Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Stanisław Marek Pietras (spr.), Sędzia WSA - Andrzej Kołodziej, Sędzia WSA - Przemysław Szustakiewicz, Protokolant Eliza Kusy, po rozpoznaniu na rozprawie w dniu 28 października 2009 r. sprawy ze skargi B. S.A. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2008 r. nr [...] w przedmiocie nakazu zaprzestania pozyskiwania danych osobowych - uchyla zaskarżoną decyzję oraz decyzję ją poprzedzającą z dnia [...] czerwca 2008 r. nr [...], - zaskarżona decyzja nie podlega wykonaniu w całości, - zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz B. S.A. z siedzibą w W. kwotę 440 (czterysta czterdzieści złotych) tytułem zwrotu kosztów postępowania.

Zastępca Dyrektora Departamentu Kadr B. S.A. pismem z dnia [...] sierpnia 2007 r., powołując się na art. 30 ust. 21 ustawy z dnia 23 maja 1991 r. o związkach zawodowych (tekst jedn. z 2001 r. Dz. U. Nr 79, poz. 854 ze zm.), wystąpił m.in. do Przewodniczącego Komisji Zakładowej N. przy B. S.A. o udzielenie informacji w formie wykazu o osobach korzystających z ochrony związku zawodowego.

W tej sytuacji Przewodniczący oraz zastępcy Komisji Zakładowej N. przy B. S.A., wnieśli do Generalnego Inspektora Ochrony Danych Osobowych o wydanie decyzji w sprawie przetwarzania danych osobowych członków związku przez B. S.A. W ocenie wnioskodawców, Departament Kadr B. żądając od związku zawodowego imiennej listy osób objętych ochroną związkową wykracza poza zakres upoważnienia zawartego w przepisach prawa w tym z art. 27 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. z 2002 r. Dz. U. Nr 101, poz. 926 z późn. zm.) oraz art. 221 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (tekst jedn. z 1998 r. Dz. U. Nr 21 poz. 94 z późn. zm.).

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] czerwca 2008 r. nr [...], działając na podstawie art. 104 § 1 Kodeksu postępowania administracyjnego, art. 12 pkt 2 oraz art. 26 ust. 1 pkt 3 i 18 ust. 1 pkt 2 w z art. 27 ust. 2 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. z 2002 r. Dz. U. Nr 101, poz. 926 ze. zm.) w zw. z art. 30 ust. 21 ustawy z dnia 23 maja 1991 r. o związkach zawodowych (tekst jedn. z 2001 r. Dz. U. Nr 79, poz. 854 ze zm.), nakazał B. S.A., z siedzibą w W. [...] zaprzestanie praktyki polegającej na pozyskiwaniu od N. przy B. S.A. z siedzibą w W. [...], informacji o osobach korzystających z obrony wyżej wymienionego związku zawodowego w formie imiennej listy pracowników. W uzasadnieniu – wskazując na opisany już powyżej stan faktyczny – podał, że dane osobowe ujawniające przynależność związkową należą do kategorii danych tzw. "szczególnie chronionych", wymienionych w art. 27 ust. 1 ustawy o ochronie danych osobowych i zgodnie z powołanym przepisem, zabrania się przetwarzania danych ujawniających pochodzenie etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. Zatem powołanym przepisem wprowadza się zakaz przetwarzania (w tym ich zbierania) danych ujawniających przynależność związkową. Jednakże przedmiotowy zakaz nie ma charakteru bezwzględnego, gdyż przetwarzanie tego rodzaju danych jest dopuszczalne po spełnieniu przez administratora danych, co najmniej jednej z przesłanek enumeratywnie wymienionych w art. 27 ust. 2 ustawy, tzn. przetwarzanie danych tzw. "szczególnie chronionych" jest dopuszczalne wyłącznie w sytuacji, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę na piśmie, chyba że chodzi o usunięcie dotyczących jej danych, 2) przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony, 3) przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, gdy osoba, której dane dotyczą, nie jest fizycznie lub prawnie zdolna do wyrażenia zgody, do czasu ustanowienia opiekuna prawnego lub kuratora, 4) jest to niezbędne do wykonania statutowych zadań kościołów i innych związków wyznaniowych, stowarzyszeń, fundacji lub innych niezarobkowych organizacji lub instytucji o celach politycznych, naukowych, religijnych, filozoficznych lub związkowych, pod warunkiem, że przetwarzanie danych dotyczy wyłącznie członków tych organizacji lub instytucji albo osób utrzymujących z nimi stałe kontakty w związku z ich działalnością i zapewnione są pełne gwarancje ochrony przetwarzanych danych, 5) przetwarzanie dotyczy danych, które są niezbędne do dochodzenia praw przed sądem, 6) przetwarzanie jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie, 7) przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych, 8) przetwarzanie dotyczy danych, które zostały podane do wiadomości publicznej przez osobę, której dane dotyczą, 9) jest to niezbędne do prowadzenia badań naukowych, w tym do przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego; publikowanie wyników badań naukowych nie może następować w sposób umożliwiający identyfikację osób, których dane zostały przetworzone,10) przetwarzanie danych jest prowadzone przez stronę w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym. Ponadto z punktu widzenia zasad przetwarzania danych ujętych w ustawie o ochronie danych osobowych, nawet legitymowanie się przez administratora danych podstawą do gromadzenia danych osobowych nie upoważnia go do ich zbierania w zakresie szerszym, niż jest to niezbędne do realizacji celu, dla którego dane są zbierane. Zgodnie bowiem z art. 26 ust. 1 pkt 3 ustawy, administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane, zaś adekwatność danych w stosunku do celu ich przetwarzania powinna być rozumiana jako równowaga pomiędzy uprawnieniem osoby do dysponowania swoimi danymi, a interesem administratora danych i administrator danych nie może w żaden sposób stawiać swego interesu ponad dobro osoby, której dane przetwarza. Stąd też równowaga będzie zachowana, jeżeli administrator zażąda danych tylko w takim zakresie, w jakim jest to niezbędne do wypełnienia celu, w jakim dane są przez niego przetwarzane i z przepisu tego wynika w szczególności zakaz zbierania wszelkich danych dla celu zebrania danych nieistotnych, niemających znaczenia, jak i danych o większym, niż uzasadniony tym celem, stopniu szczegółowości, zaś relewantność danych powinna być oceniana najpóźniej w momencie ich zbierania. W dalszej części podał, że wprawdzie przepisy ustawy o ochronie danych osobowych określają zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy), to jednak źródło tej ochrony wynika przede wszystkim z Konstytucji RP, bowiem stosownie do treści art. 51 ust. 5, zasady i tryb gromadzenia oraz udostępniania informacji o osobie określa ustawa, zaś dyspozycję powołanego powyżej przepisu wypełnia właśnie ustawa o ochronie danych osobowych. Ponadto, zgodnie z art. 47 Konstytucji RP, każdy ma prawo do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym, a w art. 51 wprowadza się nową kategorię prawa jednostki do ochrony danych osobowych, w zakres którego wchodzi m.in. warunek ustawowej podstawy ujawnienia przez jednostkę informacji dotyczących jej osoby i przytoczone przepisy pozostają w określonej relacji wzajemnej: prawo do prywatności, statuowane w art. 47, zagwarantowane jest m.in. w aspekcie ochrony danych osobowych, przewidzianej w art. 51 (vide: wyrok Trybunału Konstytucyjnego z dnia 19 maja 1998 r. U. 5/97 OTK ZU 1998/4 poz. 46 Prokuratura i Prawo - dodatek 1998/9 poz. 51, podobnie postanowienie Trybunału Konstytucyjnego z dnia 24 czerwca 1998 r. U. 4/97 OTK ZU 1998/4 poz. 54). Natomiast, w wyroku z dnia 24 czerwca 1997 r. Trybunał Konstytucyjny wskazując rangę prawa do prywatności uznał m.in., iż nie ma ono charakteru absolutnego i może podlegać ograniczeniom. Konieczne jest przy tym jednak, by ograniczenia tego prawa formułowane były w sposób czyniący zadość wymaganiom konstytucyjnym. Zdaniem Trybunału Konstytucyjnego oznacza to, że ograniczenie prawa bądź wolności może nastąpić tylko jeżeli przemawia za tym inna norma, zasada lub wartość konstytucyjna, a stopień tego ograniczenia musi pozostać w odpowiedniej proporcji do rangi interesu, któremu ograniczenie to ma służyć (orzeczenie Trybunału Konstytucyjnego z dnia 24 czerwca 1997 r. K. 21/96 OTK ZU 1997/2 poz. 23 Prokuratura i Prawo - dodatek 1997/10 poz. 60). Z powyższego zatem jednoznacznie wynika, iż przepisy ustawy o ochronie danych osobowych odzwierciedlają konstytucyjne prawo każdej jednostki do ochrony prywatności, tj. prawa do ochrony danych osobowych. Niezależnie od powyższego organ podał, że zgodnie z art. 30 ust. 21 ustawy o związkach zawodowych, w indywidualnych sprawach ze stosunku pracy, w których przepisy prawa pracy zobowiązują pracodawcę do współdziałania z zakładową organizacją związkową, pracodawca jest obowiązany zwrócić się do tej organizacji o informację o pracownikach korzystających z jej obrony, zgodnie z przepisami ust. 1 i 2. Nieudzielenie tej informacji w ciągu 5 dni, zwalnia pracodawcę od obowiązku współdziałania z zakładową organizacją związkową w sprawach dotyczących tych pracowników. Powyższy przepis stanowi rozwinięcie zasady wyrażonej w art. 232 ustawy Kodeks pracy, w świetle której, jeżeli przepisy prawa pracy przewidują współdziałanie pracodawcy z zakładową organizacją związkową w indywidualnych sprawach ze stosunku pracy (np. art. 38 Kodeksu pracy), pracodawca ma obowiązek współdziałać w takich sprawach z zakładową organizacją związkową reprezentującą pracownika z tytułu jego członkostwa w związku zawodowym albo wyrażenia zgody na obronę praw pracownika nie zrzeszonego w związku – zgodnie z ustawą o związkach zawodowych. W tej sytuacji przepisy art. 30 ust. 21 ustawy o związkach zawodowych oraz art. 232 ustawy Kodeks pracy nie upoważniają B. – zdaniem organu – do pozyskiwania od związku zawodowego w formie imiennej listy, danych osobowych pracowników korzystających z ochrony wyżej wymienionego związku zawodowego, bowiem narusza to jedną z podstawowych zasad przetwarzania danych osobowych, jaką jest zasada adekwatności, zaś B. pozyskuje w ten sposób dane osobowe pracowników objętych ochroną związkową również na zapas (ewentualna realizacja trybu z art. 38 Kodeksu pracy, może ale nie musi się rozpocząć), co w świetle przepisów ustawy jest niedopuszczalne. Ponadto organ nie kwestionuje prawa B. do pozyskiwania informacji o pracownikach korzystających z ochrony związkowej, ale jedynie sposób realizacji tego prawa i stąd też, mając na uwadze unormowania wynikające przede wszystkim z przepisów ustawy o ochronie danych osobowych, B. powinien realizować prawo z art. 30 ust. 2 ustawy o związkach zawodowych poprzez indywidualne wystąpienie odnoszące się do poszczególnego pracownika.

We wniosku z dnia 16 lipca 2008 r. do Generalnego Inspektora Ochrony Danych Osobowych o ponowne rozpatrzenie sprawy, B. S.A. zarzucił zaskarżonej decyzji;

1. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj.:

– art. 30 ust. 21 ustawy z dnia 23 maja 1991 r. o związkach zawodowych (tekst jedn. z 2001 r. Dz. U. Nr 79, poz. 854 ze zm.) w zw. z art. 232 Kodeksu pracy poprzez błędną ich wykładnię i przyjęcie, że nie stanowią one podstawy zwrócenia się do zakładowej organizacji związkowej o przekazanie imiennej listy jej członków,

– art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych poprzez błędną jego wykładnię i przyjęcie, że zwrócenie się do zakładowej organizacji związkowej o przekazanie imiennej listy jej członków jest nieadekwatne do celu, w jakim te dane osobowe są przetwarzane,

– art. 27 ust. 2 pkt 6 ustawy o ochronie danych osobowych poprzez jego niezastosowanie jako podstawy prawnej do przetwarzania przez wnioskodawcę danych o przynależności związkowej,

2. naruszenie prawa procesowego, które miało wpływ na wynik sprawy polegające na wydaniu niewykonalnej decyzji

i w tej sytuacji wniósł o uchylenie zaskarżonej decyzji lub ewentualnie o jej zmianę poprzez odmowę uwzględnienia wniosku N. przy B. S.A. W uzasadnieniu podano, że decyzja ta jest niewykonalna, bowiem B. w sposób regularny nie zwracał się do zakładowych organizacji związkowych o przekazywanie danych osobowych (poza jednorazowym pismem z dnia 28 sierpnia 2007 r.), a tak należy rozumieć nakaz polegający na zaprzestaniu "praktyki". W konsekwencji zatem B. nie może zaprzestać praktyki, której nigdy nie stosował. W dalszej części wskazano, że w decyzji pominięto rzeczywistą podstawę uprawniającą B. do przetwarzania danych "wrażliwych", a mianowicie art. 27 ust.2 pkt 6 ustawy o ochronie danych osobowych dopuszczający przetwarzanie tych danych pod warunkiem spełnienia łącznie dwóch przesłanek, tj. dane muszą być niezbędne dla wykonywania zadań administratora danych osobowych odnoszących się do zatrudnienia oraz zakres tego przetwarzania powinien określać akt ustawowy, a w sprawie jest to niezbędne do prawidłowego wykonywania zadań pracodawcy odnoszących się do zatrudnienia i zakres oraz cel przetwarzania tych danych określa art. 30 ust. 21 ustawy o związkach zawodowych. Natomiast zawarty w art. 232 Kodeksu pracy obowiązek współdziałania pracodawcy w indywidualnych sprawach ze stosunku pracy ulega konkretyzacji w dwóch sytuacjach, tj. zawiadomienia zakładowej organizacji związkowej o zamiarze wypowiedzenia umowy o pracę (art. 38 k.p.) oraz w przypadku zasięgania opinii w procedurze rozwiązania umowy bez wypowiedzenia (art. 52 § 3 k.p.) i w konsekwencji pracodawca musi wiedzieć, której z działających u niego organizacji związkowych pracownik jest członkiem lub która z tych organizacji podjęła się obrony praw pracownika. Ponadto informacja, o której mowa w art. 30 ust.21 ustawy o związkach zawodowych powinna zawierać zarówno imienny wykaz członków organizacji związkowej będących pracownikami B., jak i wykaz pracowników niezrzeszonych, których praw broni ta organizacja, bowiem w przeciwnym razie pracodawca jest zwolniony od konsultacji związkowej. W dalszej części powołując się na orzecznictwo B. wskazał, że powyższy przepis mówi o jednej informacji dotyczącej pewnej zbiorowości, a nie o informacjach dotyczących poszczególnych pracowników, a obowiązek zasięgnięcia stosownej informacji związany jest z pewną kategorią spraw, a nie z konkretną sprawą. Zatem, jeśli wolą ustawodawcy byłoby każdorazowe zasięganie informacji, to wskazałby, iż w każdej sprawie, w której przepisy wymagają współdziałania z zakładową organizacją związkową, podmiot zatrudniający powinien zasięgać informacji o tym, czy konkretny pracownik, którego dotyczy dana sprawa, korzysta ze związkowej reprezentacji. W konsekwencji obowiązek pracodawcy określony w powołanym przepisie ma charakter jednorazowy, a wszelkie zmiany w reprezentacji pracowników organizacje związkowe powinny sygnalizować pracodawcy bez ponownego zwrócenia się o informację. Niezależnie od powyższego B. stwierdził, że stanowisko organu stoi w sprzeczności z orzecznictwem Sądu Najwyższego i nie uwzględnia charakteru procedur konsultacyjnych zamiaru wypowiedzenia oraz rozwiązania umowy o pracę, która nie obejmuje określonego w art. 30 ust. 21 ustawy o związkach zawodowych, obowiązku zwracania do zakładowej organizacji związkowej o informację o pracownikach korzystających z jej ochrony. Gdyby zaś istniała konieczność każdorazowego uzyskiwania informacji o konkretnym pracowniku, to byłaby to część procedury konsultacyjnej i zostałaby określona w przepisach kodeksu pracy, lecz ustawodawca jasno określił ramy procedury konsultacyjnej, która rozpoczyna się od zawiadomienia zakładowej organizacji związkowej reprezentującej pracownika o zamiarze wypowiedzenia lub rozwiązania stosunku pracy, a nie od uzyskiwania każdorazowo informacji o fakcie reprezentowania, co niepotrzebnie wydłużałoby procedurę związaną ze stosowaniem art. 38 § 1 i art. 52 § 3 k.p. Stąd też prośba zawarta przez B. w piśmie z dnia [...] sierpnia 2007 r. jest adekwatna do celu, w jakim te dane mają być przetwarzane, a celem powyższego jest zapewnienie prawidłowego i zgodnego z Kodeksem pracy oraz z ustawą o związkach zawodowych wykonania nałożonego na pracodawcę obowiązku współdziałania z zakładowymi organizacjami związkowymi w indywidualnych sprawach ze stosunku pracy, które znajdują uzasadnienie w procedurze wypowiadania i rozwiązywania stosunków pracy oraz miała ona na celu interes administratora danych, wyrażający się w uproszczeniu tych procedur i leżałaby również w interesie samych pracowników, poprzez umożliwienie im skorzystania z przysługujących uprawnień (możliwość ochrony ich praw przez reprezentujące ich organizacje związkowe). Zatem nie można tu mówić o stawianiu interesu B. ponad dobro pracownika, a w konsekwencji o naruszeniu zasady adekwatności. Ponadto zakres żądanych danych (imiona i nazwiska), nie wykracza poza potrzeby wynikające z ich zbierania. Reasumując, sposób pozyskiwania przedmiotowych informacji nie narusza praw i wolności określonych w Konstytucji RP i nie można stracić z pola widzenia ograniczeń wynikających z art. 51 Ustawy zasadniczej, zaś B. jest uprawniony do zwracania się do zakładowych organizacji związkowych o przekazanie oraz aktualizację imiennej listy pracowników będących członkami związku oraz imiennej listy pracowników niezrzeszonych, a korzystających z ich obrony.

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] października 2008 r. nr [...], mając za podstawę m.in. art. 138 § 1 pkt 1 k.p.a., utrzymał w mocy zaskarżoną decyzję z dnia [...] czerwca 2008 r. W uzasadnieniu natomiast – powołując się na zawarte w niej argumenty – podał, że w myśl art. 27 ust. 2 pkt 6 ustawy o ochronie danych osobowych, przetwarzanie danych tzw. szczególnie chronionych jest dopuszczalne, gdy jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie, zaś w rozpoznawanej sprawie nie zaistniała taka sytuacja, bowiem administrator danych zatrudniający inne osoby może przetwarzać takie dane szczególnie chronione, które są mu niezbędne do wykonywania swych praw i obowiązków wynikających z faktu zatrudniania innych osób, a mających swoje źródło głównie w przepisach prawa pracy. Ponadto w doktrynie wskazuje się, że możliwość przetwarzania danych dotyczących przynależności związkowej pracowników i innych zatrudnionych wynika przede wszystkim z art. 30 ust. 2 ustawy o związkach zawodowych (J. Barta, P. Fajgielski, R. Markiewicz "Ochrona danych osobowych. Komentarz", Wolters Kluwer Polska Sp. z o.o., Warszawa 2007, 4. wydanie, s. 531) i w myśl tego przepisu pracownik niezrzeszony w związku zawodowym ma prawo do obrony swoich praw na zasadach dotyczących pracowników będących członkami związku, jeżeli wybrana przez niego zakładowa organizacja związkowa wyrazi zgodę na obronę jego praw pracowniczych. Ponadto w sprawie zasadnicze znaczenie ma wskazanie, jakich sytuacji przewidzianych w przepisach prawa pracy dotyczy art. 30 ust. 21 ustawy o związkach zawodowych i skoro jest w nim mowa o indywidualnych sprawach ze stosunku pracy, to odnosi się to do ochrony stosunku pracy indywidualnego pracownika, którą zapewniają w szczególności przepisy art. 38 § 1 Kodeksu pracy (wypowiedzenie umowy o pracę na czas nieokreślony), art. 52 § 3 tej ustawy (rozwiązanie umowy o pracę bez wypowiedzenia z winy pracownika) i art. 177 § 1 Kodeksu pracy (rozwiązanie umowy o pracę w okresie ciąży lub urlopu macierzyńskiego bez wypowiedzenia z winy pracownicy). W konsekwencji oznacza to, że pozyskiwanie informacji o przynależności związkowej pracownika w toku konsultacji ze związkami zawodowymi jest uzasadnione w razie zamiaru rozwiązania umowy o pracę z konkretnym pracownikiem i dlatego brak jest podstaw do pozyskiwania przez B. od związku zawodowego danych osobowych we wskazanym zakresie w odniesieniu do wszystkich pracowników korzystających z ochrony danego związku zawodowego w sytuacji, gdy nie są oni objęci zamiarem pracodawcy rozwiązania z nimi umów o pracę, zaś w niniejszej sprawie żądanie B. dotyczyło właśnie udostępnienia wykazu pracowników korzystających z ochrony związku zawodowego, a w ten sposób ich danych osobowych w zakresie przynależności związkowej, mimo braku istnienia po stronie pracodawcy zamiaru rozwiązania z nimi umów o pracę. W dalszej części wskazano, że z punktu widzenia zasad przetwarzania danych określonych w ustawie o ochronie danych osobowych legitymowanie się przez administratora danych podstawą do gromadzenia danych osobowych, nie upoważnia go do ich zbierania w zakresie szerszym niż jest to niezbędne do realizacji celu, dla którego dane są zbierane, bowiem w myśl art. 26 ust. 1 pkt 3 ustawy, administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane, a adekwatność danych w stosunku do celu ich przetwarzania powinna być rozumiana jako równowaga pomiędzy uprawnieniem osoby do dysponowania swoimi danymi a interesem administratora danych. Stąd też administrator danych nie może w żaden sposób stawiać swego interesu ponad dobro osoby, której dane przetwarza i równowaga będzie zachowana, jeżeli administrator zażąda danych tylko w takim zakresie, w jakim jest to niezbędne do wypełnienia celu, w jakim dane są przez niego przetwarzane. Stąd też przepisy art. 30 ust. 21 ustawy o związkach zawodowych oraz art. 232 Kodeksu pracy nie upoważniają B. do pozyskiwania od związku zawodowego, za pomocą imiennej listy pracowników, danych osobowych wszystkich pracowników korzystających z ochrony tego związku. Jeżeli bowiem, nie wszystkim tym osobom, B. zamierza wypowiadać czy rozwiązywać bez wypowiedzenia umowy o pracę — bo przecież ewentualna realizacja trybu określonego w szczególności w art. 38, art. 52 § 3 i art. 177 § 1 Kodeksu pracy może wprawdzie nastąpić, ale nie musi – to żądając wykazu pracowników korzystających z ochrony związku zawodowego, pracodawca pozyskuje dane osobowe w zakresie przynależności związkowej wszystkich takich pracowników, w tym również także tych, wobec których nie zamierza podejmować wskazanych powyżej działań i w ocenie organu pozyskiwanie w ten sposób przedmiotowych danych narusza omówioną powyżej zasadę adekwatności, stanowiącą jedną z podstawowych zasad przetwarzania danych osobowych. Z tego mianowicie powodu, że pozyskuje dane osobowe pracowników objętych ochroną związkową również na zapas (na wypadek ewentualnego wypowiedzenia, czy rozwiązania bez wypowiedzenia umowy o pracę), co w świetle przepisów ustawy o ochronie danych osobowych jest niedopuszczalne. Niezależnie od powyższego mieć należy na uwadze zasadę celowości, określoną w art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych, co oznacza, że administrator danych przetwarzający dane obowiązany jest zapewnić, aby dane te były zbierane dla oznaczonych zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami. Stwierdzić należy, że poza cel gromadzenia danych w zakresie przynależności związkowej – który istnieje w określonych powyżej przepisach Kodeksu pracy przypadkach, gdy pracodawca zamierza rozwiązać umowę o pracę z pracownikiem – wykracza zdaniem organu pozyskiwanie danych osobowych wszystkich pracowników korzystających z ochrony związkowej za pomocą ich imiennej listy i z uwagi na powyższe, realizacja uprawnienia pracodawcy wynikającego z art. 30 ust. 21 ustawy o związkach zawodowych powinna być dokonywana poprzez osobne wystąpienie odnoszące się do poszczególnego pracownika, skoro chodzi o indywidualną ochronę stosunku pracy. Natomiast kwestia sformułowania nakazu ma znaczenie drugorzędne, bowiem istotny jest cel, jakiemu ten nakaz ma służyć, a mianowicie niepodejmowaniu przez B. podobnych wystąpień do związków zawodowych w przyszłości.

W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie, skarżący B. S.A. wniósł o stwierdzenie nieważności zaskarżonej i poprzedzającej ją decyzji, bądź o ich uchylenie i zasądzenie kosztów postępowania według norm przepisanych zarzucając im:

1) naruszenie art. 156 § 1 pkt 2 i 6 k.p.a. w zw. z art. 30 ust. 21 oraz art. 35 ust. 1 pkt 2 ustawy o związkach zawodowych oraz w zw. z art. 8 ust. 1 ustawy o ochronie danych osobowych,

2) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, poprzez naruszenie art. 77 § 1 w zw. z art. 77 k.p.a. oraz w zw. z art. 25 ust. 2 pkt 3 ustawy o ochronie danych osobowych,

3) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, poprzez naruszenie art. 107 § 1 k.p.a. w zw. z art. 18 ust. 1 ustawy o ochronie danych osobowych,

4) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, poprzez naruszenie art. 107 § 1 k.p.a. w zw. z art. 8 i 11 k.p.a.

W uzasadnieniu zarzutu z pkt 1 podał, że treścią żądania zawartego w piśmie z dnia [...] sierpnia 2007 r. był wniosek o udostępnienie danych osobowych przetwarzanych przez organizację związkową i zgodność z prawem takiego działania należy oceniać nie na podstawie art. 29 ustawy o ochronie danych osobowych, lecz na podstawie art. 27 ustawy (dane wrażliwe). Stąd też pracodawca jest zobowiązany zwrócić się do zakładowej organizacji związkowej – stosownie do treści art. 30 ust. 21 ustawy o związkach zawodowych – o informację o pracownikach korzystających z jej obrony w sprawach, w których przepisy prawa pracy zobowiązują pracodawcę do współdziałania z organizacją związkową, a informacja ta ma charakter generalny, zaś obowiązek pracodawczy jest jednorazowy z koniecznością późniejszej modyfikacji informacji z inicjatywy zainteresowanego związku. W dalszej części wskazał, że wydanie decyzji zabraniającej skarżącemu gromadzenie imiennej listy, pozbawia go w ogóle informacji o członkach związku i w konsekwencji uniemożliwia prowadzenie konsultacji związkowej, co rodzi odpowiedzialność karną na podstawie art. 35 ust. 1 pkt 2 ustawy o związkach zawodowych (utrudnianie wykonywania działalności związkowej). Stąd też zaskarżone decyzje są dotknięte wadą nieważności z art. 156 § 1 pkt 6 k.p.a. Ponadto Generalny Inspektor Ochrony Danych Osobowych nie ma prawa kontrolowania innych organów, których orzeczenia podlegają ocenom w toku instancji. Natomiast uzasadniając zarzut z pkt 2 podniósł, że zasada adekwatności sprowadza się do tego, iż przetwarzanie danych osobowych swym rodzajem i treścią nie powinny wykraczać poza potrzeby wynikające z celu ich przetwarzania, a skoro B. nie wskazał tego celu we wskazanym już wyżej piśmie i nie ustalił tego organ, to w sposób oczywisty ten ostatni nie mógł ustalić, że doszło do naruszenia zasady adekwatności, bowiem nie wyjaśnił wszystkich okoliczności faktycznych. Z kolei co do zarzutu z pkt 3 B. podniósł, że w sentencji decyzji organ nie wskazał precyzyjnie, jakiej postaci pozyskiwane imienne listy pracowników dotyczącą zaskarżone decyzje, tzn. czy np. w związku planowanymi konsultacjami, czy też bez tych konsultacji i w konsekwencji owo rozstrzygnięcie jest niejasne. Uzasadniając natomiast zarzut z pkt 4 skarżący wskazał, że organ nie podał uzasadnienia prawnego w zaskarżonych decyzjach, co w konsekwencji naruszyło zasadę przekonywania wyrażoną w art. 11 k.p.a.

W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, a wskazując na dotychczasowe ustalenia faktyczne i prawne podał, że w zaskarżonej decyzji podano, w jakich sytuacjach pozyskiwanie imiennej listy nie znajduje uzasadnienia ze względu na cel przetwarzania i stwierdzono również, iż brak jest podstaw do pozyskiwania przez B. od związku zawodowego danych osobowych w zakresie przynależności związkowej w odniesieniu do wszystkich pracowników korzystających z ochrony danego związku zawodowego w sytuacji, gdy nie są oni objęci zamiarem pracodawcy rozwiązania z nimi umów o pracę i w tej sytuacji w sposób prawidłowy uzasadniono zasadę adekwatności. Ponadto zaskarżona decyzja – zdaniem organu – nie została wydana bez podstawy prawnej, ani też nie narusza w sposób rażący prawa.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania.

Skarga analizowana pod tym kątem zasługuje na uwzględnienie. Stosownie do treści art. 27 ust. 1 ustawy o ochronie danych osobowych (tekst jedn. z 2002 r. Dz. U. Nr 101, poz. 926 ze zm.), zabrania się przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym, zaś danymi osobowymi w myśl art. 6 ust. 1 ustawy, są wszelkie informacje dotyczące zidentyfikowania lub możliwej do zidentyfikowania osoby fizycznej. Zatem przepis ten statuuje generalną zasadę przetwarzania danych sensytywnych, a do takich bezspornie zaliczyć należy ewentualną imienną listę osób przynależących do związku zawodowego N. działającego przy B. S.A. w W.

Jednakże od tej zasady wprowadza się szereg wyjątków, a do jednego z nich zalicza się, w myśl art. 27 ust. 2 pkt 6 ustawy, dopuszczalność przetwarzania tych danych, kiedy jest to niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzania danych jest określony w ustawie. Nie można również utracić z pola widzenia treści art. 23 ust. 1 pkt 2 ustawy, według którego przetwarzanie danych jest dopuszczalne tylko wtedy, gdy m.in. jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.

Niewątpliwie więc, jeśli się zważy na treść art. 232 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (tekst jedn. z 1998 r. Dz. U. Nr 21, poz. 94 ze zm.), w myśl którego, jeżeli przepisy prawa pracy przewidują współdziałanie pracodawcy z zakładową organizacją związkową w indywidualnych sprawach ze stosunku pracy, pracodawca ma obowiązek współdziałać w takich sprawach z zakładową organizacją związkową reprezentującą pracownika z tytułu jego członkostwa w związku zawodowym albo wyrażenia zgody na obronę praw pracownika niezrzeszonego w związku – zgodnie z ustawą o związkach zawodowych oraz na przepis art. 30 ust. 21 ustawy z dnia 23 maja 1991 r. o związkach zawodowych (tekst jedn. z 2001 r. Dz. U. Nr 79, poz. 854 ze zm.), zgodnie z którym w indywidualnych sprawach ze stosunku pracy, w których przepisy prawa pracy zobowiązują pracodawcę do współdziałania z zakładową organizacją związkową, pracodawca jest obowiązany zwrócić się do tej organizacji o informację o pracownikach korzystających z jej obrony, zgodnie z przepisami ust. 1 i 2. Nieudzielenie tej informacji w ciągu 5 dni zwalnia pracodawcę od obowiązku współdziałania z zakładową organizacją związkową w sprawach dotyczących tych pracowników. Skarżący B. miał nie tylko prawo, lecz wręcz obowiązek zażądać od związku zawodowego wykazu osób, bądź danych osobowych osoby, o ile związałby tę powinność (żądania od organizacji związkowej) ze ściśle określonymi celami wynikającymi z Kodeksu pracy. Zaś tym celem może być np. zamiar wypowiedzenie pracownikowi umowy o pracę zawartą na czas nieokreślony, ponieważ zgodnie z art. 38 § 1 k.p., o zamiarze wypowiedzenia pracownikowi umowy o pracę zawartej na czas nieokreślony pracodawca zawiadamia na piśmie reprezentującą pracownika zakładową organizację związkową, podając przyczynę uzasadniającą rozwiązanie umowy, a po rozpatrzeniu stanowiska organizacji związkowej, a także w razie niezajęcia przez nią stanowiska w ustalonym terminie, pracodawca podejmuje decyzję w sprawie wypowiedzenia (§ 5), bądź też rozwiązanie umowy o pracę bez wypowiedzenia, o czym mowa w art. 52 § pkt 1) – 3), bowiem pracodawca podejmuje decyzję w sprawie rozwiązania umowy po zasięgnięciu opinii reprezentującej pracownika zakładowej organizacji związkowej, którą zawiadamia o przyczynie uzasadniającej rozwiązanie umowy. Innymi słowy mówiąc, pracodawca ma obowiązek poznać stanowisko organizacji związkowej co do imiennie oznaczonych osób korzystających z jego ochrony, jednakże tylko pod warunkiem, że w swoim żądaniu przedstawi jego cel, tzn. powoła się na zamiar przewidziany np. w art. 38 lub 52 Kodeksu pracy i bez znaczenia w przedmiotowej sprawie jest, czy wskaże w tym żądaniu ściśle określone osoby, czy też powoła się ogólnie na ów zamiar, bowiem dla potrzeb niniejszej sprawy zasadnicze znaczenie ma – co już wyżej zasygnalizowano – cel owego żądania. Z tego mianowicie powodu, że stosownie do brzmienia art. 26 ust. 1 pkt 3) in fine ustawy o ochronie danych osobowych, administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były m.in. adekwatne w stosunku do celów, w jakich są przetwarzane, a ich zbieranie dla oznaczonych celów, nie może być niezgodne z prawnie oznaczonymi celami (art. 26 ust. 1 pkt 2).

Przenosząc powyższe rozważania na grunt rozpoznawanej sprawy stwierdzić jednakże należy, że pismo B. z dnia [...] sierpnia 2007 r. skierowane m.in. do Przewodniczącego Związku Zawodowego N. jest bardzo ogólnikowe i zażądano w nim tylko udzielenia informacji o pracownikach korzystających z obrony związków zawodowych. Zatem żądanie B. nie czyniło zadość treści art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych, bowiem nie określono w nim żadnego celu wnioskowanej informacji (np. wynikającej z art. 38 lub 52 Kodeksu pracy). Stąd też w konsekwencji, nie można tutaj również mówić o adekwatności z art. 26 ust. 1 pkt 3, ponieważ znaczenie słowa adekwatny sprowadza się do: "zgodny z czymś, dokładnie czemuś odpowiadający" (vide: Słownik wyrazów obcych pod redakcją J. Tokarskiego – PWN, Warszawa 1980, str. 5) i w zestawieniu z treścią tego przepisu nie jest on odpowiedni do celu, bowiem celu tego nawet nie podano. Wobec powyższego należy się zgodzić z Generalnym Inspektorem Ochrony Danych Osobowych, który w uzasadnieniu zaskarżonej decyzji powołuje się na relewantność danych osobowych w momencie ich zbierania.

Natomiast z drugiej strony nie sposób podzielić stanowiska organu, że B. nie ma prawa do zbierania tych danych w formie imiennej listy pracowników. Jeżeli w swoim żądaniu określi wskazany już wyżej cel, podając np. imienną listę pracowników, którym zamierza wypowiedzieć umowę o pracę lub też rozwiązać z nimi umowy o pracę bez wypowiedzenia, to w takiej sytuacji – w ocenie Sądu – nie można mu zarzucić, że narusza wskazane już wyżej przepisy ustawy o ochronie danych osobowych. Nie ma bowiem żadnej, prawnie uzasadnionej różnicy, pomiędzy danymi dotyczącymi pojedynczego pracownika, a danymi grupy pracowników, przy założeniu, że zarówno w jednej sytuacji, jak i w drugiej, cel tego żądania będzie jasno sprecyzowany.

Niezależnie od powyższego zauważyć należy, że rozstrzygniecie decyzji musi być w sposób jasny i precyzyjny sformułowane. Innymi słowy mówiąc, w myśl art. 107 § 1 k.p.a., sentencja decyzji nie powinna zawierać niedomówień i możliwości różnej interpretacji.

Tymczasem rozstrzygnięcie o treści: "nakazuję B. S.A. z siedzibą w W. [...] zaprzestanie praktyki polegającej na pozyskiwaniu od N. przy B. S.A. z siedzibą w W. [...], informacji o osobach korzystających z obrony ww. związku zawodowego w formie imiennej listy pracowników", rodzi niedomówienia i możliwość różnej interpretacji, bowiem takie sformułowanie sentencji może potencjalnie doprowadzić do sytuacji, że pracodawca chcący np. wypowiedzieć umowę o pracę (podając ów cel w żądaniu) określonej z imienia i nazwiska grupie pracowników, będzie związany zaskarżoną decyzją i w konsekwencji naruszy on obowiązek pracodawcy wynikający z art. 30 ust. 22 ustawy o związkach zawodowych i z art. 231 Kodeksu pracy, zaś związek zawodowy zostanie pozbawiony możliwości swej ustawowej powinności określonej w art. 1 ust. 1 i art. 4 ustawy o związkach zawodowych.

Reasumując, określenie "w indywidualnych sprawach ze stosunku pracy" (art. 30 ust. 22 ustawy o związkach pracowniczych) dotyczy imiennie wskazanych podmiotów z uwagi na wskazany już wyżej cel i rzeczą oczywistą jest, że nie odnosi się to do grupy wszystkich pracowników korzystających z ochrony. Innymi słowy mówiąc, nie do przyjęcia jest domaganie się przez pracodawcę od zakładowej organizacji związkowej danych o osobach nieobjętych perspektywą ustania stosunku pracy, z drugiej jednakże strony rozstrzygnięcie zaskarżonej decyzji jest w tej kwestii nieprecyzyjne, bowiem z jego literalnego brzmienia wynika, że – w ocenie Sądu – zakazuje on B. pozyskiwania danych o pracownikach, wobec których zamierza on podjąć współdziałanie w sprawach indywidualnych ze stosunku pracy, tj. objętych perspektywą ustania stosunku pracy.

Niezależnie od powyższego, organ w ogóle nie podjął się wyjaśnienia czy w rozpoznawanej sprawie mamy do czynienia z przetwarzaniem danych osobowych. W myśl art. 7 pkt 2 ustawy, przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Bezspornym bowiem jest, że nie doszło w sprawie jeszcze do utrwalania, przechowywania, opracowywania, zmieniania, udostępniania i usuwania danych. Zatem pozostało do rozważenia, czy żądanie organu wyczerpało już przesłankę "zbierania", skoro nie wiadomo i organ w żaden sposób tego nie wyjaśnił, czy B. miał rzeczywistą wolę włączenia tych danych do jednej z postaci ich przetwarzania (zbierane do zbiorów ewidencyjnych albo zbioru danych). Stąd też prowadząc sprawę na nowo, Generalny Inspektor Ochrony Danych Osobowych jest zobowiązany w sposób niebudzący żadnych wątpliwości wyjaśnić ową kwestię.

Ponadto organ w żaden sposób nie wyjaśnił, czy żądanie B. dotyczyło pracowników zrzeszonych w związku zawodowym, czy też również, albo tylko, osób niezrzeszonych w związku zawodowym i korzystających z ochrony przewidzianej w art. 30 ust. 2 ustawy o związkach zawodowych. Ma to o tyle doniosłe znaczenie, że w konsekwencji wymaga wyjaśnienia czy w tej drugiej sytuacji ma zastosowanie ogólny zakaz zbierania danych wrażliwych w myśl art. 27 ust. 1 ustawy o ochronie danych osobowych (przynależność związkowa).

W tym stanie rzeczy, na mocy art. 145 § 1 pkt 1 lit "c" w zw. z art. 152 i art. 132 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), należało orzec jak w sentencji wyroku.