II SA/WA 603/24

II SA/Wa 603/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-10-15
orzeczenie prawomocne
Data wpływu
2024-04-23
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Wieczorek /sprawozdawca/
Izabela Głowacka-Klimas /przewodniczący/
Mateusz Rogala
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 310/25 - Wyrok NSA z 2025-07-23
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję w części
Powołane przepisy
Dz.U. 2024 poz 935
art. 145 § 1 pkt 1 lit. c
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U. 2023 poz 775
art. 7, art. 77 § 1, art. 80, art. 107 § 3
Ustawa z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Andrzej Wieczorek (spr.), Asesor WSA Mateusz Rogala, Protokolant referent Marta Stec po rozpoznaniu na rozprawie w dniu 15 października 2024 r. sprawy ze skarg J. Sp. z o.o. z siedzibą w [...] oraz T. J. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2019 r. nr [...] w przedmiocie udzielenia upomnienia za nieprawidłowości w procesie przetwarzania danych osobowych 1. uchyla punkt 1 zaskarżonej decyzji; 2. oddala skargę T. J.; 3. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz J. Sp. z o.o. z siedzibą w [...] kwotę 680 (słownie: sześćset osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO) decyzją
z [...] lipca 2019 r. nr [...], [...], działając na podstawie art. 104 § 1 ustawy z 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2018 r., poz. 2096 ze zm.; dalej: k.p.a.) oraz art. 5 ust. 1 lit c, f, art. 6 ust 1 i art. 58 ust. 2 lit. b Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119 z 4 maja 2016 r.; dalej: RODO) po rozpatrzeniu wniosku T. J. (dalej: Skarżący) postanowił:
1) w pkt. 1 udzielić [...] Sp. z.o.o. zs. w [...] (dalej: Spółka) upomnienia za nieprawidłowości w procesie przetwarzania danych osobowych polegające na naruszeniu art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. c, f RODO poprzez udostępnienie osobom znajdującym się w poczekalni biura poseł A. M. danych osobowych Skarżącego w zakresie informacji
o wypowiedzeniu mu umowy o pracę bez zachowania okresu wypowiedzenia [...] sierpnia 2018 r.,
2) w pkt. 2 odmówił uwzględnienia wniosku w pozostałym zakresie.
Do wydania zaskarżonej decyzji doszło w następujących okolicznościach.
Pismem z [...] listopada 2018 r. Skarżący wniósł do Prezesa UODO skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę polegające na udostępnieniu jego danych osobowych osobom nieuprawnionym. Skarżący zarzucił, że pracownicy Spółki w obecności osób trzecich znajdujących się w biurze poseł A. M. odczytali, posługując się jego danymi osobowymi, treść oświadczenia o rozwiązaniu z nim umowy o pracę na czas nieokreślony. Skarżący wskazał, że po odmówieniu przez niego przyjęcia wypowiedzenia, przedstawiciele pracodawcy pozostawili w sposób niezabezpieczony pismo zawierające oświadczenie o rozwiązaniu umowy o pracę, w obecności osób przebywających w biurze poselskim. W związku z powyższym Skarżący wniósł
o podjęcie wszelkich działań zmierzających do usunięcia wskazanych przez niego naruszeń. Ponadto Skarżący zwrócił o rozważenie wszczęcia postępowania sądowego przeciwko osobom reprezentującym Spółkę z tytułu naruszenia ustawy
z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781; dalej: u.o.d.o.). Do skargi dołączył pisemne oświadczenia trzech osób potwierdzające jego wersję wydarzeń.
Pismem z [...] listopada 2018 r. Spółka wyjaśniła, że [...] sierpnia 2018 r. wystąpiła z wnioskiem do organizacji zakładowej NSZZ "Solidarność" o wyrażenie zgody na rozwiązanie umowy o pracę ze Skarżącym bez wypowiedzenia. Spółka czterokrotnie usiłowała dostarczyć Skarżącemu oświadczenie o wypowiedzeniu umowy o pracę za pośrednictwem kuriera, gdyż Skarżący korzystał ze zwolnienia z obowiązku świadczenia pracy z zachowaniem prawa do wynagrodzenia. [...] sierpnia 2018 r. upoważnieni przedstawiciele Spółki – P. S. oraz M. Z. - wręczyli Skarżącemu oświadczenie o wypowiedzeniu mu umowy o pracę w formie pisemnej
w poczekalni biura poselskiego. Skarżący odmówił przyjęcia ww. pisma. Reprezentanci spółki, reagując na odmowę przyjęcia pisma, pozostawili je na stole znajdującym się obok Skarżącego. W trakcie wręczania wyżej wymienionego oświadczenia P. S. powiedział Skarżącemu, że jest to oświadczenie
o wypowiedzeniu umowy o pracę bez wypowiedzenia i jest ono wręczane bo nie odbiera pism od kurierów, co wynika z załączonej notatki służbowa M. Z. z [...] sierpnia 2018 r. W odwołaniu od rozwiązania umowy o pracę bez wypowiedzenia do Sądu Rejonowego [...] w [...] pełnomocnicy Skarżącego wskazali, że [...] sierpnia 2018 r. przedstawiciele spółki osobiście wręczyli Skarżącemu rozwiązanie umowy o pracę bez wypowiedzenia z winy pracownika.
W uzasadnieniu zaskarżonej decyzji Prezes UODO podniósł, że zgodnie
z notatką służbową M. Z. z [...] sierpnia 2018 r. P. S., działając jako pełnomocnik Spółki przy wręczaniu wypowiedzenia Skarżącemu, powiedział, że jest to oświadczenie o rozwiązaniu umowy o pracę bez wypowiedzenia i jest ono wręczane, bo nie odbiera pism od kurierów. Prezes UODO wywiódł, że Spółka
w trakcie wypowiadania umowy o pracę na czas nieokreślony naruszyła zasadę integralności i poufności, ponieważ upoważniony przedstawiciel Spółki udostępnił dane osobowe Skarżącego nieupoważnionym osobom przebywającym w tym czasie w biurze poselskim. Udostępnienie informacji o tym, co zawiera wręczane Skarżącemu pismo w obecności innych osób, byłoby zgodne z prawem pod warunkiem, że posiadałoby one stosowne upoważnienie przewidziane w art. 29 RODO. Zgodnie
z zebranym materiałem dowodowym osoby trzecie znajdujące się w trakcie wręczenia wypowiedzenia umowy o pracę Skarżącemu w biurze poselskim nie posiadały takiego upoważnienia. Przedstawiciel Spółki podczas wręczania wypowiedzenia umowy
o pracę Skarżącemu nie musiał wskazywać w obecności osób nieuprawnionych, czego dotyczy przekazywane przez niego pismo, aby Skarżący mógł zapoznać się
z jego treścią.
Prezes UODO uznał, że do momentu wręczenia Skarżącemu pisma zawierającego oświadczenia o wypowiedzeniu umowy o pracę wystawionej na podstawie przepisów prawa pracy, administratorem danych osobowych Skarżącego znajdujących się w tym piśmie była Spółka. W momencie doręczenia Skarżącemu przez przedstawicieli Spółki ww. pisma Spółka przestała ponosić odpowiedzialność
w stosunku do znajdujących się w nim danych osobowych. W chwili doręczenia korespondencji odpowiedzialność za jej zawartość spoczywa na adresacie. Nie można jednocześnie uznać, iż Spółka po przekazaniu Skarżącemu pisma zawierającego oświadczenia o wypowiedzeniu umowy o pracę wystawionej na podstawie przepisów prawa pracy naruszyła obowiązek właściwego zabezpieczenia jego danych osobowych przed dostępem do nich osób nieupoważnionych. Uprawnieni przedstawiciele Spółki przekazali pismo zawierające dane osobowe osobiście Skarżącemu w sposób przewidziany w art. 61 § 1 ustawy z 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2018 r., poz. 1025; dalej: k.c.) w zw. z art. 300 ustawy z 26 czerwca 1974 r. Kodeks pracy (Dz.U. z 2018 r., poz. 917; dalej: k.p.). Spółka nie naruszyła
w ten sposób obowiązków wynikających z przepisów prawa ochrony danych osobowych nałożone na administratora danych osobowych. Spółka udostępniła dane osobowe Skarżącego w zakresie informacji o otrzymaniu przez niego wypowiedzenia o pracę bez zachowania okresu wypowiedzenia z [...] sierpnia 2018 r., naruszając przepisy o ochronie danych osobowych, jednak ww. przetwarzanie nie jest obecnie kontynuowane.
Skargi na powyższą decyzję wnieśli Skarżący w zakresie pkt.2 oraz Spółka
w zakresie pkt 1.
Skarżący zarzucił Prezesowi UODO naruszenie przepisów prawa procesowego i materialnego szczegółowo opisanych w skardze.
Skarżący wniósł ponadto o dopuszczenie i przeprowadzenie dowodu z pisma procesowego pełnomocnika P. S. z [...] sierpnia 2019 r. złożonego
w sprawie toczącej się przed Sądem Rejonowym w [...] (sygn. akt [...]).
Spółka wniosła o uchylenie zaskarżonej decyzji w zakresie pkt. 1 oraz zasądzenie kosztów postępowania, zarzuciła Prezesowi UODO naruszenie przepisów prawa materialnego i procesowego opisanych w skardze.
W odpowiedziach na skargi Prezes UODO wniósł o ich oddalenie, podtrzymując stanowisko zaprezentowane w uzasadnieniu zaskarżonej decyzji.
Wyrokiem z 15 września 2020 r. (sygn. akt II SA/Wa 2227/19) WSA w Warszawie uchylił zaskarżoną decyzję w całości.
W wyniku wniesionej przez Prezesa UODO skargi kasacyjnej Naczelny Sąd Administracyjny (dalej: NSA) wyrokiem z 23 lutego 2024 r. (sygn. akt III OSK 3838/21) uchylił wyrok WSA w Warszawie z 15 września 2020 r. i przekazał mu sprawę do ponownego rozpoznania. W uzasadnieniu wyjaśnił, że WSA w Warszawie naruszył art. 2 ust. 1 w zw. z art. 4 pkt 6 RODO. Następnie wskazał, że Traktat o Unii Europejskiej (dalej: TUE) wskazuje, że UE może podejmować tylko takie działania, do których Unia została wyraźnie upoważniona przez państwa członkowskie (art. 5 TUE). Podział kompetencji pomiędzy UE a państwa członkowskie został dokonany w przepisach art. 2-6 Traktatu o funkcjonowaniu Unii Europejskiej (dalej: TFUE). Rozdział ich nastąpił przy zastosowaniu bardzo ogólnych kategorii pojęciowych. Sama analiza tych przepisów jest zatem niewystarczająca dla ustalenia zakresu kompetencji legislacyjnych UE. W zakresie przedmiotowo istotnym z punktu widzenia rozpoznawanej sprawy konieczne jest odwołanie się do art. 16 TFUE. Zgodnie z art. 16 ust. 1 TFUE każda osoba ma prawo do ochrony danych osobowych jej dotyczących. Z ust. 2 wynika z kolei, że Parlament Europejski i Rada, stanowiąc zgodnie ze zwykłą procedurą ustawodawczą, określają zasady dotyczące ochrony osób fizycznych
w zakresie przetwarzania danych osobowych przez instytucje, organy i jednostki organizacyjne Unii oraz przez Państwa Członkowskie w wykonywaniu działań wchodzących w zakres zastosowania prawa Unii, a także zasady dotyczące swobodnego przepływu takich danych. Przestrzeganie tych zasad podlega kontroli niezależnych organów. Prawo to uregulowane zostało także w art. 8 ust. 1 Karty Praw Podstawowych UE (dalej: KPP), zgodnie z którym każdy ma prawo do ochrony danych osobowych, które go dotyczą. Unia Europejska była zatem kompetentna w zakresie wprowadzenia przepisów RODO. Ochrona osób fizycznych w związku
z przetwarzaniem danych osobowych jest bowiem jednym z praw podstawowych,
a ich ochrona jest sensem funkcjonowania UE. Zatem ochrona prawa do prywatności, w tym ochrona osób fizycznych w zakresie przetwarzania danych osobowych, jest działalnością objętą zakresem prawa Unii w rozumieniu art. 2 ust. 2a RODO.
Ponadto NSA wskazał, że przedmiotowy zakres zastosowania przepisów RODO w aspekcie pozytywnym określony został w przepisie art. 2 ust. 1 RODO, zgodnie
z którego brzmieniem rozróżnić należy dwa rodzaje relewantnych procesów przetwarzania danych osobowych kwalifikujących je do objęcia zakresem ochronnym rozporządzenia. Pierwszy to przetwarzanie danych osobowych odbywające się
w sposób zautomatyzowany lub częściowo zautomatyzowany bez związku z tym, czy dane w ten sposób przetwarzane staną się lub mają (mogą) stać się częścią zbioru. Drugi natomiast to przetwarzanie w sposób inny niż zautomatyzowany, jednakże wówczas, gdy dane w ten sposób przetwarzane stanowią część zbioru danych lub mają (mogą) stanowić część zbioru danych. Z przepisu tego wynika więc, że przetwarzanie danych, które odbywa się w sposób niezautomatyzowany (ręcznie),
a jednocześnie przetwarzane dane nie stanowią (lub nie mają stanowić) zbioru, nie jest objęte zakresem przedmiotowym RODO.
Nadto NSA wyjaśnił, że RODO nie znajduje zastosowania także do przetwarzania danych osobowych: w ramach działalności nieobjętej zakresem prawa Unii; przez państwa członkowskie w ramach wykonywania działań wchodzących
w zakres tytułu V rozdział 2 TUE; przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze; przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom (art. 2 ust. 2 RODO).
Zdaniem NSA z utrwalonego orzecznictwa wynika, że ochrona prawa podstawowego do prywatności zagwarantowanego przez art. 7 KPP wymaga, aby odstępstwa od ochrony danych osobowych i jej ograniczenia były stosowane jedynie wtedy, gdy jest to absolutnie konieczne, a wykładnia regulujących je przepisów powinna być dokonywana przez pryzmat praw podstawowych zawartych w KPP
i w sposób ścisły.
W ocenie NSA przetwarzanie, o którym mowa w art. 2 ust. 1 RODO, zostało definicyjnie ujęte szeroko i czynnościowo w art. 4 pkt 2 RODO. W rozumieniu tego przepisu "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Dalej NSA wskazał, że "zbiór danych" to uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie (art. 4 pkt 6 RODO). W świetle tej definicji zbiorem danych jest zestaw informacji spełniające następujące kryteria: musi to być zestaw informacji stanowiących dane osobowe w rozumieniu przepisu art. 4 pkt 1 RODO, zestaw tych danych musi być uporządkowany, a zatem musi mieć określoną strukturę, dane osobowe zawarte w tym zestawie informacji dostępne być muszą według określonych kryteriów.
W ocenie NSA dopełnieniem przedstawionych powyżej kryteriów jest wskazanie, iż na fakt istnienia zbioru danych nie ma wpływu to czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie. Przy współczesnych możliwościach technicznych kwestia miejsca faktycznego położenia danych tworzących zbiór nie ma charakteru zasadniczego, podobnie jak podział funkcjonalny. Zbiór może być scentralizowany, tzn., dane mogą być skupione
w jednym miejscu albo zdecentralizowany, tzn. dane mogą być skupione w różnych miejscach, co nie przeszkadza ich traktować jako jeden zbiór danych. Wskazać należy także, że do przetwarzana danych osobowych wykorzystywane są tzw. rozproszone bazy danych, których charakterystyczną cechą jest to, iż mimo, że dane znajdują się w wielu miejscach, to traktowane są one jako jedna logiczna całość. Zatem aby określone dane mogły być kwalifikowane jako zbiór lub jako jego część muszą być nośnikiem informacji charakterystycznych lub specyficznych dla tego zbioru np. dane dotyczące miejsca zatrudnienia, przebiegu zatrudnienia, badań lekarskich.
NSA podzielił stanowisko Prezesa UODO, że w niniejszej sprawie Spółka pełniła rolę administratora (w rozumieniu art. 4 pkt 7 RODO) danych osobowych Skarżącego oraz przetwarzała je jako dane osobowe pracownika. Okoliczność wypowiedzenia umowy o pracę była ściśle związana z wiążącym strony stosunkiem pracy. Natomiast rozporządzenie Ministra Rodziny, Pracy i Polityki Społecznej z dnia 10 grudnia 2018 r. w sprawie dokumentacji pracowniczej (Dz.U. z 2018, poz. 2369) przewiduje obowiązek oddzielnego prowadzenia akt osobowych dla każdego pracownika. Zestaw akt osobowych pracowników stanowi wskazany w art. 4 pkt 6 RODO zbiór danych osobowych, ponieważ zawiera dane osobowe zatrudnionych, ma określoną strukturę oraz jest dostępny według określonych kryteriów. Oświadczenia lub dokumenty związane z rozwiązaniem lub wygaśnięciem stosunku pracy przechowuje się w części C akt osobowych pracownika (§ 3 pkt 3 powołanego rozporządzenia). W związku
z powyższym wskazać należy, że dane osobowe zawarte w wypowiedzeniu umowy
o pracę stanowią część zbioru danych prowadzonego przez Spółkę, a także podlegają regułom, określonym w art. 2 ust. 1 RODO.
Następnie NSA wyjaśnił, że przetwarzanie danych pracowniczych na podstawie art. 6 ust. 1 lit. f RODO uzasadnione jest w aspekcie dbania o dobro zakładu pracy, sprawność i efektywność jego funkcjonowania, a także z zapewnieniem bezpieczeństwa pracowników i innych osób przebywających na terenie zakładu pracy, w tym z zapewnieniem przez pracodawcę bezpiecznych i higienicznych warunków pracy, zgodnie z art. 207 k.p. Interes pracodawcy, który jest przedsiębiorcą oraz jednocześnie administratorem danych osobowych, oraz interes pracowników często jest wspólny. Dlatego pracodawca jest uprawniony zwłaszcza w pewnych zawodach do ujawniania m.in. służbowego adresu e-mail czy imienia i nazwiska pracownika. Podstawowe dane osobowe człowieka (imię i nazwisko) są jego dobrem osobistym, ale jednocześnie są dobrem powszechnym w tym znaczeniu, że istnieje publiczna zgoda na posługiwanie się nimi w życiu społecznym (towarzyskim, urzędowym, handlowym itd.).
NSA zgodził się z ogólnym poglądem wyrażonym w uzasadnieniu uchylonego wyroku, iż posłużenie się imieniem i nazwiskiem, a więc ujawnienie (przetworzenie) danych osobowych określonej osoby przy zwróceniu się do niej w miejscu publicznym nie musi jeszcze stanowić samo w sobie naruszenia RODO, lecz wyrażony przez WSA w Warszawie wniosek jest jednak zbyt ogólny, aby miał charakter uniwersalny
i pozwalał tym samym na oddalenie skargi. Już w wyroku z 8 listopada 2012 r., sygn. I CSK 190/1247 Sąd Najwyższy wskazał, że trudno jest jednoznacznie przesądzić, czy udostępnienie imienia i nazwiska osoby fizycznej przez jednostkę samorządu terytorialnego narusza jej prawa do prywatności. Problem ten może być rozstrzygnięty jedynie na tle konkretnych okoliczności sprawy, na tle ustalonego stanu faktycznego. Istotne jest powiązanie tych danych osobowych tj. imienia i nazwiska ze wspomnianymi wyżej specyficznymi cechami zbioru (np. wynikającymi z akt osobowych pracownika lub mających stanowić część takich akt – pokazujących miejsce i przebieg stosunku pracy, począwszy od rozpoczęcia zatrudnienia, aż po jego zakończenie). O ile zatem zwrócenie się samym imieniem i nazwiskiem do osoby
w miejscu publicznym i to nawet w obecności innych osób nie musi wiązać się
z naruszeniem RODO, to już powiązanie tych danych z innymi informacjami może takie naruszenie kreować. Istotny jest więc kontekst treściowy i sytuacyjny, w ramach którego administrator danych użył imienia i nazwiska zwracając się do konkretnej osoby w miejscu publicznym oraz w obecności innych osób (jak wskazano wyżej nie dotyczy to użycia tych danych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze). W konsekwencji, mając na uwadze, że WSA
w Warszawie nie wyraził, jaki stan faktyczny przyjął na potrzeby dokonania oceny niniejszej sprawy, nie sposób ocenić (in concreto), czy doszło do naruszenia RODO.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Skargę Spółki należało uwzględnić, natomiast skargę Skarżącego należało oddalić.
Na podstawie art. 1 § 1-2 ustawy z 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2024 r. poz. 1267) sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej sprawowaną pod względem zgodności z prawem. Zgodnie z art. 134 § 1 ustawy z 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935, dalej: p.p.s.a.) sąd przy rozstrzyganiu sprawy nie jest związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną.
Jednocześnie stosownie do treści art. 190 zd. 1 p.p.s.a. Sąd jest związany wykładnią prawa dokonaną w tej sprawie przez NSA w wyroku z 23 lutego 2024 r. (sygn. akt III OSK 3838/21).
Jak zasadnie wskazał NSA w powyższym wyroku, przepisy RODO mają zastosowanie w stanie faktycznym niniejszej sprawy. Przedmiotowy zakres zastosowania przepisów RODO został określony w aspekcie pozytywnym w art. 2 ust. 1 RODO, zgodnie z którym RODO ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych. Należy rozróżnić dwa rodzaje relewantnych procesów przetwarzania danych osobowych kwalifikujących je do objęcia zakresem ochronnym RODO. Pierwszy to przetwarzanie danych osobowych odbywające się w sposób zautomatyzowany lub częściowo zautomatyzowany bez związku z tym, czy dane w ten sposób przetwarzane staną się lub mają (mogą) stać się częścią zbioru. Drugi natomiast to przetwarzanie w sposób inny niż zautomatyzowany, jednakże wówczas, gdy dane w ten sposób przetwarzane stanowią część zbioru danych lub mają (mogą) stanowić część zbioru danych" (por.
E. Bielak-Jomaa [red.], D. Lubasz [red.], RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, pkt 7 komentarza do art. 2 RODO). Z przepisu tego wynika więc, że przetwarzanie danych, które odbywa się w sposób niezautomatyzowany (ręcznie), a jednocześnie przetwarzane dane nie stanowią (lub nie mają stanowić) zbioru, nie jest objęte zakresem przedmiotowym RODO.
Zasada poszanowania życia prywatnego zagwarantowana w art. 7 KPP
w kontekście przetwarzania danych osobowych wymaga, aby odstępstwa od ochrony danych osobowych i jej ograniczenia były stosowane jedynie wtedy, gdy jest to absolutnie konieczne, a wykładnia regulujących je przepisów powinna być dokonywana przez pryzmat praw podstawowych zawartych w KPP i w sposób ścisły (por. wyrok Trybunału Sprawiedliwości UE z 30 stycznia 2024 r., sygn. C-118/22). Przetwarzanie, o którym mowa w art. 2 ust. 1 RODO zostało definicyjnie ujęte szeroko i czynnościowo jako operacja lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taka jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie (art. 4 ust. 2 RODO). Jednocześnie zbiór danych to uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie (art. 4 pkt 6 RODO).
W świetle tej definicji zbiorem danych jest zestaw informacji spełniający następujące kryteria:
1) musi to być zestaw informacji stanowiących dane osobowe w rozumieniu przepisu art. 4 pkt 1 RODO,
2) zestaw tych danych musi być uporządkowany, a zatem musi mieć określoną strukturę,
3) dane osobowe zawarte w tym zestawie informacji dostępne być muszą według określonych kryteriów
(por. E. Bielak-Jomaa [red.], D. Lubasz [red.], op. cit., s. 210).
Dopełnieniem przedstawionych powyżej kryteriów jest wskazanie, że na fakt istnienia zbioru danych nie ma wpływu to, czy zestaw ten jest scentralizowany, zdecentralizowany albo rozproszony funkcjonalnie lub geograficznie. Przy współczesnych możliwościach technicznych kwestia miejsca faktycznego położenia danych tworzących zbiór nie ma charakteru zasadniczego, podobnie jak podział funkcjonalny. Zbiór może być scentralizowany, tzn., dane mogą być skupione
w jednym miejscu albo zdecentralizowany, tzn. dane mogą być skupione w różnych miejscach, co nie przeszkadza ich traktować jako jeden zbiór danych. Wskazać należy także, że do przetwarzana danych osobowych wykorzystywane są tzw. rozproszone bazy danych, których charakterystyczną cechą jest to, iż mimo, że dane znajdują się w wielu miejscach, to traktowane są one jako jedna logiczna całość. Zatem aby określone dane mogły być kwalifikowane jako zbiór lub jako jego część muszą być nośnikiem informacji charakterystycznych lub specyficznych dla tego zbioru np. dane dotyczące miejsca zatrudnienia, przebiegu zatrudnienia, badań lekarskich.
Sąd w niniejszym składzie przyjął ponadto w ślad za NSA, że w niniejszej sprawie - jak słusznie wskazał Prezes UODO - Spółka pełniła rolę administratora danych osobowych Skarżącego oraz przetwarzała je jako dane osobowe swojego pracownika. Okoliczność wypowiedzenia umowy o pracę była ściśle związana z wiążącym strony stosunkiem pracy.
Pracodawca prowadzi oddzielnie dla każdego pracownika akta osobowe (§ 2 rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej z 10 grudnia 2018 r.
w sprawie dokumentacji pracowniczej; Dz.U. z 2018 r., poz. 2369; dalej: rozporządzenie Ministra Pracy). Zestaw akt osobowych pracowników stanowi wskazany w art. 4 pkt 6 RODO zbiór danych osobowych, ponieważ zawiera dane osobowe zatrudnionych, ma określoną strukturę oraz jest dostępny według określonych kryteriów. Oświadczenia lub dokumenty związane z rozwiązaniem lub wygaśnięciem stosunku pracy przechowuje się w części C akt osobowych pracownika (§ 3 pkt 3 rozporządzenia Ministra Pracy). W związku z powyższym należy wskazać, że dane osobowe zawarte w wypowiedzeniu umowy o pracę stanowią część zbioru danych prowadzonego przez Spółkę, a w konsekwencji - podlegają regulacjom RODO na podstawie art. 2 ust. 1 RODO.
Za podstawę przetwarzania danych pracowniczych, o której mowa w art. 6 ust. 1 lit. f RODO, należy uznać dbanie o dobro zakładu pracy, sprawność i efektywność jego funkcjonowania, a także zapewnienie bezpieczeństwa pracowników i innych osób przebywających na terenie zakładu pracy, w tym zapewnienie przez pracodawcę bezpiecznych i higienicznych warunków pracy zgodnie z dyspozycją art. 207 k.p. (por. A. Sobczyk, Processing employee data under art. 6 paragraph 1 point f) GDPR (Przetwarzanie danych pracowniczych na podstawie art. 6 ust. 1 lit. f RODO), "Praca
i zabezpieczenie społeczne" 12/2018, str. 10-15). Interes pracodawcy, który jest przedsiębiorcą i jednocześnie administratorem danych osobowych oraz interes pracowników często jest wspólny. Dlatego pracodawca jest uprawniony zwłaszcza
w pewnych zawodach do ujawniania m.in. służbowego adresu e-mail czy imienia
i nazwiska pracownika.
W doktrynie zauważono, że podstawowe dane osobowe człowieka (imię
i nazwisko) są jego dobrem osobistym, ale jednocześnie są dobrem powszechnym
w tym znaczeniu, że istnieje publiczna zgoda na posługiwanie się nimi w życiu społecznym - towarzyskim, urzędowym, handlowym itd. (zob. M. Pieńczykowski, Ochrona danych osobowych jako negatywna przesłanka udostępniania informacji publicznej, ZNSA 2/2018, str. 75). Posłużenie się imieniem i nazwiskiem, a więc ujawnienie (przetworzenie) danych osobowych określonej osoby przy zwróceniu się do niej w miejscu publicznym nie musi jeszcze stanowić samo w sobie naruszenia RODO. Kluczową przesłankę oceny, czy in concreto doszło do naruszenia ochrony danych osobowych, stanowi kontekst ich przetwarzania (zob. wyrok Sądu Najwyższego z 8 listopada 2012 r., sygn. akt I CSK 190/12, oraz aprobująca glosa
A. Jakubowskiego, S. Gajewskiego, ST 9/2013, str. 84-90). Problem ten może być rozstrzygnięty jedynie na tle konkretnych okoliczności sprawy, na tle ustalonego stanu faktycznego; istotne jest powiązanie danych osobowych (np. imienia i nazwiska) ze wspomnianymi wyżej specyficznymi cechami zbioru (np. wynikającymi z akt osobowych pracownika lub mających stanowić część takich akt – pokazujących miejsce i przebieg stosunku pracy, począwszy od rozpoczęcia zatrudnienia, aż po jego zakończenie). O ile zatem zwrócenie się samym imieniem i nazwiskiem do osoby
w miejscu publicznym i to nawet w obecności innych osób nie musi wiązać się
z naruszeniem ochrony danych osobowych, to już powiązanie tych danych z innymi informacjami może takie naruszenie kreować.
Jednakże Sąd nie jest w stanie dokonać hinc et nunc pełnej subsumpcji norm prawa materialnego, ponieważ Prezes UODO nie ustalił prawidłowo stanu faktycznego sprawy, nie podoławszy obowiązkom określonym w art. 7, art. 77 § 1, art. 80 oraz art. 103 § 3 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o.
Na podstawie art. 7 ust. 1 u.o.d.o. w sprawach nieuregulowanych w u.o.d.o. do postępowań administracyjnych prowadzonych przed Prezesem UODO, o którym mowa w rozdziale 7 u.o.d.o., stosuje się k.p.a.
Stosownie do treści art. 7 k.p.a. w toku postępowania organy administracji publicznej stoją na straży praworządności, z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. Przepis art. 77 § 1 k.p.a. stanowi, że organ administracji publicznej jest obowiązany
w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy. Natomiast wedle art. 80 k.p.a., organ administracji publicznej ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona.
Rację ma Spółka, twierdząc, że Prezes UODO dokonał dowolnej, a nie swobodnej oceny materiału dowodowego. Z uzasadnienia zaskarżonej decyzji nie wynika, w oparciu o jaki materiał dowodowy Prezes UODO ustalił, że Spółka udostępniła osobom znajdującym się w poczekalni biura poseł A. M. dane osobowe Skarżącego w zakresie informacji o wypowiedzeniu mu umowy o pracę bez wypowiedzenia. W szczególności nie jest jasne, dlaczego Prezes UODO uznał, że osoby trzecie usłyszały treść rozmowy między przedstawicielami Spółki
a Skarżącym. Co prawda Prezes UODO objaśnił, że stan faktyczny sprawy zrekonstruował na podstawie skargi Skarżącego z [...] października 2018 r. oraz dołączonych do nich oświadczeń, wyjaśnień Spółki z [...] listopada 2018 r. oraz notatki M. Z. z [...] sierpnia 2018 r. Z uzasadnienia zaskarżonej decyzji nie sposób jednak wywieść, w jaki sposób Prezes UODO ustosunkował się do wniosku Spółki
o przeprowadzenie dowodu z oświadczenia P. S. z [...] listopada 2018 r. oraz z zeznań świadków M. Z. i A. P.
W świetle art. 78 § 1 k.p.a. żądanie strony dotyczące przeprowadzenia dowodu należy uwzględnić, jeżeli przedmiotem dowodu jest okoliczność mająca znaczenie dla sprawy. Zgodnie z art. 78 § 2 k.p.a. organ administracji publicznej może nie uwzględnić żądania, które nie zostało zgłoszone w toku przeprowadzania dowodów lub w czasie rozprawy, jeżeli żądanie to dotyczy okoliczności już stwierdzonych innymi dowodami, chyba że mają one znaczenie dla sprawy. Organ nie jest związany wnioskiem dowodowym strony, jednak wniosek ten powinien ocenić pod kątem tego, czy okoliczność będąca przedmiotem dowodu ma znaczenie dla sprawy, a wynik tej oceny powinien znaleźć odzwierciedlenie w uzasadnieniu (por. wyroki NSA z 7 lutego
2007 r., sygn. akt I OSK 343/06, i z 15 czerwca 2010 r., sygn. akt II OSK 991/09). Odmowa uwzględnienia wniosku powinna być poparta twierdzeniami wskazującymi na to, że jego przedmiotem w istocie są okoliczności stwierdzone innymi dowodami i nie mają znaczenia dla sprawy (por. wyrok WSA we Wrocławiu z 28 maja 2019 r., sygn. akt
II SA/Wr 89/19). Analiza akt administracyjnych niniejszej sprawy wskazuje, iż Prezes UODO postąpił wbrew powyższym regułom. Tymczasem strona jest równorzędnym partnerem organu w zakresie prawa do inicjowania dowodów. Zaniechanie przez organ czynności procesowych zmierzających do pełnego rozpatrzenia materiału dowodowego, zwłaszcza gdy strona powołuje się na określone i ważne okoliczności, jest uchybieniem przepisom postępowania administracyjnego, skutkującym wadliwością decyzji (por. wyrok WSA we Wrocławiu z 17 listopada 2009 r., sygn. akt III SA/Wr 325/09). Powyższa konstatacja nabiera szczególnej ważkości w sytuacji,
w której strony postępowania mają sprzeczne interesy, co miało miejsce w niniejszej sprawie. Również prezentowane przez Spółkę i Skarżącego wersje zdarzeń mających kluczowe znaczenie dla wyniku sprawy nie dały się ze sobą pogodzić. Rolą organu było zatem przeanalizowanie wniosków dowodowych stron. Proces myślowy organu powinien znaleźć odzwierciedlenie w uzasadnieniu zaskarżonej decyzji zgodnie
z dyspozycją art. 107 § 3 k.p.a.
Skarga do sądu administracyjnego nie ma charakteru dewolutywnego. Należy pamiętać o tym, że w obecnym stanie prawnym sądy administracyjne dokonują kontroli, a nie nadzoru działalności administracji publicznej, dlatego nie mogą jej wyręczać w wykonywaniu prawem przepisanych obowiązków. W szczególności sąd administracyjny nie dysponuje całokształtem instrumentarium dowodowego, który pozostaje do dyspozycji organu administracji publicznej, ponieważ orzeka na podstawie akt sprawy, a dowody może przeprowadzać jedynie uzupełniająco i jedynie z dokumentów. To rolą organu jest ustalenie stanu faktycznego sprawy odpowiednio do nakazów wynikających z k.p.a.
Ponownie rozpatrując sprawę, Prezes UODO - stosownie do podanych wyżej wytycznych - dokona pełnego i niebudzącego wątpliwości ustalenia stanu faktycznego sprawy, a następnie podda go dogłębnej analizie prawnej. Oceniając wszechstronnie zgromadzony materiał dowodowy, powoła w uzasadnieniu decyzji fakty, które uznał za udowodnione, i dowody, na których się oparł, oraz wskaże przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Zważy przy tym, że decyzja nie może pozostawiać wątpliwości co do zasadności przesłanek, którymi organ kierował się, załatwiając sprawę w określony sposób.
Sąd jednocześnie oddalił skargę Skarżącego, co wynikało z zakresu jej zaskarżenia.
W piśmie inicjującym postępowanie przed Prezesem UODO Skarżący domagał się podjęcia wszelkich działań zmierzających do usunięcia opisywanych naruszeń oraz o rozważenie wszczęcia postępowania sądowego przeciwko reprezentantom Spółki z tytułu naruszenia przepisów u.o.d.o. Sąd pragnie zauważyć, że w pkt. 1 zaskarżonej decyzji Prezes UODO udzielił Spółce upomnienia - rozpoznał zatem skargę w zakresie swojej właściwości, korzystając z kompetencji określonej w art. 58 ust. 1 lit. b RODO. Nie uznał jednak za celowe zastosować art. 98 ust. 1 u.o.d.o., zgodnie z którym
w sprawach o roszczenia z tytułu naruszenia przepisów o ochronie danych osobowych, które mogą być dochodzone wyłączenie w postępowaniu przed sądem, Prezes UODO może wytaczać powództwa na rzecz osobowy, której dane dotyczą, za jej zgodą. Decyzja o skorzystaniu z powyższego uprawnienia ma charakter uznaniowy, a nie związany - tym bardziej osobistym przekonaniem Skarżącego.
W ocenie Sądu pozostałe zarzuty Skarżący ukierunkował tak naprawdę na pkt. 1 zaskarżonej decyzji mimo tego, że zaskarżył jedynie pkt. 2. W związku z powyższym jego skargę należało oddalić jako bezzasadną, jakkolwiek Sąd, przyznając rację Spółce co do zarzutów naruszenia przepisów postępowania, przyznał ją również Skarżącemu.
Mając powyższe na uwadze, Sąd orzekł na podstawie art. 145 § 1 pkt 1 lit. c p.p.s.a. jak w pkt. 1 sentencji, na podstawie art. 151 p.p.s.a. jak w pkt. 2 sentencji oraz na podstawie art. 200 w zw. z art. 205 § 2 p.p.s.a. jak w pkt. 3 sentencji.
Na poczet poniesionych przez Spółkę kosztów postępowania Sąd zaliczył uiszczony wpis od skargi w wysokości 200 zł oraz wynagrodzenie pełnomocnika skarżącego w wysokości 480 zł na podstawie § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz.U. z 2023 r., poz. 1935 ze zm.).