II SA/WA 729/22

II SA/Wa 729/22 - Wyrok WSA w Warszawie
Data orzeczenia
2023-09-08
orzeczenie prawomocne
Data wpływu
2022-05-04
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Arkadiusz Koziarski.
Izabela Głowacka-Klimas
Sławomir Antoniuk /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2023 poz 1634
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk (spr.), Sędzia WSA Izabela Głowacka-Klimas, Asesor WSA Arkadiusz Koziarski, po rozpoznaniu w trybie uproszczonym w dniu 8 września 2023 r. sprawy ze skargi J. O. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO) decyzją z [...] marca 2022 r. nr [...]., na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735, z późn. zm.); zwanej dalej K.p.a., art. 6 ust. 1, art. 12 ust. 3 w zw. z art. 15 ust. 1, art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35); zwanego dalej RODO, po przeprowadzeniu postępowania administracyjnego w sprawie skargi J. O.; zwanego dalej skarżącym na nieprawidłowości w procesie przetwarzania jego danych osobowych przez M. K., prowadzącego działalność gospodarczą pod firmą [...], W. [...], [...]R., polegające na ich udostępnieniu na rzecz podmiotów trzecich, a także niespełnieniu obowiązku informacyjnego, wynikającego z art. 15 RODO:
1. nakazał M. K., prowadzącemu działalność gospodarczą pod firmą [...], W. [...], [...]R. spełnienie obowiązku informacyjnego, wynikającego z art. 12 ust. 3 w zw. z art 15 ust. 1 RODO, w zakresie udzielenia bez zbędnej zwłoki informacji o podjętych działaniach w związku ze złożonym [...] października 2020 r. żądaniem realizacji prawa dostępu do danych osobowych przez J. O.,
2. umorzył postępowanie w zakresie udostępnienia przez M. K., prowadzącego działalność gospodarczą pod firmą [...], W. [...], [...]R., danych osobowych J. O. w zakresie jego imienia i nazwiska na rzecz A. K. bez podstawy prawnej,
3. odmówił uwzględnienia wniosku w zakresie udostępnienia przez M. K., prowadzącego działalność gospodarczą pod firmą [...], W. [...], [...]R., danych osobowych J. O. w zakresie jego imienia i nazwiska na żądanie funkcjonariusza Policji w S. w ramach prowadzonego pod nadzorem Prokuratury Rejonowej w M. postępowania przygotowawczego wobec skarżącego bez podstawy prawnej.
W toku postępowania organ ustalił następujący stan faktyczny.
Do UODO wpłynęła skarga J. O. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez M. K., prowadzącego działalność gospodarczą pod firmą [...] , W. [...], [...]R., zwanego dalej przedsiębiorcą, polegające na ich udostępnieniu na rzecz podmiotów trzecich, a także niespełnieniu obowiązku informacyjnego wynikającego z art. 15 RODO.
W pismach z [...] maja 2021 r. i [...] września 2021 r. przedsiębiorca wskazał, że do chwili obecnej przetwarza dane osobowe skarżącego w zakresie imienia i nazwiska, które zostały pozyskane w wyniku zawartego z nim stosunku pracy w okresie od [...]marca 2015 r. do [...] października 2017 r. dla celów archiwalnych. W ramach prowadzonej działalności gospodarczej dostęp do ww. danych osobowych skarżącego uzyskała również żona przedsiębiorcy - A. K., która była współwłaścicielem działalności gospodarczej prowadzonej przez przedsiębiorcę do czerwca 2016 r. Przedsiębiorca oświadczył, że udostępnił dane osobowe skarżącego w zakresie jego imienia i nazwiska organom ścigania w związku z otrzymanym, na podstawie art. 20 ust. 2b ustawy z dnia 6 kwietnia 1990 r. o Policji (Dz. U. z 2021 r. poz. 1882), poleceniem od funkcjonariusza Policji w S. w ramach prowadzonego pod nadzorem Prokuratury Rejonowej w M. postępowania przygotowawczego wobec skarżącego. Zaznaczył, że wskazał jedynie spis przepracowanych u niego godzin pracy przez skarżącego. Ponadto przedsiębiorca oświadczył, że J. O. w piśmie z [...] października 2020 r. zwrócił się z żądaniem udzielenia informacji, czy jego dane osobowe są nadal przetwarzane przez przedsiębiorcę w ramach prowadzonej działalności gospodarczej. Wyjaśnił, że nie był zobowiązany do spełnienia wobec skarżącego obowiązku informacyjnego, wynikającego z art. 15 RODO, ponieważ J. O. miał wiedzę, iż przedsiębiorca przetwarzał jego dane osobowe w zakresie imienia i nazwiska.
Organ zaznaczył, że rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. określa obowiązki administratora, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek, określonych w RODO. Przepisem uprawniającym administratorów do przetwarzania danych osobowych fizycznych, w tym ich udostępniania, jest art. 6 ust. 1 RODO, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek, wymienionych w art. 6 ust. 1 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych.
Odnosząc się do kwestii dotyczącej udostępnienia danych osobowych J. O. na rzecz funkcjonariusza z posterunku Policji w S. bez podstawy prawnej, w złożonych przed Prezesem UODO wyjaśnieniach przedsiębiorca oświadczył, że udostępnił dane osobowe skarżącego w zakresie jego imienia i nazwiska, w związku z otrzymanym żądaniem od funkcjonariusza Policji w S., który przeprowadzał czynności w ramach nadzorowanego postępowania przygotowawczego przez Prokuraturę Rejonową w M. wobec skarżącego.
Na podstawie analizy zebranego materiału dowodowego organ stwierdził, że w niniejszej sprawie nie doszło do udostępnienia danych osobowych J. O. w zakresie jego imienia i nazwiska podmiotowi nieuprawnionemu bez podstawy prawnej przez przedsiębiorcę. Zgodnie bowiem z art. 15 § 3 ustawy z dnia 6 czerwca 1997 r. – Kodeks postępowania karnego (Dz. U. z 2021 r. poz. 534, z późn. zm.) na przedsiębiorcy spoczywał obowiązek udzielenia Policji pomocy, która polegała na przedłożeniu dokumentu, będącego spisem przeprowadzonych godzin pracy u przedsiębiorcy przez skarżącego, zawierającego jego dane osobowe w zakresie imienia i nazwiska na otrzymane żądanie organów prowadzących, pod nadzorem Prokuratury Rejonowej w M., postępowanie przygotowawcze wobec J. O.. Ponadto Policja jest organem uprawnionym do przetwarzania danych osobowych w celu realizacji swoich zadań ustawowych (art. 20 ust. 1 ustawy o Policji). W związku z tym kwestionowane przez skarżącego udostępnienie jego danych osobowych nastąpiło na rzecz podmiotu uprawnionego do ich przetwarzania.
W związku z powyższym brak jest przesłanek do wydania, w tym zakresie, decyzji nakazującej przywrócenie stanu zgodnego z prawem przez Prezesa UODO, z uwagi na to, że do naruszenia jego prawa do ochrony danych osobowych przez przedsiębiorcę nie doszło.
Odnosząc się do kwestii dotyczącej udostępnienia danych osobowych J. O. A. K. bez podstawy prawnej, Prezes UODO podał, że w złożonych wyjaśnieniach przedsiębiorca oświadczył, iż A. K. do maja 2016 r. była osobą współprowadzącą działalność gospodarczą wraz z przedsiębiorcą. Do chwili obecnej A. K. nie przetwarza już danych osobowych skarżącego, ponieważ od czerwca 2016 r. prowadzi własną działalność gospodarczą. Organ wyjaśnił, że w czasie kiedy miało miejsce ww. zdarzenie, tj. w 2016 r. obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zwanej dalej ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Przepisy ww. ustawy określały zasady przetwarzania danych osobowych do [...] maja 2018 r. Zwrócił uwagę, że od [...] maja 2018 r. obowiązują przepisy RODO oraz nowej ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), zwanej dalej ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych.
Z tych względów organ stwierdził, że kwestionowane przez skarżącego zdarzenie, polegające na udostępnieniu jego danych osobowych w zakresie imienia i nazwiska na rzecz A. K. bez podstawy prawnej przez przedsiębiorcę nie może być rozpatrywane w toku prowadzonego postępowania administracyjnego, zmierzającego do wydania na podstawie obowiązujących przepisów RODO decyzji administracyjnej przez Prezesa UODO. Kwestionowany przez J. O. w treści złożonej skargi proces przetwarzania jego danych osobowych przez A. K. rozpoczął się, a następnie został zakończony przed [...] maja 2018 r. Tak więc Prezes UODO nie ma możliwości skorzystania z przysługujących mu na mocy art. 58 ust. 2 RODO uprawnień naprawczych w zakresie wydania decyzji nakazującej przywrócenie stanu poprzedniego zgodnego z prawem.
Mając na uwadze, że kwestionowane przez skarżącego w treści złożonej skargi zdarzenie, polegające na udostępnieniu jego danych osobowych w zakresie imienia i nazwiska na rzecz A. K. bez podstawy prawnej przez przedsiębiorcę miało miejsce i zakończyło się w okresie, w którym obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, zaś postępowanie w niniejszej sprawie zostało wszczęte po [...] maja 2018 r., organ wskazał, że do rozstrzygnięcia przedmiotowej sprawy nie jest możliwe również zastosowanie przepisów ustawy z dnia 29 sierpnia 1997 r. Wyjaśnił, że artykuł 160 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych stanowi, że jedynie postępowania wszczęte i niezakończone przed wejściem w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych są prowadzone przez Prezesa UODO na podstawie przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych.
Skoro zatem A. K. do chwili obecnej nie przetwarza już danych osobowych skarżącego to postępowanie w zakresie udostępnienia jego danych osobowych w zakresie imienia i nazwiska na rzecz A. K. bez podstawy prawnej przez przedsiębiorcę jest bezprzedmiotowe i podlega umorzeniu, na podstawie art. 105 § 1 K.p.a.
Odnosząc się do kwestii, polegającej na niespełnieniu obowiązku informacyjnego, wynikającego z art. 15 RODO wobec J. O. Prezes UODO podał, że w złożonych wyjaśnieniach przedsiębiorca oświadczył, że nie był zobowiązany do spełnienia ww. obowiązku informacyjnego wobec skarżącego, ponieważ w jego ocenie, ten posiadał wiedzę na temat zakresu przetwarzania jego danych osobowych, w ramach prowadzonej działalności gospodarczej przez przedsiębiorcę. Zwrócił uwagę, że powyższe stanowisko przedsiębiorcy nie znajduje odzwierciedlenia w przepisach RODO. Zgodnie z art. 12 ust. 3 RODO na administratorze, którym jest przedsiębiorca, ciążył obowiązek udzielenia w terminie miesiąca informacji o podjętych działaniach, w związku ze złożonym 17 października 2020 r., na podstawie art. 15 RODO, żądaniem realizacji prawa dostępu do danych osobowych przez skarżącego. Mając na uwadze fakt, że analiza zebranego w niniejszej sprawie materiału dowodowego wykazała, iż do chwili obecnej przedsiębiorca nie ustosunkował się do ww. żądania skarżącego zasadne jest skorzystanie przez Prezesa UODO z przysługującego mu na mocy art. 58 ust. 2 lit. c RODO uprawnienia naprawczego w zakresie nakazania przedsiębiorcy niezwłocznego ustosunkowania się do żądania skarżącego z [...] października 2020 r.
Co zaś się tyczy żądania skarżącego nałożenia administracyjnej kary pieniężnej na administratora, organ wyjaśnił, że przysługujące Prezesowi UODO, na podstawie art. 58 ust. 2 lit. i RODO, uprawnienie do nakładania administracyjnych kar pieniężnych należy do jego autonomicznych kompetencji i czynności polegające na karaniu nie są podejmowane na wniosek strony skarżącej.
W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie J. O. zakwestionował decyzję Prezesa UODO z [...] marca 2022 r. uznając ją za krzywdzącą i wniósł o uchylenie pkt 2 oraz pkt 3 tego rozstrzygnięcia w związku z nieuwzględnieniem w toku prowadzonego postępowania dowodów, tj. treści pisma Okręgowego Inspektora Pracy z [...] grudnia 2021 r., z którego wynika, że jego dane osobowe nie występują w żadnych dokumentach przedłożonych przez przedsiębiorcę, np. umowy o pracę lub świadectwa pracy, co oznacza podstawę do zakwestionowania obecnego przetwarzania danych osobowych w zakresie imienia i nazwiska dla celów archiwalnych przez przedsiębiorcę, a także nałożenie administracyjnej kary pieniężnej na M. K., prowadzącego działalność gospodarczą pod firmą [...], W. [...], [...]R. i jego żonę.
W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując argumentację wyrażoną w zaskarżonej decyzji.
Pismem z [...] października 2022 r. skarżący, zastępowany przez profesjonalnego pełnomocnika, podtrzymał skargę zarzucając naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.:
1. art. 7 w zw. z art. 80 K.p.a. poprzez bezpodstawne uznanie, że jego dane zostały prawidłowo przetworzone przez byłego pracodawcę, mimo, że wskazywał na istotne okoliczności w sprawie,
2. art. 8 K.p.a. poprzez zaniechanie zebrania i rozpoznania w sposób wszechstronny całego materiału dowodowego oraz brak właściwej oceny zebranego materiału dowodowego, polegające na przyjęciu, że "Prezes UODO nie miał kompetencji do merytorycznej prawidłowości ustaleń komornika sądowego, w sytuacji gdy istniały wątpliwości co do prawidłowości przetwarzanych danych osobowych, co spowodowało utratę zaufania do organu administracji",
3. niepodjęcie wszelkich możliwych działań w celu dokładnego wyjaśnienia stanu faktycznego sprawy oraz dokonanie dowolnej i wybiórczej jej oceny, co doprowadziło do niewłaściwych i niezgodnych z prawdą, ustaleń, co do stanu faktycznego i w konsekwencji spowodowało odmowę prawa do ochrony danych osobowych przez Prezesa UODO.
Pismem z [...] marca 2023 r. M. K., prowadzący działalność gospodarczą pod firmą [...], jako uczestnik postępowania wskazał, że skarga J. O. w zakresie pkt 2 i 3 decyzji Prezesa UODO jest bezpodstawna, a rozstrzygnięcia w niej zawarte są prawidłowe zarówno co do stanu faktycznego, jak i prawnego. W jego ocenie Prezes UODO słusznie stwierdził, że w ustalonym stanie faktycznym na przedsiębiorcy spoczywał obowiązek udzielenia organom ściągania informacji polegających na przedłożeniu dokumentu będącego spisem przeprowadzonych godzin pracy u przedsiębiorcy przez skarżącego. Żądanie te było wykonywane na potrzeby postępowania przygotowawczego prowadzonego przez Prokuraturę Rejonową w M. w stosunku do J. O.. Za prawidłowe należało zatem uznać, że podstawą pomocy przedsiębiorcy był art. 15 § 3 ustawy – Kodeks postępowania karnego. Także uczestnik postępowania podzielił stanowisko organu w zakresie umorzenia postępowania w zakresie udostępnienia przez przedsiębiorcę danych osobowych skarżącego w zakresie jego imienia i nazwiska na rzecz A. K.. Jak stwierdzono zdarzenie, o którym mowa w treści złożonej skargi miało miejsce i zakończyło się w okresie, w którym obowiązywał inny stan prawny, tj. przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, natomiast postępowania w przedmiotowej sprawie zostało zainicjowane po [...] maja 2018 r., dlatego też przepisy wspomnianej ustawy nie mogły stanowić podstawy jej rozstrzygnięcia.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
W świetle art. 1 § 1 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2022 r. poz. 2492), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym stosownie do § 2 art. 1 powołanej ustawy kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
Rozpoznając sprawę w świetle powołanych powyżej kryteriów, należy stwierdzić, że skarga nie zasługuje na uwzględnienie.
Zaskarżona decyzja Prezesa UODO nie narusza w sposób istotny przepisów postępowania, w tym powołanych w skardze przepisów art. 7, art. 8, art. 77 § 1 i art. 80 K.p.a. Organ w sposób wyczerpujący i wystarczający dla rozstrzygnięcia niniejszej sprawy zebrał niezbędny materiał dowodowy. Dokonana przez organ ocena tego materiału dowodowego nie była dowolna. Także uzasadnienie zaskarżonej decyzji spełnia wymogi art. 107 § 3 K.p.a. i nie pozostawia wątpliwości dlaczego organ rozstrzygnął sprawę w sposób w nim określony.
Podkreślić należy, że aby można było mówić o zgodnym z prawem przetwarzaniu danych osobowych, w tym ich udostępnieniu (ujawnieniu), konieczne jest istnienie jednej z przesłanek legalizujących proces przetwarzania (a zatem ujawniania, udostępniania) danych osobowych, o których mowa w art. 6 ust. 1 RODO.
Zgodnie z powołanym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
W sprawie nie jest kwestionowane, że dane osobowe skarżącego zostały przez przedsiębiorcę - [...] M. K. z siedzibą w W. przekazane funkcjonariuszowi Policji w S., w związku z postępowaniem przygotowawczym prowadzonym wobec skarżącego pod nadzorem Prokuratury Rejonowej w M.. Trzeba mieć na uwadze, iż w świetle art. 15 § 3 Kodeksu postępowania karnego, istnieje obowiązek nałożony na osoby prawne lub jednostki organizacyjne niemające osobowości prawnej, a także osoby fizyczne udzielenia pomocy na wezwanie organów prowadzących postępowanie karne w zakresie i w terminie przez nie wyznaczonym. Obowiązek ten jest ograniczony do sytuacji, kiedy bez tej pomocy przeprowadzenie czynności procesowej jest niemożliwe albo znacznie utrudnione. Jednakże ocena, czy zachodzi sytuacja utrudniająca lub uniemożliwiająca przeprowadzenie czynności przez organ procesowy, należy do organu prowadzącego postępowanie karne. Bezpodstawna odmowa realizacji obowiązku przez podmiot obowiązany, w świetle brzmienia art. 287 § 1 powołanej ustawy procesowej, naraża ten podmiot na karę pieniężną. Zatem udzielenie przez przedsiębiorcę informacji o osobie zatrudnianej w zakresie personaliów i danych związanych z zatrudnieniem, w kontekście ustawowych uprawnień do stosowania środków i metod służących realizacji prowadzonych przez Policję czynności procesowych, nie może być oceniane jako naruszające prawo. Tym bardziej, iż Policja jest organem uprawnionym do przetwarzania danych osobowych w celu realizacji zadań ustawowych, o czym stanowi art. 20 ust. 1 ustawy o Policji. W świetle zaś art. 14 ust. 1 tej ustawy, w granicach swych zadań Policja wykonuje czynności: operacyjno-rozpoznawcze, dochodzeniowo-śledcze i administracyjno-porządkowe w celu: 1) rozpoznawania, zapobiegania i wykrywania przestępstw, przestępstw skarbowych i wykroczeń; 2) poszukiwania osób ukrywających się przed organami ścigania lub wymiaru sprawiedliwości, zwanych dalej "osobami poszukiwanymi"; 3) poszukiwania osób, które na skutek wystąpienia zdarzenia uniemożliwiającego ustalenie miejsca ich pobytu należy odnaleźć w celu zapewnienia ochrony ich życia, zdrowia lub wolności, zwanych dalej "osobami zaginionymi". Policja wykonuje również czynności na polecenie sądu, prokuratora, organów administracji państwowej i samorządu terytorialnego w zakresie, w jakim obowiązek ten został określony w odrębnych ustawach (ust. 2). Należy zatem przyjąć, iż działanie przedsiębiorcy w opisanej sytuacji nosi znamiona legalności, gdyż udostępnienie danych skarżącego funkcjonariuszowi Policji nastąpiło w celu wypełnienia obowiązku prawnego ciążącego na administratorze – art. 6 ust. 1 lit. c RODO.
Nie sposób przy tym podzielić zrzutu skargi mówiącego o bezprawnym przetwarzaniu przez M. K., prowadzącego działalność gospodarczą pod firmą [...] M. K. W. [...], [...]R., danych osobowych dla celów archiwalnych. Skarżący wskazał, że z pisma Inspektora Pracy Okręgowego Inspektoratu Pracy w W. z [...] grudnia 2021 r. wynika, iż w toku kontroli podmiotu [...] M. K. w W. nie ujawniono nazwiska skarżącego w przedłożonych przez pracodawcę dokumentach. Niemniej organ ochrony danych osobowych w postępowaniu wyjaśniającym ustalił na podstawie pisemnego oświadczenia M. K. z [...] września 2021 r., iż skarżący [...] marca 2015 r. podjął zatrudnienie w ww. firmie na podstawie umowy zawartej w formie ustnej i jego dane widnieją na archiwalnej liście płac. Do przedmiotowego pisma załączono Kartę szkolenia wstępnego w dziedzinie BHP potwierdzającą dokonanie przez pracodawcę przeszkolenia skarżącego w ramach instruktażu ogólnego ([...] października 2015 r.) i instruktażu stanowiskowego ([...] października 2015 r.). Z powyższych ustaleń bezsprzecznie wynika, iż skarżący w październiku 2015 r. świadczył pracę na rzecz [...] M. K. z siedzibą w W., a zatem jego dane osobowe były przetwarzane w celu związanym z zatrudnieniem. Natomiast Prezes Urzędu Ochrony Danych Osobowych nie posiada kompetencji do oceny prawidłowości nawiązywania stosunku pracy lub innych prawnie dopuszczalnych form zatrudnienia, wywiązywania się pracodawcy z ustawowych obowiązków względem pracobiorców oraz prawidłowości prowadzenia kontroli i nadzoru przez instytucje państwowe to tego powołane.
Prezes UODO prawidłowo również umorzył postępowanie w części dotyczącej udostępnienia przez M. K., prowadzącego działalność gospodarczą pod firmą [...], W. danych osobowych skarżącego w zakresie jego imienia i nazwiska na rzecz A. K. bez podstawy prawnej. Skoro bowiem A. K. od czerwca 2016 r. rozpoczęła własną działalność gospodarczą niezależną od firmy prowadzonej przez M. K. i od tej daty zaprzestała przetwarzania danych osobowych skarżącego, to Prezes UODO nie jest władny stosować naprawczych środków prawnych przewidzianych w RODO. Należy mieć na względzie, że art. 99 ust. 1 i 2 RODO jest przepisem określającym dzień wejścia w życie RODO i ustala próg czasowy jego obowiązywania. Stosownie do treści ust. 1 "niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po publikacji w Dzienniku Urzędowym Unii Europejskiej". Ust. 2 zaś stanowi, iż "niniejsze rozporządzenie ma zastosowanie od dnia 25 maja 2018 r.". Jego treść odnosi się wyłącznie do daty włączenia RODO do obowiązującego porządku prawnego. Art. 99 ust. 1 RODO nie jest przepisem przejściowym, który reguluje wpływ nowych przepisów (nowego prawa) na stosunki powstałe przed datą ich wejścia w życie, a więc pod rządami prawa już nieobowiązującego. W rezultacie w oparciu o art. 99 ust. 1 RODO nie można konstruować normy regulującej zakres stosowania RODO do przetwarzania danych, jakie miało miejsce przed jego wejściem w życie (patrz. wyrok NSA z 19 kwietnia 2023 r. sygn. akt III OSK 6697/21 - publik. www.orzeczenia.nsa.gov.pl). Przepisem przejściowym, jak słusznie zauważył organ, jest art. 160 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz. U. z 2019 r. poz. 1781). Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu (ust. 1). Postępowania, o których mowa w ust. 1, prowadzi się na podstawie ustawy uchylanej w art. 175, zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 oraz z 2019 r. poz. 60, 730 i 1133). Jednakże w niniejszej sprawie skarga J. O. w części dotyczącej bezprawnego przetwarzania danych osobowych przez A. K. w 2016 r. nie została wszczęta przed wejściem w życie RODO i ustawy o ochronie danych osobowych z 2018 r., a zatem sprawa w tej część stała się bezprzedmiotowa w rozumieniu art. 105 § 1 K.p.a. Organ nie dysponuje bowiem przepisem materialnoprawnym stanowiącym podstawę do wydania merytorycznego rozstrzygnięcia na wniosek strony.
Natomiast kwestia zastosowania przez Prezesa UODO nakazu spełnienia obowiązku informacyjnego (pkt 1 zaskarżonej decyzji) nie stanowiła sporu pomiędzy stronami i z punktu widzenia obowiązujących przepisów prawa jest rozstrzygnięciem prawidłowym.
Z tych wszystkich względów Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2023 r. poz. 1634), oddalił skargę.
-----------------------
5