II SA/Wa 96/18

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA – Przemysław Szustakiewicz Sędzia WSA – Ewa Marcinkowska Sędzia WSA – Stanisław Marek Pietras (spraw.) Protokolant – specjalista Elwira Sipak po rozpoznaniu na rozprawie w dniu 11 października 2018 r. sprawy ze skargi A. S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych – oddala skargę – Skarżąca A. S. była zatrudniona V. sp. z o.o. sp. j., przekształconej następnie w V. sp. z o.o. z siedzibą w R., która aktualnie przetwarza jej dane osobowe, jako byłego pracownika Spółki, w celach związanych z zatrudnieniem jej w Spółce. W skardze z dnia [...] maja 2017 r. do Generalnego Inspektora Ochrony Danych Osobowych na udostępnienie jej danych osobowych bez podstawy prawnej oraz z naruszeniem przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2016 r., poz. 922) przez V. sp. z o.o. sp. j. z siedzibą w R. wskazała, że Spółka będąc jej pracodawcą w miesiącu kwietniu 2017 r. wielokrotnie udostępniła J. K. dokumenty z jej akt osobowych, dotyczące jej danych osobowych takie jak, wysokość jej zarobków oraz okresy przebywania na zwolnieniu lekarskim, przez co doszło ewidentnie do naruszeń w zakresie przetwarzania i udostępniania jej danych osobowych. Jak wyjaśnił organ w trakcie prowadzonego przez niego postępowania, Spółka aktualnie przetwarza dane osobowe skarżącej, jako byłego pracownika w celach związanych z zatrudnieniem jej w Spółce i w dniu [...] listopada 2016 r. pracownik Spółki udostępnił byłemu pracownikowi Spółki J. K. dane osobowe skarżącej w zakresie okresów przebywania jej na zwolnieniu lekarskim, a w dniu [...] lutego 2017 r. pracownik Spółki udostępnił z kolei tej samej osobie dane osobowe skarżącej w zakresie wysokości jej zarobków. Spółka w wyjaśnieniach z dnia [...] sierpnia 2017 r. wskazała, że "Spółka przyznaje, że Pracownicy Działu Rachuby, udostępnili Panu K. dane osobowe Pani S., na Jego wniosek (...) działali w przekonaniu (wywołanym przez Pana K.), że udostępniają informacje osobie uprawnionej, która jest mężem Pani S. i działa w jej imieniu. (...) Jako były pracownik Spółki pan J. K. wykorzystał zaufanie pracownic Działu Rachuby wprowadzając Je w błąd, iż dane, o których udostępnienie prosi są niezbędne Jego żonie a on występuje w Jej imieniu. (...) Wszyscy pracownicy, członkowie Zarządu oraz osoby trzecie działające w imieniu firmy Spółki mają obowiązek raz w roku potwierdzić i zaświadczyć przestrzeganie Standardów postępowania w biznesie obowiązujących w Spółce odnoszących się również do zachowania poufności informacji im powierzonych. Wobec ujawnienia przez pracowników Działu Rachuby informacji poufnych, którymi są dane osobowe, pracodawca podjął decyzję o ukaraniu tychże pracowników karą nagany". Dodała ponadto, że nie przetwarza danych osobowych byłych pracowników w celach innych niż związanych z zatrudnieniem w Spółce, jak i wskazała, iż Spółka aktualnie w odpowiedni sposób zabezpiecza dane osobowe skarżącej przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobą nieuprawnioną, przetwarzaniem z naruszeniem przepisów ustawy o ochronie danych osobowych oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Następnie Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] listopada 2017 r. nr [...], działając na podstawie art. 12 pkt 2 i art. 22, art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz.U. z 2016 r. poz. 922), odmówił uwzględnienia wniosku skarżącej. W uzasadnieniu – powołując się na opisany powyżej stan faktyczny – podał, że zgodnie z art. 7 pkt 2 ustawy, za przetwarzanie danych w rozumieniu ustawy rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Natomiast w myśl z art. 23 ust. 1 pkt 1 – 5 ustawy, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych; 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa; 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą; 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego; 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Skoro zatem powyższy katalog przesłanek legalizujących przetwarzanie danych osobowych przez administratora ma charakter zamknięty, to przetwarzanie danych osobowych jest dopuszczalne jedynie w przypadkach wskazanych w powyższym przepisie. Ponadto każda z powyższych przesłanek ma charakter autonomiczny i niezależny, co oznacza, że spełnienie co najmniej jednej z nich stanowi w danym przypadku o zgodnym z prawem przetwarzaniu danych osobowych. Podkreślono również, że zgoda osoby, której dane dotyczą, nie jest jedyną podstawą uprawniającą do przetwarzania jej danych osobowych, bowiem proces przetwarzania danych będzie zgodny z przepisami ustawy również wtedy, gdy administrator danych wykaże spełnienie innej z powyższych przesłanek, w tym np. przesłankę przetwarzania danych gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. W rozpoznawanej zaś sprawie, aktualnie Spółka przetwarza dane osobowe skarżącej w związku z obowiązkiem wynikającym z przepisów prawa, a mianowicie w myśl art. 94 pkt 9b ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 2016 r. poz. 1666 ze zm.), pracodawca jest obowiązany prowadzić dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracowników, a według art. 125a ust. 4 ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych (Dz. U. z 2017 r. poz. 1383 ze zm.), płatnik składek jest zobowiązany przechowywać listy płac, karty wynagrodzeń albo inne dowody, na podstawie których następuje ustalenie podstawy wymiaru emerytury lub renty, przez okres 50 lat od dnia zakończenia przez ubezpieczonego pracy u danego płatnika. Z kolei zgodnie z art. 51u ustawy o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2016 r. poz. 1506 ze zm.), dokumentację osobową pracowników należy przechowywać przez okres 50 lat, licząc od dnia zakończenia pracy u danego pracodawcy i powyższy okres w stosunku do skarżącej, nie upłynął jeszcze i wobec powyższego Spółka w zakresie przetwarzania danych osobowych skarżącej spełnia przesłankę legalności przetwarzania danych osobowych, o której mowa w art. 23 ust. 1 pkt 2 ustawy. Odnosząc się natomiast do kwestii udostępnienia przez pracowników Spółki danych osobowych skarżącej na rzecz osoby trzeciej wskazano, że skarżąca ma rację, iż postępowanie Spółki w tym zakresie było nieprawidłowe, bowiem pracownicy Spółki udostępnili jej dane osobowe na rzecz osoby, która nie miała uprawnienia do ich pozyskania i Spółka ma świadomość, że postępowanie jej pracowników w tym zakresie było nieprawidłowe. Zatem po powzięciu informacji o zaistniałym zdarzeniu, podjęła niezbędne kroki celem usunięcia uchybień w procesie przetwarzania danych skarżącej, w tym również przeprosiła ją oraz wyciągnęła stosowne konsekwencje dyscyplinarne wobec pracowników odpowiedzialnych za zaistniałe zdarzenie. W dalszej części stwierdzono, że organ działając na podstawie przepisów ustawy, może w drodze decyzji nakazać administratorowi przywrócenie stanu zgodnego z prawem, w tym usunięcia uchybień, przy czym jednocześnie wydając decyzję w konkretnej sprawie, bada stan faktyczny i prawny na dzień wydania danej decyzji. Skoro zatem na dzień wydania niniejszej decyzji Spółka usunęła uchybienia w zakresie przetwarzania danych skarżącej, przeto Generalny Inspektor nie ma możliwości wydania decyzji administracyjnej nakazującej usunięcie wskazanych nieprawidłowości. Dodano również, że – co wynika z wyjaśnień Spółki – aktualnie zabezpiecza w odpowiedni sposób dane osobowe skarżącej przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobą nieuprawnioną, przetwarzaniem z naruszeniem przepisów ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem, bowiem zostały bowiem wdrożone odpowiednie akty wewnętrzne, jak również procedury, mające na celu odpowiednie zabezpieczenie danych. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie, skarżąca A. S. wniosła o uchylenie zaskarżonej decyzji oraz o zasądzenie na jej rzecz kosztów postępowania, w tym kosztów zastępstwa procesowego zarzucając: 1) obrazę przepisów prawa materialnego mającą bezpośredni wpływ na treść zaskarżonej decyzji poprzez błędną ich wykładnię, a w szczególności: a) art. 27 ustęp 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych przez niesłuszne przyjęcie, iż pomimo udostępnienia przez pracowników Spółki V. spółka z.o.o w R. jej danych osobowych na rzecz osoby trzeciej, niesłusznie odmówiono uwzględnienia jej wniosku, co skutkowało wydaniem zaskarżonej decyzji. b) art. 32 ust. 1 lit. 2 i lit. 3) poprzez brak poinformowania jej o celu, zakresie i sposobie przetwarzania/udostępnienie przez współpracowników Spółki jej danych osobowych na rzecz osoby trzeciej pomimo, iż jest osobą, której dane dotyczą w rozumieniu rozdziału IV-tego ustawy. c) art. 36 ustęp 1 ustawy poprzez wydanie zaskarżonej decyzji pomimo, iż z ustalonego stanu faktycznego wynika jednoznacznie, że Spółka jako administrator danych osobowych skarżącej nie zabezpieczyła tych danych przed ich udostępnieniem osobom nieupoważnionym, a w konsekwencji dopuściła się naruszenia w zakresie przetwarzania i udostępniania danych osobowych. d) art. 38 ustawy poprzez brak zapewnienia kontroli przez administratora danych nad tym, jakie jej dane osobowe, kiedy i przez kogo oraz komu zostały przekazane. W szczególności zarzuciła: obrazę prawa materialnego mający bezpośredni wpływ na treść zaskarżonej decyzji polegającej na braku ich zastosowania, a w szczególności art. 49 ust. 1 i 2 oraz art. 51 ust. 1 i 2 ustawy poprzez całkowite pominięcie faktu, iż działania Spółki wyczerpują znamiona czynów karalnych określonych w rozdziale 8 ustawy, gdzie przetwarzanie danych osobowych, w tym danych o stanie zdrowia, a także udostępnianie danych osobowych osobom nieupoważnionym podlega odpowiedzialności karnej. Ponadto zarzuciła : a) naruszenie przepisów postępowania, mająca bezpośredni wpływ na treść zaskarżonej decyzji poprzez brak ustosunkowania się w jej uzasadnieniu do stwierdzonych przesłanek czynów karalnych z art. 49 i 51 ustawy i podjętych w tym celu kroków zmierzających do ukarania sprawcy przez uprawnione organy, pomimo ewidentnego przyznania w tymże uzasadnieniu, że ma rację, iż postępowanie spółki w tym zakresie było nieprawidłowe. b) przyjęcie błędnego założenia, że kroki podjęte przez Spółkę "post factum" w celu usunięcia uchybień w procesie przetwarzania danych przez Spółkę, przeprosiny skarżącej oraz konsekwencje dyscyplinarne są wystarczającym rozwiązaniem przy ewidentnym naruszeniu przepisów ustawy. c) błędne założenie, iż usunięto uchybienia w zakresie przetwarzania danych skarżącej, podczas gdy dane osobowe udostępnione osobie trzeciej są nadal wykorzystywane przez tę osobę, a w szczególności dotyczy to danych o stanie zdrowia, jak również danych o wysokości zarobków skarżącej, które to dane są wykorzystywane między innymi w sprawie rozwodowej przed Sądem Okręgowym w R. sygn. akt. [...] oraz pertraktacjach i rozmowach z pośrednikami pracy [...] za granicami RP, co naraża jej dobra osobiste oraz interesy w sposób ewidentny i narażą ją na straty finansowe. W uzasadnieniu – powołując się na opisany powyżej stan faktyczny – podała, że przed Sądem Okręgowym w R. toczy się sprawa rozwodowa o sygn. akt. [...] z powództwa J. K. przeciwko niej o rozwód i jej dane osobowe, które Spółka udostępniła J. K., są wykorzystywane w toku tego procesu. Dotyczy to danych o stanie jej zdrowia oraz o wysokości jej zarobków, o czym dowiedziała się w trakcie procesu. Stąd dzięki bezprawnemu udostępnieniu tych danych, jest narażona jest na szkodę, gdyż tamtejszy powód twierdzi, że nie chciało się jej pracować, że korzystała ze zwolnień lekarskich i wskutek czego uchylono postanowienie o zabezpieczeniu, które uzyskała wcześniej w toku procesu rozwodowego. Wobec powyższego poniosła w ten sposób straty finansowe, a proces nadal toczy się przy wykorzystywaniu ujawnionych danych osobowych. Ponadto jej dane osobowe udostępnione przez Spółkę J. K. jako osobie nieupoważnionej, są przez niego wykorzystywane w rozmowach z pośrednikami pracy [...] za granicami RP. Według jej wiedzy, dane osobowe pozyskane w wyżej opisany sposób są wykorzystywane w Niemczech oraz Szwajcarii, gdzie rekrutuje się pracowników do pracy w Unii Europejskiej i dowiedziała się, że wykorzystuje się tam wyłudzone dane osobowe do obniżania jej kwalifikacji zawodowych i przydatności do pracy, poprzez próbę wykazania, iż jest osobą, która często choruje i przez takie absencje nie jest przydatnym pracownikiem. Dowiedziała się i dowiaduje o tym w okresie, kiedy podejmuje starania o powrót do pracy za granicą i chce składać stosowne aplikacje, zaś informacja o wykorzystaniu jej danych osobowych pozyskanych bezprawnie przez J. K. od Spółki uzyskała w kilku źródłach u pośredników pracy z Niemiec i Szwajcarii. Wskutek powyższych działań i wykorzystania danych osobowych doznała szkody, ma utrudniony dostęp do pracy i notowania na rynku pracy. Działa to głównie w Szwajcarii, gdzie referencje są bardzo istotne, podobnie jak opinia o kandydatach. Jeśli pośrednicy posiadają już informacje w oparciu o dane osobowe pozyskane ze Spółki, to ma to bezpośredni wpływ na opinię o niej, zaś od J. K. usłyszała, że w tej sposób "zostanie załatwiona" i nigdzie nie dostanie pracy i według jej wiedzy, dane są nadal wykorzystywane w tym celu. Zatem biorąc pod uwagę, że działanie Spółki wyczerpuje znamiona czynu karalnego określonego art. 51 ustawy, już choćby z tych względów zaskarżona decyzja winna być uchylona. W odpowiedzi na skargę, Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, a wskazując na dotychczasowe ustalenia faktyczne i prawne dodał, że odnośnie niedopełnienia przez Spółkę obowiązków informacyjnych, o których mowa w art. 32 ust. 1 lit 2 i 3 ustawy, to skarżąca nie wnosiła w skardze do Generalnego Inspektora o zbadanie tej kwestii. Ponadto zarówno z treści skargi, jak i wyjaśnień przedłożonych przez Spółkę w toku postępowania wynika, że skarżąca nie zwracała się do Spółki na podstawie art. 33 ust. 1 ustawy o spełnienie wobec niej obowiązków informacyjnych, o których mowa w art. 32 ust. 1 lit 2 i 3 ustawy. Ponadto skarżąca (pismo z dnia [...] lipca 2017 r.) wskazała organowi, że żąda przywrócenia stanu zgodnego z prawem poprzez usunięcie uchybień i nieudostępnianie jej danych osobowych osobom nieuprawnionym przez byłego pracodawcę i w tym kontekście Generalny Inspektor stwierdził, że działając na podstawie przepisów ustawy może w drodze decyzji nakazać administratorowi przywrócenie stanu zgodnego z prawem, w tym m.in. usunięcia uchybień. Mając więc na względzie, że na dzień wydania zaskarżonej decyzji Spółka usunęła uchybienia w zakresie przetwarzania danych skarżącej, Generalny Inspektor nie miał możliwości wydania decyzji administracyjnej nakazującej usunięcie wskazanych przez skarżącą nieprawidłowości. Natomiast co błędnego zastosowania przepisów art. 36 ust. 1 oraz 38 ustawy, to z materiału dowodowego zgromadzonego w aktach postępowania wynika, że Spółka aktualnie zabezpiecza w odpowiedni sposób dane osobowe skarżącej przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobą nieuprawnioną, przetwarzaniem z naruszeniem przepisów ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem, bowiem w Spółce zostały bowiem wdrożone odpowiednie akty wewnętrzne, jak również procedury, mające na celu odpowiednie zabezpieczenie danych, jak również zapewniające kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane. Co zaś się tyczy niezastosowania przepisów art. 49 ust. 1 i 2 oraz art. 51 ust. 1 i 2 ustawy przy wydawaniu zaskarżonej decyzji to podkreślono, że skierowanie przez Generalnego Inspektora zawiadomienia o podejrzeniu popełnienia przestępstwa w danej sprawie realizowane jest z urzędu, nie zaś na wniosek strony i tym samym, żądanie skarżącej zastosowania przez organ powyższych przepisów – zakładając że byłoby ono sformułowane w skardze – nie mogło być przedmiotem postępowania zainicjowanego jej skargą. Na koniec zaś stwierdzono, że postępowanie administracyjne zainicjowane skargą skarżącej, ograniczało się wyłącznie do zbadania kwestii zgodności procesu przetwarzania jej danych osobowych przez zaskarżony przez nią podmiot, tj. Spółkę, nie zaś przez inne podmioty wskazane przez skarżącą w skardze na decyzję Generalnego Inspektora. Zatem kwestia ewentualnego przetwarzania danych osobowych skarżącej przez inne podmioty, nie była rozpatrywana w zaskarżonej decyzji, a konsekwentnie, nie może ona być przedmiotem jakichkolwiek zarzutów. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (tekst jedn. Dz. U. z 2016 r., poz. 1066), sąd administracyjny sprawuje wymiar sprawiedliwości m.in. poprzez kontrolę działalności administracji publicznej pod względem zgodności z prawem. Innymi słowy, wojewódzki sąd administracyjny nie orzeka co do istoty sprawy w zakresie danego przypadku, lecz jedynie kontroluje legalność rozstrzygnięcia zapadłego w tym postępowaniu, z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Skarga analizowana pod tym kątem podlega oddaleniu, bowiem zaskarżona decyzja została wydana zgodnie z prawem. Stosownie do treści art. 7 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2016 r., poz. 922 ze zm.), przez przetwarzaniu danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych, zaś w myśl art. 23 ust. 1 ustawy, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę; 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa; 3) jest to konieczne dla realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą; 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego; 5) jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Wskazane przesłanki mają charakter autonomiczny i niezależny i wobec powyższego wystarczy zatem wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Nie powielając argumentacji przedstawionej w uzasadnieniu zaskarżonej decyzji należy stwierdzić, iż w rozpoznawanej sprawie żadna z powyższej przedstawionych przesłanek nie legitymizowała V. sp. z o.o. z siedzibą w R., do udostępnienia danych osobowych skarżącej na pytanie osoby fizycznej. W tej sytuacji organ obowiązany był do rozważenia konieczności zastosowania sankcji określonych w art. 18 ust. 1 ustawy o ochronie danych osobowych. W literaturze przedmiotu podkreśla się, że decyzja Generalnego Inspektora Ochrony Danych Osobowych wydawana na podstawie powyższego przepisu ma służyć przywróceniu stanu zgodnego z prawem. Ustawodawca nie wprowadza żadnych dodatkowych wskazówek w zakresie wyboru konkretnego nakazu, pozostawiając to organowi wydającemu decyzję. Biorąc pod uwagę systematykę przepisu przyjąć należy, że mamy do czynienia ze stopniowaniem sankcji administracyjnych (w zależności od rodzaju uchybienia), a Generalny Inspektor powinien stosować konkretne nakazy z uwzględnieniem charakteru stwierdzonego naruszenia, tj. adekwatnie (współmiernie) do stopnia naruszenia i zagrożenia praw osoby, której dane dotyczą. Pośrednio wynika to również z samego celu nakazu, którym jest przywrócenie stanu zgodnego z prawem ochrony danych osobowych, bez niepotrzebnego nakładania zbędnych obowiązków na administratora danych (por. G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Dom Wydawniczy ABC, Warszawa 2003, str. 153). Przesłanką wydania nakazu jest stwierdzenie naruszenia przepisów o ochronie danych osobowych, tj. z zebranego w postępowaniu materiału dowodowego musi wynikać, że swoim działaniem lub zaniechaniem administrator naruszył przepisy prawa. Co ważne i co należy wyeksponować, stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych, powinien istnieć w dacie wydania decyzji. Przewidziana zaś w art. 18 pkt 1 ust. 1 ustawy o ochronie danych osobowych sankcja w postaci usunięcia uchybień obejmuje czynności przywracające stan zgodny z prawem, inne niż wymienione w pozostałych punktach tego przepisu. Przenosząc powyższe rozważania na grunt rozpoznawanej sprawy uznać należy, że organ wydając decyzję merytoryczną odmawiającą uwzględnienia wniosku skarżącej działał prawidłowo. Zasadnie bowiem przyjął, że jakkolwiek stan naruszenia przepisów ustawy miał miejsce w chwili udostępnienia danych skarżącej, lecz w momencie wydawania decyzji już nie zachodził i w konsekwencji brak było podstaw do sformułowania nakazu, o którym mowa w art. 18 ust. 1 ustawy o ochronie danych osobowych. Dane osobowe skarżącej, choć z naruszeniem przepisów ustawy o ochronie danych osobowych, zostały przez wskazaną już wyżej Spółkę udostępnione osobie trzeciej w przeszłości, lecz skutek tego działania ma charakter nieodwracalny. Jednakże w takiej sytuacji organ może działać jedynie prewencyjnie, jednakże jako nieuprawniony trzeba potraktować zarzut, iż Generalny Inspektor Ochrony Danych Osobowych nie wykorzystał przysługujących mu kompetencji w celu zobligowania Spółki do przestrzegania przepisów ustawy o ochronie danych osobowych. W świetle art. 19 ustawy o ochronie danych osobowych, w razie stwierdzenia, że działanie lub zaniechanie kierownika jednostki organizacyjnej, jej pracownika lub innej osoby fizycznej będącej administratorem danych wyczerpuje znamiona przestępstwa określonego w ustawie, Generalny Inspektor kieruje do organu powołanego do ścigania przestępstw zawiadomienie o popełnieniu przestępstwa, dołączając dowody dokumentujące podejrzenie. W kontekście art. 19 w zw. z art. 51 tej ustawy należy stwierdzić, iż w orzecznictwie utrwalony jest pogląd, że kierowanie zawiadomień o popełnieniu przestępstwa do organów ścigania należy do autonomicznych, samodzielnych kompetencji Generalnego Inspektora Ochrony Danych Osobowych, realizowanych przez niego z urzędu, a nie na wniosek osób zainteresowanych. Wskazuje na to sam przepis art. 19 ustawy, w którym mówi się "w razie stwierdzenia" i nie ma zapisów, które stanowiłyby o wystosowaniu takich zawiadomień na wniosek strony postępowania. Odnosząc się do dyspozycji powyższego przepisu Naczelny Sąd Administracyjny w wyroku z 19 listopada 2001 r. sygn. akt II SA 2702/00 (LEX nr 78796) stwierdził, że obowiązek wynikający z tego przepisu nie mieści się w sferze decyzyjnych, merytorycznych rozstrzygnięć Generalnego Inspektora Ochrony Danych Osobowych, dotyczących nakazania przywrócenia stanu zgodnego z prawem. Osoba dochodząca ochrony swych praw w trybie ustawy o ochronie danych osobowych nie jest przy tym podmiotem postępowania obliczonego na wydanie decyzji o zawiadomieniu stosownego organu o przestępstwie w zakresie przetwarzania danych osobowych i nie może się tego domagać od Generalnego Inspektora Ochrony Danych Osobowych w administracyjnych formach tego postępowania. Przepis art. 19 ustawy nie daje bowiem stronie roszczenia w tym względzie. Wykonanie obowiązku, o którym mowa w tym przepisie, obciąża wyłącznie Generalnego Inspektora Ochrony Danych Osobowych. Przedmiotowe zawiadomienie nie nosi jednak cech dyspozycji administracyjnej, o jakiej mowa w art. 104 i nast. k.p.a. Zatem – zdaniem Sądu – w rozpoznawanej sprawie, na organie w ramach przedmiotowego postępowania, nie ciążył obowiązek kierowania do organu powołanego do ścigania przestępstw zawiadomienia o popełnieniu przestępstwa. Oznacza to, że skarżąca nie może skutecznie zarzucić organowi, że obowiązku tego nie zrealizował. Rację należy również przyznać organowi, że aktualnie Spółka ma prawo do przetwarzania danych osobowych skarżącej w związku z obowiązkiem wynikającym prawa, a zgodnie z art. 94 pkt 9b ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 2016 r. poz. 1666 ze zm.), pracodawca jest obowiązany prowadzić dokumentację w sprawach związanych ze stosunkiem pracy oraz akta osobowe pracowników, a według art. 125a ust. 4 ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych (Dz. U. z 2017 r. poz. 1383 ze zm.), płatnik składek jest zobowiązany przechowywać listy płac, karty wynagrodzeń albo inne dowody, na podstawie których następuje ustalenie podstawy wymiaru emerytury lub renty, przez okres 50 lat od dnia zakończenia przez ubezpieczonego pracy u danego płatnika. Z kolei zgodnie z art. 51u ustawy o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2016 r. poz. 1506 ze zm.), dokumentację osobową pracowników należy przechowywać przez okres 50 lat, licząc od dnia zakończenia pracy u danego pracodawcy i powyższy okres w stosunku do skarżącej jeszcze nie upłynął i wobec powyższego Spółka w zakresie przetwarzania danych osobowych skarżącej spełnia przesłankę legalności przetwarzania danych osobowych, o której mowa w art. 23 ust. 1 pkt 2 ustawy. Natomiast ewentualne aktualne przetwarzanie danych osobowych skarżącej przez inne podmioty, nie była rozpatrywane w zaskarżonej decyzji i w konsekwencji, nie może być przedmiotem zarzutów. W tym stanie rzeczy, na podstawie art. 151 i art. 132 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2017 r. poz. 1369 ze zm.), należało orzec jak w sentencji wyroku.