art. 1, art. 3, art. 4 ust. 1, art. 17 oraz art. 18 ust. 1 pkt 1, pkt 5 i pkt 6 ustawy o PIP poprzez błędną wykładnię i niewłaściwe zastosowanie polegające na uczynieniu stroną postępowania w sprawie "Państwowej Inspekcji Pracy z siedzibą w W.", a w szczególności poprzez:
- nieprawidłowe przyjęcie, że "ustawowe uprawnienia przyznane są dla organu rozumianego jako >>Państwowa Inspekcja Pracy<< i są wykonywane za pośrednictwem osób do tego upoważnionych, w tym Głównego Inspektora Pracy", w sytuacji, gdy GIP jest organem działającym na podstawie aktu powołania (art. 4 ust. 1 ustawy o PIP) i nie działa na podstawie upoważnienia, co zdaje się sugerować Prezes UODO,
- nieprawidłowe przyjęcie, że "za wykonywanie kompetencji PIP jako organu, przez jednostkę organizacyjną wpisaną w strukturę organu odpowiada PIP", co doprowadziło do błędnej konkluzji, że "pomimo, iż to Główny Inspektor Pracy wystąpił w przedmiotowej sprawie do Naczelnika Urzędu Skarbowego z wnioskiem o udostępnienie wymienionych w nim danych, odpowiedzialność za to działanie ponosi, z perspektywy przepisów RODO, Państwowa Inspekcja Pracy jako administrator danych osobowych", co jest sprzeczne zarówno z wymienionymi przepisami ustawy o PIP, jak również Statutem PIP;
2) art. 4 pkt 7 RODO w związku z art. 18 ust. 1 i art. 19 ust. 1 ustawy o PIP poprzez nieprawidłowe zastosowanie polegające na przyjęciu, że administratorem danych osobowych skarżącego jest "Państwowa Inspekcja Pracy z siedzibą w W.", podczas gdy w rzeczywistości administratorem danych osobowych każdej z jednostek organizacyjnych PIP jest odpowiednio GIP (dla Głównego Inspektoratu Pracy) oraz okręgowi inspektorzy pracy - w kierowanych jednostkach;
3) art. 6 ust. 1 lit. c RODO w związku z art. 10 ust. 1 pkt 3 i art. 14 ust. 1 ustawy o PIP poprzez błędną wykładnię i niewłaściwe zastosowanie polegające na:
- wadliwym przyjęciu, że "w przedmiotowej sprawie działania podjęte przez PIP nie miały na celu realizacji zadań przewidzianych w art. 10 ustawy o PIP, lecz dokonanie kontroli przestrzegania przez pracownika zapisu art. 48 ust. 2 ustawy o PIP, który ogranicza działalność zarobkową pracowników Państwowej Inspekcji Pracy", podczas gdy w rzeczywistości pozyskane informacje dotyczyły kontroli legalności zatrudnienia związanej z zawieraniem umów cywilnoprawnych w podmiocie wymienionym w piśmie Sekcji Kontroli Wewnętrznej do Naczelnika US z [...] września 2017 r. (pismo w aktach sprawy), co potwierdzają również załączone do skargi: zawiadomienie Prokuratury Rejonowej w L. z [...] listopada 2017 r. oraz protokół kontroli – wobec czego bezzasadnym jest pogląd Prezesa UODO, iż zebrane dane zostały "wykorzystane w innym celu niż ten, dla którego zostały zebrane",
- wadliwym przyjęciu, że dane osobowe pozyskane z Urzędu Skarbowego "nie są niezbędne do realizacji obowiązku prawnego ciążącego na pracodawcy", a organ nie jest uprawniony do przetwarzania wymienionych danych osobowych, gdy tymczasem
przetwarzanie ww. danych jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, tj. GIP wykonującym czynności z zakresu prawa pracy wobec pracowników nadzorujących lub wykonujących czynności kontrolne (do których zaliczał się uczestnik postępowania) oraz OIP kierującym Okręgowym Inspektoratem Pracy, tj. jednostką organizacyjną posiadającą przymiot pracodawcy uczestnika postępowania, niezależnie od faktu, że - wbrew twierdzeniom Prezesa UODO - pozyskane dane nie stanowiły podstawy do rozwiązania stosunku pracy z uczestnikiem postępowania;
4) art. 6 ust. 1 lit. e RODO w związku z art. 39 pkt 5 w związku z art. 48 ust. 1 i 2 ustawy o PIP poprzez nieuwzględnienie, że pracownikami PIP nadzorującymi lub wykonującymi czynności kontrolne mogą być wyłącznie osoby dające rękojmię należytego wykonywania obowiązków służbowych, których działania nie wywołują podejrzeń o stronniczość i interesowność, a GIP - zarówno jako organ dokonujący czynności ze stosunku pracy wobec pracowników na stanowiskach tzw. inspektorskich, jak również "kierujący Państwową Inspekcją Pracy" (art. 3 ust. 2 ustawy o PIP), zobowiązany jest czuwać nad zapewnieniem przez urzędników najwyższych standardów, zarówno pod względem profesjonalizmu, jak i transparentności w działaniu oraz uczciwości, co jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, zatem niewątpliwie wypełnia przesłanki określone w art. 6 ust. 1 lit. e rozporządzenia RODO.
W oparciu o ww. zarzuty skarżący wniósł o stwierdzenie nieważności zaskarżonej decyzji, ewentualnie o jej uchylenie, wtrzymanie wykonania tej decyzji, rozpoznanie skargi na rozprawie, a także dopuszczenie dowodu z następujących dokumentów:
- pisma GIP z [...] października 2017 r. nr [...] o rozwiązaniu stosunku pracy z uczestnikiem postępowania na okoliczność wykazania, że stroną postępowania w sprawie jest GIP oraz wykazania, że wbrew stanowisku Prezesa UODO pozyskane dane nie zostały wykorzystane do rozwiązania stosunku pracy z uczestnikiem postępowania,
- pisma OIP z [...] kwietnia 2019 r. nr [...] na okoliczność wykazania, że OIP nie jest i nigdy nie był w posiadaniu danych osobowych uczestnika postępowania, o których mowa w zaskarżonej decyzji, zatem nie jest i nigdy nie był stroną postępowania w sprawie, ponieważ - wbrew stwierdzeniom Prezesa UODO - GIP nie udostępnił tych danych OIP,
- zawiadomienia Prokuratury Rejonowej w L. z [...] listopada 2017 r. na okoliczność wykazania, że pozyskane dane wykorzystane zostały zgodnie z celem - tj. kontrolą legalności zatrudnienia,
- protokołu kontroli w podmiocie wymienionym we wniosku do Naczelnika US o udostępnienie danych na okoliczność wykazania, że pozyskane dane wykorzystane zostały zgodnie z celem, tj. kontrolą legalności zatrudnienia.
W odpowiedzi na skargę organ wniósł jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji.
Postanowieniem z 31 grudnia 2019 r., sygn. akt II SA/Wa 2571/19, Wojewódzki Sąd Administracyjny w Warszawie odmówił wstrzymania wykonania zaskarżonej decyzji (orzeczenie to nie zostało zaskarżone zażaleniem przez żadną ze stron postępowania).
Niniejsza sprawa została skierowana do rozpoznania na posiedzeniu niejawnym w trybie w uproszczonym, ponieważ taką wolę wyraziły wszystkie strony postępowania sądowoadministracyjnego, tj. skarżący (GIP), organ (Prezes UOPDO), uczestnik postępowania (J. K.), a także mający również (obok J. K.) status uczestników w postępowaniu przed tut. Sądem: Naczelnik US i OIP.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga nie zasługuje na uwzględnienie, bowiem zaskarżona decyzja nie narusza prawa w stopniu uzasadniającym wyeliminowanie jej z obrotu prawnego.
Trafnie uznał Prezes UODO, że skoro do zdarzenia udostępnienia danych osobowych uczestnika postępowania doszło pod rządami u.o.d.o. z 1997 r., to zastosowanie znajdują przepisy tej ustawy, a także przepisy prawa materialnego regulujące zasady ochrony danych osobowych zawarte w RODO.
Na wstępie należy odnieść się do najdalej idącego zarzutu skargi, a mianowicie nieważności zaskarżonej decyzji z uwagi na jej skierowanie jej do niewłaściwego podmiotu.
Stosownie do treści art. 1 ustawy o PIP, PIP jest organem powołanym do sprawowania nadzoru i kontroli przestrzegania prawa pracy, w szczególności przepisów i zasad bezpieczeństwa i higieny pracy, a także przepisów dotyczących legalności zatrudnienia i innej pracy zarobkowej w zakresie określonym w ustawie. Przepis art. 3 ust. 1 ustawy o PIP wymienia jednostki organizacyjne PIP – są nimi: Główny Inspektorat Pracy, okręgowe inspektoraty pracy oraz Ośrodek Szkolenia Państwowej Inspekcji Pracy im. Profesora Jana Rosnera we Wrocławiu. Natomiast w myśl art. 3 ust. 2 ustawy o PIP, to GIP kieruje PIP przy pomocy zastępców. GIP, podobnie jak okręgowi inspektorzy pracy oraz inspektorzy pracy, działający w ramach właściwości terytorialnej okręgowych inspektoratów pracy, jest zarówno organem, jak i pracownikiem PIP (vide art. 17 i art. 38 ust. 1 ustawy o PIP).
Zatem PIP jest organem państwowym, którego zakres działania oparty jest na zasadzie terytorialności i trójszczeblowości. W doktrynie PIP jest określana jako organ ochrony prawa sensu largo, a więc taki, którego celem jest ochrona praw obywatelskich oraz interesów indywidualnych. O ile w świetle art. 1 ustawy o PIP, można postrzegać PIP jako bezosobowy (abstrakcyjny) byt prawno-organizacyjny, to trudno nie dostrzec, że przepisy art. 3 ustawy o PIP konkretyzują ten byt, określając jego układ strukturalny oraz ustanawiając jednoosobowe kierownictwo w postaci GIP. Oznacza to równocześnie ustalenie jednoosobowej odpowiedzialności za jej funkcjonowanie, spoczywającej na GIP (vide J. Jagielski [w:] M. Gersdorf, J. Jagielski, K. Rączka, Ustawa o Państwowej Inspekcji Pracy. Komentarz, wyd. LexisNexis 2008, komentarz do art. 3, System Informacji Prawnej LEX). Dalsze doprecyzowanie zawiera § 2 ust. 2 Statutu PIP stanowiący, iż GIP reprezentuje PIP na zewnątrz oraz kieruje całokształtem jej działalności i wydaje w tym zakresie zarządzenia.
Zgodnie z art. 4 pkt 7 RODO, administratorem danych może być zarówno organ publiczny, jednostka oraz inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Tak więc administratorem danych może być nawet jednostka organizacyjna nieposiadająca osobowości prawnej, której ustawa przyznaje zdolność do czynności prawnych.
Z kwalifikowaną wadą prawną decyzji, o której mowa w art. 156 § 1 pkt 4 k.p.a., mamy do czynienia wówczas, gdy podmiot, do którego skierowano decyzję, nie miał przymiotu strony postępowania w rozumieniu art. 28 k.p.a. Chodzi tu więc o określenie w drodze decyzji praw i obowiązków podmiotu niebędącego stroną (vide wyroki Naczelnego Sądu Administracyjnego; dalej: "NSA" z 15 września 2011 r., sygn. akt II OSK 1347/10 oraz z 5 marca 2013 r., sygn. akt II OSK 2079/11 – orzeczenia sądów administracyjnych są dostępne w internetowej bazie orzeczeń na stronie NSA: orzeczenia.nsa.gov.pl).
Skierowanie zaskarżonej decyzji do PIP reprezentowanej przez GIP, jak również będącej administratorem danych osobowych uczestnika postępowania, należy ocenić jako prawidłowe. W toku postępowania administracyjnego organ rozważył funkcje pełnione przez poszczególne jednostki organizacyjne PIP. I tak uczestnik postępowania był zatrudniony w Okręgowym Inspektoracie Pracy w L., który według art. 3 ust. 1 ustawy o PIP stanowi jednostkę organizacyjną PIP. Natomiast GIP (który kieruje PIP), stosownie do treści art. 18 ust. 6 ustawy o PIP, wykonuje również czynności z zakresu prawa pracy (m.in.) w stosunku do pracowników nadzorujących lub wykonujących czynności kontrolne, a do takich pracowników należał uczestnik postępowania. Właściwie skonstatował organ, iż ustawowe uprawnienia, przyznane PIP, są wykonywane za pośrednictwem osób do tego upoważnionych, w tym GIP. To funkcjonariusze PIP, czyli inspektorzy poszczególnych stopni (szczebli) struktury organizacyjnej tej inspekcji, działają w jej imieniu. W konsekwencji PIP ponosi odpowiedzialność za działania swoich pracowników. Zważywszy na treść 3 ust. 2 ustawy o PIP, zarówno reprezentacja, jak i odpowiedzialność PIP ostatecznie spoczywa na GIP. Dlatego zasadnie adresatem decyzji jest PIP, bowiem w ramach jej kompetencji, działania w sprawie dotyczącej danych osobowych uczestnika postępowania, podejmowali GIP i OIP. W celu pozyskania tych danych GIP zwrócił się do Naczelnika US, a następnie przekazał je OIP, który z kolei posłużył się nimi do rozwiązania stosunku pracy z uczestnikiem postępowania.
W toku postępowania organ, w oparciu o art. 58 ust. 1 lit. a i lit. e RODO, działając w celu zbadania zasadności zarzutów podniesionych w skierowanej do niego skardze uczestnika postępowania, zażądał złożenia stosownych wyjaśnień przez GIP, Naczelnika US, a także OIP. Ten ostatni podmiot administrował danymi uczestnika postępowania w związku ze stosunkiem pracy.
Dostrzec też wypada, że status PIP jako strony postępowania sądowoadministracyjnego nie był kwestionowany przez NSA (vide wyrok NSA z 10 listopada 2016 r., sygn. akt I OSK 3432/15).
Zdaniem Sądu, Prezes UODO dokładnie zweryfikował okoliczności faktyczne sprawy i zgromadził materiał dowodowy wystarczający do wydania rozstrzygnięcia, dlatego nietrafne są zarzuty naruszenia procedury administracyjnej (art. 7, art. 77 § 1, art. 11 oraz art. 80 k.p.a.). Zaskarżona decyzja nie narusza też art. 107 § 3 k.p.a. oraz zawiera elementy wymienione w art. 107 § 1 pkt 4, 5 i 6 k.p.a.
Jak wynika z akt administracyjnych, GIP chciał zweryfikować kwestię pozyskiwania przez uczestnika postępowania dochodów ze źródeł pochodzących z zajęć zarobkowych prowadzonych bez stosownej zgody. Skarżący przyznał to w piśmie z [...] kwietnia 2019 r.: "przedmiotem zainteresowania organów Państwowej Inspekcji Pracy w niniejszej sprawie była jedynie kwestia potwierdzenia pozyskiwania dochodów ze źródeł pochodzących z zajęć zarobkowych prowadzonych bez zgody Głównego Inspektora Pracy, tj. z naruszeniem przepisów ustawy o Państwowej Inspekcji Pracy, co miało istotny wpływ na decyzję odnośnie do możliwości dalszego zatrudnienia p. K. w Urzędzie." Dlatego w trybie art. 14 ust. 1 ustawy o PIP skarżący zwrócił się do Naczelnika US o udostępnienie danych osobowych uczestnika postępowania (podatnika), zamieszczonych w jego deklaracjach podatkowych PIT-37 za lata 2015-2016 w zakresie wysokości dochodów uzyskanych z praw autorskich oraz pozostałych źródeł, a także wskazanie, czy w latach 2015-2017 odnotowano wpływ informacji o dochodach podatnika wystawionych przez płatnika R. J. [...]. Naczelnik US udostępnił GIP żądane dane [...] października 2017 r., opatrując je klauzulą "Tajemnica Skarbowa". To właśnie te dane podatkowe stanowią przedmiot nakazu zawartego w zaskarżonej decyzji. Pozyskanie przedmiotowych danych przez skarżącego – nie w ramach kontroli pracodawcy, lecz w celu skontrolowania pracownika zatrudnionego w strukturze PIP - miało wpływ na dalsze zatrudnienie uczestnika postępowania w Okręgowym Inspektoracie Pracy w L..
Sąd uwzględnił dokumenty załączone do skargi, jednakże nie miały one wpływu na treść rozstrzygnięcia. Wynika z nich, że w dniach [...] września 2017 r. i [...] października 2017 r. PIP przeprowadził kontrolę R. J. prowadzącego działalność gospodarczą pod nazwą [...] w przedmiocie (m.in.) legalności zatrudnienia osób w latach 2016-2017 na podstawie stosunku pracy oraz umów cywilnoprawnych. W wyniku tej kontroli PIP ustalił cztery osoby, z którymi R.J. zawarł umowy cywilnoprawne. Wśród tych czterech osób nie było uczestnika postępowania (vide załączony do skargi protokół kontroli z nr rej.[...]).
Z kolei treść zawiadomienia GIP do Prokuratury Rejonowej w L. o możliwości popełnienia przestępstwa przez R. J. (pismo z [...] listopada 2017 r.) wskazuje, że to na skutek skargi osoby fizycznej (M. G.) z [...] sierpnia 2017 r. dotyczącej działalności szkoleniowej inspektorów Okręgowego Inspektoratu w L., GIP powziął podejrzenie, że uczestnik postępowania wykonuje działalność zarobkową bez jego zgody. Zatem to nie kontrola przeprowadzona u pracodawcy (przedsiębiorcy R. J.), lecz doniesienie innej osoby (M. G.) przyczyniło się do podjęcia czynności wyjaśniających przez Sekcję Kontroli Wewnętrznej Głównego Inspektoratu Pracy, a także – jak wynika z przedmiotowego zawiadomienia – do objęcia czynnościami kontrolnymi R. J.. Wnosząc skargę do tut. Sądu [...] października 2019 r., GIP nie podał na jakim etapie znajduje się sprawa karna zainicjowana ww. zawiadomieniem z [...] listopada 2017 r.
Przepis art. 6 ust. 1 lit. c RODO stanowi, że przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: lit. c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.
Szeroki katalog zadań PIP określa art. 10 ustawy o PIP. Należą do nich (m.in.): kontrola i nadzór nad przestrzeganiem przepisów prawa pracy oraz kontrola legalności zatrudnienia, innej pracy zarobkowej, wykonywania działalności oraz kontrolę przestrzegania obowiązków. Kontrola realizowana przez PIP jest kontrolą zewnętrzną, albowiem organ kontrolujący usytuowany jest poza strukturą podmiotu kontrolowanego - pracodawcy. Kontrola ta z reguły jest kontrolą faktyczną, albowiem jest ona wykonywana w czasie działania podmiotu kontrolowanego, ale może też przybrać postać kontroli następczej, w toku której dokonuje się oceny działania zakończonego (vide K. Rączka [w:] M. Gersdorf, J. Jagielski, K. Rączka Ustawa o Państwowej Inspekcji Pracy. Komentarz, publ. System Informacji Prawnej LEX , komentarz do art. 10).
Przepis art. 14 ust. 1 ustawy o PIP wskazuje podmioty, z którymi PIP współdziała przy realizacji swoich zadań – wśród nich wymienione są organy Krajowej Administracji Skarbowej. Skoro skarżący wystąpił do Naczelnika US o dane uczestnika postępowania w trybie tego przepisu (co nie budzi wątpliwości), to Naczelnik US zobligowany był je udostępnić. GIP pozyskał i wykorzystał te dane w odniesieniu do pracownika zatrudnionego w Okręgowym Inspektoracie Pracy w L., czyli w strukturze PIP. Potwierdza to sam skarżący nie tylko w piśmie z [...] kwietnia 2018 r., ale i w piśmie z [...] października 2017 r. rozwiązującym z uczestnikiem stosunek pracy, w którym jako przyczynę wskazano podanie nieprawdy w planie pracy odnośnie [...] lutego 2017 r. (zamiast czynności kontrolno-nadzorczych uczestnik miał w rzeczywistości prowadzić w tym dniu działalność szkoleniową).
Według art. 39 pkt 5 ustawy o PIP, pracownikiem PIP nadzorującym lub wykonującym czynności kontrolne może być osoba, która daje rękojmię należytego wykonywania obowiązków służbowych. Natomiast przepisy art. 48 ustawy o PIP stanowią, iż pracownik PIP nie może wykonywać zajęć, które godziłyby w interes PIP lub byłyby niezgodne z jej zadaniami, a także pozostawałyby w sprzeczności z obowiązkami pracownika lub mogłyby wywoływać podejrzenie o stronniczość lub interesowność (ust. 1). Pracownik PIP nie może podejmować zajęć zarobkowych bez uprzedniej zgody GIP (ust. 2).
Przepisy art. 6 ust. 1 lit. e RODO w związku z art. 39 pkt 5 i art. 48 ust. 1 i 2 ustawy o PIP pozwalają na zalegalizowanie przetwarzania danych osobowych w sytuacji, gdy jest ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Prawidłowo Prezes UOPDO ocenił, że taka sytuacja nie miała miejsca w niniejszej sprawie.
Uczestnik postępowania – jako pracownik mianowany, wykonujący czynności kontrolne - podlega przepisom art. 41 i art. 71 ustawy o PIP. Za naruszenia obowiązków związanych w zatrudnieniem ponosi odpowiedzialność porządkową i dyscyplinarną. Jego pracodawca, a w takiej roli występuje w przedmiotowej sprawie PIP, nie może wykorzystywać swojej pozycji w administracji publicznej oraz kompetencji ustawowych do spraw pracowniczych. Zakres danych, które mogą być przetwarzane przez jednostki organizacyjne PIP w stosunku do zatrudnionych przez nie pracowników jest ograniczony przepisami art. 221 k.p. Przepis ten w § 4 stanowi, że pracodawca żąda podania innych danych osobowych niż określone w § 1 i 3, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Wówczas - stosownie do treści § 5 - udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której dane dotyczą. Pracodawca może żądać udokumentowania danych osobowych osób, o których mowa w § 1 i 3, w zakresie niezbędnym do ich potwierdzenia. Jak wskazują akta administracyjne sprawy, skarżący nie zastosował się do ww. przepisów, lecz wystąpił do Naczelnika US o interesujące go dane podatkowe uczestnika.
Nie dostrzegając wad zaskarżonej decyzji, które przemawiałyby za jej wyeliminowaniem z obrotu prawnego, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r., poz. 2325 ze zm.), orzekł jak w sentencji wyroku.