II SA/Wa 1614/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska, Sędzia WSA Andrzej Góraj, Sędzia WSA Ewa Radziszewska-Krupa (spr.), po rozpoznaniu w trybie uproszczonym w dniu 11 lutego 2022 r. sprawy ze skargi E. Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2021 r. nr [...] w przedmiocie nieprawidłowości w procesie przetwarzania danych osobowych oddala skargę I. Stan sprawy przedstawia się następująco: 1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") decyzją z [...] lutego 2021r. nr [...] udzielił [...] we [...] (zwana dalej "Spółką") upomnienia za naruszenie art. 13 ust. 1 lit. c RODO przez udzielenie E. Z. (zwana dalej "Skarżącą") nieprawidłowych informacji w zakresie dotyczącym podstawy prawnej przetwarzania jej danych osobowych szczególnej kategorii, w pozostałym zakresie odmówił uwzględnienia wniosku. W podstawie prawnej powołano art. 104 § 1 ustawy z 14 czerwca 1960r. Kodeks postępowania administracyjnego (Dz.U. z 2020r., poz. 256 ze zm., zwana dalej "k.p.a.") i art. 6 ust. 1 lit. a), c) i f), art. 9 ust. 2 lit. b) i f), art. 5 ust. 1 lit. a) i b), art. 13, art. 15, art. 16 i art. 19 oraz art. 58 ust. 2 lit. b) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy [...] (Dz.Urz. UE L 119 z 04.05.2016, ze zm., zwane dalej "RODO"). Prezes UODO ustalił, że Skarżąca złożyła [...] sierpnia 2020r. do UODO skargę, uzupełnioną pismami z: 31sierpnia, 4, 5 września, 8, 24 i 26 października, 2, 5 listopada 2020r., 5, 11 stycznia, 1 i 5 lutego 2021r. na nieprawidłowości w procesie przetwarzania Jej danych osobowych dotyczących zdrowia i adresu e-mail przez Spółkę - Komisję [...] (zwaną dalej "Komisją"). Zdaniem Skarżącej doszło do nierzetelności, niezgodności z celem przetwarzania jej danych, bez spełnienia obowiązków informacyjnych z art. 13 i art. 14 RODO. Dane osobowe Skarżącej udostępniono bez podstawy prawnej osobom nieuprawnionym. Powołana przez Spółkę Komisja nielegalnie przetwarza dane osobowe Skarżącej w ramach postępowania wyjaśniającego, po upływie zatrudnienia Skarżącej i w związku z tym procesem nie dopełniła wobec Skarżącej obowiązku informacyjnego, wynikającego z art. 13 i art. 14 RODO. Skarżąca nie wie czy członkowie Komisji posiadają upoważnienia do przetwarzania Jej danych osobowych. W przypadku przetwarzania danych w trakcie wewnątrzzakładowych postępowań wyjaśniających, do których należą postępowania antymobbingowe, pracodawca może przetwarzać dane zebrane bezpośrednio od osoby, której dane dotyczą (od zgłaszającej mobbing), jak i w sposób wtórny, pośredni. Skarżąca zarzuciła nieprawidłową realizację Jej wniosku złożonego [...] maja 2020r. w oparciu o art. 15 RODO, w którym domagała się ujawnienia akt postępowania. Przewodnicząca Komisji nie udzieliła odpowiedzi na wniosek Skarżącej i bez podstawy prawnej odmówiła udostępnienia dokumentu urzędowego - obowiązującej w Spółce procedury antymobbingowej, którą wprowadzono na podstawie Zarządzenia nr [...] Dyrektora Naczelnego z [...] sierpnia 2013r. Spółka następnie w odpowiedzi na kolejny wniosek Skarżącej z [...] sierpnia 2020r. o udostępnienie kopii danych osobowych, wskazała treść przetwarzanych przez Komisję danych osobowych Skarżącej, ale nie udostępniła wnioskowanych dokumentów i nie przekazała wszystkich informacji wskazanych w art. 15 RODO. Tym samym administrator bezprawnie pozbawił Skarżącą dostępu do danych osobowych i otrzymania kopii danych, wglądu do dokumentacji postępowania wyjaśniającego, zapoznania się ze zgromadzonymi przez Komisję dowodami, protokołami z przesłuchania świadków, dokumentami urzędowymi Spółki. Skarżąca nie jest też informowana o przebiegu postępowania i o podejmowanych przez Komisję działaniach, a Spółka po ustaniu zatrudnienia nie uzyskała Jej świadomej i dobrowolnej zgody na przetwarzanie danych osobowych Skarżącej. Spółka bezprawnie udostępniła Komisji dane o stanie zdrowia Skarżącej (zwolnienie lekarskie) i ujawniła Jej imię i nazwisko osobom nieuprawnionym przesłuchiwanym w toku prac Komisji, na co Skarżąca nie wyraziła zgody. Skarżąca złożyła do Spółki 3 września 2020r. wniosek o sprostowanie Jej danych osobowych (imienia i nazwiska), ale nie otrzymała odpowiedzi, a 5 września 2020r. wniosek o udostępnienie kopii dokumentacji pracowniczej i wniosła sprzeciw wobec przetwarzania Jej danych osobowych wrażliwych - o stanie zdrowia, przebywaniu na zwolnieniu lekarskim i adresu e-mail przez Komisję. Dodatkowo Rada Nadzorcza Spółki nie spełniła wobec Skarżącej obowiązku informacyjnego, otrzymując od Prezydenta [...] do rozpatrzenia skargę Skarżącej z [...] czerwca 2020r., w formie i terminie przewidzianym w art. 13 RODO i nie doręczyła klauzuli informacyjnej, dotyczącej przetwarzania danych osobowych. Spółka ponadto nie zabezpiecza prawidłowo wysyłanych wiadomości i załączników za pośrednictwem poczty elektronicznej (emaila), bo przesłana do Skarżącej, za pośrednictwem e-maila odpowiedź na wniosek, dokumentacja pracownicza Skarżącej (kwestionariusze osobowe z jej danymi: imię, nazwisko, data urodzenia, prywatny nr telefonu, e-mail, nr PESEL, nr dowodu osobistego, nr rachunku płatniczego) nie zostały zaszyfrowane lub zabezpieczone hasłem. Prezes UODO w toku postępowania uzyskał wyjaśnienia Spółki i zgromadził materiał dowodowy, z którego wynika, że Skarżąca była pracownikiem Spółki od [...] listopada 2019r. do [...] lutego 2020r., a [...] lutego 2020r. wniosła e-mailem do Spółki skargę, w której domagała się wszczęcia procedury antymobbingowej. Skarżąca [...] lutego 2020r. złożyła do Spółki skargę w przedmiocie naruszenia zasady równego traktowania w zatrudnieniu. Spółka w związku z tym powołała ww. Komisję, która wszczęła postępowanie wyjaśniające, zgodnie z obowiązującym w Spółce zarządzeniem Dyrektora Naczelnego z [...] sierpnia 2013r. nr [...]. Przewodnicząca Komisji pismem z [...] lutego 2020r. zaprosiła Skarżącą na posiedzenie Komisji, które miało odbyć się [...] marca 2020r. w siedzibie Spółki. Skarżąca w odpowiedzi na pismo Spółki wysłała [...] marca 2020r. e-mail, podnosząc, że z powodu choroby nie będzie mogła wziąć udziału w posiedzeniu, ale wystosuje informacje uzupełniające do skargi. Przewodniczący Komisji pismem z [...] marca 2020r. zwrócił się do Skarżącej o wskazanie terminu, w którym będzie mogła stawić się na posiedzeniu. Skarżąca [...] maja 2020r. wystąpiła do Przewodniczącej Komisji o ujawnienie akt postępowania, a [...] czerwca 2020r. wniosła do Prezydenta [...] skargę na nienależyte wykonanie zadań przez Komisję, naruszenie szeregu zasad postępowania i procedury antymobbingowej oraz interesu prawnego. Rada Nadzorcza Spółki rozpatrzyła skargę [...] lipca 2020r. Skarżąca e-mailem z [...] sierpnia 2020r. skierowała do Spółki sprzeciw wobec przetwarzania jej danych osobowych w ramach postępowania wyjaśniającego, prowadzonego przez Komisję, na skutek ww. skarg. Spółka w piśmie z [...] sierpnia 2020r. udzieliła Skarżącej odpowiedzi na sprzeciw, wskazując, że odnotowała zgłoszenie i wyjaśniła, że minimalny zakres danych niezbędnych do przetwarzania przez Komisję w związku z wniesionym sprzeciwem i skargami w postępowaniu wyjaśniającym to imię, nazwisko, adres do korespondencji Skarżącej. Sprzeciw może zostać uwzględniony bez wpływu na tok postępowania co do adresu e-mail. W przypadku uwzględnienia sprzeciwu w całości, skargi Skarżącej z [...] i [...] lutego oraz z [...] marca 2020r. będą musiały być traktowane jako anonimowe, więc Skarżąca przestanie być uczestnikiem postępowania i nie uzyska informacji o wynikach prac Komisji. Spółka w związku z tym zwróciła się do Skarżącej o potwierdzenie na piśmie, czy podtrzymuje sprzeciw co do przetwarzania danych, co jest równoznaczne z wnioskiem o procedowanie nad złożonymi skargami przez Komisję, jak nad pismami złożonymi anonimowo. Spółka w załączeniu przesłała wnioskowaną klauzulę informacyjną, dotyczącą przetwarzania danych Skarżącej, na podstawie obowiązku prawnego. Skarżąca e-mailem z [...] sierpnia 2020r. zwróciła się do Spółki o przesłanie kopii Jej danych osobowych, zgromadzonych we wszystkich dokumentach i materiałach, podlegających przetwarzaniu przez Komisję w trakcie postępowania wyjaśniającego. Spółka w odpowiedzi z [...] września 2020r. wskazała, że przetwarzane są: imię i nazwisko, adres, e-mail, informacja o okresach niezdolności do pracy w związku ze stanem zdrowia w okresach od [...] do [...] lutego 2020r. oraz od [...] do [...] marca 2020r. oraz odmówiła udostępnienia wnioskowanej kopii dokumentów. Skarżąca [...] września 2020r. zwróciła się do Komisji o sprostowanie Jej imienia i nazwiska i poinformowała, że nie podtrzymuje sprzeciwu co do przetwarzania danych przez Komisję, ale wnosi o wyłączenie z przetwarzania danych wrażliwych, dotyczących Jej zdrowia, na których przetwarzanie nie wyrażała zgody. Spółka w piśmie z [...] września 2020r. potwierdziła sprostowanie danych osobowych Skarżącej i uwzględnienie sprzeciwu we wnioskowanym zakresie oraz wskazała, że od chwili zatrudnienia przetwarza dane osobowe Skarżącej, w celu związanym z realizacją praw i obowiązków wynikających ze stosunku pracy. W okresie zatrudnienia, z uwagi na niezdolność do pracy Skarżącej spowodowaną chorobą, celem realizacji zadań pracodawcy, Spółka powzięła informację o okresach niezdolności do pracy, spowodowanych chorobą i rozpoczęła przetwarzanie danych w tym zakresie. Ustanie zatrudnienia Skarżącej nie spowodowało ustania obowiązku pracodawcy przeciwdziałania mobbingowi i rozpoznania skargi, która wpłynęła w okresie trwania zatrudnienia. Również rozporządzenie Ministra Pracy i Polityki Społecznej z 10 grudnia 2018r. w sprawie dokumentacji pracowniczej wprost wskazuje na obowiązek pracodawcy przechowywania dokumentacji pracowniczej, także po ustaniu zatrudnienia, w której znajdują się m.in. dokumenty z zakresu ewidencjonowania czasu pracy. Konieczne jest też ujawnienie w ewidencji rodzaju, okresu, przyczyny nieobecności w pracy, w zakresie określonym przepisami, więc istnieje podstawa do przetwarzania danych o okresach niezdolności do pracy spowodowanych chorobą. Do przetwarzania danych osobowych Skarżącej dotyczących jej stanu zdrowia dochodziło na podstawie art. 57 ustawy z 25 czerwca 1999r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa. Spółka informacje dotyczące stanu zdrowia Skarżącej – przebywanie na zwolnieniach lekarskich w ww. dniach - powzięła bezpośrednio z wiadomości e-mail Skarżącej, skierowanych do Komisji. Spółka - z uwagi na stawiany przez Skarżącą zarzut bezczynności w udokumentowaniu przyczyny braku przesłuchania Skarżącej przez Komisję w terminach wyznaczonych przez Komisję i zwracanie się przez Skarżącą o przesunięcie terminu przesłuchania – wyjaśniła, że przyczyna braku niezwłocznego przesłuchania Skarżącej leżała po stronie Skarżącej. Spółka oświadczyła też, że obowiązek informacyjny zrealizowano wobec Skarżącej [...] listopada 2019r., kiedy wypełniła kwestionariusz osobowy dla osoby ubiegającej się o zatrudnienie i własnoręcznym podpisem potwierdziła realizację obowiązku informacyjnego, następnie [...] listopada 2019r. przy gromadzeniu danych w związku z zatrudnieniem i wypełnianiu kwestionariusza osobowego dla pracownika, jak również, że udostępniła Skarżącej kopię wnioskowanych przez Nią danych osobowych. Spółka podkreśliła, że celem przetwarzania danych Skarżącej przy rozpoznaniu skargi na mobbing była realizacja praw i obowiązków wynikających ze stosunku pracy, a ustanie zatrudnienia w odniesieniu do Skarżącej nie spowodowało ustania obowiązku pracodawcy przeciwdziałania mobbingowi i rozpoznania skargi, która wpłynęła w okresie trwania zatrudnienia. Spółka, odnosząc się do sprzeciwów Skarżącej, oświadczyła, że dane objęte sprzeciwem, będące przedmiotem prac Komisji wydzielono do osobnej koperty, poza dokumentację Komisji z oznaczeniem informacji o zgłoszonym sprzeciwie, w celu zapobieżenia dalszego ich przetwarzania w pracach Komisji. Przewodnicząca Komisji [...] października 2020r. poinformowała Skarżącą o wynikach pracy Komisji i rozpatrzeniu skargi. Całość dokumentacji prac Komisji przekazano do dokumentacji pracowniczej, jako wyodrębnione akta. Skarżąca w mailu z [...] października 2020r. zakwestionowała ustalenia Komisji i sposób jej procedowania. Prezes UODO w uzasadnieniu ww. decyzji wskazał, że każdy proces przetwarzania danych osobowych, zgodnie z jedną z naczelnych zasad wynikających z RODO, musi być zgodny z prawem. Administrator, przetwarzając dane osobowe zwykłe musi legitymować się przynajmniej jedną z przesłanek określonych w art. 6 ust. 1 RODO, zaś w przypadku przetwarzania danych szczególnej kategorii jedną z przesłanek określonych w art. 9 ust. 2 RODO. Katalog przesłanek wymienionych w art. 6 ust. 1 i art. 9 ust. 2 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Przesłanki te, co do zasady, są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą, nie jest jedyną podstawą przetwarzania danych osobowych, bo proces przetwarzania danych będzie zgodny z RODO również wówczas, gdy administrator danych wykaże spełnienie innej z ww. przesłanek. Niezależnie od zgody osoby, której dane dotyczą, przetwarzanie danych osobowych jest dopuszczalne m.in. wtedy, gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze danych. Zgodnie z art. 5 ust. 1 lit. a) i lit. b) RODO dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą oraz zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami. Natomiast, zgodnie z art. 29 RODO podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego. Prezes UODO wskazał, że Komisja w toku postępowania przetwarzała zarówno zwykłe dane osobowe Skarżącej (imię, nazwisko, adres zamieszkania/do korespondencji, adres e-mail), jak i szczególne kategorie danych osobowych (dotyczące zdrowia - informację o okresach niezdolności Skarżącej do pracy). W skład Komisji wchodziły osoby upoważnione przez Spółkę (pracodawcę), które zobowiązano do zachowania w poufności wszelkich informacji i danych osobowych pozyskanych w związku z realizacją prac Komisji. Komisja realizowała zadania, zgodnie z Procedurą Przeciwdziałania Mobbingowi, obowiązującą w Spółce. Regulamin statuuje poufność postępowania przed Komisją. Prace Komisji zakończono [...] października 2020r., wydaniem rozstrzygnięcia, o którym poinformowano Skarżącą. Tym samym przetwarzanie przez Spółkę danych osobowych (zwykłych i szczególnych) Skarżącej, na potrzeby prowadzonego postępowania antymobbingowego przez Komisję było zgodne z art. 6 ust. 1 lit. c RODO i art. 9 ust. 2 lit. b RODO w związku z art. 94 Kodeksu Pracy oraz z art. 5 ust. 1 lit. a i b RODO. Dane te były też niezbędne i adekwatne do celu, a osoby przetwarzające dane - członkowie Komisji – posiadali upoważnienia Spółki (administratora danych), zgodnie z art. 29 RODO. Przetwarzanie adresu e-mail Skarżącej, będące konsekwencją kierowania przez Skarżącą z własnej inicjatywy e-mailem pism do Komisji, odbywało się na podstawie art. 6 ust. 1 lit. a RODO, za zgodą Skarżącej. Aktualny proces przetwarzania danych osobowych Skarżącej, zawartych w dokumentacji wytworzonej w toku prac Komisji jest zgodny z art. 6 ust. 1 lit. f RODO (dane zwykłe) i art. 9 ust. 2 lit. f RODO (szczególne kategorie danych osobowych) w związku z art. 94 i art. 944 i w związku z art. 291 § 1 Kodeksu Pracy, w celu umożliwienia dochodzenia roszczeń przez Skarżącą i obronę tych roszczeń przez Spółkę zgodnie z ww. przepisami. Prezes UODO, w odniesieniu do sprzeciwu, podniósł, że Spółka nie była zobowiązana do jego uwzględnienia, bo nie dotyczył on danych osobowych przetwarzanych przez Spółkę (Komisję), na mocy art. 6 ust. 1 lit e lub lit. f RODO ani danych przetwarzanych w celu świadczenia marketingu bezpośredniego. W sytuacji zgłoszenia skargi na mobbing, obowiązkiem pracodawcy jest przedstawienie całości dokumentacji zawierającej dane osobowe, a usunięcie jakichkolwiek informacji/danych w tym zakresie może być kwalifikowane jako próba zatajania faktów przed sądem. Pozyskane w toku postępowania wyjaśniającego Komisji dane osobowe Skarżącej w zakresie informacji o okresach niezdolności do pracy stanowią uzasadnienie zmian terminów przesłuchania Skarżącej, sposobu i trybu prac Komisji oraz usprawiedliwienie dla nieobecności Skarżącej na przesłuchaniu, a tym samym, są przetwarzane przez Komisję na podstawie art. 9 ust. 2 lit. b RODO w związku z art. 94 Kodeksu Pracy i nie podlegają usunięciu, zgodnie z przesłanką zawartą w art. 17 ust. 1 lit. c RODO. Prezes UODO zwrócił także uwagę, że dane osobowe Skarżącej w zakresie okresów jej niezdolności do pracy przetwarzane są przez Spółkę poza obszarem działania Komisji, także w związku z obowiązkiem prowadzenia dokumentacji pracowniczej. Pracodawca, zgodnie z art. 94 pkt 9a Kodeksu Pracy, zobowiązany jest prowadzić i przechowywać w postaci papierowej lub elektronicznej dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracowników (dokumentacja pracownicza), w oparciu o zasady przechowywania dokumentacji pracowniczej, określone w art. 94 pkt 9b oraz 944-9412 Kodeksu Pracy. Zgodnie z RODO obowiązki informacyjne realizuje administrator danych (Spółka) jako całość, a nie odrębnie każda wytworzona w jego strukturach jednostka, komórka organizacyjna (tu: Komisja [...], Rada Nadzorcza). Przedłożone Skarżącej klauzule zawierają wymagane informacje, określone w art. 13 ust. 1 i 2 RODO. Tym samym, nie było podstaw do nakazania Spółce spełnienia wobec Skarżącej obowiązku informacyjnego z art. 13 RODO. Spółka jednakże, w klauzulach zawarła nieprawidłowe informacje dotyczące podstawy prawnej przetwarzania danych osobowych szczególnej kategorii, powołując się na art. 9 ust. 1 RODO, zamiast na art. 9 ust. 2 lit. b RODO, w związku z przepisami Kodeksu Pracy oraz m.in. rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej z 10 grudnia 2018r. w sprawie dokumentacji pracowniczej (Dz.U. z 2018 r. poz. 2369). Prezes UODO wyjaśnił, że wniosek Skarżącej z [...] maja 2020r. nie był żądaniem wynikającym z art. 15 RODO. Skarżąca we wniosku nie kierowała zapytań dotyczących przetwarzania Jej danych osobowych, ale udostępnienia kopii dokumentów i udzielenia informacji o przebiegu postępowania antymobbingowego, prowadzonego przez Komisję. Skarżąca dopiero e-mailem z [...] sierpnia 2020r. zwróciła się do Spółki o udostępnienie kopii danych osobowych przetwarzanych przez Spółkę w związku z prowadzonym postępowaniem przez Komisję w postępowaniu wyjaśniającym. Prezes UODO podzielił stanowisko Spółki, że udostępnienie kopii danych zawartych w dokumentacji wytworzonej przez administratora nie jest równoznaczny z obowiązkiem udostępnienia całości dokumentacji. W art. 15 ust. 3 RODO mowa o "danych osobowych", a nie o "dokumentach zawierających dane osobowe". Prezes UODO jest uprawniony do dokonywania oceny legalności dysponowania danymi osobowymi – a nie nośnikami, na których dane te utrwalono (np. dokumentami). Prezes UODO, odnośnie nierzetelnego przetwarzania danych osobowych wskazał, że Spółka dokonała realizacji ciążącego na niej obowiązku aktualizacji danych osobowych w związku ze złożonym przez Skarżącą wnioskiem o sprostowanie danych, w związku z tym nie było podstaw do skierowania do Spółki nakazu w tym zakresie. Kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych w sprawach dotyczących przetwarzania danych osobowych przez określony podmiot (administratora/podmiot przetwarzający) należy do autonomicznych kompetencji Prezesa UODO, w związku z czym nie jest realizowana na wniosek. Przekazane informacje mogą posłużyć do przeprowadzenia postępowania z urzędu. W razie wszczęcia takiego postępowania stroną będzie podmiot kontrolowany, natomiast osobie zawiadamiającej nie przysługuje status strony postępowania. Niemniej Skarżąca nie wykazała, aby doszło do naruszenia prawa do ochrony Jej danych osobowych, udostępnienia Jej danych osobowych osobom nieuprawnionym w wyniku przetwarzania Jej danych osobowych za pośrednictwem poczty elektronicznej. 2. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie Skarżąca wniosła o uchylenie ww. decyzji Prezesa UODO, z uwagi na naruszenie: - art. 7, art. 77 § 1 i art. 80 k.p.a. - polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, - art. 8 i art. 107 § 3 k.p.a. - polegające na sporządzeniu uzasadnienia niezgodnie z wymogami wynikającymi z art. 107 § 3 k.p.a. (przez brak w decyzji faktów, które organ uznał za udowodnione oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej), co uniemożliwia realizację zasady pogłębiania zaufania obywateli do organów państwa, - art. 11 k.p.a. - przez niewyjaśnienie stronie zasadności przesłanek, którymi kierował się organ przy załatwieniu sprawy (pominięto milczeniem niektóre twierdzenia Skarżącej lub nie odniesiono się do okoliczności istotnych dla sprawy). Skarżąca w uzasadnieniu skargi podtrzymała swoje stanowisko wyrażone w toku postępowania przed Prezesem UODO. 3. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie oraz podtrzymał dotychczasowe stanowisko. Wskazał ponadto, że w sprawie przedsięwziął wszelkie przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych sprawy i zebraniu materiału dowodowego potrzebnego do rozstrzygnięcia jej decyzją administracyjną. 4. Skarżąca w piśmie z [...] sierpnia 2021r. podtrzymała swoje stanowisko wyrażone w skardze oraz podniosła, że Prezes UODO pominął milczeniem przedstawione przez Nią dowody i twierdzenia. 5. Prezes UODO w odpowiedzi na powyższe pismo podtrzymał swoje stanowisko wyrażone w zaskarżonej decyzji oraz w ww. odpowiedzi na skargę. II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: 1. skarga nie zasługuje na uwzględnienie. 2. Sąd stwierdza ponadto, że zgodnie z art. 1 § 1 i 2 ustawy z 25 lipca 2002r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2021r., poz. 137), kontrola sądowa zaskarżonych decyzji, postanowień bądź innych aktów, wymienionych w art. 3 § 2 ustawy z 30 sierpnia 2002r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2022r. poz. 329, zwana dalej "P.p.s.a.") sprawowana jest przez Sądy administracyjne w oparciu o kryterium zgodności z prawem. W związku z tym, aby wyeliminować z obrotu prawnego akt wydany przez organ administracji publicznej (np. decyzję) konieczne jest stwierdzenie, że doszło w niej do naruszenia bądź przepisu prawa materialnego w stopniu mającym wpływ na wynik sprawy, bądź przepisu postępowania w stopniu mogącym mieć istotny wpływ na rozstrzygnięcie, albo też przepisu prawa dającego podstawę do wznowienia postępowania, lub ewentualnie ustalenie, że decyzja lub postanowienie organu dotknięte jest wadą nieważności (art. 145 § 1 pkt 1 lit. a)-c), pkt 2 P.p.s.a.). Sąd, stosownie do art. 151 P.p.s.a., w razie nieuwzględnienia skargi w całości albo w części, oddala skargę odpowiednio w całości albo w części. Sąd wyjaśnia również, że stosownie do art. 134 § 1 P.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Ostatnie z zastrzeżeń nie miało jednak zastosowania w sprawie, gdyż organ administracyjny wydał decyzję administracyjną, którą zaskarżył Skarżący, a nie interpretację indywidualną, o której mowa w art. 57a P.p.s.a. 3. W ocenie Sądu, analizowana pod tym kątem skarga nie zasługiwała na uwzględnienie. Sąd, odnosząc się do zarzutów naruszenia przez Prezes UODO wskazanych przez Skarżącą przepisów art. 7, art., 8, art. 11, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. uznaje je za nieuzasadnione. Organ bowiem w celu zweryfikowania zarzutów Skarżącej, korzystając z instrumentów prawnych określonych w art. 58 ust. 1 lit. a) i e) RODO, kilkukrotnie zwracał się do Spółki o złożenie pisemnych wyjaśnień oraz potwierdzających je dowodów w sprawie. Sposób działania organu był zdeterminowany spoczywającym na nim, na mocy art. 77 § 1 k.p.a., obowiązkiem wyczerpującego zebrania oraz rozpatrzenia całego materiału dowodowego. Wydanie decyzji administracyjnej w sprawie należącej do właściwości Prezesa UODO, wbrew stanowisku Skarżącej, było poprzedzone dokładnym zbadaniem okoliczności faktycznych sprawy oraz zebraniem niezbędnego i wystarczającego materiału dowodowego. Prezes UODO uwzględnił zatem zasadę prawdy obiektywnej, wynikającą z art. 7 i art. 77 § 1 k.p.a. i po dokładnym zbadaniu okoliczności faktycznych i zebraniem kompletnego, wewnętrznie spójnego materiału dowodowego, wydał zaskarżoną decyzję, którą w sposób przekonywujący uzasadnił. Z akt administracyjnych sprawy wynika ponadto, że organ przedsięwziął wszelkie przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych sprawy i zebraniu materiału dowodowego, potrzebnego do rozstrzygnięcia jej decyzją administracyjną, mając na względzie stanowisko Skarżącej, uzupełniane w kolejnych pismach składanych do organu w związku ze skargą z [...] sierpnia 2020r. Nie sposób więc przyjąć, że Prezes UODO w jakikolwiek sposób naruszył też zasadę zaufania do organów administracyjnych, przewidzianą w art. 8 § 1 k.p.a. Z uzasadnienia zaskarżonej decyzji wynika, że organ wziął pod rozwagę wszelkie okoliczności podnoszone przez Skarżącą i wiążące się ze sprawą, kierując się przy tym zasadami proporcjonalności, bezstronności i równego traktowania. Zaskarżoną decyzję wydano na podstawie materiału dowodowego pozyskanego w toku wnikliwie prowadzonego postępowania administracyjnego, w którym uwzględniono interesy obu stron. Skarżąca stosownie do art. 81 k.p.a. miała możność wypowiedzenia się co do przeprowadzonych dowodów. Zdaniem Sądu, wbrew twierdzeniom skargi, Prezes UODO po kompleksowej analizie całości zebranego w postępowaniu materiału dowodowego, zgodnie z wymogami ww. zasady prawdy obiektywnej, dokonał rzetelnej oceny dowodów znajdujących się w aktach sprawy, przez pryzmat mających zastosowanie w sprawie przepisów RODO oraz ustawy z 26 czerwca 1974r. - Kodeks pracy (Dz.U. z 2019r. poz. 1040 ze zm.), ustosunkowując się do podnoszonych przez Skarżącą zarzutów. Nie sposób zatem przyjąć, że w sprawie doszło do naruszenia art. 80 k.p.a., czy art. 81 k.p.a. Oceny organu odnosiły się do całokształtu materiału dowodowego. Prezes UODO, na podstawie zgromadzonych wyjaśnień obu stron postępowania: Skarżącej i Spółki, dokonał indywidualnej oceny podstaw przetwarzania danych osobowych Skarżącej, o których mowa w Jej skardze przez Spółkę, biorąc pod uwagę wszystkie wskazywane przez nią w kolejnych pismach okoliczności. W zaskarżonej decyzji prawidłowo wskazano m.in., że Prezes UODO może podejmować tylko te czynności, które znajdują się w zakresie jego uprawnień oraz tylko w tych sprawach, które należą do jego właściwości. Uprawnienia te i właściwość wynikają z RODO, ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. 2019 r. poz. 1781), ale także z szeregu regulacji szczegółowych, które wskazują na ograniczenia kompetencji Prezesa UODO w odniesieniu do przetwarzania danych osobowych przez określone podmioty bądź w określonych okolicznościach. Rację miał zatem organ, że poza zakresem kompetencji Prezesa UODO była ocena prawidłowości przeprowadzenia postępowania antymobbingowego przez Spółkę - weryfikacja składu Komisji, sposobu procedowania Komisji i przesłuchiwania stron postępowania oraz wydanego rozstrzygnięcia i udostępniania kopii akt osobowych pracownika, w tym kopii dokumentacji zgromadzonej w toku prac Komisji. W zakresie kompetencji Prezesa UODO była jedynie ocena prawidłowości przetwarzania danych osobowych Skarżącej przez Spółkę, w tym danych przetwarzanych w ramach postępowania wyjaśniającego Komisji i w związku z rozpatrywaniem skargi z [...] czerwca 2020r. przez Radę Nadzorczą Spółki oraz prawidłowości realizacji przysługujących Skarżącej zgodnie z RODO praw. RODO określa obowiązki administratora danych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tym rozporządzeniu. Przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osobowych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Prawidłowo wyjaśniono w uzasadnieniu zaskarżonej decyzji, że katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Rację miał także organ, że przesłanki legalności przetwarzania szczególnych kategorii danych osobowych, w tym danych osobowych dotyczących zdrowia i okresów niezdolności do pracy, określone zostały natomiast w art. 9 ust. 2 RODO. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Nie sposób więc zakwestionować stanowiska Prezesa UODO, że zgoda Skarżącej - osoby, której dane dotyczą nie była jedyną podstawą przetwarzania danych osobowych. Proces przetwarzania danych będzie bowiem zgodny z RODO również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO), przetwarzanie danych osobowych zwykłych jest dopuszczalne m.in. wtedy, gdy jest to niezbędne dla wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO) lub do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f) RODO), natomiast przetwarzanie szczególnej kategorii danych osobowych - wbrew twierdzeniom Skarżącej zawartym w skardze – m.in. wtedy, gdy przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą (art. 9 ust. 2 lit. b RODO) lub gdy przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy (art. 9 ust. 2 lit. f) RODO). Zgodnie z art. 5 ust. 1 lit. a) i b) RODO dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą oraz zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami. Natomiast, zgodnie z art. 29 RODO podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego. Skoro Skarżąca, będąc pracownikiem Spółki, złożyła skargę z [...] lutego 2020r., w której postawiła zarzuty mobbingu, czego konsekwencją było wszczęcie procedury antymobbingowej przez Spółkę i w związku z tym doszło do przetwarzania przez ww. Komisję w toku postępowania zarówno zwykłych danych osobowych Skarżącej (imię, nazwisko, adres zamieszkania/do korespondencji, adres e-mail), jak i szczególnych kategorii danych osobowych (dotyczących zdrowia Skarżącej w związku z niezdolnością do pracy), nie sposób uznać, że te działania Komisji, same w sobie, były niezgodne z prawem. Po pierwsze dlatego, że w skład Komisji wchodziły osoby upoważnione przez Spółkę, które zostały zobowiązane przez Spółkę (pracodawcę) do zachowania w poufności wszelkich informacji i danych osobowych pozyskanych w związku z realizacją prac Komisji. Komisja ponadto realizowała zadania zgodnie z obowiązującą w Spółce Procedurą Przeciwdziałania Mobbingowi. Dodatkowo obowiązujący w Spółce regulamin stanowił, że postępowanie przed Komisją jest poufne. Komisja zakończyła swoją pracę [...] października 2020r., wydając rozstrzygnięcie, o którym poinformowała Skarżącą. Działania Spółki i działającej w związku z postępowaniem mobbingowym ww. Komisji ma podstawę w art. 94 § 1 Kodeksu Pracy, z którego wynika, że pracodawca jest obowiązany przeciwdziałać mobbingowi, a na podstawie art. 94 § 3 Kodeksu Pracy pracownik, u którego mobbing wywołał rozstrój zdrowia, może dochodzić od pracodawcy odpowiedniej sumy tytułem zadośćuczynienia pieniężnego za doznaną krzywdę. W związku z tym prawidłowe było przyjęcie w zaskarżonej decyzji, że przetwarzanie przez Spółkę danych osobowych Skarżącej w zakresie imienia i nazwiska, adresu zamieszkania i okresów niezdolności do pracy na potrzeby prowadzonego postępowania antymobbingowego przez Komisję było zgodne z art. 6 ust. 1 lit. c RODO (dane zwykłe) i art. 9 ust. 2 lit. b RODO (szczególne kategorie danych osobowych) w związku z art. 94 Kodeksu Pracy oraz z art. 5 ust. 1 lit. a) i b) RODO – dane były niezbędne i adekwatne do celu, a osoby przetwarzające dane - członkowie Komisji posiadały upoważnienia nadane przez administratora danych - Spółkę - zgodnie z art. 29 RODO. Warto też podkreślić, że to sama Skarżąca zdecydowała, w jakiej formie będzie komunikować się ze Spółką oraz z działającą Komisją - przez kierowanie korespondencji za pośrednictwem adresu e-mail, ujawniła Spółce i Komisji (m.in. wnioski dotyczące prac Komisji, pisma informujące o braku możliwości stawienia się na przesłuchaniu, wniosek o udostępnienie kopii danych osobowych) swoje dane osobowe w tym zakresie. Działanie Skarżącej świadczyło zatem jednoznacznie o jej zgodzie, która zgodnie z RODO, nie musi być wyrażona przez złożenie oświadczenia zgody na piśmie. Wbrew zatem stanowisku Skarżącej nie sposób przyjąć, że Spółka przetwarzała adres e-mail Skarżącej bez podstawy prawnej. Trafnie Prezes UODO ocenił w zaskarżonej decyzji, że miało to miejsce na podstawie art. 6 ust. 1 lit. a RODO, tj. za wyraźną zgodą Skarżącej, więc było legalne. Sąd, odnosząc się do zarzutu Skarżącej o bezprawnym przetwarzaniu danych osobowych Skarżącej zawartych w dokumentacji wytworzonej w toku prac Komisji, po zakończeniu przez nią prac, wskazuje, że w tym zakresie należało podzielić stanowisko organu i przedstawioną w zaskarżonej decyzji argumentację. Zgodnie bowiem z art. 94 pkt 9a Kodeksu Pracy, pracodawca zobowiązany jest prowadzić i przechowywać w postaci papierowej lub elektronicznej dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracowników (dokumentacja pracownicza), w oparciu o zasady przechowywania dokumentacji pracowniczej określone w art. 94 pkt 9b oraz art. 944-9412 Kodeksu Pracy. W myśl ww. przepisów, pracodawca obowiązany jest przechowywać dokumentację pracowniczą przez okres 10 lat, licząc od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł (chyba, że odrębne przepisy przewidują dłuższy okres przechowywania dokumentacji pracowniczej). Zgodnie zaś z art. 944 Kodeksu Pracy, jeżeli przechowywana dokumentacja pracownicza może stanowić lub stanowi dowód w postępowaniu, a pracodawca: 1) jest stroną tego postępowania - przechowuje dokumentację pracowniczą do czasu jego prawomocnego zakończenia, nie krócej jednak niż do upływu okresu, o którym mowa w art. 94 pkt 9b; art. 947 stosuje się odpowiednio; 2) powziął wiadomość o wytoczeniu powództwa lub wszczęciu postępowania - okres przechowywania dokumentacji pracowniczej, o którym mowa w art. 94 pkt 9b, przedłuża się o 12 miesięcy, po upływie których pracodawca zawiadamia, w postaci papierowej lub elektronicznej, byłego pracownika o możliwości odbioru tej dokumentacji w terminie 30 dni od dnia otrzymania zawiadomienia oraz, w przypadku jej nieodebrania, o zniszczeniu dokumentacji pracowniczej; art. 947 stosuje się odpowiednio. Zgodnie natomiast z art. 291 § 1 Kodeksu Pracy, roszczenia ze stosunku pracy ulegają przedawnieniu z upływem 3 lat od dnia, w którym roszczenie stało się wymagalne. Zgodnie zaś z art. 183b § 1 Kodeksu pracy, w przypadku wystąpienia z pozwem do Sądu pracy o zapłatę należnego odszkodowania - to pracodawca będzie musiał udowodnić, że nie dopuścił się wobec Skarżącej dyskryminacji i nie naruszył zasady równego traktowania w zatrudnieniu. Skoro w sprawie ustalono, że w związku z zakończeniem pracy Komisji [...] października 2020r. dokumentacja przez nią wytworzona została załączona do akt osobowych Skarżącej (pracownika) i jest przechowywana w celu ustalenia, dochodzenia lub obrony roszczeń przez Spółkę/Skarżącą lub w ramach sprawowania wymiaru sprawiedliwości przez sądy w przypadku wytoczenia przez Skarżącą powództwa na co wskazywała Skarżąca w komunikatach kierowanych do Spółki po otrzymaniu rozstrzygnięcia Komisji, tj. w wiadomości Skarżącej z [...] października 2020r. przesłanej do inspektora ochrony danych Spółki, w której zakwestionowała sposób procedowania Komisji oraz konkluzje jej ustaleń (dowód: wyjaśnienia Spółki z 29 grudnia 2020 r. wraz z załącznikami). Tym samym, aktualny proces przetwarzania danych osobowych Skarżącej, zawartych w dokumentacji wytworzonej w toku prac Komisji - wbrew twierdzeniom Skarżącej zawartym w skardze - był zgodny, jak trafnie podniósł Prezes UODO w zaskarżonej decyzji, z art. 6 ust. 1 lit. f) RODO (dane zwykłe) i art. 9 ust. 2 lit. f) RODO (szczególne kategorie danych osobowych) w związku z art. 94 i art. 944 Kodeksu Pracy w związku z art. 291 § 1 Kodeksu Pracy. W ten sposób prawodawca umożliwia Skarżącej dochodzenie roszczeń, jak również obronę tych roszczeń przez Spółkę zgodnie z ww. przepisami. Spółka, po ustaniu ww. przesłanki przetwarzania danych osobowych Skarżącej, zobowiązana będzie, zgodnie z art. 94 pkt 9a Kodeksu pracy, przechowywać dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracowników (dokumentacja pracownicza), w tym Skarżącej, w postaci papierowej lub elektronicznej:, w oparciu o zasady przechowywania dokumentacji pracowniczej, określone w art. 94 pkt 9b oraz 944-9412 Kodeksu pracy. Sąd podziela ponadto stanowisko organu, że Spółka nie była zobowiązana do uwzględnienia sprzeciwów Skarżącej, wobec przetwarzania Jej danych osobowych przez Spółkę w toku prowadzonego postępowania antymobbingowego przez Komisję. Sprzeciw wniesiony przez Skarżącą nie dotyczył danych osobowych przetwarzanych przez Spółkę (Komisję) na mocy art. 6 ust. 1 lit e) lub lit. f) RODO ani danych przetwarzanych w celu świadczenia marketingu bezpośredniego. Zgodnie zaś z art. 21 RODO osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw - z przyczyn związanych z jej szczególną sytuacją - wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e) lub f) RODO, w tym profilowania na podstawie tych przepisów (ust. 1) lub jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego (ust. 2). Administratorowi, stosownie do art. 21 ust. 1 zdanie 2 RODO nie wolno już przetwarzać danych osobowych co, do których skierowano sprzeciw, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń. Stwierdzić też należy, że z akt sprawy wynika (wyjaśnienia Spółki z [...] września 2020r. wraz z załącznikami), że Spółka, wychodząc naprzeciw oczekiwaniom Skarżącej, po doprecyzowaniu wniosku Skarżącej, który ostatecznie odnosił się do sprzeciwu wobec przetwarzania przez Komisję jej danych osobowych dotyczących informacji o stanie zdrowia - okresach niezdolności do pracy - oraz po dokonaniu analizy niezbędności danych osobowych, wymaganych do dalszego prowadzenia postępowania wyjaśniającego przez Komisję w przedmiocie zarzutów dotyczących mobbingu i nierównego traktowania w zatrudnieniu, uwzględniła sprzeciw Skarżącej - przez wydzielenie do osobnej koperty danych objętych sprzeciwem, w tym adresu e-mail Skarżącej, poza dokumentację Komisji z oznaczeniem informacji o zgłoszonym sprzeciwie celem zapobieżenia dalszego ich przetwarzania w pracach Komisji. Sąd, mając na względzie zarzuty Skarżącej w zakresie dokonanej przez Prezesa UODO oceny, co do legalności przetwarzania przez Spółkę danych osobowych Skarżącej w zakresie pozyskanych w toku zatrudnienia Skarżącej w Spółce oraz w toku prac Komisji informacji o niezdolności do pracy, o chorobie i o posiadanych zwolnieniach lekarskich, wskazuje, że nie sposób w tym zakresie podważać stanowiska organu wyrażonego w zaskarżonej decyzji. Skoro bowiem Spółka jest zobowiązana posiadać i przedstawić na żądanie właściwych organów całość dokumentacji zawierającej dane osobowe Skarżącej, w związku ze zgłoszoną skargą na mobbing, to usunięcie jakichkolwiek informacji/danych w tym zakresie może być kwalifikowane jako próba zatajania faktów przed Sądem. Pozyskane w toku postępowania wyjaśniającego Komisji dane osobowe Skarżącej w zakresie informacji o okresach niezdolności do pracy - wbrew twierdzeniom Skarżącej - stanowią uzasadnienie zmian terminów przesłuchania Skarżącej, sposobu i trybu prac Komisji oraz usprawiedliwienie dla nieobecności Skarżącej na przesłuchaniu, a tym samym, jak już wskazano powyżej, dane te są przetwarzane przez Komisję, na podstawie art. 9 ust. 2 lit. b RODO (szczególne kategorie danych osobowych) w związku z art. 94 Kodeksu Pracy i nie podlegają usunięciu zgodnie z przesłanką zawartą w art. 17 ust. 1 lit. c) RODO, wskazującą, że administrator danych usuwa dane jeżeli osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 RODO wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw, na mocy art. 21 ust. 2 RODO, wobec przetwarzania. Natomiast dane osobowe Skarżącej w zakresie okresów jej niezdolności do pracy, pozyskane w toku zatrudnienia, były przetwarzane przez Spółkę poza obszarem działania Komisji, także w związku z obowiązkiem prowadzenia dokumentacji pracowniczej bowiem, jak już wskazano powyżej, pracodawca – Spółka - zgodnie z art. 94 pkt 9a Kodeksu Pracy, zobowiązany jest prowadzić i przechowywać w postaci papierowej lub elektronicznej dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracowników (dokumentacja pracownicza), w oparciu o zasady przechowywania dokumentacji pracowniczej określone w art. 94 pkt 9b i art. 944-9412 Kodeksu Pracy. W myśl ww. przepisów pracodawca obowiązany jest przechowywać dokumentację pracowniczą przez okres 10 lat, licząc od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł (chyba, że odrębne przepisy przewidują dłuższy okres przechowywania dokumentacji pracowniczej). Zgodnie zaś z § 6 ust. 1 lit. a) rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej z 10 grudnia 2018r. w sprawie dokumentacji pracowniczej (Dz.U. z 2018r., poz. 2369), pracodawca prowadzi oddzielną dla każdego pracownika dokumentację w sprawach związanych ze stosunkiem pracy ewidencjonującą między innymi rodzaj i wymiar zwolnień od pracy. Tym samym Spółka była – jak trafnie wskazał Prezes UODO w zaskarżonej decyzji - uprawniona do przetwarzania danych osobowych Skarżącej w zakresie okresów niezdolności do pracy pozyskane w toku zatrudnienia, z uwagi na treść art. 9 ust. 2 lit. b) RODO w związku z art. 94 pkt 9a Kodeksu Pracy. Sąd, za niezasadny uznaje też zarzut Skarżącej w zakresie niezrealizowania przez Spółkę wobec Skarżącej obowiązku informacyjnego z art. 13 i art. 14 RODO w związku z przetwarzaniem jej danych osobowych przez Komisję oraz Radę Nadzorczą Spółki, podzielając w tym zakresie argumentację Prezesa UODO zawartą w uzasadnieniu zaskarżonej decyzji. Zgodnie bowiem z art. 13 ust. 1 RODO, jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych, podaje jej wszystkie informacje wskazane w tym przepisie oraz art. 13 ust. 2 RODO. Zgodnie natomiast z art. 14 ust. 1 RODO, jeżeli danych osobowych nie pozyskano od osoby, której dane dotyczą, administrator podaje osobie, której dane dotyczą, informacje wskazane w tym przepisie oraz art. 14 ust. 2 RODO. Sąd, mając na względzie ww. przepisy, nie znalazł podstaw do zakwestionowania stanowiska Prezesa UODO, że administrator danych – Spółka - realizuje obowiązki informacyjne wobec osoby, której dane są przetwarzane jako całość, a nie odrębnie w swych strukturach organizacyjnych, w komórkach: Komisji [...], Radzie Nadzorczej. Dane przetwarzane przez Spółkę pozyskano od Skarżącej w związku ze stosunkiem pracy, świadczonym na rzecz Spółki. Z ustaleń organu administracyjnego (wyjaśnienia Spółki z [...] września 2020r. z załącznikami) wynikało, że Spółka - wbrew twierdzeniom Skarżącej zawartym zarówno w skardze do Sądu, jak i w skardze inicjującej postępowanie i pismach ją uzupełniających - zrealizowała obowiązek informacyjny wobec Skarżącej w toku procesu rekrutacyjnego za pośrednictwem klauzuli informacyjnej załączonej do kwestionariusza osobowego dla osoby ubiegającej się o zatrudnienie [...] listopada 2019r. oraz w związku z jej zatrudnieniem przez Spółkę za pośrednictwem pouczenia stanowiącego załącznik do kwestionariusza osobowego dla pracownika [...] listopada 2019r. Prezes UODO, mając na względzie dokumenty znajdujące się w aktach sprawy, był też uprawniony do wyrażenia ocen, po dokonaniu kompleksowej analizy materiału dowodowego, że dowody przedstawione przez Spółkę, jak i jej wyjaśnienia z tego zakresu - realizacji wobec Skarżącej obowiązku informacyjnego - były wiarygodne. Dodatkowo Prezes UODO dokonał racjonalnych ocen klauzul informacyjnych przedłożonych Skarżącej przez Spółkę i na ich podstawie trafnie uznał, że zawierają one wymagane informacje określone w art. 13 ust. 1 i 2 RODO. Tym samym uprawnione było wskazanie przez organ w uzasadnieniu zaskarżonej decyzji, że brak było podstaw do nakazania Spółce spełnienia obowiązku informacyjnego z art. 13 RODO wobec Skarżącej. Niemniej jednak skoro w treści klauzuli informacyjnej przedłożonej Skarżącej przez Spółkę w związku z zatrudnieniem, Spółka zawarła nieprawidłowe informacje, wynikających z art. 13 ust. 1 lit. c) RODO w zakresie dotyczącym podstawy prawnej przetwarzania danych osobowych szczególnej kategorii "jeżeli w dokumentach zawarte są dane, o których mowa w art. 9 ust. 1 RODO konieczna będzie Pana/i zgoda na ich przetwarzanie (art. 9 ust. 2 lit. a RODO), która może zostać odwołana w dowolnym czasie.", Prezes UODO prawidłowo - korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO, udzielił Spółce upomnienia za naruszenie art. 13 ust. 1 lit. c RODO przez udzielenie Skarżącej nieprawidłowych informacji w zakresie dotyczącym podstawy prawnej przetwarzania danych osobowych Skarżącej szczególnej kategorii (punkt 1 zaskarżonej decyzji). Podstawą przetwarzania (w tym przechowywania, również w celach archiwalnych, przez wyznaczony okres czasu) danych osobowych szczególnej kategorii (dotyczących np. zwolnień od pracy - L4) pracowników, w tym Skarżącej, o czym mowa w uzasadnieniu zaskarżonej decyzji – był, oprócz powołanych przez Spółkę przepisów, także art. 9 ust. 2 lit. b) RODO w związku z przepisami Kodeksu Pracy i rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej z dnia 10 grudnia 2018r. w sprawie dokumentacji pracowniczej (Dz. U. z 2018 r. poz. 2369). Sąd, odnosząc się do zarzutów Skarżącej o nieprawidłowości w procesie realizacji przez Spółkę jej wniosków złożonych w oparciu o art. 15 RODO, wskazuje, że podziela stanowisko Prezesa UODO zawarte w uzasadnieniu zaskarżonej decyzji, gdyż ma ono oparcie w obowiązujących przepisach prawa. Zgodnie z art. 15 ust. 1 RODO osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji: a) cele przetwarzania; b) kategorie odnośnych danych osobowych; c) informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych; d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; e) informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania; f) informacje o prawie wniesienia skargi do organu nadzorczego; g) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą - wszelkie dostępne informacje o ich źródle; h) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. Jeżeli dane osobowe są przekazywane do państwa trzeciego lub organizacji międzynarodowej, osoba, której dane dotyczą, ma prawo zostać poinformowana o odpowiednich zabezpieczeniach, o których mowa w art. 46, związanych z przekazaniem (art. 15 ust. 2 RODO). Administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się powszechnie stosowaną drogą elektroniczną (art. 15 ust. 3 RODO). Prawo do uzyskania kopii, o której mowa w ust. 3, nie może niekorzystnie wpływać na prawa i wolności innych (art. 15 ust. 4 RODO). Administrator, otrzymując wniosek złożony w oparciu o art. 15 RODO, związany jest jego treścią. Zgodnie natomiast z art. 12 ust. 5 RODO, informacje podawane na mocy art. 13 i 14 RODO oraz komunikacja i działania podejmowane na mocy art. 15-22 i 34 są wolne od opłat. Jeżeli żądania osoby, której dane dotyczą, są ewidentnie nieuzasadnione lub nadmierne, w szczególności ze względu na swój ustawiczny charakter, administrator może: a) pobrać rozsądną opłatę, uwzględniając administracyjne koszty udzielenia informacji, prowadzenia komunikacji lub podjęcia żądanych działań; albo b) odmówić podjęcia działań w związku z żądaniem. Obowiązek wykazania, że żądanie ma ewidentnie nieuzasadniony lub nadmierny charakter, spoczywa na administratorze. Prezes UODO, mając powyższe na względzie, dokonał analizy wniosków Skarżącej z [...] maja i [...] sierpnia 2020r. oraz udzielonych przez Spółkę odpowiedzi. Trafnie w związku z tym organ przyjął, że wniosek Skarżącej z [...] maja 2020r. nie był żądaniem wynikającym z art. 15 RODO. Skarżąca we wniosku nie kierowała zapytań dotyczących przetwarzania jej danych osobowych, ale odnosiła się do udostępnienia kopii dokumentów i udzielenia informacji o przebiegu postępowania antymobbingowego prowadzonego przez Komisję, np. czy została ustalona lista osób, które złożą ustne wyjaśnienia przed Komisją, czy przygotowano pisemną informację na temat przebiegu postępowania wyjaśniającego oraz jego zasad (zobowiązanie do zachowania poufności) i przekazano ją wszystkim pracownikom poproszonym o złożenie wyjaśnień, do jakiego terminu Komisja ma zamiar przesłuchać świadków i obwinioną, kiedy Komisja przewiduje zakończenie prac, w tym sporządzenie raportu końcowego, czy w skład Komisji zostanie powołany ekspert, który posiada wiedzę i doświadczenie przydatne w prowadzonym postępowaniu. Skarżąca dopiero w e-mailu z [...] sierpnia 2020r. zwróciła się do Spółki z żądaniem wynikającym z art. 15 ust. 3 RODO - o udostępnienie kopii danych osobowych przetwarzanych przez Spółkę, w związku z prowadzonym postępowaniem przez Komisję w postępowaniu wyjaśniającym. Jednocześnie Skarżąca, uszczegóławiając wniosek ponownie zwróciła się o kopie wytworzonych przez Komisję dokumentów (protokołów, notatek służbowych, korespondencji e-mailowej, dokumentu powołania Komisji). W związku z tym Spółka pismem z [...] września 2020r. odmówiła udostępnienia kopii dokumentów wnioskowanych, na mocy o art. 15 ust. 3 RODO, uzasadniając powód odmowy. Świadczy to zatem o analizie przez Spółkę ww. wniosku Skarżącej pod katem jego zasadności oraz możliwości i sposobu realizacji przez Spółkę zawartego w nim żądania. Sąd podziela stanowisko Prezesa UODO zawarte w zaskarżonej decyzji, że udostępnienie kopii danych zawartych w dokumentacji wytworzonej przez Spółkę - administratora danych osobowych - zgodnie z art. 15 ust. 3 RODO, nie jest równoznaczne z obowiązkiem udostępnienia danych w formie i strukturze właściwych dla udostępnienia całości dokumentacji. W art. 15 ust. 3 RODO prawodawca nie posługuje się pojęciem "dokumentów zawierających dane osobowe", jest w nich natomiast używane pojęcie "danych osobowych". Warto też wskazać, że żaden przepis RODO i ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. 2019r., poz. 1791) nie uprawnia Prezesa UODO do wydawania nakazów udostępnienia/zwrotu dokumentów lub udzielania informacji dotyczących danego dokumentu (protokołu). W ww. aktach normatywnych nie ma również przepisów mogących stanowić podstawę do żądania od administratora danych przez osobę, której dane dotyczą, wydania dokumentów zawierających jej dane osobowe. Prezes UODO uprawniony jest więc do dokonywania oceny legalności dysponowania danymi osobowymi - nie zaś nośnikami, na których dane te zostały utrwalone (np. dokumentami). Warto też dodać, że z jednolitego orzecznictwa Sądów administracyjnych wynika, że sprawy dotyczące gromadzenia przez pracodawcę akt osobowych uregulowane w przepisach prawa pracy należą do kategorii spraw ze stosunku pracy w rozumieniu art. 476 § 1 pkt 1 ustawy z 17 listopada 1964 r. – Kodeks postępowania cywilnego (Dz.U. z 2019r., poz. 1460 ze zm.; zwana dalej "k.p.c."), co nadaje im równocześnie przymiot spraw cywilnych w rozumieniu art. 1 k.p.c. Sprawy te należą do właściwości sądów powszechnych i nie mogą być rozpatrywane w toku postępowania przed organem ochrony danych osobowych. Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 6 września 2005r. sygn. akt II SA/Wa 825/05, stwierdził że uprawnienie do żądania udostępnienia pracownikowi dokumentów (kserokopii) złożonych w jego aktach osobowych nie mieści się w zakresie praw, które przysługują osobie w związku z przetwarzaniem jego danych osobowych, uprawnienia tego należy poszukiwać w treści praw i obowiązków wynikających ze stosunku pracy, zaś żądanie przez pracownika udostępnienia dokumentów (kserokopii) z jego akt osobowych jest ściśle związane z istniejącym stosunkiem pracy, na co wprost wskazuje art. 94 pkt 9a Kodeksu pracy. Przepis ten zobowiązuje pracodawcę do prowadzenia dokumentacji w sprawach związanych ze stosunkiem pracy oraz akt osobowych pracowników. (...) sprawa w przedmiocie udostępnienia dokumentów z akt osobowych jest sprawą z zakresu prawa pracy w rozumieniu art. 476 § 1 pkt 1 k.p.c. Tym samym prawidłowe było uznanie przez Prezesa UODO, że Spółka nie naruszyła w tym zakresie przepisów RODO poprzez nieprawidłową realizację obowiązku informacyjnego z art. 15 ust. 3 RODO wobec Skarżącej. Sąd nie znalazł też podstaw do uwzględnienia zarzutu Skarżącej o naruszeniu w zaskarżonej decyzji art. 15 ust. 1 RODO, w związku z tym, że Prezes UODO przyjął, że Spółka, realizując wniosek Skarżącej z [...] sierpnia 2020r. nie miała obowiązku poinformowania Skarżącej o prawach przysługujących, zgodnie z RODO. Skoro bowiem z akt sprawy wynikało, że Skarżąca w ww. wniosku nie zwracała się do Spółki o udzielenie informacji wynikających z art. 15 ust. 1 RODO, nie sposób przyjąć, że organ naruszył ten przepis. W toku postępowania ustalono, że Spółka, realizując wobec Skarżącej obowiązek informacyjny, w związku z zatrudnieniem, w toku rekrutacji poinformowała ją o przysługujących jej prawach zgodnie z RODO, tj. prawo do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczących osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania czy też wniesienia skargi do organu nadzorczego. Skarżąca natomiast, korzystając ze swoich praw skierowała do Spółki, m.in. wniosek z [...] sierpnia 2020r. o udostępnienie kopii jej danych osobowych zgormadzonych w toku prac Komisji, zgodnie z art. 15 ust. 3 RODO, wniosek o sprostowanie jej danych osobowych oraz sprzeciwy wobec przetwarzania jej danych osobowych szczególnej kategorii i adresu e-mail, jak również inne wnioski i zapytania dotyczące przetwarzania jej danych osobowych przez Spółkę, które były w sposób prawidłowy i terminowy rozpatrywane przez Spółkę. Sąd podziela stanowisko Prezesa UODO wyrażone w zaskarżonej decyzji, że nie było podstaw do uwzględnienia podnoszonych przez Skarżącą zarzutów w zakresie stosowania przez Spółkę ogólnych praktykach w związku z przetwarzaniem danych osobowych, w tym szkolenia pracowników oraz stosowanych przez Spółkę nieprawidłowych zabezpieczeń w związku z przetwarzaniem danych za pośrednictwem poczty elektronicznej. Po pierwsze dlatego, że Skarżąca nie wykazała, aby doszło do naruszenia jej prawa do ochrony jej danych osobowych, udostępnienia osobom nieuprawnionym jej danych osobowych, a jedynie zawarła przypuszczenie możliwego udostępnienia danych, z uwagi na zastosowanie nieadekwatnych zabezpieczeń. Po drugie, kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych w sprawach dotyczących przetwarzania danych osobowych przez określony podmiot (administratora/podmiot przetwarzający) należy do autonomicznych kompetencji Prezesa UODO, w związku z czym nie jest realizowana na wniosek. W razie wszczęcia takiego postępowania przez Prezesa UODO, stroną będzie podmiot kontrolowany, zaś osobie zawiadamiającej nie przysługuje status strony postępowania. Sąd, mając powyższe rozważania na względzie, uznał, że Prezes UODO trafnie wyjaśnił w zaskarżonej decyzji, stosownie do art. 11 k.p.a., przesłanki, którymi kierował się przy załatwieniu sprawy, aby w ten sposób w miarę możności doprowadzić do wykonania przez strony decyzji, bez potrzeby stosowania środków przymusu. Zaskarżona decyzja zawierała też zarówno uzasadnienie faktyczne, które wskazywało fakty, które organ uznał za udowodnione, jak i dowody, na których organ oparł się oraz podawała przyczyny, z powodu których innym dowodom Prezes UODO odmówił wiarygodności i mocy dowodowej. W uzasadnieniu prawnym wyjaśniono Skarżącej podstawy prawne, które spowodowały wydanie zaskarżonej decyzji, z przytoczeniem mających zastosowanie w sprawie – w prawidłowo ustalonym stanie faktycznym - przepisów prawa. Nie sposób więc za zasadny uznać zarzut naruszenia art. 11 i art. 107 § 3 k.p.a. 4. Sąd, mając powyższe na względzie, uznał, że zasadne było oddalenie skargi, na mocy art. 151 P.p.s.a.