II SA/Wa 659/24

II SA/Wa 659/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-11-25
orzeczenie nieprawomocne
Data wpływu
2024-05-06
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Wieczorek /sprawozdawca/
Izabela Głowacka-Klimas
Łukasz Krzycki /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2024 poz 935
art. 145 § 1 pkt 1 lit. a, c
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Andrzej Wieczorek (spr.), , Protokolant referent Joanna Mazur, po rozpoznaniu na rozprawie w dniu 25 listopada 2024 r. sprawy ze skargi [...] sp. z o.o. z siedzibą [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych 1) uchyla zaskarżoną decyzję; 2) zasadza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz strony skarżącej [...] sp. z o.o. z siedzibą [...] kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (dalej Prezes UODO/ Organ) decyzją z dnia [...] lutego 2024 roku nr [...] (dalej Decyzja) w związku przetwarzaniem danych osobowych Pana E. D. (dalej Uczestnik) udzielił upomnienia Spółce [...] Spółka z ograniczoną odpowiedzialnością w [...] (dalej Spółka/Skarżący).
Prezes UODO stwierdził, że Uczestnik złożył skargę, na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę, polegające na udostępnieniu danych osobowych Uczestnika zawartych w porozumieniu dotyczącym zwolnienia ze świadczenia pracy na rzecz Pana T. B.
Prezes UODO ustalił następujący stan faktyczny:
1. Dnia [...] lutego 2023 r. Uczestnik otrzymał wiadomość mailową od swojego przełożonego tj. Pana P. B. (dalej przełożony Uczestnika).
2. Wiadomość mailowa była przesłana do wiadomości Pana T. B.). W wiadomości poinformowano Uczestnika o nieprzedłużeniu mu umowy o pracę. Do wiadomości mailowej została załączona treść porozumienia dotyczącego zwolnienia z pracy.
3. Spółka wyjaśniła, że celem udostępnienia danych Uczestnika Panu T. B. było przeprowadzenie i zakończenie procesu rozwiązania umowy o pracę z Uczestnikiem pod nieobecność przełożony Uczestnika. Przełożony Uczestnika był poza biurem a Pan T. B. zastępował go. Zgodnie z umową o pracę Pan T. B. jest upoważniony do samodzielnego działania pod nieobecność przełożonego Uczestnika (do zadań Pana T. B. należało m.in. "...Inne zadania powierzone przez Pracodawcę").
Prezes UODO stwierdził, że przedmiotem niniejszego postępowania jest ocena legalności udostępnienia danych osobowych Uczestnika zawartych w porozumieniu dotyczącym zwolnienia ze świadczenia pracy na rzecz Pana T. B., tj. osoby, która zastępowała przełożonego Uczestnika, w czasie jego nieobecności. W ocenie Organu mamy do czynienia z przetwarzaniem danych o których mowa w art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35; dalej; RODO), zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazana w tym przepisie. Katalog przesłanek zawartych w tym przepisie ma charakter zamknięty, zaś każda z nich jest przesłanką autonomiczną i niezależną. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO.
W ocenie Organu, Spółka wykonując swoje obowiązki związane z rozwiązywaniem umowy o pracę, a także nieprzedłużaniem tej umowy, jest związany przepisami prawa, w szczególności przepisami prawa pracy uregulowanymi w ustawie z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz. U. z 2023 r. poz. 1465). Przepisy kodeksu pracy określają sposób postępowania pracodawców przy wypowiadaniu pracownikowi umowy o pracę. Nie przewidują one uprawnienia pracodawcy do dokonywania powyższej czynności w obecności innych pracowników. Spółka posiada status administratora i z tego względu jest on zobowiązany przestrzegać zasad wynikających z przepisów RODO. Informacje dotyczące pracowników, w tym dotyczące określonych zdarzeń takich jak wypowiedzenie umowy o pracę, czy też jej rozwiązanie, może być dostępne jedynie dla ograniczonego kręgu osób u danego pracodawcy. Do osób takich należą najczęściej osoby zarządzające w imieniu pracodawcy zakładem pracy, przełożeni danego pracownika, osoby prowadzące sprawy osobowe, zatrudnienia i płac, radcy prawni świadczący dla pracodawcy pomoc prawną czy też przedstawiciel związku zawodowego, do którego to związku dany pracownik należy. Osoby te w ramach wykonywanych obowiązków są najczęściej upoważnione do przetwarzania danych innych pracowników, ponieważ wiąże się to ściśle z zakresem zadań, jakie wykonują one w danym zakładzie pracy.
W ocenie Prezesa UODO, zakres obowiązków służbowych Pana T. B. nie obejmuje prawa do wykonywania czynności w imieniu Spółki z zakresu rozwiązywania umów o pracę z innymi pracownikami Spółki. Zdaniem organu, uwzględnienie w umowie o pracę Pana T. B. prawa do autonomicznych działań w przypadku nieobecności Senior Sales Managera nie oznacza, że w zakres tego pojęcia wchodzą czynności z zakresu spraw pracowniczych jakim jest np. wypowiedzenie bądź rozwiązania umowy o pracę. Z zebranego materiału dowodowego nie wynika także, aby Pan T. B. był upoważniony do przetwarzania danych Uczestnika z zakresu spraw pracowniczych (kadrowych). Prezes UODO stwierdził, że w tym przypadku sama umowa o pracę nie upoważnia pracownika (tu: Pana T. B.) do przetwarzania danych osobowych innych pracowników (tu: Skarżącego).
Uzasadniając swoje stanowisko Prezes UODO stwierdził, że Pan T. B. nie zajmował, w chwili zapoznania go z informacjami dotyczącymi Skarżącego, stanowiska zastępcy Pana P. B., tj. nie zastępował go w pełnieniu obowiązków. Okoliczność pełnienia funkcji zastępcy nie wynika również z przedstawionej przez Spółkę argumentacji wskazującej na to, że Pan T. B. był upoważniony do samodzielnego działania pod nieobecność Managera Sales Business Development. Z takiego sformułowania, którym posłużyła się Spółka wskazując na upoważnienie Pana T. B. zdaniem organu wynika wyłącznie to, że Pan T. B. może działać we własnym imieniu w ramach posiadanego zakresu zadań i obowiązków bez konieczności wykonywania przez Pana P. B. roli przełożonego, a nie pełnić tę rolę względem pozostałych pracowników, dla których Pan P. B. jest przełożonym.
Mając na uwadze powyższe, Prezes UODO wskazał, że udostępnienie przez Spółkę (która odpowiada za działania swojego pracownika) danych osobowych Skarżącego zawartych w porozumieniu dotyczącym zwolnienia ze świadczenia pracy na rzecz Pana T. B. nie miało swojej podstawy w przepisach art. 6 ust. 1 RODO. Przedmiotowe zdarzenie naruszyło również zasadę określoną w art. 5 ust. 1 lit. a RODO, który stanowi, że dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą.
Wobec powyższego Prezes UODO, uznał, że w realiach niniejszej sprawy właściwe jest zastosowanie wobec Spółki upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 6 ust. 1 oraz art. 5 ust. 1 lit. a RODO, polegające na udostępnieniu danych osobowych Uczestnika na rzecz osoby nieuprawnionej.
Skargę na powyższą decyzję wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie Skarżący, zarzucając naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj.:
a) art. 6 ust. 1 RODO oraz art. 5 ust. 1 a) RODO polegające na ich niewłaściwym zastosowaniu i przyjęciu, że z racji na brak (w ocenie Organu) wyraźnego upoważnienia dla T. B., Skarżący nie legitymuje się podstawą prawną do przetwarzania danych osobowych i w rezultacie narusza zasadę zgodności z prawem, rzetelności i przejrzystości, podczas gdy Skarżący dysponował jasną podstawą prawną do przetwarzania danych osobowych Uczestnika i zapewniał zgodność z prawem, rzetelność i przejrzystość przetwarzania danych, co nie było negowane przez ocenę Organu w zakresie rzekomego braku upoważnienia,
b) art. 5 ust. 1 a) w zw. żart. 29 RODO i przepisami Kodeksu pracy (Organ nie wskazał w Decyzji, do których przepisów konkretnie się odnosi) polegające na niewłaściwym zastosowaniu i przyjęciu, że Skarżący był zobowiązany do wyraźnego wskazania w osobnym upoważnieniu dla pracownika zastępującego przełożonego Uczestnika uprawnienia do wykonywania czynności w imieniu Skarżącego z zakresu rozwiązywania umów o pracę z innymi pracownikami Skarżącego, podczas gdy uprawnienie do takich czynności wynikało bezpośrednio z zakresu umowy o pracę oraz polecenia przełożonego i taka forma była dopuszczalna zarówno w świetle przepisów RODO, jak i Kodeksu pracy,
c) art. 58 ust. 2 lit. b w zw. z art. 6 ust. 1 RODO i art. 5 ust. 1 a RODO poprzez niewłaściwe zastosowanie i przyjęcie, że Skarżący naruszył przepisy RODO i zasadne było wydanie upomnienia w stosunku do Skarżącego, podczas gdy Skarżący nie dopuścił się naruszenia przepisów o ochronie danych osobowych, przez co wydanie Decyzji było niezasadne.
II. Na podstawie art. 57 § 1 pkt 3 wzw. z art. 145 § 1 pkt 1) lit. c) p.p.s.a. zaskarżonej Decyzji zarzucam naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj.
a) art. 7, art. 77 § 1, art. 80 w zw. z art. 8 ustawy z dnia 14.06.1960 r. - Kodeks postępowania administracyjnego (dalej K.P.A.) w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych z 10 maja 2018 r. roku (dalej u.o.d.o.), poprzez zaniechanie dokładnego wyjaśnienia stanu faktycznego sprawy i prowadzenie postępowania wbrew regułom nakazującym wyczerpujące zebranie i rozpatrzenie materiału dowodowego oraz ocenę jego całokształtu, jak również wbrew zasadzie prowadzenia postępowania w sposób budzący zaufanie strony do organów władzy publicznej, co skutkowało całkowitym pominięciem przez Organ większości argumentów podniesionych przez Skarżącego w toku postępowania administracyjnego i błędnym uznaniem, że T. B. nie był upoważniony do przetwarzania danych osobowych Uczestnika,
b) art. 7 w zw. z art. 77 § 1 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o. przez zaniechanie podjęcia wszelkich czynności niezbędnych do wyczerpującego zebrania materiału dowodowego, polegające w szczególności na nieprzeprowadzeniu dowodu z zeznań świadków P. B., T. B. i nieprzeprowadzenia dowodu z przesłuchania strony (Skarżącego), podczas gdy jest oczywiste, że osoby te miały wiedzę istotną dla prawidłowego rozstrzygnięcia sprawy, w szczególności w zakresie faktu i zakresu upoważnienia udzielonego T. B., - co skutkowało błędnym uznaniem, że T. B. nie był upoważniony do przetwarzania danych osobowych E. D.
c) art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o. przez zaniechanie sporządzenia uzasadnienia, które w wyczerpujący sposób odnosiłoby się do ustalonego stanu faktycznego i wyjaśniałoby podstawę prawną Decyzji. W uzasadnieniu Organ nie tylko pominął całkowitym milczeniem większość argumentów podniesionych przez Skarżącego w toku postępowania administracyjnego, ale również nie wykazał na jakiej podstawie formułuje i egzekwuje obowiązek legitymowania się przez Skarżącego pisemnym upoważnieniem do przetwarzania danych osobowych, co skutkuje tym, że uzasadnienie Decyzji nie pozwala na skontrolowanie poprawności rozstrzygnięcia sprawy, a tym samym czyni w stopniu istotnym wątpliwym poprawność przeprowadzenia postępowania wyjaśniającego w sprawie.
W ocenie Skarżącej dysponowała ona podstawą prawną do przetwarzania danych osobowych Uczestnika, w postaci realizacji umowy o pracę z podmiotem danych (art. 6 ust. 1 lit b RODO) oraz wypełniania obowiązków prawnych pracodawcy określonych w Kodeksie pracy (art. 6 ust. 1 lit. c RODO). Podstawy prawne przetwarzania danych osobowych zostały jasno przekazane Uczestnikowi i potwierdził on otrzymanie tych informacji. W ocenie Skarżącej nawet sam Organ nie kwestionował powyższych okoliczności w trakcie postępowania. Mimo to, opierając się na własnej ocenie upoważnienia T. B. (która została przeprowadzona wadliwie). Organ ostatecznie przyjął błędną konkluzję, że nie istniały podstawy prawne przetwarzania danych (tak, jakby kwestia upoważnienia niejako "anulowała" istnienie tych podstaw). Innymi słowy, nawet jeśli Organ przyjął, że upoważnienie dla Pana T. B. było niewystarczające (z czym oczywiście nie zgadza się Skarżący), to w tym przypadku nie mogło to przecież prowadzić do wniosku, że przetwarzanie danych osobowych było niezgodne z prawem lub że Skarżący (pracodawca) nie miał dla niego podstawy prawnej. Uzasadnienie Decyzji nie wyjaśnia jakkolwiek w jaki sposób Organ dotarł do powyższej konkluzji (i jak powiązał kwestię upoważnienia z rzekomym naruszeniem art. 5 i 6 RODO), co uniemożliwia weryfikację i ocenę jego argumentacji, a tym samym zasadności rozstrzygnięcia.
W ocenie Skarżącej nie doszło do przetwarzania danych osobowych przez przypadkową (nieupoważnioną) osobę. Pracownik Skarżącego przetwarzający dane był do tego upoważniony w związku ze swoimi obowiązkami pracowniczymi, jak również na podstawie bezpośredniego polecenia swojego pracodawcy (Skarżącego).
W związku z powyższym wnosił o uchylenie Decyzji w całości; o rozpoznanie przedmiotowej sprawy na rozprawie i zasądzenie kosztów postepowania.
W odpowiedzi na skargę organ podtrzymał stanowisko.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga zasługuje na uwzględnienie.
Przedmiotem skargi jest decyzja Organu z dnia [...] lutego 2024 roku nr [...] mocą, której udzielono upomnienia Skarżącej w związku przetwarzaniem danych Uczestnika.
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (t.j. z dnia 2 grudnia 2022 r., Dz. U. z 2022 r., poz. 2492), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności.
Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. z dnia 8 lutego 2023r., Dz. U. z 2023 r., poz. 259 -zwaną dalej P.p.s.a.").
Organ ustalił, że dnia 20 lutego 2023 r. Uczestnik otrzymał wiadomość mailową od swojego przełożonego tj. Pana P. B. Wiadomość mailowa była przesłana do wiadomości Pana T. B.). W wiadomości poinformowano Uczestnika o nieprzedłużeniu mu umowy o pracę. Do wiadomości mailowej została załączona treść porozumienia dotyczącego zwolnienia z pracy. Spółka wyjaśniła, że celem udostępnienia danych Uczestnika Panu T. B. było przeprowadzenie i zakończenie procesu rozwiązania umowy o pracę z Uczestnikiem pod nieobecność przełożonego Uczestnika. Przełożony Uczestnika był poza biurem a Pan T. B. zastępował go. Zgodnie z umową o pracę Pan T. B. jest upoważniony do samodzielnego działania pod nieobecność przełożonego Uczestnika (do zadań Pana T. B. należało m.in. "...Inne zadania powierzone przez Pracodawcę").
Przedmiotem niniejszego postępowania jest ocena legalności udostępnienia danych osobowych Uczestnika zawartych w porozumieniu dotyczącym zwolnienia ze świadczenia pracy na rzecz Pana T. B., tj. osoby, która zastępowała przełożonego Uczestnika, w czasie jego nieobecności. W ocenie Organu mamy do czynienia z przetwarzaniem danych o których mowa w art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35; dalej; RODO), zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazana w tym przepisie. Katalog przesłanek zawartych w tym przepisie ma charakter zamknięty, zaś każda z nich jest przesłanką autonomiczną i niezależną.
W ocenie Organu udostępnienie treści e-mail zawierającego stanowisko Spółki co dalszego świadczenia pracy i dane osobowe Uczestnika nie znajduje podstawy prawnej w świetle art. 6 ust. 1 RODO, a ponadto prowadzi do naruszenia określonej w art. 5 ust. 1 lit. a RODO zasady zgodności z prawem, rzetelności i przejrzystości.
W ocenie organu z przedłożonego zakresu obowiązków Pana T. B. wynika, że był on upoważniony do podejmowania działań "gospodarczych" a nie miał upoważnienia do działań związanym ze świadczeniem pracy przez pracowników – Uczestnika oraz, że przełożony Uczestnika nie miał prawa do przekazywania swoich kompetencji w wyżej powołanym zakresie. W ocenie Organu czynności związane ze zwalnianiem pracowników w skarżącej spółce może wykonywać wyłącznie pracownik, który ma odpowiednie uprawnienie wpisane wprost we właściwym upoważnieniu lub umowie o pracę.
W ocenie Spółki dane osobowe Uczestnika były przetwarzane przez T. B., działającego w imieniu Skarżącego będącego pracodawcą, przez co pełniącego także rolę administratora danych w stosunku do danych Uczestnika.
W ocenie Sądu podejmując czynności dotyczące rozwiązana umowy o pracę z Uczestnikiem (w tym obejmujące doręczenie Uczestnikowi informacji opisującej warunki zakończenia współpracy między stronami) Skarżący (jako pracodawca Uczestnika) działał jako administrator danych Uczestnika. W rezultacie, ważność podstaw prawnych przetwarzania danych Uczestnika w przedmiotowej sprawie, związanego z czynnościami dotyczącymi rozwiązania umowy o pracę z Uczestnikiem, powinna być oceniania z perspektywy Skarżącego działającego jako pracodawca Uczestnika. Rozważania dotyczące formy upoważnienia Pana T. B., działającego w imieniu Skarżącego jako jego pracownik oraz w ramach swoich obowiązków pracowniczych nie może wpływać na ocenę podstawy prawnej przetwarzania danych przez pracodawcę w ramach procesu rozwiązywania umowy o pracę z Uczestnikiem. Skarżący w ramach udzielanych Organowi wyjaśnień wykazał, że przetwarza dane osobowe pracowników w celach określonych w oświadczeniu o ochronie prywatności, które jest dostępne dla wszystkich pracowników i które zostało skutecznie przekazane Uczestnikowi, który aktywnie potwierdził jego otrzymanie, jak wykazano w odpowiedziach udzielonych Organowi przez Skarżącego w trakcie postępowania administracyjnego. Informacje przekazywane za jego pośrednictwem odwołują się do szeregu podstaw prawnych w rozumieniu art. 6 ust. 1 RODO i wskazują szczegółowe cele realizowane przez Skarżącego. Realizacja czynności związanych z rozwiązywaniem umów o pracę z pracownikami Skarżącego, w tym obejmujące doręczenie informacji określającej warunki zakończenia współpracy między stronami, w ocenie Sądu pozostaje w zakresie czynności standardowych dla każdego pracodawcy w ramach podstaw przetwarzania danych związanych z realizacją umowy o pracę z podmiotem danych (art. 6 ust. 1 lit. b RODO) oraz obowiązków prawnych pracodawcy określonych w Kodeksie pracy (art. 6 ust. 1 lit. c RODO) i nie wykracza poza zakres informacji objętych ww. oświadczeniem, którego treść była wiadoma Uczestnikowi. Takie też podstawy prawne przetwarzania miały zastosowanie do przetwarzania danych Uczestnika będącego przedmiotem niniejszej sprawy.
W tym stanie rzeczy Skarżący, posiadał podstawę prawną do przetwarzania danych osobowych w rozumieniu art. 6 ust. 1 RODO, ponadto zachowana została zasada określona w art. 5 ust. 1 RODO.
W przedmiotowej sprawie Organ zasadnie zauważa, że określony, wąski katalog osób powinien być upoważniony do przetwarzania danych osobowych innych pracowników, jeśli wiąże się to ściśle z zakresem zadań, jakie wykonują one w danym zakładzie pracy. W przedmiotowym stanie faktycznym katalog osób jakie uzyskały dostęp do danych osobowych Uczestnika podlegał ścisłym ograniczeniom i był stosowny do realizowanych przez danych pracowników zadań. W ramach wyjaśnień składanych Organowi, w tym poprzez przekazanie kopii właściwej umowy o pracę T. B. (w aktach sprawy), zostało jasno wykazane (§1 ust. 2 Umowy o pracę na czas nieokreślony), że zadania tego pracownika obejmują m.in. zarządzanie podległym zespołem Account Managers / Business Development Sales, działania autonomiczne w przypadku nieobecności (Senior) Sales Managera oraz inne zadania powierzone przez Pracodawcę.
Zdaniem Sądu wskazane upoważnienie do autonomicznego działania w razie nieobecności przełożonego oznacza faktyczne zastępowanie przełożonego Pracownika i możliwość podejmowania różnych czynności celu umożliwienie efektywnego zastępstwa przełożonego w razie jego nieobecności.
Należy zauważyć, że zakres zadań T. B. obejmuje również "inne zadania zlecone przez Pracodawcę". Przełożony Uczestnika, tj. Manager Sales Business Development, wyraźnie wskazał w komunikacji do Uczestnika z [...] lutego 2023 r., że T. B. będzie zastępował go w czasie jego nieobecności i przeprowadzi w jego imieniu proces związany ze zwolnieniem Uczestnika. Tym samym, przełożony, stanowiący emanację woli pracodawcy i uprawniony do wydawania poleceń w jego imieniu, wyraźnie wskazał zlecenia dla T. B. kto i w jakim celu będzie realizować czynności związane z przetwarzaniem danych osobowych Uczestnika. W rezultacie, niezasadne jest twierdzenie, jakoby udostępnienie danych Uczestnika wykraczało poza dopuszczalny zakres lub nie znajdowało podstawy w treści umowy o pracę T. B. Co więcej, Organ nie wykazał w żaden sposób, że jego interpretacja przedstawionej treści umowy o pracę wynikała z jakkolwiek pogłębionej analizy standardów obowiązujących w innych zakładach pracy, wymogów prawa pracy lub wytycznych właściwych organów. W rezultacie, Organ przyjął błędne, za wąskie rozumienie jej treści I prowadzące do wniosku, że w rezultacie Skarżący naruszył wymogi art. 6 ust. 1 i art. 5 ust. 1 lit. a RODO
W ocenie Sądu, Skarżący nie dopuścił się naruszenia przepisów o ochronie danych osobowych. Tym samym, Organ nie był uprawniony do wydania upomnienia w przedmiotowej Decyzji i z tego powodu jest ona błędna.
Należy podzielić stanowisko Spółki, w zakresie zarzutu naruszenia art. 7, art. 77 § 1, art. 80 w zw. z art. 8 k.p.a. Organ naruszył te zasady skupiając się w tym postępowaniu de facto na jednym wątku, tj. czy T. B. był na podstawie umowy o pracę upoważniony do załatwiania spraw kadrowych, a jeżeli nie, to czy zgodnie z umową pełnił on funkcję zastępcy P. B. (na czas jego nieobecności). Organ doszedł do (błędnego) przekonania, że odpowiedź na te pytania jest negatywna i właściwie na tym zakończyła się jego analiza materiału dowodowego (a przynajmniej tak wynika z uzasadnienia Decyzji). Organ nie odniósł się w żaden sposób do pozostałych argumentów podnoszonych przez Skarżącego, w szczególności do prawa pracodawcy (Skarżącego) do delegowania uprawnienia do przeprowadzenia procesu rozwiązania umowy o pracę na rzecz T. B., kwestii posiadania przez Skarżącego podstaw prawnych do przetwarzania danych osobowych Uczestnika oraz tego, że zostały one zakomunikowane i potwierdzone przez Uczestnika, ponadto kwestii zapewnienia poufności informacji związanych z procesem rozwiązania umowy o pracę. Skarżącemu pozostaje jedynie zgadywać, czy Organ w ogóle wziął je pod uwagę.
Organ nie ustosunkował się do tego, że T. B. przetwarzał dane osobowe Uczestnika na i wyraźne polecenie swojego przełożonego. Nawet jeżeli Organ uznał, że T. B. nie zastępował w tym zakresie przełożonego na podstawie § 1.2 (e) umowy o pracę (w aktach sprawy), to Organ powinien był również uzasadnić, dlaczego w jego ocenie upoważnienie do przetwarzania danych nie mogło wynikać z bezpośredniego polecenia pracodawcy w rozumieniu § 1.2 (h) tejże umowy.
Organ całkowicie pominął argumentację Skarżącego dotyczącą oświadczenia o ochronie prywatności, które zostało przekazane Uczestnikowi, jak również fakt zobowiązania T. B. do zachowania poufności. W uzasadnieniu Decyzji Organ nie odnosił się do tych argumentów.
W ocenie Sądu nie ulega wątpliwości, że T. B. został upoważniony przez Skarżącego do przetwarzania danych Uczestnika. Organ nie ma jednak podstawy prawnej do formułowania obowiązku, że takie upoważnienie zostanie sporządzone w każdym przypadku na piśmie, skoro w okolicznościach tej sprawy Skarżący był w stanie wykazać, iż takie upoważnienie zostało udzielone.
Przepisy k.p.a. (w szczególności przepis art. 7 w zw. z art. 77 § 1 k.p.a.) statuują zasadę prawy obiektywnej, która zobowiązuje organ administracji publicznej do zebrania i rozpatrzenia materiału dowodowego w taki sposób, aby ustalić stan faktyczny sprawy zgodny z rzeczywistością. W tym kontekście jeżeli Organ powziął wątpliwość co do tego, czy T. B. został upoważniony do przetwarzania danych osobowych przez Skarżącego, co do zakresu obowiązków pracowniczych T. B. lub co do polecenia związanego z przetwarzaniem danych osobowych pod nieobecność P. B. to powinien był prowadzić dalsze postępowanie dowodowe w tym kierunku - w szczególności musiałoby ono polegać na dopuszczeniu i przeprowadzeniu dowodów z przesłuchania tych dwóch świadków, a także Uczestnika Skarżącego w charakterze strony. Uczestnik wielokrotnie w toku postępowania administracyjnego powoływał się na te okoliczności zwilżane z udzieleniem pełnomocnictwa jako istotne dla rozstrzygnięcia sprawy.
W ocenie Sądu uchybienia proceduralne, których dopuścił się Organ miały niewątpliwie istotny wpływ na treść Decyzji, gdyż ich skutkiem był brak należytego wyjaśnienia stanu faktycznego i prawnego sprawy, w tym wszczególności brak należytego rozważenia wszystkich wskazywanych w toku postępowania okoliczności, które w jasny sposób świadczą o tym, że Skarżący upoważnił T. B. do przetwarzania danych osobowych Uczestnika i Organ nie powinien łączyć kwestii oceny formy upoważnienia do przetwarzania danych osobowych dla konkretnej osoby fizycznej z kwestią skuteczności podstawy prawnej używanej przez Skarżącego oraz zasady zgodności z prawem, rzetelności i przejrzystości. Skarżący posiadał wyraźną podstawę prawną, która została skutecznie przekazana i potwierdzona przez Uczestnika, ponadto zapewniono realizację wymogów określonych w art. 5 ust. 1 lit. a RODO.
Nieprawidłowości w stosowaniu przepisów prawa materialnego przez Organ oznaczają bezpodstawne zawężenie zakresu pojęcia upoważnienia i bezpodstawne łączenie tej kwestii z przepisami art. 5 i 6 RODO. Organ bezpodstawnie oczekuje, że administrator w każdym przypadku będzie legitymował się odrębnym, pisemnym upoważnieniem do przetwarzania danych osobowych, podczas gdy przepisy RODO nie nakładają na administratorów tak restrykcyjnego obowiązku zbierania tego typu dokumentów - wymagają jedynie zapewnienia, że osoby przetwarzające dane osobowe robią to pod nadzorem i zgodnie z instrukcjami administratora.
Z tych przyczyn Wojewódzki Sąd Administracyjny na podstawie art. 145 § 1 pkt.1 lit. a i c. ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j.Dz. U. z 2024 poz.935 t.j. z dnia 2024.06.26) orzekł jak w sentencji wyroku.