II SA/Wa 34/15

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska, Sędziowie WSA Ewa Grochowska-Jung (spr.), Iwona Maciejuk, Protokolant specjalista Elwira Sipak, po rozpoznaniu na rozprawie w dniu 8 września 2015 r. sprawy ze skargi C. K. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2014 r. nr [...] w przedmiocie przetwarzania danych osobowych – oddala skargę w całości – Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] października 2014 r., Nr [...], wydaną na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2013 r., poz. 267 z późn. zm.), art. 12 pkt 2, art. 22 i art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2014 r., poz. 1182), po rozpoznaniu wniosku C. K., utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] maja 2014 r., Nr [...], dotyczącą przetwarzania danych osobowych Skarżącego, którą odmówił uwzględnienia wniosku. W uzasadnieniu organ wskazał, iż do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga C. K. na ,,naruszenia obowiązków informacyjnych, o których jest mowa w ustawie o ochronie danych osobowych i ustawie o świadczeniu usług drogą elektroniczną’’. Skarżący wniósł o sprawdzenie, czy doszło do naruszenia obowiązków informacyjnych w związku z odpowiedzią przez niego na ogłoszenie, znajdujące się na portalu www. [...].pl, rozpoczynające się od następujących słów >>[...].pl Firma, będąca częścią struktury międzynarodowej, zatrudni pracownika na stanowisko: [...]<<, a jeżeli je naruszono, to o nakazanie odpowiednim podmiotom w drodze decyzji o poinformowanie o przetwarzaniu jego danych osobowych. Wskazał, iż nie wie kto był adresatem jego odpowiedzi na ogłoszenie, nadto jego zdaniem, jednym z administratorów jego danych osobowych jest właściciel portalu www. [...].pl Grupa [...] Sp. z o.o., z siedzibą w W., przy ul. [...] (obecnie Grupa [...] S.A.). W celu rozpatrzenia przedmiotowego wniosku Generalny Inspektor Ochrony Danych Osobowych przeprowadził postępowanie wyjaśniające, w toku którego ustalił, że Grupa [...] S.A. pozyskała dane osobowe Skarżącego w postaci adresu e-mail [...] dnia [...] grudnia 2010 r. na podstawie art. 23 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), zwanej dalej ustawą, w związku z zarejestrowaniem się Skarżącego na stronie serwisu www. [...].pl w charakterze usługobiorcy usługi ,, [...]’’, świadczonej przez Spółkę na podstawie ,,Regulaminu świadczenia usług drogą elektroniczną’’ w związku z art. 8 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. z 2013 r., poz. 1422). ,,Celem przetwarzania danych osobowych Skarżącego jest świadczenie na jego rzecz wskazanej usługi. Źródłem danych jest podmiot danych osobowych, tj. Skarżący. Dane osobowe Skarżącego przetwarzane są przez Spółkę jako administratora danych w rozumieniu ustawy o ochronie danych osobowych w >>Zbiorze danych użytkowników portalu [...].pl<<, zarejestrowanym w rejestrze GIODO pod Nr księgi [...]’’. ,,Spółka spełniła wobec Skarżącego obowiązek informacyjny, o jakim mowa w art. 24 u.o.d.o. w momencie rejestrowania się Skarżącego na stronie serwisu www. [...].pl w charakterze Usługobiorcy, korzystającego z usługi >>Profil z danymi Usługobiorcy<<, tj. w dniu [...] grudnia 2010 r. Spółka czyni zadość wskazanemu obowiązkowi poprzez odpowiednie zapisy zawarte w Regulaminie świadczenia usług drogą elektroniczną w ramach serwisów należących do Grupa [...] Sp. z o.o.’’ (kopia Regulaminu w aktach sprawy). ,,Niezależnie od tego Spółka przetwarza dane osobowe Skarżącego zawarte w dokumentacji spraw, dotyczących Skarżącego, w związku z jego skargami zgłaszanymi do Spółki oraz do GIODO’’. Zdaniem Spółki w ww. zakresie ,,Spółka zwolniona jest z obowiązku informacyjnego na podstawie art. 24 ust. 2 pkt 2 u.o.d.o.’’. ,,Przetwarzanie danych osobowych Skarżącego w związku z jego odpowiedzią na ogłoszenie o pracę, będące przedmiotem skargi do GIODO z dnia [...] lipca 2013 r., nastąpiło (...) niezależnie od przetwarzania danych przez Spółkę w związku ze świadczeniem usługi >>Profil z danymi Usługobiorcy<<’’. W związku z odpowiedzią Skarżącego na ww. ogłoszenie dane osobowe Skarżącego przesłane zostały przez Skarżącego bezpośrednio do Pracodawcy, który opublikował wskazane ogłoszenie o pracę w formie tzw. ogłoszenia ukrytego. Wskazanym pracodawcą była firma [...] Sp. z o.o., z siedzibą pod adresem: ul. [...] L. We wskazanym procesie rekrutacyjnym firma ta pełniła rolę administratora danych w rozumieniu art. 7 pkt 4 u.o.d.o. Przesłanie danych osobowych Skarżącego zrealizowane zostało za pośrednictwem platformy informatycznej, udostępnionej na stronie serwisu www. [...].pl i należącej do Spółki, co nastąpiło na podstawie umowy powierzenia, zawartej pomiędzy Spółką a firmą [...] Sp. z o.o. Zgodnie z umową, Spółka w procesie transferu danych osobowych Skarżącego pełniła rolę podmiotu przetwarzającego dane osobowe, o jakim mowa w art. 31 u.o.d.o. Ww. umowa powierzenia z dnia [...] lutego 2012 r. ,,stanowi element treści Ogólnych zasad współpracy z Grupa [...] Sp. z o.o. (pkt 4), zaakceptowanych przez [...] Sp. z o.o. w formie zamówienia [...] z dnia [...] lutego 2012 r.’’ (kopie ww. Ogólnych zasad oraz zamówienia w aktach sprawy). Zdaniem Spółki w związku z odpowiedzią Skarżącego na ww. ogłoszenie podmiotem obowiązku informacyjnego, o jakim mowa w art. 24 i 25 u.o.d.o. jest administrator danych, tj. firma [...] Sp. z o.o. W przypadku aplikowania na ogłoszenie ukryte każdy użytkownik, w tym Skarżący, uzyskał jednak uprzednio od Spółki jednoznaczną informację o treści: >>Informujemy, że dane osobowe zawarte w dokumentach aplikacyjnych są zbierane w celu przeprowadzenia procesów rekrutacyjnych i pozostają niejawne. W razie aplikowania na ogłoszenie bez podanej nazwy firmy, informacje na temat administratora danych (pracodawcy) zostaną Ci przekazane bezpośrednio przez pracodawcę w terminie późniejszym, niezwłocznie po otrzymaniu aplikacji przez Pracodawcę. Jeżeli nie zgadzasz się na taką procedurę, prosimy o nieprzysyłanie aplikacji na to ogłoszenie<<. Klauzula ta została zamieszczona pod ogłoszeniem ukrytym. ,,Rekrutacja na wskazane stanowisko prowadzona była przez Pracodawcę, tj. firmę [...] Sp. z o.o., z siedzibą pod adresem: ul. [...] L. (...) Pracodawca ten opublikował ogłoszenie dotyczące tej rekrutacji m.in. na stronie www. [...].pl, co nastąpiło na podstawie umowy (...). Aplikacja Skarżącego została przekazana do [...] Sp. z o.o. za pośrednictwem platformy informatycznej www. [...].pl w dniu [...] marca 2012 r., tj. w dniu, w którym Skarżący odpowiedział na wskazaną ofertę pracy’’. Jednocześnie Spółka wskazała, iż dane osobowe Skarżącego, dotyczące jego odpowiedzi na ww. ogłoszenie zostały usunięte w dniu [...] lipca 2012 r., tj. po upływie standardowego okresu 28 dni od momentu zdjęcia ze strony www. [...].pl ogłoszenia dotyczącego rekrutacji na stanowisko Kontroler Finansowy/Główny Księgowy. Spółka informowała o tym firmę [...] Sp. z o.o. za pomocą odpowiedniego komunikatu, dostępnego w aplikacji internetowej www. [...].pl, a firma [...] Sp. z o.o. nie występowała do Spółki o odrębne potwierdzenie tego faktu w innej formie. Natomiast [...] Sp. z o.o. z siedzibą w L. wyjaśniła, że ,,pozyskała dane osobowe Skarżącego w marcu 2012 r. za pośrednictwem Grupy [...] Sp. z o.o., która w marcu 2012 r. na zlecenie [...] Sp. z o.o. prowadziła rekrutację na stanowisko Kontroler Finansowy na rzecz [...] Sp. z o.o. Dane uzyskane zostały w związku z odpowiedzią Skarżącego na ogłoszenie Grupy [...] Sp. z o.o.’’. "W wyniku otrzymanej za pośrednictwem Grupy [...] Sp. z o.o. aplikacji Skarżącego, Spółka dysponowała następującymi kategoriami danych osobowych: imię i nazwisko, miejsce zamieszkania, numer telefonu, wykształcenie, przebieg dotychczasowego zatrudnienia. Aplikację na stanowisko Kontroler Finansowy oraz życiorys Skarżącego Spółka ([...] Sp. z o.o.) pozyskała pocztą elektroniczną od Skarżącego za pośrednictwem Grupy [...] Sp. z o.o.". Jednocześnie Spółka wyjaśniła szczegółowo na czym polegało pośrednictwo Grupy [...] Sp. z o.o. w ww. rekrutacji oraz wskazała, iż nie przekazała danych osobowych Skarżącego innym podmiotom. Wyjaśniła, iż w piśmie z dnia [...] września 2013 r. poinformowała Skarżącego, że Grupa [...] Sp. z o.o., z siedzibą w P., prowadziła w marcu 2012 r. rekrutację na stanowisko Kontroler Finansowy na rzecz [...] Sp. z o.o., z siedzibą w L., ul. [...] oraz, że na podstawie art. 24 ust. 1 pkt 3 ustawy przysługuje Skarżącemu prawo dostępu do treści jego danych osobowych oraz ich poprawienia. Nadto wskazała, iż usunęła dane osobowe Skarżącego w dniu [...] grudnia 2013 r., o czym poinformowała Skarżącego. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] maja 2014 r., Nr [...] odmówił uwzględnienia wniosku. Od powyższej decyzji C. K. złożył wniosek o ponowne rozpatrzenie sprawy. W wyniku ponownego rozpatrzenia sprawy Generalny Inspektor Ochrony Danych Osobowych wyjaśnił, że z materiału dowodowego zgromadzonego w sprawie wynika jednoznacznie, że Spółce Grupa [...] S.A. nie przysługuje status administratora danych w odniesieniu do danych osobowych Skarżącego będących przedmiotem skargi. Organ wyjaśnił, iż według art. 31 ustawy o ochronie danych osobowych, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych (ust. 1). Podmiot ten może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (ust. 2), a także jest obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych, o których mowa w art. 36-39 oraz spełnić wymagania określone w przepisach, o których mowa w art. 39a. W zakresie przestrzegania tych przepisów ponosi odpowiedzialność jako administrator danych (ust. 3). W przypadkach, o których mowa w ust. 1-3, odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową (ust. 4). Do kontroli zgodności przetwarzania danych przez podmiot, o którym mowa w ust. 1, z przepisami o ochronie danych osobowych stosuje się odpowiednio przepisy art. 14-19 (ust. 5). Ponieważ zrównanie odpowiedzialności podmiotu, któremu powierzono dane osobowe do przetwarzania, z odpowiedzialnością administratora danych dotyczy tylko kwestii uregulowanych w przepisach wymienionych w art. 31 ust. 3 ustawy, dlatego na podmiocie przetwarzającym dane osobowe na zlecenie nie ciążą te obowiązki, które ustawa nakłada wyłącznie na administratora danych, w szczególności obowiązki informacyjne, w tym określone w art. 24, 25 i 33 ustawy. Jak wynika ze zgromadzonego w sprawie materiału dowodowego, [...] Sp. z o.o. jako administrator danych osobowych Skarżącego, wypełniła w stosunku do Skarżącego obowiązki informacyjne, o których mowa w art. 24 ustawy, udzielając mu informacji, iż cyt.: ,,Grupa [...] Sp. z o.o., z siedzibą w P., prowadziła w marcu 2012 r. rekrutację na stanowisko Kontroler Finansowy na rzecz [...] Sp. z o.o., z siedzibą w L., ul. [...]’’ oraz że na podstawie art. 24 ust. 1 pkt 3 ustawy przysługuje Skarżącemu prawo dostępu do treści swoich danych oraz ich poprawienia. Dodatkowo w złożonych przed Generalnym Inspektorem wyjaśnieniach ww. podmioty oświadczyły, iż zarówno Spółka, jak i [...] Sp. z o.o. usunęły dane osobowe Skarżącego dotyczące jego odpowiedzi na ww. ogłoszenie o pracę. W konsekwencji oba podmioty aktualnie nie przetwarzają już ww. danych osobowych Skarżącego, w zakresie wskazanym w treści skargi. W skardze na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie C. K. wskazał, iż decyzja jest niezgodna z prawem, informacje zawarte w decyzji nie odzwierciedlają stanu faktycznego. Jego zdaniem istota problemu nie została rozwiązana, natomiast ustalenia odbiegają od istniejącego stanu prawnego a postępowania było stronnicze. Jednocześnie Skarżący wniósł o dokonanie oceny stanu rzeczy i nakazanie usunięcia błędów. Pełnomocnik Skarżącego w piśmie z dnia [...] maja 2015 r. uzupełnił skargę wnosząc o uchylenie zaskarżonej decyzji, której zarzucił naruszenie prawa materialnego przez błędną jego wykładnię lub niewłaściwie zastosowanie oraz przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. art. 7, 77 § 1, 138 § 1 k.p.a. oraz art. 8 ust. 1 w zw. z art. 12 pkt 1 w zw. z art. 14 pkt 1, 3, 4 i art. 24 ust. 1 pkt 1 w zw. z art. 54 i 19 ustawy o ochronie danych osobowych. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe ustalenia faktyczne i prawne. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Sąd administracyjny wykonuje wymiar sprawiedliwości, poddając kontroli decyzje wydawane przez organy administracji publicznej pod względem ich zgodności z prawem, badając czy właściwie zastosowano przepisy prawa materialnego i przestrzegano przepisów proceduralnych w postępowaniu administracyjnym. Tylko w przypadku stwierdzenia naruszenia prawa Sąd władny jest wzruszyć zaskarżoną decyzję. Artykuł 145 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 – dalej jako p.p.s.a.) określa w jakich sytuacjach decyzje podlegają uchyleniu. Dokonując oceny zasadności skargi C. K. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2014 r., Sąd doszedł do przekonania, że skarga ta nie ma usprawiedliwionych podstaw. Zgodnie z brzmieniem art. 7 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r., poz. 1182), administratorem danych jest organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych. Administratorem danych osobowych jest więc jedynie taki dysponent danych, który decyduje o celach i środkach ich przetwarzania. Przywołany przepis w swej treści posługuje się pojęciem "przetwarzania danych osobowych", a zatem konieczne jest także odwołanie się do ustawowej definicji tego pojęcia, gdyż "cele" i "środki" należy zawsze odnosić do procesu przetwarzania danych osobowych. W świetle art. 7 pkt 2 ustawy o ochronie danych osobowych, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Zestawiając chronologicznie opisane czynności, przetwarzanie danych osobowych zaczynać się będzie od etapu ich pozyskiwania (zbierania) i przebiegać poprzez utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie, kończyć zaś na etapie usunięcia danych. Ma to doniosłe znacznie dla oceny, który z podmiotów jest administratorem danych osobowych. Zgodzić się należy z organem, iż administratorem danych osobowych Skarżącego była [...] Sp. z o. o. Zgodnie z treścią art. 31 ust. 1 ustawy o ochronie danych osobowych, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (ust. 2). Podmiot, o którym mowa w ust. 1, jest obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych, o których mowa w art. 36-39, oraz spełnić wymagania określone w przepisach, o których mowa w art. 39a. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych (ust. 3). W przypadkach, o których mowa w ust. 1-3, odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową (ust. 4). Do kontroli zgodności przetwarzania danych przez podmiot, o którym mowa w ust. 1, z przepisami o ochronie danych osobowych stosuje się odpowiednio przepisy art. 14-19 (ust. 5). Z powyższego przepisu jasno wynika, że zleceniobiorcą danych może być podmiot, któremu – na podstawie pisemnej umowy – powierzono przetwarzanie danych, czyli powierzono pewien zbiór danych w ściśle określonym celu i zakresie. Wskazać należy, iż przedmiotem postępowania było przetwarzanie przez Grupę [...] S.A. oraz [...] Sp. z o. o. danych osobowych Skarżącego w związku z jego odpowiedzią z dnia [...] marca 2012 r. na ogłoszenie znajdujące się na portalu www. [...].pl, rozpoczynające się od słów "Klient [...].pl, Firma będąca częścią struktury międzynarodowej, zatrudni pracownika na stanowisko: Kontroler Finansowy/Główny Księgowy". Jak prawidłowo wskazano w uzasadnieniu zaskarżonej decyzji oraz decyzji ją poprzedzającej, z materiału dowodowego zgromadzonego w przedmiotowej sprawie wynikało jednoznacznie, iż spółce Grupa [...] S.A. nie przysługiwał status administratora danych w odniesieniu do danych osobowych Skarżącego. Dane te zostały przez Skarżącego przesłane bezpośrednio do pracodawcy, który opublikował wskazane ogłoszenie o pracę w formie tzw. ogłoszenia ukrytego. Wskazanym pracodawcą była firma [...] Sp. z o. o. z siedzibą w L. Firma ta we wskazanym procesie rekrutacyjnym pełniła rolę administratora danych w rozumieniu art. 7 pkt 4 u.o.d.o.. Przesłanie danych osobowych Skarżącego zrealizowane zostało za pośrednictwem platformy informatycznej udostępnionej na stronie serwisu www. [...].pl należącej do Grupy [...] S.A., co nastąpiło na podstawie umowy powierzenia z dnia [...] lutego 2012 r. pomiędzy spółką Grupa [...] S.A. a [...] Sp. z o. o. z siedzibą w L. Zgodzić się należy z organem, iż zrównanie odpowiedzialności podmiotu, któremu powierzono dane osobowe do przetwarzania z odpowiedzialnością administratora danych dotyczy tylko kwestii uregulowanych w przepisach wymienionych w art. 31 ust. 3 ustawy. Tym samym na podmiocie przetwarzającym dane osobowe na zlecenie nie ciążą te obowiązki, które ustawa nakłada wyłącznie na administratora danych, w szczególności obowiązki informacyjne, w tym określone w art. 24, 25 i 33 ustawy. Jak wynika ze zgromadzonego w sprawie materiału dowodowego, [...] Sp. z o. o. jako administrator danych osobowych Skarżącego, wypełniła w stosunku do Skarżącego obowiązki informacyjne, o których mowa w art. 24 ustawy, udzielając mu informacji, iż Grupa [...] Sp. z o. o. prowadziła w marcu 2012 r. rekrutację na stanowisko Kontroler Finansowy na rzecz [...] Sp. z o. o. z siedzibą w L., wskazując jednocześnie, iż na podstawie art. 24 ust. 1 i 3 ustawy przysługuje mu prawo do dostępu do jego danych osobowych oraz ich poprawiania. Nadto, jak to wynika z materiału dowodowego, obie spółki usunęły dane osobowe Skarżącego dotyczące jego odpowiedzi na ww. ogłoszenie o pracę, a zatem nie przetwarzają danych osobowych Skarżącego w zakresie wskazanym w treści jego wniosku do GIODO. Tym samym zdaniem Sądu organ dokonał rozstrzygnięcia w oparciu o cały materiał dowodowy, który podlegał rzetelnej i wszechstronnej analizie i ocenie, pod kątem zawartego w treści skargi żądania Skarżącego oraz wyżej przywołanych przepisów prawa. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 p.p.s.a. orzekł jak w sentencji wyroku.