III OSK 4541/21

III OSK 4541/21 - Wyrok NSA
Data orzeczenia
2024-06-14
orzeczenie prawomocne
Data wpływu
2021-04-01
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Beata Jezielska
Teresa Zyglewska
Zbigniew Ślusarczyk /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 2571/19 - Wyrok WSA w Warszawie z 2020-08-25
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2019 poz 1251
art. 1
Ustawa z dnia 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy  - t.j.
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Zbigniew Ślusarczyk (spr.) Sędziowie sędzia NSA Teresa Zyglewska sędzia del. WSA Beata Jezielska Protokolant asystent sędziego Olga Malicka po rozpoznaniu w dniu 14 czerwca 2024 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Głównego Inspektora Pracy od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 25 sierpnia 2020 r., sygn. akt II SA/Wa 2571/19 w sprawie ze skargi Głównego Inspektora Pracy na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 19 września 2019 r. nr ZSZZS.440.801.2018.JM.I.52450 w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 25 sierpnia 2020 r., sygn. akt II SA/Wa 2571/19, na podstawie art. 151 ustawy z 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r. poz. 2325 ze zm.) dalej zwanej "p.p.s.a." oddalił skargę Głównego Inspektora Pracy na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 19 września 2019 r. nr ZSZZS.440.801.2018.JM.I.52450 w przedmiocie przetwarzania danych osobowych.
W uzasadnieniu wyroku Sąd I instancji wskazał, że zaskarżoną decyzją Prezes Urzędu Ochrony Danych Osobowych, dalej zwany także "organem" nakazał Państwowej Inspekcji Pracy z siedzibą w Warszawie usunięcie danych uczestnika J. K. zawartych w formularzach PIT-37 za lata 2015 oraz 2016, a w pozostałym zakresie odmówił uwzględnienia wniosku uczestnika. Jako podstawę prawną organ wskazał art. 6 ust. 1 lit. c oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz.U. UE L 119/1 z 4 maja 2016 r.; dalej: "RODO").
U podstaw rozstrzygnięcia legło ustalenie, iż ww. uczestnik był do 27 października 2017 r. pracownikiem Państwowej Inspekcji Pracy - Okręgowego Inspektoratu w [...]. Wykonywał czynności kontrolne, przez co podlegał nadzorowi Głównego Inspektora Pracy, dalej zwanego "GIP". Do naruszenia ochrony danych osobowych doszło w związku ze skierowaniem przez GIP do Naczelnika Urzędu Skarbowego [...] wniosku o udostępnienie danych osobowych zawartych w deklaracjach podatkowych uczestnika postępowania za lata 2015-2016 w zakresie wysokości dochodów z praw autorskich oraz pozostałych źródeł.
Oddalając skargę Sąd I instancji wskazał, że pozyskanie tych danych nastąpiło nie w ramach kontroli pracodawcy, lecz w celu skontrolowania pracownika zatrudnionego w strukturze PIP i miało wpływ na dalsze zatrudnienie uczestnika postępowania w Okręgowym Inspektoracie Pracy w [...]. Tym samym w ocenie Sądu I instancji pozyskanie danych osobowych uczestnika nastąpiło w ramach działalności pozaustawowej PIP. Zgodnie z art. 10 ustawy o PIP zadania Inspekcji obejmują kontrolę i nadzór nad przestrzeganiem przepisów prawa pracy oraz kontrolę legalności zatrudnienia, innej pracy zarobkowej, wykonywania działalności oraz kontrolę przestrzegania obowiązków. Kontrola realizowana przez PIP jest jednak kontrolą zewnętrzną, prowadzoną wobec pracodawców. Prowadząc kontrolę PIP uprawniony jest do zwracania się o udzielenie informacji m.in. do organów Krajowej Informacji Skarbowej. Niemniej w niniejszej sprawie GIP wykorzystał uzyskane dane wobec pracownika zatrudnionego w PIP, co w świetle art. 6 ust. 1 lit. e RODO w związku z art. 39 pkt 5 i art. 48 ust. 1 i 2 ustawy o PIP nie pozwala na zalegalizowanie przetwarzania danych osobowych pracownika PIP. W takiej sytuacji PIP występuje bowiem nie jako organ administracji publicznej, a jako pracodawca, dlatego zakres danych, które mogą być przetwarzane przez jednostki organizacyjne PIP w stosunku do zatrudnionych przez nie pracowników jest ograniczony przepisami art. 22(1) k.p. Artykuł ten w § 4 i § 5 stanowi, że pracodawca, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, żąda podania innych danych osobowych niż określone w § 1 i 3. Jednak udokumentowanie to następuje w formie oświadczenia osoby, której dane dotyczą. Tym samym pracodawca nie jest uprawniony do wystąpienia do Naczelnika Urzędu Skarbowego o udzielenie interesujących go informacji.
Skargę kasacyjną wniósł Główny Inspektor Pracy, zaskarżając powyższy wyrok w całości. Zarzucił naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy (pkt I), tj.:
1. art. 151 p.p.s.a. w zw. z art. 6 i 7 oraz art. 28, art. 107 § 1 pkt 3 oraz art. 156 § 1 pkt 4 k.p.a. w zw. z art. 1, art. 3, art. 4 oraz art. 17 i art. 18 ust. 1 pkt 1, pkt 5 i pkt 6 ustawy z 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy (Dz. U. z 2019 r. poz. 1251) oraz § 2 i § 3 Statutu Państwowej Inspekcji Pracy (M.P. z 2007 r. nr 58 poz. 657) - przez jego błędne zastosowanie, polegające na niezasadnym oddaleniu skargi, tj. zakwalifikowanie skargi przez Sąd jako niezasługującej na uwzględnienie, podczas gdy na podstawie art. 145 § 1 pkt 2 p.p.s.a. Sąd powinien był stwierdzić nieważność zaskarżonej decyzji na podstawie art. 156 § 1 pkt 4 k.p.a., ewentualnie na podstawie art. 145 § 1 pkt 1 lit. a i c p.p.s.a. decyzja winna zostać uchylona, w związku z naruszeniem ww. przepisów, w szczególności z uwagi na błędne oznaczenie adresata decyzji oraz błędne oznaczenie strony postępowania, w związku z:
- nieuprawnionym przyjęciem, że stroną w sprawie jest "Państwowa Inspekcja Pracy z siedzibą w Warszawie", a co za tym idzie - usankcjonowanie wadliwej decyzji, która została skierowana do podmiotu, który nie ma podmiotowości (zdolności prawnej ani zdolności do czynności prawnych) w postępowaniu administracyjnym - co oznacza, że nie może być stroną w tego postępowania,
- nieuprawnione przyjęcie przez Sąd poglądu PUODO, że "ustawowe uprawnienia przyznane są dla organu rozumianego jako "Państwowa Inspekcja Pracy" i są wykonywane za pośrednictwem osób do tego upoważnionych, w tym Głównego Inspektora Pracy", w sytuacji gdy Główny Inspektor Pracy jest organem działającym na podstawie aktu powołania (art. 4 ust. 1 ustawy o PIP) i nie działa na podstawie upoważnienia, co przyznaje także PUODO (dowód: pismo procesowe pełnomocnika GIP z 3 kwietnia 2020 r. przekazujące stanowisko PUODO z 25 marca 2020 r.),
- nieprawidłowym przyjęciem, że "za wykonywanie kompetencji PIP jako organu, przez jednostkę organizacyjną wpisaną w strukturę organu odpowiada PIP", co doprowadziło Sąd do przyjęcia błędnej konkluzji, że "pomimo, iż to Główny Inspektor Pracy wystąpił w przedmiotowej sprawie do Naczelnika Urzędu Skarbowego z wnioskiem o udostępnienie wymienionych w nim danych, odpowiedzialność za to działanie ponosi, z perspektywy przepisów RODO, Państwowa Inspekcja Pracy jako administrator danych osobowych", co jest sprzeczne zarówno z wymienionymi przepisami ustawy o Państwowej Inspekcji Pracy, jak również jej statutem, co przyznał także UODO (dowód: pismo procesowe pełnomocnika GIP z 3 kwietnia 2020 r. przekazujące stanowisko PUODO z 25 marca 2020 r.).
2. art. 145 § 1 pkt 2 p.p.s.a. w związku z art. 29, art. 30 § 3 i art. 107 § 1 pkt 3 k.p.a. - przez ich niezastosowanie, pomimo zaistnienia przesłanki nieważności decyzji, wymienionej w art. 156 § 1 pkt 4 k.p.a., tj. skierowaniu decyzji do podmiotu nieistniejącego, niebędącego stroną w sprawie, co powoduje, że w istocie nie wskazano podmiotu zobowiązanego do wykonania skarżonej decyzji PUODO, ponieważ "Państwowa Inspekcja Pracy z siedzibą w Warszawie", czyli Państwowa Inspekcja Pracy sensu largo, nie funkcjonuje w obrocie prawnym jako podmiot praw i obowiązków.
3. art. 106 § 3 p.p.s.a. w związku z art. 133 § 1 p.p.s.a. – przez nieprzeprowadzenie dowodu z dokumentów, pomimo, że Sąd w uzasadnieniu wyroku stwierdził, iż uwzględnił dokumenty załączone do skargi, a w szczególności przez:
- nieprzeprowadzenie dowodu z dokumentu - pisma PUODO nr ZSZZS.027.98.2018.MB.I. z 25 marca 2020 r., w którym organ Ochrony Danych Osobowych potwierdził pogląd skarżącego, że "Państwowa Inspekcja Pracy z siedzibą w Warszawie" nie może być stroną w postępowaniu prowadzonym przez PUODO, ponieważ "wskazanym w piśmie organom, tj. Głównemu Inspektorowi Pracy oraz okręgowym inspektorom pracy należy przyznać status administratora" danych osobowych.
Dokument ten powinien zostać przeanalizowany przez Sąd celem wyjaśnienia jego charakteru oraz znaczenia dla sprawy, ponieważ ocena tego dowodu prowadzi do odmiennych ustaleń faktycznych, które mogłyby służyć prawidłowemu merytorycznemu rozstrzygnięciu sprawy.
4. art. 134 § 1 p.p.s.a w związku z art. 29 i art. 30 § 3 k.p.a. przez ich niezastosowanie, polegające na pominięciu przez Sąd - który zobowiązany był rozstrzygać w granicach danej sprawy nie będąc związanym zarzutami i wnioskami skargi oraz powołaną podstawą prawną - że zgodnie z przepisem art. 30 § 3 k.p.a. strony niebędące osobami fizycznymi działają przez swych ustawowych lub statutowych przedstawicieli. Powyższy przepis dotyczy nie tylko osób prawnych, lecz także państwowych jednostek organizacyjnych nieposiadających osobowości prawnej oraz organizacji społecznych nieposiadających osobowości prawnej (art. 29 k.p.a.).
5. art. 134 § 1 p.p.s.a. w związku z art. 7, art. 77 i art. 80 k.p.a. polegające na niewyczerpującym rozpatrzeniu materiału dowodowego i pominięciu istotnych okoliczności sprawy, co spowodowało błąd w ustaleniach faktycznych, mający istotny wpływ na treść rozstrzygnięcia, polegający w szczególności na:
- nieprawidłowym przyjęciu, że Główny Inspektor Pracy "przekroczył przyznane ustawowo PIP kompetencje" bowiem "przekazał pozyskane dane i dopuścił do ich przetwarzania przez kolejne jednostki organizacyjne PIP" - wbrew treści znajdujących się w aktach sprawy dokumentów, z których wprost wynika, że pozyskane dane, objęte tajemnicą skarbową, nigdy nikomu nie zostały udostępnione, a w szczególności Okręgowy Inspektor Pracy w [...] nie przetwarza i nigdy nie przetwarzał ww. danych, ponieważ informacje pozyskane z urzędu skarbowego nie stanowiły informacji o naruszeniu art. 48 ust. 2 ustawy o PIP.
- niezasadnym i nieznajdującym odzwierciedlenia w faktach przyjęciu, że dane osobowe uczestnika pozyskane z Urzędu Skarbowego zostały wykorzystane do rozwiązania z nim stosunku pracy, a co za tym idzie - błędnym wniosku, że pozyskane dane zostały "wykorzystane w innym celu, niż ten dla którego zostały zebrane", gdy w rzeczywistości miały one związek z celem, o którym mowa w piśmie Sekcji Kontroli Wewnętrznej do Naczelnika Urzędu Skarbowego (w aktach sprawy), tj. kontrolą legalności zatrudnienia w zakresie m.in. zawieranych umów cywilnoprawnych (dowód: wyrok Sądu Rejonowego dla Łodzi - Śródmieścia w Łodzi z 22 listopada 2018 r. sygn. akt XP1289/17 - dowód: wyrok Sądu Okręgowego w Łodzi VIII Wydział Pracy i Ubezpieczeń Społecznych z 6 maja 2019 r. sygn. akt VIII Pa 43/19 - na okoliczność przyczyn rozwiązania stosunku pracy z uczestnikiem postępowania),
- nieprawidłowym przyjęciu, że w przedmiotowej sprawie "działania podjęte przez PIP nie miały na celu realizacji zadań przewidzianych w art. 10 ustawy o PIP, lecz dokonanie kontroli przestrzegania przez pracownika zapisu art. 48 ust. 2 ustawy o PIP, który ogranicza działalność zarobkową pracowników Państwowej Inspekcji Pracy", z czego Sąd wyprowadził błędny wniosek, że realizacja kompetencji organu wymienionych w art. 10 i art. 14 ustawy o Państwowej Inspekcji Pracy wyklucza podejmowanie przez Głównego Inspektora Pracy działań w charakterze podmiotu wykonującego czynności ze stosunku pracy wobec pracowników nadzorujących lub wykonujących czynności kontrolne, które to działania stanowią wypełnienie obowiązku prawnego i są niezbędne do wykonania zadań realizowanych w interesie publicznym i w ramach sprawowania władzy publicznej powierzonej Głównemu Inspektorowi Pracy (art. 6 ust. 1 lit. c i e RODO),
6. art. 141 § 4 p.p.s.a. w związku z art. 133 § 1 p.p.s.a. w związku z art. 107 § 1 pkt 6 w zw. z art. 6 i art. 7 oraz art. 77 k.p.a., polegające na braku rozpoznania i dokonania oceny prawnej wszystkich podniesionych w skardze zarzutów, nierozpoznanie całego materiału dowodowego, nieprzedstawienie w uzasadnieniu wyroku dowodów i ustaleń, które mogłyby uzasadniać oddalenie skargi, a także sprzeczność ustaleń Sądu I instancji z treścią zebranego w sprawie materiału dowodowego, co doprowadziło do pominięcia okoliczności mających istotny wpływ na prawidłowe ustalenie stanu faktycznego, a tym samym miało wpływ na wadliwe uzasadnienie zaskarżonego wyroku, nieodpowiadające wymaganiom wskazanym w ww. przepisie, przez:
- dowolne ustalenie, nieznajdujące oparcia w aktach sprawy, że zaskarżona decyzja została "skierowana do PIP reprezentowanej przez GIP, będącej administratorem danych osobowych uczestnika postępowania", gdy tymczasem decyzję skierowano do "Inspekcji Pracy w siedzibą w Warszawie",
- dowolne ustalenie, nieznajdujące oparcia w aktach sprawy, że pozyskanie "przedmiotowych danych przez skarżącego - nie w ramach kontroli pracodawcy, lecz w celu skontrolowania pracownika zatrudnionego w strukturze PIP - miało wpływ na dalsze zatrudnienie uczestnika postępowania w Okręgowym Inspektoracie Pracy w [...]", podczas gdy kontrolowany pracodawca (zatrudniający nielegalnie uczestnika postępowania), składał fałszywe zeznania podczas kontroli, a powody rozwiązania stosunku pracy z pracownikiem były inne (dowód: wyroki Sądu Pracy I i II instancji oddalające jego roszczenia),
- brak logicznego wywodu prawnego, w jaki sposób - na podstawie komentarza do art. 3 ustawy o Państwowej Inspekcji Pracy, wskazującego m.in. iż "(...) Inspekcją Pracy kieruje ze szczebla centralnego Główny Inspektor Pracy, mamy tu więc do czynienia z ustanowieniem jednoosobowego kierownictwa całą PIP, co oznacza równocześnie ustalenie jednoosobowej odpowiedzialności za jej funkcjonowanie, spoczywającej na Głównym Inspektorze" - Sąd wywiódł konkluzję, że prawidłowe jest skierowanie decyzji do "Państwowej Inspekcji Pracy z siedzibą w Warszawie",
- wadliwe uzasadnienie wyroku przez opis wybranych elementów stanu faktycznego sprawy, bez wskazania, w jakim zakresie zostały one przyjęte przez Sąd i dlaczego, co wskazuje, że uzasadnienie nie spełnia wymagań, o których mowa w art. 141 § 4 p.p.s.a., który zobowiązuje Sąd do oceny nie jakiegokolwiek stanu faktycznego, lecz stanu rzeczywistego, ustalonego i przyjętego zgodnie z obowiązującym prawem, w szczególności:
- niewskazanie na jakiej podstawie Sąd wywiódł, że prowadzenie kontroli legalności zatrudnienia, należącej do zakresu zadań PIP (art. 10 ustawy o PIP) jest wykluczone w sytuacji, gdy nielegalnie zatrudnionymi są inspektorzy pracy,
- niewskazanie, na jakiej podstawie odmówiono legalności pozyskania danych osobowych uczestnika, skoro uznano za legalne udostępnienie tych danych przez Naczelnika Urzędu Skarbowego - działającego na podstawie tych samych przepisów, co GIP,
- przyjęcie za prawidłowy błędnego założenia PUODO, że przetwarzanie danych osobowych uczestnika przez "Państwową Inspekcję Pracy" "nie spełnia żadnej z przesłanek zawartych w art. 6 ust. 1 RODO" i bezpodstawne twierdzenie, że dane te "nie powinny były zostać przez GIP pozyskane ani przekazywane do wiadomości podlegających mu jednostek organizacyjnych", gdy z dowodów zgromadzonych w sprawie wprost wynika, że przedmiotowe dane objęte są tajemnicą skarbową i nigdy nie zostały udostępnione żadnemu podmiotowi, a Główny Inspektor Pracy przetwarza ww. dane zgodnie z prawem.
Ponadto skarżący kasacyjnie zarzucił naruszenie przepisów prawa materialnego (pkt II), tj.:
1. art. 28 k.p.a. przez błędną wykładnię i niewłaściwe zastosowanie, polegające na przyjęciu przez Sąd za zgodne z prawem stanowiska PUODO zaprezentowanego w zaskarżonej decyzji z 19 września 2019 r, zgodnie z którym za stronę w ww. postępowaniu uznano "Państwową inspekcję Pracy z siedzibą w Warszawie", podczas gdy strona powinna być określana ściśle w oparciu o konkretne przepisy prawa materialnego, a więc w szczególności przepisy art. 1, art. 3, art. 4, art. 5, art. 17, art. 18, art. 19 ustawy z 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy,
2. art. 1, art. 3 i art. 4 ust. 1 oraz art. 17 i art. 18 ust. 1 pkt 1, pkt 5 i pkt 6 ustawy z 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy przez błędną wykładnię i niewłaściwe zastosowanie polegające na usankcjonowaniu decyzji, w której uczyniono stroną postępowania w sprawie "Państwową Inspekcję Pracy z siedzibą w Warszawie", a w szczególności przez:
- nieprawidłowe przyjęcie, że "ustawowe uprawnienia przyznane są dla organu rozumianego jako "Państwowa Inspekcja Pracy" i są wykonywane za pośrednictwem osób do tego upoważnionych, w tym Głównego Inspektora Pracy", w sytuacji gdy Główny Inspektor Pracy nie działa na podstawie upoważnienia PIP, lecz jest organem działającym na podstawie aktu powołania (art. 4 ust. 1 ustawy o PIP) i nie jest "osobą, za której pośrednictwem działa PIP".
- nieprawidłowe przyjęcie, że "skierowanie zaskarżonej decyzji do PIP reprezentowanej przez GIP, jak również będącej administratorem danych osobowych uczestnika postępowania należy ocenić jako prawidłowe", skoro decyzja została skierowana do "Państwowej Inspekcji Pracy z siedzibą w Warszawie",
- błędne przyjęcie, że ,"za wykonywanie kompetencji PIP jako organu, przez jednostkę organizacyjną wpisaną w strukturę organu odpowiada PIP", co doprowadziło Sąd do błędnej konkluzji, że "pomimo, iż to Główny Inspektor Pracy wystąpił w przedmiotowej sprawie do Naczelnika Urzędu Skarbowego z wnioskiem o udostępnienie wymienionych w nim danych, odpowiedzialność za to działanie ponosi, z perspektywy przepisów RODO, Państwowa Inspekcja Pracy jako administrator danych osobowych", co jest sprzeczne zarówno z wymienionymi przepisami ustawy o Państwowej Inspekcji Pracy, jak również jej statutem, a także stanowiskiem UODO wyrażonym w piśmie z 25 marca 2020 r., że administratorami danych osobowych poszczególnych jednostek organizacyjnych Państwowej Inspekcji Pracy są odpowiednio: Główny Inspektor Pracy i 16 okręgowych inspektorów pracy,
- błędne przyjęcie, że "PIP występuje w przedmiotowej sprawie jako pracodawca" uczestnika J. K., co jest sprzeczne z art. 3 i art. 18 ust. 6 ustawy o Państwowej Inspekcji Pracy, ponieważ w odniesieniu do statusu Głównego Inspektoratu Pracy i okręgowych inspektoratów pracy oraz w nawiązaniu do tych jednostek w kontekście ich postrzegania jako zakładów pracy - pracodawców (vide uchwała 7 sędziów Sądu Najwyższego z 24 listopada 1992 r., sygn. akt I PZP 59/92. OSNCP 1993, nr 4, poz. 49) wskazać należy, iż jednostki te są pracodawcami w rozumieniu przepisów prawa pracy, a dodatkowo - Główny Inspektor Pracy dokonuje czynności z zakresu prawa pracy wobec pracowników wykonujących czynności kontrolne.
3. naruszeniu art. 4 pkt 7 RODO, w zw. z art. 18 ust. 1 i art. 19 ust. 1 ustawy o Państwowej Inspekcji Pracy, przez nieprawidłowe zastosowanie polegające na przyjęciu, że administratorem danych osobowych skarżącego jest "Państwowa Inspekcja Pracy z siedzibą w Warszawie", gdy w rzeczywistości administratorem danych osobowych każdej z jednostek organizacyjnych Państwowej Inspekcji Pracy jest odpowiednio Główny Inspektor Pracy (dla Głównego Inspektoratu Pracy) oraz okręgowi inspektorzy pracy - w kierowanych jednostkach,
4. art. 6 ust. 1 lit. c rozporządzenia RODO w zw. z art. 10 ust. 1 pkt 3 i art. 14 ust. 1 ustawy o Państwowej Inspekcji Pracy, przez błędną wykładnię i niewłaściwe zastosowanie polegające na:
- wadliwym przyjęciu, że "w przedmiotowej sprawie działania podjęte przez PIP nie miały na celu realizacji zadań przewidzianych w art. 10 ustawy o PIP, lecz dokonanie kontroli przestrzegania przez pracownika zapisu art. 48 ust. 2 ustawy o PIP, który ogranicza działalność zarobkową pracowników Państwowej Inspekcji Pracy", gdy w rzeczywistości pozyskane informacje nie miały związku z ww. art. 48 ust. 2 ustawy o PIP, a dotyczyły kontroli legalności zatrudnienia związanej z zawieraniem umów cywilnoprawnych w podmiocie wymienionym w piśmie Sekcji Kontroli Wewnętrznej do Naczelnika Urzędu Skarbowego z 26.09.2017 r., co potwierdza również zawiadomienie Prokuratury Rejonowej w Łodzi z 21 listopada 2017 r. oraz protokół kontroli - wobec czego bezzasadnym jest przyjęty przez Sąd pogląd PUODO, że zebrane dane zostały "wykorzystane w innym celu niż ten dla którego zostały zebrane",
- wadliwym przyjęciu, że dane osobowe pozyskane z Urzędu Skarbowego "nie są niezbędne do realizacji obowiązku prawnego ciążącego na pracodawcy", a organ nie jest uprawniony do przetwarzania wymienionych danych osobowych, gdy tymczasem przetwarzanie ww. danych jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, tj. Głównym Inspektorze Pracy, wykonującym czynności z zakresu prawa pracy wobec pracowników nadzorujących lub wykonujących czynności kontrolne (do których zaliczał się skarżący) oraz Okręgowym Inspektorze Pracy w [...], kierującym Okręgowym Inspektoratem Pracy, tj. jednostką organizacyjną posiadającą przymiot pracodawcy dla uczestnika J. K., niezależnie od faktu, że – wbrew twierdzeniom PUODO - pozyskane dane nie stanowiły podstawy do rozwiązania stosunku pracy z J. K., co z jednej strony Sąd wyraźnie przyznał, wskazując, że "jako przyczynę rozwiązania stosunku pracy wskazano podanie nieprawdy w planie pracy odnośnie do 27 lutego 2017 r. (zamiast czynności kontrolno - nadzorczych uczestnik miał w rzeczywistości prowadzić w tym dniu działalność szkoleniową)", by dalej stwierdzić, że dane zostały przekazane "OIP, który posłużył się nimi do rozwiązania stosunku pracy z uczestnikiem postępowania", co nie znajduje odzwierciedlenia w stanie faktycznym sprawy.
5. art. 6 ust. 1 lit. e rozporządzenia RODO w związku z art. 39 pkt 5 w związku z art. 48 ust. 1 i 2 oraz art. 69 ust. 1 ustawy o Państwowej Inspekcji Pracy przez:
- błędną wykładnię polegającą na nieuwzględnieniu, że pracownikami Państwowej Inspekcji Pracy nadzorującymi lub wykonującymi czynności kontrolne mogą być wyłącznie osoby dające rękojmię należytego wykonywania obowiązków służbowych, których działania nie wywołują podejrzeń o stronniczość i interesowność, a Główny Inspektor Pracy - zarówno jako organ dokonujący czynności ze stosunku pracy wobec pracowników na stanowiskach tzw. inspektorskich, jak również "kierujący Państwową Inspekcją Pracy" (art. 3 ust. 2 ustawy o PIP), zobowiązany jest czuwać nad zapewnieniem przez urzędników najwyższych standardów, zarówno pod względem profesjonalizmu jak również transparentności w działaniu i uczciwości, co jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, zatem niewątpliwie wypełnia przesłanki określone w art. 6 ust. 1 lit. e rozporządzenia RODO,
- błędną wykładnię art. 22(1) Kodeksu pracy, w związku z art. 69 ust. 1 ustawy o PIP, polegającą na nieuwzględnieniu, że w Kodeks pracy znajduje zastosowanie w sprawach ze stosunku pracy pracowników Państwowej Inspekcji Pracy wyłącznie nieuregulowanych w ustawie o PIP, co oznacza, że pracodawca może żądać podania przez pracownika także innych danych, aniżeli określone w art. 22(1) Kodeksu pracy, o ile taki obowiązek określa ustawa o PIP.
W oparciu o tak sformułowane zarzuty skarżący kasacyjnie wniósł o uchylenie w całości zaskarżonego wyroku Wojewódzkiego Sądu Administracyjnego z 25 sierpnia 2020 r. i rozpoznanie skargi przez jej uwzględnienie, a tym samym stwierdzenie nieważności ewentualnie uchylenie zaskarżonej decyzji PUODO w całości, ewentualnie o przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Ponadto wniósł o zasądzenie kosztów postępowania kasacyjnego, w tym kosztów zastępstwa procesowego według norm przepisanych.
W skardze kasacyjnej zawarto także wniosek o dopuszczenie dowodu z dokumentów:
a) pisma Głównego Inspektora Pracy nr GOO-243-110-151-2/17 z 27 października 2017 r. o rozwiązaniu stosunku pracy ze skarżącym na okoliczność wykazania, że stroną postępowania w sprawie jest Główny Inspektor Pracy oraz wykazania, że wbrew stanowisku PUODO pozyskane dane nie zostały wykorzystane do rozwiązania stosunku pracy ze skarżącym (dowód w aktach sprawy),
b) pisma Okręgowego Inspektora Pracy w [...] nr LD-OIOD.0141.7.2019.2 z 18 kwietnia 2019 r., na okoliczność wykazania, że Okręgowy Inspektor Pracy w [...] nie jest i nigdy nie był w posiadaniu danych osobowych skarżącego, o których mowa w zaskarżonej decyzji, zatem nie jest i nigdy nie był stroną postępowania w sprawie ponieważ - wbrew stwierdzeniom PUODO - Główny Inspektor Pracy nie udostępnił tych danych Okręgowemu Inspektorowi Pracy w [...] ( dowód w aktach sprawy),
c) zawiadomienia Prokuratury Rejonowej w Łodzi z 21 listopada 2017 r. na okoliczność wykazania, że pozyskane dane wykorzystane zostały zgodnie z celem - tj. kontrolą legalności zatrudnienia (dowód w aktach sprawy),
d) protokołu kontroli w podmiocie wymienionym we wniosku do Naczelnika Urzędu Skarbowego o udostępnienie danych, na okoliczność wykazania, że pozyskane dane wykorzystane zostały zgodnie z celem, tj. kontrolą legalności zatrudnienia (dowód: w aktach sprawy),
e) wyroku Sądu Rejonowego dla Łodzi - Śródmieścia w Łodzi z 22 listopada 2018 r. sygn. akt XP1289/17 - na okoliczność przyczyny rozwiązania stosunku pracy z J. K.,
f) wyroku Sądu Okręgowego w Łodzi VIII Wydział Pracy i Ubezpieczeń Społecznych z 6 maja 2019 r. sygn. akt VIll Pa 43/19, na okoliczność przyczyny rozwiązania stosunku pracy z J. K.,
g) pisma PUODO z 25 marca 2020 r. nr ZSZZS.027.98.2018.MB.I przekazanego przy piśmie pełnomocnika skarżącego z 3 kwietnia 2020 r. nr GIPGPP. 0311.10.2019.23 (w aktach sprawy).
W odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych wniósł o oddalenie skargi kasacyjnej. Odnosząc się do zarzutów skargi kasacyjnej podniósł, że zgodnie z art. 4 pkt 7 RODO, administratorem może być zarówno organ publiczny, jednostka oraz inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. W przedmiotowej sprawie za administratora uznano organ publiczny, tj. Państwową Inspekcję Pracy. Z uwagi na powyższe, prawidłowym było skierowanie decyzji w przedmiotowej sprawie do Państwowej Inspekcji Pracy. Ustawowe uprawnienia przyznane są dla organu, tj. Państwowej Inspekcji Pracy i są one wykonywane za pośrednictwem osób do tego upoważnionych, w tym Głównego Inspektora Pracy. Co istotne, za wykonywanie kompetencji PIP jako organu, przez jednostkę organizacyjną wpisaną w strukturę organu odpowiada PIP. Wobec powyższego, choć przedmiotowa skarga dotyczy Głównego Inspektora Pracy, który realizując kompetencje przyznane organowi Państwowej Inspekcji Pracy wystąpił z wnioskiem o udostępnienie danych osobowych skarżącego, podmiotem odpowiedzialnym za jego działanie jest Państwowa Inspekcja Pracy.
Odnosząc się do twierdzenia o niezbędności pozyskania danych do realizowania obowiązku prawnego ciążącego na administratorze organ wskazał, że art. 10 ustawy o PIP zawiera zamkniętą listę zadań realizowanych przez ten organ, gdzie wymienia się między innymi nadzór i kontrolę nad przestrzeganiem przepisów prawa (ust. 1 pkt 1), kontrolę legalności zatrudnienia, innej pracy zarobkowej, wykonywania działalności oraz kontrolę przestrzegania obowiązków (ust. 1 pkt 3). Jak podkreślono w skarżonej decyzji, elementem kluczowym w przedmiotowej sprawie jest rozgraniczenie ustawowych uprawnień posiadanych przez Państwową Inspekcję Pracy występującą w roli organu nadzorczego, a uprawnień posiadanych przez jednostkę organizacyjną PIP, jako pracodawcy. Dane pozyskane przez PIP w ramach art. 14 w zw. z art. 10 ustawy o PIP powinny tyczyć się podmiotów kontrolowanych bądź nadzorowanych, a nie pracowników zatrudnionych w jego strukturach. Skarżący był pracownikiem Państwowej Inspekcji Pracy, wobec czego powyższe przesłanki nie stanowiły podstawy do pozyskania jego danych osobowych przez PIP od innych organów.
Ponadto w ocenie Prezesa UODO obowiązki nałożone na osoby zatrudnione w Państwowej Inspekcji Pracy, a także uprawnienie wynikające z art. 3 ust. 2 ustawy o PIP pozwalające Głównemu Inspektorowi Pracy na dokonywanie czynności kontrolnych wobec pracowników na określonych stanowiskach, w ocenie Prezesa Urzędu nie mieści się w granicach wykonywania zadań realizowanych w interesie publicznym czy też w ramach sprawowania przez Państwową Inspekcję Pracy władzy publicznej. Organ publiczny powinien działać w granicach posiadanych kompetencji. W przedmiotowej sprawie organ publiczny sprawował funkcję pracodawcy, wobec czego zdaniem organu zakres danych które mogły być przez niego przetwarzane w stosunku do pracownika był ograniczony na podstawie art. 22(1) Kodeksu pracy.
Naczelny Sąd Administracyjny zważył, co następuje:
Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2023 r., poz. 1634 ze zm.) zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych.
Skarga kasacyjna podlega oddaleniu jako niezawierająca uzasadnionych podstaw.
Zarzuty skargi kasacyjnej można sprowadzić do kilku węzłowych zagadnień. Najdalej idące zarzuty skarżącego kasacyjnie Głównego Inspektora Pracy opierają się na twierdzeniu, jakoby nieprawidłowe było określenie adresata zaskarżonej decyzji jako "Państwowej Inspekcji Pracy z siedzibą w Warszawie". W ocenie GIP decyzja została skierowana do podmiotu, który nie ma podmiotowości (zdolności prawnej ani zdolności do czynności prawnych) w postępowaniu administracyjnym - co oznacza, że nie może być stroną tego postępowania, co miałoby stanowić o zaistnieniu wady uzasadniającej stwierdzenie nieważności zaskarżonej decyzji. Naczelny Sąd Administracyjny zbiorczo odniesie się do zarzutów dotyczących wskazanego naruszenia.
Na wstępie należy zaznaczyć, iż specyfika niniejszej sprawy związana jest z faktem występowania Państwowej Inspekcji Pracy nie jako organu powołanego do sprawowania nadzoru i kontroli przestrzegania prawa pracy, a jako pracodawcy uczestnika postępowania, zatrudnionego w Okręgowym Inspektoracie w [...]. Ta okoliczność determinuje kierunek rozstrzygnięcia, ponieważ PIP przetwarzając dane osobowe uczestnika postępowania (pracownika) nie podejmuje zasadniczo czynności związanych z prowadzeniem nadzoru i kontroli wobec podmiotu zewnętrznego również zatrudniającego pracownika Inspekcji, a czynności z zakresu prawa pracy wobec pracownika Inspekcji. Tym samym przetwarzanie danych osobowych przez Państwową Inspekcję Pracy, prawidłowość i legalność tego procesu, muszą być oceniane z uwzględnieniem specyfiki stosunku pracowniczego łączącego Inspekcję z pracownikiem, i wynikających zeń uprawnień pracodawcy. Nie może być wątpliwości, iż w tym wąskim zakresie PIP nie korzysta z tożsamych możliwości działania władczego, co w sytuacji wykonywania ustawowych kompetencji przyznanych PIP w sferze zewnętrznej dla ochrony praw pracowniczych i zapewnienia przestrzegania przepisów prawa pracy. Wynika to wprost z konstytucyjnej zasady legalizmu (art. 7 Konstytucji RP), albowiem organy władzy publicznej mogą korzystać z powierzonych im kompetencji tylko i wyłącznie dla realizacji ustawowych zadań, a nie w ramach całokształtu ich działalności, m.in. w celu realizacji podejmowanych czynności cywilnoprawnych czy z zakresu prawa pracy. Przy czym kompetencji organu nie wolno domniemywać. Jak zauważa się w orzecznictwie Trybunału Konstytucyjnego, "kompetencje organów władzy publicznej powinny zostać jednoznacznie i precyzyjnie określone w przepisach prawa, wszelkie działania tych organów powinny mieć podstawę w takich przepisach, a - w razie wątpliwości interpretacyjnych - kompetencji organów władzy publicznej nie można domniemywać" (wyrok TK z 14 czerwca 2006 r., K 53/05, OTK-A 2006, nr 6, poz. 66).
Z art. 1 ustawy o PIP wynika, że Inspekcja ta jest organem powołanym do sprawowania nadzoru i kontroli przestrzegania prawa pracy, w szczególności przepisów i zasad bezpieczeństwa i higieny pracy, a także przepisów dotyczących legalności zatrudnienia i innej pracy zarobkowej w zakresie określonym w ustawie. W doktrynie wskazuje się, że "Państwowa Inspekcja Pracy opisana normatywnie jako "organ" nie jest tu ujęta w ramy monokratycznej czy kolegialnej struktury, lecz ma postać bezosobowego, abstrakcyjnego podmiotu o jurydycznie wyznaczonych celach, funkcjach i zadaniach. Inaczej mówiąc, jest to więc organ traktowany jako ogólna, bezosobowa instytucja (inspekcja w ogóle), powołana do wypełniania zadań kontrolnych i nadzorczych, a także innych zadań, przypisanych przez ustawę PIP jako tej ogólnie zidentyfikowanej instytucji" (tak J. Jagielski [w:] M. Gersdorf, K. Rączka, J. Jagielski, Ustawa o Państwowej Inspekcji Pracy. Komentarz, Warszawa 2008, art. 1). Struktura PIP obejmuje jednostki organizacyjne w postaci Głównego Inspektoratu Pracy, okręgowych inspektoratów pracy oraz Ośrodka Szkolenia Państwowej Inspekcji Pracy im. Profesora Jana Rosnera we Wrocławiu. Państwową Inspekcją Pracy kieruje Główny Inspektor Pracy przy pomocy zastępców (art. 2 ust. 2 ustawy o PIP). Jako organ państwowy, PIP została wyposażona w katalog zadań, do osiągnięcia których powinna dążyć, oraz kompetencji, za pomocą których może realizować powierzone jej zadania. Art. 10 ustawy o PIP określający zadania Inspekcji wskazuje m.in. nadzór i kontrolę przestrzegania przepisów prawa pracy, w szczególności przepisów i zasad bezpieczeństwa i higieny pracy, przepisów dotyczących stosunku pracy, wynagrodzenia za pracę i innych świadczeń wynikających ze stosunku pracy, czasu pracy, urlopów, uprawnień pracowników związanych z rodzicielstwem, zatrudniania młodocianych i osób niepełnosprawnych. Kontroli Państwowej Inspekcji Pracy podlegają m.in. pracodawcy, podmioty świadczące usługi pośrednictwa pracy, doradztwa personalnego, poradnictwa zawodowego oraz pracy tymczasowej, podmioty, o których mowa w art. 18c ustawy z 20 kwietnia 2004 r. o promocji zatrudnienia i instytucjach rynku pracy (art. 13 ustawy o PIP).
Chybione są zarzuty odnoszące się do błędnego określenia adresata zaskarżonej decyzji. Decyzją tą Prezes Urzędu Ochrony Danych Osobowych nakazał Państwowej Inspekcji Pracy z siedzibą w Warszawie usunięcie danych uczestnika postępowania, zawartych w formularzach PIT-37 za lata 2015 oraz 2016. Nakaz ten został wydany na podstawie art. 58 ust. 2 RODO, wedle którego każdemu organowi nadzorczemu przysługują uprawnienia naprawcze, w tym m.in. uprawnienie do nakazania administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, nakazanie sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania. Analizując zdolność administracyjnoprawną i status strony postępowania administracyjnego należy zatem rozważyć, kto (jaki podmiot) jest adresatem nakazów wydawanych na podstawie ww. artykułu. Podmiotem tym jest zasadniczo administrator. Kluczowe znaczenie należy zatem przypisać art. 4 pkt 7 RODO, który stanowi, że "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. W doktrynie zauważa się problem związany z określeniem administratora w odniesieniu do podmiotów publicznych. Wskazuje się, że "[w] świetle definicji zawartej w rozporządzeniu dla wskazania, kto jest administratorem, kluczowe jest stwierdzenie, kto decyduje o celu i sposobach przetwarzania danych (kto ustala cele i sposoby przetwarzania danych) (...) od czasu rozpoczęcia stosowania przepisów rozporządzenia 2016/679 ujawniły się problemy związane z wielością administratorów w strukturach organizacyjnych administracji publicznej (przede wszystkim w jednostkach samorządu terytorialnego). Analiza przepisów dotyczących realizacji zadań, z którymi wiąże się przetwarzanie danych osobowych, prowadzi w praktyce do uznawania, że w danej strukturze (np. w gminie) mamy do czynienia z wieloma administratorami (za administratorów często uznaje się wójta/burmistrza/prezydenta miasta; gminę; urząd gminy; radę gminy, a nawet poszczególnych radnych itp.). Przyjmowanie takiej wykładni przepisów jest źródłem wielu problemów praktycznych, jak m.in. wielokrotnego wykonywania obowiązków administratora przez różne podmioty (np. prowadzenia wielu dokumentacji przetwarzania); braku możliwości spełnienia niektórych obowiązków nałożonych na administratora (np. decydowania o środkach zabezpieczenia danych) oraz rozdzielenia statusu administratora od kwestii odpowiedzialności za naruszenie przepisów o ochronie danych osobowych" (P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 4, pkt 32).
Odnosząc te rozważania do okoliczności sprawy, nie powinno ulegać wątpliwości, iż w odniesieniu do Państwowej Inspekcji Pracy jako administratora podmiot ten jest "organem publicznym", o którym mowa w art. 4 pkt 7 RODO, a nie osobą prawną, inną jednostką lub podmiotem. Ze wspomnianego art. 1 ust. 1 ustawy o PIP wprost wynika, że to PIP jest organem administracji, nawet jeśli powierzone mu kompetencje wykonuje za pomocą dalszych jednostek organizacyjnych. Co istotne, pozycja administracyjna PIP będzie różnić się w zależności od tego, czy Inspekcja jest podmiotem administrującym, korzystającym w ramach imperium z powierzonych jej ustawowo kompetencji, czy też podmiotem administrowanym, tu: administratorem przetwarzającym dane osobowe inspektora PIP. W tym drugim przypadku Inspekcja Pracy podejmuje czynności poprzez szczegółowo określone w drodze ustawy jednostki organizacyjne. Zgodnie z art. 18 ust. 6 ustawy o PIP Główny Inspektor Pracy dokonuje czynności w sprawach z zakresu prawa pracy wobec pracowników Głównego Inspektoratu Pracy oraz pracowników nadzorujących lub wykonujących czynności kontrolne. Jednak przepis ten określa wyłącznie podmiot uprawniony do podejmowania czynności pracowniczych w ramach struktury organizacyjnej podmiotu będącego organem władzy publicznej. Art. 4 pkt 7 RODO przesądza, że to PIP jako administrator przetwarza dane osobowe pracowników Inspekcji i – będąc organem publicznym – zdaniem NSA prawidłowe było skierowanie decyzji w przedmiotowej sprawie do Państwowej Inspekcji Pracy. Za wykonywanie kompetencji PIP jako organu, przez jednostkę organizacyjną wpisaną w strukturę organu, odpowiada PIP. Faktu tego nie zmienia uregulowanie w przepisach prawa podmiotu dokonującego czynności w imieniu PIP. Wobec powyższego, choć w przedmiotowej sprawie to Główny Inspektor Pracy, realizując kompetencje przyznane organowi Państwowej Inspekcji Pracy, wystąpił z wnioskiem do Naczelnika Urzędu Skarbowego o udostępnienie danych osobowych skarżącego, to na gruncie art. 4 pkt 7 RODO podmiotem odpowiedzialnym za prawidłowość, legalność przetwarzania danych osobowych pracownika PIP jest Państwowa Inspekcja Pracy. Oceny tej nie zmienia także treść art. 28 i 29 k.p.a., ponieważ na gruncie postępowania administracyjnego zdolność administracyjną posiadają także nieposiadające osobowości prawnej państwowe i samorządowe jednostki organizacyjne. Tym samym pomimo iż sama Państwowa Inspekcja Pracy jest organem traktowanym jako ogólna, bezosobowa instytucja, to w świetle regulacji RODO podmiotem ten posiada zdolność prawną pełniąc rolę administratora zgodnie z art. 4 pkt 7 RODO.
Ustalenia te przesądzają o bezzasadności zarzutów 1, 2 i 4 naruszenia przepisów postępowania (pkt. I skargi kasacyjnej).
Ponadto Sąd I instancji nie naruszył przepisów wskazanych w zarzucie nr 3, tj. art. 106 § 3 p.p.s.a. w związku z art. 133 § 1 p.p.s.a. a mającego polegać na nieprzeprowadzeniu dowodu z dokumentów, przez nieprzeprowadzenie dowodu z dokumentu - pisma PUODO nr ZSZZS.027.98.2018.MB.I. z 25 marca 2020 r., w którym organ Ochrony Danych Osobowych potwierdził pogląd skarżącego, że "Państwowa Inspekcja Pracy z siedzibą w Warszawie" nie może być stroną w postępowaniu prowadzonym przez PUODO. W odniesieniu do tego zarzutu należy wyjaśnić skarżącemu kasacyjnie, iż prawidłowość określenia adresata decyzji wynika tylko i wyłącznie z analizy przepisów postępowania, wspartej wykładnią prawa materialnego w zakresie określenia adresata normy prawnej, a nie ze stanowiska strony postępowania, tj. Prezesa Urzędu Ochrony Danych Osobowych zawartego w piśmie znajdującym się w aktach sprawy. Sąd I instancji w uzasadnieniu wyroku wskazał, że uwzględnił dokumenty załączone do skargi, jednakże nie miały one wpływu na treść rozstrzygnięcia. Tym samym Sąd I instancji nie mógł naruszyć art. 106 § 3 p.p.s.a. w związku z art. 133 § 1 p.p.s.a., jeśli naruszenia tego skarżący kasacyjnie w istocie upatruje w błędnej wykładni przepisów postępowania, ponieważ ww. pismo nie mogło przesądzać o prawidłowości dokonanej oceny legalności zaskarżonej decyzji.
Sąd I instancji nie naruszył także art. 141 § 4 p.p.s.a. w związku z art. 133 § 1 p.p.s.a. w związku z art. 107 § 1 pkt 6 w zw. z art. 6 i art. 7 oraz art. 77 k.p.a. (zarzut z pkt I nr 6). Odnośnie do naruszenia pierwszego ze wskazanych przepisów, zgodnie z art. 141 § 4 p.p.s.a. uzasadnienie wyroku powinno zawierać zwięzłe przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowisk pozostałych stron, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Jeżeli w wyniku uwzględnienia skargi sprawa ma być ponownie rozpatrzona przez organ administracji, uzasadnienie powinno ponadto zawierać wskazania co do dalszego postępowania. Naruszenie art. 141 § 4 p.p.s.a. może mieć miejsce wtedy, gdy uzasadnienie nie zawiera wskazanych w tym przepisie elementów, a także wówczas, gdy uzasadnienie nie zawiera stanowiska odnośnie do przyjętego stanu faktycznego, a także gdy zaskarżony wyrok nie poddaje się kontroli instancyjnej z powodu wadliwości sporządzonego uzasadnienia (por. uchwała składu 7 sędziów Naczelnego Sądu Administracyjnego z 15 lutego 2010 r., II FPS 8/09; wyroki NSA z: 18 września 2014 r., II GSK 1096/13; 27 listopada 2014 r., II GSK 584/13, 12 lutego 2015 r., II OSK 200/15; 3 marca 2015 r., II GSK 56/14; 11 marca 2015 r., II GSK 810/14, 27 sierpnia 2021 r., II GSK 1417/18). Uzasadnienie zaskarżonego wyroku niewątpliwie zawiera wszystkie wskazane wyżej elementy i poddaje się kontroli instancyjnej. Natomiast uzasadnienie omawianego zarzutu wskazuje na zamiar skarżącego kasacyjnie podważenia merytorycznego stanowiska Sądu związanego z oceną prawidłowości skierowania zaskarżonej decyzji do Państwowej Inspekcji Pracy w Warszawie, co czyni ten zarzut bezskutecznym.
Odnośnie do zarzutu dowolnego ustalenia, że zaskarżona decyzja została "skierowana do PIP reprezentowanej przez GIP, będącej administratorem danych osobowych uczestnika postępowania", gdy tymczasem decyzję skierowano do "Inspekcji Pracy w siedzibą w Warszawie", w ocenie NSA jasne jest stanowisko Sądu I instancji, który w ramach cytowanego fragmentu uzasadnienia wyroku zwrócił wyłącznie uwagę, iż PIP działa przez swoje jednostki organizacyjne, a nie – tak jak twierdzi skarżący kasacyjnie – niewłaściwie odczytał rozstrzygnięcie decyzji będącej przedmiotem skargi.
Naczelny Sąd Administracyjny w składzie orzekającym nie podziela także zarzutu z pkt I nr 5 dotyczącego naruszenia art. 134 § 1 p.p.s.a. w związku z art. 7, art. 77 i art. 80 k.p.a. Naruszenie to w ocenie skarżącego kasacyjnie polega na niewyczerpującym rozpatrzeniu materiału dowodowego i pominięciu istotnych okoliczności sprawy, co spowodowało błąd w ustaleniach faktycznych, polegający w szczególności na nieprawidłowym przyjęciu, że Główny Inspektor Pracy przekroczył przyznane ustawowo PIP kompetencje. Odniesienie się do tego zarzutu wymaga analizy przepisów prawa materialnego. Należy zatem wskazać, że zgodnie z art. 14 ust. 1 ustawy o PIP Państwowa Inspekcja Pracy przy realizacji zadań współdziała m.in. z organami Krajowej Administracji Skarbowej. Z ust. 2 ww. artykułu wynika, że Państwowa Inspekcja Pracy jest uprawniona do nieodpłatnego korzystania z danych zgromadzonych w publicznych rejestrach, w tym w Centralnym Rejestrze Podmiotów - Krajowej Ewidencji Podatników. Kluczowe znaczenie w sprawie ma ustalenie, iż ww. kompetencje przysługują PIP "przy realizacji zadań", a więc w ramach powierzonych PIP ustawowo nadzoru i kontroli przestrzegania prawa pracy. Z zasady legalizmu wynika, że tylko w ramach tej sfery Inspekcja korzysta z państwowego imperium, a nie w związku z każdą działalnością Inspekcji, w tym w szczególności w zakresie podejmowanych czynności pracodawcy.
Przy czym wbrew argumentacji skarżącego kasacyjnie z dokumentów zgromadzonych w aktach administracyjnych sprawy nie wynika, aby występując do Naczelnika Urzędu Skarbowego o udostępnienie informacji dotyczących uczestnika Główny Inspektor Pracy czynił to w ramach postępowania związanego z realizacją zadań ustawowych. W wyjaśnieniach Naczelnika Urzędu Skarbowego [...] zawartych w piśmie z 7 listopada 2018 r. wskazano, iż pismem z 26 września 2017 r. GIP powołując się na art. 14 ust. 1 ustawy o PIP zwrócił się do ww. Naczelnika US z prośbą o przekazanie pisemnej informacji dotyczącej działalności zarobkowej uczestnika postępowania, w tym o podanie, czy uzyskiwane przez tę osobę przychody dotyczyły wyłącznie praw autorskich, czy również innych źródeł, konkretnej wysokości dochodów oraz czy w latach 2015-2017 uczestnik uzyskiwał dochody od konkretnie wskazanego płatnika. Z kolei GIP w piśmie z 8 listopada 2018 r. potwierdził fakt wystąpienia do Naczelnika Urzędu Skarbowego z powyższym zapytaniem, jednakże wyjaśnił wyłącznie, iż podstawą do pozyskania tej informacji był art. 48 ust. 2 ustawy o PIP zakazujący pracownikowi PIP podejmowania zajęć zarobkowych bez uprzedniej zgody GIP. Legalność przetwarzania danych uczestnika przez PIP musi być w tym kontekście oceniona inaczej aniżeli legalność przetwarzania (przekazania) przez Naczelnika Urzędu Skarbowego tych danych do PIP, albowiem w świetle ustawy o PIP Naczelnik US zobligowany jest do udostępnienia żądanych informacji organom inspekcji pracy, w związku z czym podmiot ten nie miał możliwości weryfikacji, czy przekazywane dane podatkowe posłużą PIP do realizacji zadań ustawowych Inspekcji.
Zdaniem NSA w składzie orzekającym powyższe ustalenia pozwalają przyjąć, iż do przetwarzania danych osobowych uczestnika postępowania nie doszło – a przynamniej skarżący kasacyjnie nie wykazał, aby sytuacja taka miała miejsce – w związku z prowadzeniem przez PIP wobec podmiotu zewnętrznego (pracodawcy) postępowania na podstawie ustawy, a w związku z podejrzeniem dotyczącym działalności zarobkowej pracownika Inspekcji. Jak słusznie zauważył Sąd I instancji, argumentację tę potwierdzają wyjaśnienia GIP, który w piśmie z 18 kwietnia 2019 r. podniósł, że przedmiotem zainteresowania organów PIP w niniejszej sprawie "była jedynie kwestia potwierdzenia pozyskiwania dochodów ze źródeł pochodzących z zajęć zarobkowych prowadzonych bez zgody GIP, tj. z naruszenie przepisów ustawy o PIP, co miało istotny wpływ na decyzję odnośnie do możliwości dalszego zatrudnienia" uczestnika postępowania. Tym samym analiza akt administracyjnych sprawy nie pozwala na podzielenie stanowiska skarżącego kasacyjnie GIP, jakoby działania podjęte w niniejszej sprawie przez PIP miały na celu realizację zadań przewidzianych w art. 10 ustawy o PIP, tj. kontrolę pracodawcy. Jeszcze raz podkreślić bowiem należy, że w aktach tych nie znajduje się żaden dokument, który potwierdzałby prezentowaną przez skarżącego kasacyjnie wersję wydarzeń, jakoby w dacie zwrócenia się do Naczelnika Urzędu Skarbowego przez GIP było prowadzone wobec podmiotu zewnętrznego (pracodawcy) postępowanie kontrolne i jakoby do ww. wystąpienia doszło w związku z takim postępowaniem.
Oceny tej nie zmienia argumentacja wskazująca na brak przetwarzania danych uczestnika przez Okręgowego Inspektora Pracy w [...] oraz na niezasadne przyjęcie przez Sąd I instancji, że dane osobowe uczestnika pozyskane z Urzędu Skarbowego zostały wykorzystane do rozwiązania z nim stosunku pracy. Wymaga przypomnienia, że przedmiot niniejszej sprawy związany jest z ustaleniem faktu przetwarzania, oraz legalności tego procesu, danych osobowych uczestnika postępowania, zawartych w formularzach PIT-37, przez Państwową Inspekcję Pracy. Z powyższych ustaleń wynika, że do przetwarzania informacji dotyczących dochodów uczestnika postępowania doszło na skutek pisma GIP z 26 września 2017 r. oraz że przetwarzanie to miało miejsce bez podstawy prawnej. Faktem jest, iż ze zgromadzonych dokumentów nie wynika, jakoby to dane uzyskane od Naczelnika Urzędu Skarbowego stanowiły bezpośrednią przyczynę rozwiązania stosunku pracy z uczestnikiem postępowania. Można w tym miejscu odwołać się do pisma z 27 października 2017 r. w przedmiocie rozwiązania stosunku pracy oraz do dołączonych do skargi kasacyjnej wyroków: Sądu Rejonowego dla Łodzi-Śródmieścia z 22 listopada 2018 r. i Sądu Okręgowego w Łodzi z 6 maja 2019 r. W szczególności z ww. orzeczeń wynika, że czynności związane z weryfikacją przestrzegania przez uczestnika zakazu prowadzenia działalności bez zgody pracodawcy wynikały z pisma skierowanego do GIP dotyczącego innego pracownika - nadinspektor, która miała prowadzić szkolenia bez zgody GIP. Powołany zespół kontrolny ustalił, na podstawie zeznań świadków, iż także uczestnik postępowania prowadził działalność szkoleniową na rzecz podmiotów trzecich. Niemniej okoliczności te, a w szczególności okoliczność, która jednostka organizacyjna PIP przetwarzała nielegalnie dane osobowe uczestnika oraz czy w istocie posłużyły one do rozwiązania stosunku pracy z uczestnikiem postępowania, są irrelewantne dla oceny legalności zaskarżonej decyzji, ponieważ dane uczestnika (PITy-37) uzyskane z Urzędu Skarbowego dotyczyły lat 2015 i 2016.
Przechodząc do zarzutów naruszenia prawa materialnego, bezzasadne są zarzuty z pkt II nr 1-3 dotyczące naruszenia art. 4 pkt 7 RODO, art. 28 k.p.a., art. 1, art. 3, art. 4, art. 5, art. 17, art. 18, art. 19 ustawy o Państwowej Inspekcji Pracy. Z poczynionych powyżej ustaleń wynika, że nie ma racji skarżący kasacyjnie twierdząc jakoby nieprawidłowe było przyjęcie, że "ustawowe uprawnienia przyznane są dla organu rozumianego jako "Państwowa Inspekcja Pracy" i są wykonywane za pośrednictwem osób do tego upoważnionych, w tym Głównego Inspektora Pracy. Zdaniem NSA przesądzające znaczenie w tym zakresie przypisać należy art. 4 pkt 7 RODO, a więc przepisowi rangi ponadustawowej, który przez wprowadzenie definicji legalnej administratora kreuje katalog podmiotów posiadających zdolność administracyjną, do którego to katalogu należy zaliczyć PIP jako organ publiczny.
Nie jest także zasadny zarzut z pkt II nr 5 dotyczący naruszenia art. 6 ust. 1 lit. e rozporządzenia RODO w związku z art. 39 pkt 5 w związku z art. 48 ust. 1 i 2 oraz art. 69 ust. 1 ustawy o PIP. Zarzut ten opiera się na twierdzeniu, że GIP jako organ dokonujący czynności ze stosunku pracy wobec pracowników na stanowiskach tzw. inspektorskich, jak również kierujący Państwową Inspekcją Pracy zobowiązany jest czuwać nad zapewnieniem przez urzędników najwyższych standardów, zarówno pod względem profesjonalizmu jak również transparentności w działaniu i uczciwości, co miałoby stanowić podstawę prawną dla zwrócenia się do Naczelnika US o udostępnienie danych podatkowych pracownika i legalnego przetwarzania tych danych osobowych. Naczelny Sąd Administracyjny nie podziela stanowiska, jakoby z przepisów ustawy o PIP możliwe było wywiedzenie podstawy prawnej do przetwarzania przez pracodawcę - PIP danych podatkowych jego pracowników. W szczególności podstawy tej nie można upatrywać w art. 22(1) Kodeksu pracy, w związku z art. 69 ust. 1 ustawy o PIP. Ten drugi przepis wskazuje, że w sprawach wynikających ze stosunku pracy pracowników Państwowej Inspekcji Pracy, nieuregulowanych w ustawie, stosuje się przepisy Kodeksu pracy i inne przepisy prawa pracy. Z kolei art. 22(1) § 5 Kodeksu pracy przewiduje, że udostępnienie pracodawcy danych osobowych niewskazanych wprost w § 1 i § 3 następuje w formie oświadczenia osoby, której dane dotyczą. Należy podkreślić, że w świetle powołanego art. 6 ust. 1 lit. e RODO przetwarzanie danych nie może być uznane za niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi w sytuacji, w której administrator będący organem władzy publicznej wykorzystuje powierzone mu ustawowo kompetencje w celu innym niż dla realizacji zadań tego organu, tj. dla podejmowania czynności z zakresu prawa pracy. Żaden bowiem przepis prawa nie uprawniał pracodawcy, będącego organem władzy publicznej posiadającym kompetencję do uzyskania danych podatkowych osób trzecich, do wykorzystania tych kompetencji do podejmowania czynności w sferze pracowniczej, tj. związanej z zatrudnieniem swojego pracownika. Z tego też względu nie mógł odnieść skutku zarzut z pkt. II nr 4 wskazujący w zakresie podstawy przetwarzania danych na art. 6 ust. 1 lit. c RODO w zw. z art. 10 ust. 1 pkt 3 i art. 14 ust. 1 ustawy o Państwowej Inspekcji Pracy, albowiem skarżący kasacyjnie nie wykazał istnienia obowiązku prawnego ciążącego na administratorze, mogącego świadczyć o legalności przetwarzania danych podatkowych pracownika PIP.
Mając na uwadze powyższe wywody, Naczelny Sąd Administracyjny uznał, że skarga kasacyjna nie ma usprawiedliwionych podstaw, dlatego na mocy art. 184 p.p.s.a. ją oddalił.