II SA/Wa 2608/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Tomasz Szmydt (spr.), Sędzia WSA Sławomir Antoniuk, Sędzia WSA Ewa Radziszewska-Krupa, po rozpoznaniu w trybie uproszczonym w dniu 10 grudnia 2020 r. sprawy ze skargi W. A. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę W. A. wniosła skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2019r., wydaną w przedmiocie przetwarzania danych osobowych. Do Biura Generalnego Inspektora Ochrony Danych Osobowych (obecnie Urząd Ochrony Danych Osobowych) wpłynęła skarga na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Jednostkę Wojskową [...] (dalej Jednostką Wojskową, JW lub pracodawca), polegające na przetwarzaniu jej danych osobowych bez podstawy prawnej oraz ich udostępnienie na rzecz nieupoważnionych podmiotów trzecich. Skarżąca wniosła o podjęcie czynności kontrolnych przetwarzania danych osobowych przez administratora danych, którym jest M. K. (Dowódca Jednostki Wojskowej nr [...]) i ustalenie następujących stanów faktycznych: 1) czy w pliku dokumentacji stanowiącej załączniki do pisma [...] M.K. z dnia [...].01.2017 r. kierowanego poprzez pocztę elektroniczną [...] do osób/jednostek organizacyjnych nieupoważnionych, a udostępnionego również innym osobom nieupoważnionym, znajduje się dokumentacja stanowiąca zawartość teczki akt osobowych skarżącej; 2) jakim innym osobom/podmiotom/jednostkom organizacyjnym [...] M.K. przesłał dane osobowe (w tym korespondencję pomiędzy pracodawcą a skarżącą oraz Komisją Zakładową NSZZ Solidarność, w której skarżąca była przewodniczącą oraz zawartość jej teczki akt osobowych; 3) ustalenie, czy zakładowa organizacja związkowa NSZZ Pracowników Wojska udzieliła odpowiedzi na pismo pracodawcy – [...] M. K. z [...] stycznia 2017r., co do objęcia skarżącej ochroną przez tę organizację. Ponadto wniosła również o: 1) wszczęcie postępowania dyscyplinarnego lub innego przewidzianego prawem postępowania przeciwko osobom winnym dopuszczenia do uchybień naruszenia przepisów ustawy o ochronie danych osobowych i poinformowania Skarżącej o wynikach tego postępowania i podjętych działaniach oraz nakazanie administratorowi danych osobowych, [...] M. K. usunięcie uchybień w procesie przetwarzania danych osobowych poprzez spowodowanie przywrócenia stanu zgodnego z prawem, a w szczególności; a) usunięcie uchybień stanowiących naruszenie przepisów ustawy o ochronie danych osobowych przez administratora danych osobowych, [...] M. K. i innych podległych mu osób w stosunku do danych osobowych skarżącej oraz organizacji związkowej NSZZ Solidarność; b) usunięcie danych osobowych, tj. pisma [...] M. K. wraz z plikiem ok. 260 załączników z systemu poczty elektronicznej [...]; c) usunięcie danych osobowych, tj. pisma M. K. wraz z plikiem ok. 260 załączników ze zbioru danych Komisji Zakładowej NSZZ Pracowników Wojska, której dane udostępniono bez podstawy prawnej i bez zgody skarżącej oraz organizacji związkowej NSZZ Solidarność; d) usunięcie pisma z [...] stycznia 2017 r. dotyczącego zamiaru rozwiązania umowy o pracę ze skutkiem natychmiastowym, z którym skarżąca nie została zapoznana jako osoba rzekomo nieuprawniona, a kierowanego i udostępnionego osobom nieupoważnionych z naruszeniem przepisów Kodeksu Pracy oraz ustawy o związkach zawodowych z teczki akt osobowych Skarżącej; e) usunięcie danych skarżącej, w tym danych określonych w zwolnieniach lekarskich z Rozkazu Dziennego Dowódcy JW [...] lub spowodowanie dostępu do tych danych wyłącznie osób, które dane osobowe winny przetwarzać w ramach obowiązków wynikających z zakresu obowiązków w ramach realizacji przepisów innych ustaw. Prezes Urzędu Ochrony Danych Osobowych, zwany dalej Prezesem Urzędu, ustalił następujący stan faktyczny: 1. Skarżąca była pracownikiem Jednostki Wojskowej w okresie [...] lutego 2009 r. – [...] lutego 2017 r. Jednostka wskazała, że obecnie dane osobowe skarżącej są przetwarzane w celu realizacji przepisów ustawy z dnia 26 czerwca 1974 r. Kodeks pracy. (t.j. Dz. U. z 2018 r., poz. 917), tj. art. 94 pkt 9b oraz art. 125a ust. 4 ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych (t.j. Dz. U. z 2018 r. poz. 1270) (dowód: wyjaśnienia Jednostki Wojskowej z dnia [...] sierpnia 2017 r.). 2. Przed rozwiązaniem ze skarżącą umowy o pracę. Pracodawca wystąpił z indywidualnym zapytaniem, czy skarżąca podlega ochronie związkowej do dwóch działających w Jednostce Wojskowej organizacji związkowych, a następnie przekazał organizacjom związkowym zamiar rozwiązania ze Skarżącą stosunku pracy w trybie dyscyplinarnym. Jedną z tych organizacji (której udostępnienie danych skarżąca kwestionuje) był Niezależny Samorządny Związek Zawodowy Pracowników Wojska Zarząd Zakładowy NSZZ PW JW [...]. Pismem z 20 stycznia 2017 r. Przewodnicząca Zarządu Zakładowego NSZZ Pracowników Wojska JW [...] poinformowała Jednostkę Wojskową o tym, że skarżąca nie jest członkiem ww. organizacji związkowej, oraz że nie korzysta z obrony praw pracowniczych tej organizacji. Pracodawca mimo to skierował do ww. organizacji informację o zamiarze i trybie rozwiązania ze skarżącą stosunku pracy, albowiem, jak argumentował cyt.: "(...) nie miał pewności co do dalszego funkcjonowania organizacji związkowej (...) oraz możliwość objęcia obrony praw pracownika przez którąś z organizacji związkowej, oraz możliwość, w której to sama skarżąca wystąpiła o objęcie taką obroną, pracodawca, z ostrożności przeprowadził konsultację związkową" (dowód: skarga z dnia [...] maja 2017 r., wyjaśnienia Jednostki Wojskowej z dnia [...] czerwca 2017 r. oraz z dnia [...] czerwca 2017 r., kserokopia pisma Zarządu NSZZ PW JW [...] z dnia [...] stycznia 2017 r. załączona do pisma skarżącej z dnia [...] czerwca 2017 r.). 3. Pracodawca przekazał [...] października 2015 r. pracownikom Jednostki Wojskowej (użytkownikom systemu obiegu dokumentów funkcjonującego w Jednostce Wojskowej) informację o ilości niewykorzystanego przez Skarżącą urlopu wypoczynkowego (dowód: skarga z dnia [...] maja 2017 r., wyjaśnienia Jednostki Wojskowej z dnia [...] czerwca 2017 r. oraz z dnia [...] grudnia 2017 r. wraz z załącznikami). 4. Przed Sądem Rejonowym dla [...] w [...], Wydział [...], z siedzibą w [...] przy ul. [...], toczy się sprawa z powództwa skarżącej przeciwko Jednostce Wojskowej o przywrócenie do pracy (sygn. akt [...]) (dowód: kserokopia pozwu z dnia [...] grudnia 2017 r. załączona do wyjaśnień Jednostki Wojskowej z dnia [...] czerwca 2017 r.). 5. Jednostka Wojskowa udostępniła dane osobowe Skarżącej zawarte m.in, w jej aktach osobowych na rzecz następujących podmiotów trzecich: a) Prokuratura Rejonowa [...] w [...], [...] października 2016 r., podejrzenie popełnienia przestępstwa z art. 212 § 1 k.k. (sygn. akt [...]); b) Oddział Żandarmerii Wojskowej w [...], [...] listopada 2016 r., podejrzenie popełnienia przestępstwa z art. 212 § 1 k.k. i z art. 226 § 1 k.k. w zw. z art. 11 § k.k (sygn. akt [...]); c) Prokuratura Rejonowa [...] w [...], [...] listopada 2016 r., podejrzenie popełnienia przestępstwa z art. 286 § 1 k.k. i art. 294 § 1 k.k. w zw. z art. 11 § 2 k.k. w zw. z art. 12 k.k. (sygn. akt [...]); d) Oddział Żandarmerii Wojskowej w [...], [...] marca 2017 r., postępowanie przygotowawcze (sygn. akt [...]); e) Sąd Rejonowy dla [...] w [...], [...] Wydział [...], [...] marca 2017 r., wzajemny akt oskarżenia z art. 212 § 1 k.k. (sygn, akt [...]); f) Sąd Rejonowy dla [...] w [...], [...] Wydział [...], [...] kwietnia 2017, odpowiedź na pozew (sygn. akt [...]). Pracodawca wyjaśnił, że udostępnienie danych osobowych skarżącej zawartych w jej aktach osobowych miało służyć przedstawieniu dowodów w ww. sprawach i znajdowało uzasadnienie w art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2016 r., poz. 922) (dowód: wyjaśnienia Jednostki Wojskowej z dnia [...] czerwca 2017 r, oraz z dnia [...] sierpnia 2017 r.). 6. Pracodawca wskazał, że nie udostępniał danych osobowych skarżącej zawartych w jej zwolnieniach lekarskich osobom nieupoważnionym. Dane te dostępne były tylko dla pracowników działu kadr i księgowości, którzy przetwarzają te dane w celach ewidencyjnofinansowych, i którzy posiadają stosowne upoważnienia wydane w zw. z art. 37 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2016 r., poz. 922) (dowód: wyjaśnienia Jednostki Wojskowej z dnia [...] sierpnia 2017 r. wraz z załącznikami w postaci kopii upoważnień). 7. Jednostka Wojskowa podała, iż pozostałym zakresie, dane osobowe skarżącej udostępnione w rozkazie dziennym Dowódcy Jednostki Wojskowej, obejmowały okres przebywania jej (jako pracownika) na zwolnieniu lekarskim, serię i numer zwolnienia, a także jej imię i nazwisko pracownika. Do danych tych dostęp mieli wyłącznie żołnierze i pracownicy wojska za pośrednictwem sieci zastrzeżonej, stanowiącej wewnętrzny system elektroniczny w Jednostce Wojskowej, którzy przetwarzają dane w celach służbowych, (dowód: wyjaśnienia Jednostki Wojskowej z dnia [...] czerwca 2017 r. oraz z dnia [...] sierpnia 2017r.) 8. Pracodawca oświadczył, że udostępnił dane osobowe skarżącej (tj., termin przebywania pracownika na zwolnieniu oraz serię i numer zwolnienia a także imię i nazwisko), zawarte w rozkazie dziennym, pracownikom i żołnierzom, którzy posiadają stosowne upoważnienie nadane przez pracodawcę. Upoważnione są osoby zatrudnione w celu przetwarzania danych osobowych, jak również osoby, które przetwarzają dane przy okazji wykonywania swoich obowiązków. Stosowne upoważnienie wynika z Rozkazu Nr [...] Dowódcy JW Nr [...], który jest wydawany co roku, i w którym są określane osoby, które maja dostęp do rozkazów oraz zakres tego dostępu (dowód: wyjaśnienia Jednostki Wojskowej z dnia [...] grudnia 2017 r. wraz z załącznikiem w postaci kserokopii rozkazu). Na podstawie materiału dowodowego zgromadzonego w toku niniejszego postępowania, Prezes Urzędu Ochrony Danych Osobowych w dniu [...] grudnia 2018r. wydał decyzję administracyjną (nr [...]), mocą której odmówił uwzględnienia wniosku skarżącej. Skarżąca, pismem z [...] stycznia 2019 r. wniosła o ponowne rozpatrzenie sprawy oraz uchylenie decyzji odmawiającej uwzględnienia wniosku i wydanie decyzji stwierdzającej: 1) naruszenie przez pracodawcę art. 51 ust. 1, 2 i 5 Konstytucji, art. 27 ust. 1 i ust. 2 ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997 r. w zakresie przetwarzania danych osobowych wrażliwych skarżącej w zakresie: a) udostępnienia danych osobowych skarżącej dotyczących stanu zdrowia w dokumencie wewnętrznym o nazwie rozkaz dzienny przez pracodawcę i udostępnienie ww. danych w sieci elektronicznej na rzecz ok. 90 osób trzecich, b) udostępnienia danych osobowych skarżącej w zakresie jej przynależności do organizacji związkowej i stanu zdrowia, poprzez rozpowszechnienie ww. danych na rzecz organów powołanych do ścigania przestępstw; 2) naruszenie przepisów art. 51 ust. 1, 2 i 5 Konstytucji RP, art. 23 ust. 1 pkt 1 i 2 ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997 r., art. 3 ust. 2 ustawy o Żandarmerii Wojskowej i wojskowych organach porządkowych oraz art. 3 par. 2 ustawy prawo o prokuraturze w zakresie przetwarzania danych osobowych skarżącej oraz naruszenie zasady minimalizacji danych w zakresie: a) udostępnienia danych osobowych skarżącej w sposób tradycyjny i w sieci [...] w dniu [...] stycznia 2017 r. na rzecz osób nieuprawnionych, b) podania do publicznej wiadomości w dniu [...] października 2015 r. w sieci poczty elektronicznej do wszystkich użytkowników informacji na temat ilości urlopu skarżącej, c) przekazania do Prokuratury Rejonowej [...] Dział ds. [...] z postępowania przed Generalnym Inspektorem Ochrony Danych Osobowych, d) wielokrotnego przekazania do różnych organów ścigania danych osobowych Skarżącej, e) udostępnienia danych osobowych skarżącej zawartych w jej aktach osobowych na rzecz Sądu Pracy; 3) naruszenie art. 54 ustawy o ochronie danych osobowych z 1997 r. poprzez niedopełnienie obowiązków przez pracodawcę w zakresie spełnienia obowiązku informacyjnego wobec skarżącej. Jednocześnie skarżąca wniosła o nakazanie przywrócenia stanu zgodnego z prawem poprzez: 1) usunięcie danych osobowych skarżącej z sieci [...], 2) zobligowanie pracodawcy do odzyskania od [...] NSZZ Pracowników Wojska dokumentów zawierających dane osobowe skarżącej, 3) zobligowanie pracodawcy do pozyskania zwrotnego z Prokuratury Rejonowej [...], Oddziału żandarmerii Wojskowej w [...] i Prokuratury Rejonowej [...] Dział ds. [...] wszystkich dokumentów zawierających dane osobowe skarżącej, 4) zobligowanie pracodawcy do usunięcia z rozkazów dziennych wszystkich informacji dotyczących stanu zdrowia skarżącej, 5) nałożenie kary pieniężnej z tytułu naruszenia przepisów dotyczących przetwarzania danych osobowych skarżącej, 6) pociągnięcie do odpowiedzialności osób dopuszczających się naruszeń przepisów o ochronie danych osobowych. Decyzją z dnia [...] września 2019r. Prezes Urzędu Ochrony Danych Osobowych utrzymał w mocy zaskarżoną decyzję. Organ wskazał, iż w przedmiotowej sprawie, w odniesieniu do oceny udostępnienia przez administratora danych osobowych skarżącej na rzecz podmiotów trzecich, właściwe jest zastosowanie przepisów obowiązujących w czasie, gdy doszło do podjęcia przez administratora tych czynności, tj. ustawy o ochronie danych osobowych z 1997 r. Natomiast rozważając zasadność przetwarzania przedmiotowych danych w chwili obecnej, konieczne jest odniesienie do przepisów Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, (Dz.U.UE.L.2016.119,1 z dnia 2016.05.04, zwanego dalej RODO). Organ ustalił, że pracodawca przekazał dane osobowe osobom przez niego upoważnionym zgodnie z dyspozycją art. 37 ustawy z 1997r. Konsekwencją powyższego jest przyjęcie, iż mocą art. 26 ust. 1 pkt 1 ustawy z 1997 r., administrator danych przetwarzający dane musiał dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczyły, w tym przypadku skarżącej, a w szczególności był obowiązany zapewnić, aby dane były przetwarzane zgodnie z prawem. Z zasady tej wynikało, że każde działanie pracodawcy związane z przetwarzaniem danych musiało mieć swoje prawne uzasadnienie i odpowiadać istniejącym regulacjom prawnym (a więc tak jak miało to miejsce ww. zakresie rozpatrywanej sprawy). W kwestii dostępu do danych osobowych skarżącej zawartych w rozkazie dowódcy Jednostki Wojskowej organ wskazał, że nie potwierdziło się stanowisko skarżącej jakoby dostęp do tych danych miały osoby nieupoważnione. Pracodawca oświadczył, że dostęp do rozkazu dziennego mają użytkownicy elektronicznego systemu obiegu dokumentów, posiadający stosowne upoważnienie wystawione oddzielnie lub też, wynikające z rozkazu dowódcy, który jest wydawany co roku i określa imiennie osoby mające dostęp do rozkazów oraz zakres tego dostępu. Rozkaz dowódcy JW spełnia warunki upoważnienia, o którym mowa w art. 37 ustawy z 1997 r., gdyż wskazuje wszystkie upoważnione osoby z imienia i nazwiska oraz określa zakres danych, do których mają one dostęp. Ponownie należy wskazać, że wszyscy pracownicy - zarówno ci, którzy otrzymali oddzielne upoważnienia, jak i ci wskazani w rozkazie dowódcy, uprawnieni byli do dostępu do kwestionowanych przez skarżącą danych. Odnośnie zarzutu skarżącej dotyczącego naruszenia przez pracodawcę art. 54 ustawy o ochronie danych osobowych z 1997 r. poprzez niedopełnienie obowiązków przez pracodawcę w zakresie spełnienia obowiązku informacyjnego wobec skarżącej, organ wskazał, że zgodnie z art. 24 ust. 1 ustawy z 1997 r. w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych był obowiązany poinformować tę osobę o: 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku; 2) celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych; 3) prawie dostępu do treści swoich danych oraz ich poprawiania; 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. Administrator danych był zwolniony ze spełnienia obowiązku informacyjnego na mocy art. 24 ust, 2 pkt 2 ustawy z 1997 r., jeśli osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 1. Organ wskazał, że skarżąca była pracownikiem Jednostki Wojskowej przez okres 8 lat (w decyzji wystąpiła wyjaśniona przez organ omyłka poprzez wpisanie cyfry "18"), nie sposób zatem uznać, że nie dysponowała informacjami dotyczącymi adresu siedziby, nazwy pracodawcy, ale też nie była świadoma w jakim celu pracodawca przetwarza dane osobowe skarżącej. W kwestii zarzutu skarżącej naruszenia przepisów art. 51 ust. 1, 2 i 5 Konstytucji RP, art. 23 ust. 1 pkt 1 i 2 ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997 r., art. 3 ust. 2 ustawy o Żandarmerii Wojskowej i wojskowych organach porządkowych oraz art. 3 § 2 ustawy prawo o prokuraturze w zakresie przetwarzania danych osobowych skarżącej oraz naruszenia zasady minimalizacji danych w zakresie m.in. przekazania do Prokuratury Rejonowej [...] Dział ds. [...] z postępowania przed Generalnym Inspektorem Ochrony Danych Osobowych, wielokrotnego przekazania do różnych organów ścigania danych osobowych skarżącej, udostępnienia danych osobowych skarżącej zawartych w jej aktach osobowych na rzecz Sądu Pracy organ wskazał, iż powyższe działanie znajdowało oparcie w wówczas obowiązujących przepisach ustawy z 1997r, albowiem pomiędzy skarżącą a Jednostką Wojskową powstał szereg sporów, które skutkowały licznymi postępowaniami karnymi oraz postępowaniem przed sądem pracy. Pracodawca udostępnił dane osobowe skarżącej wyłącznie na rzecz właściwych do przeprowadzenia określonych postępowań organów ścigania w związku z podejrzeniem popełnienia przez skarżącą czynów zabronionych, bądź też czynił to na żądanie tychże organów. W ustawie z dnia 6 czerwca 1997 r. Kodeks postępowania karnego (t.j. Dz. U. z 2018 r. poz. 1987) zawarto regulację, zgodnie z którą dowody przeprowadza się na wniosek stron albo z urzędu (art. 167 ww. ustawy), co najistotniejsze jednak art. 304 omawianej ustawy stanowi, w § 2 że instytucje państwowe i samorządowe, które w związku ze swą działalnością dowiedziały się o popełnieniu przestępstwa ściganego z urzędu, są obowiązane niezwłocznie zawiadomić o tym prokuratora lub Policję oraz przedsięwziąć niezbędne czynności do czasu przybycia organu powołanego do ścigania przestępstw lub do czasu wydania przez ten organ stosownego zarządzenia, aby nie dopuścić do zatarcia śladów i dowodów przestępstwa. Tym samym działanie Jednostki Wojskowej w tym zakresie było uzasadnione spełnieniem obowiązku wynikającego z przepisu prawa, więc ponownie należy wskazać, że udostępnienie danych osobowych skarżącej na rzecz prokuratury, sądu, żandarmerii wojskowej miało oparcie w art. 23 ust. 1 pkt 2 ustawy z 1997 r., było więc działaniem legalnym. Odnośnie zarzutu skarżącej dotyczącego udostępnienia przez pracodawcę jej danych osobowych w zakresie jej przynależności do organizacji związkowej i stanu zdrowia, organ podtrzymuje swoje stanowisko, zgodnie z którym w razie powzięcia wątpliwości, czy dany pracownik należy do organizacji związkowych, działających w zakładzie pracy, pracodawca powinien zwrócić się do tych organizacji z pytaniem, czy dany pracownik przynależy do organizacji i czy korzysta z obrony praw pracowniczych tej organizacji. Zgodnie bowiem z treścią art. 23 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (t.j. Dz. U. z 2018 r., poz. 917) jeżeli przepisy prawa pracy przewidują współdziałanie pracodawcy z zakładową organizacją związkową w indywidualnych sprawach ze stosunku pracy, pracodawca ma obowiązek współdziałać w takich sprawach z zakładową organizacją związkową reprezentującą pracownika z tytułu jego członkostwa w związku zawodowym albo wyrażenia zgody na obronę praw pracownika niezrzeszonego w związku - zgodnie z ustawą o związkach zawodowych. Tym samym zwrócenie się Jednostki Wojskowej w trybie art. 30 ust. 2 ustawy z dnia 23 maja 1991 r. o związkach zawodowych (t.j. Dz. U. z 2015 r, poz. 1881) do organizacji związkowych z pytaniem o jej członkostwo należy uznać, jako uzasadnione spełnieniem obowiązku wynikającego z przepisu prawa - art. 23 ust. 1 pkt 2 ustawy z 1997 r. Nieprawidłowe było jednak ponowne zwrócenie się do tego samego związku zawodowego i przekazanie mu informacji o zamiarze i trybie rozwiązania stosunku pracy. Działania pracodawcy w tym zakresie nie tłumaczy brak pewności, co do dalszego funkcjonowania organizacji związkowej. Skoro bowiem dysponował on odpowiedzią związku zawodowego, zgodnie z którą W. A. nie jest członkiem organizacji i nie korzysta z obrony praw pracowniczych tej organizacji, jakiekolwiek wątpliwości należy uznać za nieuzasadnione. Organ wskazał, iż w zakresie ujawnienia przez pracodawcę informacji o zamiarze i trybie rozwiązania stosunku pracy ze skarżącą na rzecz organizacji związkowej doszło do nieprawidłowości, naruszony został art. 23 ust. 1 ustawy z 1997 r. Podkreślenia wymaga, że powyższe naruszenie miało charakter jednorazowy i dokonany. Postępowanie administracyjne prowadzone przez Prezesa Urzędu na podstawie ustawy o ochronie danych z 1997 r. było ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 18 ust. 1 ustawy z 1997 r. w związku z art. 160 ust. 2 ustawy z 2018 r. Jak wynika z brzmienia art. 18 ust. 1 ustawy z 1997 r., w przypadku naruszenia przepisów o ochronie danych osobowych, organ do spraw ochrony danych osobowych z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazywał przywrócenie stanu zgodnego z prawem, a w szczególności usuniecie uchybień (pkt 1), uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych (pkt 2), zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe (pkt 3), wstrzymanie przekazywania danych osobowych do państwa trzeciego (pkt 4), zabezpieczenie danych lub przekazanie ich innym podmiotom (pkt 5), usunięcie danych osobowych (pkt 6). Prezes Urzędu podtrzymał swoje stanowisko, że nie dysponuje środkami mogącymi przywrócić stan zgodny z prawem w związku z naruszeniem ochrony danych osobowych skarżącej, do jakiego doszło w wyniku przekazania danych osobowych skarżącej na rzecz organizacji związkowej, albowiem zdarzenie to miało charakter jednorazowy i dokonany. Prezes Urzędu nie posiada przypisanych prawem kompetencji do wydania rozstrzygnięcia, które byłoby egzekwowalne, jako, że do nieuprawnionego udostępnienia danych doszło i jest do zdarzenie nieodwracalne. Dodatkowo ze względu na fakt, że do zdarzenia doszło w czasie obowiązywania przepisów ustawy z 1997 r., której przepisy stosowane są na mocy art. 160 ust. 2 ustawy z 2018 r. do postępowań wszczętych i niezakończonych przed 25 maja 2018 r., organ nie jest władny zastosować sankcji ani innych uprawnień wynikających z RODO. Prezes Urzędu jest organem uprawnionym wyłącznie do oceny kwestii dotyczących przetwarzania danych osobowych. Prezes Urzędu nie posiada kompetencji pozwalających mu na decydowanie w przedmiocie dysponowania przez administratorów danych nośnikami informacji (w tym danych) tj. m.in. dokumentami, korespondencją (w postaci listów), plikami, elementami poczty elektronicznej. Postępowanie prowadzone przez Prezesa Urzędu jest bowiem postępowaniem administracyjnym, po przeprowadzeniu którego w myśl (3 art. 18 ust. 1 pkt 1 ustawy z 1997 r., organ ten wydaje decyzje administracyjne nakazujące usunięcie uchybień i - w razie ustalenia, iż administrator danych przetwarza je niezgodnie z przepisami o ochronie danych osobowych - przywrócenie stanu zgodnego z prawem. Podnieść w tym miejscu należy, iż ustawodawca w ustawie o ochronie danych, posługuje się pojęciem "przetwarzania danych osobowych" odnosząc je zawsze do danych osobowych, nie zaś do zawierających je nośników, tj. dokumentów, zbiorów tych dokumentów. W. A. wniosła skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2019r., utrzymującą w mocy zaskarżoną decyzję. Skarżąca organowi zarzucała naruszenie następujących przepisów postępowania: 1) niezastosowanie art. 7 k.p.a., art. 75 k.p.a., art. 77 k.p.a. w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, polegające na nierozpoznaniu przez organ istoty sprawy, z uwagi na pominięcie wniosków dowodowych skarżącej i nieprzesłuchanie świadków, pominięcie zarzutów skarżącej zawartych w jej pismach kierowanych w toku postępowania do Prezesa Urzędu, a także na nie odniesieniu się do zgromadzonych w toku postępowania dokumentów, jak również na niepodjęciu przez organ wszelkich czynności niezbędnych do dokładnego, wnikliwego i szczegółowego wyjaśnienia stanu faktycznego sprawy, pominięciu okoliczności faktycznych wskazywanych przez Skarżącą w toku sprawy, a także na niezebraniu i nierozpatrzeniu całego materiału dowodowego, mającego istotne znaczenie dla rozstrzygnięcia sprawy; 2) niezastosowanie art. 78 § 1 k.p.a. w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych poprzez nie uwzględnienie żądania skarżącej dotyczącego przeprowadzenia dowodów mających znaczenie dla sprawy, 3) niezastosowanie art. 8 § 1 k.p.a. w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych poprzez prowadzenie postępowania w sposób niebudzący zaufania jego uczestników do władzy publicznej, tj. w sposób sprzeczny z zasadami bezstronności i równego traktowania, poprzez oparcie się i przyznanie wiarygodności jedynie wyjaśnieniom Jednostki Wojskowej, a odmowę uwzględnienia wniosków dowodowych skarżącej, 4) niezastosowanie art. 80 k.p.a. w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych poprzez naruszenie przez organ zasady swobodnej oceny dowodów, w szczególności poprzez rozstrzygnięcie sprawy na podstawie niepełnego materiału dowodowego tj. wyjaśnień Jednostki Wojskowej, poprzez brak dokonania oceny opartej na wszechstronnej ocenie całokształtu materiału dowodowego, brak oceny znaczenia i wartości dowodów dla toczącej się sprawy, poprzez brak wyjaśnienia przyczyn dla których odmówił wiarygodności dowodom skarżącej, ustalenie okoliczności faktycznych sprzecznie z prawidłami logiki. 5) niezastosowanie art. 107 § 1 k.p.a. w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych w zw. z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, poprzez brak rozstrzygnięcia w treści decyzji o nakazie przywrócenia stanu zgodnego z prawem oraz określenie konkretnego działania lub zaniechania, podczas gdy w niniejszej sprawie organ wydał na podstawie art. 18 ust. 1 u.o.d.o. decyzję o odmowie uwzględnienia wniosku o podjęcie czynności kontrolnych, jednocześnie jednakże stwierdzając w uzasadnieniu, że do naruszenia przepisów o ochronie danych osobowych doszło. 6) niezastosowanie art. 107 § 3 k.p.a. w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych poprzez sporządzenie uzasadnienia faktycznego decyzji bez wskazania faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, w szczególności poprzez brak uzasadnienia przyczyn dla których odmówił wiarygodności i mocy dowodowej dokumentom przedłożonym przez skarżącą, 7) niezastosowanie art. 23 ust. 1 pkt 1, art. 26 ust. 1 pkt 1,2, 3, art. 27 ust. 1 i ust. 2 pkt 1 ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997 roku oraz art. 5 ust. 1 lit. a, b, c i ust. 2, art. 6 ust. 1 lit. a, b, f i ust. 2 i art. 9 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2018 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnie rozporządzenie o ochronie danych) i błędne przyjęcie, iż dane osobowe skarżącej mogą być dowolnie udostępniane przez Jednostkę Wojskową w czasie trwania zatrudnienia i po jego ustaniu w sytuacji braku podstaw prawnych, braku zgody skarżącej wyrażonej na piśmie, wystosowanego do Jednostki Wojskowej przez skarżącą żądania zakazu przetwarzania jej danych po ustaniu zatrudnienia, braku uzasadnienia przez Jednostkę celowości udostępniania jej danych oraz danych członków jej rodziny w tym małoletniego dziecka, w sytuacji dowolnego i swobodnego "automatyzmu" w rozpowszechnianiu danych osobowych skarżącej i członków jej rodziny, z rażącym naruszeniem zasady "minimalizacji danych i ich adekwatności do celów, w sytuacji udostępniania danych w innym celu niż cel dla którego dane zostały zebrane, oraz zakazu przetwarzania danych wrażliwych dotyczących stanu zdrowia i przynależności do organizacji związkowej, co miało istotny wpływ na wynik sprawy, bowiem skutkowało nierozpatrzeniem całego materiału dowodowego, nieustaleniem faktów i podstaw prawnych przetwarzania danych osobowych skarżącej przez Jednostkę Wojskową, a w konsekwencji wydaniem decyzji utrzymującej w mocy zaskarżoną decyzję o odmowie uwzględnienia wniosku. Wskazując na powyższe zarzuty skarżąca wnosiła o uchylenie przedmiotowej decyzji w całości. Skarżąca podnosiła, iż organ poprzestał na samych wyjaśnieniach Jednostki Wojskowej z dnia [...] sierpnia 2017 roku oraz przedłożonych przez tą Jednostkę kopiach upoważnień wydanych niewielkiej licznie osób, dając wiarę jakoby wszystkie osoby z 90 osób, którym te dane zostały udostępniane, to pracownicy działu kadr i płac. Organ nie podjął żadnych czynności, aby zweryfikować prawdziwość twierdzeń Jednostki Wojskowej, które to twierdzenia sprzeczne są z wniesionymi przez nią dowodami z dokumentów, i pomimo, iż dowody te spójne są z wyjaśnieniami samej skarżącej zawartymi w piśmie z dnia [...] sierpnia 2018 r. Administrator danych - JW [...] posiadał prawo do przetwarzania danych osobowych skarżącej w celach związanych wyłącznie z zatrudnieniem, które to prawo ustało z chwilą rozwiązania umowy o pracę, a zatem w dniu [...] lutego 2017 r. Dostęp do danych osobowych skarżącej zamieszczonych w Rozkazach dziennych w sieci publicznej trwa nadal do dnia dzisiejszego, czego w ogóle nie wyjaśnił organ w prowadzonym postępowaniu. Dostęp bowiem do rozkazu w wersji elektronicznej polega na tym, że każda osoba, której udzielny jest dostęp posiada wgląd do folderu, zawierającego wszystkie rozkazy dzienne za kolejne lata od początku istnienia Jednostki, tj. od 2009 r. i do wszystkich 365 rozkazów dziennych we wszystkich kolejnych lat. A zatem dane osobowe skarżącej w wyniku braku podjęcia działań przez organ są nadal udostępniane przez Jednostkę Wojskową w publicznej sieci, poprzez możliwość wglądu w dane osobowe kolejnym osobom upoważnianym do dostępu do pliku zawierającego rozkazy dzienne za cały okres funkcjonowania Jednostki. W dalszej kolejności odnosząc się do oceny naruszenia przez Jednostkę przepisów art. 51 ust. 1, 2 i 5 Konstytucji RP, art. 23 ust. 1 pkt 1 i 2 ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997 roku, art. 3 ust. 2 ustawy o Żandarmerii Wojskowej i wojskowych organach porządkowych oraz art. 3 § 2 ustawy - prawo o Prokuraturze w zakresie przetwarzania danych osobowych skarżącej, błędnym jest ustalenie, iż udostępnienie szerokiego katalogu danych osobowych skarżącej zalegających w jej aktach osobowych w jej teczce akt osobowych bez wezwania do Sądu Pracy, czy wielokrotnego przekazania do rożnych organów ścigania danych osobowych skarżącej, w tym danych wrażliwych dotyczących przynależności do związków zawodowych lub informacji o stanie zdrowia znajdowało oparcie w wówczas obowiązujących przepisach prawa. Nie sposób uznać, iż szereg inicjowanych bezpodstawnie postępowań z inicjatywy dowódcy JW [...] (w tym w stosunku do osoby trzeciej prywatnej, niebędącej pracodawcą), co do których odmawiano wszczynania postępowań w wyniku bezzasadności stawianych fałszywych zarzutów, miało uzasadniać dołączanie przez Jednostką Wojskową do zawiadomień o podejrzeniu popełnienia przestępstw, całej zawartości poufnych akt osobowych i innych dokumentów zawierających dane osobowe skarżącej oraz członków jej rodziny. Obowiązkiem organu było wyjaśnienie nie tylko podstawy prawnej, ale również celowość i adekwatność udostępnianych danych do potrzeb, czego organ nawet nie próbował ustalić. Ponadto, organ zwraca szczególną uwagę na treść art. 304 § 2 k.p.k., obligujące instytucje państwowe i samorządowe, które w związku ze swą działalnością dowiedziały się o popełnieniu przestępstwa ściganego z urzędu, do złożenia zawiadomienia o tym przestępstwie. Powołując się na tę właśnie podstawę, wyraża przekonanie, iż udostępnienie danych osobowych skarżącej na rzecz prokuratury, sądu, żandarmerii wojskowej miało oparcie w art. 23 ust. 1 pkt u.o.d.o. z dnia 29 sierpnia 1997 r. Skarżąca podkreślała, iż przepis ten nie daje podstawy do zawiadamiania organów ścigania przez dowódcę jednostki o podejrzeniu popełnienia przestępstwa dotyczącego sfery osobistej osób fizycznych, w szczególności niebędących zawiadamiającymi, związanych ze zniesławieniem, niezwiązanych w żaden sposób z działalnością jednostki, a dodatkowo w przypadku których obowiązuje tryb prywatnoskargowy (Jednostka Wojskowa dołączyła skserowaną całą zawartość poufnych akt osobowych skarżącej do zawiadomienia w sprawie osoby trzeciej - prywatnej, niebędącej pracodawcą, w sytuacji gdy zawiadomienie w ogóle nie dotyczyło skarżącej i nie miało z jej osobą nic wspólnego). Zdaniem skarżącej organ nie zadał sobie najmniejszego trudu, aby zbadać załączone do pism skarżącej wnioski dowodowe stwierdzające samoistne dołączanie do zawiadomień sporządzanych dla celów prywatnych przez M. K. jako dowódcę Jednostki Wojskowej skserowanych w całości akt osobowych skarżącej oraz innych dokumentów ujawniających dane osobowe wrażliwe dotyczące przynależności do organizacji związkowej i danych o stanie zdrowia (dowód: zał. 1, 2, 3, 5 do pisma z dnia [...] sierpnia 2018 roku oraz zał. 5,6,9 do pisma z dnia [...] czerwca 2017 roku). Prezes Urzędu Ochrony Danych Osobowych wnosił o oddalenie skargi w całości. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, sprawowaną pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Na podstawie art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. 2019r., poz.2325, zwanej dalej p.p.s.a.) Sąd przy rozstrzyganiu sprawy nie jest związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Na wstępie należy zaznaczyć, że postępowanie administracyjne prowadzone przez Prezesa Urzędu na podstawie ustawy z dnia 29 sierpnia 1997r. o ochronie danych osobowych (t.j. Dz.U. z 2016r., poz. 922) było ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 18 ust. 1 ustawy z 1997 r. w związku z art. 160 ust. 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018r., poz. 1000). W stanie faktyczny sprawy znajdują przy tym zastosowanie przepisy ustawy z 1997 r., której przepisy stosowane są na mocy art. 160 ust. 2 ustawy z 2018 r. do postępowań wszczętych i niezakończonych przed 25 maja 2018 r., organ nie jest władny zastosować sankcji ani innych uprawnień wynikających z RODO. Prezes Urzędu jest organem uprawnionym wyłącznie do oceny kwestii dotyczących przetwarzania danych osobowych. Prezes Urzędu nie posiada kompetencji pozwalających mu na decydowanie w przedmiocie dysponowania przez administratorów danych nośnikami informacji (w tym danych) tj. m.in. dokumentami, korespondencją (w postaci listów), plikami, elementami poczty elektronicznej. Postępowanie prowadzone przez Prezesa Urzędu jest bowiem postępowaniem administracyjnym, po przeprowadzeniu którego w myśl (3 art. 18 ust. 1 pkt 1 ustawy z 1997 r., organ ten wydaje decyzje administracyjne nakazujące usunięcie uchybień i - w razie ustalenia, iż administrator danych przetwarza je niezgodnie z przepisami o ochronie danych osobowych - przywrócenie stanu zgodnego z prawem. Jak wynika z brzmienia art. 18 ust. 1 ustawy z 1997 r., w przypadku naruszenia przepisów o ochronie danych osobowych, organ do spraw ochrony danych osobowych z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazywał przywrócenie stanu zgodnego z prawem, a w szczególności usuniecie uchybień (pkt 1), uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych (pkt 2), zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe (pkt 3), wstrzymanie przekazywania danych osobowych do państwa trzeciego (pkt 4), zabezpieczenie danych lub przekazanie ich innym podmiotom (pkt 5), usunięcie danych osobowych (pkt 6). Przy czym Prezes Urzędu nie dysponuje środkami mogącymi przywrócić stan zgodny z prawem w związku z naruszeniem ochrony danych osobowych w sytuacji nieuprawnionego udostępnienia danych, do którego doszło a które nie ma już miejsca w dacie wydania decyzji. Jest bowiem zdarzenie nieodwracalne. Wstęp ten jest o tyle istotny, iż wskazane przepisy determinują zakres możliwości działania organu w przedmiotowej sprawie, co ma bezpośredni związek z zakresem postępowania, w tym dostępnych i przeprowadzonych przez organ dowodów. Odnosząc się do kwestii udostępnienia przez pracodawcę danych osobowych skarżącej dotyczących stanu zdrowia w dokumencie wewnętrznym o nazwie rozkaz dzienny i udostępnienie ww. danych w sieci elektronicznej na rzecz ok. 90 osób trzecich, organ wskazał, że z akt sprawy wynika, że osoby mające dostęp do danych osobowych skarżącej zawartych w jej zwolnieniach lekarskich (w tym danych wrażliwych) były upoważnione przez pracodawcę do przetwarzania tych danych w związku z zadaniami i obowiązkami wykonywanymi przez nich w ramach stosunku pracy - były pracownikami działu kadr i księgowości. Słusznie organ zwrócił uwagę, iż należy rozróżnić zakwestionowany dostęp około 90 osób do samego treści rozkazu dziennego w systemie od dostępu tych osób do treści danych osobowych skarżącej zawartych w załącznikach widniejących w procesie obiegu tej dokumentacji w Jednostce Wojskowej. Z zebranego materiału wynika, że treść korespondencji wraz z załącznikami zawierającymi dane osobowe skarżącej była dostępna dla ściśle określonych adresatów uprawnionych do jej odbioru, nie zaś dla wszystkich 90 osób korzystających z systemu. Ponadto załączniki z danymi osobowymi skarżącej posiadały zastrzeżenie z dopiskiem "tylko adresat" świadczący o tym, że nie były przeznaczone do wiadomości osób trzecich. W aktach nie ma również dowodów, które wskazywałyby, że pozostałe osoby trzecie (około 90 osób), które nie były pracownikami działu kadr i księgowości miały wgląd w dane osobowe skarżącej zawarte w jej zwolnieniach lekarskich lub w treści jej akt osobowych, a więc, że dane te zostały im udostępnione. Organ uwzględnił dyspozycję art. 37 ustawy z 1997 r. zgodnie, z którą do przetwarzania danych mogły być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. Istotnie ustawodawca nie przesądzał ani o treści, ani o formie upoważnienia do przetwarzania danych wydanego przez administratora danych. Przyjęta została wykładnia zgodnie, z którą upoważnienie takie powinno mieć formę pisemną, charakter imienny oraz określać dozwolony zakres przetwarzania danych. Wydawane powinno być nie tylko osobom, które bezpośrednio zatrudnione zostały w celu prowadzenia przetwarzania danych, ale również innym osobom mogącym w takim przetwarzaniu uczestniczyć (kierownikom jednostek organizacyjnych, pracownikom działu kadr i działu płac itp.). Zgodnie z oświadczenie Jednostki Wojskowej dostęp do rozkazu dziennego mają użytkownicy elektronicznego systemu obiegu dokumentów, posiadający stosowne upoważnienie wystawione oddzielnie lub też, wynikające z rozkazu dowódcy, który jest wydawany, co roku i określa imiennie osoby mające dostęp do rozkazów oraz zakres tego dostępu. Taki zakres rozkazu dowódcy JW spełnia warunki upoważnienia, o którym mowa w art. 37 ustawy z 1997 r. Zawiera takie elementy jak wskazanie upoważnionej osoby z imienia i nazwiska oraz określa zakres danych, do których mają one dostęp. Nie można zatem uznać za zasadny zarzut skarżącej, iż jej dane osobowe zostały udostępnione do publicznej wiadomości a dostęp do nich miały osoby nieuprawnione. Organ prawidłowo odniósł się do zarzutu skarżącej dotyczącego naruszenia przez pracodawcę spełnienia obowiązku informacyjnego. Na podstawie art. 24 ust. 1 ustawy z 1997 r. w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych był obowiązany poinformować tę osobę o; 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku; 2) celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych; 3) prawie dostępu do treści swoich danych oraz ich poprawiania; 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. Administrator danych był zwolniony ze spełnienia obowiązku informacyjnego na mocy art. 24 ust. 2 pkt 2 ustawy z 1997 r., jeśli osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 1. Skarżąca w oparciu o umowę o pracę była pracownikiem Jednostki Wojskowej przez okres 8 lat, jest zatem rzeczą oczywistą i nie wymagającą postępowania dowodowego konkluzja, że tymi danymi dysponowała. Kolejny zarzut skargi dotyczył przekroczenia uprawnień przez dowódcę JW w zakresie udostępniania danych przekazanych m.in. do Prokuratury Rejonowej [...] Dział ds. [...] z postępowania przed Generalnym Inspektorem Ochrony Danych Osobowych, wielokrotnego przekazania do różnych organów ścigania danych osobowych skarżącej, udostępnienia danych osobowych skarżącej zawartych w jej aktach osobowych na rzecz Sądu Pracy. Organ słusznie wskazał, iż z materiału dowodowego zgromadzonego w niniejszej sprawie wynika, że zawiadomienia inicjujące postępowania karne złożone przez pracodawcę były w jego ocenie uzasadnione, zaś zakres danych osobowych skarżącej w związku z tym przekazany, był niezbędny do osiągnięcia celu, tj. udowodnienia swoich racji przed konkretnym organem. Ten sam cel istniał w sytuacji przekazania przez Jednostkę Wojskową danych osobowych skarżącej na żądanie Żandarmerii Wojskowej. Organ nie miał żadnych możliwości prawnych oceny przydatność przekazanych danych osobowych. Ta kwestia może być oceniona wyłącznie przez podmioty prowadzące postępowania w poszczególnych sprawach, które czynią to zgodnie z obowiązującą je procedurą. Prezes Urzędu uprawniony jest jedynie do stwierdzenia, czy przekazanie danych osobowych skarżącej znajdowało uzasadnienie w przesłankach uregulowanych art. 23 ustawy z 1997 r. Zgodnie z art. 1 u.o.d.o. przetwarzanie danych osobowych może mieć miejsce, jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą lub dobru osób trzecich. Ochrona danych osobowych, na podstawie przepisów powołanej ustawy, nie powinna być oderwana od przepisów służących ochronie innych wartości. W art. 23 ust. 1 u.o.d.o. zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Przepis ten określa ogólne materialne przesłanki przetwarzania danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one co do zasady równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza to także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych (wyrok Naczelnego Sądu Administracyjnego z dnia 25 lipca 2017 r., I OSK 2859/16). Pomiędzy skarżącą a Jednostką Wojskową powstał szereg sporów, które skutkowały licznymi postępowaniami karnymi oraz postępowaniem przed sądem pracy. Pracodawca udostępnił dane osobowe skarżącej wyłącznie na rzecz właściwych do przeprowadzenia określonych postępowań organów w związku z podejrzeniem popełnienia przez skarżącą czynów zabronionych, bądź czynił to na żądanie organów uprawnionych. Powyższe działanie pracodawcy mieściło się w normie prawnej art. 23 ust. 1 pkt 2 ustawy z 1997r. i było działaniem legalnym. Kolejny zarzut skarżącej dotyczył udostępnienia przez pracodawcę jej danych osobowych w zakresie przynależności do organizacji związkowej i stanu zdrowia. Należy przyznać rację organowi, iż w razie powzięcia wątpliwości, czy dany pracownik należy do organizacji związkowych, działających w zakładzie pracy, pracodawca powinien zwrócić się do tych organizacji z pytaniem, czy dany pracownik przynależy do organizacji i czy korzysta z obrony praw pracowniczych tej organizacji. Zgodnie bowiem z treścią art. 232 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (t.j. Dz. U. z 2018 r., poz. 917) jeżeli przepisy prawa pracy przewidują współdziałanie pracodawcy z zakładową organizacją związkową w indywidualnych sprawach ze stosunku pracy, pracodawca ma obowiązek współdziałać w takich sprawach z zakładową organizacją związkową reprezentującą pracownika z tytułu jego członkostwa w związku zawodowym albo wyrażenia zgody na obronę praw pracownika niezrzeszonego w związku - zgodnie z ustawą o związkach zawodowych. Organ prawidłowo wywiódł, iż niezasadne było ponowne zwrócenie się do tego samego związku zawodowego i przekazanie mu informacji o zamiarze i trybie rozwiązania stosunku pracy. Pracodawca dysponował bowiem odpowiedzią związku zawodowego, zgodnie z którą W. A. nie jest członkiem organizacji i nie korzysta z obrony praw pracowniczych tej organizacji. Naruszenie to miało charakter jednorazowy i dokonany. W świetle przytoczonych w początkowym fragmencie rozważań przepisów organ przy takim stanie faktycznym nie miał żadnej możliwości działania w tym zakresie. Nie można też uznać za chybionej konkluzji organu, iż Jednostka Wojskowa w dacie wydania decyzji przetwarzała dane osobowe skarżącej w sposób prawidłowy. Pracodawca zobowiązana jest do przechowywania dokumentacji w sprawach związanych ze stosunkiem pracy oraz akt osobowych pracowników w warunkach niegrożących uszkodzeniem lub zniszczeniem jak również do przechowywania listy płac, kart wynagrodzeń albo innych dowodów, na podstawie których następuje ustalenie podstawy wymiaru emerytury lub renty, przez okres 50 lat od dnia zakończenia u niego pracy przez ubezpieczonego. Powyższe wynika z art. 94 pkt 9b ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (t.j. Dz. U. z 2018 r., poz. 917), a ponadto z art. 125a ust, 4 ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych (t.j. Dz. U. z 2018 r., poz. 1270). W ocenie Sądu, należy uznać, że w rozpoznawanej sprawie Prezes Urzędu Ochrony Danych Osobowych przeprowadził postępowanie dowodowe w zakresie niezbędnym do jej rozstrzygnięcia. Sąd stwierdził, iż ustalenia faktyczne, jakich dokonał organ nadzorczy, pozwoliły na wyprowadzenie wniosków końcowych, które uznać należy za prawidłowe i zgodne z obowiązującymi zasadami postępowania. Według Sądu, przeciwne twierdzenia skarżącej nie zostały dostatecznie wykazane i poparte istotnymi dowodami oraz przepisami prawa. Mając powyższe na uwadze, należy uznać, że wydając sporną decyzję administracyjną, Prezes Urzędu Ochrony Danych Osobowych nie dopuścił się w toku postępowania jakichkolwiek istotnych uchybień formalnych, które uniemożliwiłyby Sądowi dokonanie prawidłowej oceny zarzutów skargi i wypowiedzenie się co do legalności podjętego rozstrzygnięcia. Sąd uznał, że uzasadnienie zaskarżonej decyzji spełnia wymogi przewidziane przez ustawodawcę w przepisie art. 107 § 3 k.p.a., gdyż w jej treści organ nadzorczy wyraźnie wskazał, dlaczego - pomimo podniesionych przez stronę skarżącą argumentów i przedłożonych materiałów dowodowych - nie wykazano, aby doszło do niezgodnego z prawem przetwarzania danych osobowych dotyczących skarżącej, a w konsekwencji, by administrator danych dopuścił się naruszenia przepisów o ochronie danych osobowych. W konsekwencji, w ocenie Sądu, wbrew twierdzeniom strony skarżącej, prawidłowe ustalenia faktyczne poczynione w toku postępowania wyjaśniającego przez Prezesa UODO dały temu organowi pełną podstawę do wydania zaskarżonej decyzji. Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2016 r., poz. 718 ze zm.) orzekł o oddaleniu skargi.