II SA/Wa 2814/11

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Adam Lipiński, Sędziowie WSA Anna Mierzejewska, Waldemar Śledzik (spr.), Protokolant spec. Marek Kozłowski, po rozpoznaniu na rozprawie w dniu 5 marca 2012 r. sprawy ze skargi M. S.A. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2011 r. nr [...] w przedmiocie przetwarzania danych osobowych – oddala skargę – Decyzją z dnia [...] października 2011 r. Generalny Inspektor Danych Osobowych, działając na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (t.j. Dz. U. z 2000 r., Nr 98, poz. 1071 ze zm., zwanej dalej także "k.p.a."), art. 12 pkt 2, art. 22 w zw. z art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U z 2002 r. Nr 101, poz. 926 ze zm., zwanej dalej także "u.o.d.o."), po ponownym rozpatrzeniu sprawy M. w [...] S.A. z siedzibą w W. przy [...] (zwanego dalej także "M."), dotyczącej przetwarzania przez Niezależny Samorządny Związek Zawodowy NSZZ "Solidarność" w [...], z siedzibą w W. przy [...], Niezależny Samorządny Związek Zawodowy NSZZ "Solidarność 80" w M. [...], z siedzibą w W., z siedzibą w W. przy ul. [...], Wolny Związek Zawodowy Pracowników Gospodarki Wodnej i Ochrony Środowiska [...] w M. w [...], z siedzibą w W. przy [...], oraz Związek Zawodowy Pracowników Ruchu Ciągłego "M.", z siedzibą w W. przy [...], zwane dalej "związkami zawodowymi lub organizacjami związkowymi", danych osobowych pracowników M., udostępnionych organizacjom związkowym przez M. w celu przeprowadzenia referendum strajkowego, utrzymał w mocy swoją poprzedzającą decyzję z dnia [...] lipca 2011 r. nr [...]. Do wydania zaskarżonej decyzjo doszło w następującym stanie faktycznym i prawnym. Do Biura Generalnego Inspektora Ochrony Danych Osobowych (zwanego dalej także "GIODO") wpłynęła skarga M., dotycząca przetwarzania przez związki zawodowe (organizacje związkowe) działające w M., danych osobowych pracowników M., udostępnionych organizacjom związkowym przez M. w celu przeprowadzenia referendum strajkowego. W treści ww. skargi M. poinformowało, iż w dniu [...] listopada 2010 r. udostępniło czterem ww. organizacjom związkowym działającym na terenie M. listy pracowników w celu przeprowadzenia referendum strajkowego aktualne na dzień [...] września 2010 r. M. podniosło, iż pismem z dnia [...] listopada 2010 r. zwróciło się o "zwrot kompletnych list pracowników", natomiast związki zawodowe (organizacje związkowe) pismem z dnia [...] listopada 2010 r. odmówiły zwrotu ww. list argumentując, iż dane zawierające informacje o pracownikach biorących udział w referendum strajkowym stanowią odrębny zbiór danych, co do którego przetwarzania pracodawca nie jest uprawniony. W tej sytuacji M. wniosło o "nakazanie przywrócenia stanu zgodnego z prawem i usunięcie uchybień poprzez nakazanie działającym u wnioskodawcy organizacjom związkowym zwrotu list pracowników spółki udostępnionych celem przeprowadzenia referendum strajkowego (...)". W piśmie z dnia [...] stycznia 2011 r. M. doprecyzowało, iż domaga się "(...) zabezpieczenia danych będących w posiadaniu organizacji związkowych tak, aby nie zostały udostępnione osobom nieuprawnionym, bądź podjęcie działań w celu usunięcia danych osobowych, które zostały udostępnione (...) wyłącznie na potrzeby referendum strajkowego, które dawno się odbyło (...)". Następnie, w piśmie z dnia [...] maja 2011 r. dodało, iż "(...) przedmiotowe listy przekazano celem przeprowadzenia referendum, znajdowało się na nich miejsce na podpis osób biorących udział w referendum. Listy zwrócone pracodawcy nie zawierały podpisów pracowników, zatem organizacje związkowe musiały skopiować listy na potrzeby referendum (...)", dlatego też wnioskodawca "domaga się, aby (...) GIODO nakazał organizacjom związkowym usunięcie danych osobowych, których organizacje związkowe nie zwróciły pracodawcy, lub też aby organizacje związkowe zabezpieczyły zatrzymaną część danych przed ewentualnym dostępem osób trzecich (...)". Decyzją z dnia [...] lipca 2011 r. GIODO odmówiło uwzględnienia powyższego wniosku M. uzasadniając, że przetwarzanie przez organizacje związkowe danych osobowych pracowników M. w zakresie ich imienia i nazwiska dla celów przeprowadzenia referendum strajkowego było uprawnione i znajdowało swe oparcie w art. 23 ust. 1 pkt 2 ustawy w zw. z art. 28 ustawy o związkach zawodowych i art. 20 ust. 1 ustawy o rozwiązywaniu sporów zbiorowych. GIODO wyjaśnił, że zgodnie z art. 28 ustawy o związkach zawodowych pracodawca jest obowiązany udzielić na żądanie związku zawodowego informacji niezbędnych do prowadzenia działalności związkowej, w szczególności informacji dotyczących warunków pracy i zasad wynagradzania. Organizacja ma dostęp do informacji o wszystkich sprawach niezbędnych do prowadzenia działalności związkowej. Zgodnie z art. 20 ust. 1 ustawy o rozwiązywaniu sporów zbiorowych, strajk zakładowy ogłasza organizacja związkowa po uzyskaniu zgody większości głosujących pracowników, jeżeli w głosowaniu wzięło udział co najmniej 50% pracowników zakładu pracy. W świetle powyższego nie budziło wątpliwości organu, iż informacje w zakresie imion i nazwisk wszystkich pracowników zakładu pracy, tj. M., były niezbędne organizacjom związkowym do przeprowadzenia głosowania odnośnie ewentualnej akcji strajkowej i były niezbędne dla działalności związkowej, zatem ich pozyskania i przetwarzanie dla ww. celu było zgodne z art. 23 ust. 1 pkt 2 ustawy. Odnosząc się do wniosku (żądania) M. w zakresie "zwrotu kompletnych list pracowników" organ wskazał, że listy takie zostały M. zwrócone. W aktach sprawy znajduje się bowiem protokół zdawczo - odbiorczy opatrzony datą odbioru ww. list, tj. w dniu [...] listopada 2010 r., a także oświadczyły to organizacje związkowe w toku przeprowadzonego postępowania. Z kolei żądanie pozyskania przez M. informacji o pracownikach M., którzy wzięli udział w referendum strajkowym, zorganizowanym przez organizacje związkowe w dniach [...] listopada 2010 r. nie znajdowało uzasadnienia prawnego gdyż, w szczególności, M. nie wykazało żadnej z przesłanek z art. 23 ust. 1 ustawy uprawniającej go do pozyskania takich informacji oraz jakiemu konkretnemu celowi miałyby one służyć poza tym, że M. chciało dokonać weryfikacji, którzy z pracowników brali udział we wspomnianym referendum, nie przedstawiając jednak żadnych argumentów na powyższe. W tej sytuacji organ uznał, że stanowisko związków zawodowych odmawiające udostępnienia tych danych jest zasadne. Decyzja ta została zaskarżona przez pełnomocnika Spółki domagającego się ponownego rozpoznania sprawy oraz uchylenia decyzji w całości i wydania decyzji nakazującej organizacjom związkowym usunięcia dan6ych osobowych, których organizacje związkowe nie zwróciły pracodawcy lub też nakazania, aby organizacje związkowe zabezpieczyły zatrzymaną część danych przed ewentualnym dostępem osób trzecich. W uzasadnieniu wniosku podkreślono, że informacje dotyczące udziału poszczególnych imiennie wskazanych pracowników w referendum strajkowym były integralną częścią pozostałych danych zawartych w przekazanych przez pracodawcę listach pracowników. Ta część danych nie została pracodawcy zwrócona, zaś organizacje związkowe skopiowały listy otrzymane od pracodawcy na potrzeby referendum i zatrzymały kopie, oddając jedynie listy z niewypełnioną rubryką podpisów uczestników referendum. Po dokonaniu ponownej analizy materiału dowodowego GIODO decyzją z dnia [...] października 2011 r. ([...]) utrzymał w mocy zaskarżoną decyzję z dnia [...] lipca 2011 r. W uzasadnieniu organ podkreślił, że w sprawie – wbrew twierdzeniom odwołującego się - jednoznacznie ustalono fakt, że organizacje związkowe skopiowały listy otrzymane od pracodawcy na potrzeby referendum i zatrzymały owe kopie, oddały natomiast listy z niewypełnioną rubryką podpisów uczestników referendum. Nie zgodził się z tezą, że "informacje dotyczące udziału poszczególnych imiennie wskazanych pracowników w referendum strajkowym były integralną częścią pozostałych danych zawartych w przekazanych przez pracodawcę listach pracowników". Stwierdzenie to nie znajduje potwierdzenia, w szczególności, we wskazanym przez stronę piśmie związków zawodowych do Zarządu M. z dnia [...] listopada 2010 r., z którego nie wynika, aby związki zawodowe otrzymały od M. listy zawierające wykaz osób już biorących udział w referendum strajkowym. W rzeczywistości M. udostępniło na rzecz awiązków zawodowych jedynie dane osobowe pracowników w zakresie ich imienia i nazwiska dla celów przeprowadzenia referendum strajkowego. W związku z powyższym przetwarzanie tych danych przez związki zawodowe jest uprawnione i ma oparcie w przepisie art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych w zw. z art. 28 ustawy o związkach zawodowych oraz art. 20 ust. 1 ustawy o rozwiązywaniu sporów zbiorowych. Powyższa decyzja GIODO pismem z dnia [...] listopada 2011 r. została przez M. zaskarżona do Wojewódzkiego Sądu Administracyjnego w Warszawie. M. (zwane dalej także "Skarżącym") wniosło o uchylenie zaskarżonej decyzji oraz utrzymującej ją w mocy decyzji z dnia [...] lipca 2011 r., zarzucając organowi naruszenie art. 7, 77 § 1 i art. 80 k.p.a., polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz naruszenie art. 8 k.p.a. i art. 107 § 3 k.p.a. przez nienależyte uzasadnienie zaskarżonej decyzji. Ponadto Skarżący zarzucił naruszenie prawa materialnego, tj. art. 18 ust. 1 pkt 5 i 6 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych poprzez jego niezastosowanie i uznanie, że Skarżący nie ma interesu prawnego w zabezpieczeniu danych osobowych objętych jego wnioskiem. Podkreślił, że organizacje związkowe skopiowały listy, które otrzymały od Skarżącego, które następnie zostały uzupełnione podpisami osób biorących udział w referendum. Zwrócił też uwagę, że "organizacje związkowe kopiując listy pracowników dokonały przetworzenia danych, a nie wytworzyły własnych danych". Nie można zatem uznać, tak jak uczynił to organ, że Skarżący jako administrator danych, które zostały przetworzone wbrew wcześniejszych ustaleniom między stronami, nie ma interesu w żądaniu zabezpieczenia tych danych czy też ich usunięcia. W odpowiedzi na skargę GIODO podtrzymał swoje stanowisko wyrażone w zaskarżonych decyzjach. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym w świetle § 2 powołanego wyżej artykułu kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Stosownie natomiast do treści art. 3 § 2 pkt 5 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270), kontrola działalności administracji publicznej przez sądy administracyjne obejmuje orzekanie m.in. w sprawach skarg na akty prawa miejscowego organów jednostek samorządu terytorialnego i terenowych organów administracji rządowej. Badając skargę pod kątem wskazanych kryteriów Sąd uznał, że skarga nie zasługuje na uwzględnienie albowiem odpowiada prawu. Odnosząc się w pierwszej kolejności do zarzutów naruszenia przepisów prawa procesowego, tj. wskazanych przez Skarżącego art. 7, 77 § 1 i 80 k.p.a. Sąd uznał, że są one bezpodstawne. W ocenie Sądu, organ w sposób wyczerpujący zebrał i rozpatrzył cały materiał dowodowy zgromadzony w toku postępowania administracyjnego. W sprawie, w szczególności, bezspornym jest – wbrew twierdzeniom Skarżącego - że związki zawodowe dokonały zwrotu listy pracowników Skarżącemu. Świadczy o tym jednoznacznie protokół zdawczo – odbiorczy przekazania i odbioru listy pracowników M., aktualnej na dzień [...] września 2010 r., sporządzonej na potrzeby przeprowadzenia referendum strajkowego. Sąd zwraca uwagę, że z powyższego protokołu wynika, że listy te zostały przekazane przez pracodawcę związkom zawodowym w dniu [...] listopada 2010 r. – w ilości 106 stron listy pracowników, a zostały zwrócone pracodawcy w dniu [...] listopada 2010 r. – także w ilości 106 stron listy pracowników. Protokół ten został podpisany przez strony, tj. – ze strony związków zawodowych – przez A. C., zaś ze strony pracodawcy, przez M. K. – [...] Skarżącej (por. k. 53 akt adm. sprawy). W tym stanie rzeczy, domaganie się przez Skarżącego przeprowadzenia na powyższą okoliczność dodatkowego dowodu w postaci przesłuchania M. K., a więc osoby, która w imieniu Skarżącej dokonywała odbioru tych list, słusznie, zdaniem Sądu, zostało oddalone. W tym miejscu Sąd przypomina i zwraca uwagę, że zgodnie z art. 78 §2 k.p.a. organ administracji publicznej może nie uwzględnić żądania strony przeprowadzenia dowodu, jeżeli żądanie dotyczy okoliczności już stwierdzonych innymi dowodami – co w niniejszej sprawie miało miejsce poprzez wskazany protokół zdawczo-odbiorczy. Dodatkowo wskazać należy, że M. udostępniło na rzecz związków zawodowych dane osobowe pracowników M. w zakresie ich imienia i nazwiska dla celów przeprowadzenia referendum strajkowego. W związku z powyższym przetwarzanie przez organizacje związkowe wyżej wymienionych danych osobowych na wskazany cel było uprawnione i znajduje oparcie w art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, w związku z art. 28 ustawy ustawy z dnia 23 maja 1991 o związkach zawodowych. (t.j. Dz. U. z 2001 r. Nr 79, poz. 854 ze zm. ) i art. 20 ust. 1 ustawy z dnia 23 maja 1991 r. o rozwiązywaniu sporów zbiorowych (Dz. U. Nr 55, poz. 236 ze zm.). Zgodnie bowiem z art. 28 ustawy o związkach zawodowych, pracodawca jest obowiązany udzielić na żądanie związku zawodowego informacji niezbędnych do prowadzenia działalności związkowej, w szczególności zaś informacji dotyczących warunków pracy i zasad wynagradzania. Zatem organizacja ma dostęp do informacji o wszystkich sprawach niezbędnych do prowadzenia działalności związkowej. Z kolei zgodnie z art. 20 ust. 1 ustawy o rozwiązywaniu sporów zbiorowych, strajk ogłasza organizacja związkowa po uzyskaniu zgody większości głosujących pracowników, jeżeli w głosowaniu wzięło udział co najmniej 50% pracowników zakładu pracy. W związku z przytoczonymi regulacjami, bezsporne jest także, że żądane przez związki zawodowe informacje w zakresie imion i nazwisk wszystkich pracowników zakładu pracy, tj. M. były niezbędne organizacjom związkowym do przeprowadzenia głosowania odnośnie ewentualnej akcji strajkowej i były niezbędne dla działalności związkowej, a w konsekwencji, ich pozyskania i przetwarzanie dla było zgodne z art. 23 ust. 1 pkt 2 u.o.d.o. Odnosząc się do żądania Skarżącego dotyczącego "zwrotu kompletnych list pracowników", przez co rozumie listy pracowników, w których byłyby odnotowane informacje o tych pracownikach, którzy "wzięli udział w referendum strajkowym, zorganizowanym przez organizacje związkowe w dniach [...] listopada 2010 r." Sąd podziela stanowisko organu, że nie znajduje ono uzasadnienia prawnego. Skarżący nie wykazał bowiem żadnej z przesłanek z art. 23 ust. 1 u.o.d.o. uprawniającej go do pozyskania takich informacji. Ze zgromadzonych akt administracyjnych sprawy wynika, że zarówno w pismach kierowanych przez Skarżącego do organizacji związkowych, jak i w toku postępowania administracyjnego przed GIODO, Skarżący nie wykazał jakiemu konkretnemu celowi miałoby służyć pozyskanie wzmiankowanych informacji. Tymczasem z brzmienia art. 23 u.o.d.o. oraz z analizy całej ustawy wyprowadzić można ogólną zasadę, że "wszelkie przetwarzanie danych, które nie jest dozwolone, jest zakazane" (por. dla przykładu komentarz do art. 23 ustawy o ochronie danych osobowych pod. Red. J. Barta, P. Fajgielskiego, R. Markiewicza). Ustawa bowiem w sposób taksatywny wyszczególnia okoliczności, które tworzą warunki niezbędne do legalizacji przetwarzania danych osobowych (w tym także poszczególnych jego składników, a więc np. zbierania danych). Obok przypadków podanych w komentowanym artykule wskazać trzeba jeszcze na dopuszczalność: a) przetwarzania danych przez osoby fizyczne wyłącznie w celach osobistych lub domowych (art. 3a ust. 1 pkt 1 u.o.d.o.); b) włączania danych osobowych do zbiorów sporządzanych doraźnie, wyłącznie ze względów technicznych, szkoleniowych lub w związku z dydaktyką w szkołach wyższych, a po ich wykorzystaniu niezwłocznie usuwanych albo poddanych anonimizacji (art. 2 ust. 3 u.o.d.o.); c) tranzytu danych przez terytorium RP (art. 3a ust. 1 pkt 2 u.o.d.o.); d) przetwarzania danych w zakresie prasowej działalności dziennikarskiej, literackiej i artystycznej (art. 3a ust. 2 u.o.d.o.).Skarżący chciał wyłącznie dokonać jedynie weryfikacji, którzy z pracowników brali udział we wspomnianym referendum. Odnosząc się do zarzutu skargi dotyczącego nieuwzględnienia wniosku Skarżącego aby GIODO spowodował "zabezpieczenie zatrzymanej części danych przez związki zawodowe przed ewentualnym dostępem osób trzecich", Sąd podzielił opinię organu, że informacje o udziale pracowników w referendum strajkowym są informacjami wytworzonymi przez związki zawodowe, stąd też pracodawca nie ma interesu tak w ich pozyskaniu, jak i zabezpieczeniu. Zgodnie z art. 18 ust.1 u.o.d.o., w przypadku naruszenia przepisów o ochronie danych osobowych GIODO z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. Treścią takiej decyzji powinien być więc nakaz przywrócenia stanu zgodnego z prawem, który może dotyczyć konkretnego, określonego w art. 18 ust. 1 pkt 1-6 u.o.d.o. działania lub zaniechania. Jak wskazuje G. Sibiga (Postępowanie w sprawach ochrony..., s. 153), mamy tu do czynienia ze stopniowaniem sankcji administracyjnych (w zależności od rodzaju uchybienia), a Generalny Inspektor powinien stosować konkretne nakazy z uwzględnieniem charakteru stwierdzonego naruszenia, tj. adekwatne (współmierne) do stopnia naruszenia i zagrożenia praw osoby, której dane dotyczą. Skoro obowiązek właściwego zabezpieczenia danych osobowych, wynikający z art. 36 ust. 1 u.o.d.o., spoczywa na administratorze danych osobowych, którym w odniesieniu do tychże informacji (tj. o udziale pracowników w referendum) są związki zawodowe, a nie Skarżący, to tym samym jako oczywiście bezzasadny uznać należy zarzut Skarżącego dotyczący naruszenia art. 18 ust. 1 pkt 5 i 6 u.o.d.o. Za bezzasadny Sąd uznał także zarzut Skarżącego dotyczący naruszenia przez organ art. 107 § 3 k.p.a., tj. braku wystarczającego uzasadnienia wydanej decyzji. W ocenie Sądu, zarówno uzasadnienia przedstawione w decyzji dnia [...] lipca 2011 r., jak i utrzymującej ją w mocy decyzji z dnia [...] października 2011 r., w sposób wyczerpujący podają przyczyny i motywy rozstrzygnięcia oraz wyjaśniają stronom zasadność przesłanek, którymi organ kierował się przy rozstrzyganiu sprawy. Sąd oceniając zaskarżoną decyzję nie stwierdził także żadnych innych uchybień, których istnienie powinien uwzględnić z urzędu. Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi – orzekł, jak w sentencji wyroku