II SA/Wa 1750/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Piotr Borowiecki, Sędzia WSA Konrad Łukaszewicz (spr.), Sędzia WSA Andrzej Wieczorek, Protokolant specjalista Wiesława Jesiotr po rozpoznaniu na rozprawie w dniu 20 stycznia 2020 r. sprawa ze skargi M. P. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2019 r. nr: [...] w przedmiocie przetwarzania danych osobowych oddala skargę Przedmiotem kontroli sądowoadministracyjnej była decyzja Prezesa Urzędu Ochrony Danych Osobowych (zwanego dalej: "Prezesem UODO") z dnia [...] czerwca 2019 r. o numerze [...] w przedmiocie przetwarzania danych osobowych. Stan faktyczny sprawy przedstawia się następująco: Pismem z dnia [...] września 2017 r. M. P. (zwany dalej: "Skarżącym") wystąpił do Generalnego Inspektora Ochrony Danych Osobowych (zwanego dalej: "GIODO") ze skargą na nieprawidłowości w procesie przetwarzanie danych osobowych. Wskazał, że jego pracodawca –T. Spółka z o.o. z siedzibą w [...] (zwana dalej: "Spółką") – ujawnił jego dane osobowe, w szczególności dane na temat stanu jego zdrowia. Wyjaśnił przy tym, że pracownik Spółki – M. B. – przekazał osobie trzeciej – E. P. – dane dotyczące jego osoby związane ze stanem zdrowia oraz chęcią wypowiedzenia umowy o pracę. Nadto wskazał, że M. B. uzyskał te informacje od bezpośredniego przełożonego Skarżącego, a także podczas szkolenia przeprowadzonego na jego temat przez pracodawcę. Końcowo podniósł, że w Spółce dochodzi do nieprawidłowości polegających na dostarczaniu zwolnień lekarskich przez pracowników Spółki, nawet po poinformowaniu pracodawcy o takim zwolnieniu. Pismem z dnia [...] października 2017 r. GIODO zwrócił się do Spółki o ustosunkowanie się do treści skargi, a w szczególności o wyjaśnienie: (1) czy, a jeśli tak, to kiedy, na jakiej podstawie prawnej, z jakiego źródła, w jakim celu i zakresie Spółka pozyskała dane osobowe Skarżącego; (2) czy, a jeśli tak, to na jakiej podstawie prawnej, w jakim zbiorze danych, w jakim celu i zakresie Spółka przetwarza aktualnie dane osobowe Skarżącego; (3) czy Spółka udostępniła dane osobowe Skarżącego na rzecz E. P., jeżeli tak, to na jakiej podstawie prawnej, w jakim zakresie i celu. W odpowiedzi Spółka wyjaśniła w piśmie z dnia 30 października 2017 r., że wszystkie dane osobowe przetwarza zgodnie z ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2016 r., poz. 922 ze zm.; zwanej dalej: "u.o.d.o. z 1997 r."), a także na podstawie przyjętego przez nią dokumentu "Polityka Bezpieczeństwa Danych Osobowych w Spółce". Dane osobowe Skarżącego – jako pracownika Spółki – są przetwarzane w zbiorze "Pracownicy T. Sp. z o.o." w związku z realizacją umowy o pracę, na podstawie przepisów: Kodeksu pracy, ustawy o systemie ubezpieczeń społecznych, ustawy o podatku dochodowym od osób fizycznych, ustawy o emeryturach i rentach z FUS, a także ustawy o zakładowym funduszu świadczeń socjalnych. Spółka wskazała również w jakim zakresie dane osobowe Skarżącego są przetwarzane. Ustosunkowując się z kolei do treści skargi podniosła, że przeprowadziła własne postępowanie wyjaśniające w związku z podejrzeniem incydentu bezpieczeństwa w Spółce, w ramach którego uzyskała oświadczenia od wskazanych przez Skarżącego pracowników, zgodnie z którymi, podczas szkolenia nie były przekazywane żadne dane osobowe Skarżącego, jak również materiały szkoleniowe nie zawierały takich danych. Ponadto Spółka przeprowadziła postępowanie wyjaśniające w zakresie przechowywania zaświadczeń lekarskich w jednostce terenowej w B., które nie wykazało żadnych nieprawidłowości. Konkludując wskazano, że Spółka nie ujawniała jakichkolwiek danych osobowych Skarżącego – E. P., która nie jest pracownikiem Spółki. Decyzją z dnia [...] października 2018 r. Prezes UODO odmówił uwzględnienia wniosku Skarżącego, powołując w podstawie prawnej przepisy: art. 18 u.o.d.o. z 1997 r. oraz art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j. Dz. U. z 2019 r., poz. 1781; zwanej dalej: "u.o.d.o. z 2018 r."). W uzasadnieniu organ przedstawił stan faktyczny sprawy oraz wskazał na dowody zebrane w toku przeprowadzonego postępowania wyjaśniającego, a następnie podniósł, że Skarżący – poza własnym oświadczeniem – nie przedstawił żadnych dowodów potwierdzających ujawnienie jego danych osobowych przez Spółkę osobie nieuprawnionej. W ocenie Prezesa, w sprawie brak jest niebudzących wątpliwości dowodów, które potwierdzałyby zarzuty Skarżącego, a tym samym potwierdzały, że doszło do naruszenia przepisów ustawy. Skarżący wystąpił z wnioskiem o ponowne rozpatrzenie sprawy zarzucając, że organ oparł się wyłącznie na oświadczeniach pracowników Spółki, która jest stroną przeciwną w sprawie. Natomiast nie uwzględnił dowodów przedstawianych przez Skarżącego, w szczególności nagrania rozmowy z W. D., z której wynika, że otrzymał polecenie przeprowadzenia szkolenia na temat Skarżącego. Ponadto organ nie przeprowadził dowodów z zeznań świadków, tj. E. P. oraz wskazanych przez Skarżącego pracowników Spółki. W toku postępowania odwoławczego organ uzyskał pisemne oświadczenia E. P. oraz wskazanych przez Skarżącego pracowników Spółki, a także dokonał odsłuchania nadesłanego nagrania rozmów Skarżącego z pracownikami Spółki. Nadto zwrócił się do Spółki o złożenie dodatkowych wyjaśnień, które Spółka zawarła w odpowiedzi z dnia [...] marca 2019 r. Zaskarżoną decyzją z dnia [...] czerwca 2019 r. Prezes UODO utrzymał w mocy decyzję własną z dnia [...] października 2018 r. W uzasadnieniu wskazał, że na podstawie przeprowadzonego postępowania wyjaśniającego nie można było stwierdzić, by doszło do wskazanych przez Skarżącego naruszeń w zakresie przetwarzania jego danych osobowych. Odnosząc się do zarzutu ujawnienia przez Spółkę danych osobowych Skarżącego osobie nieupoważnionej organ wskazał, że E. P. wyjaśniła w piśmie z dnia [...] lutego 2019 r., że nie zostały jej ujawnione jakiekolwiek informacje dotyczące Skarżącego. Prezes UODO zauważył wprawdzie, że Skarżący przedłożył oświadczenia dwóch innych osób, które miałyby potwierdzać okoliczność ujawnienia E. P. danych osobowych Skarżącego, jednakże z uwagi na to, że sama E. P. złożyła oświadczenie sprzeczne z tymi oświadczeniami, dowody te uznać należało za niewiarygodne. W zakresie zarzutu nieprawidłowego przetwarzania danych osobowych zawartych w zaświadczeniach lekarskich organ wyjaśnił, że to Skarżący dobrowolnie przekazywał zwolnienia lekarskie innym pracownikom Spółki celem ich dostarczenia pracodawcy w związku z obowiązkiem usprawiedliwienia nieobecności w pracy. Skoro zatem nastąpiło to zgodnie z wolą Skarżącego, to nie sposób dopatrzeć się naruszeń ze strony Spółki. Ponadto, w oparciu o wyjaśnienia i dowodowy przedłożone przez Spółkę, Prezes UODO stwierdził, że w Spółce nie dochodziło do żadnych nieprawidłowości w zakresie przetwarzania danych zawartych w zwolnieniach lekarskich, zaś wszystkie osoby, które zajmowały się ewidencjonowaniem i rozliczaniem czasu pracy pracowników Spółki, posiadały wymagane upoważnienia do przetwarzania danych osobowych. Jeżeli chodzi natomiast o zarzut ujawnienia danych osobowych Skarżącego podczas szkoleń organizowanych wśród pracowników Spółki, to na podstawie oświadczeń pracowników prowadzących szkolenia stwierdzić jednoznacznie należało, że nie były ujawniane jakiekolwiek dane osobowe Skarżącego, jak również danych takich nie zawierały materiały szkoleniowe. Organ zauważył przy tym, że przedstawione przez Skarżącego nagranie z rozmowy z W. D. nie potwierdza, by podczas szkoleń były przekazywane jakiekolwiek dane osobowe Skarżącego. Reasumując Prezes UODO podniósł, że brak jest dowodów potwierdzających, że doszło do naruszenia przez Spółkę przepisów u.o.d.o. z 1997 r. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na decyzję Prezesa UODO z dnia [...] czerwca 2019 r. Skarżący wniósł o jej uchylenie, a także o zasądzenie kosztów postępowania, zarzucając naruszenie przepisów postępowania, tj. art. 7, art. 35 § 1 i § 3, art. 50 § 1, art. 73 § 3, art. 75 § 1 i § 2, art. 77 § 1, § 2, § 3 i § 4, art. 79 § 1 i § 2, art. 83 § 3, art. 238 § 1 i art. 256 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (t. j. Dz. U. z 2018 r., poz. 2096 ze zm.; zwanej dalej: "k.p.a."). Rozwijając zarzuty podniósł, że organ nie dotrzymał terminów załatwienia sprawy, w szczególności postępowanie odwoławcze trwało 8 miesięcy. Wskazał również, że Prezes UODO nie wezwał wskazanych osób do złożenia wyjaśnień niezbędnych do rozstrzygnięcia sprawy, lecz oparł się jedynie na oświadczeniach złożonych wobec Spółki, zatem ich pracodawcy i jednocześnie strony postępowania. Zarzucił również, że organ nie uznał za dowody mogące przyczynić się do wyjaśnienia sprawy zeznań wskazanych przez niego świadków, w szczególności A. S. i H. P. Zauważył przy tym, że żadne z oświadczeń pozyskanych w toku postępowania nie zostało złożone pod rygorem odpowiedzialności za fałszywe zeznania. Nadto podniósł, że upoważnienia do przetwarzania danych, które zostały okazane organowi przez Spółkę – nie są zgodne z wzorem określonym w dokumencie "Polityka Bezpieczeństwa Danych Osobowych w Spółce". W odpowiedzi za skargę organ wniósł o jej oddalenie ponawiając argumentację zaprezentowaną w zaskarżonej decyzji. Pismem z dnia [...] stycznia 2020 r. Spółka, działając jako uczestnik postępowania, przyłączyła się do stanowiska organu wyrażonego w odpowiedzi na skargę i wniosła o jej oddalenie. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2019 r., poz. 2325; zwanej dalej: "p.p.s.a."), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Oznacza to, iż zadaniem wojewódzkiego sądu administracyjnego jest zbadanie legalności zaskarżonego aktu pod względem jego zgodności z prawem, to znaczy ustalenie czy organ orzekający w sprawie prawidłowo zinterpretował i zastosował przepisy prawa w odniesieniu do właściwie ustalonego stanu faktycznego. Kontrolując sprawę w ramach swoich kompetencji, Sąd uznał, że skarga nie zasługuje na uwzględnienie, bowiem zaskarżona decyzja mieści się w granicach prawa. W pierwszej kolejności przypomnieć należy, że od dnia 25 maja 2018 r. w polskim porządku prawnym obowiązuje u.o.d.o. z 2018 r., niemniej jednak, zgodnie z przepisem przejściowym, zawartym w art. 160 ust. 2, postępowania prowadzone przez GIODO, wszczęte i niezakończone przed dniem wejścia w życie ustawy z 2018 r. prowadzi się na podstawie ustawy uchylanej, zgodnie z zasadami określonymi w k.p.a. W orzecznictwie podkreśla się przy tym, że przepis ten odnosi się wyłącznie do "prowadzenia postępowania", zatem dotyczy tylko regulacji o charakterze procesowym, natomiast wobec braku przepisu intertemporalnego, który wyraźnie odsyła do regulacji materialnych decydujące znaczenie dla stosowania prawa materialnego ma okoliczność czy naruszenie będące przedmiotem sprawy ustało czy też trwa ono nadal (zob. szerzej: wyrok WSA w Warszawie z dnia 7 sierpnia 2019 r. o sygn. akt II SA/Wa 569/19; orzeczenia sądów administracyjnych są dostępne w internetowej bazie orzeczeń pod adresem: http://orzeczenia.nsa.gov.pl). Nie jest kwestionowane w realiach niniejszej sprawy, że wskazywane przez Skarżącego zdarzenia już nastąpiły, a zatem nie sposób przyjąć, by trwały one w dacie wydania zaskarżonej decyzji. W konsekwencji prawidłowo Prezes UODO odwołał się w podstawie prawnej decyzji do materialnych przepisów u.o.d.o. z 1997 r., z uwzględnieniem art. 160 ust. 1 i ust. 2 u.o.d.o. z 2018 r. Sąd stwierdza, że stan faktyczny kontrolowanej sprawy został prawidłowo ustalony przez organ i nie jest on sporny. Skarżący wystąpił do GIODO ze skargą z dnia 15 września 2017 r. na nieprawidłowości w procesie przetwarzanie jego danych osobowych przez Spółkę, polegające na trzech naruszeniach: ujawnieniu danych osobowych Skarżącego podczas szkolenia dla pracowników Spółki, odebrania zwolnienia lekarskiego od Skarżącego przez pracownika Spółki celem dostarczenia pracodawcy oraz udostępnienia danych osobowych Skarżącego osobie nieupoważnionej. Prezes UODO przeprowadził postępowanie administracyjne, w toku którego ustalił, że dane osobowe Skarżącego były przetwarzane przez Spółkę zgodnie z właściwymi przepisami prawa, natomiast Spółka nie dopuściła się żadnego z naruszeń wskazanych w skardze. Sąd podziela stanowisko organu, że brak jest dowodów by Spółka naruszyła regulacje dotyczące przetwarzania danych osobowych Skarżącego. W pierwszej kolejności przypomnieć należy, że skarga skierowana do GIODO dotyczyła ewentualnych naruszeń w przetwarzaniu danych osobowych przez – Spółkę. Tym samym Prezes UODO miał obowiązek zbadać, czy to Spółka, ewentualnie jej pracownicy działający w imieniu Spółki, dopuścili się jakichkolwiek nieprawidłowości w przetwarzaniu danych osobowych Skarżącego. Innymi słowy rzecz ujmując, w zakresie postępowania wyjaśniającego nie mieściły się zachowania osób fizycznych, które nie stanowiły działania w imieniu Spółki. Zgodnie bowiem z art. 3a ust. 1 pkt 1 u.o.d.o. z 1997 r., ustawy nie stosuje się do osób fizycznych, które przetwarzają dane wyłącznie w celach osobistych lub domowych. Oznacza to, że nawet jeśli jakieś osoby fizyczne dopuściły się przetwarzania danych osobowych Skarżącego, ale nie uczyniły tego w ramach działań podjętych w imieniu Spółki, to nie można stosować do takich osobistych zachowań przepisów u.o.d.o. z 1997 r. W stanie faktycznym niniejszej sprawy brak jest dowodów na to, by na polecenie Spółki dane osobowe Skarżącego były przetwarzane dla innych celów aniżeli wynikających z przepisów prawa. Z oświadczeń pracowników Spółki wynika bowiem, że nie ujawniali oni danych osobowych Skarżącego podczas szkolenia, zaś samo szkolenie i przygotowane na jego użytek materiały szkoleniowe nie dotyczyły Skarżącego. Również wskazana przez Skarżącego osoba – E. P., która miałaby pozyskać jego dane osobowe – jednoznacznie oświadczyła, że nie otrzymała od Spółki żadnych informacji dotyczących Skarżącego. Odnosząc się natomiast do dostarczania przez pracowników Spółki zaświadczeń lekarskich, zarówno tych Skarżącego, jak również wskazywanej w tym zakresie praktyki stosowanej w Spółce, podzielić należy stanowisko organu, że dobrowolne przekazanie zwolnienia lekarskiego innym pracownikom Spółki celem ich dostarczenia pracodawcy nie może być traktowane jako naruszenie, którego dopuszcza się Spółka. Przede wszystkim nie ujawniono takich dokumentów pochodzących od Spółki, które nakazywałyby czy też legalizowałyby taką praktykę, a ponadto Skarżący dobrowolnie przekazał dotyczący go dokument innemu pracownikowi Spółki, co prowadzi do przyjęcia, że nastąpiło to zgodnie z jego wolą. Dodać należy, że jeśli Skarżący dostrzegał w takiej praktyce niebezpieczeństwo ujawnienia jego danych osobowych, to mógł zabezpieczyć przekazywany dokument poprzez np. umieszczenie go w zamkniętej kopercie, ewentualnie odmówić jego przekazania i zrealizować obowiązek potwierdzenia zwolnienia lekarskiego w inny, prawem przewidziany sposób. Niezależnie od tego, zgromadzony w aktach sprawy materiał dowodzi, że wszyscy pracownicy Spółki, którzy przetwarzali dane osobowe Skarżącego, w tym mieli dostęp do zaświadczeń lekarskich, posiadali stosowne upoważnienia do przetwarzania danych osobowych pracowników Spółki. Nie można przy tym podzielić zarzutu skargi, że upoważnienia te były wadliwe, bowiem nie były zgodne z wzorem określonym w dokumencie "Polityka Bezpieczeństwa Danych Osobowych w Spółce". Jak się można domyślać, Skarżącemu chodziło o wzór określony w dokumencie wewnętrznym Spółki w jego "wersji drugiej" z dnia 3 czerwca 2016 r., gdy tymczasem załączone do akt upoważnienia udzielone zostały przed tą datą, co nie może prowadzić do przyjęcia, że straciły one swoją ważność, jeśli nie zostały odwołane przez Spółkę. Reasumując powyższe Sąd doszedł do przekonania, że w stanie faktycznym sprawy nie można było stwierdzić, by to Spółka – co raz jeszcze podkreślić należy – dopuściła się wskazanych przez Skarżącego naruszeń. Natomiast jeśli by nawet przyjąć, że jakieś osoby fizyczne, w tym będące pracownikami Spółki, czego przecież nie można wykluczyć, posługiwały się danymi osobowymi Skarżącego w relacjach natury prywatnej, to jak to już wyżej wskazno, takie osobiste zachowania tych osób pozostawały poza ochroną przewidzianą w u.o.d.o. z 1997 r. Istotne było bowiem to, że w toku postępowania nie ujawniły się okoliczności dowodzące, że to Spółka poleciła udostępnienie danych osobowych Skarżącego osobom nieupoważnionym, czy też by przetwarzała te dane w sposób naruszający prawo. Za niezasadne uznać należało podniesione przez Skarżącego zarzuty natury procesowej. W ocenie Sądu postępowanie Prezesa UODO było prawidłowe. Organ przeprowadził wymagane prawem postępowanie wyjaśniające wystarczające dla ustalenia okoliczności mających podstawowe znaczenie dla rozstrzygnięcia sprawy i dokonania oceny, czy zaszły prawem przewidziane warunki do wydania decyzji. Kluczowe bowiem w postępowaniu wyjaśniającym, toczącym się na podstawie przepisów postępowania administracyjnego, jest przeprowadzenie nie każdego (jakiegokolwiek) dowodu, ale takiego, który dotyczy okoliczności istotnych w sprawie, mających wpływ na treść rozstrzygnięcia. Oznacza to, że sytuacji, w której w świetle zebranego materiału dowodowego nie istnieją wątpliwości dla wydania rozstrzygnięcia kończącego, to organ nie jest obowiązany do przeprowadzania kolejnych dowodów, w tym wnioskowanych przez stronę, w szczególności, gdy uzna daną okoliczność za wystarczająco udowodnioną. Zgodzić należy się ze stanowiskiem wyrażonym w odpowiedzi na skargę, że dowody z oświadczeń zebranych przez Spółkę wystarczająco potwierdzały okoliczności w nich wskazane i nie sposób było odmówić im wiarygodności, co z kolei prowadzi do przyjęcia, że przeprowadzanie dowodów z przesłuchania świadków na okoliczności już udowodnione, nie było niezbędne dla rozstrzygnięcia sprawy. Przypomnieć należy, że zgodnie z regułą wyrażoną w art. 80 k.p.a., organ prowadzący postępowanie według swojej wiedzy, doświadczenia oraz wewnętrznego przekonania ocenia wartość dowodową poszczególnych środków dowodowych, wpływ udowodnienia jednej okoliczności na inne okoliczności. Oceniając wyniki postępowania dowodowego (wiarygodność i moc dowodów), organ powinien uwzględnić treść wszystkich przeprowadzonych i rozpatrzonych dowodów, wskazując w uzasadnieniu decyzji fakty, które uznał za udowodnione, dowody, na których się oparł oraz przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Analiza uzasadnienia zaskarżonej decyzji prowadzi do przyjęcia, że Prezes UODO dochował powyższych obowiązków i nie naruszył reguł swobodnej oceny dowodów. Trzeba również pamiętać, że organ nie może pominąć wskazywanych środków dowodowych, gdy nie zostały wyjaśnione sporne fakty mające znaczenie dla rozstrzygnięcia sprawy. W ocenie Sądu tego rodzaju sytuacja nie wystąpiła w postępowaniu, bowiem Prezes UODO przeprowadził wszystkie niezbędne dowody, w tym uzyskał pisemne wyjaśnienia Spółki, a także oświadczenia E. P. i wskazanych przez Skarżącego pracowników Spółki, a także dokonał odsłuchania nadesłanego nagrania rozmów Skarżącego z pracownikami Spółki. Nie mogły również znaleźć uznania zarzuty związane z przewlekłym prowadzeniem postępowania (niedotrzymaniem terminów załatwienie sprawy), bowiem zarzuty takie mogłyby mieć znaczenie wyłącznie w razie złożenia przez Skarżącego skargi na bezczynność organu lub przewlekłe prowadzenie postępowania, nie zaś w niniejszym postępowaniu, wywołanym skargą na decyzję administracyjną. Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie obowiązany był oddalić skargę, o czym orzekł – na podstawie art. 151 p.p.s.a. – w sentencji wyroku.