II SA/Wa 1274/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Joanna Kruszewska-Grońska, Asesor WSA Dorota Kozub-Marciniak (spr.), po rozpoznaniu w trybie uproszczonym w dniu 10 grudnia 2024 r. sprawy ze skargi M.L. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz M.L. kwotę 200 zł (słownie: dwieście) złotych, tytułem zwrotu kosztów postępowania. M. L. (dalej, jako: skarżący) wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Ochrony Danych Osobowych (dalej, jako: PUODO lub organ) z dnia [...] maja 2024 r., którą organ udzielił Nadleśnictwu [...] (dalej, jako: pracodawca) upomnienia za naruszenie art. 9 ust. 1 i art. 10 w zw. art. 5 ust. 1 lit. a rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021 str. 35), dalej, jako RODO, polegające na udostępnieniu danych w zakresie zdrowia, wyroków skazujących, naruszeń prawa, przynależności do związków zawodowych oraz danych znajdujących się w treści dokumentu wypowiedzenia umowy o pracę, podczas narady służbowej dla wszystkich pracowników w dniu [...] maja 2023 r. W uzasadnieniu zaskarżonej decyzji podniesiono, że skarżący podniósł w skardze do organu, że w dniu [...] maja 2023 r. pracodawca w osobie Nadleśniczego podczas narady dla pracowników wyświetlił dokument z wypowiedzeniem skarżącemu pracy oraz omówił jego treść i poinformował pracowników o jego danych osobowych w zakresie zdrowia, wyroków skazujących, naruszeń prawa, przynależności do związków zawodowych oraz treści dokumentu wypowiedzenia umowy o pracę. Pracodawca wyjaśnił, że ówczesny Nadleśniczy nie ujawnił pracownikom treści wypowiedzenia umowy o pracę skarżącego, natomiast omówił część informacji zawartych w tym wypowiedzeniu umowy o pracę, głównie te stanowiące uzasadnienie wypowiedzenia umowy. W trakcie wypowiedzi na naradzie ówczesny Nadleśniczy wspomniał o absencjach skarżącego spowodowanych chorobą, bez wskazania konkretnej jednostki chorobowej, wyrokach skazujących i naruszeniach prawa oraz o przynależności związkowej. Pracodawca wskazał, że jego intencją było pokazanie pracownikom w jaki sposób pracodawca szuka porozumienia z pracownikiem (konsensusu) w przypadku wystąpienia trudnych (konfliktowych) sytuacji związanych z zatrudnieniem. Organ przytoczył treść art. 5 ust. 1 lit. a, art. 6 ust. 1, art. 9 ust. 1 i art. 4 pkt 1, 2 i 15 RODO i podniósł, że z zebranego materiału dowodowego bezspornie wynika, że pracodawca ujawnił na rzecz pracowników dane osobowe skarżącego podczas narady z pracownikami w dniu [...] maja 2023 r. Podczas tej narady ówczesny Nadleśniczy omawiał przyczyny wypowiedzenia skarżącemu stosunku pracy, omawiał fragmenty tego wypowiedzenia, przytaczał argumenty przemawiające za wypowiedzeniem stosunku pracy, poinformował o absencjach chorobowych skarżącego. Tym samym pracodawca jako administrator danych osobowych skarżącego jako pracownika ujawnił o skarżącym informacje dotyczące jego stosunku pracy. Nie ulega wątpliwości również, że skarżący był w tej sytuacji zidentyfikowany i tym samym pozostali pracownicy mogli w łatwy sposób powiązać z nim dane ujawnione podczas narady. Ujawnione dane obejmowały informacje dotyczące zdrowia takie jak absencje chorobowe. Informacja o nieobecnościach w pracy z powodów zdrowotnych stanowi dane dotyczące zdrowia pracownika nawet wtedy, gdy nie zawiera informacji o konkretnej jednostce chorobowej. Z treści wypowiedzenia umowy o pracę wynika również, że znajdowały się w nim informacje o wyrokach skazujących i naruszeniach prawa dokonanych przez skarżącego oraz informacja o jego przynależności do związku zawodowego. Udostępnione podczas narady informacje stanowią szczególne kategorie danych osobowych, których przesłanki legalności określone zostały w art. 9 ust 2 RODO i tym samym administrator powinien legitymować się przynajmniej jedną z nich celem wykazania zgodności z prawem przetwarzania danych osobowych. Zgodnie z wyjaśnieniami pracodawcy celem udostępnienia danych skarżącego miało być pokazanie pracownikom w jaki sposób pracodawca szuka porozumienia z pracownikiem (konsensusu) w przypadku wystąpienia trudnych (konfliktowych) sytuacji związanych z zatrudnieniem. W ocenie organu pracodawca udostępniając na rzecz pracowników dane osobowe skarżącego nie legitymował się żadną przesłanką legalności przetwarzania danych określoną w art. 9 ust. 2 RODO. Dodatkowo ujawniając informacje o wyrokach skazujących i naruszeniach prawa naruszył również art. 10 RODO, który zabrania przetwarzania tych danych bez nadzoru władzy publicznej lub bez wyraźnego przepisu prawa w tym zakresie. W szczególności udostępnienie danych nie było niezbędne do wypełnienia jakiegokolwiek obowiązku prawnego ciążącego na pracodawcy ani nie było uzasadnione żadnym prawnym interesem realizowanym przez pracodawcę. Ujawnienie danych osobowych skarżącego dotyczących wypowiedzenia pracy w tym informacji o absencjach chorobowych, przynależności do związku zawodowego, wyroków skazujących i naruszeń prawa oraz danych powiązanych z tymi informacjami w sposób rażący naruszało jego prawo do prywatności. Pracownicy obecni na naradzie pozyskali bowiem poufne informacje dotyczące przyczyn rozwiązania stosunku pracy ze skarżącym. Pracodawca przetwarzając/ujawniając dane skarżącego nie wyważył swojego interesu z prawem do prywatności skarżącego. Wobec powyższego organ stwierdził, że pracodawca naruszył art. 9 ust. 2 oraz art. 10 RODO w zw. z art. 5 ust. 1 lit. a RODO poprzez udostępnienie danych osobowych skarżącego na rzecz pracowników uczestniczących w naradzie w dniu [...] maja 2023 r. Korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO, PUODO udzielił upomnienia pracodawcy w przedmiotowym zakresie. Z tym rozstrzygnięciem skarżący nie zgodził się i wywiódł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, zaskarżając decyzję w części, tj. w zakresie udzielenia upomnienia administratorowi. Skarżący wniósł o uchylenie decyzji w zaskarżonej części oraz o zasądzenie na jego rzecz kosztów postępowania. Zaskarżonej decyzji zarzucono: 1. naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj.: • art. 107 § 3 K.p.a. poprzez brak wyczerpującego uzasadnienia prawnego w uzasadnieniu decyzji w zakresie zastosowanego środka naprawczego i brak wskazania w uzasadnieniu przyczyn uznania, że upomnienie jest wystarczającym środkiem naprawczym • art. 7 w zw. z art. 77 § 1 K.p.a. polegające na niewyczerpującym rozpatrzeniu materiału dowodowego skutkujące brakiem ustalenia, że zachodzą przesłanki nałożenia na administratora kary pieniężnej, 2. naruszenie przepisów prawa materialnego, tj.: • art. 58 ust. 2 lit. b RODO poprzez jego niewłaściwe zastosowanie polegające na przyjęciu, że upomnienie jest wystarczającym środkiem naprawczym w okolicznościach niniejszej sprawy, • art. 83 ust. 1 i 2 RODO poprzez jego niezastosowanie i nienałożenie kary pieniężnej na administratora pomimo spełnienia przesłanek do jej nałożenia. W uzasadnieniu zaskarżonej decyzji podniesiono, że skarżący podziela ustalenia organu co do stanu faktycznego i winy administratora. Jednakże zdaniem skarżącego organ zastosował niewystarczający i nieadekwatny do skali naruszenia środek naprawczy, nie przeanalizował dostatecznie okoliczności sprawy, nie wskazał przyczyn, dla których zastosował środek w postaci upomnienia, jednocześnie nie poczynił ustaleń czy w okolicznościach niniejszej sprawy zostały spełnione przesłanki do nałożenia administracyjnej kary pieniężnej. Skarżący nie zgadza się z rozstrzygnięciem organu w zakresie zastosowanego środka naprawczego. W jego ocenie jest to środek nieadekwatny do stopnia naruszenia i godzi w jego interesy. Skarżący podkreślił, iż administrator w przeszłości dopuścił się już naruszenia prawa ochrony danych osobowych skarżącego polegającego na udostępnieniu danych osobowych skarżącego w zakresie imienia, nazwiska oraz przebiegu pracy zawodowej na rzecz osób obecnych na naradzie pracowników bez podstawy prawnej. Decyzją z dnia [...] listopada 2019 r. ([...]) Prezes Urzędu Ochrony Danych Osobowych uznał, iż administrator naruszył przepisy RODO poprzez udostępnienie danych osobowych skarżącego bez podstawy prawnej i nałożył na niego - analogicznie jak w niniejszej sprawie - upomnienie. Nie ulega jednak wątpliwości, iż skala naruszenia z 2019 r. różni się diametralnie od objętego zaskarżoną decyzją. W niniejszej sprawie administrator dopuścił się bezpodstawnego udostępnienia danych osobowych szczególnej kategorii, co jest nie tylko niezgodne z prawem, ale przede wszystkim krzywdzące dla skarżącego. Zgodnie z art. 9 ust. 1 RODO przetwarzanie takich danych jest zabronione i w okolicznościach sprawy nie spełniono żadnej przesłanki z ust. 2 ww. przepisu, która pozwalałaby na przetwarzanie takich danych. Udostępnienie tych danych skarżącego rażąco narusza jego interes i godzi w jego prywatność. Dane szczególnej kategorii zasługują na zwiększoną ochronę przed ich wyciekiem, a sankcja za naruszenie tej ochrony powinna być dotkliwa. W ocenie skarżącego organ nieprawidłowo zastosował przepis art. 58 ust. 2 lit. b RODO uznając, iż upomnienie jest odpowiednim środkiem naprawczym do naruszenia dokonanego przez administratora. Zdaniem skarżącego administracyjna kara pieniężna jest środkiem koniecznym, by skutecznie zapobiec ponownym naruszeniom dokonanym przez tego samego administratora danych osobowych. W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymał swoje dotychczasowe stanowisko. Odnosząc się do zarzutów skargi wyjaśnił, że przysługujące organowi na mocy art. 58 ust. 2 RODO uprawnienia naprawcze, w tym dotyczące nakładania administracyjnych kar pieniężnych należą do autonomicznych kompetencji PUODO. Okoliczność ta sprawia, że organ może zastosować określone przepisami art. 58 ust. 2 RODO działania naprawcze, lecz dokonuje tego typu działań w zależności od oceny okoliczności konkretnej sprawy, analizując ustalony stan faktyczny i prawny indywidualnie, co sprawia, iż nie podejmuje rozstrzygnięć wskazanych w art. 58 ust. 2 RODO na wniosek osoby składającej skargę. Organ wyjaśnił, iż sprawę rozpatrzył indywidualnie, biorąc pod uwagę okoliczności w jakich doszło do naruszenia, charakter, wagę, czas trwania naruszenia, a także to, czy naruszenie nie było umyślne, działania podjęte dla zminimalizowania szkody, stopień odpowiedzialności oraz wszelkie inne czynniki obciążające lub łagodzące. Kierując się powyższym, w związku z nieprawidłowościami dokonanymi przez pracodawcę, PUODO uznał, że właściwym było nałożenie na pracodawcę środka naprawczego w postaci upomnienia za stwierdzone w toku postępowania administracyjnego nieprawidłowości. W piśmie procesowym z dnia 9 września 2024 r. stanowiącym replikę na odpowiedź na skargę, skarżący podtrzymał swoje stanowisko, iż organ zastosował niewystarczający i nieadekwatny do skali naruszenia środek naprawczy, nie przeanalizował dostatecznie okoliczności sprawy, nie wskazał przyczyn, dla których zastosował środek w postaci upomnienia, jednocześnie nie poczynił ustaleń czy w okolicznościach niniejszej sprawy zostały spełnione przesłanki do nałożenia administracyjnej kary pieniężnej. Skarżący nie zgadza się z rozstrzygnięciem organu w zakresie zastosowanego środka naprawczego. W jego ocenie jest to środek nieadekwatny do stopnia naruszenia i godzi w jego interesy. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: W pierwszej kolejności należy przypomnieć, że celem ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), jest ochrona prywatności w rozumieniu art. 47 Konstytucji RP (por. wyrok NSA z dnia 30 marca 2006 r., I OSK 628/05, LEX nr 198299; wyrok NSA w składzie 7 sędziów z dnia 6 czerwca 2005 r., I OPS 2/05). W doktrynie, na gruncie art. 47 Konstytucji RP, prawo do prywatności oznacza "przymioty, wewnętrzne przeżycia osobiste (jednostkowe) człowieka i ich oceny, refleksje dotyczące wydarzeń zewnętrznych i jego wrażenia zmysłowe, a także stan zdrowia. Nie są one w założeniu przeznaczone do upowszechniania i sam zainteresowany decyduje o kręgu osób, z którymi zechce się nimi podzielić. Składową prawa do prywatności jest życie prywatne, które odnosi się generalnie do życia: osobistego, towarzyskiego, nienaruszalności mieszkania, tajemnicy korespondencji i ochrony informacji dotyczących danej osoby. Można je opisać jako "prawo do pozostawienia w spokoju" czy "prawo jednostki do bycia pozostawioną samej sobie" (B. Banaszak, Konstytucja RP,. Komentarz, Warszawa 2012, tekst za Legalis). Uprawnienie to oznacza, że ochronie podlegają te informacje o osobie fizycznej, które dotyczą jej najbliższej sfery życia, wyznaczonej przez nią samą, o której decydować powinna tylko ona lub ewentualnie osoby jej najbliższe. Sfera ta w istocie stanowi o tożsamości tej osoby i określa jej godność statuującą ją jako człowieka. Zgodnie z art. 4 pkt 1 RODO dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Natomiast "dane dotyczące zdrowia" oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia (art. 4 pkt 15 RODO). W interesie osób fizycznych leży udostępnianie tych danych o tyle, o ile taka jest ich wola, chyba że ustawodawca realizując inne jeszcze wartości przesądza o udostępnianiu tych danych niezależnie od woli tych osób stanowiąc tym samym w konkretnym przypadku o pierwszeństwie wartości związanych z interesem publicznym nad wartościami powiązanymi z interesami indywidualnymi. Dopuszczalność przetwarzania danych osobowych określają przesłanki wymienione w art. 6 ust. 1 i art. 9 ust. 2 RODO w zależności od tego, czy przetwarzaniu mają być poddane dane zwykłe, czy też dane wrażliwe. Katalog przesłanek wymienionych w art. 6 ust. 1 i art. 9 ust. 2 RODO jest zamknięty. Przesłanki te mają charakter autonomiczny co oznacza, że dla uznania procesu przetwarzania danych osobowych za zgodny z prawem, niezbędne jest spełnienie przez administratora danych choćby jednej z tych przesłanek. W myśl art. 6 ust. 1 RODO, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Z przepisu art. 9 ust. 2 RODO wynika, że zakaz przetwarzania danych osobowych wrażliwych określony w ust. 1 nie ma zastosowania, jeżeli spełniony jest jeden z następujących warunków: a) osoba której dane dotyczą, wyraziła zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1; b) przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą; c) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody; d) przetwarzania dokonuje się w ramach uprawnionej działalności prowadzonej z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, pod warunkiem że przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty w związku z jego celami oraz że dane osobowe nie są ujawniane poza tym podmiotem bez zgody osób, których dane dotyczą; e) przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą; f) przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy; g) przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą; h) przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3; i) przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową; j) przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą. Nie może też ujść uwadze, że zgodnie z art. 10 RODO przetwarzania danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa na podstawie art. 6 ust. 1 wolno dokonywać wyłącznie pod nadzorem władz publicznych lub jeżeli przetwarzanie jest dozwolone prawem Unii lub prawem państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. Wszelkie kompletne rejestry wyroków skazujących są prowadzone wyłącznie pod nadzorem władz publicznych. Pamiętać również trzeba, że RODO wiąże przetwarzanie danych z przestrzeganiem zasad określonych w art. 5 RODO, które mają charakter podstawowy w odniesieniu do całej regulacji. Zgodnie z art. 5 ust. 1 lit. a RODO, dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"). Z akt sprawy wynika, że pracodawca ujawnił dane osobowe skarżącego podczas narady z pracownikami w dniu [...] maja 2023 r. Podczas tej narady Nadleśniczy omawiał przyczyny wypowiedzenia skarżącemu stosunku pracy, omawiał fragmenty tego wypowiedzenia, przytaczał argumenty przemawiające za wypowiedzeniem stosunku pracy, poinformował o absencjach chorobowych skarżącego. Tym samym pracodawca jako administrator danych osobowych skarżącego jako pracownika ujawnił o skarżącym informacje dotyczące jego stosunku pracy. Intencją pracodawcy było pokazanie pracownikom w jaki sposób pracodawca szuka porozumienia z pracownikiem (konsensusu) w przypadku wystąpienia trudnych (konfliktowych) sytuacji związanych z zatrudnieniem. Powyższych ustaleń nie kwestionuje żadna ze stron, a ustalony stan faktyczny potwierdzają zgromadzone akta sprawy. Tym samym zasadne jest stanowisko organu, że Nadleśnictwo [...] naruszyło art. 9 ust. 1 i art. 10 w zw. art. 5 ust. 1 lit. a RODO udostępniając dane osobowe skarżącego nie mając ku temu żadnej podstawy legalizującej. Sporna jest w tej sprawie natomiast kwestia czy adekwatnym środkiem naprawczym było udzielenie pracodawcy upomnienia i z jakich powodów nie zachodziła konieczność nałożenia kary pieniężnej. Zgodnie z art. 58 ust. 2 RODO każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze: a) wydawanie ostrzeżeń administratorowi lub podmiotowi przetwarzającemu dotyczących możliwości naruszenia przepisów niniejszego rozporządzenia poprzez planowane operacje przetwarzania; b) udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania; c) nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia; d) nakazanie administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu; e) nakazanie administratorowi zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych; f) wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania; g) nakazanie na mocy art. 16, 17 i 18 sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania oraz nakazanie na mocy art. 17 ust. 2 i art. 19 powiadomienia o tych czynnościach odbiorców, którym dane osobowe ujawniono; h) cofnięcie certyfikacji lub nakazanie podmiotowi certyfikującemu cofnięcia certyfikacji udzielonej na mocy art. 42 lub 43, lub nakazanie podmiotowi certyfikującemu nieudzielania certyfikacji, jeżeli jej wymogi nie są spełnione lub przestały być spełniane; i) zastosowanie, oprócz lub zamiast środków, o których mowa w niniejszym ustępie, administracyjnej kary pieniężnej na mocy art. 83, zależnie od okoliczności konkretnej sprawy; j) nakazanie zawieszenia przepływu danych do odbiorcy w państwie trzecim lub do organizacji międzynarodowej. W motywie 148 RODO wskazuje się, że "Aby egzekwowanie przepisów niniejszego rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne - oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. Jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące." Stosownie natomiast do treści art. 83 ust. 2 RODO administracyjne kary pieniężne nakłada się, zależnie od okoliczności każdego indywidualnego przypadku, oprócz lub zamiast środków, o których mowa w art. 58 ust. 2 lit. a)-h) oraz j). Decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca się w każdym indywidualnym przypadku należytą uwagę na: a) charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody; b) umyślny lub nieumyślny charakter naruszenia; c) działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą; d) stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich na mocy art. 25 i 32; e) wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego; f) stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków; g) kategorie danych osobowych, których dotyczyło naruszenie; h) sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie; i) jeżeli wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 - przestrzeganie tych środków; j) stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42; oraz k) wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty. W ocenie Sądu w pełni uzasadnione są zarzuty skarżącego, iż w rozpoznawanej sprawie nie przeanalizował dostatecznie okoliczności sprawy i nie wskazał przyczyn, dla których zastosował środek w postaci upomnienia, jednocześnie nie poczynił ustaleń czy zostały spełnione przesłanki do nałożenia administracyjnej kary pieniężnej. Uzasadnienie zaskarżonej decyzji nie zawiera w istocie żadnych rozważań w zakresie nałożonego upomnienia. Organ w ogóle nie wyjaśnia dlaczego jego zdaniem adekwatnym środkiem naprawczym było udzielenie pracodawcy upomnienia. Organ nie przedstawił żadnych motywów i okoliczności zastosowania tego środka z uwzględnieniem warunków o jakich mowa w przytoczonych wyżej przepisach RODO. Tymczasem obowiązkiem organu było wyjaśnienia skarżącemu ale i pracodawcy dlaczego w uwarunkowaniach tej konkretnej sprawy zachodziły podstawy do udzielenia upomnienia. Organ nie podjął jednak nawet próby wyjaśnienia (i przekonania stron) o zasadność zastosowanego środka. PUODO w odpowiedzi na skargę wskazuje, że wyjaśnił sprawę indywidualnie, biorąc pod uwagę okoliczności w jakich doszło do naruszenia, charakter, wagę, czas trwania naruszenia, a także to, czy naruszenie nie było umyślne, działania podjęte dla zminimalizowania szkody, stopień odpowiedzialności oraz wszelkie inne czynniki obciążające lub łagodzące. Jednakże nie sposób dopatrzeć się tego w uzasadnieniu zaskarżonej decyzji. W ocenie Sądu, zaskarżona decyzja została wydana z naruszeniem art. 107 § 1 i § 3 K.p.a., a naruszenie tych przepisów jest konsekwencją naruszenia przez organ art. 7, art. 77 § 1 i art. 80 K.p.a. w związku z art. 58 ust. 2 lit. c RODO. Ponownie rozpatrując sprawę organ uwzględni przedstawioną ocenę prawną. Dokona subsumpcji niespornego i ustalonego już stanu faktycznego do obowiązujących przepisów prawa, a podejmując rozstrzygnięcie w sprawie należycie je uzasadni, stosownie do wymogów z art. 107 § 3 K.p.a. Mając na względzie wszystko powyższe Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 145 § 1 pkt 1 lit. a i c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r. poz. 935 ze zm.) orzekł jak w punkcie 1 sentencji wyroku. O kosztach postępowania obejmujących wpis od skargi (200 zł) Sąd postanowił w oparciu o art. 200 i art. 205 § 1 powołanej ustawy, jak w punkcie 2 sentencji wyroku