II SA/Wa 1134/13

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Eugeniusz Wasilewski, Sędziowie WSA Adam Lipiński (spr.), Ewa Pisula-Dąbrowska, Protokolant Referent stażysta Małgorzata Ciach, po rozpoznaniu na rozprawie w dniu 6 grudnia 2013 r. sprawy ze skargi Międzyzakładowej Komisji Związku Zawodowego [...] z siedzibą w W. na postanowienie Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2013 r. nr [...] w przedmiocie odmowy wszczęcia postępowania w sprawie ochrony danych osobowych 1. uchyla zaskarżone postanowienie oraz poprzedzające je postanowienie z dnia [...] lutego 2013 r. 2. zaskarżone postanowienie nie podlega wykonaniu w całości, 3. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz Międzyzakładowej Komisji Związku Zawodowego [...] z siedzibą w W. kwotę 100 (słownie: sto złotych), tytułem zwrotu kosztów postępowania. Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 138 § 1 pkt 1 w zw. z art. 144 i 31 § 2 oraz art. 61a Kpa i przepisów art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), postanowieniem z dnia [...] kwietnia 2013 r. utrzymał w mocy swoje poprzedzające postanowienie z dnia [...] lutego 2013 r. o odmowie wszczęcia postępowania w sprawie przetwarzania przez pracowników P. S.A. danych osobowych członków Związku Zawodowego [...] Pracowników P. z siedzibą w W. W uzasadnieniu postanowienia organ wskazał, co następuje: W dniu 19 lipca 2012 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Międzyzakładowej Komisji Związku Zawodowego [...] Pracowników P. z siedzibą w W. z dnia 18 lipca 2012 r., dotycząca niezgodnego z prawem przetwarzania danych osobowych członków Związku przez imiennie wskazanych pracowników P. S.A. W dniu [...] lutego 2013 r. Generalny Inspektor Ochrony Danych Osobowych wydał postanowienie o odmowie wszczęcia postępowania w powyższej sprawie. Międzyzakładowa Komisja Związku Zawodowego [...] wniosła zażalenie, w którym podniosła, iż żądanie wszczęcia postępowania, zgodnie z treścią art. 18 ust. 1 ustawy o ochronie danych osobowych może być skierowane przez związek zawodowy, szczególnie, że w niniejszej sprawie jest to uzasadnione jego celami statutowymi i przemawia za tym interes społeczny. Związek jest reprezentantem pracowników w zakładzie pracy, a jego celem statutowym jest ochrona ich praw, w tym także danych osobowych. Związek jest jednocześnie administratorem danych osób w nim zrzeszonych. Kwestionowanym przez związek działaniem naruszono interes wielu osób, a co za tym idzie interes społeczny. Zatem jest w społecznym interesie, aby podjąć kroki mające na celu kontrole i przywrócenie stanu zgodnego z prawem. Generalny Inspektor Ochrony Danych Osobowych ponownie przeanalizował sprawę i uznał, iż zaskarżone rozstrzygniecie jest prawidłowe i znajduje uzasadnienie w treści art. 61a § 1 Kpa. W ocenie organu, występowanie w niniejszej sprawie Związku Zawodowego [...] nie mieści się w granicach zakreślonych przez art. 31§ 1 pkt 1 Kpa albowiem wykracza poza cele statutowe, wskazane w § 5 statutu Związku (statut dołączony do akt niniejszej sprawy). Generalny Inspektor podkreślił, iż do celów statutowych Związku należy ochrona praw pracowniczych, natomiast prawo do ochrony danych osobowych nie wynika z przepisów prawa pracy, lecz z treści art. 1 ust. 1 ustawy o ochronie danych osobowych. Miedzy celem Związku, wyrażonym w statucie tego podmiotu (w tym przypadku prawa i interesy pracownicze), a materialnoprawnym przedmiotem sprawy (w tym przypadku ochrona danych osobowych) musi istnieć prawny związek, którego Generalny Inspektor się nie dopatrzył. Zagwarantowane w art. 1 ust. 1 ustawy o ochronie danych osobowych prawo osoby, której dane dotyczą, do ochrony dotyczących jej danych i uprawnienia związane z realizacją tego prawa, przysługują indywidualnie każdej osobie, której dane dotyczą. Odnosi się to także do uprawnienia do zainicjowania postępowania, w którym Generalny Inspektor miałby zbadać, czy przysługujące takiej osobie prawo do ochrony dotyczących jej danych zostało naruszone. W treści skargi Związku nie sposób natomiast doszukać się interesu społecznego przemawiającego za wszczęciem postępowania administracyjnego mimo niekorzystania przez osoby, których dane dotyczą, z przysługujących im uprawnień. Natomiast odnośnie kwestii wszczęcia postępowania administracyjnego przez Generalnego Inspektora Ochrony Danych Osobowych z urzędu, organ podkreślił, iż sam decyduje o powyższej czynności i jest to jego autonomiczna decyzja. Międzyzakładowa Komisja Związku Zawodowego [...] Pracowników P. wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższe postanowienie, zarzucając Generalnemu Inspektorowi Ochrony Danych Osobowych naruszenie art. 61a § 1, art. 31 § 1 pkt 1 Kpa oraz art. 18 ust. 1 ustawy o ochronie danych osobowych i wnosząc o uchylenie zaskarżonego postanowienia. W uzasadnieniu skargi podniesiono, że Związek jest reprezentantem pracowników w zakładzie pracy, a jego celem statutowym jest ochrona ich praw, w tym także danych osobowych. Związek jest jednocześnie administratorem danych osób w nim zrzeszonych, szczególnie że każdy członek związku upoważnia go do administrowania tymi danymi podpisując deklarację członkowską, która zawiera wyraźną w tym zakresie dyspozycję. Dane te były gromadzone przez Związek działający u pracodawcy i związane były z interesami zawodowymi pracowników. Ich przekazanie przez Związek nastąpiło w celu realizacji interesów pracowniczych pracowników, których dane te dotyczyły. Wobec tego została spełniona przesłanka z art. 31 § 1 pkt 1 Kpa, wedle której postępowanie może być wszczęte, jeśli jest to uzasadnione celami statutowymi organizacji społecznej. Związek przekazał dane w ściśle określonym celu, a dane te zostały bezprawnie, bez zgody związku i zainteresowanych osób, przekazane osobom nieuprawnionym. Zatem naruszono interes wielu osób, a co za tym idzie interes społeczny. Zgodnie z art. 18 ust 1 ustawy o ochronie danych osobowych GIODO może także podjąć działania z urzędu, czego do dnia dzisiejszego nie uczynił, mając wiedzę o tym, że naruszenie przepisu art. 27 ustawy o ochronie danych osobowych miało miejsce. Z treści zaskarżonego postanowienia wynika, że inspektor przewiduje w tym wypadku podjęcie postępowania jedynie na żądanie uprawnionego podmiotu, co jest sprzeczne z treścią art. 18 ustawy o ochronie danych osobowych. W piśmie z dnia 3 lipca 2013 r. strona skarżąca podtrzymała skargę i podkreśliła, iż istotą problemu w niniejszej sprawie jest uprawnienie Związku Zawodowego do zainicjowania postępowania dotyczącego ochrony danych osobowych pracowników zrzeszonych w Związku. Strona skarżąca zakwestionowała poprawność twierdzeń organu. Zdaniem GIODO w zakresie przedmiotu działania Związku jest ochrona godności praw i interesów pracowniczych, a za tym w pojęciu tych praw i interesów nie mieści się ochrona danych osobowych, ponieważ nie wynika z przepisów prawa pracy. Z tym stanowiskiem nie można się zgodzić, choćby z tego powodu, że nie zawiera ono pełnego uzasadnienia, wskazującego na to, co GIODO rozumie pod pojęciem przepisów prawa pracy. Stosunki pracy i prawa pracownicze zostały uregulowane w różnych ustawach, a więc nie tylko w Kodeksie pracy, ale np. ustawie o rozwiązywaniu sporów zbiorowych, zwolnieniach grupowych, ustawach dotyczących ubezpieczenia społecznego, emerytalnych itp. Na gruncie niniejszej sprawy zdaniem skarżącej - Międzyzakładowej Komisji doszło do naruszenia praw pracowniczych przez pracodawcę, poprzez użycie danych osobowych pracowników niezgodnie z przeznaczeniem, stanowiącym na podstawie którego je przekazano. Skoro podmiotem, który dopuścił się naruszenia jest pracodawca, to mamy do czynienia z naruszeniem interesów pracowniczych. Należy dodać że interes pracowniczy to nie tylko interes wyrażony bezpośrednio w przepisach regulujących stosunki pomiędzy pracownikiem a pracodawcą. Interesem pracowniczym jest każdy interes jednostki (pracownika), który ma związek z wykonywaną przez niego pracą, niezależnie od tego, czy przepisy chroniące ten interes są zawarte w tak zwanych (przez GIODO bliżej nieokreślonych) przepisach prawa pracy (klasycznym przykładem jest zawieranie umów cywilnoprawnych z pracownikiem, które są traktowane jako stosunki cywilistyczne, a nie z zakresu prawa pracy). Strona skarżąca podniosła, że analogiczny przypadek zgłoszenia przez Międzyzakładowa Komisję naruszenia ochrony danych osobowych pracownika, miał miejsce w 2009 roku, i na skutek tamtego zawiadomienia, GIODO podjęło postępowania wyjaśniające oraz skierowało do pracodawcy stosowne wystąpienia. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, argumentując jak w uzasadnieniu zaskarżonego postanowienia. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Stosownie do treści art. 13 § 2 ustawy - Prawa o postępowaniu przed sądami administracyjnymi do rozpoznania niniejszej sprawy właściwy jest wojewódzki sąd administracyjny, na którego obszarze właściwości ma siedzibę organ administracji publicznej, którego działalność została zaskarżona. W niniejszej sprawie sądem tym jest Wojewódzki Sąd Administracyjny w Warszawie. Natomiast zgodnie z treścią art. 1 § 1 i 2 ustawy – Prawo o ustroju sądów administracyjnych, sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności zaskarżonego rozstrzygnięcia administracyjnego z przepisami obowiązującymi w dacie jego wydania. Innymi słowy, wojewódzki sąd administracyjny nie orzeka co do istoty sprawy w zakresie danego przypadku, lecz jedynie kontroluje legalność rozstrzygnięcia zapadłego w tym postępowaniu, z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Badana pod tym kątem skarga zasługuje na uwzględnienie. Generalny Inspektor Ochrony Danych Osobowych nieprawidłowo rozpatrzył niniejsza sprawę. Międzyzakładowa Komisja Związku Zawodowego [...] Pracowników P. w piśmie z dnia 18 lipca 2012 r. (zwanym skargą) zgłosiła Generalnemu Inspektorowi Ochrony Danych Osobowych, iż w ocenie Związku doszło do naruszenia praw pracowniczych przez pracodawcę ([...]), poprzez użycie danych osobowych pracowników, niezgodnie z przeznaczeniem, dla którego dane te zostały przez Związek udostępnione wskazanemu pracownikowi Centrum Działu Zarządzania Kadrami P. S.A. [...] poprzez przekazanie tych danych innym nieuprawnionym pracownikom. W zgłoszeniu tym wskazano imiennie pracowników winnych naruszenia i zaklasyfikowano te naruszenia jako wypełniające dyspozycję przepisów art. 26 i art. 27 ustawy o ochronie danych osobowych. Do zgłoszenia tego dołączono także jako dowód e-mail pracownika Centrum Działu Zarządzania Kadrami P. S.A. [...] oraz dowód uiszczenia opłaty od wniosku. Zatem powyższe pismo stanowiło zawiadomienie organu uprawnionego do ochrony danych osobowych o podejrzeniu naruszenia zasad posługiwania się danymi osobowymi, i to naruszenia kwalifikowanego (w ocenie podmiotu zawiadamiającego) albowiem dotyczącego danych wrażliwych - przynależność do związku zawodowego. Otrzymując takie zawiadomienie Generalny Inspektor Ochrony Danych Osobowych powinien przede wszystkim ustalić, w drodze podjęcia czynności sprawdzających, czy w istocie doszło do naruszenia zasad przetwarzania danych osobowych, które uzasadniałoby wszczęcie stosownego postępowania na zasadzie przepisów art. 18 ustawy o ochronie danych osobowych, a zatem zbadać sprawę od strony przedmiotowych przesłanek naruszenia zasad przetwarzania danych osobowych. Organ dokonania powyższych wstępnych ustaleń w ogóle zaniechał, natomiast, ze znacznym upływem czasu (gdyż dopiero w dniu 5 września 2012 r.) poinformował Przewodniczącego Międzyzakładowej Komisji Związku Zawodowego [...], że skarga (pismo inicjujące postępowanie) powinna zostać sporządzona przez osoby lub osobę, których dane osobowe zostały pozyskane niezgodnie z zasadami ochrony danych osobowych, albo przez pełnomocnika tych osób, to jest przez adwokata, radcę prawnego, rzecznika patentowego, doradcę podatkowego. Pismo to wywołuje niepotrzebny na tym wstępnym etapie postępowania spór podmiotowy, co do legitymacji do występowania w charakterze strony w danym postępowaniu (czyli inaczej rzecz ujmując, badania czy skarżący Związek ma legitymacje do działania w niniejszej prawie) - spór ostatecznie zakończony przez organ w trybie administracyjnym, wydaniem postanowień o odmowie wszczęcia postępowania z przyczyn podmiotowych. Powyższe działanie Generalnego Inspektora Ochrony Danych Osobowych nie jest prawidłowe. Przede wszystkim rozważanie, co do formy w jakiej ewentualnie ma być wszczęte dane postępowanie w przedmiocie ochrony danych osobowych (na wniosek, czy z urzędu) oraz rozważania, co do praw podmiotowych związków zawodowych w zakresie inicjowania przedmiotowego postępowania w zakresie ochrony danych osobowych, bez uprzedniego zweryfikowania przez organ, uzyskanych w piśmie organizacji związkowej z dnia 18 lipca 2012 r. informacji o naruszeniu zasad ochrony danych osobowych, czyli zweryfikowania przedmiotu sprawy, jest tu przede wszystkim przedwczesne i błędne. Nie trzeba legitymować się pełnomocnictwem, czy specjalnym umocowaniem z mocy prawa do poinformowania Generalnego Inspektora Ochrony Danych Osobowych o zdarzeniu wyczerpującym, w ocenie informującego, znamiona czynów zabronionych w zakresie ochrony danych osobowych. Takie doniesienie może skutecznie sporządzić każdy. Natomiast informacja taka powinna zostać niezwłocznie przez organ zweryfikowana, co do istnienia podstawowych przesłanek przedmiotowych warunkujących naruszenie zasad przetwarzania danych osobowych. Tak niezwłoczna weryfikacja w niniejszej sprawie wydaje się konieczna, albowiem pismo z dnia 18 lipca 2012 r. zarzuca naruszenie zasad ochrony danych wrażliwych, wskazanych w katalogu opisanym w art. 27 omawianej ustawy – tu przynależność do związku zawodowego. Ma pewną rację organ, gdy twierdzi, iż ewentualne wszczęcie z urzędu postępowania w zakresie ochrony danych osobowych należy do autorytarnej decyzji Generalnego Inspektora Ochrony Danych Osobowych, jednakże organ abstrahuje tu od podstawowych obowiązków, niezbędnych do przeprowadzenia, aby w ogóle można mówić o przedmiocie sprawy – wstępnego zweryfikowania doniesienia o naruszeniu zasad ochrony danych osobowych. Zatem ewentualna odmowa wszczęcia z urzędu danego postępowania, bez dokonania niezbędnych do oceny sytuacji ustaleń, zawsze będzie objęta kontrolą sądu administracyjnego. Brak dokonania przez organ nawet pobieżnej weryfikacji pisma z dnia 18 lipca 2012 r. od strony przedmiotowej, skutkuje, iż jego dalsze działanie jest nieuprawnione. Dopiero przecież po weryfikacji informacji o naruszeniu zasad ochrony danych osobowych można stwierdzić: albo że sprawa nadaje się do dalszego wyjaśniania i wówczas należy wszcząć postępowanie w konkretnym przedmiocie, albo stwierdzić, iż już wstępna analiza sprawy, wskazuje na brak rzeczonego naruszenia – czyli brak przedmiotu sprawy, co uzasadnia ewentualną odmowę wszczęcia przedmiotowego postępowania. Jednakże na takim etapie, na jakim została rozpatrzona przedmiotowa sprawa w ogóle nie można jeszcze mówić o podmiocie uprawnionym do jej formalnego wszczęcia, albowiem brak jest weryfikacji informacji o popełnieniu czynu opisanego art. 27 ustawy o ochronie danych osobowych, czyli brak ustaleń, co do przedmiotu sprawy. Nie można także wykluczyć, iż wykonanie czynności weryfikujące nakażą organowi prowadzenie sprawy w innym kierunku, niż wskazany w zawiadomieniu (pismo z 18 lipca 2012 r.). Powyższe uchybienie nakazuje Wojewódzkiemu Sądowi Administracyjnemu w Warszawie uchylenie zaskarżonego i utrzymanego nim w mocy postanowienia organu z dnia [...] lutego 2013 r. Generalny Inspektor Ochrony Danych Osobowych ponownie rozpatrując niniejszą sprawę, przede wszystkim dokona czynności sprawdzających, co do faktów podniesionych w zawiadomieniu z dnia 18 lipca 2012 r. W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie Generalny Inspektor Ochrony Danych Osobowych nie może swoich czynności określonych w ustawie o ochronie danych osobowych, ograniczać jedynie do tych spraw, w których same osoby, których dane naruszono, występują do organu o wszczęcie stosownego postępowania. Zgodnie z treścią art. 18 ustawy o ochronie danych osobowych Generalny Inspektor Ochrony Danych Osobowych został także wyposażony w prawo wszczynania stosownych postępowań z urzędu. Praktyka naruszeń danych osobowych wskazuje na częste przypadki, iż osoby, których dane osobowe stały się przedmiotem naruszenia nie mają świadomości istnienia tego naruszenia. Dlatego tak cenne jest czerpanie przez organ informacji o naruszeniach ustawy o ochronie danych osobowych z różnych źródeł. Również gdyby działania ochronne w tym zakresie ograniczyć jedynie do woli wszczęcia postępowania przez osoby, których dane osobowe naruszono, na podobieństwo postępowań prywatno skargowych w procedurze karnej, poza możliwością korygowania byłaby cała sfera naruszania ochrony danych osobowych dokonanych przez nierzetelnych administratorów tych danych i pozostających poza wiedzą osób, których dane osobowe naruszono. Na tym dalszym etapie postępowania, jeżeli oczywiście informacja zawarta w piśmie z dnia 18 lipca 2013 r. zostanie potwierdzona, organ winien rozważyć podmiotowe zagadnienia związane z niniejszym postępowaniem. Nieprawidłowy w ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, wydaje się kategorycznie sformułowany przez Generalnego Inspektora Ochrony Danych Osobowych pogląd, iż związki zawodowe nie mają uprawnień do składania wniosków (skarg) inicjujących postępowania przed Generalnym Inspektorem Ochrony Danych Osobowych i posiadania statusu strony w takich postępowaniach, gdy przedmiotem naruszenia są dane osobowe ich członków, a więc dane osobowe wobec których związki zawodowe są administratorami tych danych. Nie chodzi tu tylko o oczywistą wagę ochrony danych wrażliwych, ale o prawidłowość zabezpieczenia przepływu danych osobowych pomiędzy związkami zawodowymi a pracodawcą i właściwej ochrony zbiorów zawierających te dane. Administrator danych osobowych, który w dobrej wierze, realizując przepisy prawa, przekazuje innemu podmiotowi dane osobowe ma prawo do powiadamiania Generalnego Inspektora Ochrony Danych Osobowych o naruszeniu zasad ochrony tych przekazanych danych przez podmiot dane te otrzymujący. Podkreślenia wymaga, iż zgodnie z treścią art. 26 ustawy na administratorze danych osobowych spoczywają określone obowiązki, obowiązki te mogą uzasadniać określone działania procesowe administratora. W takiej sprawie istotny będzie kontekst prawny w jakim nastąpiło przekazanie danych osobowych przez związek zawodowy pracodawcy. Dopiero ten kontekst prawny pozwoli dokonać stosownych ocen udziału związku zawodowego w niniejszej sprawie w rozumieniu przepisu 28 Kpa - jako strony postępowania administracyjnego, albo w kontekście przepisu art. 31 Kpa. Jednakże bez rozstrzygnięcia zaprezentowanego na wstępie zagadnienia przedmiotowego niniejszej sprawy, wszelkie rozważania w materii ewentualnego udziału i charakteru tego udziału w postępowaniu administracyjnym Międzyzakładowej Komisji Związku Zawodowego [...] Pracowników P. z siedzibą w W. są czysto teoretyczne. Z tych wyżej wskazanych przyczyn, na zasadzie przepisu art. 145 § 1 ust. 1 pkt c) oraz przepisu art. 200 ustawy – Prawo o postępowaniu przed sądami administracyjnymi, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w sentencji wyroku.