III OSK 57/22

III OSK 57/22 - Wyrok NSA
Data orzeczenia
2025-03-20
orzeczenie prawomocne
Data wpływu
2022-01-10
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Paweł Mierzejewski
Rafał Stasikowski /przewodniczący/
Zbigniew Ślusarczyk /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 734/21 - Wyrok WSA w Warszawie z 2021-09-28
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2018 poz 1000
ART. 6 UST. 1 LIT. F
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Rafał Stasikowski Sędziowie sędzia NSA Zbigniew Ślusarczyk (spr.) sędzia del. WSA Paweł Mierzejewski Protokolant asystent sędziego Antoni Cypryjański po rozpoznaniu w dniu 20 marca 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 28 września 2021 r. sygn. akt II SA/Wa 734/21 w sprawie ze skargi Szkoły Podstawowej im. [...] w M. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 12 stycznia 2021 r. nr ZSZZS.440.1079.2019.ZS.JP.107272 w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 28 września 2021 r. sygn. akt II SA/Wa 734/21 wydanym po rozpoznaniu sprawy ze skargi Szkoły Podstawowej im. [...] w M. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 12 stycznia 2021 r. nr ZSZZS.440.1079.2019.ZS.JP.107272 w zakresie punktu 1 (pierwszego) w przedmiocie przetwarzania danych osobowych, na podstawie art. 145 § 1 pkt 1 lit. a) i c) oraz art. 200 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm.) dalej "p.p.s.a." uchylił decyzję w zaskarżonej części (pkt 1) oraz zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz Szkoły Podstawowej im. [...] w M. kwotę 200 zł, tytułem zwrotu kosztów postępowania (pkt 2).
W uzasadnieniu wyroku Sąd I instancji wskazał, że zaskarżoną decyzją organ nakazał Szkole Podstawowej im. [...] w M. (dalej jako "Szkoła") usunięcie danych osobowych M. B. dotyczących stanu majątku oraz dochodów z działalności gospodarczej oraz działalności rolniczej (pkt 1) oraz umorzył postępowanie w zakresie przetwarzania przez Szkołę danych osobowych K. B. (pkt 2). Nieuprawnione przetwarzanie danych miało polegać na pozyskaniu oraz przetwarzaniu przez Dyrektora Szkoły informacji dot. ww. osób, pracownicy Szkoły i jej małżonka, o stanie majątku oraz dochodach zawartych w Centralnej Ewidencji Informacji Działalności Gospodarczej (CEIDG), Krajowym Rejestrze Sądowym (KRS) oraz oświadczeniu majątkowym radnego powiatu. Pozyskane informacje zostały wykorzystane przez Szkołę w celu wypowiedzenia nauczycielowi tej Szkoły umowy o pracę. Szkoła zaskarżyła tę decyzję w części obejmującej nakaz usunięcia danych osobowych M. B. dotyczących stanu majątku oraz dochodów z działalności gospodarczej oraz działalności rolniczej (w zakresie punktu 1 decyzji).
W ocenie Sądu I instancji Prezes UODO błędnie nakazał usunięcie danych osobowych, a stwierdzenia organu były niewystarczające do uznania po stronie Szkoły jako administratora braku prawnie uzasadnionego interesu w przetwarzaniu danych M. B.. Szkoła mogła przetwarzać dane osobowe ww. pracownika, pozyskane z oświadczenia majątkowego, w celu złożenia temu pracownikowi wypowiedzenia. Pozyskanie tych danych znajdowało oparcie w art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1 ze zm.; dalej jako "RODO"), tj. do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Zdaniem Sądu pracodawca może przetwarzać publicznie dostępne informacje dotyczące pracownika w celu złożenia tej osobie wypowiedzenia umowy o pracę. Sąd nie podzielił stanowiska, jakoby art. 22¹ Kodeksu pracy wskazywał kategorie danych osobowych pracownika, jakie może przetwarzać pracodawca, uznając że art. 6 ust. 1 RODO wprowadza odmienne przesłanki przetwarzania danych osobowych.
Zdaniem Sądu organ nie wypełnił obowiązku prawidłowej oceny kryterium przetwarzania wskazanego przez szkołę, gdyż do dokonania tej oceny nie jest wystarczające przytoczenie orzeczenia Sądu Najwyższego dotyczącego pojęcia przyczyn wypowiedzenia umowy o pracę, ocena ta musi bowiem znaleźć oparcie w rozpatrywanej sprawie, czego w uzasadnieniu decyzji zabrakło i doprowadziło to do naruszenia art. 107 § 3 k.p.a.
Mając powyższe na uwadze, w ocenie Sądu I instancji wydając zaskarżoną decyzję organ naruszył przepisy prawa europejskiego, jak i prawa krajowego w stopniu mającym istotny wpływ na końcowy wynik sprawy, do uzasadniało jej uchylenie.
Skargę kasacyjną wniósł Prezes UODO, zaskarżając powyższy wyrok w całości. Zarzucił naruszenie przepisów prawa materialnego, tj.
1. art. 6 ust. 1 lit. f RODO przez jego błędną wykładnię, polegającą na przyjęciu, iż Prezes Urzędu Ochrony Danych Osobowych nie dokonał w niniejszej sprawie prawidłowej oceny przesłanki wskazanej w art. 6 ust. 1 lit. f RODO, gdyż ocena ta nie znalazła oparcia w rozpatrywanej sprawie co doprowadziło do naruszenia art. 107 § 3 k.p.a.,
2. "art. 6 ust. 1 lit. f" przez jego błędną wykładnię, polegającą na przyjęciu, że przetwarzanie, pozyskanych z rejestrów publicznych danych osobowych w celu uzasadnienia wypowiedzenia stosunku pracy znajduje uzasadnienie w art. 6 ust. 1 lit. f RODO.
W oparciu o tak sformułowane zarzuty Prezes UODO wniósł o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, a także o zasądzenie zwrotu kosztów postępowania sądowego.
W uzasadnieniu skargi kasacyjnej wskazał, że w jego ocenie działania Szkoły nie znajdują podstaw w art. 6 ust. 1 RODO. Przyjęcie przeciwnego stanowiska skutkowałyby otwarciem drogi do zalegalizowania przetwarzania danych osobowych w nieograniczonym zakresie pod pretekstem niczym nieuzasadnionej ewentualności wykorzystywania danych, pozyskanych z rejestrów publicznych takich jak KRS, CEIDG jak również oświadczenia majątkowego radnego powiatu przy rozwiązaniu z pracownikiem umowy o pracę. Zakres danych osobowych pracownika, do których przetwarzania pracodawca jest uprawniony został określony w przepisach Kodeksu pracy. Tym samym przetwarzanie wszelkich danych nadmiarowych, nieuzasadnionych przesłanką legalności przetwarzania danych, wynikającą z przepisów RODO, należy uznać za naruszające prawo do ochrony danych osobowych osoby, której dane dotyczą.
W ocenie organu zawarte w rejestrach publicznych dane osobowe podlegają ochronie prawnej i również ich przetwarzanie przez administratora musi wypełniać przesłanki legalności określone w RODO. Prezes UODO zwrócił uwagę, że żadna przesłanka z art. 6 lub art. 9 ust. 2 RODO nie przewiduje możliwości legalnego przetwarzania danych osobowych w sytuacji, w której dane te są ogólnodostępne lub pochodzą z rejestrów publicznych. Każde przetwarzanie danych osobowych przez administratora, w tym takie jak w omawianej sprawie ich wykorzystanie przez Szkołę w ww. celu wymagało wskazania przez Szkołę podstaw prawnych, wynikających z przepisów RODO lub innych aktów prawnych, regulujących kwestię przetwarzania danych osobowych.
Naczelny Sąd Administracyjny zważył, co następuje.
Zgodnie z art. 183 § 1 ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tj.: Dz.U. z 2024 r., poz. 935) - zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania.
W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej.
W skardze kasacyjnej podniesiono tylko zarzuty naruszenia prawa materialnego. Zatem oceny tych zarzutów Naczelny Sąd Administracyjny dokonał w oparciu o stan faktyczny i jego ocenę dokonaną przez Sąd I instancji. Obydwa zarzuty dotyczą błędnej wykładni art. 6 ust. 1 lit. f) RODO, zatem zostały rozpoznane łącznie. Autor skargi kasacyjnej błędnej wykładni tego przepisu upatruje w przyjęciu przez Sąd I instancji, że organ "nie dokonał w niniejszej sprawie prawidłowej oceny przesłanki, wskazanej w art. 6 ust. 1 lit. f) RODO, gdyż ocena ta nie znalazła oparcia w rozpatrywanej sprawie co doprowadziło do naruszenia art. 107 § 3 k.p.a." a także w przyjęciu, że "przetwarzanie, pozyskanych z rejestrów publicznych danych osobowych w celu uzasadnienia wypowiedzenia stosunku pracy znajduje uzasadnienie w art. 6 ust. 1 lit. f) RODO". W ocenie Naczelnego Sądu Administracyjnego zarzuty te nie są zasadne.
Stosownie do treści przepisu art. 6 ust. 1 lit. f) RODO przetwarzanie jest zgodne z prawem, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. W niniejszej sprawie Szkoła wskazała, że pozyskanie danych osobowych uczestniczki z CEIDG, KRS oraz oświadczenia majątkowego radnego powiatu wynikało z obowiązku zadośćuczynienia wszelkim nakazom nałożonym przez przepisy prawa w zakresie uzasadnienia wypowiedzenia stosunku pracy z uczestniczką, wynikającym w szczególności z art. 30 § 4 Kodeksu Pracy. Zdaniem Szkoły, przetwarzanie publicznie dostępnych danych uczestniczki – jako osoby prowadzącej działalność gospodarczą czy pełniącej określone funkcje w podmiotach podlegających wpisowi do KRS, znajduje oparcie w art. 6 ust. 1 lit. f) RODO.
Przed odniesieniem się do podniesionych zarzutów należy tu zacytować w całości stanowisko Prezesa UODO zajęte w zaskarżonej decyzji nawiązujące do treści art. 6 ust. 1 lit. f) RODO. Prezes UODO stwierdził w niej, że "pojęcie prawnie uzasadnionego interesu prawnego" (w art. 6 ust. 1 lit. f) RODO jest mowa o prawnie uzasadnionych interesach) "należy rozumieć nie jako interes wynikający z przepisów prawa, lecz jako interes zgodny z prawem. Owa zgodność z prawem stanowi ograniczenie pojęcia interesu administratora jako potencjalnej podstawy do przetwarzania danych osobowych. Wykładnia pojęcia prawnie uzasadnionego interesu powinna być zatem szeroka i obejmować interesy gospodarcze, faktyczne czy prawne." Organ podzielił ponadto stanowisko Sądu Najwyższego zawarte w wyroku z 16 kwietnia 2019 r. (I PK 20/18), w którym wskazano, że "kryteria oceny zasadności wypowiedzenia, jak dotychczasowy stosunek do pracy, staż pracy, kwalifikacje zawodowe, nie mieszczą się w pojęciu przyczyny wypowiedzenia. Stanowią jedynie kryteria oceny zasadności tej przyczyny. Tym bardziej w pojęciu tym nie mieszczą się takie okoliczności, jak sytuacja rodzinna, osobista czy majątkowa. Zgodnie z ustalonym stanowiskiem Sądu Najwyższego są one bowiem rozpatrywane w płaszczyźnie zasad współżycia społecznego, a ich naruszenie nie oznacza niezasadności wypowiedzenia, lecz jego sprzeczność z zasadami współżycia". W związku z powyższym Prezes UODO stwierdził, że "działania podjęte przez administratora, polegające na zamieszczeniu w treści wypowiedzenia stosunku pracy, danych osobowych skarżącej, pozyskanych z ogólnodostępnych rejestrów publicznych nie znajdują podstaw w przepisach RODO oraz stanowią naruszenie art. 6 ust. 1 RODO".
Już tylko na podstawie tego lakonicznego stanowiska Prezesa UODO należy zgodzić się z poglądem Sądu I instancji, że organ nie dokonał w niniejszej sprawie prawidłowej oceny przesłanki, wskazanej w art. 6 ust. 1 lit. f) RODO, gdyż ocena ta nie znalazła oparcia w rozpatrywanej sprawie, co doprowadziło do naruszenia art. 107 § 3 k.p.a.
Przepis art. 6 ust. 1 lit. f) RODO kierowany jest do administratorów danych osobowych i stron trzecich. W realiach niniejszej sprawy należało przede wszystkim ocenić, czy przetwarzanie danych osobowych przez administratora, (którym jest Szkoła) jest niezbędne do celów (tu wypowiedzenie umowy o pracę) wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Spór w niniejszej sprawie dotyczy wykładni pojęcia "prawnie uzasadniony interes". Naczelny Sąd Administracyjny zgadza się z Sądem I instancji, że może to być interes faktyczny, gospodarczy lub prawny, ale taki, który jest zgodny z prawem. Dla realizacji celu wynikającego z tak rozumianego interesu administratora przetwarzanie musi być niezbędne. Oznacza to rozsądną potrzebę dla realizacji tego celu.
W niniejszej sprawie Szkoła zawarła w wypowiedzeniu umowy poza główną przyczyną wypowiedzenia - redukcją zatrudnienia - również kryteria jakimi się kierowała przy doborze pracowników do zwolnienia, w tym kryterium dotyczące sytuacji materialnej, które zostało poparte danymi z publicznych jawnych rejestrów oraz jawnym oświadczeniem majątkowym. To w ocenie Naczelnego Sądu Administracyjnego daje podstawę do przyjęcia, że przetwarzanie przez Szkołę, w celu uzasadnienia wypowiedzenia, dostępnych w jawnych źródłach danych osobowych skarżącej - znajduje oparcie w powołanym już art. 6 ust. 1 lit. f RODO w związku z art. 34 § 4 Kodeksu pracy. Należy bowiem przyjąć, że przetwarzanie danych osobowych uczestniczki pozyskanych przez Szkołę z jawnych rejestrów i jawnego oświadczenia, było niezbędne do celu jakiemu służyło, tj. do wypowiedzenia nauczycielowi umowy o pracę, ze wskazaniem przyczyny wypowiedzenia i kryteriów jakimi kierował się pracodawca przy doborze pracowników do zwolnienia. Zatem należy uznać, że cel ten wynikał z prawnie uzasadnionego interesu realizowanego przez Szkołę.
Odnosząc się do przywołanego przez organ wyroku Sądu Najwyższego z 16 kwietnia 2019 r. (I PK 20/18), należy zauważyć, że po pierwsze, z jego stanowiska wynika, iż w wypowiedzeniu stosunku pracy konieczne jest podanie jego przyczyny, ale to nie wyklucza powołanie się również na kryteria zasadności tej przyczyny, takie jak: sytuacja rodzinna, osobista czy majątkowa, które należy ocenić na płaszczyźnie zasad współżycia społecznego. Wbrew twierdzeniom organu, powołanie się na dane osobowe pracownika dotyczące jego majątku i dochodów jako kryterium zasadności wypowiedzenia umowy o pracę, nie powoduje automatycznie, "że wypowiedzenie, aczkolwiek uzasadnione w rozumieniu art. 45 Kodeksu Pracy, jest sprzeczne z zasadami współżycia społecznego (art. 8 Kodeksu Pracy)". Po wtóre, jak to już stwierdził Sąd I instancji, Sąd Najwyższy w innych orzeczeniach odmiennie interpretuje kwestie związane z doborem kryterium do wypowiedzenia. W orzecznictwie istnieje bowiem rozbieżność w tym zakresie. Przykładowo w wyroku z 30 września 2014 r. (sygn. akt I PK 33/14) Sąd Najwyższy wskazał, że pracodawca obowiązany jest określić w wypowiedzeniu kryteria doboru pracowników do zwolnienia. Ponadto, zdaniem Naczelnego Sądu Administracyjnego, na przeszkodzie przywołaniu w wypowiedzeniu umowy o pracę danych osobowych z jawnych rejestrów i oświadczenia, nie stoi na przeszkodzie treść art. 22¹ Kodeksu Pracy. W skardze kasacyjnej nie podniesiono zarzutu naruszenia tego przepisu przez Sąd I instancji. Zatem oceniając zarzuty podniesione w skardze kasacyjnej, należy oprzeć się na wykładni tego przepisu przyjętej przez Sąd I instancji. Sąd ten nie zgodził się z taką wykładnią tego przepisu, która by wskazywała na to, że pracodawca może przetwarzać jedynie dane osobowe pracownika wymienione w art. 22¹ Kodeksu Pracy. Jak to bowiem prawidłowo przyjął Sąd I instancji to treść art. 6 ust. 1 RODO wskazuje w jakich sytuacjach przetwarzanie danych jest dopuszczalne, tj. gdy spełniona jest co najmniej jedna z przesłanek wskazanych w tym przepisie. Na marginesie należy też zauważyć, że stanowisko Prezesa UODO, o ograniczeniu przetwarzania danych osobowych pracownika w wypowiedzeniu umowy o pracę, tylko do danych osobowych wskazanych w art. 22¹ Kodeksu Pracy, doprowadziłoby do sytuacji, w której przykładowo, pracodawca w wypowiedzeniu umowy o pracę nie mógłby powołać się na dane dotyczące zdrowia pracownika, które uniemożliwiałyby dalsze zatrudnienie, a które to dane osobowe nie są wskazane w art. 22¹ Kodeksu Pracy.
Rację ma także Sąd I instancji twierdząc, że przetwarzanie pozyskanych z jawnych rejestrów publicznych danych osobowych w celu uzasadnienia wypowiedzenia stosunku pracy znajduje uzasadnienie w art. 6 ust. 1 lit. f) RODO. Stwierdzenie te należy odczytywać w kontekście wymogu zgodności interesu administratora danych z prawem wskazanego w przedmiotowym przepisie. Z tych względów Sąd I instancji przeprowadził analizę prawną przepisów ustawy z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym (Dz. U. z 2018 r. poz. 986 ze. zm.), w tym art. 8, art. 13, art. 35 pkt 1, art. 36 pkt 2 i 5-7, art. 38 pkt 4 i 8 i art. 39 pkt 1 i 3, i przepisu art. 45 ustawy z dnia 6 marca 2018 r. o Centralnej Ewidencji o Działalności Gospodarczej i Punkcie Informacji dla Przedsiębiorcy (Dz. U. 2020.2296 t.j.) oraz przepisów ustaw o samorządzie gminnym, samorządzie powiatowym i samorządzie województwa, z których wynika, że informacje zawarte w tych rejestrach i oświadczeniach są jawne. Zatem ich przetwarzanie przez Szkołę w wypowiedzeniu pracownikowi umowy o pracę jest zgodne z tymi przepisami prawa. Natomiast organ, w zaskarżonej decyzji, oprócz wskazanej już regulacji zawartej w art. 22¹ Kodeksu Pracy, nie wskazał przepisów, które naruszyłaby realizacja przez Szkołę interesu przejawiającego się w konieczności redukcji zatrudnienia i związanego z tym wypowiedzenia uczestniczce umowy o pracę, według kryteriów wymaganych przez prawo, przetwarzając dane pracownicy uzyskane z publicznych rejestrów, tj. Centralnej Ewidencji Informacji Działalności Gospodarczej (CEIDG), Krajowego Rejestru Sądowego (KRS) oraz oświadczenia majątkowego radnego powiatu. Przy czym podkreślić należy, że dane osobowe uczestniczki dotyczące stanu majątku, dochodów z działalności gospodarczej oraz działalności rolniczej, były przetwarzane przez pracodawcę tylko w celu wypowiedzenia jej umowy o pracę.
Odnosząc się do argumentacji organu zawartej w uzasadnieniu skargi kasacyjnej, stwierdzić ponadto trzeba, iż niezasadne jest twierdzenie organu, że przyjęcie stanowiska Sądu prowadziłoby do otwarcia drogi do zalegalizowania przetwarzania danych z rejestrów w nieograniczonym zakresie. Organ zdaje się zapominać, że Szkoła przetwarzała dane osobowe uczestniczki dostępne w publicznych rejestrach uczestniczki tylko w określonym celu. Cel ten podlega ocenie co do zgodności z wymogami przepisu art. 6 ust. 1 RODO. Zatem, na podstawie stanowiska Sądu I instancji nie sposób wywieść aby dane osobowe zawarte w publicznych rejestrach mogłyby być przetwarzane be ograniczeń. Sąd I instancji, wyraźnie podkreślił, że przetwarzanie danych osobowych pracowników może odbywać się tylko zgodnie z treścią art. 6 ust. 1 RODO. Ponadto, Naczelny Sąd Administracyjny zauważa, że nie przeczy zaliczeniu celu przetwarzania danych osobowych uczestniczki jako prawnie uzasadnionego interesem administratora, treść motywów 47-49 RODO, skoro jak sam przyznaje organ, zawierają one otwarty katalog prawnie uzasadnionych interesów administratora.
Mając na uwadze powyższe wywody, Naczelny Sąd Administracyjny uznał, że skarga kasacyjna nie ma usprawiedliwionych podstaw, dlatego na mocy art. 184 p.p.s.a. ją oddalił.