II SA/Wa 2101/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Izabela Głowacka-Klimas (spr.), Asesor WSA Arkadiusz Koziarski, po rozpoznaniu w trybie uproszczonym w dniu 21 maja 2024 r. sprawy ze skargi [...] Sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO, organ) decyzją z [...] września 2023 r. nr[...] , na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2023 r. poz. 775; dalej "Kpa."), art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) oraz na podstawie art. 5 ust. 1 lit. a i lit. b, art. 9 ust. 1 i 2, art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119 z 4.05.2016, str. 1, Dz.Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz.Urz. UE L 74 z 4.03.2021, str. 35; dalej RODO), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana A. B. (dalej także uczestnik), zam. przy ul.[...] , [...], na nieprawidłowości w procesie przetwarzania jego danych osobowych przez N. sp. z o.o. z siedzibą w [...] (dalej: spółka, skarżąca), polegające na przetwarzaniu danych dotyczących jego przynależności związkowej w procedurze rozpatrywania wniosków o przyznanie świadczeń socjalnych z Zakładowego Funduszu Świadczeń Socjalnych (dalej Fundusz), udzielił spółce upomnienia za naruszenie art. 9 ust. 1 oraz art. 5 ust. 1 lit. a i lit. b RODO, polegające na przetwarzaniu danych osobowych A. B. dotyczących jego przynależności związkowej w procedurze rozpatrywania wniosków o przyznanie świadczeń socjalnych z Funduszu bez podstawy prawnej. Wydaniu powyższej decyzji towarzyszył następujący stan sprawy. Do Urzędu Ochrony Danych Osobowych wpłynęła skarga A. B. na nieprawidłowości w procesie przewarzania jego danych osobowych przez spółkę, polegające na przetwarzaniu jego danych osobowych dotyczących jego przynależności związkowej w procedurze rozpatrywania wniosków o przyznanie świadczeń socjalnych z Funduszu. Zdaniem uczestnika spółka bezpodstawnie wraz z wnioskiem o przyznanie świadczeń z Funduszu przekazuje komisji socjalnej informacje ujawniające przynależność związkową. W jego ocenie dane dotyczące przynależności związkowej powinny być przetwarzane przez spółkę tylko w celach określonych w art. 31, 32 i 331 ustawy z 23 maja 1991 r. o związkach zawodowych (Dz.U. z 2022 r. poz. 854), zwanej dalej "ustawą o związkach". W związku z powyższym uczestnik wniósł o nakazanie spółce zaprzestania przetwarzania jego danych osobowych niezgodnie z przepisami prawa, w tym w innym celu niż zostały przekazane, usunięcia jego danych osobowych przetwarzanych bez podstawy prawnej oraz nałożenie na spółkę administracyjnej kary pieniężnej. Jak ustalono w toku postępowania wywołanego powyższą skargą, uczestnik jest zatrudniony w spółce od 1 maja 1999 r. oraz jest członkiem Międzyzakładowej Organizacji Związkowej NSZZ "Solidarność" N. sp. z o.o. Od 2008 r. aktywnie pełni funkcję członka zarządu ww. związku zawodowego – [...]. Spółka wskazała, że uczestnik z uwagi na pełnione funkcje w organizacji związkowej pośród pracowników spółki, jego przynależność związkowa jest faktem powszechnie znanym. Działanie Funduszu w spółce reguluje Regulamin Zakładowego Funduszu Świadczeń Socjalnych D. dla zakładu w [...] (obecnie N. sp. z o.o.) z [...] czerwca 2008 r., zwany dalej "Regulaminem ZFŚS". Spółka wskazała, że zgodnie z art. 27 ust. 2 ustawy o związkach przyznanie świadczeń z Funduszu jest dokonywane w uzgodnieniu z zakładową organizacją związkową oraz że przyznanie świadczeń z zakładowego funduszu świadczeń socjalnych jest sprawą o charakterze indywidualnym. Spółka wyjaśniła, że związki zawodowe w sprawach indywidualnych stosunków pracy reprezentują prawa i interesy wyłącznie swoich członków. Mając zatem na względzie zasadę negatywnej wolności związkowej, w ocenie spółki, konieczne było zidentyfikowanie, czyje (których pracowników) interesy może reprezentować dany związek zawodowy. Spółka oświadczyła, że w żadnym przypadku nie podejmowała decyzji w sprawie przyznania świadczeń (w tym ich wysokości) w oparciu o przynależność związkową pracownika, lecz wyłącznie w oparciu o kryteria określone w art. 8 ust. 1 ustawy z 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych (Dz.U. z 2022 r. poz. 923), zwanej dalej "ustawą o ZFŚS", tj. sytuację życiową, rodzinną i materialną osoby uprawnionej Spółka wskazała, że zgodnie z § 3 Regulaminu ZFŚS Komisja Socjalna składa się z czterech przedstawicieli Międzyzakładowej Organizacji Związkowej NSZZ "Solidarność" N. sp. z o.o. oraz jednego przedstawiciela pracodawcy. Wszyscy członkowie Komisji Socjalnej są osobami upoważnionymi do podejmowania działań określonych w Regulaminie ZFŚS oraz podpisały oświadczenia o zachowaniu poufności i nieudostępnianiu danych osobowych, do których dostęp uzyskują w związku z pełnioną funkcją. Zgodnie z Regulaminem ZFŚS przyjętym w spółce, Komisja Socjalna podejmuje decyzje o przyznaniu środków z Funduszu na posiedzeniu, z którego sporządzany jest protokół, natomiast decyzję w sprawie wydatkowania środków z Funduszu podejmuje ostatecznie pracodawca (spółka) po zapoznaniu się ze stanowiskiem Komisji Socjalnej i zakładowej organizacji związkowej. Jak podała spółka w dalszej części swoich wyjaśnień, podstawą prawną przetwarzania danych uczestnika dotyczących przynależności związkowej w procedurze rozpatrywania wniosków w ramach Funduszu jest art. 6 ust. 1 lit. c w zw. z art. 9 ust. 2 lit. b RODO, tj. w związku z niezbędnością przetwarzania takich danych osobowych do wypełnienia przez spółkę obowiązków w dziedzinie prawa pracy - współdziałania pracodawcy z zakładową organizacją związkową w indywidualnych sprawach ze stosunku pracy zgodnie z art. 232 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz.U. z 2020 r., poz. 1320 ze zm.), zwanej dalej "Kodeksem Pracy". Ponadto, spółka wskazała, że kolejnymi przepisami, które stanowią podstawę do przetwarzania ww. danych są art. 27 ust. 2 i art. 30 ust. 3 ustawy o związkach. W ocenie spółki dokonywanie uzgodnień w zakresie przyznania konkretnej osobie uprawnionej świadczenia z Funduszu, tj. realizacja obowiązku wynikającego z art. 27 ust. 2 ustawy o związkach stanowi sprawę o charakterze indywidualnym w rozumieniu art. 7 ustawy o związkach. Spółka wyjaśniła ponadto, że przekazane członkom Komisji Socjalnej dane były im niezbędne do realizacji obowiązku pracodawcy wskazanego w art. 27 ust. 2 ustawy o związkach w zw. z art. 8 ust. 1 ustawy o ZFŚS, tj. w celu zaopiniowania indywidualnych wniosków o przyznanie świadczeń pracownikom. Spółka wskazała, że członkowie Komisji Socjalnej reprezentują również organizację związkową, z którą pracodawca miał obowiązek dokonania uzgodnień w ramach przyznawania indywidualnych świadczeń jej członkom. Ze zgromadzonego w sprawie materiału dowodowego wynika, że uczestnik złożył do Komisji Socjalnej spółki między innymi 22 marca 2022 r. wniosek o przyznanie dofinansowania z funduszu socjalnego z uwagi na zwiększone wydatki w okresie wiosennym. W uzasadnieniu wymienionej na wstępie decyzji Prezes UODO wyjaśnił, że RODO określa obowiązki administratora, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tym rozporządzeniu. Przedmiotem niniejszego postępowania jest ocena legalności procesu przetwarzania danych osobowych uczestnika w zakresie informacji o jego przynależności związkowej przez spółkę, będącą jego pracodawcą w ramach działającej procedury rozpatrywania wniosku o świadczenie z Funduszu przez Komisję Socjalną. Jak podał organ, dane osobowe w zakresie informacji o przynależności do związku zawodowego stanowią szczególne kategorie danych. Zgodnie z art. 9 ust. 1 RODO przetwarzanie takich danych jest, co do zasady zabronione, o ile nie zostanie spełniona przesłanka legalizująca ten proces wymieniona w art. 9 ust. 2 RODO. Katalog przesłanek wymienionych w art. 9 ust. 2 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przestanki te, co do zasady, są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Wskazać również należy, że wszelkie formy przetwarzania danych osobowych muszą odbywać się zgodnie z zasadami wymienionymi w art. 5 ust. 1 RODO. Dane osobowe powinny być przetwarzane m.in. w sposób rzetelny oraz zgodny z prawem (art. 5 ust. 1 lit. a RODO). W toku postępowania spółka, będąca pracodawcą uczestnika wyjaśniła, że przekazywała do rozpatrzenia członkom Komisji Socjalnej wraz z wnioskami osób uprawnionych do korzystania ze świadczeń socjalnych informacje o przynależności wnioskodawców, m.in. uczestnika, do związku zawodowego. Spółka wyjaśniła, że odbywało się to w celu wypełnienia przez nią jako pracodawcy, obowiązków wynikających z prawa pracy, w szczególności konieczności współdziałania pracodawcy z zakładową organizacją związkową w indywidualnych sprawach ze stosunku pracy zgodnie z art. 232 Kodeksem Pracy. Spółka wyjaśniła, że podstawa prawna przetwarzania danych osobowych uczestnika w zakresie informacji o przynależności związkowej w procedurze przyznawania świadczeń z funduszu socjalnego wynika z art. 6 ust. 1 lit. c w zw. z art. 9 ust. 2 lit. b RODO w zw. z art. 27 ust. 2 ustawy o związkach w zw. z art. 232 Kodeksu Pracy i art. 30 ust. 3 ustawy o związkach. Jednocześnie spółka zaznaczyła, że przynależność związkowa nie była brana pod uwagę jako kryterium warunkujące przyznawanie świadczenia socjalnego. Zdaniem Prezesa UODO oparcie przetwarzania danych uczestnika w zakresie informacji o przynależności do związku zawodowego przez spółkę na powyższych przepisach jest niezasadne i nie można mu przyznać przymiotu legalności. Podkreślenia wymaga, że kwestionowany proces przetwarzania dotyczy działania spółki, jako pracodawcy, w imieniu którego Komisja Socjalna przetwarzała dane osobowe uczestnika. Organ po przeanalizowaniu wyjaśnień złożonych przez spółkę i przedstawionej w niej argumentacji zauważył pewne niezrozumienie przez spółkę istoty postępowania i problemu zasygnalizowanego przez uczestnika, bowiem zarzut przez niego wystosowany dotyczy przetwarzania przez spółkę, jako administratora danych osobowych w zakresie przynależności związkowej w procedurze rozpatrywania jego wniosku o świadczenie socjalne, natomiast argumentacja użyta przez spółkę odnosi się do przetwarzania danych przez organizację związkową, a nie to jest przedmiotem niniejszego postępowania. W ocenie organu przyjęcie przedstawionej w wyjaśnieniach spółki argumentacji wynika z faktu błędnego założenia przez spółkę, że członkowie Komisji Socjalnej, będący jednocześnie członkami Związku Zawodowego, przetwarzają dane osobowe osób składających wniosek o świadczenie socjalne, w tym uczestnika, w ramach działalności związkowej i są uprawnione do tego w oparciu o przepisy szczególne ustaw, w tym art. 27 ust. 1 i 2 ustawy o związkach. Takie wnioskowanie oraz rozumienie istoty zagadnienia jest błędne, bowiem administratorem danych osobowych przetwarzanych przez Komisję Socjalną w ramach Funduszu jest spółka, jako pracodawca, niezależnie od tego, czy w skład Komisji wchodzą przedstawiciele organizacji związkowej czy też nie. Równocześnie organ zwrócił uwagę, że jego kompetencje nadzorcze mają zastosowanie wyłącznie w odniesieniu do przetwarzania danych osobowych, natomiast kwestie dotyczące stosowania przepisów prawa pracy i uzgadniania świadczeń z Fundusz, nie podlegają ocenie Prezesa UODO, który może zasygnalizować błędne, w jego uznaniu, stosowanie przez spółkę czy rozumienie przepisów, natomiast rozstrzygnięcie w sprawie odnosić się może wyłącznie do kwestii związanych z procesem przetwarzania danych osobowych przez spółkę w kwestionowany przez uczestnika sposób. Aby móc dokonać oceny procesu przetwarzania przez spółkę danych osobowych uczestnika w zakresie informacji o jego przynależności związkowej w procedurze przyznawania świadczenia socjalnego, koniecznym jest wyjaśnienie roli spółki, jako administratora danych osobowych uczestnika. W pierwszej kolejności organ zwrócił uwagę, że pracodawca, którym jest spółka, jest uprawniony do przetwarzania informacji o przynależności związkowej pracownika wyłącznie w określonym celu, który wynika z konieczności realizacji obowiązków wynikających z art. 331 ustawy o związkach. Przepis stanowi, że pracodawca, na pisemny wniosek zakładowej organizacji związkowej i za pisemną zgodą osoby wykonującej pracę zarobkową, jest obowiązany pobierać z wynagrodzenia tej osoby składkę związkową w zadeklarowanej przez nią wysokości. W toku postępowania zostało ustalone, że od 2008 r. spółka przetwarza dane osobowe uczestnika o jego przynależności związkowej w związku z jego deklaracją złożoną na podstawie art. 331 ust. 1 ustawy o związkach. Wobec tego pozyskanie danych przez spółkę oparte było o art. 9 ust 2 lit. b RODO, zgodnie z którym przetwarzanie jest zgodne z prawem, gdy jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą w dziedzinie prawa pracy. Organ stwierdził, że zgodnie z art. 5 ust. 1 lit. b RODO, dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami. Spółka pozyskała dane osobowe uczestnika o jego przynależności związkowej w celu potrącenia składek związkowych i dane te nie powinny być przetwarzane w innym celu niż zebrane, co miało miejsce w odniesieniu do danych uczestnika, w szczególności dane o przynależności do organizacji związkowej nie powinny być w niniejszym przypadku przetwarzane przez pracodawcę w procedurze rozpatrywania wniosku o świadczenie socjalne. Organ ponownie wskazał, że w przedmiotowej sprawie uczestnik kwestionuje przetwarzanie danych osobowych w zakresie informacji o jego przynależności do związku zawodowego przez spółkę (działającą w jej imieniu Komisję Socjalną) w ramach procedury przyznawania świadczenia socjalnego. Organ podał, że administratorem danych przetwarzanych przez Komisję Socjalną, działającą z ramienia pracodawcy w procedurze rozpatrywania wniosku o świadczenie socjalne jest niezmiennie pracodawca. Wyjaśnił, że zgodnie z art. 3 ustawy o ZFŚS to pracodawca ma obowiązek tworzenia funduszu socjalnego w zakładzie pracy. Środki z Funduszu są przeznaczane na działalność socjalną, czyli zgodnie z art. 2 ust. 1 tej ustawy usługi świadczone przez pracodawców na rzecz różnych form wypoczynku, działalności kulturalno-oświatowej, sportowo-rekreacyjnej, opieki nad dziećmi w żłobkach, klubach dziecięcych, sprawowanej przez dziennego opiekuna lub nianię, w przedszkolach oraz innych formach wychowania przedszkolnego, udzielanie pomocy materialnej - rzeczowej lub finansowej, a także zwrotnej lub bezzwrotnej pomocy na cele mieszkaniowe na warunkach określonych umową. Dysponentem środków z Funduszu, czyli podmiotem odpowiedzialnym za ich rozdzielanie i administrowanie nimi jest pracodawca, co wynika z art. 10 ustawy o ZFŚS. Kryterium przyznawania świadczeń socjalnych jest, zgodnie z art. 8 ust. 1 ustawy o ZFŚS sytuacja życiowa, rodzinna i materialna osoby uprawnionej do korzystania z Funduszu. Oznacza to, że Komisja Socjalna rozpatrując wniosek o świadczenie socjalne może przetwarzać tylko takie dane, które są niezbędne do jego rozpatrzenia. Spółka wyjaśniła, że przynależność do związku zawodowego nie jest kryterium istotnym dla rozpatrzenia wniosku w ramach procedury, w związku z czym organ uznał, że informacja o przynależności uczestnika do organizacji związkowej jest zbędna dla rozpatrzenia przez Komisję Socjalną wniosku o świadczenie socjalne. Organ nie zgodził się z wyjaśnieniami spółki, jakoby fakt, że wnioskodawca - uczestnik - przynależy do związku zawodowego był istotny dla członków Komisji Socjalnej. Wskazał, że sprawami Funduszu zajmuje się Komisja Socjalna (§ 3 Regulaminu ZFŚS obowiązującego od 1 lipca 2008 r. w dacie rozpatrywania wniosku uczestnika). Zgodnie z § 3 pkt 1 i 2 tego Regulaminu Komisja Socjalna składa się z pięciu członków, w tym przedstawiciela pracodawcy. Członkiem Komisji może być osoba niezrzeszona w Zakładowej Organizacji Związkowej. Zdaniem organu fakt, że członkiem Komisji Socjalnej może być osoba zrzeszona w organizacji związkowej, nie oznacza, że członek związku zawodowego, będący równocześnie członkiem Komisji Socjalnej realizuje jednocześnie cele statutowe i ustawowe związku zawodowego i tym samym reprezentuje interesy związku zawodowego i w związku z tym posiada uprawnienia wynikające z art. 27 ust. 1 i 2 ustawy o związkach. Komisja Socjalna, a więc jej członkowie, działają subsydiarnie w imieniu pracodawcy i na jego rzecz, natomiast z posiedzenia Komisji sporządzany jest protokół, który jest przekazywany do zaopiniowania Organizacji Związkowej i to w tym dopiero momencie organizacja związkowa posiada uprawnienie do wypowiedzenia się odnośnie do prac Komisji Socjalnej i mogą mieć zastosowanie przepisy art. 27 ust. 1 i 2 ustawy o związkach. Spółka natomiast, niesłusznie w ocenie organu, twierdzi, że przedstawiciele organizacji związkowej, będący jednocześnie członkami Komisji Socjalnej, realizują uprawnienia organizacji związkowej do ochrony interesów swoich członków. Prezes UODO uznał, że członkowie Komisji Socjalnej, którzy są jednocześnie członkami związku zawodowego, nie są uprawnieni do aprobaty tych uzgodnień. Zwrócił uwagę, że konieczne jest rozróżnienie kwestii bycia członkiem Komisji Socjalnej i reprezentantem Zakładowej Organizacji Związkowej uprawnionym do zaopiniowana protokołu Komisji Socjalnej (zgodnie z § 3 pkt 9 Regulaminu ZFŚS obowiązującego od 1 lipca 2008 r.). Członek Komisji Socjalnej przetwarza dane osobowe w imieniu administratora, czyli pracodawcy. Organ odniósł się również do powołanego przez spółkę na poparcie swoich twierdzeń, przepisu art. 30 ust. 3 ustawy o związkach, zgodnie z którym w indywidualnych sprawach ze stosunku pracy, w których przepisy prawa pracy zobowiązują pracodawcę w rozumieniu art. 3 Kodeksu Pracy do współdziałania z zakładową organizacją związkową przed podjęciem działania, pracodawca w rozumieniu art. 3 Kodeksu Pracy, jest obowiązany zwrócić się do tej organizacji o informację o pracowniku korzystającym z jej obrony, zgodnie z ust. 1 i 2. Nieudzielenie tej informacji w terminie 5 dni od dnia otrzymania przez zakładową organizację związkową wniosku zwalnia pracodawcę w rozumieniu art. 3 Kodeksu Pracy z obowiązku współdziałania z zakładową organizacją związkową w sprawach dotyczących tego pracownika. O ile, co do ogólnej zasady, związek zawodowy reprezentuje swoich członków w sprawach dotyczących stosunku pracy, to świadczenie socjalne należne z Funduszu nie jest świadczeniem wynikającym ze stosunku pracy. Prezes UODO podzielił w tej kwestii ugruntowane w orzecznictwie stanowisko, zgodnie z którym świadczenia socjalne nie są elementem stosunku pracy. Ze środków Funduszu finansuje się świadczenia niewynikające z warunków wynagradzania za pracę oraz niezależne od wyników i jakości wykonywanej pracy (tak: wyrok Sądu Apelacyjnego w Szczecinie o sygn. III AUa 730/12, dostępny pod adresem: https://sip.lex.pI/#/jurisprudence/521415758?cm=DOCUMENT), co oznacza, że przy podziale środków z Funduszu związek zawodowy nie może reprezentować swoich członków do czego jest uprawniony zgodnie z art. 7 ust. 2 i art. 30 ust. 3 ustawy o związkach, bowiem rozdysponowanie środków z Funduszu nie jest działaniem w indywidualnej sprawie ze stosunku pracy. Równocześnie organ zwrócił uwagę na błędną w jego ocenie, interpretację przez spółkę treści art. 27 ust. 1 i 2 ustawy o związkach. Przepis ust. 1 stanowi, że ustalanie zasad wykorzystania zakładowego funduszu świadczeń socjalnych, w tym podział środków z tego funduszu na poszczególne cele i rodzaje działalności, ustala pracodawca w regulaminie uzgodnionym z zakładową organizacją związkową. Natomiast z ust. 2 wynika, że przyznawanie świadczeń z funduszu, o którym mowa w ust. 1, jest dokonywane w uzgodnieniu z zakładową organizacją związkową. W ocenie organu nie oznacza to, że pracodawca zobligowany jest konsultować indywidualne rozdysponowanie środków z Funduszu ze związkami zawodowymi, jak również udostępniać na ich rzecz danych osobowych osób korzystających ze świadczeń. Przyznanie świadczenia socjalnego oparte jest na obiektywnej ocenie czynników życiowych, rodzinnych i materialnych i nie jest konieczna, wbrew twierdzeniu spółki, wiedza związków zawodowych, komu i w jakiej kwocie przyznane zostało świadczenie socjalne. Prezes UODO wyjaśnił, że ocena dokonywana przez organ w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. Na podstawie wspomnianego przepisu Prezesowi UODO przysługują uprawnienia naprawcze, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów RODO przez operacje przetwarzania (lit. b). Mając powyższe na uwadze, Prezes UODO uznał, że w realiach niniejszej sprawy, biorąc pod uwagę nieodwracalny charakter naruszenia danych osobowych oraz posiadanie przez spółkę odrębnej podstawy do przetwarzania danych osobowych uczestnika w zakresie informacji o przynależności związkowej wynikającej z art. 9 ust. 2 lit. b RODO w zw. z art. 331 ustawy o związkach w celu potrącenia składek związkowych, wystarczającym jest zastosowanie wobec spółki upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 9 ust. 1 i art. 5 ust. 1 lit. a i lit. b RODO, polegające na przetwarzaniu przez spółkę danych osobowych uczestnika w zakresie jego przynależności do związków zawodowych w procedurze przyznawania świadczenia socjalnego bez podstawy prawnej, niezgodnie z celem przetwarzania. Odnosząc się do żądania uczestnika w zakresie nałożenia administracyjnej kary pieniężnej na spółkę, organ stwierdził, że nie podlega ono uwzględnieniu. Wskazał, że jako organ nadzorczy korzysta z przysługujących mu na mocy art. 58 ust. 2 RODO uprawnień naprawczych, między innymi w zakresie zastosowania administracyjnej kary pieniężnej na mocy art. 83 RODO zależnie od okoliczności konkretnej sprawy (art. 58 ust. 2 lit. i RODO). Jednakże powyższe uprawnienie naprawcze należy do autonomicznych kompetencji Prezesa UODO. W związku z powyższym ostateczną decyzję o nałożeniu administracyjnej kary pieniężnej na administratora, organ podejmuje samodzielnie na podstawie analizy materiału dowodowego danej sprawy. Wskazane powyżej czynności nie są podejmowane przez Prezesa UODO na wniosek strony składającej skargę. Skarżąca, reprezentowana przez radcę prawnego, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na podaną na wstępie decyzję Prezesa UODO z [...] września 2023 r. Zaskarżonej decyzji zarzucono naruszenie przepisów postępowania mające wpływ na wynik sprawy, a to art. 7, 77 § 1 i 80 Kpa. polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego, co skutkowało niesłusznym uznaniem, że skarżąca przetwarzała dane osobowe uczestnika w procedurze rozpatrywania wniosków o przyznanie świadczeń socjalnych z Funduszu i w konsekwencji udzieleniem skarżącej upomnienia. Ponadto zarzucono naruszenie prawa materialnego, w postaci: 1. art. 9 ust. 1 w zw. z art. 5 ust. 1 lit. a i lit. b RODO poprzez ich niewłaściwe zastosowanie i uznanie, że przetwarzanie danych osobowych przez skarżącą odbywało się niezgodnie z prawem, 2. art. 5 ust. 1 lit. b RODO poprzez jego błędną wykładnię i uznanie, że przepis ten sprzeciwia się przetwarzaniu danych osobowych w innym celu niż cel, dla którego zostały zebrane, podczas gdy przepis ten zabrania przetwarzania danych jedynie w celach niezgodnych z celem pierwotnym, 3. art. 3 ust. 1 ustawy o związkach poprzez jego niezastosowanie i nieuwzględnienie wynikającej z tego przepisu zasady negatywnej wolności związkowej, której obowiązek przestrzegania skutkował niezbędnością do przetwarzania danych osobowych szczególnych kategorii w postaci informacji o przynależności związkowej uczestnika, 4. art. 6 ust. 1 lit. c w zw. z art. 9 ust. 2 lit. b RODO w zw. z art. 27 ust. 2 ustawy o związkach w zw. z art. 232 Kodeksu Pracy i art. 30 ust. 3 ustawy o związkach poprzez ich niezastosowanie, podczas gdy przepisy te przewidują uprawnienie pracodawcy do przetwarzania informacji o przynależności związkowej pracowników i stanowią podstawę prawną przetwarzania w tym zakresie, 5. art. 4 pkt 7 RODO w zw. z art. 27 ust. 2 ustawy o związkach w zw. z art. 232 Kodeksu Pracy poprzez ich błędną wykładnię skutkującą uznaniem, że przedstawiciele organizacji związkowej wchodzący w skład Komisji Socjalnej działają subsydiarnie w imieniu pracodawcy, podczas gdy przedstawiciele związku zawodowego reprezentują go w ramach procedury przyznawania świadczeń jako przedstawiciele organizacji związkowej w związku z przysługującymi jej uprawnieniami i w tym zakresie organizacja związkowa jest odrębnym administratorem danych osobowych, 6. art. 58 ust. 2 lit. b RODO poprzez jego zastosowanie i udzielenie skarżącej upomnienia, pomimo braku naruszenia przepisów o ochronie danych osobowych przy przetwarzaniu danych uczestnika. Mając na uwadze powyższe zarzuty, wniesiono o uchylenie zaskarżonej decyzji w całości, zasądzenie od organu na rzecz skarżącej kosztów postępowania, w tym kosztów zastępstwa procesowego według norm prawem przepisanych, rozpoznanie sprawy w postępowaniu uproszczonym. W obszernym uzasadnieniu skargi rozwinięto argumentację sformułowaną na rzecz postawionych w niej zarzutów. W odpowiedzi na skargę organ wniósł o jej oddalenie i odniósł się do zawartych w niej zarzutów. Wojewódzki Sąd Administracyjny zważył co następuje: Skarga nie jest zasadna albowiem zaskarżona decyzji nie narusza prawa. Wszelkie formy przetwarzania danych osobowych muszą odbywać się zgodnie z zasadami wymienionymi w art. 5 ust.1 RODO Nie jest sporne miedzy stronami ,że skarżąca przetwarzała dane Pana A. B. ,w tym dane o jego przynależności związkowej w procedurze rozpatrywania wniosków o przyznanie świadczeń socjalnych z zakładowego Funduszu Świadczeń Socjalnych. W tym miejscu należy podzielić stanowisko organu, że dane osobowe zakresie informacji o przynależności do związku zawodowego stanowią szczególna kategorie danych , do których ma zastosowanie art. 9 RODO. Zgodnie z art. 9 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO), zabrania się przetwarzania m.in. danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych a także danych genetycznych, biometrycznych, danych dotyczących zdrowia, seksualności lub orientacji seksualnej osoby fizycznej. Te tzw. szczególne kategorie danych osobowych podlegają kwalifikowanej ochronie i mogą być przetwarzane jedynie na gruncie ust. 2 artykułu 9 rozporządzenia. Zgodnie z motywem 75 rozporządzenia, ryzyko naruszenia praw i wolności osób może wynikać w szczególności z przetwarzania danych ujawniających poglądy polityczne, a co za tym idzie, wymaga ono wdrożenia odpowiednich zabezpieczeń i regulacji prawnych. Powyższy zakaz nie ma charakteru bezwzględnego. Wyjątek od niego przewiduje art. 9 ust. 2 RODO, który zawiera zamknięty katalog przesłanek legalizujących przetwarzanie ww. szczególnej kategorii danych osobowych. Skarżąca wskazała ,że przetwarzała dane osobowe skarżącego w oparciu o art. 9 ust. 2 RODO. Dla stwierdzenia dopuszczalności przetwarzania szczególnych kategorii danych w oparciu o omawianą przesłankę art. 9 ust. 2 RODO nie wystarczy wykazanie realizacji jednego z wymienionych w tym przepisie celów; potrzeba jeszcze istnienia szczególnego przepisu prawa (unijnego bądź krajowego) albo umowy, na podstawie których przetwarzanie tego rodzaju danych jest dopuszczalne (vide P. Fajgielski Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, opublikowany w Systemie Informacji Prawnej LEX, WKP 2022, komentarz do art. 9). Skarżąca uczyniła temu zadość wskazała ,że przetwarzała dane osobowe skarżącego w oparciu o art. 9 ust. 2 lit. b RODO, tj. w związku z niezbędnością przetwarzania takich danych osobowych do wypełnienia przez spółkę obowiązków w dziedzinie prawa pracy - współdziałania pracodawcy z zakładową organizacją związkową w indywidualnych sprawach ze stosunku pracy zgodnie z art. 232 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz.U. z 2020 r., poz. 1320 ze zm.), zwanej dalej "Kodeksem Pracy". Ponadto, spółka wskazała, że kolejnymi przepisami, które stanowią podstawę do przetwarzania ww. danych są art. 27 ust. 2 i art. 30 ust. 3 ustawy o związkach. W ocenie spółki dokonywanie uzgodnień w zakresie przyznania konkretnej osobie uprawnionej świadczenia z Funduszu, tj. realizacja obowiązku wynikającego z art. 27 ust. 2 ustawy o związkach stanowi sprawę o charakterze indywidualnym w rozumieniu art. 7 ustawy o związkach. Rolą organu była ocena, czy rzeczywiście wskazane przez skarżącą przepisy zezwalają na przetwarzanie danych osobowych w zakresie przynależności związkowej w procesie przyznawania świadczeń z Zakładowego Funduszu Świadczeń Socjalnych. Zdaniem Sądu organ prawidłowo przyjął ,że wskazane przez skarżącą spółkę przepisy nie legitymizują przetwarzania danych osobowych w zakresie przynależności związkowej w procesie przyznawania świadczeń z Zakładowego Funduszu Świadczeń Socjalnych. Wskazane przepisy ustawy o związkach zawodowych określają bowiem prawa i obowiązki związków zawodowych wynikające z faktu ,że reprezentują one swoich członków w postepowaniach ze stosunku pracy, nie wskazują one natomiast na konieczność przetwarzania danych osobowych skarżącego w procedurze przyznawania świadczeń socjalnych ,która jedynie pośrednio ma związek ze stosunkiem pracy , gdyż przyznawane jest pracownikowi. W tym miejscu Sąd podkreśla, że skarżąca spółka jako administrator danych osobowych uczestnika w zakresie przynależności do związków zawodowych jest uprawniona do przetwarzania danych uczestnika w zakresie określonym w art.33¹ ustawy o związkach zawodowych ,a więc w zakresie pobierania z wynagrodzenia tej osoby składki związkowej w zadeklarowanej przez nią wysokości. Tak więc należy przyznać rację organowi, że w niniejszej sprawie doszło do przetwarzania danych wrażliwych uczestnika postępowania w zakresie przynależności związkowej bez podstawy prawnej. Organ uprawniony więc był do zastosowania wobec skarżącej spółki uprawnienia naprawczego z art.58 ust.2 lit.b RODO tj. udzielenia skarżącej spółce upomnienia. Sąd nie dopatrzył się również naruszenia wskazanych w skardze przepisów postępowania administracyjnego. Materiał dowodowy w sprawie został zgromadzony w sposób prawidłowy, dokonano jego rzetelnej analizy przez pryzmat przepisów RODO i ustawy o związkach zawodowych oraz kodeksu pracy . Biorąc powyższe pod rozwagę Sąd oddalił skargę działając na podstawie art.151 p.p.s.a. ----------------------- 4