II SA/Wa 247/10

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący: Sędzia WSA Jacek Fronczyk (spr.) Sędzia WSA Ewa Pisula - Dąbrowska Sędzia WSA Olga Żurawska - Matusiak Protokolant Elwira Sipak po rozpoznaniu na rozprawie w dniu 8 lipca 2010 r. sprawy ze skargi D. Sp. z o.o. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] grudnia 2009 r. nr [...] w przedmiocie ochrony danych osobowych 1) uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] września 2009 r. nr [...]; 2) zaskarżona decyzja nie podlega wykonaniu w całości; 3) zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz skarżącej D. Sp. z o.o. z siedzibą w W. kwotę [...], tytułem zwrotu kosztów postępowania. Decyzją z dnia [...] września 2009 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych, mając za podstawę art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (t. j.: Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.), art. 12 pkt 2, art. 18 ust. 1 pkt 1 i pkt 6, art. 22 w związku z art. 26 ust. 1 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), po przeprowadzeniu postępowania administracyjnego w sprawie przetwarzania danych osobowych przez D. Sp. z o.o. z siedzibą w W., nakazał Spółce usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez: 1. zaprzestanie pozyskiwania danych osobowych kandydatów do pracy na stanowisko [...] lub [...] za pomocą testów przeprowadzanych w systemie informatycznym o nazwie [...], znajdującym się pod adresem [...]; 2. usunięcie danych osobowych kandydatów do pracy na stanowisko [...] lub [...], pozyskanych za pomocą testów przeprowadzanych w systemie informatycznym o nazwie [...], znajdującym się pod adresem [...]. W motywach rozstrzygnięcia GIODO wyjaśnił, że w toku kontroli ustalono, iż niektórzy kandydaci do pracy na stanowisko [...] oraz [...], jeżeli kierownik danej komórki organizacyjnej stwierdzi, że jest to zasadne, poddawani są testom określającym przydatność do wykonywania pracy na ww. stanowiskach, przeprowadzanym za pomocą aplikacji znajdującej się pod adresem [...]. Treść wydruków przykładowych wyników testów wskazuje, iż powyższy system określa cechy kandydata do pracy w następujących kategoriach: prawdomówność, kradzież (czy ma tendencje do kradzieży mienia/pieniędzy), obsługa klienta (czy jest agresywny, niecierpliwy, niegrzeczny czy też pomocny, grzeczny, bezkonfliktowy), normy (czy ma tendencje do przekraczania norm i łamania przepisów). Ponadto wyniki testu zawierają m.in. informacje, czy kandydat do pracy był skazany za przestępstwo oraz czy widnieje w rejestrze skazanych. Generalny Inspektor Ochrony Danych Osobowych stwierdził, że nie można przyjąć, aby fakt kontaktu pracowników Spółki z informacjami stanowiącymi tajemnicę prawnie chronioną upoważniał Spółkę do przetwarzania danych pozyskiwanych za pomocą ww. testów. Spółka nie wskazała przepisów prawa, które nakładałyby na nią obowiązek poddawania kandydatów do pracy takim testom. Zwłaszcza że testom tym poddawani są tylko niektórzy kandydaci do pracy na stanowisko [...] lub [...]. Z kolei z materiału zebranego w niniejszej sprawie wynika, iż to, czy dany kandydat zostanie poddany testowi, nie zależy od tego, czy ta osoba, po zatrudnieniu przez Spółkę, będzie miała dostęp do informacji objętych tajemnicą prawnie chronioną. Przepis art. 22 1 § 1 ustawy z dnia 26 czerwca 1974 r. – Kodeks pracy (t. j.: Dz. U. z 1998 r. Nr 21, poz. 94 ze zm.) zawiera zamknięty katalog danych osobowych, których podania może od kandydata do pracy żądać przyszły pracodawca, i nie wymieniono w nim danych osobowych, gromadzonych przy pomocy ww. testów. Wobec tego, żądanie przez Spółkę poddawania się przez kandydatów do pracy takim testom skutkuje przetwarzaniem przez Spółkę danych osobowych z naruszeniem powołanego przepisu art. 22 1 § 1 Kodeksu pracy. We wniosku o ponowne rozpatrzenie sprawy Spółka D. podniosła, że Generalny Inspektor Ochrony Danych Osobowych przy wydawaniu nakazu pominął jej argumentację odnośnie zgody, jaką kandydat do pracy wyraża przed poddaniem go testowi. Wskazała także, że na podstawie zawartych umów Spółka jest upoważniona do przetwarzania danych stanowiących tajemnicę prawnie chronioną, m.in. znajdujących się w umowach bankowych, telekomunikacyjnych, itp. Osoby, które mają bezpośredni kontakt z danymi stanowiącymi tajemnicę prawnie chronioną, m.in. tajemnicę bankową, telekomunikacyjną lub ubezpieczeniową, muszą być – zdaniem Spółki – poddane szczególnej weryfikacji, gwarantującej należyte wykonanie usługi i zapewnienie zachowania tajemnicy prawnie chronionej. Decyzją z dnia [...] grudnia 2009 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych, działając na postawie art. 138 § 1 pkt 1 kpa oraz art. 12 pkt 2 i art. 18 ust. 1 pkt 1 i 6, art. 22 w związku z art. 26 ust. 1 pkt 1 ustawy o ochronie danych osobowych, utrzymał zaskarżoną decyzję w mocy, nie znajdując podstaw do uwzględnienia wniosku. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na powyższą decyzję D. Sp. z o.o. podtrzymała krytyczną ocenę stanowiska GIODO w sprawie dopuszczalności przetwarzania danych osobowych kandydatów do pracy, pozyskiwanych za pomocą testów przeprowadzanych w systemie informatycznym o nazwie [...]. Podkreśliła, że zgodnie z art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, przetwarzanie danych osobowych jest dopuszczalne, gdy osoba, której dane dotyczą, wyrazi na to zgodę. Dotyczy to również danych osobowych wrażliwych, które na podstawie art. 27 ust. 2 pkt 1 tej ustawy mogą być przetwarzane, jeżeli osoba, której dane dotyczą, wyrazi na to zgodę na piśmie. W ocenie Spółki, w oparciu o te przepisy pracodawca jest uprawniony do przetwarzania także innych danych osobowych, aniżeli wymienione w art. 22 1 § 1 Kodeksu pracy, mając pisemną zgodę osoby, której dane dotyczą. Spółka takimi zgodami kandydatów do pracy dysponuje, zaś GIODO ten fakt całkowicie pominął, uchybiając przez to zasadzie ujętej w art. 7 kpa, bowiem nie podjął niezbędnych kroków w celu dokładnego wyjaśnienia stanu faktycznego sprawy. Skarżąca wniosła o uchylenie obu podjętych decyzji oraz o zasądzenie kosztów postępowania według norm przepisanych. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, przytaczając w uzasadnieniu swego stanowiska procesowego argumentację, jakiej użył w zaskarżonej decyzji. Dodatkowo wyjaśnił, że z punktu widzenia art. 23 ust. 1 pkt 1 i art. 27 ust. 2 pkt 1 ustawy o ochronie danych osobowych złożenie przez kandydata do pracy oświadczenia, którego treścią jest wyrażenie zgody na przeprowadzenie testu oraz na przetwarzanie danych uzyskanych za jego pośrednictwem, nie stanowi przesłanki legalizującej przetwarzanie danych osobowych kandydatów do pracy, gdyż Kodeks pracy przewiduje dalej idącą ochronę danych osobowych. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Stosownie do treści art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Innymi słowy, sąd administracyjny kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Skarga analizowana pod tym kątem zasługuje na uwzględnienie. Skierowany do Spółki nakaz usunięcia uchybień w procesie przetwarzania danych osobowych został podjęty w wyniku wadliwie przeprowadzonego postępowania administracyjnego. Badając zgodność z prawem zaskarżonej decyzji, Sąd stwierdził, iż decyzja narusza art. 7, art. 77 § 1, art. 80, art. 107 § 1 i § 3 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (t. j.: Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.) w sposób mogący mieć istotny wpływ na wynik sprawy, co spowodowało konieczność uchylenia obu decyzji. Wydanie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych następuje wówczas, gdy organ ochrony danych osobowych stwierdza naruszenie norm stanowiących prawne podstawy przetwarzania danych osobowych. Te zaś ustawodawca zawarł w ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Jedną z przesłanek legalizujących przetwarzanie danych osobowych jest zgoda osoby, której dane dotyczą (art. 23 ust. 1 pkt 1), natomiast w przypadku przetwarzania danych osobowych wrażliwych – zgoda wyrażona pisemnie (art. 27 ust. 2 pkt 1). Skarżąca Spółka zarówno przed wydaniem nakazu, jak i na etapie wniosku o ponowne rozpatrzenie sprawy, podnosiła, że dane osobowe kandydatów do pracy na stanowisko [...] lub [...], pozyskiwane za pomocą testów przeprowadzanych w systemie informatycznym o nazwie [...], znajdującym się pod adresem [...], przetwarza na podstawie oświadczeń o wyrażeniu zgody na ich przetwarzanie. Tymczasem Generalny Inspektor Ochrony Danych Osobowych w swych decyzjach do tej okoliczności w żaden sposób się nie odniósł, przyjmując, że przepis art. 22 1 § 1 ustawy z dnia 26 czerwca 1974 r. – Kodeks pracy (t. j.: Dz. U. z 1998 r. Nr 21, poz. 94 ze zm.) zawiera zamknięty katalog danych osobowych, których podania może od kandydata do pracy żądać przyszły pracodawca, i nie wymieniono w nim danych osobowych, gromadzonych przy pomocy ww. testów. To, że w art. 22 1 § 1 Kodeksu pracy nie wymieniono danych osobowych, pozyskiwanych za pośrednictwem tego rodzaju testów, nie oznacza jeszcze, że organ administracji publicznej, a takim niewątpliwie jest GIODO, zostaje zwolniony z obowiązku oceny stanu faktycznego sprawy w kontekście norm stanowiących prawne podstawy przetwarzania danych osobowych. Zadaniem organu ochrony danych osobowych jest kontrola legalności przetwarzania danych osobowych na gruncie konkretnej sprawy administracyjnej. Dla Generalnego Inspektora Ochrony Danych Osobowych wyłącznie istotna jest kwestia, czy w grę wchodzą dane osobowe (nie każde bowiem informacje o osobie stanowią dane osobowe), a jeśli tak, to jakie, oraz czy w zakresie ich przetwarzania istnieje choćby jedna z prawnych podstaw (przesłanek), zezwalająca na przetwarzanie danych. Ma to decydujące znaczenie dla rozstrzygnięć podejmowanych przez organ ochrony danych osobowych, albowiem jedynie w przypadku, gdy w sprawie chodzi o dane osobowe (zwykłe lub wrażliwe), jak również, gdy brak jest przesłanki legalizującej ich przetwarzanie, winno dojść do wydania przez GIODO właściwego nakazu bądź zakazu. Bez odniesienia się do oświadczeń o wyrażeniu zgody na przetwarzanie danych osobowych kandydatów do pracy, pozyskiwanych za pomocą powyższych testów przez Spółkę D., Generalny Inspektor Ochrony Danych Osobowych wydał nakaz usunięcia uchybień w procesie przetwarzania danych osobowych, co należy uznać za nieprawidłowe. Zajęcie stanowiska w przedmiotowej kwestii dopiero w odpowiedzi na skargę nie może konwalidować tego rodzaju uchybienia, zwłaszcza że zgoda osoby, której dane dotyczą, czyni legalnym przetwarzanie jej danych osobowych. Tym większe ma to znaczenie, jeśli zważy się, że Spółka na tę okoliczność powoływała się w trakcie prowadzonego postępowania administracyjnego. GIODO, podejmując decyzję administracyjną, związany jest regułami postępowania administracyjnego, określającymi jego obowiązki w zakresie prowadzenia postępowania i orzekania. W szczególności winien on przestrzegać zasady dochodzenia do prawdy materialnej (art. 7 kpa), a więc podejmować wszelkie niezbędne kroki zmierzające do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy. Jest zobowiązany w sposób wyczerpujący zebrać, rozpatrzyć i ocenić cały materiał dowodowy (art. 77 § 1 i art. 80 kpa) oraz uzasadnić swoje rozstrzygnięcie zgodnie z wymogami określonymi w art. 107 § 3 kpa. Zgodnie z art. 107 § 1 kpa, uzasadnienie decyzji stanowi jej integralną część. Z uzasadnienia wynikać ma ocena faktów, prawa i subsumpcji oraz celów i skutków rozstrzygnięcia. Zatem ocenie Sądu nie może podlegać sama osnowa decyzji, ale decyzja jako całość, a więc łącznie z uzasadnieniem. W niniejszej sprawie organ uchybił wskazanym przepisom postępowania administracyjnego, poprzez niewyczerpujące i mało wnikliwe rozpatrzenie materiału dowodowego. Dlatego też, zasadnym było uchylenie obu wydanych w sprawie decyzji. Przy ponownym rozpoznaniu sprawy organ winien uwzględnić poczynione przez Sąd uwagi. Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 145 § 1 pkt 1 lit. "c" ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), orzekł, jak w punkcie 1 sentencji wyroku. W oparciu o art. 152 ww. ustawy, Sąd wstrzymał wykonanie zaskarżonej decyzji w całości. O kosztach orzeczono na podstawie art. 200, art. 205 § 2 i art. 209 ww. ustawy – Prawo o postępowaniu przed sądami administracyjnymi. Sąd zasądził na rzecz skarżącej Spółki kwotę 457 zł, w tym 200 zł, stanowiącą wartość uiszczonego wpisu, kwotę 17 zł, poniesioną tytułem opłaty skarbowej od udzielonego pełnomocnictwa, oraz kwotę 240 zł, tytułem wynagrodzenia pełnomocnika, zgodnie z § 14 ust. 2 pkt 1 lit. "c" rozporządzenia Ministra Sprawiedliwości z dnia 28 września 2002 r. w sprawie opłat za czynności radców prawnych oraz ponoszenia przez Skarb Państwa kosztów pomocy prawnej udzielonej przez radcę prawnego ustanowionego z urzędu (Dz. U. Nr 163, poz. 1349 ze zm.).