II SA/Wa 1535/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Danuta Kania, Sędzia WSA Andrzej Góraj (spr.), , Protokolant referent Joanna Mazur, po rozpoznaniu na rozprawie w dniu 4 lutego 2025 r. sprawy ze skargi Inwestycji [...] sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych 1) uchyla zaskarżoną decyzję; 2) zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz strony skarżącej Inwestycji [...] sp. z o.o. z siedzibą w [...] kwotę 697 zł (słownie: sześćset dziewięćdziesiąt siedem złotych) tytułem zwrotu kosztów postępowania. Przedmiotem skargi [...] Sp. z o.o. z siedzibą w [...] (dalej: "Spółka") jest decyzja Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") z dnia [...] lipca 2024 r. nr [...], mocą której organ na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572 ze zm., dalej: "k.p.a."), art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, dalej: "u.o.d.o."), art. 9 ust. 1, art. 5 ust. 1, art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s.1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., s. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r., s. 35, dalej: "RODO"), udzielił Spółce upomnienia za naruszenie art. 9 ust. 1 oraz art. 5 ust. 1 lit. a RODO polegające na udostepnieniu bez podstawy prawnej danych osobowych M. P. (dalej: "uczestnik postępowania) przez pracownika Spółki w zakresie informacji o przyczynie przebywania przez niego na zwolnieniu lekarskim, na rzecz innych pracowników Spółki. W uzasadnieniu decyzji organ wskazał, że do UODO wpłynęła skarga M. P. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę, polegające na udostępnieniu przez Spółkę danych dotyczących przyczyn jego nieobecności w pracy na rzecz osób trzecich. Organ ustalił, że uczestnik postępowania jest pracownikiem Spółki i pewnego dnia uzyskał on informację od pracowników Spółki, że jeden z jego współpracowników, tj. Pani I. S., ujawnia innym osobom z pracy przyczynę, przez którą uczestnik postępowania czasowo jest niezdolny do pracy. W piśmie z [...] maja 2024 r. A. P. (pracownik Spółki) wyjaśniła, że I. S. w trakcie rozmowy, podała do jej wiadomości informacje wrażliwe o stanie zdrowia uczestnika postępowania. Pani I. S. wyraziła w niniejszej rozmowie komentarz zawierający m.in. ocenę postępowania uczestnika postępowania jako pracownika - insynuując, że czasowa niezdolność do pracy spowodowana chorobą psychiczną jest "robieniem sobie krzywdy w kontekście innych, przyszłych pracodawców oraz kariery zawodowej, biorąc pod uwagę przyczynę czasowej niezdolności związaną z wystawionym przez lekarza psychiatrę zaświadczeniem chorobowym." Wtedy wówczas dowiedziała się od Pani S. jaka jest przyczyna zwolnienia lekarskiego uczestnika postępowania. To właśnie w tej rozmowie Pani S. ujawniła, że jest to zwolnienie psychiatryczne. Organ dodał też, że A. B. w piśmie z [...] maja 2024 r. potwierdził wskazane przez uczestnika postępowania zarzuty ujęte w skardze na Spółkę w aspekcie przetwarzania jego danych osobowych. Pan A. B. wyjaśnił, że [...] grudnia 2023 r. po jego powrocie ze zwolnienia wypadkowego ówczesny Kierownik Wydziału [...] J. K., w trakcie spontanicznej rozmowy poinformował go, że z uzyskanych od Pani I. S. - Dyrektor Biura, informacji wynika, że uczestnik postępowania zostanie pozbawiony aktualnie zajmowanego stanowiska po powrocie do pracy – komentując, że z uwagi na zwolnienia lekarskie wystawiane przez lekarza psychiatrę nie powinien zajmować stanowiska kierowniczego i tuż po powrocie do pracy należy jemu to stanowisko zmienić i w ten sposób dowiedział się o przyczynie zwolnienia lekarskiego Pana M. P.. Spółka pismem z [...] lutego 2024 r. wyjaśniła, że dane osobowe uczestnika postępowania nie były udostępniane osobom trzecim, a uczestnik postepowania nie przedłożył na to żadnych dowodów. Prezes UODO w części merytorycznej uzasadnienia decyzji zważył, że przedmiotem niniejszego postępowania była ocena legalności udostępnienia danych osobowych uczestnika postępowania przez Spółkę w zakresie informacji o przyczynie przebywania przez niego na zwolnieniu lekarskim. Ponadto Prezes UODO ustalił, że pracownik Spółki Pani I. S. udostępniła innym współpracownikom Spółki informację o przyczynach nieobecności uczestnika postępowania w pracy, potwierdził to Pan A. B. oraz Pani A. P., z którą osobiście rozmawiała w tej sprawie Pani I. S.. W ocenie organu, takie działanie pracownika Spółki nosiło znamiona przetwarzania danych osobowych, o którym mowa w art. 4 pkt 2 RODO i jako operacja tego przetwarzania polegająca na udostępnieniu danych uczestnika postępowania w zakresie informacji o przyczynie przebywania przez niego na zwolnieniu lekarskim na rzecz innych współpracowników nie znajdowało oparcia w żadnej z przesłanek art. 9 ust. 2 RODO. Prezes UODO w uzasadnieniu nakreślił, że pracodawca jako administrator danych osobowych swoich pracowników, jest zobowiązany przestrzegać zasad wynikających z przepisów RODO. Powołując się na art. 5 ust. 1 pkt a RODO, Prezes UODO wskazał również, że dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. W związku z powyższym uznał, że każde działanie pracodawcy związane z przetwarzaniem danych musi mieć swoje prawne uzasadnienie i odpowiadać istniejącym regulacjom prawnym. Podsumowując powyższe organ stwierdził, że informacja na temat przyczyn przebywania przez uczestnika postępowania na zwolnieniu lekarskim nie powinna być ujawniana innym współpracownikom Spółki. W ocenie Prezesa UODO Spółka nie wskazała żadnych przepisów, które legalizowałyby kwestionowany proces przetwarzania danych osobowych uczestnika postępowania na rzecz tych osób, jak również nie zaistniała jakakolwiek przesłanka z art. 9 ust. 2 RODO, dlatego Prezes UODO udzielił upomnienia w tym zakresie. W skardze na powyższą decyzję Spółka, reprezentowana przez pełnomocnika, zarzuciła naruszenie przepisów postępowania, tj.: 1. naruszenie art. 7, 77 § 1, art. 80 k.p.a., polegające na: a) błędnym ustaleniu (punkt 1 na str. 2 decyzji), iż w dacie wydania decyzji M. P. był pracownikiem Spółki, w sytuacji, gdy jego stosunek pracy uległ rozwiązaniu z dniem [...] czerwca 2024 r.; b) błędnym ustaleniu stanu faktycznego wskutek dowolnej oceny zebranego materiału dowodowego, poprzez uznanie, iż A. P. pozyskała informacje o stanie zdrowia M. P. od I. S. (punkt 2 na str. 2 decyzji) i pominięciu faktu, że A. P. pracowała w sekretariacie Spółki przez co posiadała bezpośredni dostęp do tych danych generowanych przez system ZUS; c) błędnym ustaleniu stanu faktycznego wskutek dowolnej oceny zebranego materiału dowodowego, poprzez uznanie iż A. B. pozyskał informacje o stanie zdrowia M. P. od J. K., a ten od I. S. (punkt 3 na str. 2 decyzji) i pominięciu faktu, że J. K. - nie będąc już pracownikiem Spółki - złożył własnoręcznie napisane oświadczenie, iż I. S. nie udostępniała takich informacji; d) wydaniu rozstrzygnięcia na podstawie stanu faktycznego nieprzedstawiającego stanu rzeczywistego i wybiórczym uwzględnieniu materiału dowodowego w tym całkowitym pominięciu stanowiska i dowodów złożonych przez Spółkę; e) braku uwzględnienia stanowiska Spółki oraz dokumentów przez nią przekazanych: - notatki służbowej z dnia [...] stycznia 2024 r., - pisma z dnia [...] lutego 2024 r. nr [...] zwłaszcza w zakresie informacji o braku udostępniania danych osobowych M. P., - pisma z dnia [...] kwietnia 2024 r., nr [...] zwłaszcza w zakresie oświadczenia A. P. i A. B., - pisma z dnia [...] lipca 2024 r., nr [...] w zakresie protokołu kontroli Państwowej Inspekcji Pracy z dnia [...] czerwca 2024 r., - oświadczenia J. K.; 2. naruszenie art. 107 § 3 k.p.a. w zw. z art. 10 § 1 k.p.a. poprzez brak w uzasadnieniu decyzji jakiegokolwiek odniesienia przez organ się do argumentów i dokumentów wskazywanych w toku postępowania administracyjnego przez Spółkę (zwłaszcza notatka ze spotkania z dnia [...] stycznia 2024 r., oświadczenie J. K., protokół kontroli PIP), zatem organ wtoku postępowania fikcyjnie umożliwił wypowiedzenie się Spółce; 3. naruszenie art. 8 § 1 k.p.a. oraz art. 11 k.p.a. poprzez prowadzenie postępowania w sposób naruszający zaufanie do władzy publicznej w związku z: a) pominięciem faktu pracy A. P. w sekretariacie Spółki i dostępu do informacji i dokumentów związanych z danymi osobowymi innych pracowników, b) pominięciem faktu bezpośredniego dostępu A. P. do zwolnienia lekarskiego przesłanego przez system ZUS do Pracodawcy, c) pominięciem stanowiska spółki, odwołującej się do faktów zawartych: • w notatce z dnia [...] stycznia 2024 • oświadczeniu J. K., kwestionującego oświadczenie A. B. • w protokole z kontroli PIP; 4. naruszenia art. 105 § 1 k.p.a. poprzez niezastosowanie i brak umorzenia postępowania administracyjnego, którego prowadzenie było bezprzedmiotowe; Ponadto, Spółka zarzuciła naruszenie przepisów prawa materialnego, tj. art. 9 ust. 1 art. 5 ust. 1, art. 58 ust. 2 lit. b) RODO poprzez zastosowanie i nałożenie kary upomnienia, w sytuacji gdy Spółka nie naruszył zakazu przetwarzania danych osobowych, dotyczących stanu zdrowia M. P.. W oparciu o powyższe zarzuty pełnomocnik Spółki wniósł o uwzględnienie skargi i uchylenie zaskarżonej decyzji oraz zasądzenie od Prezesa UODO na rzecz Spółki kosztów postępowania, obejmujących koszty zastępstwa procesowego, według norm przepisanych. Pełnomocnik Spółki w uzasadnieniu wskazał, że błędne ustalenie stanu faktycznego oraz brak uwzględnienia stanowiska Spółki oraz dokumentów przez nią przekazanych doprowadziło do wybiórczej oceny materiału dowodowego i w konsekwencji do braku poszanowania słusznego interesu Spółki, co miało istotny wpływ na wynik sprawy. Ponadto stwierdził, że organ pomimo uwag i wątpliwości Spółki, co do podpisu znajdującego się oświadczeniu A. P., nie zweryfikował czy niniejszy pochodzi od A. P.. Pełnomocnik Spółki wskazał również, że organ rozpoznając sprawę pominął fakt, że A. B. nie był bezpośrednim świadkiem przekazywania informacji, a osoba od której uzyskał informację – kategorycznie zaprzeczyła. W związku z powyższym, w ocenie pełnomocnika Spółki, organ nie dopełnił obowiązku rozpatrzenia dowodów zebranych przez organ, ale także przedstawionych przez Spółkę. Ponadto zarzucił, że organ nie wypowiedział się co do twierdzeń i dowodów przedstawionych przez Spółkę, jak również nie wyjaśnił dlaczego nie uwzględnił precyzyjnych wyjaśnień Spółki popartych konkretnymi dowodami. Pełnomocnik Spółki powołując się na art. 8 § 1 i art. 11 k.p.a. oraz orzecznictwo sądów administracyjnych wskazał, że organy administracji publicznej prowadzą postępowanie w sposób budzący zaufanie jego uczestników do władzy publicznej, kierując się zasadami proporcjonalności, bezstronności i równego traktowania, wobec tego powinny więc postępować w sposób przejrzysty, uczciwy i sprawiedliwy. Odnosząc się do zarzutu naruszenia art. 105 § 1 k.p.a. pełnomocnik Spółki wskazał, że z uwagi na brak naruszenia art. 9 ust. 1 oraz art. 5 ust. 1 lit. b) RODO, dalsze postępowanie było bezprzedmiotowe. Ustosunkowując się do zarzutu naruszenia art. 9 ust. 1, art. 5 ust. 1, art. 58 ust. 2 lit. b) RODO wyjaśnił, że w związku z błędnie ustalonym stanem faktycznym w sprawie - zastosowanie w/w podstawy prawnej w przedmiotowym postępowaniu było niezasadne. W odpowiedzi na skargę organ wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: zgodnie z treścią przepisu art.1 par. 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2024 r. poz. 935 z późn. zm.) Sąd Administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należy, iż powinna zostać wyeliminowana z obrotu prawnego jako wadliwa. Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy organ rozpoznając sprawę ustalił w sposób pełny i wyczerpujący cały stan faktyczny. W ocenie tut. Sądu na w/postawione pytanie należało udzielić negatywnej odpowiedzi. Omawiając przedmiotową kwestię na uwypuklenie zasługuje to, iż organ ustalając stan faktyczny na podstawie tylko części materiału dowodowego (zeznań dwojga świadków) winien wyjaśnić to, z jakich powodów dał im wiarę. Zawarcie w uzasadnieniu decyzji konkretnych motywów w w/w zakresie staje się wręcz niezbędne w sytuacji, gdy któraś ze stron postępowania kwestionuje wiarygodność takich dowodów, powołując się na inne fakty. W takiej sytuacji organ nie może abstrahować od owych innych okoliczności i pomijać ich milczeniem. Powinien za to podjąć kroki dla weryfikacji twierdzeń przeciwnych i w końcowym efekcie w sposób stanowczy przesądzić, które dowody uznał za wiarygodne i dlaczego, a którym takiej wiarygodności odmówił i z jakiej przyczyny. Uczynienie zadość powyższym obowiązkom jest zaś szczególnie konieczne w realiach niniejszej sprawy w sytuacji, gdy spółka zaprzeczyła prawdziwości twierdzeń świadek A. P. powołując się na fakt, że tylko ten świadek - będąc pracownikiem sekretariatu spółki – miała dostęp do systemu ZUS pracodawcy (nie musiała więc uzyskiwać informacji chronionych dotyczących stanu zdrowia uczestnika od I. S.). Omawiając powyższe nie sposób abstrahować też od twierdzeń skarżącej spółki, iż na spotkaniu z jej zarządem świadek P. wskazywała, że sam uczestnik rozpowszechnia w firmie informacje o stanie swojego zdrowia. Powyższych rozbieżności w materiale dowodowym organ nie starał się w żaden sposób wyjaśnić. W szczególności zaniechał przesłuchania A. P., I. S. i członków zarządu spółki obecnych na w/opisanym spotkaniu ze świadek P.. Organ nie podjął także próby ustalenia tego, który z pracowników sekretariatu spółki ma dostęp do systemu ZUS pracodawcy. Omawiając uchybienia proceduralne jakich dopuścił się organ dodać należało, iż nie podjął także próby weryfikacji twierdzeń świadka B. (że o chorobie uczestnika dowiedział się od J. K.) w sytuacji, gdy spółka dostarczyła organowi oświadczenie J. K. zawierające stwierdzenie, że nie udostępniał spornych danych chronionych świadkowi B.. Wszystkie powyżej opisane zaniechania jakich dopuścił się organ procedując w sprawie prowadzą do konkluzji, że całe rozstrzygnięcie jest przedwczesne – bowiem nie zostało poprzedzone wyczerpującym ustaleniem faktów. W związku z powyższym, uznając że skarżona decyzja narusza prawo, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w pkt. 1 wyroku na podstawie art.145 par.1 pkt.1c ustawy z dnia 30 sierpnia 2002r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024r. poz.935). O kosztach orzeczono stosownie do dyspozycji art. 200 p.p.s.a. Ponownie rozpoznając sprawę organ będzie zobowiązany uwzględnić uwagi Sądu zawarte w powyższym uzasadnieniu.