III OSK 2228/22

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Olga Żurawska-Matusiak Sędziowie Sędzia NSA Zbigniew Ślusarczyk Sędzia del. WSA Maciej Kobak (spr.) po rozpoznaniu w dniu 14 czerwca 2024 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej Organizacji X z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 25 kwietnia 2022 r. sygn. akt II SA/Wa 472/22 w sprawie ze skargi Organizacji X z siedzibą w W. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia 28 grudnia 2021 r. nr DS.523.6408.2021.ZS.MR. w przedmiocie odmowy wszczęcia postępowania I. uchyla w całości zaskarżony wyrok oraz zaskarżone postanowienie; II. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz Organizacji X z siedzibą w W. kwotę 694 (sześćset dziewięćdziesiąt cztery) złote, tytułem zwrotu kosztów postępowania za obie instancje. Wyrokiem z dnia 25 kwietnia 2022 r. sygn. akt II SA/Wa 427/22 Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę Organizacji X z siedzibą w W. (dalej: "skarżący" i "organizacja") na postanowienie Prezesa Urzędu Ochrony Danych Osobowych (dalej: "organ") z 28 grudnia 2021 r. nr DS.523.6408.2021.ZS.MR w przedmiocie odmowy wszczęcia postępowania. Wyrok ten zapadł w następujących okolicznościach faktycznych i prawnych sprawy. Pismem z 1 października 2021 r. skarżący wniósł do organu skargę na działania Y i Z polegające na przetwarzaniu wrażliwych danych osobowych dotyczących zdrowia, w sposób niezgodny z przepisami. Skarżący wyjaśnił, że w dniu 22 września 2021 r. pracownicy zakładu otrzymali informację o planowanej ankiecie dotyczącej rodzaju wykonywanej pracy oraz statusu zaszczepienia pracownika przeciwko COVID-19. Na tej podstawie zarzucono pracodawcy, brak wskazania umocowania prawnego, które upoważniłoby go do pozyskania danych, które obejmowała ankieta; a także liczne naciski na jej wypełnienie. Zaznaczono, że ankieta miała być przeprowadzona przez podmiot zewnętrzny za pomocą służbowych skrzynek mailowych, do których pracodawca ma pełen dostęp, w związku z czym pracownicy wypełniający ankietę nie mieli wiedzy kto jest administratorem ich danych, ani czy rzeczywiście będą one anonimowe. W związku z powyższym wniesiono o wszczęcie postępowania administracyjnego oraz podjęcie niezbędnych czynności dowodowych, a także nakazanie trwałego usunięcia danych osobowych pozyskanych w sposób sprzeczny z prawem. W dniu 21 października 2021 r. organ poinformował wnioskodawcę o zasadach wnoszenia i rozpatrywania skarg przez organ nadzorczy, określonych w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46AA/E (dalej: "RODO") i wezwał go do udzielenia dodatkowych informacji w celu podjęcia dalszych czynności. Po uzyskaniu odpowiedzi, postanowieniem z 28 grudnia 2021 r. organ odmówił wszczęcia postępowania w sprawie skargi na nieprawidłowości w procesie przetwarzania danych osobowych, polegających na zbieraniu informacji dotyczących zaszczepienia pracowników przeciwko COVID-19. Organ podał, że w statucie organizacji brak jest unormowań, które dawałyby jej umocowanie do działania w imieniu zrzeszonych w nim pracowników w sprawach dotyczących ochrony ich danych osobowych. Organizacja zaskarżyła postanowienie PUODO z 28 grudnia 2021 r. do WSA w Warszawie wywodząc, że jej żądanie jest w pełni uzasadnione celami statutowymi i przemawia za nim również interes społeczny. W odpowiedzi na skargę organ wniósł o jej oddalenie. Opisanym na wstępie wyrokiem Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę. W ocenie Sądu I instancji skarga nie zasługiwała na uwzględnienie, albowiem organ prawidłowo dokonał analizy przesłanek określonych w art. 31 § 1 pkt 1 k.p.a. i słusznie uznał, że nie zostały wykazane. WSA podkreślił, że w statucie brak jest unormowań, które dawałyby związkowi umocowanie do działania w imieniu zrzeszonych w nim pracowników w sprawach dotyczących ochrony ich danych osobowych. Działalność związków zawodowych ma bowiem na celu ochronę praw pracowniczych w relacji pracownik-pracodawca. Szczegółowość powyższych celów, zdaniem Sądu, wyklucza, aby związki mogły działać w również w celu ochrony danych osobowych pracowników wynikających z RODO. W przypadku spełnienia omawianej przesłanki musi istnieć merytoryczne powiązanie przedmiotu postępowania administracyjnego z celami i zakresem działania organizacji społecznej, czego w sprawie zabrakło, gdyż skarżący celu takiego nie wykazał. Sąd zważył, że skarżący nie wykazał również zaistnienia drugiej przesłanki z art. 31 § 1 pkt 1 k.p.a. tj. zaistnienia interesu społecznego do wystąpienia z daną skargą. Zdaniem Sądu, do uznania że po stronie związku istnieje interes społeczny uzasadniający wystąpienie z przedmiotową skargą, nie wystarczy powołanie się na obronę praw i interesów pracowniczych. W opinii Sądu takie sformułowania są zbyt ogólne, i nieprzystające do przedmiotu postępowania, jakim jest ochrona danych osobowych. Powołując się na interes społeczny, który jest interesem ogólnym, związek powinien wskazać konkretne okoliczności faktyczne lub prawne, które mogłyby świadczyć o tym, że uzasadniony jest jego udział w przedmiotowym postępowaniu, czego w tej sprawie nie uczynił. Powyższy wyrok zaskarżono w całości, zarzucając mu naruszenie przepisów prawa materialnego i procesowego, tj.: a) naruszenie art. 145 § 1 pkt 1) lit. a p.p.s.a w zw. z art. 221a § 1 k.p. w zw. z art. 9 ust. 1 RODO polegające na ich niezastosowaniu - przepis dotyczący prawa pracy wskazuje, że zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 221 § 1 i 3 k.p., podczas gdy pracodawca nie uzyskał przed przetwarzaniem danych osobowych zgody w tym zakresie co powinno skutkować uwzględnieniem skargi skarżącej przez WSA. b) naruszenie art. 145 § 1 pkt 1) lit. a p.p.s.a w zw. z art. 221b § 1 k.p., polegające na ich niezastosowaniu - przepis dotyczący prawa pracy wskazuje, że zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych, o których mowa w art. 9 ust. 1 RODO (m.in. dane dotyczące zdrowia), wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika, podczas gdy to pracodawca zainicjował przetwarzanie danych dotyczących zdrowia pracowników, co powinno skutkować uwzględnieniem skargi skarżącej przez WSA. c) naruszenie art. 145 § 1 pkt 1) lit. c p.p.s.a. w zw. z art. 31 § 1 pkt 1 k.p.a., polegające na jego niezastosowaniu w przedmiotowej sprawie, przejawiające się w nieprawidłowym przyjęciu że cele statutowe skarżącej nie uzasadniają podjęcia postępowania i nie przemawia za tym interes społeczny, podczas gdy zarówno stanowisko skarżącej zaprezentowane w sprawie jak i prawidłowa ocena zebranego w sprawie materiału dowodowego wskazuje jednoznacznie, iż cele statutowe organizacji to w pierwszej kolejności ochrona godności, praw i interesów pracowniczych a zatem skarżąca miała prawo do zainicjowania postępowania administracyjnego. d) naruszenie art. 145 § 1 pkt 1) lit. c p.p.s.a. w zw. z art. 31 § 2 k.p.a., polegające na jego niewłaściwym zastosowaniu, tj. przyjęciu, że żądanie skarżącej w przedmiocie wszczęcia postępowania jest nieuzasadnione, podczas gdy jest ono w pełni uzasadnione celami statutowymi skarżącej i przemawia za tym interes społeczny. Co za tym idzie skarżąca miała prawo do zainicjowania postępowania administracyjnego. Na podstawie powyższych zarzutów wniesiono o uchylenie zaskarżonego wyroku w całości, przekazanie sprawy do ponownego rozpoznania i zasądzenie na rzecz skarżącej kosztów postępowania, w tym kosztów zastępstwa procesowego. W piśmie z 11 sierpnia 2022 r. skarżący kasacyjnie oświadczył, że zrzeka się rozprawy. W odpowiedzi na skargę kasacyjną wniesiono o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonym postanowieniu. Naczelny Sąd Administracyjny zważył, co następuje: Wobec oświadczenia skarżącego kasacyjnie o zrzeczeniu się rozprawy, sprawa została rozpoznania na posiedzeniu niejawnym – art. 182 § 2 p.p.s.a. Stosownie do art. 183 § 1 p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. Wobec tego Naczelny Sąd Administracyjny przeszedł do zbadania zarzutów kasacyjnych. Skarga kasacyjna okazała się uzasadniona. Uwzględnieniu podlegały zarzuty naruszenia art. 31 § 1 pkt 1 i art. 31 § 2 k.p.a., w ramach których zakwestionowano stanowisko Sądu pierwszej instancji, że w sprawie nie wykazano, iż wystąpienie przez skarżący kasacyjnie związek zawodowy ze skargą do PUODO o zbadanie zgodności z prawem przetwarzania wrażliwych danych osobowych pracowników nie było uzasadnione jej celami statutowymi i nie przemawiał za tym interes społeczny. Zgodnie z postanowieniami art. 31 § 1 pkt 1 k.p.a. organizacja społeczna może żądać wszczęcia postępowania w sprawie dotyczącej innej osoby, jeżeli jest to uzasadnione celami statutowymi tej organizacji i gdy przemawia za tym interes społeczny. Warunkiem skuteczności żądania wszczęcia postępowania na podstawie art. 31 § 1 pkt 1 k.p.a. jest kumulatywne spełnienie czterech normatywnie wskazanych wymogów: 1) podmiot występujący z żądaniem posiada status organizacji społecznej; 2) żądanie dotyczy wszczęcia postępowania w sprawie innej osoby; 3) żądanie wszczęcia postępowania jest uzasadnione celami statutowymi organizacji społecznej; 4) za wszczęciem postępowania na żądanie przemawia interes społeczny. W sprawie jest bezsporne, że skarżący kasacyjnie związek zawodowy jest organizacją społeczną w rozumieniu art. 31 § 1 pkt 1 k.p.a. Nie ma również sporu co do tego, że sprawa inicjowana przed PUODO przez skarżący kasacyjnie związek zawodowy dotyczy legalności przetwarzania wrażliwych danych osobowych pracowników zakładu pracy, w którym działa. Jest więc niewątpliwie sprawą "dotyczącą innych osób". Zasadniczy spór na gruncie niniejszej sprawy sprowadza się do wykazania przez skarżący związek zawodowy, że wszczęcie postępowania przed PUODO, zmierzającego do weryfikacji legalności przetwarzania wrażliwych danych osobowych pracowników jest uzasadnione celami statutowymi tego związku i przemawia za tym interes społeczny. Określone w treści art. 31 § 1 pkt 1 k.p.a. warunki uwzględnienia żądania organizacji społecznej odnoszą się wyłącznie do samego wszczęcia postępowania administracyjnego i nie powinny być weryfikowane z perspektywy przewidywalnego kierunku rozstrzygnięcia samej sprawy administracyjnej, a więc z perspektywy zasadności merytorycznej wniosku inicjującego postępowanie. Aby ocenić merytoryczną zasadność żądania inicjującego postępowanie administracyjne organ musi je najpierw wszcząć. W orzecznictwie sądów administracyjnych wielokrotnie już wskazywano, że warunkiem wszczęcia postępowania administracyjnego na żądanie organizacji społecznej jest zgodność celów statutowych organizacji społecznej z przedmiotem postępowania, tj. stwierdzenie przez organ administracji, że przedmiot postępowania wkracza w zakres działania organizacji społecznej, czy to ze względu na czynności postępowania, czy też ze względu na jego wynik. Inicjatywa procesowa organizacji społecznej jest legitymowana tymi postanowieniami statutu, której określają cel działania tej organizacji (wyrok NSA z 29 listopada 2017 r. II OSK 314/17). W orzecznictwie sądów administracyjnych wskazuje się także, że pojęcie interesu społecznego, o którym mowa w art. 31 § 1 k.p.a. nie zostało ustawowo zdefiniowane, a zatem przyjęcie tego kryterium nie musi bezpośrednio wynikać z konkretnego przepisu, lecz winno wynikać z okoliczności konkretnej sprawy (wyrok NSA z 21.6. 2017 r. II OSK 2016/16). Kryterium interesu społecznego stanowi wyrażenie niedookreślone, którego treść zmienia się w czasie w zależności od wartości uznawanych w społeczeństwie. Z tego względu przesłanka ta wymaga każdorazowo indywidualnej oceny (wyroki NSA z 17 kwietnia 2019 r. II OSK 1380/17 oraz z 9 maja 2018 r. II OSK 1515/16). Co istotne, w doktrynie oraz orzecznictwie wyrażane jest stanowisko, że interes społeczny przemawia za uwzględnieniem żądania organizacji społecznej o wszczęcie postępowania administracyjnego, gdy żądanie to podyktowane jest ochroną interesu zbiorowego, i to nawet wówczas, gdy jednocześnie działania organizacji będą zmierzały do ochrony indywidualnych praw jej członków. Interes społeczny może polegać na tym, że organizacja społeczna wypełnia swoje statutowe i ustawowe uprawnienia wobec członków, jak również podejmuje działania w celu ochrony praw pewnej grupy ludności (wyrok WSA w Gorzowie Wielkopolskim z 6.10.2010 r., II SA/Go 566/10; M. Romańska [w:] Kodeks postępowania administracyjnego. Komentarz, wyd. III, red. H. Knysiak-Sudyka, Warszawa 2023, uwaga 7 do art. 31; A. Wróbel [w:] M. Jaśkowska, M. Wilbrandt-Gotowicz, A. Wróbel, Komentarz aktualizowany do Kodeksu postępowania administracyjnego, LEX/el. 2024, uwaga 4 do art. 31.). Uwzględniając przyjęte uwarunkowania systemowe stosowania art. 31 § 1 pkt 1 k.p.a. Naczelny Sąd Administracyjny stanął na stanowisku, że skarżący kasacyjnie związek zawodowy wykazał, że złożony przez niego wniosek o wszczęcie postępowania skargowego przed PUODO, w celu zweryfikowania legalności przetwarzania wrażliwych danych osobowych pracowników zakładu pracy, w którym ten związek działa, jest uzasadnione celami statutowymi tego związku i przemawia za tym interes społeczny. W sprawie nie jest kwestionowane, że zgodnie z paragrafem 6 statutu związku, celem jego działalności jest "ochrona godności, praw i interesów pracowniczych (zawodowych i socjalnych) członków Związku, a w szczególności: zabezpieczanie praw pracowniczych w zakresie wykonywanej pracy zawodowej (...)". Tak zakreślony cel działalności skarżącego kasacyjnie związku zawodowego jest skorelowany z normatywnymi rozwiązaniami przyjętymi w ustawie z dnia 23 maja 1991 r. o związkach zawodowych (Dz. U. 2022 r. poz. 854 ze zm.; dalej w skrócie: "u.z.z."). Stosownie do treści art. 1 ust. 1 u.z.z. związek zawodowy jest organizacją powołaną reprezentowania i obrony ich praw, interesów zawodowych i socjalnych pracowników. Z kolei art. 4 u.z.z. stanowi, że związki zawodowe bronią godności, praw oraz interesów materialnych i moralnych pracowników, zarówno zbiorowych, jak i indywidualnych. Oś argumentacji Sądu pierwszej instancji negującej skorelowanie statutowej działalności skarżącego kasacyjnie związku zawodowego z przedmiotem sprawy inicjowanej żądaniem skierowanym do PUODO sprowadzała się do stwierdzenia, że przetwarzanie danych osobnych pracowników nie mieści się w kategorii praw pracowniczych. WSA wprost przyjął, że przetwarzanie danych osobowych pracownika przez pracodawcę nie mieści się w relacji pracownik-pracodawca i z tego względu związki zawodowe nie mogą działać w celu ochrony praw pracownika wynikających z przepisów RODO. Ze stanowiskiem WSA nie można się zgodzić. Przeczą mu wprost postanowienia RODO, które już w motywie 155 przesądzają, że "[w] prawie państwa członkowskiego lub w porozumieniach zbiorowych, w tym zakładowych porozumieniach z przedstawicielami pracowników, mogą być przewidziane przepisy szczegółowe o przetwarzaniu danych osobowych pracowników w związku z zatrudnieniem (...)". Prawodawca unijny explicite przesądził, że kwestia przetwarzania danych osobowych pracownika może być przedmiotem regulacji porozumień zakładowych z przedstawicielami pracowników. Nie ma wątpliwości, że porozumienia zakładowe, stosownie do postanowień przepisów działu IX Kodeksu pracy w związku z art. 21 ust. 1 u.z.z. mogą być zawierane przez związki zawodowe, działające jako przedstawiciele pracowników. Oznacza to tym samym, że w zakres praw pracowniczych, o których mowa w art. 1 ust. 1 i art. 4 u.z.z. wchodzą również prawa wynikające z reżimów ochrony danych osobowych przewidzianych postanowieniami RODO. Ponadto z art. 9 ust. 2 lit. h RODO wynika, że przetwarzanie wrażliwych danych osobowych pracownika jest dopuszczalne, jeżeli jest to niezbędne do oceny jego zdolności do pracy – np. okresowe badania lekarskie pracowników. Rozwinięciem postanowień RODO są przepisy Kodeksu Pracy, który precyzuje jakich danych osobowych może żądać pracodawca od pracownika (art. 221 Kp), i jakie inne danego osobowe pracownika może on pozyskać i przetwarzać za jego zgodą (art. 221a i art. 221b Kp). Z powyższego wynika bezsprzecznie, że w ramach prawnej relacji pracownik – pracodawca pozostają wszelkie skonfigurowania, w których pracodawca pozyskuje i przetwarza dane osobowe pracownika. W razie niezgodnego z prawem przetwarzania danych osobowych pracownika niewątpliwie przysługują mu uprawnienia przewidziane przepisami RODO. Naczelny Sąd Administracyjny nie znajduje żadnych argumentów wspierających stanowisko prezentowane przez Sąd pierwszej instancji, że związek zawodowy, jako organizacja społeczna reprezentująca prawa pracowników, nie może wstępować bądź inicjować postępowań administracyjnych przed PUODO celem zweryfikowania legalności przetwarzania przez pracodawcę danych osobowych pracowników. Mówiąc wprost: statutowy cel działalności związku zawodowego, jakim jest ochrona praw pracowniczych obejmuje swoim zakresem ochronę prawa pracownika do zgodnego z prawem przetwarzania jego danych osobowych przez pracodawcę. Rozważenie interesu społecznego przemawiającego za wszczęciem postępowania administracyjnego przed PUODO w analizowanej sprawie wymaga wyeksponowania, że skarżący kasacyjnie związek zawodowy powołał się na konkretne okoliczności faktyczne, które w jego ocenie wskazują na niezgodne z prawem pozyskanie i przetwarzanie danych osobowych pracowników. Zwrócił uwagę, że pracodawca przesłał pracownikom do wypełnienia ankietę, w której mieli potwierdzić, bądź zaprzeczyć przyjęciu szczepionki na COVID-19. Ankieta miała być przeprowadzona przez podmiot zewnętrzny i wprawdzie miała charakter anonimowy jednak, aby ją sporządzić należało skorzystać ze służbowej skrzynki mailowej, którą – jak twierdzi skarżący kasacyjnie związek zawodowy - pracodawca mógł skojarzyć z konkretnym pracownikiem. Zdaniem skarżącego kasacyjnie związku zawodowego istnieją poważne wątpliwości co do zgodności z prawem pozyskania oraz przetwarzania tych wrażliwych danych osobowych. Skarżący kasacyjnie związek zawodowy funkcjonuje w zakładzie pracy, w którym przeprowadzono ankietę, niewątpliwe więc działa na rzecz pracowników zakładu jako grupy i zmierza do wyjaśnienia legalności działania pracodawcy wobec pracowników, a więc podejmuje aktywność w interesie ogółu, reprezentuje pewien interes zbiorowy. Wszczęcie postępowania przed PUODO nie tylko doprowadzi do zweryfikowania przeszłych działań pracodawcy wobec pracowników, ale może również pozytywnie przełożyć się na przyszłą aktywność pracodawcy w zakresie przetwarzania danych osobowych pracowników. Z tej przyczyny należy przyjąć, że za złożeniem przez skarżący kasacyjnie związek zawodowy skargi do PUODO przemawiał interes społeczny. Z wyłożonych względów Naczelny Sąd Administracyjny uwzględnił skargą kasacyjną i uchylił w całości wyrok WSA w Warszawie z dnia 25 kwietnia 2022 r., sygn. akt II. SA/Wa 427/22. Jednocześnie wobec dostatecznego wyjaśnienia istoty sprawy Naczelny Sąd Administracyjny, działając w trybie art. 188 p.p.s.a. rozpoznał skargę i na podstawie art. 145 § 1 p.p.s.a. uchylił w całości zaskarżone postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia 28 grudnia 2021 r. nr DS.523.6408.2021.ZS.MR. Rozpoznając ponownie sprawę organ uwzględni oceny prawne przedstawione w części merytorycznej niniejszego uzasadnienia. O kosztach postępowania rozstrzygnięto na podstawie art. 200, art. 203 pkt 1, i art. 205 § 2 p.p.s.a. w zw. z § 14 ust. 1 pkt 2 lit. b rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz. U. 2023 r. poz. 1935). Na zasądzoną kwotę 694 zł. złożyły się: wpis od skargi (100 zł.), opłata kancelaryjna od uzasadnienia (100 zł.), wpis od skargi kasacyjnej (100 zł.) opłata skarbowa od pełnomocnictwa oraz pełnomocnictwa substytucyjnego ( 17 + 17 zł.), wynagrodzenie radcy prawnego (360 zł.).