Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Ewa Kwiecińska (spr.) Sędziowie: Sędzia NSA Tamara Dziełakowska Sędzia del. WSA Paweł Mierzejewski po rozpoznaniu w dniu 17 października 2024 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej Szefa Wojskowego Centrum Rekrutacji Warszawa-Praga od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 grudnia 2022 r., sygn. akt II SA/Wa 1539/22 w sprawie ze skargi Szefa Wojskowego Centrum Rekrutacji Warszawa-Praga na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 24 czerwca 2022 r. nr DS.523.7987.2021.ZS.JP w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.

Wyrokiem z dnia 15 grudnia 2022 r., sygn. akt II SA/Wa 1539/22 Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę Szefa Wojskowego Centrum Rekrutacji Warszawa-Praga na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 24 czerwca 2022 r. nr DS.523.7987.2021.ZS.JP w przedmiocie przetwarzania danych osobowych.

Powyższe rozstrzygnięcie zapadło w następującym stanie faktycznym i prawnym.

Prezes Urzędu Ochrony Danych Osobowych, dalej: "PUODO", decyzją z dnia 24 czerwca 2022 r. nr DS.523.7987.2021.ZS.JP, wydaną na art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2021 r., poz. 735 ze zm.), dalej: "k.p.a.", art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781), dalej: "u.o.d.o." oraz art. 6 ust. 1, art. 12 ust. 3 w zw. z art. 15 ust. 1, art. 58 ust. 2 lit. b oraz lit. c rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej: "RODO",

1) nakazał Wojskowemu Komendantowi Uzupełnień Warszawa-Praga w Warszawie (dalej: "WKU"), usunięcie danych osobowych J.W., w zakresie jego imienia, pierwszej litery jego nazwiska oraz informacji stanowiących ocenę współpracy z nim, ocenę wykonywania powierzonych mu obowiązków oraz ocenę jego zachowania w stosunku do współpracowników z ankiety, która została przeprowadzona w okresie od 14 do 15 czerwca 2021 r. przez pracowników Wojskowej Komendy Uzupełnień Warszawa-Praga w Warszawie;

2) udzielił upomnienia WKU, za naruszenie art. 12 ust. 3 w zw. z art. 15 ust. 1 RODO, polegające na niezachowaniu miesięcznego terminu do poinformowania J.W., o podjętych działaniach w związku ze złożonym 28 września 2021 r. na podstawie art. 15 RODO żądaniem spełnienia obowiązku informacyjnego w zakresie wskazania kategorii odnośnych danych osobowych oraz celów przetwarzania jego danych osobowych przez pracowników Wojskowej Komendy Uzupełnień Warszawa-Praga w Warszawie.

W uzasadnieniu wskazano, że postępowanie w tej sprawie zostało wszczęte przez Prezesa Urzędu Ochrony Danych Osobowych na skutek skargi J.W. (skarżący), w której zarzucił on nieprawidłowości w procesie przetwarzania jego danych osobowych przez WKU.

WKU oświadczył, że skarżący był pracownikiem Wojskowej Komendy Uzupełnień Warszawa-Praga w Warszawie do 31 stycznia 2022 r., zaś jego dane osobowe zostały pozyskane wyłącznie w celu zawarcia umowy o pracę. WKU wskazał, że nie posiadał wiedzy na temat zorganizowania przez jego pracowników ankiety, która dotyczyła skarżącego do czasu otrzymania sporządzonej w tym zakresie przez pracownika WKU dokumentacji, tj. protokołu, zawierającego dane osobowe skarżącego w zakresie imienia, pierwszej litery jego nazwiska oraz informacji stanowiących ocenę współpracy ze skarżącym, ocenę wykonywania powierzonych mu obowiązków oraz ocenę jego zachowania w stosunku do współpracowników. WKU oświadczył, że do chwili obecnej znajduje się w posiadaniu ww. dokumentu, zaś anonimowe ankiety, które dotyczyły skarżącego, zostały zniszczone.

Następnie w czerwcu 2021 r. skarżący uzyskał od swoich współpracowników informację o przeprowadzeniu ankiety dotyczącej jego osoby. W związku z powyższym skarżący 28 września 2021 r. zwrócił się do WKU z wnioskiem o wskazanie podstaw prawnych, celów oraz zakresu pozyskania jego danych osobowych przez WKU od innych pracowników Wojskowej Komendy Uzupełnień Warszawa-Praga w Warszawie. WKU oświadczył, że 4 października 2021 r. wezwał skarżącego do wskazania przepisów prawnych, które stanowiłyby podstawę do udzielenia wyjaśnień na jego wniosek z 28 września 2021 r. Mając na uwadze, iż skarżący nie udzielił odpowiedzi na ww. pismo, WKU wyjaśnił, że nie był zobowiązany do spełnienia obowiązku informacyjnego wynikającego z art. 15 RODO wobec skarżącego, ponieważ nie pozyskał w wyniku przeprowadzonej ankiety żadnych innych jego danych osobowych z wyjątkiem imienia i pierwszej litery nazwiska, które było powszechnie znane WKU jako pracodawcy skarżącego.

PUODO podał, że na podstawie analizy materiału dowodowego ustalił, iż w niniejszej sprawie WKU uzyskał dostęp do dokumentacji, tj. protokołu, zawierającego dane osobowe jego pracownika - skarżącego w zakresie jego imienia oraz pierwszej litery jego nazwiska, którą zachował, i która nadal znajduje się w jego posiadaniu - nie została usunięta. Powyższe stanowi podstawę do uznania zgodnie z treścią art. 4 pkt 7 RODO WKU jako administratora danych osobowych skarżącego.

Organ wskazał również, że WKU, odnosząc się do zarzutu nieuprawnionego przetwarzaniu danych osobowych skarżącego na potrzeby przeprowadzonej w okresie od 14 do 15 czerwca 2021 r. ankiety przez pracowników Wojskowej Komendy Uzupełnień Warszawa-Praga w Warszawie, oświadczył, iż ankieta, która dotyczyła skarżącego, została przeprowadzona wyłącznie z inicjatywy pracowników Komendy. Zdaniem WKU przeprowadzenie tej ankiety nie wpłynęło w żaden sposób na pozyskanie danych osobowych skarżącego niezgodnie z prawem, bowiem udostępniona na rzecz WKU dokumentacja, tj. protokół z wynikami przeprowadzonej ankiety przez pracowników Komendy zawierała wyłącznie dane osobowe skarżącego (imię i pierwsza litera nazwiska), które były powszechne znane wśród jego współpracowników oraz WKU.

W ocenie PUODO treść art. 4 pkt 2 RODO stanowi podstawę do uznania, iż pomimo złożenia przez WKU szczegółowych wyjaśnień na poparcie swojego stanowiska, polegającego na braku pozyskania innych danych osobowych skarżącego, oprócz jego imienia i pierwszej litery nazwiska, zawartych w protokole przeprowadzonej wśród pracowników WKU Warszawa-Praga w Warszawie ankiety, dotyczącej skarżącego, w tej sprawie doszło do przetwarzania (pozyskania, a następnie przechowywania) danych osobowych skarżącego w zakresie imienia, pierwszej litery jego nazwiska oraz informacji stanowiących ocenę współpracy ze skarżącym, ocenę wykonywania powierzonych mu obowiązków oraz ocenę jego zachowania w stosunku do współpracowników przez WKU. Organ podniósł, że uzasadnione jest to tym, iż WKU w złożonych wyjaśnieniach nie wykazał podstaw prawnych oraz nie przedłożył żadnych dowodów (np. dokumentów), które stanowiłyby podstawę do przetwarzania ww. danych skarżącego, zawartych we ww. protokole do chwili obecnej.

PUODO stwierdził, że w tej sytuacji zasadne jest skorzystanie z przysługującego mu na mocy art. 58 ust. 2 lit. c RODO uprawnienia naprawczego w zakresie nakazania WKU usunięcia, zawartych w ww. dokumencie danych osobowych skarżącego w zakresie imienia, pierwszej litery jego nazwiska oraz danych dotyczących oceny współpracy ze skarżącym, oceny wykonywania powierzonych mu obowiązków oraz oceny jego właściwego zachowania w stosunku do jego współpracowników. WKU nie wykazał bowiem spełnienia żadnej z przesłanek, wymienionych w art. 6 ust. 1 RODO w zakresie przetwarzania danych osobowych skarżącego, zawartych w protokole przeprowadzonej w okresie od 14 do 15 czerwca 2021 r. ankiety przez pracowników Wojskowej Komendy Uzupełnień Warszawa-Praga w Warszawie.

Dalej organ wskazał, że w toku prowadzonego w tej sprawie postępowania administracyjnego dokonał analizy wniosku skarżącego z 28 września 2021 r., stwierdzając, iż jego treść, oprócz żądania wskazania podstaw prawnych zawiera informacje, które w bezsporny sposób pozwalają na zakwalifikowanie wniosku skarżącego jako żądanie spełnienia obowiązku informacyjnego, wynikającego z art. 15 RODO przez WKU.

W ocenie PUODO, na WKU jako administratorze spoczywał prawny obowiązek ustosunkowania się do żądania skarżącego z 28 września 2021 r. z zachowaniem terminu, wynikającego z art. 12 ust. 3 RODO. Organu wskazał, że na podstawie analizy materiału dowodowego ustalił, iż Komendant do chwili obecnej nie ustosunkował się do ww. żądania skarżącego. Zdaniem organu zasadne było skorzystanie przez organ z przysługującego mu, na mocy art. 58 ust. 2 lit. b RODO, uprawnienia naprawczego w zakresie udzielenia upomnienia WKU za naruszenie art. 12 ust. 3 w zw. z 15 ust. 1 RODO, polegające na niezachowaniu miesięcznego terminu do poinformowania skarżącego o podjętych działaniach w związku ze otrzymanym 28 września 2021 r. wnioskiem skarżącego o spełnienie wobec niego obowiązku informacyjnego, wynikającego z art. 15 RODO.

Na powyższą decyzję skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie wniósł Szef Wojskowego Centrum Rekrutacji Warszawa-Praga, wnosząc o stwierdzenie nieważności zaskarżonej decyzji w całości, bądź, ewentualnie na wypadek nieuznania zarzutów nieważnościowych, o uchylenie zaskarżonej w całości.

W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji.

Oceniając skargę, Wojewódzki Sąd Administracyjny w Warszawie wskazał, że istotnie w zaskarżonej decyzji błędnie określono jej adresata. PUODO bowiem wskazał, że adresatem decyzji jest WKU, podczas gdy w związku z wejściem w życie w dniu 23 kwietnia 2022 r. ustawy z dnia 11 marca 2022 r. o obronie Ojczyzny zniesiono wojskowych komendantów uzupełnień. Adresatem decyzji winien w tej sytuacji być Szef Wojskowego Centrum Rekrutacji Warszawa-Praga.

Zdaniem Sądu nie można jednak uznać, że zaskarżona decyzja została skierowana do osoby niebędącej stroną postępowania. Zgodnie z art. 28 k.p.a. stroną postępowania jest każdy, czyjego interesu prawnego lub obowiązku dotyczy postępowanie albo kto żąda czynności organu ze względu na swój interes prawny lub obowiązek. Skierowana do PUODO skarga uczestnika postępowania dotyczyła nieprawidłowości w procesie przetwarzania jego danych osobowych przez WKU. Niewątpliwie zatem WKU był stroną postępowania w tej sprawie. W tej sytuacji nie można uznać, że zaskarżona decyzja obarczona jest kwalifikowaną wadą, o jakiej mowa w art. 156 § 1 pkt 4 k.p.a. Postępowanie w sprawie było prowadzone prawidłowo z udziałem WKU, będącego niewątpliwie stroną tego postępowania. W zaskarżonej decyzji błędnie oznaczono jej adresata, niemniej jednak wada ta nie świadczy o tym, że decyzja została skierowana do podmiotu niebędącego stroną postępowania.

Zdaniem Sądu nie można też uznać, że zaskarżona decyzja była niewykonalna w dniu jej wydania i jej niewykonalność ma charakter trwały. Nie ma też prawnych nakazów lub zakazów, które by stanowiły nieusuwalną przeszkodę w wykonaniu obowiązków ustanowionych w tej decyzji. Ponadto zauważył, że zgodnie z art. 778 ust. 4 ustawy o obronie Ojczyzny wojskowe centrum rekrutacji wstępuje we wszelkie prawa i obowiązki wojskowych komend uzupełnień, których terytorialny zasięg działania znajdował się na obszarze objętym terytorialnym zakresem jego działania, bez względu na charakter stosunku prawnego, z którego te prawa i obowiązki wynikają. Szef Wojskowego Centrum Rekrutacji Warszawa-Praga może zatem wykonać obowiązek nałożony na WKU.

W ocenie Sądu uchybienia tego nie można również rozpatrywać w kategoriach rażącego naruszenia prawa – art. 156 § 1 pkt 2 k.p.a. - bowiem wojskowe centrum rekrutacji wstępuje we wszelkie prawa i obowiązki wojskowych komend uzupełnień, których terytorialny zasięg działania znajdował się na obszarze objętym terytorialnym zakresem jego działania, bez względu na charakter stosunku prawnego, z którego te prawa i obowiązki wynikają. Nie można w tej sytuacji uznać, że w związku z błędnym oznaczeniem adresata zaskarżonej decyzji powstały skutki niemożliwe do zaakceptowania z punktu widzenia praworządności.

Zdaniem Sądu WKU niewątpliwie przetwarzał dane osobowe uczestnika postępowania zawarte w protokole sporządzonym w oparciu o przeprowadzone przez pracowników WKU ankiety i w toku postępowania przed PUODO nie wykazał, aby miał do tego jakiekolwiek podstawy prawne. Wyjaśnił, że w protokole zawarte były dane uczestnika postępowania w zakresie imienia, pierwszej litery jego nazwiska oraz informacji stanowiących ocenę współpracy z nim, ocenę wykonywania powierzonych mu obowiązków oraz ocenę jego zachowania w stosunku do współpracowników. Przy czym istotne jest, że oceny te wystawione zostały nie przez WKU, jako pracodawcy J.W., ale przez pracowników WKU.

Sąd podniósł, że danymi osobowymi są zarówno informacje obiektywne – imię i nazwisko, wiek, kolor oczu, narodowość itd., jak i informacje subiektywne – w szczególności oceny i opinie dotyczące konkretnej osoby fizycznej, np. dotyczące jej zachowania czy poziomu wiedzy. Tak samo dane osobowe mogą stanowić informacje nieprawdziwe, kluczowym aspektem jest tu bowiem możliwość identyfikacji konkretnej osoby fizycznej, a nie prawdziwość informacji (por. wyrok Trybunał Sprawiedliwości z dnia 20 grudnia 2017 r., C-434/16 wraz z glosą M. Czerniawskiego LEX/el. 2018). Tym samym bez wątpienia WKU przechowując protokół, przetwarzał dane uczestnika postępowania.

Zdaniem Sądu WKU był też administratorem danych osobowych uczestnika postępowania zawartych w tym protokole, bowiem jak słusznie zauważa organ w odpowiedzi na skargę, że WKU zdecydował się na przechowywanie przedmiotowego protokołu, a tym samym na przetwarzanie zawartych w nim danych osobowych uczestnika postępowania. Świadczy to o tym, że to WKU ustala cele i sposoby przetwarzania danych osobowych w tym przypadku. Bez znaczenia dla takiej oceny jest fakt, że sama ankieta została przeprowadzona przez pracowników WKU i z ich inicjatywy. Zauważył, że Szef Wojskowego Centrum Rekrutacji Warszawa-Praga w swojej argumentacji zawartej w skardze wskazuje m.in., że "wręczenie wypowiedzenia ostatecznie wyjaśniło J.W. jakie były cele i podstawy przetwarzania danych osobowych" (pkt II ppkt 6 zarzutów skargi), zatem argumentacja strony skarżącej jest więc niekonsekwentna. Z jednej strony podnosi on bowiem, że jest wyłącznie odbiorcą "zagregowanych danych", z drugiej zaś dąży on do wykazania, że przetwarzanie danych osobowych uczestnika postępowania było legalne.

Wojewódzki Sąd Administracyjny w Warszawie podniósł, że w toku postępowania zakończonego zaskarżoną decyzją WKU nie wykazał, że miał podstawy do przetwarzania danych osobowych uczestnika postępowania. W piśmie z dnia 21 stycznia 2022 r. WKU kwestionował wyłącznie to, że w związku z przeprowadzoną ankietą przez pracowników dotyczącą uczestnika postępowania pozyskał jakiekolwiek jego dane osobowe. Podnosił, że imię i nazwisko uczestnika postępowania jest znane wszystkim osobom zatrudnionym w WKU. Wskazywał też, że ankieta ta nie miała na celu pozyskania danych osobowych uczestnika postępowania ale zbadanie nastrojów w miejscu pracy. Wskazywał również, że przetwarza dane osobowe uczestnika postępowania jako jego pracodawca. WKU pominął jednak fakt, że protokół z ankiety zawiera oprócz imienia i pierwszej litery nazwiska J.W. także jego dane osobowe w zakresie informacji stanowiących ocenę współpracy z nim, ocenę wykonywania powierzonych mu obowiązków oraz ocenę jego zachowania w stosunku do współpracowników. WKU nie wskazał, żadnej podstawy legalizującej przetwarzanie tego typu danych.

Ponadto Sąd zauważył, że w skardze Szef Wojskowego Centrum Rekrutacji Warszawa-Praga wskazuje, że był uprawniony i nadal jest do przetwarzania danych osobowych uczestnika przez okres trwania stosunku pracy (także w zakresie ocen i relacji z innymi współpracownikami), oraz w związku z rozwiązaniem tego stosunku pracy i toczącym się sporem sądowym (pkt II ppkt 1 zarzutów skargi). Następnie podniósł, że w toku postepowania przed organem WKU nie wskazywał, iż między nim a uczestnikiem postępowania istnieje spór sądowy w związku z wypowiedzeniem umowy o pracę. Z tego względu okoliczność ta nie była badana przez PUODO. Ponadto podniósł, że nawet w skardze Szef Wojskowego Centrum Rekrutacji Warszawa-Praga nie wykazał, jaki wpływ ma ta kwestia na legalność przetwarzania danych osobowych J.W. zawartych w protokole. W skardze strona skarżąca, odnośnie wiedzy o relacjach pracowniczych, wskazuje bowiem, że "WKU tą wiedzę miał jako pracodawca (z rozmów, z toczących się postępowań)" (s. 9 skargi). Wskazuje też, że "kwestia skonfliktowania Uczestnika z innymi pracownikami miała istotne znaczenie dla pracodawcy i ostatecznie była jedną z przyczyn wypowiedzenia Uczestnikowi umowy o pracę, a obecnie jest objęta (w zakresie oceny zasadności przyczyn wypowiedzenia) oceną Sądu Pracy" (s. 10 skargi). Skoro więc WKU miał wiedzę o relacjach pracowniczych "z rozmów, z toczących się postępowań", to trudno uznać, że przetwarzanie danych osobowych uczestnika postępowania zawartych w protokole było niezbędne, czy to do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust 1 lit. b RODO), czy też do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią art. 6 ust 1 lit. f RODO.

Sąd pierwszej instancji wskazał również, że w Kodeksie pracy brak jest uregulowań, które uprawniałyby pracodawcę do przetwarzania danych osobowych pracownika w takim zakresie, w jakim doszło do przetwarzania danych osobowych w niniejszej sprawie. Strona skarżąca w skardze podaje również jako podstawę prawną przetwarzania danych osobowych uczestnika postepowania przepisy art. 30 § 1 pkt 2 i § 4, art. 45 § 2 oraz art. 94 pkt 10 Kodeksu pracy. Żaden z tych przepisów nie odnosi się jednak do przetwarza danych osobowych pracownika.

W ocenie Sądu zasadnie zatem organ skorzystał z uprawnienia naprawczego przewidzianego w art. 58 ust. 2 lit c RODO i nakazał usunięcia danych osobowych J.W., w zakresie jego imienia, pierwszej litery jego nazwiska oraz informacji stanowiących ocenę współpracy z nim, ocenę wykonywania powierzonych mu obowiązków oraz ocenę jego zachowania w stosunku do współpracowników z treści protokołu z 17 czerwca 2021 r. będącego wynikiem ankiety, która została przeprowadzona w okresie od 14 do 15 czerwca 2021 r. przez pracowników Wojskowej Komendy Uzupełnień Warszawa-Praga w Warszawie. WSA w Warszawie wskazał również, że prawidło organ ocenił, że pismo uczestnika postępowania z dnia 28 września 2021 r. oprócz żądania wskazania podstaw prawnych zawiera także informacje, które umożliwiają potraktowanie go jako żądanie spełnienia obowiązku informacyjnego, wynikającego z art. 15 RODO. W piśmie tym J.W. zwrócił się do WKU o "poinformowanie mnie na jakiej podstawie prawnej i faktycznej były zbierane przez Panią A.F. w I połowie czerwca br. od pracowników WKU informacje na mój temat, jaki był cel, zakres i forma zbierania tych informacji." Treść powyższego pisma nawiązuje do okoliczności przeprowadzenia ankiety, ale nie można uznać, że odnosi się ono wyłącznie do samej czynności jej przeprowadzenia przez A.F. Odnosi się ono przede wszystkim do uzyskanych na podstawie przeprowadzonej ankiety danych osobowych uczestnika postępowania. W związku z tym nie można uznać, że powyższe żądanie nie dotyczyło przetwarzania przez WKU danych osobowych J.W.

Z powyższym rozstrzygnięciem nie zgodził się Szef Wojskowego Centrum Rekrutacji Warszawa-Praga i w skardze kasacyjnej zarzucił mu:

1) naruszenie przepisów prawa materialnego, a mianowicie art. 30 § 1 pkt 2 i § 4 oraz art. 94 pkt 10 Kodeksu pracy w zw. z art. 6 ust. 1 lit. c i e oraz w zw. z art. 17 ust. 3 lit. b i e RODO w zw. z art. 145 § 1 pkt 1 lit. a p.p.s.a. poprzez ich niewłaściwe zastosowanie, a więc poprzez nieuzasadnione uznanie, iż skarżący nie był uprawniony do przetwarzania danych osobowych uczestnika postępowania – J.W., będąc jego pracodawcą, w postaci jego imienia, pierwszej litery nazwiska oraz oceny wykonywania powierzonych mu obowiązków i oceny jego zachowania w stosunku do współpracowników, które to oceny wystawione zostały przez współpracowników uczestnika postępowania, podczas gdy poprawne zastosowanie powyższych przepisów do ustalonego stanu faktycznego musiałoby skutkować przyznaniem, iż skarżący jako pracodawca J.W. miał i wciąż ma ważną podstawę prawną do przetwarzania jego danych osobowych we wskazanym zakresie;

2) naruszenie przepisów prawa materialnego w postaci art. 15 RODO w zw. z art. 145 § 1 pkt 1 lit. a p.p.s.a. poprzez jego błędne zastosowanie, w wyniku którego Sąd niepoprawnie uznał, iż prośba uczestnika postępowania J.W. skierowana do skarżącego stanowiła jednoznaczne żądanie dostępu do danych osobowych uczestnika przetwarzanych przez skarżącego, podczas gdy prawidłowe zastosowanie tego przepisu doprowadziłoby do wniosku, iż prośba Pana W. nie była jednoznaczna, a skarżącemu jako administratorowi danych osobowych uczestnika przysługiwało prawo do sprecyzowania charakteru żądania tak, aby mógł on je właściwie zrealizować, unikając tym samym zarzutów o jego błędne wykonanie czy też minimalizując ryzyko naruszenia ochrony danych osobowych poprzez ich ujawnienie w niewłaściwym zakresie lub niewłaściwemu odbiorcy.

W oparciu o przytoczone zarzuty skarżący kasacyjnie wniósł o uchylenie zaskarżonego orzeczenia i rozpoznanie sprawy, ponieważ jej istota jest wystarczająco wyjaśniona, ewentualnie o uchylenie zaskarżonego orzeczenia w całości i przekazanie sprawy do ponownego rozpoznania Sądowi, który orzeczenie wydał. Wniósł także o zasądzenie zwrotu poniesionych i niezbędnych kosztów postępowania kasacyjnego, a także rozpoznanie sprawy także pod nieobecność skarżącego lub jego pełnomocnika.

Pismem z 1 marca 2023 r. skarżący kasacyjnie zrzekł się przeprowadzenia rozprawy.

W odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych wniósł o oddalenie skargi kasacyjnej oraz rozpoznanie sprawy w trybie uproszczonym.

Naczelny Sąd Administracyjny zważył, co następuje:

Na wstępie zauważyć należy, że wobec zrzeczenia się przez pełnomocnika skarżącego kasacyjnie rozpatrzenia sprawy na rozprawie oraz niewniesienia przez drugą stronę w ustawowym terminie wniosku o jej przeprowadzenie, skarga kasacyjna – na zasadzie art. 182 § 2 i 3 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. jedn. Dz. U z 2023 r. poz. 1634 ze zm., dalej jako p.p.s.a.) – podlegała rozpoznaniu na posiedzeniu niejawnym.

Stosownie do treści art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, z urzędu biorąc pod rozwagę jedynie nieważność postępowania. Wobec niestwierdzenia żadnej z wad wymienionych w art. 183 § 2 p.p.s.a., a nadto w związku z niezaistnieniem przesłanek, o których mowa w art. 189 p.p.s.a., Naczelny Sąd Administracyjny dokonał kontroli zaskarżonego wyroku jedynie w zakresie wyznaczonym podstawą kasacyjną, dochodząc do przekonania, że nie jest ona usprawiedliwiona.

Stopień skuteczności skargi kasacyjnej zależy od stopnia precyzji określenia jej zarzutów. Autor skargi kasacyjnej wyznacza bowiem zakres kontroli instancyjnej, wskazując, które normy prawa zostały naruszone. Naczelny Sąd Administracyjny nie ma obowiązku ani prawa do domyślania się i uzupełniania argumentacji autora skargi kasacyjnej. Przytoczenie podstawy skargi kasacyjnej oraz jej uzasadnienie musi więc być precyzyjne z uwagi na związanie Naczelnego Sądu Administracyjnego granicami skargi kasacyjnej. Sąd ten nie może zastępować strony i precyzować czy uzupełniać przytoczonych podstaw kasacyjnych, czy też ich uzasadnienia. Obowiązkiem autora skargi kasacyjnej jest wskazanie, które przepisy prawa materialnego, i w jaki sposób, zostały naruszone, oraz które przepisy prawa procesowego zostały naruszone, i jaki to naruszenie miało wpływ na wynik sprawy. Naczelny Sąd Administracyjny nie jest również powołany do uzupełniania ani interpretowania niejasno sformułowanych zarzutów kasacyjnych. Przesłanką skuteczności skargi kasacyjnej jest wykazanie, przez wnoszącego ten środek prawny, naruszenia prawa materialnego. W przypadku natomiast zarzutu naruszenia przepisów postępowania przesłanką skuteczności skargi kasacyjnej jest wykazanie zarówno istnienia stanu naruszenia przepisów postępowania, jak też "istotności" wpływu tego naruszenia na wynik sprawy.

W skardze kasacyjnej wniesionej w niniejszej sprawie powołano wyłącznie podstawę kasacyjną unormowaną w art. 174 pkt 1 p.p.s.a., tj. naruszenie prawa materialnego. Pierwszy z zarzutów naruszenia prawa materialnego dotyczy naruszenia art. 30 § 1 pkt 2 i § 4 oraz art. 94 pkt 10 Kodeksu pracy w zw. z art. 6 ust. 1 lit. c i e oraz w zw. z art. 17 ust. 3 lit. b i e RODO w zw. z art. 145 § 1 pkt 1 lit. a p.p.s.a. poprzez ich niewłaściwe zastosowanie, a w rezultacie nieuzasadnione uznanie, że skarżący nie był uprawniony do przetwarzania danych osobowych uczestnika postępowania J.W., będąc jego pracodawcą.

Odnosząc się do tak skonstruowanego zarzutu skargi kasacyjnej, wyjaśnić należy, że w art. 6 ust. 1 RODO wskazano sześć tzw. ogólnych podstaw dopuszczalności przetwarzania danych, do których prawodawca unijny zaliczył: zgodę osoby, której dane dotyczą (lit. a), wykonanie umowy (lit. b), wypełnienie obowiązku prawnego ciążącego na administratorze (lit. c), ochronę żywotnych interesów osoby, której dane dotyczą, lub innej osoby (lit. d), wykonanie zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej (lit. e), prawnie uzasadnione interesy administratora lub strony trzeciej (lit. f). Określone w komentowanym przepisie przesłanki mają charakter samoistny, autonomiczny i niezależny, tzn. dla uznania przetwarzania danych za prawnie dopuszczalne wystarczy istnienie jednej z nich. Zasadniczo przesłanki te mają charakter równoważny, tzn. dla dopuszczalności przetwarzania nie jest istotne, w oparciu o którą podstawę dokonywane jest przetwarzanie danych.

Trzecią zatem z ogólnych przesłanek dopuszczalności przetwarzania danych jest okoliczność, iż przetwarzanie danych jest niezbędne do wypełnienia obowiązku nałożonego na administratora przepisami prawa. Zgodnie z przepisem artykułu 6 ust. 1 lit. c RODO przetwarzanie danych jest zgodne z prawem, gdy "przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze". Natomiast piąta ogólna podstawa dopuszczalności przetwarzania danych osobowych została wskazana w przepisie art. 6 ust. 1 lit. e. Obejmuje ona przetwarzanie danych, które "jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi". Jest to przesłanka, która ma istotne znaczenie w sektorze publicznym i uzupełnia przedstawioną powyżej podstawę wskazaną w art. 6 ust. 1 lit. c (wypełnienie obowiązku prawnego ciążącego na administratorze). Przesłanka ta jest wzorowana na podstawie określonej w art. 7 lit. e dyrektywy 95/46/WE, jest również zbliżona do przesłanki, którą przewidywał art. 23 ust. 1 pkt 4 u.o.d.o.z 1997 r., z tą różnicą, że polski prawodawca ujmował tę przesłankę w sposób znacznie węższy (wymagał, aby zadania były określone prawem, oraz nie przewidywał wprost dopuszczalności przetwarzania danych w zakresie sprawowania władzy publicznej powierzonej administratorowi). W przepisach prawa wskazane zostały różne zadania publiczne (czy szerzej, zadania realizowane w interesie publicznym), do realizacji których konieczne jest przetwarzanie danych, jednak stosunkowo często brakuje przepisów, które regulowałyby wprost dopuszczalność przetwarzania danych. W tego rodzaju przypadkach zastosowanie znajduje omawiana tu podstawa (por. Fajgielski Paweł, Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, opublikowano: WKP 2022, komentarz do art. 6).

Strona skarżąca kasacyjnie powołując w pierwszym zarzucie skargi kasacyjnej przesłanki dopuszczalności przetwarzania danych określone w art. 6 ust. 1 lit. c i e RODO, wskazuje, że winny one znaleźć zastosowanie w sprawie wobec odwołania się uczestnika postępowania od dokonanego przez pracodawcę w dniu 6 października 2021 r. wypowiedzenia mowy o pracę i toczącego się obecnie między stronami tej umowy sporu sądowego. W tym zakresie skarżąca kasacyjnie wskazując na regulacje zawarte w art. 30 § 1 pkt 2 i § 4 Kodeksu pracy, a także na art. 94 pkt 4 tego Kodeksu, podkreśla, iż zaskarżona decyzja podtrzymana wyrokiem Sądu I instancji uniemożliwia jej wywiązywanie się ze swoich obowiązków takich jak "dbałość o zapewnienie obsługi kadrowej czy też skuteczna obrona roszczeń". Analizując przedstawiony wywód prawny, wyjaśnić należy, że ani powołany jako podstawa dopuszczalności przetwarzania danych art. 6 ust. 1 lit c RODO, ani też art. 6 ust. 1 lit. e tego rozporządzenia nie odnoszą się do kwestii wykonania umowy, a na tę okoliczność faktyczną powołano się w skardze kasacyjnej. Podstawa dopuszczalności przetwarzania danych w postaci wykonania umowy uregulowana została w art. 6 ust. lit. b RODO, przepis ten nie został jednakże powołany jako podstawa skargi kasacyjnej, nie może zatem stanowić podstawy kontroli instancyjnej. Ponadto za trafny uznać należy pogląd Sądu I instancji, iż ani art. 30 § 1 pkt 2 i § 4, ani art. 94 pkt 10 Kodeksu pracy nie odnoszą się do przetwarzania danych osobowych pracownika. Artykuł 30 § 1 pkt 2 Kodeksu pracy stanowi bowiem, że umowa o pracę rozwiązuje się przez oświadczenie jednej ze stron z zachowaniem okresu wypowiedzenia (rozwiązanie umowy o pracę za wypowiedzeniem). Z kolei w § 4 tego przepisu wskazuje się, że w oświadczeniu pracodawcy o wypowiedzeniu umowy o pracę zawartej na czas określony lub o rozwiązaniu umowy o pracę bez wypowiedzenia powinna być wskazana przyczyna uzasadniająca wypowiedzenie lub rozwiązanie umowy. Natomiast art. 94 pkt 10 Kodeksu pracy stanowi, że pracodawca jest obowiązany w szczególności wpływać na kształtowanie w zakładzie pracy zasad współżycia społecznego. Żaden zatem ze wskazanych przez stronę skarżącą kasacyjnie przepisów Kodeksu pracy nie może stanowić w okolicznościach faktycznych sprawy podstawy dopuszczalności przetwarzania spornych danych uczestnika postępowania uregulowanej w art. 6 ust. 1 lit. c i e RODO. Przypomnieć w tym miejscu należy, iż dane, których dotyczy zaskarżona decyzja, to dane uczestnika postępowania zawarte w treści protokołu z dnia 17 czerwca 2021 r. zawierającego ocenę współpracy z uczestnikiem postępowania, ocenę wykonywania powierzonych mu obowiązków oraz ocenę jego zachowania w stosunku do współpracowników wynikającą z ankiety przeprowadzonej przez pracowników WKU Warszawa-Praga w Warszawie. Podniesiony zarzut nie zasługuje zatem na uwzględnienie.

Przechodząc do oceny zarzutu naruszenia przepisów prawa materialnego w postaci art. 15 RODO w zw. z art. 145 § 1 pkt 1 lit. a p.p.s.a. poprzez jego błędne zastosowanie, w wyniku którego Sąd I instancji niepoprawnie uznał, że prośba uczestnika postępowania stanowiła jednoznaczne żądane dostępu do jego danych osobowych przetwarzanych przez stronę skarżącą kasacyjnie, stwierdzić należy, iż zarzut ten jest niezasadny już z tej przyczyny, że zarówno w petitum skargi kasacyjnej, jak i w jej uzasadnieniu nie wskazano precyzyjnie jednostki redakcyjnej art. 15 RODO. Tymczasem przepis ten zawiera cztery ustępy, przy czym w ust. 1 i 2 komentowanego artykułu określony został zakres informacji, jakie administrator powinien udzielić podmiotowi danych, natomiast w ust. 3 i 4 uregulowane zostało uprawnienie do uzyskania kopii danych podlegających przetwarzaniu. Ogólnikowy w swej wymowie zarzut naruszenia powyższych przepisów, który nie zawiera jednoznacznych wskazówek pozwalających stwierdzić, która z jednostek redakcyjnych tekstu prawnego została, zdaniem autora skargi kasacyjnej, naruszona przez WSA w Warszawie, jest istotnym mankamentem skargi kasacyjnej, uniemożliwiającym dokonanie kontroli instancyjnej w tym zakresie.

W judykaturze prezentowane jest stanowisko, wedle którego w odniesieniu do przepisu, który nie stanowi jednej zamkniętej całości, a składa się z paragrafów, ustępów, punktów i innych jednostek redakcyjnych, wymóg skutecznie wniesionej skargi kasacyjnej jest spełniony wówczas, gdy wskazuje ona konkretny przepis naruszony przez sąd pierwszej instancji, z podaniem konkretnej jednostki redakcyjnej przepisu (por. wyroki NSA z 2 kwietnia 2014 r., sygn. akt I OSK 614/13; z 14 marca 2013 r., sygn. akt I OSK 1799/12). Przy konstruowaniu w niniejszej sprawie zarzutu naruszenia art. 15 RODO w zw. z art. 145 § 1 pkt 1 lit. a p.p.s.a. wymóg ten nie został spełniony.

Reasumując, należało stwierdzić, że skarga kasacyjna nie zawierała usprawiedliwionych podstaw, gdyż podniesione w niej zarzuty nie zasługiwały na uwzględnienie. Naczelny Sąd Administracyjny zobowiązany był więc do oddalenia skargi kasacyjnej, o czym na podstawie art. 184 p.p.s.a. orzeczono jak w sentencji niniejszego wyroku.