II SA/Wa 286/22

II SA/Wa 286/22 - Wyrok WSA w Warszawie
Data orzeczenia
2022-10-07
orzeczenie prawomocne
Data wpływu
2022-02-14
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Ewa Kwiecińska
Ewa Radziszewska-Krupa /przewodniczący sprawozdawca/
Łukasz Krzycki
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 136/23 - Wyrok NSA z 2024-12-19
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2022 poz 329
art. 153, art. 145 par. 1 pkt 1 lit. c, art. 200, art. 205 par. 2, art. 6, art. 7, art. 8 par. 1, art. 77 par. 1, art. 107 par. 1 pkt 6 i par. 3
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi  - t.j.
Dz.U.UE.L 2016 nr 119 poz 1 art. 6 ust. 1 i art. 9 ust. 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa (spr.), Sędzia WSA Łukasz Krzycki, Sędzia WSA Ewa Kwiecińska, Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 7 października 2022 r. sprawy ze skargi [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz strony skarżącej [...] z siedzibą w [...] kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania.
Uzasadnienie
I. Stan sprawy przedstawia się następująco:
1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") decyzją z [...] grudnia 2021r. nr [...] - po przeprowadzeniu postępowania administracyjnego w sprawie skargi M. G. (zwana dalej "Pracownikiem") z [...] lipca 2021r. (data wpływu do organu) na przetwarzanie danych osobowych przez [...] z siedzibą w [...] (zwana dalej: "Spółką", "Skarżącą"), w tym szczególnych kategorii danych – nakazał usunięcie danych osobowych Pracownika w zakresie danych dotyczących Jej aktywności w mediach społecznościowych na forum w aplikacji [...], tj. informacji o wpisach i ich treści, które ujawniają jej poglądy polityczne, światopoglądowe oraz przekonania.
W podstawie prawnej powołano m.in. art. 104 § 1 Kodeksu postępowania administracyjnego (Dz.U. z 2021r., poz. 735 ze zm., zwana dalej: "k.p.a.") w zw. z art. 7 ust. 1 i 2 ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. z 2019r., poz. 1781, zwana dalej "u.o.d.o.") oraz art. 5 ust. 1 lit. c, art. 9 ust. 1 oraz art. 58 ust. 2 lit. g rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz.UEL 119 z 4.05.2016, str. 1, Dz.Urz.UEL 127 z 23.05.2018, str. 2 oraz Dz.Urz.UE L 74 z 4.03.2021, str. 35, zwane dalej: "RODO").
Prezes UODO w uzasadnieniu wskazał, że Pracownik wskazała, że w jej aktach osobowych zamieszczono zrzuty ekranu, dokumentujące jej aktywności w mediach społecznościowych na forum w aplikacji [...] - wpisy, które ujawniają jej poglądy polityczne, światopoglądowe oraz przekonania.
Spółka wyjaśniła, że przetwarzała dane osobowe Pracownika w związku z jej zatrudnieniem. Spółka [...] stycznia 2021r. wraz z organizacjami związkowymi zawarła porozumienie w sprawie zwolnienia grupowego. Podano je do wiadomości pracowników. W załącznikach do Porozumienia strony zgodnie określiły kryteria doboru osób do zwolnienia. Jednym z takich kryteriów było "naruszanie Polityki Medialnej [...] lub używanie mowy nienawiści; zamieszczanie w Internecie obraźliwych komentarzy mających prowokować inne osoby do kłótni lub znacząco obniżać samoocenę osoby obrażanej, okazywanie niechęci w stosunku do osób, danych czy grup społecznych; wszelkie formy uderzenia w kogoś słowem, grafiką czy filmem; zachowanie przekraczające granice dozwolonej krytyki". W celu należytego wykonania ww. Porozumienia w zakresie weryfikacji kryteriów doboru do zwolnienia grupowego, Zarządzeniem nr [...] w Spółce wprowadzono [...] stycznia 2021r. "Instrukcję weryfikacji przestrzegania polityki medialnej i hejtu w spółce (...)". Weryfikacji podlegały przejawy aktywności pracowników Spółki w internecie podane do publicznej wiadomości, m.in. polegające na umieszczeniu informacji na ogólnodostępnych forach internetowych. Zdaniem Spółki, wypowiedzi Pracownika, zgromadzone przez Spółkę, stanowią naruszenie postanowień Polityki Medialnej Spółki (dowód: pismo Spółki otrzymane przez organ [...] września 2021r. z załącznikami).
Spółka wskazała, że Pracownik otrzymała [...] marca 2021r. wypowiedzenie warunków pracy i płacy, w ramach procedury zwolnienia grupowego, od którego złożyła odwołanie w wewnętrznej procedurze ustalonej przez Spółkę, ale Spółka nie znalazła podstaw do zmiany swojego stanowiska. Pracownik złożyła pozew do Sądu Pracy - Sądu Rejonowego [...] w [...] , [...] Wydziału Pracy i Ubezpieczeń Społecznych (sygn. akt [...] - dowód: pismo Spółki z [...] października 2021r.).
Prezes UODO po odwołaniu się do art. 9 ust. 2 RODO, który uprawnia administratorów do przetwarzania szczególnych kategorii danych osobowych, wskazał, że przepis ten zawiera zamknięty katalog przesłanek. Każda z nich ma charakter autonomiczny i niezależny, a spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Wszelkie formy przetwarzania danych osobowych muszą odbywać się zgodnie z zasadami wymienionymi w art. 5 ust. 1 RODO. Dane powinny być przetwarzane zgodnie z prawem, w jasno określonym celu, adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"). Nawet wówczas, gdy określone dane odpowiadają celowi, dla którego są zbierane i są dla tego celu adekwatne, nie mogą być przetwarzane, w tym też udostępniane, innym podmiotom (tak również: J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Kraków 2007, wyd. 4, s. 510).
W ocenie Prezesa UODO pozyskanie przez Spółkę informacji dokumentujących aktywność Skarżącej w mediach społecznościowych na forum w aplikacji [...] nie ma oparcia w art. 6 ust. 1 i art. 9 ust. 1 RODO. Niedopuszczalne jest gromadzenie przez pracodawców informacji zamieszczanych przez pracowników w mediach społecznościowych, także z powodu chęci wykonania ww. Porozumienia w sprawie zwolnienia grupowego, które nakłada na pracownika obowiązek należytego reprezentowania pracodawcy na zewnątrz i ochrony jego dobrego imienia przez przestrzeganie polityki medialnej Spółki. Kwestia poszanowania prywatności odgrywa znaczącą rolę w stosunkach pracy. Pracownika nie można traktować przedmiotowo, wyłącznie w kategoriach założonych przez pracodawcę celów. Porozumienie ingeruje w strefę prywatności Pracownika, który nie miał wpływu na treść Porozumienia, do którego przestrzegania został zobowiązany. Przetwarzanie danych osobowych Pracownika w związku z działaniami podejmowanymi w czasie prywatnym nie może być uzasadnione narzuconym mu przez Spółkę sposobem postępowania, tym bardziej to nie pracownik swoim działaniem w czasie prywatnym odpowiada za realizację polityki medialnej Spółki, tylko sama Spółka. Stosunek pracy, aby był skuteczny, musi opierać się na wzajemnym zaufaniu. Pracodawca nie jest uprawniony do pozyskiwania - bez zgody pracownika - informacji dotyczących jego życia prywatnego, mimo że portale internetowe dostęp do takich danych ułatwiają. Prezes UODO powołał się na Opinię [...] Grupy Roboczej art. 29 na temat przetwarzania danych w miejscu pracy, przyjętą [...] czerwca 2017r. Wynika z niej, że pracodawcy nie powinni zakładać, że tylko dlatego, że profil społecznościowy danej osoby jest publicznie dostępny, mogą przetwarzać jej dane do własnych celów. Przed wdrożeniem narzędzia monitorowania pracowników na portalach internetowych należy przeprowadzić analizę proporcjonalności, aby zbadać, czy wszystkie dane są niezbędne, czy konieczność przetwarzania danych przeważa nad ogólnymi prawami pracowników do prywatności, które przysługują im również w miejscu pracy oraz czy w danym przypadku zachodzi potrzeba wdrożenia środków zapewniających ograniczenie skali naruszenia prawa do życia i poufności komunikacji do niezbędnego minimum. Pracowników należy skutecznie informować o wszelkich środkach monitorowania, wdrożonych w miejscu pracy, celach tego monitorowania oraz okolicznościach, w których się ono odbywa, a także działaniach, które pracownicy mogą podejmować, aby uniemożliwić gromadzenie ich danych przez technologie monitorowania, czego Spółka nie wykonała.
W ocenie Prezesa UODO śledzenie przez Spółkę "prywatnej" aktywności pracowników na portalach społecznościowych nie mieści się też w żadnym z celów wymienionych w art. 222 § 1 oraz art. 223 § 1 ustawy z 26 czerwca 1974r. Kodeks pracy (Dz.U. z 2020r., poz. 1320, zwana dalej "k.p."). Spółka, z uwagi na nieprawidłowy sposób pozyskania danych Skarżącej w zakresie jej wypowiedzi udostępnionych na forum w aplikacji [...], nie ma prawa dalej ich przetwarzać w postępowaniu toczącym się przed Sądem Pracy (sygn. akt [...]). Brak legalnego pozyskania danych osobowych wpływa jednocześnie na legalność następczego ich przetwarzania, także w celu ustalenia, dochodzenia lub obrony roszczeń. Jakkolwiek Prezes UODO przy dokonywaniu oceny miał na uwadze treść art. 17 ust. 3 lit. e RODO (w myśl którego nie stosuje się reguł dotyczących możliwości żądania usunięcia danych określonych w ust. 1, w tym przetwarzanych z naruszeniem prawa, gdy przetwarzanie danych jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń), tym niemniej przepis ten nie ma zastosowania, gdy Spółka pozyskała dane Pracownika w sposób nielegalny.
W związku z tym Prezes UODO, na mocy art. 58 ust. 2 lit. g RODO skorzystał z przysługujących mu uprawnień naprawczych i nakazał Spółce przywrócenie stanu zgodnego z prawem - usunięcie będących w jej posiadaniu (a nie już przetworzonych przez Spółkę w celu udzielenia odpowiedzi na pozew Skarżącej, będących już w dyspozycji sądu) danych osobowych Skarżącej w zakresie danych dotyczących aktywności Skarżącej w mediach społecznościowych na forum w aplikacji [...] tj. wpisów oraz udostępnień postów, które zawierały poglądy polityczne, światopoglądowe oraz przekonania Skarżącej, przetwarzanych bez podstawy prawnej.
2. Spółka, reprezentowana przez pełnomocnika r.pr. M. B., w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie wniosła o uchylenie ww. decyzji Prezesa UODO i umorzenie postępowania, zasądzenie kosztów postępowania według norm przepisanych, wstrzymanie wykonania zaskarżonej decyzji w całości przez Organ, na podstawie art. 61 § 2 pkt 1 P.p.s.a., zarzucając naruszenie:
- art. 7, art. 77 § 1, art. 80 k.p.a. - przez ich niewłaściwe zastosowanie i błędną ocenę zgromadzonego materiału dowodowego w postaci zrzutów ekranu, dołączonych do skargi Pracownika, a w konsekwencji ustalenie, że zrzuty ekranu (dokumentujące aktywność w mediach społecznościowych) ujawniają poglądy polityczne i światopoglądowe, a tym samym są danymi szczególnej kategorii, o których mowa w art. 9 ust. 1 RODO, gdy na zrzutach tych widoczne są jedynie komentarze Pracownika na temat Spółki i członków jej Zarządu, które nie mogą być traktowane jako dane ujawniające poglądy polityczne, czy "światopoglądowe";
- art. 7, art. 77 § 1, art. 80 k.p.a. - przez brak zebrania całości materiału dowodowego i błędne uznanie, że treści udostępnione przez Pracownika w mediach społecznościowych są "informacjami dotyczącymi jej życia prywatnego", gdy, wypowiedź odnosiła się do działalności Spółki (pracodawcy) i jej Prezesa Zarządu, a Pracownik wypowiadał się o działalności Spółki (pracodawcy) i jej zarządu oraz wypowiadał się w grupach i wątkach mających charakter publiczny, tym samym wypowiedzi te mają charakter pozaprywatny;
- art. 7, art. 77 § 1, art. 80 k.p.a. - przez brak prawidłowej i wszechstronnej oceny materiału dowodowego i pominięciu, że zebrany materiał pochodził ze zgłoszenia "sygnalisty" w ramach istniejącego systemu compliance i nie uwzględnienie tego w stanie faktycznym i w podstawach decyzji, pomimo, że brak możliwości przetwarzania danych otrzymanych od sygnalistów, informujących Skarżącą o naruszeniach procedur oraz prawa przez pracowników, uniemożliwia skuteczne wdrożenie polskich i unijnych regulacji przez Skarżącą;
- art. 6 ust. 1 lit f RODO - przez jego niewłaściwe zastosowanie i uznanie, że Spółka nie miała prawnie uzasadnionego interesu w zbieraniu i przetwarzaniu danych osobowych, gdy ww. Porozumienie stanowi, zgodnie z art. 9 k.p., źródło prawa pracy i zobowiązuje pracodawcę do weryfikacji, czy działania Pracownika stanowią naruszenie Polityki Medialnej lub są przejawami innych zachowań wymienionych w Porozumieniu (np. używanie mowy nienawiści), a ponadto art. 100 § 2 pkt 4 i 6 k.p. nakłada na pracownika obowiązek dbania o dobro zakładu pracy, i tym samym pracodawca ma prawo weryfikować, czy pracownik nie narusza kodeksowo określonych podstawowych obowiązków pracowniczych;
- art. 5 ust. 1 RODO - przez jego niewłaściwe zastosowanie i uznanie, że brak wpływu Pracownika na treść ww. Porozumienia powoduje wadliwość przetwarzania danych osobowych, gdy art. 5 ust. 1 RODO nie wymienia takiej przesłanki, a nadto w większości sytuacji, w której przetwarzane są dane osobowe podmiotów nie mają one wpływu na treść aktów prawnych lub wewnętrznych;
- art. 222 i 223 k.p. - przez ich niewłaściwą interpretację i przyjęcie, że przetwarzanie danych jednorazowo otrzymanych od sygnalisty jest formą monitoringu, o którym mowa w art. 222 i 223 k.p., gdy zgodnie z definicją słowa "monitoring" i przyjętą wykładnią ww. przepisów przez "monitoring" należy uznać "stałą obserwację, kontrolę lub nadzór";
art. 17 ust. 1 lit. e RODO - przez jego nieprawidłową interpretację i uznanie, że pomimo, że dane osobowe są w chwili obecnej przetwarzane do celów obrony w toczącym się postępowaniu przed Sądem Pracy, to Spółka powinna je usunąć, bo zostały one - według opinii Prezesa UODO - zebrane w sposób nielegalny, co nie wynika z treści tego przepisu i ogranicza prawo do obrony w toczącym się postępowaniu.
Spółka z ostrożności procesowej - na wypadek gdyby Sąd uznał, że dane zawarte w zrzutach ekranu moją charakter danych szczególnych kategorii - podniosła zarzut naruszenia:
- art. 9 ust. 2 lit. b RODO - przez jego niezastosowanie i całkowite pominięcie, że ww. Porozumienie w sprawie zwolnienia grupowego jest porozumieniem zawartym na podstawie art. 3 ustawy z 13 marca 2003r. o szczególnych zasadach rozwiązywania z pracownikami stosunków pracy z przyczyn niedotyczących pracowników (zwana dalej "ustawą o zwolnieniach grupowych") i stanowi źródło prawa w rozumieniu art. 9 k.p., a także jest porozumieniem zbiorowym zawartym na mocy prawa państwa członkowskiego w rozumieniu art. 9 ust. 2 lit b RODO, a tym samym jest to podstawa prawna przetwarzania szczególnej kategorii danych przez pracodawcę;
- art. 9 ust. 2 lit e RODO - przez jego niezastosowanie i uznanie, że udostępnienie przez Pracownika treści na publicznodostępnych wątkach i grupach w mediach społecznościowych nie jest przejawem oczywistego upublicznienia danych osobowych, o którym mowa w ww. przepisie, i że jedyną możliwą podstawą prawną przetwarzania takich danych osobowych jest zgoda osoby, której dane dotyczą (art. 9 ust. 1 lit a RODO).
Skarżąca w uzasadnieniu skargi przytoczyła przebieg postępowania administracyjnego oraz omówiła szerzej zarzuty skargi. Wyjaśniła, że Prezes UODO wprawdzie zakwalifikował dołączone przez Pracownika zrzuty z ekranu jako dane stanowiące szczególne kategorie danych osobowych (ujawniające poglądy polityczne, światopoglądowe), ale nie uzasadnił, dlaczego przyjął taką ocenę. Przeciwnie poprzestał na skopiowaniu takiego stwierdzenia wprost ze skargi Pracownika oraz pozostałych pracowników Spółki. Nawet nie zapytał Spółki czy przetwarza szczególne kategorie danych osobowych. Skarżąca zaś w odpowiedzi wskazała jedynie adekwatne podstawy prawne, gdyby do takiego przetwarzania doszło. Organ powinien samodzielnie ocenić na podstawie zebranego materiału, czy ww. zrzuty z ekranu - informacje na nich uwidocznione - stanowią dane szczególnych kategorii, o których mowa w art. 9 ust. 1 RODO. Zdaniem Spółki żaden ze zrzutów ekranu nie zawiera informacji, które ujawniałyby poglądy polityczne czy światopoglądowe Pracownika. Ze zrzutów ekranu można wyinterpretować krytykę pracodawcy, obelgi czynione pod adresem Prezesa Zarządu i krytykę braku reakcji rządu na sytuację w Spółce. Wbrew ustaleniom Prezesa UODO, wyrażona przez Pracownika negatywna ocena działalności Spółki lub jej Prezesa Zarządu nie stanowi o światopoglądzie, czy poglądach politycznych. Zgodnie z definicją zawartą w słowniku języka polskiego światopogląd to "zespół czyichś poglądów na świat i na życie, wpływający na jego zachowanie", zatem krytyka pracodawcy lub członka Zarządu nie można być uznawana za szczególną kategorię danych, bowiem nie każdą opinię lub pogląd na sprawę można zaliczyć do kategorii światopoglądowej. W materiale brak jest informacji na temat życia prywatnego Pracownika, a wszystkie materiały udostępniono z powołaniem się na bycie pracownikiem Spółki. Organ nie zapoznał się z treścią wpisów w mediach społecznościowych, a wydając decyzję zrobił pewnego rodzaju założenie, pomijając, że Pracownik krytykował we wpisach działalność Spółki, otrzymywane wynagrodzenia oraz personalnie Prezesa Zarządu (określenia powszechnie uważane za obraźliwe). Wpis Pracownika dodatkowo podburza pozostałych pracowników Spółki, co dla osoby na kierowniczym stanowisku (jak sama określa siebie Uczestniczka) jest sytuacją dodatkowo obciążającą.
Prezes UODO napisał ponadto decyzje na jednym wzorze i skierował je do innych pracowników Spółki. W związku z tym Skarżąca ma wątpliwości, czy organ rozpatrzył sprawę w sposób rzetelny, pełny i adekwatny do materiału dowodowego. W sprawie stan faktyczny różni się od pozostałych, gdyż dane pozyskano od tzw. sygnalisty, w ramach istniejącego systemu compliance w Spółce. Zarówno w załącznikach do skargi Pracownika, jak i odpowiedzi Spółki, taka informacja się znalazła. Organ w żaden sposób nie odniósł się do tego i nie wskazał tego w opisie stanu faktycznego, jak i nie ocenił tej okoliczności. Tym bardziej niezrozumiałe są opisy dotyczące monitoringu, gdy Spółka weszła w posiadanie komentarza Pracownika w inny sposób niż samodzielne przeszukiwanie mediów społecznościowych. Zdaniem Spółki ustalenia stanu faktycznego, jak i brak oceny materiału dowodowego dyskwalifikuje zaskarżoną decyzję i możliwość jej pozostania w obiegu prawnym.
Zdaniem Spółki brak możliwości przetwarzania danych otrzymanych od sygnalistów w ramach systemu compliance, uniemożliwi Spółce przeciwdziałanie, nie tylko obrażaniu innych pracowników, członków Zarządu, przestrzeganie zasad współżycia społecznego, ale powoduje brak możliwości działań antymobbingowych, przeciwdziałanie sytuacjom korupcjogennym, dyskryminacji lub innym negatywnym sytuacjom, którym Pracodawca zobowiązany jest przeciwdziałać (np. na mocy art. 111 i 113 k.p.). W sytuacji, gdy organ odmawia przetwarzania danych otrzymanych w ramach procedur whistleblowing (obecnej obowiązkowej, zgodnie z dyrektywą Parlamentu Europejskiego i Rady (UE) 2019/1937), uniemożliwia de facto realizację uprawnień i obowiązków ciążących na Spółce (realizacji swojego prawnie uzasadnionego interesu).
Prezes UODO w zaskarżonej decyzji bardzo lakonicznie odnosi się do rzekomego braku prawnie uzasadnionego interesu po stronie Skarżącej w przetwarzaniu danych umieszczonych przez pracownika na portalach społecznościowych, skupiając się głównie na art. 9 ust. 1 i 2 RODO, dotyczących szczególnych kategorii danych osobowych. Błędnie przyjmuje też, opierając się na art. 6 ust. 1 RODO, że niedopuszczalne jest gromadzenie przez pracodawców informacji zamieszczanych przez pracowników w mediach społecznościowych. Pomija bowiem postanowienia Polityki medialnej Spółki oraz art. 100 § 2 ust. 6 k.p. i judykaturę. Sąd Najwyższy w wyroku z 9 lipca 2008r. sygn. akt I PK 2/08wskazał, że art. 100 § 2 ust. 6 k.p. powinien być rozumiany w ten sposób, że określony w nim obowiązek przestrzegania zasad współżycia społecznego ciąży na pracowniku nie tylko w czasie wykonywania pracy i w miejscu pracy, ale także i w innym czasie i miejscu, gdy zachowania pracownika pozostają w sferze stosunku pracy lub gdy ściśle są z tą sferą związane. W takim bowiem przypadku zachowanie sprzeczne z zasadami współżycia społecznego przekłada się wprost na stosunki międzyludzkie w miejscu pracy.
Prezes UODO sam sobie zaprzecza, wskazując, przy okazji wywodu na temat monitoringu pracowników na portalach internetowych (bardziej inwazyjna forma zbierania i przetwarzania danych osobowych), że przed wprowadzeniem takiego monitoringu należy przeprowadzić analizę proporcjonalności i skutecznie poinformować pracowników o jego wprowadzeniu. Tym samym - wbrew ww. stwierdzeniu Organu - przetwarzanie ww. danych osobowych jest, co do zasady, dopuszczalne, jeśli istnieje ku temu podstawa prawna i przeprowadzona zostanie tzw. analiza proporcjonalności oraz rozważone zostanie, czy interesy pracodawcy przeważają nad prawem pracownika do prywatności. Dobór pracowników do zwolnień grupowych, zgodnie z ustawą o zwolnieniach grupowych, odbywa się na podstawie kryteriów uzgodnionych ze związkami zawodowymi. Mogą być to kryteria pozapracownicze (odnoszące się np. do szczególnej sytuacji rodzinnej pracowników). Przetwarzanie danych osobowych, aby ocenić spełnienie kryteriów ustalonych w ww. Porozumieniu stanowi prawnie uzasadniony interes administratora. To, co podlegać powinno ocenie to proporcjonalność, której Prezes UODO nie zbadał.
Skarżąca przytoczyła wyrok WSA w Warszawie sygn. akt II SA/Wa 734/21, w którym stwierdzono, że pojęcie prawnie uzasadnionego interesu należy rozumieć "nie jako interes wynikający z przepisów prawa, lecz jako interes zgodny z prawem". Może to być interes faktyczny, gospodarczy lub prawny, ale taki, który jest zgodny z prawem. Skoro w sprawie kryteria doboru pracowników do zwolnienia grupowego wynikały z Porozumienia, a jednym z nich było naruszanie Polityki Medialnej pracodawcy oraz dopuszczanie się innych zachowań określonych w Porozumieniu (np. "używanie mowy nienawiści, zamieszczanie w Internecie obraźliwych komentarzy"), to Spółka miała prawnie uzasadniany interes dokonać weryfikacji, czy Pracownik narusza Politykę Medialną lub dopuszcza się pozostałych działań, wymienionych w Porozumieniu. Spółka była więc nie tylko uprawniona, ale zobowiązana (ergo: prawnie uzasadniony interes) do analizy takiego zachowania i przetwarzania danych w tym celu. Podmiot danych często nie ma wpływu na regulacje obowiązujące u pracodawcy, które zgodnie z art. 9 k.p. są źródłami prawa pracy, lecz nie stanowi to nieważności takich regulacji. Dotyczy to chociażby przepisów powszechnie obowiązujących (np. przepisy k.p.), a także regulacji wewnętrznych: tj. regulaminów pracy i porozumień zbiorowych. Zgodnie z art. 9 ust. 1 lit b RODO porozumienia zbiorowe są podstawą prawną do przetwarzania szczególnych kategorii danych osobowych.
Skarżąca wskazała, że Opinia [...] Grupy Roboczej art. 29 dotyczyła przetwarzania danych osobowych zawartych w profilach w portalach społecznościowych kandydatów do pracy, a nie pracowników (nie może być zatem mowy o przetrwaniu takich danych w kontekście obowiązku pracownika w zakresie dbałości o dobro zakładu pracy, czy postępowania w zgodzie z wewnętrznymi politykami). Ze str.13 Opinii wynika, że dopuszczalne jest przetwarzanie danych z profili w portalu [...] byłych pracowników, którzy objęci są klauzulą o zakazie konkurencji, jeśli celem takiego działania jest weryfikacja przestrzegania takich klauzul, a pracodawca może udowodnić między innymi, że takie przetwarzanie jest konieczne do ochrony jego uzasadnionych interesów i nie ma innych, mniej inwazyjnych środków. Takie przetwarzanie może mieć podstawę w art. 7 lit. f dyrektywy o ochronie danych (odpowiednik art. 6 ust. 1 lit. f RODO).
Skarżąca, odnosząc się do art. 17 ust. 3 lit. e RODO, podniosła, że jeżeli wolą prawodawcy byłoby zagwarantowanie możliwości obrony przed roszczeniami tylko wtedy, gdy pozyskanie danych było zgodne z prawem, nie wyłączałby stosowania art. 17 ust. 1 w całości, a jedynie w określonej części, odnosząc się do poszczególnych punktów tego przepisu.
Zdaniem Skarżącej zaskarżona decyzja nie spełnia wymogów z art. 107 k.p.a., bo nie jest klarowne, czy Prezes UODO dopatrzył się w przetwarzaniu danych naruszenia art. 6 ust. 1 RODO, czy art. 9 ust. 1 RODO. W sposób niespójny odwołał się też do przepisów, np. wskazał że przetwarzanie danych przez Skarżącą ma oparcie w art. 9 ust. 1 RODO, gdy podstawy przetwarzania danych szczególnych kategorii wskazane są w art. 9 ust. 2 RODO, jak również - mimo zamkniętego katalogu zawartego w art. 9 ust. 1 RODO - uznał dane o "poglądach" osoby fizycznej za dane szczególnej kategorii.
3. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie oraz podtrzymał dotychczasowe stanowisko w sprawie.
W uzasadnieniu dodał, że Spółka nie powoływała się na pozyskanie spornych danych do "sygnalistów" w ramach istniejącego systemu compliance, oraz pominęła, że gromadzenie i dalsze przetwarzanie danych dotyczących aktywności Pracownika w mediach społecznościowych odbywa się na podstawie ww. zarządzenia Prezesa Zarządu z [...] stycznia 2021r. nr [...], gdzie wskazano zakres danych, sposób ich pozyskiwania oraz gromadzenia. Dokument ten stanowi źródło prawa pracy o charakterze zakładowym i określa organizację oraz porządek w procesie pracy oraz związane z tym prawa i obowiązki stron stosunków pracy. Zarządzenie to nie stanowi jednak porozumienia zbiorowego, o którym mowa w art. 9 ust. 2 lit. b RODO i nie może stanowić podstawy dopuszczalności przetwarzania danych szczególnych kategorii. Bez znaczenia jest, że zarządzenie wprowadzono na tle prowadzonych w Spółce zwolnień grupowych.
4. Skarżąca w piśmie z [...] marca 2022r. podtrzymała dotychczasowe zarzuty i wnioski oraz doprecyzowała swoje stanowisko, wniosła też sprzeciw wobec wniosku Organu o rozpoznanie sprawy w trybie uproszczonym.
W uzasadnieniu podniosła m.in., że Pracownik nie dołączyła do skargi fotokopii akt pracowniczych, a jedynie korespondencję ze Spółką, z której wynikało, że dane ("zrzuty") zostały pozyskane od sygnalisty w ramach istniejącego systemu compliance. Jeśli dla Organu istotnym była treść screenów, bo na jej podstawie mógł ocenić czy rzeczywiście zawierają one dane szczególne - w tym dane o poglądach politycznych i światopoglądowych, to powinien wezwać Spółkę do ich przesłania, a nie oprzeć się na zwykłym sformułowaniu Uczestniczki, że są tam "dane wrażliwe". Skarżąca wskazała też na sprzeczność uzasadnienia zaskarżonej decyzji ze stanowiskiem wyrażonym w odpowiedzi na skargę (art. 6 ust. 1 lit. f RODO), jak również na odmienne stanowisko prezentowane przez organ w odpowiedziach na skargi w innych sprawach Spółki, w analogicznym stanie faktycznym oraz powoływanie się na kwestie polityczne (sygn. akt II SA/Wa 4165/21). Potwierdza to, że zaskarżona decyzja jest dotknięta wadliwością i nie może się ostać w obrocie prawnym. Zdaniem Skarżącej powoływana przez organ w odpowiedzi na skargę na Instrukcję, która jest dokumentem pomocniczym i technicznym wobec Porozumienia nie mogło przynieść zamierzonego skutku, gdyż ww. Porozumienie spełnia wymóg z art. 9 ust.2 lit b i art. 88 ust. 1 RODO i stanowiło podstawę do przetwarzania danych Pracownika, gdyż wskazuje zakres danych (aktywność wskazana powyżej w okresie 36 miesięcy), źródło (Internet), cel przetwarzania (dobór do zwolnienia grupowego).
5. Na rozprawie przed Wojewódzkim Sądem Administracyjnym w Warszawie 7 października 2022r. pełnomocnik Spółki, na pytanie Przewodniczącej czy Prezes UODO w toku postępowania żądał od Spółki przedłożenia źródłowych dokumentów zawierających wypowiedzi Pracownika, wskazał, że Prezes UODO nie żądał przedłożenia tych dokumentów, co dodatkowo potwierdza w odpowiedzi na skargę.
II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
1. skarga jest zasadna, choć nie wszystkie podniesione w niej zarzuty mogły być uznane za zasadne.
2. Sądy administracyjne, zgodnie z art. 1 § 1 i 2 ustawy z 25 lipca 2002r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2021r., poz. 137 ze zm.) i art. 3 § 1 ustawy z 30 sierpnia 2002r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2022r., poz. 329, zwana dalej: "P.p.s.a.") - sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola zaskarżonych decyzji, postanowień bądź innych aktów, wymienionych w art. 3 § 2 P.p.s.a., sprawowana jest przez Sądy administracyjne w oparciu o kryterium zgodności z prawem. W związku z tym, aby wyeliminować z obrotu prawnego akt wydany przez organ administracji publicznej (np. decyzję) konieczne jest stwierdzenie, że doszło w niej do naruszenia bądź przepisu prawa materialnego w stopniu mającym wpływ na wynik sprawy, bądź przepisu postępowania w stopniu mogącym mieć istotny wpływ na rozstrzygnięcie, albo też przepisu prawa dającego podstawę do wznowienia postępowania, lub ewentualnie ustalenie, że decyzja lub postanowienie organu dotknięte jest wadą nieważności (art. 145 § 1 pkt 1 lit. a)-c), pkt 2 P.p.s.a.). Sąd, stosownie do art. 151 P.p.s.a., w razie nieuwzględnienia skargi w całości albo w części, oddala skargę odpowiednio w całości albo w części.
Sąd wyjaśnia również, że zgodnie z art. 133 § 1 P.p.s.a. orzeka na podstawie akt sprawy. Natomiast stosownie do art. 134 § 1 P.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Ostatni z ww. przepisów nie miał jednak zastosowania w sprawie, gdyż organ administracyjny wydał decyzję administracyjną, którą zaskarżyła Skarżąca, a nie interpretację indywidualną, o której mowa w art. 57a P.p.s.a.
3. Zdaniem Sądu zarówno lektura uzasadnienia zaskarżonej decyzji, jak również znajdujące się w aktach administracyjnych sprawy dokumenty, oraz podniesione na rozprawie przed Sądem 7 października 2022r. oświadczenia pełnomocnika Spółki skarżącej wskazują, że organ administracyjny w toku postępowania nie zażądał od Spółki brakujących dokumentów – zrzutów ekranów, na podstawie, których wydał zaskarżoną decyzję. Pracownik nie załączyła do skargi dokumentów źródłowych.
Oznacza to, że Prezes UODO nie ustalił stanu faktycznego sprawy – choć miał taki obowiązek na mocy art. 7 i art. 77 § 1 k.p.a. Przepisy te statuują zasadę prawdy obiektywnej, która obliguje organ administracyjny, po pierwsze do podejmowania w toku postępowania wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli, a po drugie do wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego. Skoro z uzasadnienia zaskarżonej decyzji nie wynika, jakie dowody były podstawą do wydania decyzji, jak również, jakie konkretnie dane osobowe Pracownika przetwarzała Spółka skarżąca (Spółka na rozprawie przez Sądem podkreśliła, że nie była wzywana do przedłożenia źródłowych dokumentów zawierających wypowiedzi Pracownika, co w odpowiedzi na skargę potwierdza Prezes UODO), to należało uznać, że stan faktyczny sprawy nie został ustalony w sposób prawem przewidziany, a organ administracyjny naruszył w stopniu istotnym ww. przepisy – art. 7 i art. 77 § 1 k.p.a. Tym samym zarzuty skargi z tego zakresu zasługiwały na uwzględnienie. To nie na Pracowniku, który złożył skargę do Prezesa UODO, ani nie na Spółce skarżącej, lecz na organie administracyjnym spoczywa obowiązek zgromadzenia materiału dowodowego sprawy, a następnie dokonanie oceny tegoż materiału, z punktu widzenia przepisów, które zdecydował się zastosować w sprawie: art. 9 ust. 1 RODO, bądź art. 6 ust. 1 RODO oraz wskazanie dlaczego konkretny przepis czy przepisy należało w sprawie zastosować. Na marginesie wskazać należy, że dane osobowe sensytywne, w świetle ww. przepisu to dane ujawniające m.in. poglądy polityczne oraz przekonania światopoglądowe, nie zaś "poglądy polityczne, światopoglądowe oraz przekonania", na co prawidłowo zwrócono uwagę w skardze.
Ustalenie stanu faktycznego sprawy jest podstawowym obowiązkiem organu administracyjnego, gdyż warunkuje prawidłowe określenie zakresu przyznanych praw bądź obowiązków nałożonych na strony postępowania. W celu ustalenia stanu faktycznego i realizacji zasady prawdy obiektywnej organ obowiązany jest - zarówno na wniosek strony, jak i z urzędu - do podejmowania wszelkich czynności, które konieczne są do dokładnego wyjaśnienia stanu faktycznego sprawy, a w konsekwencji do jej załatwienia (art. 7 k.p.a.).
Nie miało to jednak w sprawie miejsca, na co prawidłowo wskazała Skarżąca, formułując zarzuty skargi, jak również podkreślając odmienność stanu faktycznego sprawy od innych rozpatrywanych przez Prezesa UODO (pozyskanie danych osobowych Pracownika w związku z działalnością tzw. sygnalisty), co nie znalazło jednak odzwierciedlenia w uzasadnieniu zaskarżonej decyzji i było kolejną wadliwością procesową (naruszenie art. 7 i art. 77 § 1 k.p.a.), która mogła mieć istotny wpływ na wynik sprawy. Skoro organ administracyjny nie dokonał należytego zebrania materiału dowodowego sprawy, to tym bardziej nie mógł dokonać prawidłowej subsumpcji całokształtu materiału pod właściwe i mające zastosowanie w sprawie normy prawne. Zebranie wszystkich potrzebnych dowodów obliguje natomiast organ do całościowej ich analizy i oceny (art. 77 § 1, art. 80 k.p.a.). Brak należytego ustalenia stanu faktycznego sprawy, a następnie dokonywanie ocen i przyjęcie, że możliwe jest skorzystanie przez Prezesa UODO z uprawnień naprawczych w odniesieniu do działań Spółki nosi cechy arbitralności i dowolności. W tym kontekście przedwczesne były wszystkie dokonane przez organ oceny materiału dowodowego sprawy.
Sąd dodatkowo wskazuje, że wynik ustaleń faktycznych i ocen organu powinien zostać odzwierciedlony w uzasadnieniu podjętej decyzji. Stanowią o tym przepisy art. 107 § 1 pkt 6 k.p.a. oraz z art. 107 § 3 k.p.a. Pierwszy z ww. przepisów wskazuje, że niezbędnym elementem decyzji jest uzasadnienie faktyczne i prawne, zaś drugi podaje, że uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne - wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa. Rolą uzasadnienia jest więc objaśnienie toku myślenia, który doprowadził organ administracji do zastosowania przepisu prawa w konkretnej sprawie. W sferze faktów (uzasadnienia faktycznego) chodzi tu o wyjaśnienie okoliczności wskazujących na potrzebę lub konieczność wydania decyzji w danej sprawie i wobec określonych podmiotów oraz wpływu tych okoliczności na treść rozstrzygnięcia. W sferze prawa (uzasadnienia prawnego) chodzi zaś o wskazanie obowiązującej normy i jej znaczenia ustalonego w drodze wykładni. Do naruszenia art. 107 § 3 k.p.a. dochodzi wtedy, gdy uzasadnienie decyzji nie zawiera wszystkich elementów wymienionych w tym przepisie, albo gdy mimo formalnej poprawności jego treść nie pozwala na skontrolowanie poprawności rozstrzygnięcia sprawy, a tym samym czyni - w stopniu istotnym - wątpliwym poprawność przeprowadzenia postępowania wyjaśniającego w sprawie (por. wyroki NSA z: 6 października 2020r. sygn. akt I 3235/18; 24 kwietnia 2018r. sygn. akt I OSK 1351/16 – dostępne na www.orzeczenia.nsa.gov.pl).
W kontekście okoliczności podniesionych przez Skarżącą Spółkę w toku postępowania sądowego, na rozprawie 7 października 2022r., jak również po uwzględnieniu treści uzasadnienia zaskarżonej decyzji i dokumentów znajdujących się w aktach administracyjnych sprawy nie można uznać, że organ w sposób należyty zastosował ww. przepisy: art. 7, art. 77 § 1 i art. 107 § 1 pkt 6 i § 3 k.p.a. W konsekwencji doszło do naruszenia ww. norm prawnych, jak również art. 11 k.p.a., statuującego zasadę przekonywania.
Sąd w zakresie dokonywania ustaleń faktycznych, jak również w zakresie sporządzania uzasadnienia decyzji nie może zastąpić Prezesa UODO, bo w takie kompetencje nie został wyposażony przez ustawodawcę. Tym samym przedwczesne byłoby dokonywanie przez Sąd zarówno oceny stanu faktycznego sprawy, którego nie ustalił organ administracyjny z zachowaniem zasady prawdy obiektywnej, jak również dokonywanie oceny czy organ administracyjny zastosował, bądź nie zastosował w sposób należyty przepisy prawa materialnego, które wskazał w podstawie prawnej zaskarżonej decyzji (art. 6 ust. 1 i art. 9 ust. 1 RODO).
Sąd stwierdza ponadto, że Prezes UODO w sentencji zaskarżonej decyzji nakazał Spółce skarżącej usunięcie danych osobowych Pracownika w zakresie danych dotyczących Jej aktywności w mediach społecznościowych na forum w aplikacji [...] , tj. informacji o wpisach i ich treści, które ujawniają jej poglądy polityczne, światopoglądowe oraz przekonania.
Sentencja zaskarżonej decyzji jest więc na tyle ogólnikowa, że nie pozwala uznać, do czego konkretnie zobowiązana została Spółka skarżąca. Ogólnikowe sformułowanie sentencji decyzji powoduje też, że jest ona niejednoznaczna i nieprecyzyjna, a ponadto nie jest zrozumiała, nie tylko dla podmiotu, którego dotyczy – Spółki skarżącej, ale również dla Sądu, który zapoznał się z całością zgromadzonych przez Prezesa UODO dokumentów, jak również wziął pod rozwagę okoliczności podnoszone przez Skarżącą w zakresie nieustalenia istotnych w sprawie okoliczności oraz odmienności stanu faktycznego sprawy i pozyskania danych osobowych Pracownika od tzw. sygnalisty. Skoro w zaskarżonej decyzji próżno szukać, o jakie dane osobowe Pracownika chodzi i czego one dotyczą, jak również na podstawie, jakich dowodów organ poczynił ustalenia faktyczne oraz dokonał ocen, to należało przyjąć, że zaskarżona decyzja nie stanowi prawidłowego wykonania art. 7, art. 77 § 1 i art. 107 § 1 pkt 6 i § 3 k.p.a., o czym mowa wyżej, a ponadto powoduje, że nie wiadomo, na jakiej podstawie organ skonstruował dość lakoniczną sentencję.
Na tej podstawie Sąd przyjął, że rozstrzygnięcie zawarte w zaskarżonej decyzji Prezesa UODO nie spełnia wymogu z art. 107 § 1 pkt 5 k.p.a., gdyż jest niejednoznaczne i trudne do wykonania, także w kontekście nienależycie ustalonego stanu faktycznego sprawy.
Sąd podkreśla, że w utrwalonym orzecznictwie sądów administracyjnych wskazywano wielokrotnie, że rozstrzygnięcie stanowi obligatoryjny i jeden z najważniejszych elementów decyzji administracyjnej. Nie jest możliwe zastąpienie rozstrzygnięcia uzasadnieniem decyzji, ani też wywodzenie rozstrzygnięcia z uzasadnienia orzeczenia. Innymi słowy, rozstrzygnięcie musi być sformułowane w taki sposób, aby nie było wątpliwości czego dotyczy, jakie uprawnienia zostały przyznane stronie lub jakie obowiązki zostały na nią nałożone. Rozstrzygnięcie powinno być sformułowane precyzyjnie, bez niedomówień i możliwości różnej interpretacji. Powinno być zrozumiałe dla stron bez wnikania w treść uzasadnienia. Wynika to z władczego charakteru aktu administracyjnego, który kształtuje prawa i obowiązki strony i musi w związku z tym być jednoznaczny i precyzyjny, jak też z podstawowych zasad postępowania administracyjnego, w tym zasady praworządności zawartej w art. 6 k.p.a. oraz zasady pogłębiania zaufania do organów państwa wyrażonej w art. 8 k.p.a. (por. wyroki NSA z: 23 lutego 2022r. sygn. akt II GSK 1477/18; 6 grudnia 2021r. sygn. akt I OSK 1086/20; 20 października 2020r. sygn. akt I OSK 1670/20; 2 lipca 2018r. sygn. akt I OSK 873/18 – dostępne na www.orzeczenia.nsa.gov.pl).
Sąd w związku z tym uznał, że zaskarżona decyzja oprócz ww. przepisów prawa procesowego w istotnym stopniu narusza również art. 6 i art. 8 § 1 k.p.a. Skoro nie sposób zrozumieć sentencji zaskarżonej decyzji bez analizy jej uzasadnienia, jej wadliwość jest oczywista. Warto ponadto podnieść, że również uzasadnienie zaskarżonej decyzji nie wyjaśnia wątpliwości, co do tego, które konkretnie dane osobowe - dotyczące aktywności Pracownika w mediach społecznościowych - powinna usunąć Spółka skarżąca, aby wykonać nałożony na Nią obowiązek, a przede wszystkim dlaczego dane osobowe Pracownika zawarte w zrzutach ekranu Prezes UODO uznał za dane sensytywne - dane osobowe chronione w sposób szczególny w myśl art. 9 ust. 1 RODO. Przyczyna tego stanu rzeczy wynika z zaniechania dokonania przez Prezesa UODO kluczowych ustaleń okoliczności faktycznych w sprawie.
4. Sąd wskazuje, że Prezes UODO, na mocy art. 153 P.p.s.a. zobowiązany będzie przy ponownym rozpatrywaniu sprawy uwzględnić oceny prawne zawarte w niniejszym orzeczeniu.
Sąd stwierdza też, że wskazane w niniejszym orzeczeniu naruszenia przepisów prawa procesowego i w stopniu mającym istotny wpływ na wynik sprawy uniemożliwiały Sądowi ustosunkowanie się do pozostałych podniesionych w skardze zarzutów naruszenia norm prawa materialnego.
5. Sąd, mając powyższe na względzie, działając na podstawie art. 145 § 1 pkt 1 lit. c) P.p.s.a. orzekł jak w punkcie pierwszym sentencji wyroku. O kosztach postępowania, obejmujących wpis od skargi (200 zł) oraz koszty wynagrodzenia pełnomocnika Skarżącej w stawce minimalnej wraz z opłatą od pełnomocnictwa Sąd postanowił w oparciu o art. 200 i art. 205 § 2 P.p.s.a., jak w punkcie 2 sentencji wyroku.