II SA/Wa 285/22

II SA/Wa 285/22 - Wyrok WSA w Warszawie
Data orzeczenia
2022-10-07
orzeczenie prawomocne
Data wpływu
2022-02-14
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Ewa Kwiecińska
Ewa Radziszewska-Krupa /przewodniczący sprawozdawca/
Łukasz Krzycki
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2022 poz 329
art. 153, art. 145 par. 1 pkt 1 lit. c, art. 200, art. 205 par. 2
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi  - t.j.
Dz.U. 2022 poz 2000
art. 6, art., 7, art. 8 par. 1, art. 77 par. 1, art. 107 par. 1 pkt 6 i par. 3
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa (spr.), Sędzia WSA Łukasz Krzycki, Sędzia WSA Ewa Kwiecińska, Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 7 października 2022 r. sprawy ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz strony skarżącej [...] S.A. z siedzibą w [...] kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania.
Uzasadnienie
I. Stan sprawy przedstawia się następująco:
1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") decyzją z [...] grudnia 2021r. nr [...]- po przeprowadzeniu postępowania administracyjnego w sprawie skargi A. R. (zwana dalej "Pracownikiem") z [...] lipca 2021r. na przetwarzanie danych osobowych przez [...] z siedzibą w [...] (zwana dalej: "Spółką", "Skarżącą"), w tym szczególnych kategorii danych – nakazał usunięcie danych osobowych Pracownika w zakresie danych dotyczących Jej aktywności w mediach społecznościowych na portalu [...], tj. informacji o wpisach, ich treści oraz udostępnieniach postów, które ujawniają jej poglądy polityczne, światopoglądowe oraz przekonania.
W podstawie prawnej powołano m.in. art. 104 § 1 Kodeksu postępowania administracyjnego (Dz.U. z 2021r., poz. 735 ze zm., zwana dalej: "k.p.a.") w zw. z art. 7 ust. 1 i 2 ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. z 2019r., poz. 1781, zwana dalej "u.o.d.o.") oraz art. 5 ust. 1 lit. c, art. 9 ust. 1 oraz art. 58 ust. 2 lit. g rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz.UEL 119 z 4.05.2016, str. 1, Dz.Urz.UEL 127 z 23.05.2018, str. 2 oraz Dz.Urz.UE L 74 z 4.03.2021, str. 35, zwane dalej: "RODO").
Prezes UODO w uzasadnieniu wskazał, że Pracownik zapoznała się z zawartością swoich akt osobowych, w których zamieszczono zrzuty ekranu dokumentujące jej aktywności w mediach społecznościowych na portalu [...] (wpisy oraz udostępnienia postów w mediach społecznościowych [...], które ujawniają poglądy polityczne, światopoglądowe oraz przekonania Skarżącej (dowód: pismo Skarżącej z 6 sierpnia 2021r. z załącznikami).
Spółka wyjaśniła, że przetwarzała dane osobowe Pracownika w związku z jej zatrudnieniem. Spółka [...] stycznia 2021r. wraz z organizacjami związkowymi zawarła porozumienie w sprawie zwolnienia grupowego. Podano je do wiadomości pracowników. W załącznikach do Porozumienia strony zgodnie określiły kryteria doboru osób do zwolnienia. Jednym z takich kryteriów było "naruszanie Polityki Medialnej [...] S.A.. lub używanie mowy nienawiści; zamieszczanie w Internecie obraźliwych komentarzy mających prowokować inne osoby do kłótni lub znacząco obniżać samoocenę osoby obrażanej, okazywanie niechęci w stosunku do osób, danych czy grup społecznych; wszelkie formy uderzenia w kogoś słowem, grafiką czy filmem; zachowanie przekraczające granice dozwolonej krytyki". W celu należytego wykonania ww. Porozumienia w zakresie weryfikacji kryteriów doboru do zwolnienia grupowego, Zarządzeniem nr [...] w Spółce wprowadzono [...] stycznia 2021r. "Instrukcję weryfikacji przestrzegania polityki medialnej i hejtu w spółce (...)". Weryfikacji podlegały przejawy aktywności pracowników Spółki w internecie podane do publicznej wiadomości, m.in. polegające na umieszczeniu informacji na ogólnodostępnych forach internetowych. Zdaniem Spółki, wypowiedzi Pracownika, zgromadzone przez Spółkę, stanowią naruszenie postanowień Polityki Medialnej Spółki (dowód: pismo Spółki z 3 września 2021r., z załącznikami).
Spółka wskazała, że Pracownik otrzymała [...] marca 2021r. wypowiedzenie warunków pracy i płacy, w ramach procedury zwolnienia grupowego, od którego złożyła odwołanie w wewnętrznej procedurze ustalonej przez Spółkę, ale Spółka nie znalazła podstaw do zmiany swojego stanowiska. Pracownik złożyła pozew do Sądu [...] - Sądu Rejonowego [...], [...] Wydziału [...] (sygn. akt [...] - dowód: pismo Spółki z [...] października 2021r.).
Prezes UODO po odwołaniu się do art. 9 ust. 2 RODO, który uprawnia administratorów do przetwarzania szczególnych kategorii danych osobowych, wskazał, że przepis ten zawiera zamknięty katalog przesłanek. Każda z nich ma charakter autonomiczny i niezależny, a spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Wszelkie formy przetwarzania danych osobowych muszą odbywać się zgodnie z zasadami wymienionymi w art. 5 ust. 1 RODO. Dane powinny być przetwarzane zgodnie z prawem, w jasno określonym celu, adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"). Nawet wówczas, gdy określone dane odpowiadają celowi, dla którego są zbierane i są dla tego celu adekwatne, nie mogą być przetwarzane, w tym też udostępniane, innym podmiotom (tak również: J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Kraków 2007, wyd. 4, s. 510).
W ocenie Prezesa UODO pozyskanie przez Spółkę informacji dokumentujących aktywność Skarżącej w mediach społecznościowych na portalu [...] nie ma oparcia w art. 6 ust. 1 i art. 9 ust. 1 RODO. Niedopuszczalne jest gromadzenie przez pracodawców informacji zamieszczanych przez pracowników w mediach społecznościowych, także z powodu chęci wykonania ww. Porozumienia w sprawie zwolnienia grupowego, które nakłada na pracownika obowiązek należytego reprezentowania pracodawcy na zewnątrz i ochrony jego dobrego imienia przez przestrzeganie polityki medialnej Spółki. Kwestia poszanowania prywatności odgrywa znaczącą rolę w stosunkach pracy. Pracownika nie można traktować przedmiotowo, wyłącznie w kategoriach założonych przez pracodawcę celów. Porozumienie ingeruje w strefę prywatności Pracownika, który nie miał wpływu na treść Porozumienia, do którego przestrzegania został zobowiązany. Przetwarzanie danych osobowych Pracownika w związku z działaniami podejmowanymi w czasie prywatnym nie może być uzasadnione narzuconym mu przez Spółkę sposobem postępowania, tym bardziej to nie pracownik swoim działaniem w czasie prywatnym odpowiada za realizację polityki medialnej Spółki, tylko sama Spółka. Stosunek pracy, aby był skuteczny, musi opierać się na wzajemnym zaufaniu. Pracodawca nie jest uprawniony do pozyskiwania - bez zgody pracownika - informacji dotyczących jego życia prywatnego, mimo że portale internetowe dostęp do takich danych ułatwiają. Prezes UODO powołał się na Opinię [...] Grupy Roboczej art. 29 na temat przetwarzania danych w miejscu pracy, przyjętą [...] czerwca 2017r. Wynika z niej, że pracodawcy nie powinni zakładać, że tylko dlatego, że profil społecznościowy danej osoby jest publicznie dostępny, mogą przetwarzać jej dane do własnych celów. Przed wdrożeniem narzędzia monitorowania pracowników na portalach internetowych należy przeprowadzić analizę proporcjonalności, aby zbadać, czy wszystkie dane są niezbędne, czy konieczność przetwarzania danych przeważa nad ogólnymi prawami pracowników do prywatności, które przysługują im również w miejscu pracy oraz czy w danym przypadku zachodzi potrzeba wdrożenia środków zapewniających ograniczenie skali naruszenia prawa do życia i poufności komunikacji do niezbędnego minimum. Pracowników należy skutecznie informować o wszelkich środkach monitorowania, wdrożonych w miejscu pracy, celach tego monitorowania oraz okolicznościach, w których się ono odbywa, a także działaniach, które pracownicy mogą podejmować, aby uniemożliwić gromadzenie ich danych przez technologie monitorowania, czego Spółka nie wykonała.
W ocenie Prezesa UODO śledzenie przez Spółkę "prywatnej" aktywności pracowników na portalach społecznościowych nie mieści się też w żadnym z celów wymienionych w art. 222 § 1 oraz art. 223 § 1 ustawy z 26 czerwca 1974r. Kodeks pracy (Dz.U. z 2020r., poz. 1320, zwana dalej "k.p."). Spółka, z uwagi na nieprawidłowy sposób pozyskania danych Skarżącej w zakresie jej wypowiedzi udostępnionych na portalu [...], nie ma prawa dalej ich przetwarzać w postępowaniu toczącym się przed Sądem [...] (sygn. akt [...]). Brak legalnego pozyskania danych osobowych wpływa jednocześnie na legalność następczego ich przetwarzania, także w celu ustalenia, dochodzenia lub obrony roszczeń. Jakkolwiek Prezes UODO przy dokonywaniu oceny miał na uwadze treść art. 17 ust. 3 lit. e RODO (w myśl którego nie stosuje się reguł dotyczących możliwości żądania usunięcia danych określonych w ust. 1, w tym przetwarzanych z naruszeniem prawa, gdy przetwarzanie danych jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń), tym niemniej przepis ten nie ma zastosowania, gdy Spółka pozyskała dane Pracownika w sposób nielegalny.
W związku z tym Prezes UODO, na mocy art. 58 ust. 2 lit. g RODO skorzystał z przysługujących mu uprawnień naprawczych i nakazał Spółce przywrócenie stanu zgodnego z prawem - usunięcie będących w jej posiadaniu (a nie już przetworzonych przez Spółkę w celu udzielenia odpowiedzi na pozew Skarżącej, będących już w dyspozycji sądu) danych osobowych Skarżącej w zakresie danych dotyczących aktywności Skarżącej w mediach społecznościowych na portalu [...] tj. wpisów oraz udostępnień postów, które zawierały poglądy polityczne, światopoglądowe oraz przekonania Skarżącej przetwarzanych bez podstawy prawnej.
2. Spółka, reprezentowana przez pełnomocnika r.pr. M. B., w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie wniosła o uchylenie ww. decyzji Prezesa UODO i umorzenie postępowania, zasądzenie kosztów postępowania według norm przepisanych, wstrzymanie wykonania zaskarżonej decyzji w całości przez Organ, na podstawie art. 61 § 2 pkt 1 P.p.s.a., zarzucając naruszenie:
- art. 7, art. 77 § 1, art. 80 k.p.a. - przez ich niewłaściwe zastosowanie i błędną ocenę zgromadzonego materiału dowodowego w postaci zrzutów ekranu, dołączonych do skargi Pracownika, a w konsekwencji ustalenie, że zrzuty ekranu (dokumentujące aktywność w mediach społecznościowych) ujawniają poglądy polityczne i światopoglądowe, a tym samym są danymi szczególnej kategorii, o których mowa w art. 9 ust. 1 RODO, gdy na zrzutach tych widoczne są jedynie komentarze Pracownika na temat Spółki i jej członków Zarządu, które nie mogą być traktowane jako dane ujawniające poglądy polityczne, czy "światopoglądowe";
- art. 7, art. 77 § 1, art. 80 k.p.a. - przez niewłaściwą ocenę materiału dowodowego i błędne uznanie, że treści udostępnione przez Pracownika, na jej koncie w portalu społecznościowym [...] są "informacjami dotyczącymi jej życia prywatnego", gdy wszystkie wypowiedzi odnosiły się do działalności Spółki (pracodawcy) i jej zarządu i wypowiadał je pracownik w grupach i wątkach mających charakter publiczny, tym samym wypowiedzi te mają charakter pozaprywatny;
- art. 6 ust. 1 lit f RODO - przez jego niewłaściwe zastosowanie i uznanie, że Spółka nie miała prawnie uzasadnionego interesu w zbieraniu i przetwarzaniu danych osobowych, gdy ww. Porozumienie stanowi, zgodnie z art. 9 k.p., źródło prawa pracy i zobowiązuje pracodawcę do weryfikacji, czy działania Pracownika stanowią naruszenie Polityki Medialnej lub są przejawami innych zachowań wymienionych w Porozumieniu (np. używanie mowy nienawiści), a ponadto art. 100 § 2 pkt 4 i 6 k.p. nakłada na pracownika obowiązek dbania o dobro zakładu pracy, i tym samym pracodawca ma prawo weryfikować, czy pracownik nie narusza kodeksowo określonych podstawowych obowiązków pracowniczych;
- art. 5 ust. 1 RODO - przez jego niewłaściwe zastosowanie i uznanie, że brak wpływu Pracownika na treść ww. Porozumienia powoduje wadliwość przetwarzania danych osobowych, gdy art. 5 ust. 1 RODO nie wymienia takiej przesłanki, a nadto w większości sytuacji, w której przetwarzane są dane osobowe podmiotów nie mają one wpływu na treść aktów prawnych lub wewnętrznych;
- art. 222 i art. 223 k.p. - przez ich niewłaściwą interpretację i przyjęcie, że jednorazowe pobranie publicznie dostępnych informacji z konta pracownika na portalu społecznościowym w celu wykonania praw i zobowiązań wynikających z ww. Porozumienia jest formą monitoringu, o którym mowa w art. 222 i art. 22 3 k.p., gdy zgodnie z definicją słowa "monitoring" oraz przyjętą wykładnią ww. przepisów przez "monitoring" należy uznać "stałą obserwację, kontrolę lub nadzór";
- art. 17 ust. 1 lit. e RODO - przez jego nieprawidłową interpretację i uznanie, że pomimo, że dane osobowe są w chwili obecnej przetwarzane do celów obrony w toczącym się postępowaniu przed Sądem Pracy, to Spółka powinna je usunąć, bo zostały one - według opinii Prezesa UODO - zebrane w sposób nielegalny, co nie wynika z treści tego przepisu i ogranicza prawo do obrony w toczącym się postępowaniu.
Spółka z ostrożności procesowej - na wypadek gdyby Sąd uznał, że dane zawarte w zrzutach ekranu moją charakter danych szczególnych kategorii - podniosła zarzut naruszenia:
- art. 9 ust. 2 lit. b RODO - przez jego niezastosowanie i całkowite pominięcie, że ww. Porozumienie w sprawie zwolnienia grupowego jest porozumieniem zawartym na podstawie art. 3 ustawy z 13 marca 2003r. o szczególnych zasadach rozwiązywania z pracownikami stosunków pracy z przyczyn niedotyczących pracowników (zwana dalej "ustawą o zwolnieniach grupowych") i stanowi źródło prawa w rozumieniu art. 9 k.p., a także jest porozumieniem zbiorowym zawartym na mocy prawa państwa członkowskiego w rozumieniu art. 9 ust. 2 lit b RODO, a tym samym jest to podstawa prawna przetwarzania szczególnej kategorii danych przez pracodawcę;
- art. 9 ust. 2 lit e RODO - przez jego niezastosowanie i uznanie, że udostępnienie przez Pracownika treści na publicznodostępnych wątkach i grupach w mediach społecznościowych nie jest przejawem oczywistego upublicznienia danych osobowych, o którym mowa w ww. przepisie, i że jedyną możliwą podstawą prawną przetwarzania takich danych osobowych jest zgoda osoby, której dane dotyczą (art. 9 ust. 1 lit a RODO).
Skarżąca w uzasadnieniu skargi przytoczyła przebieg postępowania administracyjnego oraz omówiła szerzej zarzuty skargi. Przytoczyła m.in. treść wpisów Pracownika, podnosząc że nie zawierają one informacji, które ujawniałyby poglądy polityczne, czy światopoglądowe. Zdaniem Spółki jedynie ze zrzutów ekranu można wyinterpretować, że to krytyka pracodawcy i Zarządu Spółki. Spółka odwołała się do definicji światopoglądu ze słownika języka polskiego - "zespół czyichś poglądów na świat i na życie, wpływający na jego zachowanie" i wskazała, że krytyka pracodawcy lub członka zarządu nie można być uznawana za szczególną kategorię danych, bo nie każdą opinię lub pogląd na sprawę można zaliczyć do kategorii światopoglądowej. W materiale dowodowym brak jest choćby jednej informacji na temat życia prywatnego Pracownika, a wszystkie materiały udostępniono z powołaniem się na bycie pracownikiem Skarżącej. Dodatkowo Prezes UODO pominął, że z ww. Porozumienia jasno wynika, że zabierając głos w internecie należy pamiętać by prywatne wypowiedzi nie były kojarzone ze Spółką (np. pkt 5 Polityki). Jeżeli osoba prezentuje swoje opinie jako pracownik, nawet jeśli jest to czynione poza godzinami pracy i na prywatnym profilu, to Spółka ma prawo reagować na naruszenia wewnętrznych procedur i dbać o dobry wizerunek firmy. Potwierdza to również wyrok Sądu Najwyższego z 9 lipca 2008r. sygn. akt I PK 2/08, z którego wynika, że art. 100 § 2 ust. 6 k.p. powinien być rozumiany w ten sposób, że określony w nim obowiązek przestrzegania zasad współżycia społecznego ciąży na pracowniku nie tylko w czasie wykonywania pracy i w miejscu pracy, ale także i w innym czasie i miejscu, gdy zachowania pracownika pozostają w sferze stosunku pracy lub gdy ściśle są z tą sferą związane. W takim bowiem przypadku zachowanie sprzeczne z zasadami współżycia społecznego przekłada się wprost na stosunki międzyludzkie w miejscu pracy.
Prezes UODO sam sobie zaprzecza, wskazując, przy okazji wywodu na temat monitoringu pracowników na portalach internetowych (bardziej inwazyjna forma zbierania i przetwarzania danych osobowych), że przed wprowadzeniem takiego monitoringu należy przeprowadzić analizę proporcjonalności i skutecznie poinformować pracowników o jego wprowadzeniu. Tym samym - wbrew ww. stwierdzeniu Organu - przetwarzanie ww. danych osobowych jest, co do zasady, dopuszczalne, jeśli istnieje ku temu podstawa prawna i przeprowadzona zostanie tzw. analiza proporcjonalności oraz rozważone zostanie, czy interesy pracodawcy przeważają nad prawem pracownika do prywatności. Dobór pracowników do zwolnień grupowych, zgodnie z ustawą o zwolnieniach grupowych, odbywa się na podstawie kryteriów uzgodnionych ze związkami zawodowymi. Mogą być to kryteria pozapracownicze (odnoszące się np. do szczególnej sytuacji rodzinnej pracowników). Przetwarzania danych osobowych, aby ocenić spełnienie kryteriów ustalonych w ww. Porozumieniu stanowi prawnie uzasadniony interes administratora. To, co podlegać powinno ocenie to proporcjonalność, której Prezes UODO nie zbadał.
Skarżąca przytoczyła wyrok WSA w Warszawie sygn. akt II SA/Wa 734/21, w którym stwierdzono, że pojęcie prawnie uzasadnionego interesu należy rozumieć "nie jako interes wynikający z przepisów prawa, lecz jako interes zgodny z prawem". Może to być interes faktyczny, gospodarczy lub prawny, ale taki, który jest zgodny z prawem. Skoro w sprawie kryteria doboru pracowników do zwolnienia grupowego wynikały z Porozumienia, a jednym z nich było naruszanie Polityki Medialnej pracodawcy oraz dopuszczanie się innych zachowań określonych w Porozumieniu (np. "używanie mowy nienawiści, zamieszczanie w Internecie obraźliwych komentarzy"), to Spółka miała prawnie uzasadniany interes dokonać weryfikacji, czy Pracownik narusza Politykę Medialną lub dopuszcza się pozostałych działań, wymienionych w Porozumieniu. Spółka była więc nie tylko uprawniona, ale zobowiązana (ergo: prawnie uzasadniony interes) do analizy takiego zachowania i przetwarzania danych w tym celu. Podmiot danych często nie ma wpływu na regulacje obowiązujące u pracodawcy, które zgodnie z art. 9 k.p. są źródłami prawa pracy, lecz nie stanowi to nieważności takich regulacji. Dotyczy to chociażby przepisów powszechnie obowiązujących (np. przepisy k.p.), a także regulacji wewnętrznych: tj. regulaminów pracy i porozumień zbiorowych. Zgodnie z art. 9 ust. 1 lit b RODO porozumienia zbiorowe są podstawą prawną do przetwarzania szczególnych kategorii danych osobowych.
Skarżąca wskazała, że Opinia [...] Grupy Roboczej art. 29 dotyczyła przetwarzania danych osobowych zawartych w profilach w portalach społecznościowych kandydatów do pracy, a nie pracowników (nie może być zatem mowy o przetrwaniu takich danych w kontekście obowiązku pracownika w zakresie dbałości o dobro zakładu pracy, czy postępowania z zgodzie z wewnętrznymi politykami). Ze str.13 Opinii wynika, że dopuszczalne jest przetwarzanie danych z profili w portalu [...] byłych pracowników, którzy objęci są klauzulą o zakazie konkurencji, jeśli celem takiego działania jest weryfikacja przestrzegania takich klauzul, a pracodawca może udowodnić między innymi, że takie przetwarzanie jest konieczne do ochrony jego uzasadnionych interesów i nie ma innych, mniej inwazyjnych środków. Takie przetwarzanie może mieć podstawę w art. 7 lit. f dyrektywy o ochronie danych (odpowiednik art. 6 ust. 1 lit. f RODO).
Skarżąca, odnosząc się do art. 17 ust. 3 lit. e RODO, podniosła, że jeżeli wolą prawodawcy byłoby zagwarantowanie możliwości obrony przed roszczeniami tylko wtedy, gdy pozyskanie danych było zgodne z prawem, nie wyłączałby stosowania art. 17 ust. 1 w całości, a jedynie w określonej części, odnosząc się do poszczególnych punktów tego przepisu.
Zdaniem Skarżącej zaskarżona decyzja nie spełnia wymogów z art. 107 k.p.a., bo nie jest klarowne, czy Prezes UODO dopatrzył się w przetwarzaniu danych naruszenia art. 6 ust. 1 RODO, czy art. 9 ust. 1 RODO. W sposób niespójny odwołał się też do przepisów, np. wskazał że przetwarzanie danych przez Skarżącą ma oparcia w art. 9 ust. 1 RODO, gdy podstawy przetwarzania danych szczególnych kategorii wskazane są w art. 9 ust. 2 RODO, jak również - mimo zamkniętego katalogu zawartego w art. 9 ust. 1 RODO - uznał dane o "poglądach" osoby fizycznej za dane szczególnej kategorii.
3. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie oraz podtrzymał dotychczasowe stanowisko w sprawie.
W uzasadnieniu dodał, że Spółka pomija, że gromadzenie i dalsze przetwarzanie danych dotyczących aktywności Pracownika w mediach społecznościowych odbywa się na podstawie zarządzenia Prezesa Zarządu z [...] stycznia 2021r. nr [...] w sprawie wprowadzenia do stosowania "Instrukcji weryfikacji przestrzegania polityki medialnej i hejtu w Spółce (...)", gdzie wskazano zakres danych, sposób ich pozyskiwania oraz gromadzenia. Dokument ten stanowi źródło prawa pracy o charakterze zakładowym i określa organizację oraz porządek w procesie pracy oraz związane z tym prawa i obowiązki stron stosunków pracy. Zarządzenie to nie stanowi porozumienia zbiorowego, o którym mowa w art. 9 ust. 2 lit. b RODO i wprowadzono je na tle zwolnień grupowych prowadzonych w Spółce. Zarządzenie to nie może stanowić podstawy dopuszczalności przetwarzania danych szczególnych kategorii.
4. Skarżąca w piśmie z [...] marca 2022r. podtrzymała dotychczasowe zarzuty i wnioski oraz doprecyzowała stanowisko, wnosząc też sprzeciw wobec wniosku Prezesa UODO o rozpoznanie sprawy w trybie uproszczonym.
W uzasadnieniu podniosła m.in., że wpisy dołączone do skargi nie pochodzą z aplikacji [...], lecz z [...], a grupa nie jest zamknięta, lecz publiczna. Tym samym nie jest jasne, czy Prezes UODO faktycznie odniósł się do skargi Spółki, czy też do stanu faktycznego innej sprawy. Skarżąca wskazała też na sprzeczność uzasadnienia zaskarżonej decyzji ze stanowiskiem wyrażonym w odpowiedzi na skargę (art. 6 ust. 1 lit. f RODO), jak również na odmienne stanowisko prezentowane przez organ w odpowiedziach na skargi w innych sprawach Spółki, w analogicznym stanie faktycznym oraz powoływanie się na kwestie polityczne (sygn. akt II SA/Wa 4165/21). Potwierdza to, że zaskarżona decyzja jest dotknięta wadliwością i nie może się ostać w obrocie prawnym. Zdaniem Skarżącej powoływana przez organ w odpowiedzi na skargę na Instrukcję, która jest dokumentem pomocniczym i technicznym wobec Porozumienia nie mogło przynieść zamierzonego skutku, gdyż ww. Porozumienie spełnia wymóg z art. 9 ust.2 lit b i art. 88 ust. 1 RODO i stanowiło podstawę do przetwarzania danych Pracownika, gdyż wskazuje zakres danych (aktywność wskazana powyżej w okresie 36 miesięcy), źródło (Internet), cel przetwarzania (dobór do zwolnienia grupowego).
5. Na rozprawie przed Wojewódzkim Sądem Administracyjnym w Warszawie 7 października 2022r. pełnomocnik Spółki, na pytanie Przewodniczącej, wskazała, że Prezes UODO nie żądał od Spółki przedłożenia załączonych do skargi "skrinów", zawierających wypowiedzi Pracownika. Pracownik wskazał natomiast, że w związku z brakiem dostępu do akt osobowych do skargi wniesionej do Prezesa UODO załączył tylko niektóre "skriny". Pełnomocnik Spółki Skarżącej wskazał w związku z tym, że Prezes UODO nie żądał od Spółki uzupełnienia brakujących dowodów, a ponadto "skriny", które organ posiadał nie były przedmiotem analizy, gdyż organ oparł się na twierdzeniach Pracownika bez weryfikacji dokumentów.
II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
1. skarga jest zasadna, choć nie wszystkie podniesione w niej zarzuty mogły być uznane za zasadne.
2. Sądy administracyjne, zgodnie z art. 1 § 1 i 2 ustawy z 25 lipca 2002r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2021r., poz. 137 ze zm.) i art. 3 § 1 ustawy z 30 sierpnia 2002r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2022r., poz. 329, zwana dalej: "P.p.s.a.") - sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola zaskarżonych decyzji, postanowień bądź innych aktów, wymienionych w art. 3 § 2 P.p.s.a., sprawowana jest przez Sądy administracyjne w oparciu o kryterium zgodności z prawem. W związku z tym, aby wyeliminować z obrotu prawnego akt wydany przez organ administracji publicznej (np. decyzję) konieczne jest stwierdzenie, że doszło w niej do naruszenia bądź przepisu prawa materialnego w stopniu mającym wpływ na wynik sprawy, bądź przepisu postępowania w stopniu mogącym mieć istotny wpływ na rozstrzygnięcie, albo też przepisu prawa dającego podstawę do wznowienia postępowania, lub ewentualnie ustalenie, że decyzja lub postanowienie organu dotknięte jest wadą nieważności (art. 145 § 1 pkt 1 lit. a)-c), pkt 2 P.p.s.a.). Sąd, stosownie do art. 151 P.p.s.a., w razie nieuwzględnienia skargi w całości albo w części, oddala skargę odpowiednio w całości albo w części.
Sąd wyjaśnia również, że zgodnie z art. 133 § 1 P.p.s.a. orzeka na podstawie akt sprawy. Natomiast stosownie do art. 134 § 1 P.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Ostatni z ww. przepisów nie miał jednak zastosowania w sprawie, gdyż organ administracyjny wydał decyzję administracyjną, którą zaskarżyła Skarżąca, a nie interpretację indywidualną, o której mowa w art. 57a P.p.s.a.
3. Zdaniem Sądu zarówno lektura uzasadnienia zaskarżonej decyzji, jak również znajdujące się w aktach administracyjnych sprawy dokumenty, oraz podniesione na rozprawie przed Sądem 7 października 2022r. zgodne wyjaśnienia Pracownika i Spółki skarżącej, że organ administracyjny w toku postępowania nie zażądał od Spółki brakujących dokumentów – zrzutów ekranów, których Pracownik nie załączył do skargi wniesionej do Prezesa UODO - wskazują, że Prezes UODO nie ustalił stanu faktycznego sprawy – choć miał taki obowiązek na mocy art. 7 i art. 77 § 1 k.p.a. Przepisy te statuują zasadę prawdy obiektywnej, która obliguje organ administracyjny, po pierwsze do podejmowania w toku postępowania wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli, a po drugie do wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego. Skoro z uzasadnienia zaskarżonej decyzji nie wynika, jakie dowody były podstawą do wydania decyzji, jak również, jakie konkretnie dane osobowe Pracownika przetwarzała Spółka skarżąca (Pracownik na rozprawie przez Sądem podkreślił, że do skargi wniesionej do Prezesa UODO nie załączył wszystkich zrzutów ekranu, bo nie miał dostępu do swoich akt osobowych prowadzonych przez Spółkę), to należało uznać, że stan faktyczny sprawy nie został ustalony w sposób prawem przewidziany, a organ administracyjny naruszył w stopniu istotnym ww. przepisy – art. 7 i art. 77 § 1 k.p.a. To nie na Pracowniku, który złożył skargę do Prezesa UODO, lecz na tym organie spoczywa obowiązek zgromadzenia materiału dowodowego sprawy, a następnie dokonanie oceny tegoż materiału, z punktu widzenia przepisów, które zdecydował się zastosować w sprawie: art. 9 ust. 1 RODO, bądź art. 6 ust. 1 RODO oraz wskazanie dlaczego konkretny przepis czy przepisy należało w sprawie zastosować. Na marginesie wskazać należy, że dane osobowe sensytywne, w świetle ww. przepisu to dane ujawniające m.in. poglądy polityczne oraz przekonania światopoglądowe, nie zaś "poglądy polityczne, światopoglądowe oraz przekonania", na co prawidłowo zwrócono uwagę w skardze.
Ustalenie stanu faktycznego sprawy jest podstawowym obowiązkiem organu administracyjnego, gdyż warunkuje prawidłowe określenie zakresu przyznanych praw bądź obowiązków nałożonych na strony postępowania. W celu ustalenia stanu faktycznego i realizacji zasady prawdy obiektywnej organ obowiązany jest - zarówno na wniosek strony, jak i z urzędu - do podejmowania wszelkich czynności, które konieczne są do dokładnego wyjaśnienia stanu faktycznego sprawy, a w konsekwencji do jej załatwienia (art. 7 k.p.a.).
Nie miało to jednak w sprawie miejsca, na co prawidłowo wskazały przed Sądem zarówno Spółka skarżąca, jak również Pracownik. Skoro zatem w aktach administracyjnych sprawy nie było wszystkich wydruków zrzutów z ekranu profilu Pracownika postępowania na portalu [...], to nie można uznać, że organ dokonał należytego zebrania materiału dowodowego sprawy oraz że dokonał subsumpcji całokształtu materiału pod właściwe i mające zastosowanie w sprawie normy prawne.
Zebranie wszystkich potrzebnych dowodów obliguje natomiast organ do całościowej ich analizy i oceny (art. 77 § 1, art. 80 k.p.a.). Brak należytego ustalenia stanu faktycznego sprawy, a następnie dokonywanie ocen i przyjęcie, że możliwe jest skorzystanie przez Prezesa UODO z uprawnień naprawczych w odniesieniu do działań Spółki nosi cechy arbitralności i dowolności. W tym kontekście przedwczesne były wszystkie dokonane przez organ oceny materiału dowodowego sprawy.
Sąd dodatkowo wskazuje, że wynik ustaleń faktycznych i ocen organu powinien zostać odzwierciedlony w uzasadnieniu podjętej decyzji. Stanowią o tym przepisy art. 107 § 1 pkt 6 k.p.a. oraz z art. 107 § 3 k.p.a. Pierwszy z ww. przepisów wskazuje, że niezbędnym elementem decyzji jest uzasadnienie faktyczne i prawne, zaś drugi podaje, że uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne - wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa. Rolą uzasadnienia jest więc objaśnienie toku myślenia, który doprowadził organ administracji do zastosowania przepisu prawa w konkretnej sprawie. W sferze faktów (uzasadnienia faktycznego) chodzi tu o wyjaśnienie okoliczności wskazujących na potrzebę lub konieczność wydania decyzji w danej sprawie i wobec określonych podmiotów oraz wpływu tych okoliczności na treść rozstrzygnięcia. W sferze prawa (uzasadnienia prawnego) chodzi zaś o wskazanie obowiązującej normy i jej znaczenia ustalonego w drodze wykładni. Do naruszenia art. 107 § 3 k.p.a. dochodzi wtedy, gdy uzasadnienie decyzji nie zawiera wszystkich elementów wymienionych w tym przepisie, albo gdy mimo formalnej poprawności jego treść nie pozwala na skontrolowanie poprawności rozstrzygnięcia sprawy, a tym samym czyni - w stopniu istotnym - wątpliwym poprawność przeprowadzenia postępowania wyjaśniającego w sprawie (por. wyroki NSA z: 6 października 2020r. sygn. akt I 3235/18; 24 kwietnia 2018r. sygn. akt I OSK 1351/16 – dostępne na www.orzeczenia.nsa.gov.pl).
W kontekście okoliczności podniesionych przez Pracownika i przez Spółkę skarżącą na rozprawie 7 października 2022r., jak również po uwzględnieniu treści uzasadnienia zaskarżonej decyzji i dokumentów znajdujących się w aktach administracyjnych sprawy nie można uznać, że organ w sposób należyty zastosował ww. przepisy ww. przepisy: art. 7, art. 77 § 1 i art. 107 § 1 pkt 6 i § 3 k.p.a. W konsekwencji doszło do naruszenia ww. norm prawnych, jak również art. 11 k.p.a., statuującego zasadę przekonywania.
Sąd w zakresie dokonywania ustaleń faktycznych, jak również w zakresie sporządzania uzasadnienia decyzji nie może zastąpić Prezesa UODO, bo w takie kompetencje nie został wyposażony przez ustawodawcę. Tym samym przedwczesne byłoby dokonywanie przez Sąd zarówno oceny stanu faktycznego sprawy, którego nie ustalił organ administracyjny z zachowaniem zasady prawdy obiektywnej, jak również dokonywanie oceny czy organ administracyjny zastosował, bądź nie zastosował w sposób należyty przepisy prawa materialnego, które wskazał w podstawie prawnej zaskarżonej decyzji (art. 6 ust. 1 i art. 9 ust. 1 RODO).
Sąd stwierdza ponadto, że Prezes UODO w sentencji zaskarżonej decyzji nakazał Spółce skarżącej usunięcie danych osobowych Pracownika w zakresie danych dotyczących Jej aktywności w mediach społecznościowych na portalu [...], "tj. informacji o wpisach, ich treści oraz udostępnieniach postów, które ujawniają jej poglądy polityczne, światopoglądowe oraz przekonania".
Sentencja zaskarżonej decyzji jest więc na tyle ogólnikowa, że nie pozwala uznać, do czego konkretnie zobowiązana została Spółka skarżąca. Ogólnikowe sformułowanie sentencji decyzji powoduje też, że jest ona niejednoznaczna i nieprecyzyjna, a ponadto nie jest zrozumiała, nie tylko dla podmiotu, którego dotyczy – Spółki skarżącej, ale również dla Sądu, który zapoznał się z całością zgromadzonych przez Prezesa UODO dokumentów, jak również wziął pod rozwagę okoliczności podnoszone przez Pracownika i przez Spółkę na rozprawie z 7 października 2022r. Sąd wskazuje ponadto, że z uzasadnienia zaskarżonej decyzji wynika, że w aktach osobowych Pracownika znajdują się zrzuty ekranu, które dokumentują aktywność Pracownika w mediach społecznościowych (wpisy), udostępnienie postów, które Prezes UODO - na podstawie pisma pracownika - uznał za ujawniające poglądy polityczne, światopoglądowe przekonania Skarżącej. W zaskarżonej decyzji próżno jednak szukać, o jakie dane osobowe Pracownika chodzi i czego one dotyczą, jak również na podstawie, jakich dowodów organ poczynił ustalenia faktyczne oraz dokonał ww. ocen. Nie stanowi to prawidłowego wykonania art. 7, art. 77 § 1 i art. 107 § 1 pkt 6 i § 3 k.p.a., o czym mowa wyżej, a ponadto powoduje, że nie wiadomo, na jakiej podstawie organ skonstruował dość lakoniczną sentencję.
Na tej podstawie Sąd przyjął, że rozstrzygnięcie zawarte w zaskarżonej decyzji Prezesa UODO nie spełnia wymogu z art. 107 § 1 pkt 5 k.p.a., gdyż jest niejednoznaczne i trudne do wykonania, także w kontekście nienależycie ustalonego stanu faktycznego sprawy.
Sąd podkreśla, że w utrwalonym orzecznictwie sądów administracyjnych wskazywano wielokrotnie, że rozstrzygnięcie stanowi obligatoryjny i jeden z najważniejszych elementów decyzji administracyjnej. Nie jest możliwe zastąpienie rozstrzygnięcia uzasadnieniem decyzji, ani też wywodzenie rozstrzygnięcia z uzasadnienia orzeczenia. Innymi słowy, rozstrzygnięcie musi być sformułowane w taki sposób, aby nie było wątpliwości czego dotyczy, jakie uprawnienia zostały przyznane stronie lub jakie obowiązki zostały na nią nałożone. Rozstrzygnięcie powinno być sformułowane precyzyjnie, bez niedomówień i możliwości różnej interpretacji. Powinno być zrozumiałe dla stron bez wnikania w treść uzasadnienia. Wynika to z władczego charakteru aktu administracyjnego, który kształtuje prawa i obowiązki strony i musi w związku z tym być jednoznaczny i precyzyjny, jak też z podstawowych zasad postępowania administracyjnego, w tym zasady praworządności zawartej w art. 6 k.p.a. oraz zasady pogłębiania zaufania do organów państwa wyrażonej w art. 8 k.p.a. (por. wyroki NSA z: 23 lutego 2022r. sygn. akt II GSK 1477/18; 6 grudnia 2021r. sygn. akt I OSK 1086/20; 20 października 2020r. sygn. akt I OSK 1670/20; 2 lipca 2018r. sygn. akt I OSK 873/18 – dostępne na www.orzeczenia.nsa.gov.pl).
Sąd w związku z tym uznał, że zaskarżona decyzja oprócz ww. przepisów prawa procesowego w istotnym stopniu narusza również art. 6 i art. 8 § 1 k.p.a. Skoro nie sposób zrozumieć sentencji zaskarżonej decyzji bez analizy jej uzasadnienia, jej wadliwość jest oczywista. Warto ponadto podnieść, że również uzasadnienie zaskarżonej decyzji nie wyjaśnia wątpliwości, co do tego, które konkretnie dane osobowe - dotyczące aktywności Pracownika w mediach społecznościowych - powinna usunąć Spółka skarżąca, aby wykonać nałożony na Nią obowiązek, a przede wszystkim dlaczego dane osobowe Pracownika zawarte w zrzutach ekranu Prezes UODO uznał za dane sensytywne - dane osobowe chronione w sposób szczególny w myśl art. 9 ust. 1 RODO. Przyczyna tego stanu rzeczy wynika z zaniechania dokonania przez Prezesa UODO kluczowych ustaleń okoliczności faktycznych w sprawie.
4. Sąd wskazuje, że Prezes UODO, na mocy art. 153 P.p.s.a. zobowiązany będzie przy ponownym rozpatrywaniu sprawy uwzględnić oceny prawne zawarte w niniejszym orzeczeniu.
Sąd stwierdza też, że wskazane w niniejszym orzeczeniu naruszenia przepisów prawa procesowego i w stopniu mającym istotny wpływ na wynik sprawy uniemożliwiały Sądowi ustosunkowanie się do pozostałych podniesionych w skardze zarzutów naruszenia norm prawa materialnego.
5. Sąd, mając powyższe na względzie, działając na podstawie art. 145 § 1 pkt 1 lit. c) P.p.s.a. orzekł jak w punkcie pierwszym sentencji wyroku. O kosztach postępowania, obejmujących wpis od skargi (200 zł) oraz koszty wynagrodzenia pełnomocnika Skarżącej w stawce minimalnej wraz z opłatą od pełnomocnictwa Sąd postanowił w oparciu o art. 200 i art. 205 § 2 P.p.s.a., jak w punkcie 2 sentencji wyroku.