II SA/Wa 495/22

II SA/Wa 495/22 - Wyrok WSA w Warszawie
Data orzeczenia
2022-12-05
orzeczenie prawomocne
Data wpływu
2022-03-21
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Piotr Borowiecki /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2022 poz 329
art. 145 par. 1 pkt 1 lit. c, art. 200 i art. 205 par. 2
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi  - t.j.
Dz.U. 2022 poz 1510
art. 100 par. 2 pkt 4 i 6
Ustawa z dnia 26 czerwca 1974 r. Kodeks pracy
Dz.U. 2022 poz 2000
art. 7, art. 77 par. 1, art. 80
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U.UE.L 2016 nr 119 poz 1 art. 9 ust. 1 i art. 58 ust. 2 lit. g
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Piotr Borowiecki (spr.), Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Andrzej Wieczorek, Protokolant starszy sekretarz sądowy Agnieszka Wiechowicz po rozpoznaniu na rozprawie w dniu 21 listopada 2022 r. sprawy ze skargi Polskich [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącej spółki Polskie [...] z siedzibą w [...] kwotę 697 (sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania sądowego.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") decyzją z [...] stycznia 2022 r. nr [...]
po przeprowadzeniu postępowania administracyjnego w sprawie skargi E.K.(zwana dalej "Pracownikiem") z [...] listopada 2021 r. na przetwarzanie danych osobowych przez Polskie [...] z siedzibą w [...] (zwana dalej: "Spółką", "Skarżącą"), w tym szczególnych kategorii danych – nakazał usunięcie danych osobowych Pracownika w zakresie danych dotyczących jego aktywności w mediach społecznościowych na portalu [...], tj. informacji
o wpisach, ich treści oraz udostępnieniach postów, które ujawniają jego poglądy polityczne, światopoglądowe oraz przekonania.
W podstawie prawnej powołano m.in. art. 104 § 1 Kodeksu postępowania administracyjnego (Dz.U. z 2021 r. poz. 735 ze zm., zwana dalej: "k.p.a.") w zw.
z art. 7 ust. 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U.
z 2019 r. poz. 1781, zwana dalej "u.o.d.o.") oraz art. 5 ust. 1 lit. c, art. 9 ust. 1 oraz art. 58 ust. 2 lit. g rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679
z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku
z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119 z 4.05.2016, str. 1, Dz.Urz.UE L 127 z 23.05.2018, str. 2 oraz Dz.Urz. UE L 74 z 4.03.2021, str. 35, zwane dalej: "RODO").
Prezes UODO w uzasadnieniu wskazał, że Pracownik zapoznał się z zawartością swoich akt osobowych, w których zamieszczono zrzuty ekranu dokumentujące jego aktywności w mediach społecznościowych na portalu [...] (wpisy oraz udostępnienia postów w mediach społecznościowych [...], które ujawniają poglądy polityczne, światopoglądowe oraz przekonania Pracownika).
Spółka wyjaśniła, że przetwarzała dane osobowe Pracownika w związku
z jego zatrudnieniem. Spółka [...] stycznia 2021 r. wraz z organizacjami związkowymi zawarła porozumienie w sprawie zwolnienia grupowego, które podano
do wiadomości pracowników. W załącznikach do porozumienia strony zgodnie określiły kryteria doboru osób do zwolnienia. Jednym z takich kryteriów było "naruszanie Polityki Medialnej [...] lub używanie mowy nienawiści; zamieszczanie w Internecie obraźliwych komentarzy mających prowokować inne osoby do kłótni lub znacząco obniżać samoocenę osoby obrażanej, okazywanie niechęci w stosunku do osób, danych czy grup społecznych; wszelkie formy uderzenia w kogoś słowem, grafiką czy filmem; zachowanie przekraczające granice dozwolonej krytyki; tzw. hejt; (ostatnie 36 miesięcy)". W celu należytego wykonania ww. porozumienia w zakresie weryfikacji kryteriów doboru do zwolnienia grupowego, Zarządzeniem nr [...] w Spółce wprowadzono [...] stycznia 2021 r. "[...]". Weryfikacji podlegały przejawy aktywności pracowników Spółki w Internecie podane do publicznej wiadomości, m.in. polegające na umieszczeniu informacji
na ogólnodostępnych forach internetowych. Zdaniem Spółki wypowiedzi Pracownika stanowią naruszenie postanowień Polityki Medialnej Spółki (dowód: pismo Spółki
z [...] listopada 2021 r., z załącznikami).
Spółka wskazała, że Pracownik otrzymał wypowiedzenie warunków pracy i płacy, w ramach procedury zwolnienia grupowego, od którego złożył odwołanie
w wewnętrznej procedurze ustalonej przez Spółkę, ale Spółka nie znalazła podstaw do zmiany swojego stanowiska, a tym samym do cofnięcia oświadczenia
o wypowiedzeniu warunków pracy i płacy.
Pracownik złożył pozew do Sądu Pracy – Sądu Rejonowego dla [...] w [...], [...] Wydziału Pracy i Ubezpieczeń Społecznych (sygn. akt [...] - dowód: pismo Spółki z [...] listopada 2022 r.).
Prezes UODO po odwołaniu się do art. 9 ust. 2 RODO, który uprawnia administratorów do przetwarzania szczególnych kategorii danych osobowych, wskazał, że przepis ten zawiera zamknięty katalog przesłanek. Każda z nich ma charakter autonomiczny i niezależny, a spełnienie co najmniej jednej z nich stanowi
o zgodnym z prawem przetwarzaniu danych osobowych. Wszelkie formy przetwarzania danych osobowych muszą odbywać się zgodnie z zasadami wymienionymi w art. 5 ust. 1 RODO. Dane powinny być przetwarzane zgodnie
z prawem, w jasno określonym celu, adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"). Nawet wówczas, gdy określone dane odpowiadają celowi, dla którego są zbierane i są dla tego celu adekwatne, nie mogą być przetwarzane, w tym też udostępniane, innym podmiotom (tak również: J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Kraków 2007, wyd. 4, s. 510).
W ocenie Prezesa UODO pozyskanie przez Spółkę informacji dokumentujących aktywność Pracownika w mediach społecznościowych na portalu [...] nie ma oparcia w art. 6 ust. 1 i art. 9 ust. 1 RODO. Niedopuszczalne jest gromadzenie przez pracodawców informacji zamieszczanych przez pracowników w mediach społecznościowych, także z powodu chęci wykonania porozumienia
w sprawie zwolnienia grupowego, które nakłada na pracownika obowiązek należytego reprezentowania pracodawcy na zewnątrz i ochrony jego dobrego imienia przez przestrzeganie polityki medialnej Spółki. Kwestia poszanowania prywatności odgrywa znaczącą rolę w stosunkach pracy. Pracownika nie można traktować przedmiotowo, wyłącznie w kategoriach założonych przez pracodawcę celów. Porozumienie ingeruje w strefę prywatności Pracownika, który nie miał wpływu
na treść porozumienia, do którego przestrzegania został zobowiązany. Przetwarzanie danych osobowych Pracownika w związku z działaniami podejmowanymi przez niego w czasie prywatnym, nie może być uzasadnione narzuconym mu przez Spółkę sposobem postępowania, tym bardziej to nie pracownik swoim działaniem w czasie prywatnym odpowiada za realizację polityki medialnej Spółki, tylko sama Spółka.
Prezes UODO wyjaśnił, że stosunek pracy, aby był skuteczny, musi opierać się na wzajemnym zaufaniu. Pracodawca nie jest uprawniony do pozyskiwania – bez zgody pracownika – informacji dotyczących jego życia prywatnego, mimo że portale internetowe dostęp do takich danych ułatwiają. Prezes UODO powołał się na Opinię 2/2017 Grupy Roboczej art. 29 na temat przetwarzania danych w miejscu pracy, przyjętą 8 czerwca 2017 r. Wynika z niej, że pracodawcy nie powinni zakładać, że tylko dlatego, że profil społecznościowy danej osoby jest publicznie dostępny, mogą przetwarzać jej dane do własnych celów. Przed wdrożeniem narzędzia monitorowania pracowników na portalach internetowych należy przeprowadzić analizę proporcjonalności, aby zbadać, czy wszystkie dane są niezbędne, czy konieczność przetwarzania danych przeważa nad ogólnymi prawami pracowników
do prywatności, które przysługują im również w miejscu pracy oraz czy w danym przypadku zachodzi potrzeba wdrożenia środków zapewniających ograniczenie skali naruszenia prawa do życia i poufności komunikacji do niezbędnego minimum. Pracowników należy skutecznie informować o wszelkich środkach monitorowania, wdrożonych w miejscu pracy, celach tego monitorowania oraz okolicznościach,
w których się ono odbywa, a także działaniach, które pracownicy mogą podejmować, aby uniemożliwić gromadzenie ich danych przez technologie monitorowania, czego Spółka nie wykonała.
W ocenie Prezesa UODO śledzenie przez Spółkę "prywatnej" aktywności pracowników na portalach społecznościowych nie mieści się też w żadnym z celów wymienionych w art. 222 § 1 oraz art. 223 § 1 ustawy z 26 czerwca 1974 r. Kodeks pracy (Dz.U. z 2020 r. poz. 1320, zwana dalej "k.p."). Spółka, z uwagi
na nieprawidłowy sposób pozyskania danych Pracownika w zakresie jego wypowiedzi udostępnionych na portalu [...], nie ma prawa dalej ich przetwarzać w postępowaniu toczącym się przed Sądem Pracy (sygn. akt [...]). Brak legalnego pozyskania danych osobowych wpływa jednocześnie
na legalność następczego ich przetwarzania, także w celu ustalenia, dochodzenia lub obrony roszczeń. Jakkolwiek Prezes UODO przy dokonywaniu oceny miał
na uwadze treść art. 17 ust. 3 lit. b i e RODO (w myśl którego nie stosuje się reguł dotyczących możliwości żądania usunięcia danych określonych w ust. 1, w tym przetwarzanych z naruszeniem prawa, gdy przetwarzanie danych jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń), tym niemniej przepis ten nie ma zastosowania, gdy Spółka pozyskała dane Pracownika w sposób nielegalny.
W związku z tym Prezes UODO, na mocy art. 58 ust. 2 lit. g RODO skorzystał z przysługujących mu uprawnień naprawczych i nakazał Spółce przywrócenie stanu zgodnego z prawem – usunięcie będących w jej posiadaniu danych osobowych Pracownika w zakresie danych dotyczących jego aktywności w mediach społecznościowych na portalu [...], tj. wpisów oraz udostępnień postów, które zawierały poglądy polityczne, światopoglądowe oraz przekonania Pracownika przetwarzanych bez podstawy prawnej.
Spółka, reprezentowana przez profesjonalnego pełnomocnika, w skardze
do Wojewódzkiego Sądu Administracyjnego w Warszawie wniosła o uchylenie wskazanej na wstępie decyzji Prezesa UODO i umorzenie postępowania, zasądzenie kosztów postępowania według norm przepisanych, wstrzymanie wykonania zaskarżonej decyzji w całości, na podstawie art. 61 § 2 pkt 1 albo art. 61 § 3 ustawy
z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023 poz. 259 ze zm.; zwana dalej "P.p.s.a."), zarzucając naruszenie:
- art. 7, art. 77 § 1, art. 80 k.p.a. – przez ich niewłaściwe zastosowanie
i błędną ocenę zgromadzonego materiału dowodowego w postaci zrzutów ekranu, dołączonych do skargi Pracownika, a w konsekwencji ustalenie, że zrzuty ekranu (dokumentujące aktywność w mediach społecznościowych) ujawniają poglądy polityczne i światopoglądowe, a tym samym są danymi szczególnej kategorii, o których mowa w art. 9 ust. 1 RODO, gdy na zrzutach tych widoczne są jedynie komentarze Pracownika na temat Spółki i oceny jej działalności,
- art. 7, art. 77 § 1, art. 80 k.p.a. – przez niewłaściwą ocenę materiału dowodowego i błędne uznanie, że treści udostępnione przez Pracownika, na jego koncie w portalu społecznościowym [...] są "informacjami dotyczącymi jej życia prywatnego", gdy wszystkie wypowiedzi odnosiły się do działalności Spółki (pracodawcy) i jej zarządu i wypowiadał je pracownik w grupach i wątkach mających charakter publiczny, tym samym wypowiedzi te mają charakter pozaprywatny,
- art. 6 ust. 1 lit f RODO – przez jego niewłaściwe zastosowanie i uznanie, że Spółka nie miała prawnie uzasadnionego interesu w zbieraniu i przetwarzaniu danych osobowych, gdy ww. porozumienie stanowi, zgodnie z art. 9 k.p., źródło prawa pracy i zobowiązuje pracodawcę do weryfikacji, czy działania Pracownika stanowią naruszenie Polityki Medialnej lub są przejawami innych zachowań wymienionych w porozumieniu (np. używanie mowy nienawiści), a ponadto art. 100
§ 2 pkt 4 i 6 k.p. nakłada na pracownika obowiązek dbania o dobro zakładu pracy,
i tym samym pracodawca ma prawo weryfikować, czy pracownik nie narusza kodeksowo określonych podstawowych obowiązków pracowniczych,
- art. 5 ust. 1 RODO – przez jego niewłaściwe zastosowanie i uznanie, że brak wpływu Pracownika na treść ww. porozumienia powoduje wadliwość przetwarzania danych osobowych, gdy art. 5 ust. 1 RODO nie wymienia takiej przesłanki, a nadto
w większości sytuacji, w której przetwarzane są dane osobowe podmiotów nie mają one wpływu na treść aktów prawnych lub wewnętrznych,
- art. 222 i art. 223 k.p. – przez ich niewłaściwą interpretację i przyjęcie, że jednorazowe pobranie publicznie dostępnych informacji z profilu pracownika
na portalu społecznościowym w celu wykonania praw i zobowiązań wynikających z porozumienia zbiorowego jest formą monitoringu, o którym mowa w art. 222
i art. 223 k.p., gdy zgodnie z definicją słowa "monitoring" oraz przyjętą wykładnią
ww. przepisów przez "monitoring" należy uznać "stałą obserwację, kontrolę lub nadzór",
- art. 17 ust. 1 lit. e RODO – przez jego nieprawidłową interpretację i uznanie, że pomimo, że dane osobowe są w chwili obecnej przetwarzane do celów obrony w toczącym się postępowaniu przed Sądem Pracy, to Spółka powinna je usunąć, bo zostały one – według opinii Prezesa UODO – zebrane w sposób nielegalny, co nie wynika z treści tego przepisu i ogranicza prawo Skarżącej do obrony w toczącym się postępowaniu.
Spółka z ostrożności procesowej – na wypadek gdyby Sąd uznał, że dane zawarte w zrzutach ekranu moją charakter danych szczególnych kategorii – podniosła zarzut naruszenia:
- art. 9 ust. 2 lit. b RODO – przez jego niezastosowanie i całkowite pominięcie, że porozumienie w sprawie zwolnienia grupowego jest porozumieniem zawartym
na podstawie art. 3 ustawy z 13 marca 2003 r. o szczególnych zasadach rozwiązywania z pracownikami stosunków pracy z przyczyn niedotyczących pracowników (zwana dalej "ustawą o zwolnieniach grupowych") i stanowi źródło prawa w rozumieniu art. 9 k.p., a także jest porozumieniem zbiorowym zawartym
na mocy prawa państwa członkowskiego w rozumieniu art. 9 ust. 2 lit b RODO, a tym samym jest to podstawa prawna przetwarzania szczególnej kategorii danych przez pracodawcę,
- art. 9 ust. 2 lit. e RODO – przez jego niezastosowanie i uznanie, że udostępnienie przez Pracownika treści na jego profilu ogólnodostępnym w mediach społecznościowych, nie jest przejawem oczywistego upublicznienia danych osobowych, o którym mowa w ww. przepisie, i że jedyną możliwą podstawą prawną przetwarzania takich danych osobowych jest zgoda osoby, której dane dotyczą (art. 9 ust. 1 lit a RODO).
Skarżąca w uzasadnieniu skargi przytoczyła przebieg postępowania administracyjnego oraz omówiła szerzej zarzuty skargi. Przytoczyła m.in. treść wpisów Pracownika, podnosząc, że nie zawierają one informacji, które ujawniałyby poglądy polityczne, czy światopoglądowe Pracownika. Zdaniem Spółki jedynie
ze zrzutów ekranu można wyinterpretować, że to krytyka pracodawcy. Spółka odwołała się do definicji światopoglądu ze słownika języka polskiego – "zespół czyichś poglądów na świat i na życie, wpływający na jego zachowanie" – wskazując, że krytyka pracodawcy lub członka zarządu nie można być uznawana za szczególną kategorię danych, bo nie każdą opinię lub pogląd na sprawę można zaliczyć
do kategorii światopoglądowej. W materiale dowodowym brak jest choćby jednej informacji na temat życia prywatnego Pracownika, a wszystkie materiały udostępniono z powołaniem się na bycie pracownikiem Skarżącej. Dodatkowo Prezes UODO pominął, że z Polityki medialnej Spółki wynika, że zabierając głos w Internecie należy pamiętać by prywatne wypowiedzi nie były kojarzone ze Spółką (np. pkt 5 Polityki). Jeżeli osoba prezentuje swoje opinie jako pracownik, nawet jeśli jest to czynione poza godzinami pracy i na prywatnym profilu, to Spółka ma prawo reagować na naruszenia wewnętrznych procedur i dbać o dobry wizerunek firmy. Potwierdza to również wyrok Sądu Najwyższego z 9 lipca 2008 r., sygn. akt I PK 2/08, z którego wynika, że art. 100 § 2 ust. 6 k.p. powinien być rozumiany w ten sposób, że określony w nim obowiązek przestrzegania zasad współżycia społecznego ciąży na pracowniku nie tylko w czasie wykonywania pracy i w miejscu pracy, ale także i w innym czasie i miejscu, gdy zachowania pracownika pozostają
w sferze stosunku pracy lub gdy ściśle są z tą sferą związane. W takim bowiem przypadku zachowanie sprzeczne z zasadami współżycia społecznego przekłada się wprost na stosunki międzyludzkie w miejscu pracy.
Zdaniem Skarżącej Prezes UODO sam sobie zaprzecza, wskazując, przy okazji wywodu na temat monitoringu pracowników na portalach internetowych (bardziej inwazyjna forma zbierania i przetwarzania danych osobowych), że przed wprowadzeniem takiego monitoringu należy przeprowadzić analizę proporcjonalności i skutecznie poinformować pracowników o jego wprowadzeniu. Tym samym – wbrew ww. stwierdzeniu organu – przetwarzanie danych osobowych jest, co do zasady, dopuszczalne, jeśli istnieje ku temu podstawa prawna i przeprowadzona zostanie tzw. analiza proporcjonalności oraz rozważone zostanie, czy interesy pracodawcy przeważają nad prawem pracownika do prywatności. Dobór pracowników
do zwolnień grupowych, zgodnie z ustawą o zwolnieniach grupowych, odbywa się na podstawie kryteriów uzgodnionych ze związkami zawodowymi. Mogą być to kryteria pozapracownicze (odnoszące się np. do szczególnej sytuacji rodzinnej pracowników). Sam fakt przetwarzania danych osobowych, aby ocenić spełnienie kryteriów ustalonych w ww. porozumieniu, stanowi prawnie uzasadniony interes administratora. To, co podlegać powinno ocenie to proporcjonalność, której Prezes UODO nie zbadał.
Skarżąca przytoczyła wyrok WSA w Warszawie sygn. akt II SA/Wa 734/21, w którym stwierdzono, że pojęcie prawnie uzasadnionego interesu należy rozumieć "nie jako interes wynikający z przepisów prawa, lecz jako interes zgodny z prawem". Może to być interes faktyczny, gospodarczy lub prawny, ale taki, który jest zgodny z prawem. Skoro w sprawie kryteria doboru pracowników do zwolnienia grupowego wynikały z porozumienia, a jednym z nich było naruszanie Polityki Medialnej pracodawcy oraz dopuszczanie się innych zachowań określonych w porozumieniu (np. "używanie mowy nienawiści, zamieszczanie w Internecie obraźliwych komentarzy"), to Spółka miała prawnie uzasadniany interes dokonać weryfikacji, czy Pracownik narusza Politykę Medialną lub dopuszcza się pozostałych działań, wymienionych w porozumieniu. Spółka była więc nie tylko uprawniona, ale zobowiązana (ergo: prawnie uzasadniony interes) do analizy takiego zachowania i przetwarzania danych w tym celu. Podmiot danych często nie ma wpływu na regulacje obowiązujące u pracodawcy, które zgodnie z art. 9 k.p. są źródłami prawa pracy, lecz nie stanowi to nieważności takich regulacji. Dotyczy to chociażby przepisów powszechnie obowiązujących (np. przepisy k.p.), a także regulacji wewnętrznych: tj. regulaminów pracy i porozumień zbiorowych. Zgodnie z art. 9
ust. 1 lit. b RODO porozumienia zbiorowe są podstawą prawną do przetwarzania szczególnych kategorii danych osobowych.
Skarżąca wskazała, że Opinia 2/2017 Grupy Roboczej art. 29 dotyczyła przetwarzania danych osobowych zawartych w profilach w portalach społecznościowych kandydatów do pracy, a nie pracowników (nie może być zatem mowy o przetrwaniu takich danych w kontekście obowiązku pracownika w zakresie dbałości o dobro zakładu pracy, czy postępowania z zgodzie z wewnętrznymi politykami). Ze str. 13 Opinii wynika, że dopuszczalne jest przetwarzanie danych z profili w portalu [...] byłych pracowników, którzy objęci są klauzulą o zakazie konkurencji, jeśli celem takiego działania jest weryfikacja przestrzegania takich klauzul, a pracodawca może udowodnić między innymi, że takie przetwarzanie jest konieczne do ochrony jego uzasadnionych interesów i nie ma innych, mniej inwazyjnych środków. Takie przetwarzanie może mieć podstawę w art. 7 lit. f dyrektywy o ochronie danych (odpowiednik art. 6 ust. 1 lit. f RODO).
Skarżąca, odnosząc się do art. 17 ust. 3 lit. e RODO, podniosła, że jeżeli wolą prawodawcy byłoby zagwarantowanie możliwości obrony przed roszczeniami tylko wtedy, gdy pozyskanie danych było zgodne z prawem, nie wyłączałby stosowania art. 17 ust. 1 w całości, a jedynie w określonej części, odnosząc się
do poszczególnych punktów tego przepisu.
Zdaniem Skarżącej zaskarżona decyzja nie spełnia wymogów z art. 107 k.p.a., bo nie jest klarowne, czy Prezes UODO dopatrzył się w przetwarzaniu danych naruszenia art. 6 ust. 1 RODO, czy art. 9 ust. 1 RODO. W sposób niespójny odwołał się też do przepisów, na przykład wskazał, że przetwarzanie danych przez Skarżącą nie ma oparcia w art. 9 ust. 1 RODO, gdy podstawy przetwarzania danych szczególnych kategorii wskazane są w art. 9 ust. 2 RODO, jak również – mimo zamkniętego katalogu zawartego w art. 9 ust. 1 RODO – uznał dane o "poglądach" osoby fizycznej za dane szczególnej kategorii.
Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie oraz podtrzymał dotychczasowe stanowisko w sprawie.
Skarżąca w piśmie z [...] kwietnia 2022 r. podtrzymała dotychczasowe zarzuty i wnioski oraz doprecyzowała stanowisko, wnosząc też sprzeciw wobec wniosku Prezesa UODO o rozpoznanie sprawy w trybie uproszczonym.
Sąd postanowieniem z 29 sierpnia 2022 r. wstrzymał wykonanie zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Skarga zasługuje na uwzględnienie, choć nie wszystkie podniesione w niej zarzuty mogły być uznane za zasadne.
Sądy administracyjne, zgodnie z art. 1 § 1 i 2 ustawy z 25 lipca 2002r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2022 r. poz. 2492) i art. 3 § 1 P.p.s.a., sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola zaskarżonych decyzji, postanowień bądź innych aktów, wymienionych w art. 3 § 2 P.p.s.a., sprawowana jest przez Sądy administracyjne w oparciu o kryterium zgodności z prawem. W związku z tym, aby wyeliminować z obrotu prawnego akt wydany przez organ administracji publicznej (np. decyzję) konieczne jest stwierdzenie, że doszło w niej do naruszenia bądź przepisu prawa materialnego w stopniu mającym wpływ na wynik sprawy, bądź przepisu postępowania w stopniu mogącym mieć istotny wpływ na rozstrzygnięcie, albo też przepisu prawa dającego podstawę do wznowienia postępowania, lub ewentualnie ustalenie, że decyzja lub postanowienie organu dotknięte jest wadą nieważności (art. 145 § 1 pkt 1 lit. a)-c), pkt 2 P.p.s.a.).
Zdaniem Sądu zarówno lektura uzasadnienia zaskarżonej decyzji, jak również znajdujące się w aktach administracyjnych sprawy dokumenty, wskazują, że Prezes UODO nie ustalił stanu faktycznego sprawy – choć miał taki obowiązek na mocy
art. 7 i art. 77 § 1 k.p.a. Przepisy te statuują zasadę prawdy obiektywnej, która obliguje organ administracyjny, po pierwsze do podejmowania w toku postępowania wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli, a po drugie do wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego.
Po pierwsze Sąd zauważa, że Pracownik do wniesionej do Prezesa UODO skargi z [...] listopada 2021 r. załączył zrzuty "z ekranu [...]", które – choć znajdowały się w aktach administracyjnych sprawy (k. 3-13) – nie były przedmiotem szerszej analizy organu, wbrew jednoznacznej treści art. 77 § 1 k.p.a. w związku z art. 80 k.p.a., pod kątem, które konkretnie z nich zawierają dane szczególnej kategorii, o których mowa w art. 9 ust. 1 RODO. Prezes UODO, mimo tej wadliwości procesowej, zdecydował się ponadto na zastosowanie sankcji art. 58 ust. 2 lit. g RODO i w sentencji zaskarżonej decyzji nakazał Spółce usunięcie danych osobowych Pracownika w zakresie danych dotyczących Jego aktywności w mediach społecznościowych na portalu [...], tj. informacji o wpisach, ich treści oraz udostępnieniach postów, które ujawniają poglądy polityczne, światopoglądowe oraz przekonania Pracownika. Prezes UODO, wbrew natomiast art. 7 k.p.a. nie ustalił w toku postępowania administracyjnego, w jakich konkretnie dokumentach Spółki i czy w ogóle w dokumentach Spółki znajdują się "informacje o wpisach". W sentencji zaskarżonej decyzji ani w jej uzasadnieniu nie wskazano ponadto, które konkretnie wpisy załączone przez Pracownika do ww. skargi zawierają poglądy polityczne, światopoglądowe i przekonania Pracownika i czy wszystkie z nich spełniają przesłanki do uznania ich za dane, o których mowa w art. 9 ust. 1 RODO.
Zdaniem Sądu już z tego powodu należało wyeliminować z obrotu prawnego zaskarżoną decyzję Prezesa UODO. Skoro bowiem organ zarówno w sentencji zaskarżonej decyzji, jak również w jej uzasadnieniu w sposób niezwykle lakoniczny
i bez uszczegółowienia posługuje się pojęciami poglądów politycznych, światopoglądowych i przekonań Pracownika bez odniesienia ich do konkretnych faktów mających odzwierciedlenie w aktach, uznać należy wydaną decyzję
za nieprawidłową. Nie można bowiem abstrahować od konkretnych okoliczności faktycznych, których subsumpcji należy dokonać pod ściśle określone normy prawne.
W tym kontekście Sąd podzielił podniesione w skardze zarzuty Spółki o naruszeniu art. 7, art. 77 § 1 i art. 80 k.p.a..
Sąd zauważa ponadto, że wśród elementów decyzji administracyjnej przepis art. 107 § 1 k.p.a. wymienia rozstrzygnięcie (pkt 5) oraz uzasadnienie faktyczne i prawne (pkt 6). Ponadto art. 107 § 3 k.p.a. stanowi, że uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne - wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa.
W utrwalonym orzecznictwie sądów administracyjnych podkreśla się, że rozstrzygnięcie stanowi obligatoryjny i jeden z najważniejszych elementów decyzji administracyjnej. Nie jest możliwe zastąpienie rozstrzygnięcia uzasadnieniem decyzji, ani też wywodzenie rozstrzygnięcia z uzasadnienia orzeczenia. Innymi słowy, rozstrzygnięcie musi być sformułowane w taki sposób, aby nie było wątpliwości czego dotyczy, jakie uprawnienia zostały przyznane stronie lub jakie obowiązki zostały na nią nałożone. Rozstrzygnięcie powinno być sformułowane precyzyjnie, bez niedomówień i możliwości różnej interpretacji. Powinno być zrozumiałe dla stron bez wnikania w treść uzasadnienia. Wynika to z władczego charakteru aktu administracyjnego, który kształtuje prawa i obowiązki strony i musi w związku z tym być jednoznaczny i precyzyjny, jak też z podstawowych zasad postępowania administracyjnego, w tym zasady praworządności zawartej w art. 6 k.p.a. oraz zasady pogłębiania zaufania do organów państwa wyrażonej w art. 8 k.p.a. (por. wyroki NSA: z 23 lutego 2022r. sygn. akt II GSK 1477/18; 6 grudnia 2021r. sygn. akt I OSK 1086/20; 20 października 2020r. sygn. akt I OSK 1670/20; 2 lipca 2018r. sygn. akt I OSK 873/18 – dostępne www.oczeczenia.nsa.gov.pl).
Sentencja zaskarżonej decyzji nie spełnia ww. wymogów, gdyż jej treść jest nieprecyzyjna, niejednoznaczna i niezrozumiała, a ponadto nie wiadomo w istocie, jakich danych osobowych dotyczy obowiązek nałożony na Spółkę, bowiem nie zostało wskazane, które konkretnie (czy też pochodzące, z jakich konkretnie dat) informacje o: wpisach, treści tych wpisów oraz udostępnieniach postów na portalu [...], ujawniają poglądy polityczne, światopoglądowe oraz przekonania Pracownika. Istotne jest ponadto i to, że zestawienie sentencji ww. decyzji z jej uzasadnieniem nie wyjaśnia ww. wątpliwości i nie daje odpowiedzi, które konkretnie (czy też pochodzące, z jakich konkretnie dat) informacje o: wpisach, treści tych wpisów oraz udostępnieniach postów na portalu [...], ujawniają poglądy polityczne, światopoglądowe oraz przekonania Pracownika.
Przyczyna tego stanu rzeczy wynika, o czym mowa wyżej, z zaniechania dokonania przez Prezesa UODO kluczowych ustaleń okoliczności faktycznych w sprawie. Ustalenie stanu faktycznego ma fundamentalne znaczenie dla prowadzonego postępowania, gdyż warunkuje prawidłowe określenie zakresu przyznanych praw bądź obowiązków nałożonych na strony postępowania. W celu ustalenia stanu faktycznego i realizacji zasady prawdy obiektywnej organ obowiązany jest – zarówno na wniosek strony, jak i z urzędu – do podejmowania wszelkich czynności, które konieczne są do dokładnego wyjaśnienia stanu faktycznego sprawy, a w konsekwencji do jej załatwienia (art. 7 k.p.a.). Zebranie wszystkich potrzebnych dowodów obliguje organ do całościowej ich analizy i oceny (art. 77 § 1, art. 80 k.p.a.). Wynik tych czynności powinien zostać odzwierciedlony
w uzasadnieniu podjętej decyzji (art. 107 § 3 k.p.a.).
Rolą uzasadnienia jest objaśnienie toku myślenia, który doprowadził organ administracji do zastosowania przepisu prawa w konkretnej sprawie. W sferze faktów (uzasadnienia faktycznego) chodzi tu o wyjaśnienie okoliczności wskazujących
na potrzebę lub konieczność wydania decyzji w danej sprawie i wobec określonych podmiotów oraz wpływu tych okoliczności na treść rozstrzygnięcia. W sferze prawa (uzasadnienia prawnego) chodzi zaś o wskazanie obowiązującej normy i jej znaczenia ustalonego w drodze wykładni. Do naruszenia art. 107 § 3 k.p.a. dochodzi wtedy, gdy uzasadnienie decyzji nie zawiera wszystkich elementów wymienionych w tym przepisie albo gdy mimo formalnej poprawności jego treść nie pozwala na skontrolowanie poprawności rozstrzygnięcia sprawy, a tym samym czyni – w stopniu istotnym – wątpliwym poprawność przeprowadzenia postępowania wyjaśniającego w sprawie (por. wyroki NSA z: 6 października 2020r. sygn. akt I 3235/18; 24 kwietnia 2018r. sygn. akt I OSK 1351/16 – dostępne na www.oczeczenia.nsa.gov.pl).
Z taką właśnie sytuacją mamy do czynienia w sprawie. Prezes UODO
w uzasadnieniu zaskarżonej decyzji nie wyjaśnił, w oparciu o jaki materiał dowodowy ustalił, że dane dotyczące aktywności Pracownika w mediach społecznościowych,
o których mowa w sentencji decyzji, ujawniają jego "poglądy polityczne, światopoglądowe oraz przekonania". Organ wprawdzie wskazał, że podstawą zastosowania przez Spółkę wobec Pracownika sankcji w postaci wypowiedzenia warunków płacy i pracy w ramach procedury zwolnienia grupowego było naruszenie postanowień Polityki Medialnej Spółki, ale nie analizował konkretnych wpisów Pracownika znajdujących się w aktach administracyjnych sprawy, w kontekście dokonania kwalifikacji danych osobowych w nich zawartych, z uwagi odpowiednio na art. 6 ust. 1 i art. 9 ust. 1 RODO. Dopiero analiza przez organ ww. wydruków, jako źródłowego materiału dowodowego, mogłaby stanowić podstawę kwalifikacji poszczególnych danych do danych osobowych zwykłych, bądź wrażliwych w rozumieniu ww. przepisów. Zaskarżona decyzja nie zawiera jednak takich ustaleń i ocen. Tym samym nosi cechy arbitralności i dowolności.
Prezes UODO, stwierdzając brak przesłanek legalizujących pozyskanie przez Skarżącą informacji dokumentujących aktywność Pracownika na portalu [...] stwierdził, że "co do zasady niedopuszczalne jest gromadzenie przez pracodawców informacji zamieszczonych przez pracowników w mediach społecznościowych". Wskazał przy tym m.in., że "przetwarzanie danych osobowych pracownika w związku z działaniami podejmowanymi przez niego w czasie prywatnym nie mogą być uzasadnione narzuconym mu przez Spółkę sposobem postępowania (...)", a nadto, że "pracodawca nie jest uprawniony do pozyskiwania bez zgody pracownika informacji dotyczących jego życia prywatnego". Organ powołał się następnie na fragment Opinii 2/2017 przyjętej w dniu 8 czerwca 2017 r. przez Grupę Roboczą
art. 29 dyrektywy 95/46/WE, która dotyczy przetwarzania danych w miejscu pracy. Z fragmentu tego można wyprowadzić wniosek, że przetwarzanie przez pracodawcę danych osobowych pracowników z publicznie dostępnych profili społecznościowych jest dopuszczalne, jednak uzależnione po pierwsze, od uprzedniego przeprowadzenia przez pracodawcę analizy proporcjonalności w celu zbadania, najogólniej rzecz ujmując, czy konieczność przetwarzania danych przeważa nad ogólnymi prawami pracowników do prywatności oraz poufności komunikacji, a po drugie, od spełnienia obowiązku informacyjnego względem pracowników. Prezes UODO stwierdził, że Skarżąca Spółka nie wykonała ww. czynności, nie wyjaśnił jednak czy i w jaki sposób ewentualne ich wykonanie mogłoby mieć wpływ na wynik sprawy.
Następnie Prezes UODO powołał art. 222 § 1 k.p. oraz art. 223 § 1 k.p., stwierdzając, że śledzenie przez Skarżącą prywatnej aktywności pracowników na portalach społecznościowych nie mieści się w zakresie przedmiotowym ww. przepisów. Wskazać jednak należy, że ww. przepisy nie mogły mieć zastosowania w sprawie, bowiem pierwszy z nich dotyczy wprowadzenia monitoringu (w postaci rejestracji obrazu) na terenie zakładu pracy, drugi natomiast monitoringu służbowej poczty elektronicznej pracownika.
Wskazać również należy, że Prezes UODO, powołując się na ww. Opinię 2/2017 i przepisy Kodeksu pracy, nie wyjaśnił, czy w sprawie przetwarzanie danych osobowych było wynikiem "monitorowania" przez Skarżącą aktywności Pracownika
w mediach społecznościowych w rozumieniu ww. regulacji. Tym samym argumentacja organu w tym zakresie jest niespójna i nielogiczna.
Prezes UODO, akcentując "prywatny" charakter aktywności Pracownika w mediach społecznościowych nie odniósł się do konkretnych okoliczności wynikających ze stanu faktycznego, nie wskazując, jaki rodzaj treści zamieścił Pracownik w Internecie i czy dotyczyły one pracodawcy – Skarżącej Spółki i czy były to ogólnodostępne informacje – dostępne bez ograniczeń dla każdego. Ponadto, organ w uzasadnieniu zaskarżonej decyzji nie wykazał, że przetwarzane przez Spółkę informacje dotyczyły życia prywatnego Pracownika, tj. życia osobistego – rodzinnego, intymnego, itp. Skarżąca Spółka natomiast w toku postępowania administracyjnego, jak i w skardze podnosiła, że wypowiedzi Pracownika na portalu [...] stanowią naruszenie postanowień Polityki Medialnej Spółki, bowiem godzą w jej dobre imię. Naruszają również ogólne obowiązki pracownika dbałości o dobro zakładu pracy oraz przestrzegania zasad współżycia społecznego (art. 100 § 2 pkt 4 i 6 k.p.). Wskazywała również, że uczestniczka postępowania (Pracownik) wypowiadała się z perspektywy Pracownika, więc wypowiedzi odnosiły się do jej sfery służbowej, a nie prywatnej.
Jak wynika z uzasadnienia zaskarżonej decyzji, Prezes UODO uznał, że pracodawca nie może gromadzić informacji, które Pracownik zamieszcza w mediach społecznościowych – wykorzystujących technologie internetowe, bez względu na to czy dotyczą one pracodawcy czy też nie, pomijając przy tym okoliczność możliwości naruszenia obowiązków pracowniczych wynikających z art. 100 § 2 pkt 4 i 6 k.p. Takie stanowisko organu budzi uzasadnione wątpliwości, gdyż pomija w szczególności obowiązujące przepisy RODO w kontekście znajdujących się w aktach administracyjnych dokumentów.
Sąd, konkludując stwierdza, że ww. naruszenia przepisów postępowania administracyjnego skutkowały uchyleniem zaskarżonej decyzji.
Sąd stwierdza też, że wskazane w niniejszym orzeczeniu naruszenia przepisów prawa procesowego w stopniu mającym istotny wpływ na wynik sprawy, uniemożliwiały Sądowi ustosunkowanie się do pozostałych podniesionych w skardze zarzutów naruszenia norm prawa materialnego.
Prezes UODO, na mocy art. 153 P.p.s.a. zobowiązany będzie przy ponownym rozpatrywaniu sprawy, uwzględnić oceny prawne zawarte w niniejszym orzeczeniu,
a w szczególności ustalić okoliczności faktyczne sprawy w oparciu o pełny, wszechstronnie rozpatrzony materiał dowodowy. Następnie Prezes UODO dokona subsumpcji ustalonego stanu faktycznego do obowiązujących przepisów prawa i swoje rozstrzygnięcie należycie uzasadni, stosownie do wymogów art. 107 § 3 k.p.a..
Sąd, mając powyższe na względzie, działając na podstawie art. 145 § 1 pkt 1 lit. c) P.p.s.a. orzekł, jak w punkcie pierwszym sentencji wyroku. O kosztach postępowania, obejmujących wpis od skargi (200 złotych) oraz koszty wynagrodzenia pełnomocnika Skarżącej w stawce minimalnej wraz z opłatą od pełnomocnictwa Sąd postanowił w oparciu o art. 200 i art. 205 § 2 P.p.s.a., jak w punkcie 2 sentencji wyroku.