III OSK 310/25

III OSK 310/25 - Wyrok NSA
Data orzeczenia
2025-07-23
orzeczenie prawomocne
Data wpływu
2025-02-18
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Paweł Mierzejewski
Sławomir Wojciechowski /przewodniczący/
Zbigniew Ślusarczyk /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Sygn. powiązane
II SA/Wa 603/24 - Wyrok WSA w Warszawie z 2024-10-15
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Sławomir Wojciechowski Sędziowie sędzia NSA Zbigniew Ślusarczyk (spr.) sędzia del. WSA Paweł Mierzejewski Protokolant starszy asystent sędziego Dawid Piaskowski po rozpoznaniu w dniu 23 lipca 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skarg kasacyjnych Prezesa Urzędu Ochrony Danych Osobowych oraz J. Sp. z o. o. z siedzibą w G. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 października 2024 r. sygn. akt II SA/Wa 603/24 w sprawie ze skarg J. Sp. z o. o. z siedzibą w G. oraz T. J. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 23 lipca 2019 r. nr ZSZZS.440.725.2018.MW.I.46483,46484 w przedmiocie udzielenia upomnienia za nieprawidłowości w procesie przetwarzania danych osobowych oddala skargi kasacyjne.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 15 października 2024 r. sygn. akt II SA/Wa 603/24, po rozpoznaniu skargi J. Sp. z o.o. z siedzibą w G. oraz T. J. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 23 lipca 2019 r. nr ZSZZS.440.725.2018.MW.I.46483,46484 w przedmiocie udzielenia upomnienia za nieprawidłowości w procesie przetwarzania danych osobowych, na podstawie art. 151 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935, dalej jako "p.p.s.a") uchylił punkt 1 zaskarżonej decyzji (pkt 1), oddalił skargę T. J. (pkt 2) oraz zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz J. Sp. z o.o. z siedzibą w G. kwotę 680 złotych tytułem zwrotu kosztów postępowania (pkt 3).
W uzasadnieniu wyroku Sąd I instancji wskazał, że zaskarżona decyzja została wydana po rozpatrzeniu skargi T. J. (dalej zwany "skarżącym") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez J. Sp. z o.o. z siedzibą w G. (dalej jako "Spółka"), polegające na udostępnieniu jego danych osobowych osobom nieuprawnionym. Decyzją z 23 lipca 2019 r. Prezes UODO udzielił Spółce upomnienia za nieprawidłowości w procesie przetwarzania danych osobowych polegające na naruszeniu art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. c oraz f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r.; dalej: "RODO") przez udostępnienie osobom znajdującym się w poczekalni biura poseł A. M. danych osobowych skarżącego w zakresie informacji o wypowiedzeniu mu umowy o pracę bez zachowania okresu wypowiedzenia 20 sierpnia 2018 r. (pkt 1), a w pozostałym zakresie odmówił uwzględnienia wniosku (pkt 2).
Uznając za zasadną skargę Spółki Sąd wskazał, że Spółka pełniła rolę administratora danych osobowych skarżącego oraz przetwarzała te dane jako dane osobowe swojego pracownika, zaś okoliczność wypowiedzenia umowy o pracę była ściśle związana z wiążącym strony stosunkiem pracy. Zdaniem Sądu naruszenia ochrony danych osobowych nie stanowi samo zwrócenie się do osoby imieniem i nazwiskiem w miejscu publicznym, ale za naruszenie może zostać uznane powiązanie tej sytuacji z innymi informacjami. Kluczową przesłankę oceny, czy in concreto doszło do naruszenia ochrony danych osobowych, stanowi kontekst ich przetwarzania. Problem ten może być rozstrzygnięty jedynie na tle konkretnych okoliczności sprawy, na tle ustalonego stanu faktycznego. Istotne jest powiązanie danych osobowych (np. imienia i nazwiska) ze wspomnianymi wyżej specyficznymi cechami zbioru. W ocenie Sądu nie sposób ustalić, w oparciu o jaki materiał dowodowy Prezes UODO uznał, że Spółka udostępniła osobom znajdującym się w poczekalni biura poseł A. M. dane osobowe skarżącego w zakresie informacji o rozwiązaniu z nim umowy o pracę bez wypowiedzenia. W szczególności nie jest jasne, dlaczego Prezes UODO uznał, że osoby trzecie usłyszały treść rozmowy między przedstawicielami Spółki a skarżącym.
Powyższe ustalenia doprowadziły Sąd do wniosku, że organ nie ustalił prawidłowo stanu faktycznego sprawy, naruszając art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 ustawy z 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572; dalej jako: "k.p.a."), w zw. z art. 7 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o."), co uniemożliwia dokonanie pełnej subsumpcji norm prawa materialnego.
Oddalając skargę skarżącego Sąd wskazał, że takie rozstrzygnięcie wynikało z zakresu zaskarżenia. Skarżący zaskarżył decyzję w pkt 2, zaś zarzuty ukierunkowane były na kwestionowanie pkt 1 decyzji Prezesa UODO. Nie zmienia to faktu, że przyznając rację Spółce Sąd przyznał rację także skarżącemu.
Skargi kasacyjne od powyższego wyroku wnieśli zarówno organ, jak i Spółka. Prezes UODO zaskarżył powyższy wyrok w części dotyczącej pkt 1 i 3. Zarzucił naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj. art. 145 § 1 pkt. 1 lit. c) p.p.s.a. w zw. z art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a., przez błędne przyjęcie, że Prezes Urzędu Ochrony Danych Osobowych wydał decyzję z 23 lipca 2019 r. (znak: ZSZZS.440.725.2018.MW. 1.46483, 46484) bez ustalenia prawidłowo stanu faktycznego sprawy, podczas gdy z decyzji organu i jej uzasadnienia wynika w sposób jednoznaczny, że stan faktyczny sprawy ustalony został rzetelnie, nie budzi on wątpliwości oraz że został on poddany dogłębnej analizie prawnej.
W oparciu o tak sformułowany zarzut organ wniósł o uchylenie zaskarżonego wyroku w części dotyczącej pkt 1 i 3 i rozpoznanie skargi przez jej oddalenie. Ewentualnie wniósł o uchylenie zaskarżonego wyroku w części dotyczącej pkt 1 i 3 i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Ponadto wniósł o zasądzenie zwrotu kosztów postępowania sądowego.
W uzasadnieniu skargi kasacyjnej Prezes UODO podniósł, że w toku postępowania administracyjnego zwrócił się do Spółki o złożenie pisemnych wyjaśnień oraz potwierdzających je dowodów. Sposób działania organu ochrony danych osobowych był zdeterminowany spoczywającym na nim, na mocy art. 77 § 1 k.p.a., obowiązkiem wyczerpującego zebrania oraz rozpatrzenia całego materiału dowodowego. Zdaniem organu w sprawie nie tylko doszło do prawidłowego ustalenia stanu faktycznego, ale także do wyczerpującego zebrania materiału dowodowego i jego rzetelnej oceny. Prezes UODO wydając rozstrzygnięcie wziął pod uwagę zarówno wyjaśnienia Spółki, jak i skargę skarżącego, na podstawie których nie miał wątpliwości, że 20 sierpnia 2018 r. przy wręczaniu skarżącemu przez upoważnionych przedstawicieli Spółki, wypowiedzenia umowy o pracę, przedstawiciel Spółki w obecności osób trzecich poinformował skarżącego, że jest to oświadczenie o rozwiązaniu umowy o pracę bez wypowiedzenia. Prezes UODO nie miał również wątpliwości, że przekazana w obecności osób trzecich informacja o tym co zawiera pismo wręczane skarżącemu w biurze poselskim stanowi, stosownie do art. 4 pkt 1 RODO, dane osobowe, jak również, że ujawnienie tej informacji stanowi operację przetwarzania (art. 4 pkt 2 RODO), co do których zastosowanie mają przepisy RODO.
Spółka zaskarżyła powyższy wyrok w całości. Zarzuciła naruszenie prawa materialnego, tj.:
1. art. 2 ust. 1 RODO w zw. z art. 4 pkt 6 RODO przez błędną wykładnię polegającą na przyjęciu, iż ustna informacja o zamiarze rozwiązania umowy o pracę stanowi lub może stanowić część zbioru danych, a tym samym podlega przepisom RODO,
2. art. 9 ust. 2 e) RODO przez niewłaściwe zastosowanie polegające na braku zastosowania ww. przepisu pomimo, iż ww. przepis powinien być zastosowany w niniejszej sprawie z uwagi na jej stan faktyczny, tj. z uwagi na fakt, iż T. J. przed dniem 20 sierpnia 2018 r. upublicznił swoje dane osobowe, w tym imię i nazwisko, wizerunek wraz z podaniem przyczyn rozwiązania umowy o pracę bez wypowiedzenia.
W oparciu o tak sformułowane zarzuty Spółka wniosła o uchylenie wyroku w całości i przekazanie sprawy do ponownego rozpoznania WSA. Ponadto wniosła o zasądzenie na rzecz skarżącej od organu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych.
W uzasadnieniu skargi kasacyjnej Spółki wskazano, że ustna informacja o zamiarze rozwiązania umowy o pracę ze skarżącym nie stanowi i nie może stanowić części żadnego zbioru danych, a zdarzenie z 20 sierpnia 2018 r. nie miało związku, ani z automatycznym, ani częściowo automatycznym, ani tradycyjnym sposobem przetwarzania danych osobowych. RODO nie ma zastosowania do sytuacji związanych z użyciem imienia i nazwiska danej osoby przy zwróceniu się do niej w miejscu publicznym w kontekście rozwiązania umowy o pracę. Gdyby jednak przyjąć, że ustna informacja o rozwiązaniu umowy o pracę stanowi lub może stanowić część zbioru danych, a tym samym podlega pod przepisy RODO, to nie ulega wątpliwości, że takie przetwarzanie danych osobowych skarżącego, tj. wręczenie oświadczenia o rozwiązaniu umowy o pracę w miejscu, w którym przebywał wraz z innymi osobami, było dopuszczalne chociażby na podstawie art. 9 ust. 2 e) RODO.
Naczelny Sąd Administracyjny zważył, co następuje:
Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r., poz. 935 ze zm.) zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych.
W skardze kasacyjnej Prezesa UODO podniesiono jeden zarzut, naruszenia przepisów postępowania tj. art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. Organ upatruje naruszenia tych przepisów w błędnym przyjęciu, że zaskarżoną decyzję wydano bez ustalenia prawidłowo stanu faktycznego sprawy. Zdaniem organu z zaskarżonej decyzji i jej uzasadnienia wynika w sposób jednoznaczny, że stan faktyczny sprawy ustalony został rzetelnie, nie budzi on wątpliwości oraz został poddany dogłębnej analizie prawnej. Zdaniem Naczelnego Sądu Administracyjnego zarzut ten jest niezasadny, należy bowiem w tym zakresie w całości podzielić stanowisko Sądu I instancji.
Konieczny do przeprowadzenia zakres postępowania dowodowego uzależniony jest od wykładni mających zastosowanie w sprawie przepisów prawa materialnego. Wykładni tej dokonał NSA w wyroku z 23 lutego 2024 r. (sygn. akt III OSK 3838/21), w którym uchylił poprzedni wyrok WSA w Warszawie z 15 września 2020 r. i przekazał mu sprawę do ponownego rozpoznania. Wykładnią tą Sąd I instancji był związany stosownie do treści art. 190 p.p.s.a. Z wykładni art. 2 ust. 1, art. 4 pkt 6 i art. 6 ust. 1 RODO wynika, że kluczową przesłankę oceny, czy in concreto doszło do naruszenia ochrony danych osobowych, stanowi kontekst ich przetwarzania. Zatem problem ten może być rozstrzygnięty jedynie na tle konkretnych okoliczności sprawy, na tle ustalonego stanu faktycznego. Istotne jest powiązanie danych osobowych (np. imienia i nazwiska) z cechami zbioru wynikającymi z akt osobowych pracownika i z okolicznościami związanymi z samym ujawnieniem danych osobowych podmiotom trzecim.
W konsekwencji, należało szczegółowo wyjaśnić okoliczności towarzyszące ujawnieniu danych osobowych, które wbrew twierdzeniom organu są sporne pomiędzy Spółką i skarżącym T. J.. Należało przede wszystkim wyjaśnić, czy przedstawiciele Spółki 20 sierpnia 2018 r. ujawnili imię i nazwisko skarżącego i informacje o wypowiedzeniu mu umowy o pracę osobom trzecim, tj. czy osoby trzecie usłyszały informacje o tych danych osobowych. Okolicznościom tym zaprzecza Spółka i w postepowaniu przed organem nadzorczym, wnosiła o przeprowadzenie na tę okoliczność stosownych dowodów, których organ nie przeprowadził i co do których organ nie wyraził swojego stanowiska. A są to okoliczności podstawowe dla oceny działań Spółki, z punktu widzenia zarzucanych jej nieprawidłowości w procesie przetwarzania danych osobowych skarżącego. Bez zajęcia przez organ konkretnego stanowiska w tej kwestii, niemożliwe jest prawidłowe rozstrzygnięcie niniejszej sprawy.
Słusznie zatem przyjął Sąd I instancji, że Prezes UODO dokonał dowolnej, a nie swobodnej oceny materiału dowodowego. Z uzasadnienia zaskarżonej decyzji wynika, że materiał dowodowy, w oparciu o który Prezes UODO ustalił, że Spółka udostępniła osobom znajdującym się w poczekalni biura poselskiego dane osobowe skarżącego w zakresie informacji o rozwiązaniu z nim umowy o pracę bez wypowiedzenia - zebrany został nierzetelnie. Co prawda Prezes UODO objaśnił, że stan faktyczny sprawy zrekonstruował na podstawie skargi skarżącego oraz dołączonych do nich oświadczeń, wyjaśnień Spółki oraz notatki pracownika Spółki z 21 sierpnia 2018 r. Jednak są to tylko niektóre z dowodów, którymi dysponował organ, tj. te, które zdaje się potwierdzały przyjętą z góry przez organ tezę o nieprawidłowościach przy przetwarzaniu danych osobowych skarżącego. W uzasadnieniu zaskarżonej decyzji nie ma stanowiska organu, co do wniosku Spółki o przeprowadzenie dowodu z oświadczenia P. S. z 19 listopada 2018 r. oraz z zeznań świadków M. Z. i A. P.. Organ winien rozważyć przesłuchanie tych osób a także przesłuchanie osób, które sporządziły oświadczenia złożone przez skarżącego, a które to w sposób tylko lakoniczny opisały przebieg zdarzenia, i co ważniejsze, w sposób nie do końca zgodny z rzeczywistością, np. co do odczytania przez przedstawiciela Spółki treści doręczanego skarżącemu wypowiedzenia. Skoro prezentowane przez Spółkę i skarżącego wersje zdarzeń mających kluczowe znaczenie dla wyniku sprawy nie dały się ze sobą pogodzić, to rolą organu było zatem nie tylko przeanalizowanie wniosków dowodowych stron ale także działanie z urzędu aby ustalić prawdziwy przebieg zdarzenia. Organ w tym zakresie nie podołał swoim obowiązkom. Ponadto, ocena przeprowadzonych dowodów, bądź powody dla których ich nie przeprowadzono, powinna znaleźć odzwierciedlenie w uzasadnieniu zaskarżonej decyzji zgodnie z dyspozycją art. 107 § 3 k.p.a.
Jak to trafnie wskazał Sąd I instancji, w obecnym stanie prawnym sądy administracyjne dokonują kontroli, a nie nadzoru działalności administracji publicznej, dlatego nie mogą jej wyręczać w wykonywaniu prawem przepisanych obowiązków. W szczególności, sąd administracyjny nie dysponuje całokształtem instrumentarium dowodowego, który pozostaje do dyspozycji organu administracji publicznej, ponieważ orzeka na podstawie akt sprawy, a dowody może przeprowadzać jedynie uzupełniająco i jedynie z dokumentów. To rolą organu jest ustalenie stanu faktycznego sprawy odpowiednio do nakazów wynikających z k.p.a.
Zdaniem NSA sprawa wymaga ponownego rozpatrzenia przez Prezesa UODO stosownie do podanych przez Sąd I instancji wytycznych. Organ powinien dokonać pełnego i niebudzącego wątpliwości ustalenia stanu faktycznego sprawy, a następnie poddać go dogłębnej analizie prawnej. Oceniając wszechstronnie zgromadzony materiał dowodowy, powoła w uzasadnieniu decyzji fakty, które uznał za udowodnione i dowody, na których się oparł oraz wskaże przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Zważy przy tym, że decyzja nie może pozostawiać wątpliwości co do zasadności przesłanek, którymi organ kierował się, załatwiając sprawę w określony sposób. Tak prawidłowo ustalony stan faktyczny sprawy pozwoli organowi na dokonanie prawidłowej subsumcji norm prawa materialnego.
Podsumowując, nie można zgodzić się z Prezesem UODO, że Sąd I instancji naruszył przepisy art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. Zatem Sąd ten trafnie stwierdził istnienie przesłanek z art. 145 § 1 pkt 1 lit. c) p.p.s.a. do uchylenia punktu 1 zaskarżonej decyzji.
Niezasadne są również zarzuty podniesione w skardze kasacyjnej Spółki.
W pierwszym zarzucie Spółka zarzuciła naruszenie art. 2 ust. 1 RODO w zw. z art. 4 pkt 6 RODO przez błędną wykładnię polegającą na przyjęciu, iż ustna informacja o zamiarze rozwiązania umowy o pracę stanowi lub może stanowić część zbioru danych, a tym samym podlega przepisom RODO. Przypomnieć zatem trzeba, że Sąd I instancji wydając zaskarżony wyrok, orzekał w warunkach związania wykładnią dokonaną przez NSA w wyroku z 23 lutego 2024 r. (sygn. akt III OSK 3838/21). Wynika to z treści art. 190 p.p.s.a. Ponadto z przepisu tego wynika, że nie można oprzeć skargi kasacyjnej od orzeczenia wydanego po ponownym rozpoznaniu sprawy na podstawach sprzecznych z wykładnią prawa ustaloną w tej sprawie przez Naczelny Sąd Administracyjny.
NSA w wyroku z 23 lutego 2024 r. stwierdził między innymi, że "[p]rzetwarzanie, o którym mowa w art. 2 ust. 1 RODO zostało definicyjnie ujęte szeroko i czynnościowo w art. 4 pkt 2 RODO. W rozumieniu tego przepisu "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Jednocześnie "zbiór danych" to uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie (art. 4 pkt 6 RODO). W świetle tej definicji zbiorem danych jest zestaw informacji spełniających następujące kryteria: - musi to być zestaw informacji stanowiących dane osobowe w rozumieniu przepisu art. 4 pkt 1 RODO,
- zestaw tych danych musi być uporządkowany, a zatem musi mieć określoną strukturę,
- dane osobowe zawarte w tym zestawie informacji dostępne być muszą według określonych kryteriów (zob. D. Lubosz, RODO. Ogólne rozporządzenie o ochronie danych, Komentarz, Warszawa 2018, s. 210). Dopełnieniem przedstawionych powyżej kryteriów jest wskazanie, iż na fakt istnienia zbioru danych nie ma wpływu to czy "zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie". Przy współczesnych możliwościach technicznych kwestia miejsca faktycznego położenia danych tworzących zbiór nie ma charakteru zasadniczego, podobnie jak podział funkcjonalny. Zbiór może być scentralizowany, tzn., dane mogą być skupione w jednym miejscu albo zdecentralizowany, tzn. dane mogą być skupione w różnych miejscach, co nie przeszkadza ich traktować jako jeden zbiór danych. Wskazać należy także, że do przetwarzana danych osobowych wykorzystywane są tzw. rozproszone bazy danych, których charakterystyczną cechą jest to, iż mimo, że dane znajdują się w wielu miejscach, to traktowane są one jako jedna logiczna całość. Zatem aby określone dane mogły być kwalifikowane jako zbiór lub jako jego część muszą być nośnikiem informacji charakterystycznych lub specyficznych dla tego zbioru np. dane dotyczące miejsca zatrudnienia, przebiegu zatrudnienia, badań lekarskich. Podzielić należy stanowisko PUODO, że w niniejszej sprawie J. Sp. z o.o. z siedzibą w G. pełniła rolę administratora (w rozumieniu art. 4 pkt 7 RODO) danych osobowych T. J. oraz przetwarzała je jako dane osobowe pracownika. Okoliczność wypowiedzenia umowy o pracę była ściśle związana z wiążącym strony stosunkiem pracy. Natomiast rozporządzenie Ministra Rodziny, Pracy i Polityki Społecznej z dnia 10 grudnia 2018 r. w sprawie dokumentacji pracowniczej (Dz. U. z 2018, poz. 2369), przewiduje obowiązek oddzielnego prowadzenia akt osobowych dla każdego pracownika. Zestaw akt osobowych pracowników stanowi wskazany w art. 4 pkt 6 RODO zbiór danych osobowych, ponieważ zawiera dane osobowe zatrudnionych, ma określoną strukturę oraz jest dostępny według określonych kryteriów. Oświadczenia lub dokumenty związane z rozwiązaniem lub wygaśnięciem stosunku pracy przechowuje się w części C akt osobowych pracownika (§ 3 pkt 3 powołanego rozporządzenia). W związku z powyższym wskazać należy, że dane osobowe zawarte w wypowiedzeniu umowy o pracę stanowią część zbioru danych, prowadzonego przez J. sp. z.o.o., a także podlegają regułom, określonym w art. 2 ust. 1 RODO."
Sąd I instancji w zaskarżonym wyroku prawidłowo podzielił w całości przedstawione stanowisko NSA, że przepisy RODO mają zastosowanie w stanie faktycznym niniejszej sprawy, bowiem ujawnienie danych pracownika związanych z wypowiedzeniem umowy o pracę podmiotom trzecim, jest przetwarzaniem danych pracownika ze zbioru posiadanego przez pracodawcę (tu Spółkę). Zatem argumentacja Spółki na poparcie omawianego zarzutu, zawarta w uzasadnieniu jej skargi kasacyjnej jest bezskuteczna, dodatkowo oparta jest częściowo na poglądzie Prezesa UODO zaprezentowanym w całkowicie odmiennym stanie faktycznym niż ma miejsce w niniejszej sprawie.
W drugim zarzucie Spółka podnosi naruszenie art. 9 ust. 2 e) RODO "przez jego niewłaściwe zastosowanie polegające na braku zastosowania ww. przepisu". Spółka twierdzi, że ww. przepis powinien być zastosowany w niniejszej sprawie z uwagi na jej stan faktyczny, tj. z uwagi na fakt, iż T. J. przed dniem 20 sierpnia 2018 r. upublicznił swoje dane osobowe, w tym imię i nazwisko, wizerunek wraz z podaniem przyczyn rozwiązania umowy o pracę bez wypowiedzenia.
Stosownie do treści art. 9 ust. 1 i 2 lit. e) RODO zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby(ust 1). Ust. 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków: (...) e) przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą.
Przede wszystkim należy zatem wyjaśnić, że zarzut niewłaściwego zastosowania może być skuteczny w niepodważonym w sprawie stanie faktycznym ustalonym przez organ i zaakceptowanym przez Sąd I instancji. Tymczasem w niniejszej sprawie organ nie zajmował stanowiska co do upublicznienia przez skarżącego swoich danych osobowych, w szczególności nie ustalał czy taka okoliczność w ogóle miała miejsce. Zatem, zarzut ten został oparty na okoliczności, który nie wynika z ustaleń organu i Sądu I instancji. Ponadto, Sąd I instancji uznał, że organ nie ustalił prawidłowo stanu faktycznego i dlatego uchylił zaskarżoną decyzję aby naprawić to uchybienie. Wobec tego, ewentualne zastosowanie art. 9 ust. 1 i 2 lit. e) RODO wymagałoby poczynienia przez organ stosownych ustaleń w tym zakresie. Dlatego zarzucanie niezastosowania tego przepisu jest chybione.
Mając na uwadze powyższe wywody, Naczelny Sąd Administracyjny uznał, że skargi kasacyjne nie zawierają usprawiedliwionych podstaw, dlatego na mocy art. 184 p.p.s.a. je oddalił.