Wyrok - II SA/Wa 2146/20 - Wojewódzki Sąd Administracyjny w Warszawie - z dnia 13 maja 2021
Teza
Oddalono skargę. Administracyjne postępowanie, Sprawy związane z ochroną danych osobowych. Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube (spr.), Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Karolina Kisielewicz, po rozpoznaniu w trybie uproszczonym w dniu 13 maja 2021 r. sprawy ze skargi Organizacji Zakładowej [...] z siedzibą we [...] na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2020 nr [...] w przedmiocie odmowy wszczęcia postępowania oddala skargę UZASADNIENIE Prezes Urzędu Ochrony Danych Osobowych (dalej: "Oddalono skargę. Administracyjne postępowanie, Sprawy związane z ochroną danych osobowych. Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube (spr.), Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Karolina Kisielewicz, po rozpoznaniu w trybie uproszczonym w dniu 13 maja 2021 r. sprawy ze skargi Organizacji Zakładowej [...] z siedzibą we [...] na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2020 nr [...] w przedmiocie odmowy wszczęcia postępowania oddala skargę UZASADNIENIE Prezes Urzędu Ochrony Danych Osobowych (dalej: "
Najważniejsze informacje
W skrócie
Wynik
oddalono skargę
Przedmiot
skarga administracyjna / kontrola aktu administracyjnego
Typ sprawy
sprawa administracyjna / kontrola aktu administracyjnego
Etap
postępowanie administracyjne sądowe / skarga na decyzję lub akt
Tematy
skarga administracyjna
kontrola administracyjna
Role w sprawie
prokurator
uczestnik postępowania
wnioskodawca
uczestnik
Data orzeczenia
13 maja 2021
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Przewodniczący
Ewa Radziszewska-Krupa
Podstawa prawna
Rozstrzygnięcie
Oddalono skargę
UZASADNIENIE
Prezes Urzędu Ochrony Danych Osobowych (dalej: "organ", "Prezes UODO") postanowieniem z dnia [...] września 2020 r. ([...]), działając na podstawie art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2020 r. poz. 256, dalej: "k.p.a.") w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz. U. z 2019 r. poz. 1781, dalej "u.o.d.o."), odmówił wszczęcia postępowania w sprawie skargi Organizacji Zakładowej [...]"[...]" J. Polska S.A. z siedzibą w W. dotyczącej zobowiązania J. Polska S.A. z siedzibą w K. do przedstawienia w formie pliku w formacie exel oraz pisemnej, aktualnej informacji: imion/a oraz nazwiska z miejscem świadczenia pracy innych niż pracownicy osób wykonujących pracę zarobkową.Organ w uzasadnieniu decyzji wskazał, że przepis art. 58 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej także jako: "ogólne rozporządzenie o ochronie danych" (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z 23.05.2018, str. 2), dalej jako: "rozporządzenie 2016/679", określa uprawnienia organu nadzorczego. Przepisy art. 58 ust. 1, 2 i 3 rozporządzenia 2016/679 wyliczają uprawnienia przysługujące każdemu organowi nadzorczemu - uprawnienia do prowadzenia postępowań, uprawnienia naprawcze i do nakładania kar, uprawnienia do udzielania zezwoleń i uprawnienia doradcze oraz uprawnienia do zgłaszania naruszeń organom wymiaru sprawiedliwości oraz do udziału w postępowaniu sądowym. Wśród tych uprawnień nie ma dla organu nadzorczego - jakim jest Prezes UODO - uprawnienia do nakazania administratorowi lub podmiotowi przetwarzającemu ujawnienia danych osobowych osobie trzeciej.Przepis art. 58 ust. 6 rozporządzenia 2016/679 stanowi bowiem, że każde państwo członkowskie może przewidzieć w swoich przepisach, że jego organowi nadzorczemu przysługują poza uprawnieniami określonymi w ust. 1, 2 i 3 także inne uprawnienia. Wykonywanie tych uprawnień nie może utrudniać skutecznego stosowania przepisów rozdziału VII. Prezes UODO stwierdził, że dla przedmiotowej sprawy organ nadzorczy nie znajduje takich przepisów - nie zostały one przewidziane w obecnym stanie prawnym.Zgodnie natomiast z art. 58 ust. 2 lit. c rozporządzenia 2016/679 Prezesowi UODO przysługuje uprawnienie naprawcze w postaci prawa do nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia. Tym żądaniem może być prawo dostępu do danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do przenoszenia danych oraz prawo do sprzeciwu i niepodleganiu decyzjom opartym na zautomatyzowanym przetwarzaniu. Powyższe przepisy ujmują prawa osób, których dane dotyczą, w sposób wyczerpujący. Żądanie udostępnienia danych osobowych osoby trzeciej także nie zostało ujęte wśród praw osób, których dane dotyczą.Jednocześnie organ wskazał, że zgodnie z zasadą jednolitości prawa Unii Europejskiej oraz motywem 129 rozporządzenia 2016/679, aby zapewnić spójne monitorowanie i egzekwowanie rozporządzenia w całej Unii, organy nadzorcze powinny mieć w każdym państwie członkowskim te same zadania i faktyczne uprawnienia, w tym uprawnienia do prowadzenia postępowań wyjaśniających, naprawcze, uprawnienia do nakładania kar oraz do udzielania zezwoleń i doradcze, w szczególności w przypadku skarg osób fizycznych i - bez uszczerbku dla uprawnień organów prokuratorskich na mocy prawa państwa członkowskiego - uprawnienia do zgłaszania naruszeń niniejszego rozporządzenia organom wymiaru sprawiedliwości oraz do udziału w postępowaniu sądowym. Zasada jednolitości oznacza, że prawo unijne jest w całości i jednakowo stosowane we wszystkich państwach członkowskich. Jednolitość zapewnia taki sam sposób stosowania prawa unijnego na terenie całej Unii Europejskiej i stanowi realizację wymogu spójnego porządku prawnego. W oparciu o ww. zasadę organy nadzorcze innych państw Unii Europejskiej (hiszpański, rumuński, francuski, bułgarski, estoński, włoski i szwedzki) zgodnie przyjęły brak możliwości wydawania rozstrzygnięć nakazujących udostępnienie danych osobowych osób trzecich w oparciu o przepisy rozporządzenia 2016/679. Przed dniem 25 maja 2018 r. polski organ nadzorczy uznawał się za kompetentny do wydawania ww. nakazów na podstawie art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 z późn. zm.). Obecnie polska ustawa o ochronie danych osobowych z dnia 10 maja 2018 r. (Dz. U. z 2019 r. poz. 1781) nie zawiera podobnych przepisów.Prezes UODO wskazał, że zgodnie z treścią art. 61a § 1 k.p.a., gdy żądanie wszczęcia postępowania zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. Związek Zawodowy wystąpił z żądaniem, które nie mieści się w kompetencjach przyznanych Prezesowi UODO, a zatem zachodzi przesłanka odmowy wszczęcia postępowania z "innych uzasadnionych przyczyn".Organizacja Zakładowa [...] "[...]" J. Polska S.A. z siedzibą w W., dalej: "Organizacja Zakładowa", pismem z dnia [...] września 2020 r. skierowała skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie na powyższe postanowienie, wnosząc o jego uchylenie w całości oraz zasądzenie kosztów postępowania według norm przepisanych.Organizacja Zakładowa zarzuciła organowi naruszenie:1) art. 7 i art. 8 ust. 2 Konstytucji RP w związku z art. 61a § 1 k.p.a. w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych przejawiające się w odmowie wszczęcia postępowania w sprawie skargi Organizacji Zakładowej, dotyczącej zobowiązania J. Polska S.A. z siedzibą K. do przedstawienia w formie pliku w formacie exel oraz pisemnej, aktualnej informacji; imion/a oraz nazwiska z miejscem świadczenia pracy innych niż pracownicy osób wykonujących pracę zarobkową,2) art. 6 ust. 1 lit. c, e-f rozporządzenia 2016/679 poprzez błędne przyjęcie, że wnioskodawca nie ma prawnie uzasadnionego interesu do żądania danych, a wskazanemu prawu nie odpowiada obowiązek uczestnika udzielania tych danych oraz kompetencja organu do zobowiązania uczestnika do przedłożenia tych danych, 3) art. 58 ust. 2 lit. d) rozporządzenia 2016/679 poprzez niezastosowanie przejawiające się w błędnym pominięciu, że organowi przysługuje uprawnienie naprawcze do nakazania administratorowi dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu, a zatem przysługuje uprawnienie do nakazania takiego przetwarzania danych osobowych, które będą polegać na udostępnieniu i przekazaniu wnioskowanych danych wnioskodawcy dla realizacji jego uprawnienia określonego w art. 6 ust. 1 lit. c, e-f rozporządzenia 2016/679, 4) art. 20 i art. 28 ustawy z dnia 23 maja 1991 r. o związkach zawodowych (t.j. Dz. U. z 2015 r. poz. 1881 z póżn. zm.), poprzez ich błędną wykładnię polegającą na ustaleniu, że do przeprowadzenia referendum nie są potrzebne żądane przez stronę dane.W uzasadnieniu skargi Organizacja Zakładowa podniosła, że potrzebuje żądanych danych do wypełnienia obowiązku wynikającego z prawnej procedury wszczynania sporu zbiorowego (art. 6 ust 1 lit. c rozporządzenia 2016/679), a jednocześnie przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym (art. 6 ust 1 lit. e rozporządzenia 2016/679), tj. podjęcia obrony grupowego interesu pracobiorców J. Polska S.A. z siedzibą w K. Ponadto przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora (art. 6 ust 1 lit. f rozporządzenia 2016/679) jakim jest referendum strajkowe.Zdaniem skarżącej, organ nieprawidłowo pominął, że przysługuje mu prawna możliwość nakazania takiego przetwarzania danych osobowych (tutaj: udostępnienia i przekazania), które będą polegać na udostępnieniu wnioskowanych danych skarżącej dla umożliwienia realizacji jej uprawnienia określonego w art. 6 ust. 1 lit. c.e-f rozporządzenia 2016/679.W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie, podtrzymując stanowisko wskazane w zaskarżonym postanowieniu. Podkreślił, że przed 25 maja 2018 r. polski organ nadzorczy uznawał się za kompetentny do wydawania ww. nakazów na podstawie art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.). Artykuł ten wskazywał, że polski organ ochrony danych w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych "w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem", w tym mógł nakazać "uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych". Obecnie polska ustawa o ochronie danych osobowych z dnia 10 maja 2018 r. nie zawiera podobnych przepisów.Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:Skarga nie zasługuje na uwzględnienie.Zgodnie z art. 1 § 1 ustawy z 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (j.t. Dz. U. z 2021 r., poz. 137), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym ta kontrola, stosownie do § 2 powołanego artykułu, sprawowana jest pod względem zgodności z prawem. Sąd w ramach swojej właściwości dokonuje zatem kontroli aktów z zakresu administracji publicznej z punktu widzenia ich zgodności z prawem materialnym, jak i prawem procesowym. Sąd rozstrzyga przy tym w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy z 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r., poz. 2325 z późn. zm.; dalej: "p.p.s.a.").W świetle powołanego przepisu, Sąd w zakresie swojej właściwości ocenia zaskarżone postanowienie z punktu widzenia jego zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie jego wydania.Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy przepisy rozporządzenia 2016/679 lub przepisy ustawy z dnia 10 maja 2018 r.o ochronie danych osobowych przyznają Prezesowi Urzędu Ochrony Danych Osobowych uprawnienie, do zobowiązywania administratora danych osobowych, do udostępniania będących w jego posiadaniu danych osobowych osobie trzeciej.W ocenie Sądu odpowiedź na tak postawione pytanie może być wyłącznie negatywna.Przede wszystkim należy mieć na względzie to, iż zgodnie z konstytucyjną zasadą legalizmu, w oparciu o którą muszą działać wszystkie podmioty publiczne, Prezes UODO będąc podmiotem publicznym może podejmować wyłącznie takie działania, które znajdują swoje źródło w przepisach obowiązującego prawa.Aby więc Prezes UODO mógł podjąć określone działania, musi mieć do tego stosowne umocowanie ustawowe. Stąd, jeśli do organu wpłynie wniosek o wszczęcie postępowania, do których to działań brak jest podstawy prawnej, to adresat takiego wniosku winien odmówić wszczęcia takiego postępowania.Należy wskazać, iż od dnia 25 maja 2018 r. bezpośrednie zastosowaniew polskim porządku prawnym mają przepisy rozporządzenia 2016/679. Ponadtow dniu 25 maja 2018 r. weszła w życie ustawa o ochronie danych osobowych, którą to ustawę stosuje się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w zakresie określonym w art. 2 i art. 3 rozporządzenia 2016/679 (art. 1 ust. 1 u.o.d.o.). Katalog uprawnień nadzorczych w zakresie prowadzonych przez Prezesa UODO postępowań określony został w art. 58 ust. 1 rozporządzenia 2016/679, natomiast przysługujące Prezesowi UODO uprawnienia naprawcze zostały wymienione w art. 58 ust. 2 rozporządzenia 2016/679 i są one dla organu wiążące. Prezesowi UODO przysługuje uprawnienie naprawcze w postaci prawa do nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia. Tym żądaniem może być prawo dostępu do danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do przenoszenia danych oraz prawo do sprzeciwui niepodlegania decyzjom opartym na zautomatyzowanym przetwarzaniu. Powyższe przepisy ujmują prawa osób, których dane dotyczą, w sposób wyczerpujący.Zaskarżone w niniejszej sprawie postanowienie Prezesa UODO, wydane zostało na podstawie art. 61a § 1 k.p.a., stanowiącego, że: "Gdy żądanie, o którym mowa w art. 61, zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania."W rozpoznawanej sprawie jako przesłankę zastosowania art. 61a § 1 k.p.a. organ powołał brak ustawowych kompetencji, a więc w istocie brak przesłanki materialnoprawnej do rozpatrzenia żądania skarżącej o nakazanie udostępnienia danych osobowych. Stanowisko organu w świetle powyższych rozważań jest zatem prawidłowe.Trafnie w odpowiedzi na skargę organ wskazał, że o ile przed 25 maja 2018 r. uznawał się za kompetentny do wydawania nakazów w zakresie udostępnienia danych osobowych, na podstawie art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r.o ochronie danych osobowych, to obecnie obowiązująca ustawa o ochronie danych osobowych, dostosowana do regulacji europejskich, nie przewiduje takiego uprawnienia dla Prezesa UODO.Biorąc pod uwagę wskazany wcześniej obowiązek działania organów na podstawie i w granicach prawa, brak ustawowego upoważnienia dla Prezesa UODO do działania w zakresie materii objętej wnioskiem skarżącej, stanowi w ocenie Sądu właśnie oczywistą przeszkodę do wszczęcia postępowania, nie wymagającą przeprowadzenia w tym zakresie postępowania.Podejmując sporne rozstrzygnięcie Prezes UODO prawidłowo więc zastosował art. 61a k.p.a. Uzasadnienie zaskarżonego postanowienia odpowiada zaś dyspozycji art. 107 § 3 k.p.a.W tym stanie sprawy, nie podzielając argumentów zawartych w złożonej skardze, Wojewódzki Sąd Administracyjny w Warszawie orzekł jak w sentencji wyroku na podstawie art. 151 w zw. z art. 119 pkt 3 i art. 120 p.p.s.a..