Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Piotr Borowiecki, Sędzia WSA Joanna Kruszewska-Grońska, Sędzia WSA Ewa Radziszewska-Krupa (spr.), po rozpoznaniu w trybie uproszczonym w dniu 22 lutego 2022 r. sprawy ze skargi O. Sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych 1) uchyla zaskarżoną decyzję; 2) zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz O. Sp. z o.o. z siedzibą w [...] kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania

I. Stan sprawy przedstawia się następująco:

1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") decyzją z [...] grudnia 2020r. nr [...] - po przeprowadzeniu postępowania administracyjnego w sprawie skargi E. M. (zwany dalej "Uczestnikiem") na przetwarzanie danych osobowych przez byłego pracodawcę - [...] Sp. z o.o. z siedzibą w [...] (zwana dalej: "Spółką, Skarżącą"), polegające na przetwarzaniu danych osobowych pozyskanych w wykorzystaniem stosowanego w zakładzie pracy monitoringu GPS bez jego wiedzy i zgody – nakazał usunięcie danych osobowych Uczestnika w zakresie danych o lokalizacji, pozyskanych za pośrednictwem monitoringu GPS.

W podstawie prawnej powołano m.in. art. 104 § 1 Kodeksu postępowania administracyjnego (Dz.U. z 2020r., poz. 256 ze zm., zwana dalej: "k.p.a."), art. 7 ust. 1 i 2 ustawy z 10 maja 2018r.o ochronie danych osobowych (Dz.U. z 2019r., poz. 1781, zwana dalej "u.o.d.o."), art. 5 ust. 1, art. 6 ust. 1 oraz art. 58 ust. 2 lit. b) i lit. g) w zw. z art. 17 ust. 1 lit. d) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz.UE L 119 z 4 maja 2016r., ze zm., zwane dalej: "RODO").

Prezes UODO w uzasadnieniu wskazał, że Skarżący w skardze z [...] stycznia 2020r. zakwestionował legalność przetwarzania danych osobowych przez Spółkę, która bez wiedzy i zgody pracowników (co najmniej do maja 2019r.) przetwarzała dane osobowe przez stosowanie w zakładzie pracy monitoringu GPS oraz rozwiązała ze Skarżącym stosunek pracy w trybie dyscyplinarnym, z powołaniem się na dane geolokalizacyjne, zarejestrowane przez system monitorujący. Skarżący zażądał nakazania Spółce usunięcia uchybień z procesu przetwarzania jego danych oraz niezwłocznego usunięcia jego danych osobowych przetwarzanych bez podstawy prawnej i nałożenie na Spółkę kary pieniężnej.

Prezes UODO ustalił, na podstawie wyjaśnień Spółki i po zgromadzeniu materiału dowodowego, że Skarżący był zatrudniony w Spółce od [...] stycznia 2015r. do 1 lipca 2019r., a jego głównym miejscem wykonywania czynności zawodowych była [...] i miejscowości ościenne. Uczestnikowi, przebywającemu na zwolnieniu lekarskim, wręczono wypowiedzenie umowy o pracę bez zachowania okresu wypowiedzenia (w trybie art. 52 K.p.). Podstawą wypowiedzenia było stwierdzenie rażącego nadużycia zaufania pracodawcy i obowiązków pracowniczych polegające na wykazywaniu przez Uczestnika w raportach danych niezgodnych ze wskazaniami monitoringu GPS.

Skarżący oświadczył, że nie był informowany o fakcie, celach, zakresie i sposobie stosowania monitoringu.

Przed Sądem Rejonowym dla [...] w [...] toczy się postępowanie w sprawie niezgodnego z prawem rozwiązania ze Skarżącym stosunku pracy (sygn. akt [...]). W toku tego postępowania Spółka, jako dowód w sprawie, przedłożyła zestawienia danych pochodzących z raportów Uczestnika, dotyczących odbytych przez niego podróży służbowych oraz z urządzeń GPS. Wydruków nie opatrzono podpisem osoby upoważnionej ani choćby pieczęcią pracodawcy. Nie wskazują one na źródło pochodzenia danych w nich zawartych. Takie dokumenty, w ocenie Uczestnika, nie mogą stanowić dowodu naruszenia przez niego obowiązków pracowniczych.

Spółka wyjaśniła 5 czerwca 2020r., że monitoring (oparty na umowie obowiązującej od stycznia 2010r.) dotyczył ustalenia miejsca pobytu Uczestnika w godzinach pracy, identyfikowanego wyłącznie przez osobę wyznaczoną przez Spółkę. Korzystanie z monitoringu miało miejsce jedynie w przypadkach uzasadnionych wątpliwości co do rzetelności danych podawanych przez pracownika w składanych sprawozdaniach z odbytych wyjazdów służbowych. Spółka dołączyła raporty Uczestnika od stycznia do maja 2019r. i wskazała, że dokonała w tym okresie porównywania odległości deklarowanych przez Uczestnika z faktycznie przebytymi, działając na mocy art. 100 § 1 i § 2 pkt 1 i 2 Kodeksu pracy i zapisów regulaminu pracy, które stanowią o obowiązkach pracownika, które pracodawca może i powinien egzekwować. Dotyczy to sumiennego i starannego wykonywania pracy oraz przestrzegania ustalonego czasu pracy. Pracodawca robi to w odniesieniu do wszystkich pracowników, stosownie do sytuacji. W przypadku pracowników świadczących pracę w siedzibie firmy - przez osobisty nadzór, m.in. dotyczący przebywania w miejscu pracy, nadzoru nad opuszczaniem jej. W przypadku pracowników zatrudnionych poza siedzibą firmy jedyną praktycznie dostępną i rzetelną formą nadzoru jest monitoring, polegający na ustalaniu lokalizacji pracownika na podstawie logowań aparatu telefonicznego. Forma ta jest wykorzystywana nie permanentnie, a tylko w razie wątpliwości dotyczących rzetelności pracownika. Monitoring miał miejsce wyłącznie w dni robocze i w godzinach pracy. Pierwszy "namiar" odbywał się o godz. 8, kolejne co 2 godziny, a ostatni o 16, zgodnie z zapisem § 19 Regulaminu pracy. Monitoring był wykorzystywany nie permanentnie, lecz tylko w razie wątpliwości dotyczących rzetelności pracownika. Urządzenie GPS nie jest montowane przez Spółkę w pojeździe; informacja o lokalizacji pracownika jest uzyskiwana na podstawie logowań aparatu telefonicznego, dokonywanych w dniach i godzinach pracy. Spółka nie sporządzała żadnego dokumentu, w którym miałaby (sama sobie) określać zasady monitoringu. Kierowana jednoosobowo, cały czas przez tę samą osobę, miała ustaloną praktykę. Praktyka ta (czyli zasady) była przedstawiana przy zatrudnianiu pracownika i przypominana podczas szkoleń. Głównym jej celem było uświadomienie pracownikom "terenowym", że w razie konieczności możliwe jest zweryfikowanie czasu i prawidłowości wykonywanej przez nich pracy oraz podawanych informacji, zwłaszcza związanej z odbywanymi wyjazdami służbowymi. Sam fakt takiej motywacji dowodzi tego, że Spółka była zainteresowana tym, aby pracownicy wiedzieli o monitoringu. W kontekście tego zupełnie nieuzasadniona jest sugestia, że pracodawca "namierzał" pracowników podstępnie i w niecnym celu. Pracodawca nie znajduje podstawy do tego, aby miał obowiązek pisemnego informowania pracowników o stosowaniu monitoringu. Konieczność taka, w ocenie Spółki, nie wynika z przepisów Kodeksu pracy i należy traktować ją tylko jako mającą walor dowodowy. Również z umowy o świadczenie usługi Monitoring Plus, z Załącznika nr 2 ust. 1 pkt "c" nie wynika obowiązek pisemnego powiadomienia "Użytkowników Monitorowanych". Spółka stosuje monitoring od 2011r., lecz w okresie, gdy badane zdarzenia miały miejsce, informacja taka nie była zawarta w regulaminie pracy, co zostało zmienione. Skarżący nie zwracał się do Spółki z żądaniem usunięcia danych osobowych.

Spółka poinformowała, że dane osobowe Uczestnika pozyskane za pośrednictwem monitoringu GPS zamierza przetwarzać do czasu prawomocnego zakończenia postępowania sądowego wszczętego przez Uczestnika.

W aktach sprawy znajduje się oświadczenie kierownika zakładu pracy w Spółce – G. K., z którego wynika, że odbywa on rozmowę wstępną, szkoli każdego pracownika, podczas szkolenia informuje "o sprawach i obowiązkach, zasadzie bezwzględnej lojalności i uczciwości stron względem siebie oraz stosownych formalnościach; każdy pracownik z grupy handlowców, zatrudnianych poza siedzibą firmy, jest powiadamiany o istnieniu monitoringu ich czasu pracy i możliwości skorzystania z niego przez pracodawcę". Uczestnika przeszkolono i poinformowano w ww. sposób. Spółka obecnie, w związku ze skargami, pobiera a od pracowników oświadczenie, że zostali poinformowani o tej formie kontroli ich pracy.

W aktach znajduje się kopia Regulaminu pracy z 21 sierpnia 2017r., obowiązującego w Spółce, który nie reguluje kwestii stosowania monitoringu.

Prezes UODO, odnosząc się do przetwarzania danych osobowych Uczestnika, po powołaniu się na art. 4 pkt 1, art. 6 ust. 1, art. 5 ust. 1 lit. a) i ust. 2, motywu 39 RODO wskazał, że należy dokonać analizy ograniczeń prawnych i obowiązków pracodawców mających zastosowanie do monitoringu w miejscu pracy. U.o.d.o. wprowadziła do ustawy z 26 czerwca 1974r. Kodeks pracy (Dz.U. z 2020r., poz. 1320, zwanej dalej K.p.) przepisy dotyczące monitorowania pracowników. W związku z tym przetwarzanie danych osobowych Uczestnika za pośrednictwem stosowanego w Spółce monitoringu GPS jest legalne, o ile spełnione zostały przesłanki określone w przepisach K.p., odnoszące się do monitoringu wizyjnego, a stosowane odpowiednio do innych form monitoringu pracownika. Zgodnie z art. 223 § 1 K.p., jeżeli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy, pracodawca może wprowadzić kontrolę służbowej poczty elektronicznej pracownika (monitoring poczty elektronicznej). Monitoring poczty elektronicznej nie może naruszać tajemnicy korespondencji oraz innych dóbr osobistych pracownika (§ 2). Przepisy art. 222 § 6-10 K.p. stosuje się odpowiednio (§ 3). Przepisy § 1-3 stosuje się odpowiednio do innych form monitoringu niż określone w § 1, jeśli ich zastosowanie jest konieczne do realizacji celów określonych w § 1 (§ 4). Stosownie natomiast do treści art. 222 § 6 K.p. cele, zakres oraz sposób zastosowania monitoringu ustala się w układzie zbiorowym pracy lub w regulaminie pracy albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem zbiorowym pracy lub nie jest obowiązany do ustalenia regulaminu pracy. Pracodawca informuje pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego pracodawcy, nie później niż 2 tygodnie przed jego uruchomieniem (§ 7). Pracodawca przed dopuszczeniem pracownika do pracy przekazuje mu na piśmie informacje, o których mowa w § 6 (§ 8). W przypadku wprowadzenia monitoringu pracodawca oznacza pomieszczenia i teren monitorowany w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem. (§ 9). Przepis § 9 nie narusza przepisów art. 12 i art. 13 RODO (§ 10). Uchwalone w u.o.d.o. z 2018r. przepisy szczególne dotyczące monitoringu wizyjnego i innych form monitoringu nie przewidywały okresów przejściowych, na które nie zdecydował się ustawodawca. Także przepisy RODO nie przewidywały dodatkowych terminów na dostosowanie.

W związku z tym ww. przepisy K.p. oraz właściwe postanowienia RODO mają zastosowanie do wszystkich istniejących i przyszłych systemów monitorowania. Podmiot, u którego funkcjonował system monitoringu GPS przed 25 maja 2018r. powinien niezwłocznie podjąć wszelkie działania mające na celu dostosowanie do nowych wymogów, aby wykazać dążenie do zapewnienia zgodności z obowiązującym prawem. Przetwarzanie danych osobowych jest procesem ciągłym i musi uwzględniać zmiany w obowiązujących przepisach prawa.

Skoro Spółka stosowała monitoring GPS od 2010r., a Uczestnik był zatrudniony od [...] lutego 2015r., czyli przed [...] maja 2018r., Spółka nie była zwolniona z obowiązku rzetelnego poinformowania Uczestnika o celach, zakresie oraz sposobie zastosowania monitoringu. W razie sporu z osobą, której dane dotyczą, albo z organem nadzorczym, administrator powinien być w stanie przedstawić dowody na to, że przestrzega zasad. Dowodami takimi mogą być przede wszystkim dokumenty dotyczące przetwarzania i ochrony danych. Dlatego też, pomimo braku wyraźnego wymogu wynikającego z przepisów komentowanego rozporządzenia, zasadne wydaje się prowadzenie dokumentacji przetwarzania danych, obejmującej wskazanie działań, jakie zostały podjęte dla zapewnienia zgodności przetwarzania i ochrony danych z wymogami określonymi w rozporządzeniu (np. przeprowadzonej analizy ryzyka i doboru odpowiednich zabezpieczeń" (Fajgielski Paweł Komentarz do art. 5 RODO w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy [...] (ogólne rozporządzenie o ochronie danych), Wolters Kluwer Polska, 2018.).

Spółka przetwarza dane osobowe Uczestnika w zakresie danych o lokalizacji, pozyskane za pośrednictwem monitoringu GPS m.in.: w okresach styczeń - maj 2019r. Celów, zakresu i sposobu zastosowania monitoringu GPS nie zawarto w Regulaminie pracy ani w żadnym innym dokumencie. Uczestnika nie poinformowano również o tym na piśmie, a Spółka nie jest wstanie w sposób niebudzący wątpliwości udokumentować tej okoliczności. Z oświadczenia Spółki wynika, że jest kierowana jednoosobowo - cały czas przez tę samą osobę - i miała ustaloną praktykę (czyli zasady), którą przedstawiała przy zatrudnianiu pracownika i przypominana podczas szkoleń, co potwierdza oświadczenie kierownika zakładu pracy – G. K..

Prezes UODO nie kwestionuje uprawnień pracodawcy do kontroli wykonywania i egzekwowania obowiązków pracowników, na które powołuje się Spółka w swoich wyjaśnieniach. Spółka, wykonując swoje uprawnienia, winna mieć na względzie przepisy dotyczące ochrony danych osobowych. Spółka nie wykazała w sposób wiarygodny poinformowania o stosowanym wobec Uczestnika monitoringu, w szczególności nie dostosowała się do obowiązujących od 25 maja 2018r. przepisów regulujących zasady stosowania monitoringu. Aktualnie Spółka przetwarza dane osobowe Uczestnika w zakresie danych o lokalizacji, pozyskanych za pośrednictwem monitoringu GPS bez podstawy prawnej. Gdyby nawet przyjąć, że Uczestnik był informowany o stosowanym w Spółce monitoringu podczas szkoleń prowadzonych przez kierownika zakładu pracy, to nadal nie zapewniło to Uczestnikowi stałego dostępu do tych informacji, naruszając przy tym zasadę przejrzystości przetwarzania danych osobowych. Każda forma monitoringu pracownika ingeruje w jego prywatność, w związku z tym, to również w interesie pracodawcy jest szczegółowo poinformować o tym fakcie w sposób jasny, przejrzysty i nie budzący wątpliwości pracownika, tak aby w przyszłości nie narazić się zarzut naruszenia jego dóbr osobistych. Takie podejście znajduje także potwierdzenie w dotychczasowym orzecznictwie sądów administracyjnych, co istotne, obowiązywało jeszcze przed wprowadzeniem do K.p. przepisów dotyczących monitorowania pracowników. Prezes UODO powołał się na wyrok NSA z 13 lutego 2014r. sygn. akt I OSK 2436/12.

Zgodnie z art. 17 ust. 1 lit. d RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli dane osobowe były przetwarzane niezgodnie z prawem. Prezes UODO, nakazał usunięcie danych osobowych Uczestnika, w zakresie danych o lokalizacji, pozyskanych za pośrednictwem monitoringu GPS.

2. Spółka, reprezentowana przez pełnomocnika r.pr. W. S., w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie wniosła o uchylenie ww. decyzji Prezesa UODO i zasądzenie kosztów postępowania sądowego, w tym kosztów zastępstwa prawnego, w wysokości podwójnej stawki minimalnej, zarzucając naruszenie:

- art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. oraz art. 80 k.p.a. - przez brak wyczerpującego, rzetelnego i wszechstronnego rozpatrzenia materiału sprawy, co doprowadziło Prezesa UODO do poczynienia w zaskarżonej decyzji nieuprawnionych ustaleń faktycznych w kwestii tego, czy Uczestnik był poinformowany o stosowanej formie monitoringu i jego zakresie i nie zgłaszał żadnych zastrzeżeń;

2) art. 107 § 3 k.p.a. - przez niewskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej;

3) art. 6 ust. 1 lit a i b RODO - przez nieuzasadnione przyjęcie, że Spółka przetwarzała dane osobowe (dane o lokalizacji) w sposób niezgodny z prawem.

Skarżąca w uzasadnieniu skargi podtrzymała swoje stanowisko wyrażone w oświadczeniu z [...] czerwca 2020r. i wskazała, że "nie wnosi zastrzeżeń w zakresie kompletności materiału dowodowego". Kwestionuje jednak, że został on rozpatrzony w całości. Na potwierdzenie powołała się na przesłanki wynikające z doświadczenia życiowego i faktów powszechnie znanych takich jak: - istnienie monitoringu już od 2010r. - bezsporne - utrzymanie tego w tajemnicy wobec pracowników, ani niepotrzebne, ani nierealne; - prosta forma monitoringu, stosowana we "flotach" pojazdów na masową, skalę, co jest powszechnie wiadome; - oczywista potrzeba mówienia o tym pracownikom, a nie ukrywanie przed nimi, wynikająca z prewencyjnej, a nie represyjnej funkcji monitoringu; - długotrwałość zatrudnienia "p. G." w Spółce (4,5 roku), przez który to okres "działał" monitoring GPS za pośrednictwem karty SIM w telefonie komórkowym), - absurdalność rzekomych czynności Spółki mających polegać na "śledzeniu" pracownika, co do którego nie było wcześniej żadnych istotnych zastrzeżeń. Należy tu dodać, iż do sprawdzenia zgodności deklarowanych wyjazdów ze stanem faktycznym (czyli wskazaniami GPS) wszystkich handlowców doszło wskutek przypadkowego ustalenia, że inny pracownik w ten sposób dopuszczał się oszustw wobec pracodawcy; - oczywiste zainteresowanie Uczestnika w tym, aby zakwestionowany został dowód jego nieuczciwości polegającej na wystawianiu Spółce rachunków za nieodbyte wyjazdy służbowe, co ma doprowadzić do uznania, że był uczciwym pracownikiem.

Spółka podniosła, że monitoring był na jednakowych zasadach i przed 25 maja 2018r. i po tej dacie, w związku z tym samo wprowadzenie nowych przepisów – tożsamych - nie spowodowało u pracownika "wyzerowania" posiadanej wiedzy. Spółka, z uwagi na wyjątkowe korzystanie z danych monitoringu, nie ma stałego dostępu do przetwarzanych danych. Dane te nie mają cechy trwałości, bo każdy pomiar GPS wykonywany w oznaczonej godzinie ma charakter indywidualny i niepowtarzalny, jak również w tym konkretnym przypadku nie było możliwości zapewnienia "stałego dostępu" do informacji, gdyż Skarżący przed wręczeniem wypowiedzenia przebywał na zwolnieniu lekarskim. Sprawa jest przykładem, gdy przy zbyt pobieżnej argumentacji ochrona dobra może z racjonalnej przerodzić się w swoje przeciwieństwo poprzez ochronę nieuczciwego postępowania.

3. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie oraz podtrzymał dotychczasowe stanowisko w sprawie.

II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

1. Skarga zasługuje na uwzględnienie, choć nie z powodów w niej wskazanych.

2. Sąd na wstępie wyjaśnia, że rozpoznał skargę na posiedzeniu niejawnym w trybie uproszczonym, na podstawie art. 119 pkt 2 w związku z art. 120 ustawy z 30 sierpnia 2002r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2022r. poz. 329, zwana dalej "P.p.s.a."). Spółka i Prezes UODO wnioskami z 30 lipca 2021r., a Uczestnik wnioskiem z 6 sierpnia 2021r. wnieśli o rozpoznanie sprawy w trybie uproszczonym.

Sąd stwierdza ponadto, że zgodnie z art. 1 § 1 i 2 ustawy z 25 lipca 2002r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2021r., poz. 137), kontrola sądowa zaskarżonych decyzji, postanowień bądź innych aktów, wymienionych w art. 3 § 2 P.p.s.a., sprawowana jest przez Sądy administracyjne w oparciu o kryterium zgodności z prawem. W związku z tym, aby wyeliminować z obrotu prawnego akt wydany przez organ administracji publicznej (np. decyzję) konieczne jest stwierdzenie, że doszło w niej do naruszenia bądź przepisu prawa materialnego w stopniu mającym wpływ na wynik sprawy, bądź przepisu postępowania w stopniu mogącym mieć istotny wpływ na rozstrzygnięcie, albo też przepisu prawa dającego podstawę do wznowienia postępowania, lub ewentualnie ustalenie, że decyzja lub postanowienie organu dotknięte jest wadą nieważności (art. 145 § 1 pkt 1 lit. a)-c), pkt 2 P.p.s.a.). Sąd, stosownie do art. 151 P.p.s.a., w razie nieuwzględnienia skargi w całości albo w części, oddala skargę odpowiednio w całości albo w części.

Sąd wyjaśnia również, że stosownie do art. 134 § 1 P.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Ostatnie z zastrzeżeń nie miało jednak zastosowania w sprawie, gdyż organ administracyjny wydał decyzję administracyjną, którą zaskarżyła Skarżąca, a nie interpretację indywidualną, o której mowa w art. 57a P.p.s.a.

3. W ocenie Sądu, analizowana pod tym kątem skarga zasługuje na uwzględnienie, albowiem zaskarżona decyzja naruszała przepis prawa materialnego, którego nie powołano w skardze – art. 17 ust. 3 lit. e) RODO – przez brak wzięcia go pod rozwagę w stanie faktycznym sprawy - w związku z powołanymi w skardze przepisami prawa procesowego art. 77 § 1 i art. 80 k.p.a. oraz art. 107 § 3 k.p.a., a naruszenia te mogły mieć istotny wpływ na wynik sprawy.

Zdaniem Sądu, jakkolwiek należało uznać, że Prezes UODO podjął wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli, jak również w sposób wyczerpujący zebrał całość materiału dowodowego sprawy, czyniąc zadość wymogom art. 7 i art. 77 § 1 k.p.a. – czego nie kwestionuje Spółka - tym niemniej organ nie rozpatrzył całego materiału dowodowego w sposób wyczerpujący i nie uwzględnił w podstawie prawnej zaskarżonej decyzji art. 17 ust. 3 lit. e) RODO.

W myśl art. 17 ust. 3 lit. e RODO ust. 1 i 2 nie mają zastosowania, w zakresie w jakim przetwarzanie jest niezbędne:

a) do korzystania z prawa do wolności wypowiedzi i informacji;

b) do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;

c) z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego zgodnie z art. 9 ust. 2 lit. h) oraz i) i art. 9 ust. 3;

d) do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, o ile prawdopodobne jest, że prawo, o którym mowa w ust. 1, uniemożliwi lub poważnie utrudni realizację celów takiego przetwarzania; lub

e) do ustalenia, dochodzenia lub obrony roszczeń.

Powoływany w podstawie prawnej zaskarżonej decyzji przez Prezesa UODO przepis art. 17 ust. 1 lit d) RODO stanowi, że osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator.

W świetle obu ww. przepisów art. 17 ust. 1 lit d) i art. 17 ust. 3 lit. e) RODO reguł dotyczących możliwości żądania usunięcie danych określonych w ust. 1 (w tym przetwarzanych z naruszeniem prawa) nie stosuje się, gdy przetwarzanie danych jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń.

Prezes UODO - uzasadniając orzeczenie w zakresie zobowiązania Spółki do usunięcia danych osobowych Uczestnika (pracownika Spółki), dotyczących lokalizacji – wprawdzie powołał się na art. 17 ust. 1 lit d) RODO, ale nie odniósł się w ogóle do wyjątku przewidzianego w art. 17 ust. 3 lit. e) RODO.

Warto jednak zauważyć, że z ustaleń Prezesa UODO przedstawionych w stanie faktycznym sprawy i uwzględniających pismo Spółki z [...] czerwca 2020r. wynikało, że przed Sądem Rejonowym dla [...] w [...] toczy się postępowanie w sprawie niezgodnego z prawem rozwiązania ze Skarżącym stosunku pracy (sygn. akt [...]). W toku tego postępowania Spółka, jako dowód w sprawie, przedłożyła zestawienia danych pochodzących z raportów Uczestnika, dotyczących odbytych przez niego podróży służbowych oraz z urządzeń GPS. Wydruków nie opatrzono podpisem osoby upoważnionej ani choćby pieczęcią pracodawcy. Również w aktach administracyjnych sprawy znajdują się dowody potwierdzające okoliczność pozostawania przez Spółkę w sporze z Uczestnikiem, prowadzonym przed Sądem Rejonowym dla [...] w [...] (pismo z Sądu z zapytaniem, na jakim etapie znajduje się przed Prezesem UODO sprawa ze skargi Uczestnika - k. 69 akt administracyjnych).

Dowody te, stosownie do art. 77 § 1 i art. 80 k.p.a., należało zatem ocenić z punktu widzenia art. 17 ust. 3 lit. e) RODO, gdyż ww. przepis może stanowić przesłankę negatywną do obowiązku usunięcia danych osobowych Uczestnika, czyli do nakazania Spółce usunięcia danych osobowych Uczestnika w zakresie danych o lokalizacji, pozyskanych za pośrednictwem monitoringu GPS. Skoro zatem Prezes UODO nie uwzględnił w zaskarżonej decyzji ww. przepisu art. 17 ust. 3 lit. e) RODO i nie rozważył, w jakim zakresie przetwarzanie ww. danych osobowych Uczestnika było niezbędne do ustalenia, dochodzenia lub obrony roszczeń Spółki, w związku z toczącym się przed Sądem Rejonowym dla [...] w [...] sporem Skarżącej z Uczestnikiem, zaskarżoną decyzję należało usunąć z obrotu prawnego, z uwagi na art. 8 § 1 k.p.a, jak również art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. W tym tylko zakresie zarzuty procesowe zawarte w skardze mogły być uznane za zasadne.

Zdaniem Sądu Prezes UODO w uzasadnieniu zaskarżonej decyzji natomiast prawidłowo wskazał - po dokonaniu analizy ograniczeń prawnych i obowiązków pracodawców mających zastosowanie do monitoringu w miejscu pracy, w chwili, gdy był on stosowany wobec Uczestnika (styczeń-maj 2019r.) - że każda forma monitoringu pracownika (w tym monitoring GPS) jest zgodna z prawem, o ile została wprowadzona zgodnie z zachowaniem procedury przewidzianej w art. 222 § 6-10 K.p. i art. 223 § 4 K.p. (w brzmieniu obowiązującym w okresie styczeń-maj 2019r.), której elementem jest obowiązek poinformowania o wprowadzeniu monitoringu, celach, zakresie i sposobie monitorowania.

W związku z tym trafne było przyjęcie przez Prezesa UODO, że przetwarzanie danych osobowych Uczestnika za pośrednictwem stosowanego w Spółce monitoringu GPS było legalne, o ile spełnione zostały przesłanki określone w przepisach K.p., odnoszące się do monitoringu wizyjnego, a stosowane odpowiednio do innych form monitoringu pracownika.

Prawidłowo również Prezes UODO powołał się na orzecznictwo Sądów administracyjnych, w tym na wyrok NSA z 13 lutego 2014r. sygn. akt I OSK 2436/12 i wskazał, że wymóg transparentności oznacza, że pracownicy powinni mieć świadomość, że są poddawani monitoringowi. Pracodawca winien zatem szczegółowo określić zasady monitoringu i zapoznać z nimi pracowników, którzy fakt zapoznania się z nimi powinni potwierdzić stosownym, podpisanym oświadczeniem o danych osobowych Uczestnika, czyli do nakazania Spółce usunięcia danych osobowych Uczestnika w zakresie danych o lokalizacji, pozyskanych za pośrednictwem monitoringu GPS żich akceptacji. Przy przyjęciu, że monitoring systemu informatycznego jest niezbędny dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez pracodawcę jako administratora danych, art. 23 ust. 1 pkt 5 u.o.d.o. nie mógł być przesłanką legalnego przetwarzania danych osobowych skarżącego, gdyż przetwarzanie to naruszało prawo do prywatności w sytuacji, kiedy skarżący nie miał świadomości monitoringu.

Zdaniem Sądu w okolicznościach faktycznych sprawy zasady swobodnej oceny dowodów, wyrażonej w art. 80 k.p.a., nie naruszała ocena Prezesa UODO, że celów, zakresu i sposobu zastosowania monitoringu GPS nie zawarto w Regulaminie pracy Spółki ani w żadnym innym dokumencie. Uczestnika nie poinformowano również o tym na piśmie, a Spółka nie jest wstanie w sposób niebudzący wątpliwości udokumentować tej okoliczności.

Zgodnie natomiast z art. 5 ust. 1 lit. a) RODO dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"). O zasadzie przejrzystości mówi także motyw 39 RODO. Art. 5 ust. 2 RODO stanowi, że administrator jest odpowiedzialny za przestrzeganie przepisów i musi być w stanie wykazać ich przestrzeganie.

Z ustaleń Prezesa UODO wynikało ponadto, że nie kwestionował uprawnień pracodawcy do kontroli wykonywania i egzekwowania obowiązków pracowników. Organ prawidłowo ustalił też, że Skarżącą kieruje ta sama osoba przez cały czas działalności Spółki – G. K., jak również, że z ustalonej w Spółce praktyki (czyli zasad) wynika, że kierownik zakładu pracy informował przy zatrudnianiu pracownika i przypominał podczas szkoleń o stosowaniu monitoringu. Rację miał również Prezes UODO wskazując, że Spółka, wykonując swoje uprawnienia, winna mieć na względzie przepisy dotyczące ochrony danych osobowych jak również i to, że Spółka nie wykazała w sposób wiarygodny poinformowania o stosowanym wobec Uczestnika monitoringu, w szczególności nie dostosowała się do obowiązujących od 25 maja 2018r. przepisów regulujących zasady stosowania monitoringu. Celów, zakresu i sposobu zastosowania monitoringu GPS nie zawarto w Regulaminie pracy ani w żadnym innym dokumencie. Każda forma monitoringu pracownika ingeruje w jego prywatność, w związku z tym, to również w interesie pracodawcy jest szczegółowo poinformować o tym fakcie w sposób jasny, przejrzysty i nie budzący wątpliwości pracownika, tak aby w przyszłości nie narazić się na zarzut naruszenia jego dóbr osobistych. Takie podejście znajduje także potwierdzenie w dotychczasowym orzecznictwie sądów administracyjnych, co istotne, obowiązywało jeszcze przed wprowadzeniem do K.p. przepisów dotyczących monitorowania pracowników.

Zdaniem Sądu oceny tej zakwestionować nie sposób, gdyż Prezes UODO dokonał jej na podstawie znajdujących się w aktach sprawy dokumentów, w tym dokumentów przedkładanych przez Spółkę, mając na względzie obowiązujące przepisy prawa. W związku z tym słusznie i z zachowaniem zasady swobodnej oceny dowodów, Prezes UODO przyjął, że Skarżąca nie była w stanie w sposób niebudzący wątpliwości udokumentować okoliczności, że Uczestnika poinformowano o monitoringu stosowanym w Spółce. Dodatkowo Prezes UODO racjonalnie wskazał, że nawet gdyby przyjąć, że Uczestnik był, podczas przyjęcia do pracy i szkoleń informowany o stosowanym w Spółce monitoringu, to nadal nie zapewniło to Uczestnikowi stałego dostępu do tych informacji, naruszając przy tym zasadę przejrzystości przetwarzania danych osobowych.

W ocenie Sądu, Prezes UODO, powinien jednak ww. okoliczność powiązać z inną okolicznością wynikającą z akt administracyjnych – prowadzenia przez Skarżącą z Uczestnikiem sporu sądowego i dokonać ocen materiału dowodowego zgromadzonego zgodnie z art. 7 i art. 77 § 1 k.p.a., z uwzględnieniem przesłanek wynikających z art. 17 ust. 3 lit. e) RODO oraz dać temu wyraz w uzasadnieniu zaskarżonej decyzji. Skoro w sprawie tego zabrakło, Sąd orzekł o uchyleniu zaskarżonej decyzji, uznając za bezzasadne pozostałe zarzuty skargi.

4. Z przytoczonych wyżej przyczyn, na podstawie art. 145 § 1 pkt 1 lit. a i c) P.p.s.a. orzeczono, jak w punkcie pierwszym sentencji. Sąd o zwrocie kosztów postępowania postanowił na mocy art. 200 w zw. z art. 205 § 2 P.p.s.a. oraz § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015r. w sprawie opłat za czynności radców prawnych (Dz.U. z 2018r., poz. 265 ze zm.) do kosztów na rzecz Spółki zaliczono wynagrodzenie jej pełnomocnika - 480 zł, wpis sądowy od skargi - 200 zł i 17 zł tytułem opłaty skarbowej od pełnomocnictwa (punkt drugi sentencji).