Wyrok z dnia 2014-12-18 sygn. I OSK 900/13

Drukuj dokument lub zaznaczenie Kopiuj zaznaczony tekst bez formatowania

Sentencja

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Maciej Dybowski Sędziowie NSA Irena Kamińska (spr.) del. WSA Dariusz Chaciński Protokolant sekretarz sądowy Paweł Florjanowicz po rozpoznaniu w dniu 18 grudnia 2014 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Generalnego Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 7 czerwca 2011 r. sygn. akt II SA/Wa 267/11 w sprawie ze skargi L. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2010 r. nr [...] w przedmiocie nakazu usunięcia uchybień powstałych w procesie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok w całości i oddala skargę; 2. zasądza od L. na rzecz Generalnego Inspektora Ochrony Danych Osobowych kwotę 280 (dwieście osiemdziesiąt) złotych tytułem zwrotu kosztów sądowych; 3. zasądza od L. na rzecz K. kwotę 120 (sto dwadzieścia) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Uzasadnienie

Do Biura Generalnego Inspektora Ochrony Danych Osobowych, wpłynęło pismo Komisji Międzyzakładowej NSZZ "Solidarność" E., reprezentowanej przez B.M., w którym zwrócono się o rozpoznanie sprawy oraz wydanie w przedmiotowej sprawie decyzji zakazującej domagania się przekazania i pozyskania danych osobowych poprzez listę imienną członków związku.

Organ wskazał następnie, że z materiału dowodowego zgromadzonego w przedmiotowej sprawie wynika, iż pismem z dnia 8 lutego 2010 r. L., powołując się na art. 30 ust. 21 ustawy o związkach zawodowych, zwróciły się do Komisji Międzyzakładowej NSZZ "Solidarność" E. o przedłożenie informacji o pracownikach będących członkami oraz pracownikach korzystających z ochrony Komisji Międzyzakładowej NSZZ "Solidarność" E. oraz o bieżącą aktualizację ww. informacji w związku z każdorazowymi zmianami.

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia 10 września 2010 r. nakazał L. z siedzibą w Ś. usunięcie uchybień powstałych w procesie przetwarzania danych osobowych pracowników, polegających na pozyskiwaniu informacji o osobach będących członkami oraz korzystających z obrony Komisji Międzyzakładowej NSZZ "Solidarność" E. w sytuacji, gdy przepisy prawa pracy przewidują w stosunku do tych osób współdziałanie pracodawcy z zakładową organizacją związkową jedynie w indywidualnych sprawach ze stosunku pracy, zgodnie z art. 23² ustawy – Kodeks pracy.

W stosunku do decyzji został złożony wniosek o ponowne rozpatrzenie sprawy, w którym Spółka zarzuciła decyzji naruszenie:

- art. 7 pkt 2 ustawy o ochronie danych osobowych, polegające na jego błędnej wykładni i przyjęciu, że żądanie od organizacji związkowej informacji w trybie art. 30 ust. 1, 2, i 21 ustawy o związkach zawodowych stanowi przetwarzanie danych osobowych, pomimo braku przekazania przez organizację związkową żądanych danych,

- art. 18 ust. 1 ustawy o ochronie danych osobowych, polegające na jego niewłaściwym zastosowaniu poprzez przyjęcie, że nastąpiło naruszenie przepisów o ochronie danych osobowych, będące konsekwencją błędnej wykładni art. 7 pkt 2 cyt. ustawy, o którym mowa powyżej oraz art. 27 ust. 2 pkt 2 i 6 cyt. ustawy, art. 30 ust. 1, 2 i 21 ustawy o związkach zawodowych i art. 23² kodeksu pracy, o czym mowa poniżej,

- art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych, polegające na błędnym przyjęciu, że brak jest przepisu szczególnego innej ustawy zezwalającej na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, w szczególności, że przepisem takim nie jest art. 30 ust. 1, 2 i 21 ustawy o związkach zawodowych i art. 23 2 kodeksu pracy,

- art. 27 ust. 2 pkt 6 ustawy o ochronie danych osobowych, polegające na przyjęciu, że przetwarzanie informacji uzyskanej na podstawie art. 30 ust. 1, 2 i 21 cyt. ustawy o związkach zawodowych i art. 23² kodeksu pracy, nie jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników w związku z obowiązkiem konsultacji decyzji pracodawcy o rozwiązaniu umowy o pracę pracowników korzystających z obrony Komisji Międzyzakładowej NSZZ "Solidarność" E.,

- art. 30 ust. 1, 2 i 21 ustawy o związkach zawodowych i art. 23² kodeksu pracy polegające na przyjęciu, że przepisy te nie stanowią przepisu szczególnego w rozumieniu art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych.

Po powtórnym rozpatrzeniu zgromadzonego w sprawie materiału dowodowego i przeanalizowaniu wniosku o ponowne rozpatrzenie sprawy Generalny Inspektor Ochrony Danych Osobowych decyzją nr [...] z dnia [...] listopada 2010 r. wskazał, że rozstrzygnięcie zawarte w zaskarżonej decyzji Generalnego Inspektora z dnia 10 września 2010 r. jest prawidłowe, a podnoszone we wniosku o ponowne rozpatrzenie sprawy zarzuty nie uzasadniają konieczności jej zmiany.

Na wstępie powtórzył, że przesłanki dopuszczające przetwarzanie tzw. wrażliwych danych osobowych zostały określone w art. 27 ust. 1 ustawy o ochronie danych osobowych, zwanej dalej ustawą, który stanowi, iż zabrania się przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. Powołane przepisy prawa pracy przewidują współdziałanie pracodawcy z zakładową organizacją związkową w indywidualnych sprawach ze stosunku pracy (przepisem takim jest np. art. 38 Kp), pracodawca ma obowiązek współdziałać w takich sprawach z zakładową organizacją związkową reprezentującą pracownika z tytułu jego członkostwa w związku zawodowym albo wyrażenia zgody na obronę praw pracownika niezrzeszonego w związku – zgodnie z ustawą o związkach zawodowych.

W ocenie Generalnego Inspektora Ochrony Danych Osobowych z literalnego brzmienia art. 30 ust. 21 ustawy o związkach zawodowych jasno wynika, iż odnosi się on do indywidualnych spraw ze stosunku pracy, a więc do ochrony stosunku pracy indywidualnego pracownika, którą zapewniają w szczególności przepisy art. 38 § 1 Kp (wypowiedzenie umowy o pracę na czas nieokreślony), art. 52 § 3 Kp (rozwiązanie umowy o pracę bez wypowiedzenia z winy pracownika) i art. 177 § 1 Kp (rozwiązanie umowy o pracę w okresie ciąży lub urlopu macierzyńskiego bez wypowiedzenia z winy pracownicy). Powyższe oznacza, że pozyskiwanie informacji o pracownikach będących członkami związku oraz o pracownikach niezrzeszonych w związku, a korzystających z jego ochrony w toku konsultacji ze związkami zawodowymi – jest uzasadnione wyłącznie w razie zamiaru rozwiązania lub zmiany umowy o pracę z konkretnym pracownikiem. Dlatego brak jest podstaw do pozyskiwania przez Spółkę od Komisji Międzyzakładowej danych osobowych w odniesieniu do wszystkich pracowników korzystających z ochrony Związku w sytuacji, gdy nie są oni objęci zamiarem pracodawcy rozwiązania z nimi umów o pracę.

Jak wskazał organ, pozyskiwanie przez Spółkę w opisany powyżej sposób danych osobowych narusza określoną w art. 26 ust. 1 pkt 3 ustawy zasadę adekwatności. Powołany przepis stanowi, iż administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane. Adekwatność danych w stosunku do celu ich przetwarzania powinna być rozumiana jako równowaga pomiędzy uprawnieniem osoby do dysponowania swoimi danymi, a interesem administratora danych. Równowaga będzie zachowana, jeżeli administrator zażąda danych tylko w takim zakresie, w jakim jest to niezbędne do wypełnienia celu, w jakim dane są przez niego przetwarzane. Zdaniem Generalnego Inspektora realizacja przez Komisję Międzyzakładową wniosku Spółki skutkowałaby pozyskaniem danych osobowych pracowników również na zapas (ewentualna realizacja trybu z Kp może, ale nie musi się rozpocząć), co w świetle przepisów ustawy jest niedopuszczalne.

Generalny Inspektor podkreślił, że nie kwestionuje prawa Spółki do pozyskiwania informacji o pracownikach korzystających z ochrony związkowej, lecz jedynie sposób realizacji tego prawa. Zdaniem organu, Spółka powinna mieć na uwadze wymagania określone przepisami prawa o ochronie danych osobowych, w tym określoną w art. 26 ust. 1 pkt 2 ustawy zasadę celowości. Pozyskiwanie danych osobowych wszystkich pracowników korzystających z ochrony związku zawodowego wykracza poza cel gromadzenia danych w zakresie korzystania z obrony związku zawodowego, który istnieje w określonych, w ww. przepisach Kodeksu pracy, przypadkach.

Organ podkreślił, że działanie Spółki, polegające na żądaniu tych danych od Związku bezspornie i jednoznacznie stanowi przetwarzanie danych osobowych. Fakt, iż Komisja Międzyzakładowa odmówiła udostępnienia danych nie stanowi o nieprzysługiwaniu tym osobom ochrony przewidzianej ustawą o ochronie danych osobowych, bowiem byłoby to sprzeczne z ww. art. 2 ust. 1 ustawy. W ocenie Generalnego Inspektora – zgodnie z brzmieniem art. 1 ust. 1 ustawy – każdy ma prawo do ochrony dotyczących go danych osobowych, a nie jedynie ten, czyje dane znalazły się już w zbiorze lub zostały już utrwalone w jakiejkolwiek postaci. Stanowisko Spółki stoi zatem w sprzeczności z powyższym brzmieniem art. 1 ust. 1 ustawy.

Powyższa decyzja stała się przedmiotem skargi wniesionej do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której skarżący Spółka wniosła o uchylenie zaskarżonej decyzji.

W odpowiedzi na skargę organ wniósł o jej oddalenie, powołując argumenty jak w uzasadnieniu zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 7 czerwca 2011 r. uwzględnił skargę, tym samym uchylając zaskarżoną decyzję oraz decyzję ją poprzedzającą.

Stosownie do treści art. 27 ust. 1 ustawy o ochronie danych osobowych (tekst jedn. z 2002 r. Dz. U. Nr 101, poz. 926 ze zm.), zabrania się przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym, zaś danymi osobowymi w myśl art. 6 ust. 1 ustawy, są wszelkie informacje dotyczące zidentyfikowania lub możliwej do zidentyfikowania osoby fizycznej. Zatem przepis ten – jak wskazał WSA – statuuje generalną zasadę przetwarzania danych sensytywnych, a do takich bezspornie zaliczyć należy ewentualną imienną listę osób przynależących do związku zawodowego NSZZ "Solidarność" działającego przy E.

Jednakże od tej zasady wprowadza się szereg wyjątków, a do jednego z nich zalicza się, w myśl art. 27 ust. 2 pkt 6 ustawy, dopuszczalność przetwarzania tych danych, kiedy jest to niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzania danych jest określony w ustawie. Nie można również utracić z pola widzenia treści art. 23 ust. 1 pkt 2 ustawy, według którego przetwarzanie danych jest dopuszczalne tylko wtedy, gdy m.in. jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.

W ocenie Wojewódzkiego Sądu Administracyjnego, jeśli się zważy na treść:

a) art. 23² ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (tekst jedn. z 1998 r. Dz. U. Nr 21, poz. 94 ze zm.), w myśl którego, jeżeli przepisy prawa pracy przewidują współdziałanie pracodawcy z zakładową organizacją związkową w indywidualnych sprawach ze stosunku pracy, pracodawca ma obowiązek współdziałać w takich sprawach z zakładową organizacją związkową reprezentującą pracownika z tytułu jego członkostwa w związku zawodowym albo wyrażenia zgody na obronę praw pracownika niezrzeszonego w związku – zgodnie z ustawą o związkach zawodowych;

b) art. 30 ust. 21 ustawy z dnia 23 maja 1991 r. o związkach zawodowych (tekst jedn. z 2001 r. Dz. U. Nr 79, poz. 854 ze zm.), zgodnie z którym "w indywidualnych sprawach ze stosunku pracy, w których przepisy prawa pracy zobowiązują pracodawcę do współdziałania z zakładową organizacją związkową, pracodawca jest obowiązany zwrócić się do tej organizacji o informację o pracownikach korzystających z jej obrony, zgodnie z przepisami ust. 1 i 2. Nieudzielenie tej informacji w ciągu 5 dni zwalnia pracodawcę od obowiązku współdziałania z zakładową organizacją związkową w sprawach dotyczących tych pracowników." – skarżąca spółka miała nie tylko prawo, lecz wręcz obowiązek zażądać od związku zawodowego wykazu osób, bądź danych osobowych osoby, o ile związałaby tę powinność (żądania od organizacji związkowej) ze ściśle określonymi celami wynikającymi z Kodeksu pracy. Zaś tym celem może być np. zamiar wypowiedzenia pracownikowi umowy o pracę zawartą na czas nieokreślony, ponieważ zgodnie z art. 38 § 1 k.p., o zamiarze wypowiedzenia pracownikowi umowy o pracę zawartej na czas nieokreślony pracodawca zawiadamia na piśmie reprezentującą pracownika zakładową organizację związkową, podając przyczynę uzasadniającą rozwiązanie umowy, a po rozpatrzeniu stanowiska organizacji związkowej, a także w razie niezajęcia przez nią stanowiska w ustalonym terminie, pracodawca podejmuje decyzję w sprawie wypowiedzenia (§ 5), bądź też rozwiązania umowy o pracę bez wypowiedzenia, o czym mowa w art. 52 § pkt 1 – 3, bowiem pracodawca podejmuje decyzję w sprawie rozwiązania umowy po zasięgnięciu opinii reprezentującej pracownika zakładowej organizacji związkowej, którą zawiadamia o przyczynie uzasadniającej rozwiązanie umowy. Innymi słowy mówiąc, pracodawca ma obowiązek poznać stanowisko organizacji związkowej co do imiennie oznaczonych osób korzystających z jego ochrony, jednakże tylko pod warunkiem, że w swoim żądaniu przedstawi jego cel, tzn. powoła się na zamiar przewidziany np. w art. 38 lub 52 Kodeksu pracy.

W ocenie WSA, bez znaczenia w przedmiotowej sprawie jest, czy wskaże w tym żądaniu ściśle określone osoby, czy też powoła się ogólnie na ów zamiar, bowiem dla potrzeb niniejszej sprawy zasadnicze znaczenie ma – co już wyżej zasygnalizowano – cel owego żądania. Z tego mianowicie powodu, że stosownie do brzmienia art. 26 ust. 1 pkt 3 in fine ustawy o ochronie danych osobowych, administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były m.in. adekwatne w stosunku do celów, w jakich są przetwarzane, a ich zbieranie dla oznaczonych celów, nie może być niezgodne z prawnie oznaczonymi celami (art. 26 ust. 1 pkt 2).

Przenosząc powyższe rozważania na grunt rozpoznawanej sprawy Sąd pierwszej instancji stwierdził, że pismo spółki skierowane m.in. do Przewodniczącego Związku Zawodowego NSZZ "Solidarność" jest bardzo ogólnikowe i zażądano w nim tylko udzielenia informacji o pracownikach korzystających z obrony związków zawodowych. Zatem żądanie E. nie czyniło zadość treści art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych, bowiem nie określono w nim żadnego celu wnioskowanej informacji (np. wynikającej z art. 38 lub 52 Kodeksu pracy). Stąd też w konsekwencji, nie można tutaj również mówić o adekwatności z art. 26 ust. 1 pkt 3, ponieważ znaczenie słowa adekwatny sprowadza się do: "zgodny z czymś, dokładnie czemuś odpowiadający" (vide: Słownik wyrazów obcych pod redakcją J. Tokarskiego – PWN, Warszawa 1980, str. 5) i w zestawieniu z treścią tego przepisu nie jest on odpowiedni do celu, bowiem celu tego nawet nie podano. Wobec powyższego, zdaniem WSA, należy się zgodzić z Generalnym Inspektorem Ochrony Danych Osobowych, który w uzasadnieniu zaskarżonej decyzji powołuje się na relewantność danych osobowych w momencie ich zbierania.

Natomiast z drugiej strony nie sposób w ocenie Sądu pierwszej instancji podzielić stanowiska organu, że spółka nie ma prawa do zbierania tych danych w formie imiennej listy pracowników. Jeżeli w swoim żądaniu określi wskazany już wyżej cel, podając np. imienną listę pracowników, którym zamierza wypowiedzieć umowę o pracę lub też rozwiązać z nimi umowy o pracę bez wypowiedzenia, to w takiej sytuacji – w ocenie tego Sądu – nie można mu zarzucić, że narusza wskazane już wyżej przepisy ustawy o ochronie danych osobowych. Zdaniem WSA nie ma bowiem żadnej, prawnie uzasadnionej różnicy, pomiędzy danymi dotyczącymi pojedynczego pracownika, a danymi grupy pracowników, przy założeniu, że zarówno w jednej sytuacji, jak i w drugiej, cel tego żądania będzie jasno sprecyzowany.

Niezależnie od powyższego Sąd ten zauważył, że rozstrzygnięcie decyzji musi być w sposób jasny i precyzyjny sformułowane. Innymi słowy mówiąc, w myśl art. 107 § 1 k.p.a., sentencja decyzji nie powinna zawierać niedomówień i możliwości różnej interpretacji. Zdaniem WSA, użyte w niej określenie "w indywidualnych sprawach ze stosunku pracy" (art. 30 ust. 22 ustawy o związkach pracowniczych) dotyczy imiennie wskazanych podmiotów z uwagi na wskazany już wyżej cel i rzeczą oczywistą jest, że nie odnosi się to do grupy wszystkich pracowników korzystających z ochrony. Innymi słowy mówiąc, nie do przyjęcia jest domaganie się przez pracodawcę od zakładowej organizacji związkowej danych o osobach nieobjętych perspektywą ustania stosunku pracy, z drugiej jednakże strony rozstrzygnięcie zaskarżonej decyzji jest w tej kwestii nieprecyzyjne, bowiem z jego literalnego brzmienia wynika, że – w ocenie tego Sądu – zakazuje on spółce pozyskiwania danych o pracownikach, wobec których zamierza on podjąć współdziałanie w sprawach indywidualnych ze stosunku pracy, tj. objętych perspektywą ustania stosunku pracy.

Niezależnie od powyższego, zdaniem WSA organ w ogóle nie podjął się wyjaśnienia, czy w rozpoznawanej sprawie mamy do czynienia z przetwarzaniem danych osobowych. W myśl art. 7 pkt 2 ustawy, przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Bezspornym bowiem jest, że nie doszło w sprawie jeszcze do utrwalania, przechowywania, opracowywania, zmieniania, udostępniania i usuwania danych. Zatem w ocenie Sądu pierwszej instancji pozostało do rozważenia, czy żądanie organu wyczerpało już przesłankę "zbierania", skoro nie wiadomo i organ w żaden sposób tego nie wyjaśnił, czy E. miał rzeczywistą wolę włączenia tych danych do jednej z postaci ich przetwarzania (zbierane do zbiorów ewidencyjnych albo zbioru danych).

Skargę kasacyjną od powyższego wyroku wywiódł Generalny Inspektor Ochrony Danych Osobowych, zaskarżając go w całości. Wniósł o uchylenie wyroku przekazanie sprawy WSA w Warszawie do ponownego rozpoznania.

W skardze kasacyjnej wyrokowi WSA zarzucono naruszenie art. 134 p.p.s.a. i art. 3 § 1 p.p.s.a. poprzez sprawowanie niewłaściwej kontroli nad postępowaniem administracyjnym na skutek błędnego przyjęcia, że GIODO w sposób nieprecyzyjny sformułował sentencję uchylonej decyzji oraz nie podjął się wyjaśnienia, czy w rozpoznawanej sprawie doszło do przetwarzania danych osobowych, o udostępnienie których L. zwróciły się do Komisji Międzyzakładowej NSZZ "Solidarność" E.

Jak wskazał kasator w uzasadnieniu, wyraźnie zaznaczył w wydanej przez siebie decyzji, że przetwarzaniem danych są jakiekolwiek operacje wykonywane na danych, w tym np. żądanie ich udostępnienia. Zdaniem GIODO, już samo działanie Spółki, polegające na żądaniu danych od związku zawodowego bezspornie i jednoznacznie stanowi przetwarzanie danych osobowych. Fakt zatem, że Komisja Międzyzakładowa odmówiła udostępnienia danych nie stanowi o nieprzysługiwaniu objętych nimi osobom ochrony przewidzianej u.o.d.o.

W ocenie GIODO zarzut WSA, że w decyzji organ stwierdził, iż Spółka nie może pozyskiwać w formie imiennej listy danych osobowych pracowników, którym zamierza wypowiedzieć umowę o pracę lub też rozwiązać z nimi umowy o prace bez wypowiedzenia – jest nieuzasadniony. W decyzji wyraźnie bowiem ustalono, że Spółka wniosła o "przedłożenie informacji o pracownikach będących członkami oraz o pracownikach korzystających z ochrony Komisji Międzyzakładowej NSZZ Solidarność E.", a także o "bieżącą aktualizację ww. informacji w związku z każdorazowymi zmianami". Spółka nie uzasadniała celu tego pozyskania, w szczególności nie wskazała, że jest ono związane z zamiarem rozwiązania umów o pracę z pracownikami korzystającymi z ochrony związku bądź też będącymi jego członkami. Przedmiotu rozstrzygnięcia w sprawie nie stanowiło zatem pozyskiwanie danych w postaci imiennej listy pracowników, z którymi pracodawca ma zamiar rozwiązać umowę o pracę. Zdaniem kasatora, dane te były żądane przez Spółkę niejako "na zapas". Tym samym celem Spółki nie było współdziałanie z zakładową organizacją związkową w indywidualnych sprawach ze stosunku pracy.

Zdaniem kasatora, realizacja przez Komisję Międzyzakładową wniosku Spółki skutkowałaby automatycznym pozyskiwaniem informacji o pracownikach, co do których pracodawca nie podjął jeszcze zamiaru rozwiązania z nimi umów o pracę, o której to sytuacji mowa w art. 38 § 1, art. 52 § 3 i art. 177 § 1 Kodeksu pracy. W opinii GIODO, "bieżąca aktualizacja ww. informacji w związku z każdorazowymi zmianami", a więc regularne kierowanie do pracodawcy listy osób korzystających z ochrony związku, bądź też będących jego członkami, w świetle przepisów ustawy jest niedopuszczalna bowiem prowadziłaby do sytuacji, w której ich udostępnienie pracodawcy wyprzedzałoby jego ewentualną decyzję co do realizacji trybu współdziałania z zakładową organizacją związkową, który nie musiałby się przecież rozpocząć.

Wobec powyższego – zdaniem kasatora – organ słusznie uznał, że konieczne było wydanie nakazu usunięcia przez Spółkę uchybień przy przetwarzaniu danych osobowych pracowników, które to uchybienia polegały na pozyskiwaniu informacji o osobach będących członkami oraz korzystających z obrony Komisji Międzyzakładowej NSZZ "Solidarność" E., w sytuacji, gdy przepisy prawa pracy przewidują w stosunku do tych osób współdziałanie pracodawcy z zakładową organizacją związkową jedynie w indywidualnych sprawach ze stosunku pracy, zgodnie z art. 23(2) ustawy – Kodeks pracy, a przeprowadzone postępowanie administracyjne w jednoznaczny sposób wykazało, że celem przedmiotowego pozyskiwania danych nie było współdziałanie pracodawcy z zakładową organizacją związkową jedynie w indywidualnych sprawach ze stosunku pracy – na co wskazuje żądanie bieżącej aktualizacji przedmiotowej informacji. Zaistniały zatem przesłanki do zastosowania przez GIODO art. 18 ust. 1 u.o.d.o.

W odpowiedzi na skargę kasacyjną L. z siedzibą w Ś. wniosły o jej oddalenie oraz zasądzenie kosztów postępowania. W pierwszej kolejności zarzuciły wadliwe sformułowanie skargi kasacyjnej. W dalszej zauważył, że kasator nie wykazał, że naruszenie przepisów postępowania miało w sprawie miejsce i w istotny sposób wpłynęło na jej wynik. Zdaniem Spółki, na podstawie art. 30 ust. 2¹ ustawy o związkach zawodowych pracodawca ma prawo do zbierania danych w formie imiennej listy pracowników korzystających z obrony danego związku zawodowego. Podzieliła ona także stanowisko Sądu pierwszej instancji, że rozstrzygnięcie GIODO jest niejasno i nieprecyzyjnie sformułowane.

Spółka nie zgodziła się ze skarżącym kasacyjnie, że w swoim żądaniu pracodawca winien wskazać cel, tj. perspektywę ustania stosunku pracy pracowników, w stosunku do których domaga się udzielania informacji i może żądać informacji tylko o tych pracownikach. W jej ocenie może żądać aktualizowanej listy członków związku zawodowego. Przywołała na tę okoliczność glosę Krzysztofa Rączki do wyroku SN z 21 kwietnia 1999 r., I PKN 36/99 (PiZS 1999, nr 11, s. 36), jak również wyroki SN z 14 czerwca 2012 r. (I PK 231/11) oraz z 25 lipca 2012 r. (II PK 320/11), jak również z 14 marca 2012 r. (I PK 117/11). Zdaniem Spółki, gdyby nie podzielić tego stanowiska, to regulacja zawarta w art. 30 ust. 2¹ ustawy o związkach zawodowych byłaby zbędna, a przynajmniej niepotrzebnie wydłużałaby procedurę związaną ze stosowanie art. 38 § 1 k.p. Zwróciła ona także uwagę, że przetwarzanie danych osobowych to operacje wykonywane na tych danych, zatem skoro nie nastąpiło przekazanie danych, to nie może być mowy o wykonaniu jakiejkolwiek operacji na tych danych w rozumieniu art. 7 pkt 2 u.o.d.o.

Naczelny Sąd Administracyjny zważył, co następuje:

W pierwszej kolejności wskazania wymaga, że w ocenie Naczelnego Sądu Administracyjnego przedłożony środek odwoławczy daleki jest od uznania go za dokładnie spełniający wymogi formalne, jakie przepisy ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2012 r., poz. 270 ze zm.) wiążą z jego wniesieniem. Zauważyć należy, że skarga kasacyjna powinna przede wszystkim zawierać precyzyjne określenie zarzutów stawianych orzeczeniu sądu pierwszej instancji wraz z ich wyczerpującym uzasadnieniem. Wymóg w tym zakresie wynika z roli tego kasacyjnego środka odwoławczego oraz pozycji ustrojowej Naczelnego Sądu Administracyjnego. Gwarancją odpowiedniego poziomu profesjonalizmu skargi kasacyjnej jest przy tym przymus adwokacki, uzależniający skuteczność wniesienia tego środka od sporządzenia go, co do zasady, przez adwokata lub radcę prawnego.

W niniejszej sprawie skarga kasacyjna nie spełnia wymogu precyzyjnego wskazania zarzutów. Co prawda zarzuty wskazane w części wstępnej wniosku odnoszą się bowiem do przepisów ww. ustawy – Prawo o postępowaniu przed sądami administracyjnymi, jednak treść skargi kasacyjnej jednoznacznie pozwala stwierdzić, że odnosi się ona do błędnej oceny przez Sąd pierwszej instancji niedopuszczalności zastosowania przez Generalnego Inspektora Ochrony Danych Osobowych w sprawie art. 18 ust. 1 pkt 1 w zw. z art. 27 ust. 1 ustawy o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Pomimo zatem uchybień związanych z precyzją sformułowania skargi kasacyjnej, może być ona jednak rozpoznana merytorycznie. Uwzględniając motywy i znaczenie uchwały pełnego składu NSA z dnia 26 października 2009 r. o sygn. akt I OPS 10/09 (publ. ONSAiWSA 2010, nr 1, poz. 1), a także zasadę falsa demonstratio non nocet, należy zauważyć, iż na podstawie analizy całokształtu uwag sformułowanych w skardze kasacyjnej (jej petitum i uzasadnieniu), a także wypowiedzi strony na wcześniejszych etapach postępowania sądowego, możliwe jest ustalenie istoty wadliwości, której skarżący kasacyjnie dopatruje się w orzeczeniu WSA w Warszawie. Przeprowadzona w tym zakresie analiza pozwala zatem stwierdzić, że istotą twierdzeń podnoszonych przez stronę inicjującą postępowanie przed NSA, jest zagadnienie dopuszczalności wydania przez GIODO na podstawie art. 18 ust. 1 u.o.d.o. decyzji o zakazie przetwarzania danych osobowych, do którego by doszło poprzez udostępnienie przez związek zawodowy listy osób będących jego członkiem w L. na żądanie tej Spółki. Innymi słowy, konieczne jest odpowiedzenie na pytanie, czy z punktu widzenia przepisów ustawy o ochronie danych osobowych dopuszczalne jest żądanie imiennej listy wszystkich członków związku zawodowego oraz osób objętych jego ochroną czy jej bieżącej aktualizacji. Do kwestii tych odnosił się zresztą także uczestnik postępowania tj. Spółka – w odpowiedzi na skargę kasacyjną.

Stosownie do art. 27 ust. 1 u.o.d.o., zabrania się przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. Należy jednak zauważyć, że w myśl art. 27 ust. 2 i 6 tej ustawy, przetwarzanie tych danych jest dopuszczalne, jeżeli przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony, lub przetwarzanie jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie. W niniejszej sprawie GIODO uznał, że nie ma zastosowania wskazany wyjątek od zakazu przetwarzania danych z art. 27 ust. 1 u.o.d.o. i wydał na podstawie art. 18 ust. 1 pkt 1 tej ustawy decyzję nakazującą Spółce usunięcie uchybień w zakresie przetwarzania danych. Art. 18 ust. 1 pkt 1 u.o.d.o. wskazuje, że w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie uchybień.

Naczelny Sąd Administracyjny zaznacza, że katalog określony w art. 27 ust. 2 u.o.d.o. ma charakter ścisłego wyjątku. Jako taki, w myśl zasady exceptiones non sunt extendendae, powinien być wykładany możliwie ściśle, a wszelkie wątpliwości przesądzane na rzecz zakazu przetwarzania danych, określonych w art. 27 ust. 1 u.o.d.o. Przepis ten zabrania przetwarzania danych pośrednio lub bezpośrednio ujawniających m.in. przynależność związkową. W ocenie Naczelnego Sądu Administracyjnego, ustawodawca przyjął, że kwestia przynależności do związku zawodowego należy do sfery szczególnej prywatności człowieka. Jest w pełni zrozumiałe, że osoba należąca do związku zawodowego może chcieć zachować wiedzę o tym fakcie wyłącznie do wiadomości swojej i tego związku, np. z obawy o ewentualne negatywne reakcje ze strony pracodawcy. Z tych względów wiedza na temat przynależności osoby do związku zawodowego należy do ściśle chronionych jej danych osobowych.

Naczelny Sąd Administracyjny zaznacza, że jedną z intencji art. 27 ust. 1 u.o.d.o. jest ochrona jednostek przed tzw. efektem mrożącym (ang. chilling effect), tj. przed stanem zniechęcającym jednostki do korzystania z przysługujących im praw. W niniejszej sprawie dotyczy to konstytucyjnie chronionego prawa do przynależności do związku zawodowego (por. art. 59 Konstytucji RP). W istocie, świadomość, że o wstąpieniu czy przynależności do związku zawodowego może dowiedzieć się osoba postronna, zwłaszcza pracodawca, mogłoby zniechęcać do wstąpienia do związku zawodowego, a to z uwagi na obawę przed reakcją na ten fakt otoczenia, w szczególności w ramach stosunku zatrudnienia. Stąd też przed taką sytuacją chronić ma art. 27 ust. 1 u.o.d.o.

W świetle art. 27 ust. 1 u.o.d.o. niedopuszczalne jest otrzymywanie przez pracodawcę informacji o osobach należących do związku zawodowego czy objętych jego obroną – jak określił to skarżący kasacyjnie – "na zapas". Wbrew stanowisku Spółki, nie pozwala na to także art. 30 ust. 2¹ ustawy z dnia 23 maja 1991 r. o związkach zawodowych (tekst jedn. Dz. U. z 2001 r. Nr 79, poz. 854 ze zm.), który statuuje, że "W indywidualnych sprawach ze stosunku pracy, w których przepisy prawa pracy zobowiązują pracodawcę do współdziałania z zakładową organizacją związkową, pracodawca jest obowiązany zwrócić się do tej organizacji o informację o pracownikach korzystających z jej obrony, zgodnie z przepisami ust. 1 i 2. Nieudzielenie tej informacji w ciągu 5 dni zwalnia pracodawcę od obowiązku współdziałania z zakładową organizacją związkową w sprawach dotyczących tych pracowników." Należy zaznaczyć, że zgodnie ze wskazaną normą – aby dopuścić do przetwarzania danych osobowych na temat ochrony związkowej przez pracodawcę – przepisy prawa pracy muszą zobowiązywać pracodawcę i związek zawodowy do współdziałania. W świetle przepisów Kodeksu pracy dotyczy to głównie kwestii wypowiedzenia i rozwiązania stosunku pracy (zob. art. 38, art. 52 § 3, art. 177 § 1 czy art. 177 § 4 tego Kodeksu). Idzie zatem o przetwarzanie danych osobowych indywidualnego pracownika związane z konkretnym procesem wypowiadania czy rozwiązywania stosunku pracy. Art. 30 ust. 2¹ ustawy o związkach zawodowych nie upoważnia zatem do ujawniania informacji o przynależności związkowej osoby, jeżeli nie ma to realnego, konkretnego i bezpośredniego związku z czynnościami w ramach stosunku pracy, wymagającymi na podstawie przepisów Kodeksu pracy wiedzy pracodawcy o przynależności (ochronie) związkowej tego, indywidualnie wskazanego pracownika. Współdziałanie ma wszak dotyczyć spraw indywidualnych, stosownie do art. 23² Kodeksu pracy. Wbrew stanowisku skarżącego kasacyjnie, niedopuszczalność żądania na podstawie powyższego przepisu listy członków związku zawodowego w zakładzie pracy nie czyni tego przepisu zbędnym, gdyż jest on konieczny dla zapewnienia ochrony prawnopracowniczej wybranych członków związku zawodowego. Trudno również twierdzić, że fakt ten nadmiernie wydłuża procedurę związaną ze stosowanie art. 38 § 1 Kodeksu pracy, gdyż taki kształt postępowania ustalił ustawodawca, ważąc interesy pracodawców i pracobiorców, chroniąc w dodatku tych pierwszych terminem określonym w zdaniu drugim art. 30 ust. 2¹ ustawy o związkach zawodowych.

Powyższe uwagi odnieść można odpowiednio do osoby objętej obroną związku zawodowego, lecz nienależącą do niego. Informacja o objęciu osoby taką obroną również jest przetwarzaniem danych osobowych i podlega reżimowi u.o.d.o., jakkolwiek nie jest danymi tak wrażliwymi, jak informacja o przynależności związkowej. Niemniej, również i przetwarzanie jej danych w analizowanym zakresie dopuszczalne jest tylko w konkretnej sytuacji zawierającej bezpośrednią perspektywę wypowiedzenia czy rozwiązania jej stosunku pracy.

Warto zaznaczyć, że prezentowane stanowisko ma również oparcie w orzecznictwie Sądu Najwyższego. Jednoznacznie wskazuje na to uchwała składu siedmiu sędziów Sądu Najwyższego z dnia 21 listopada 2012 r. o sygn. akt III PZP 6/12 (OSNP 2013, nr 13-14, poz. 146), której argumentacja w ocenie Naczelnego Sądu Administracyjnego zasługuje na podzielenie. O aktualności przedstawionego zapatrywania świadczy także wyrok SN z dnia 4 czerwca 2013 r. o sygn. akt II PK 297/12. Orzeczenia te zmieniły dotychczasową linię orzeczniczą, wskazaną w judykatach przedstawionych przez Spółkę w odpowiedzi na skargę kasacyjną.

Konkludując powyższe, w ocenie Naczelnego Sądu Administracyjnego pracodawca nie może żądać listy członków działającego u niego związku zawodowego oraz osób objętych jego ochronę, w tym jej aktualizacji. Sprzeciwia się temu art. 27 ust. 1 ustawy o ochronie danych osobowych, a podstawą takiego żądania nie może być art. 30 ust. 2¹ ustawy o związkach zawodowych ani wykładany w związku z art. 27 ust. 2 pkt 2 ani w związku z art. 27 ust. 2 pkt 6 ustawy o ochronie danych osobowych. Potwierdza to także art. 22¹ Kodeksu pracy, który rzeczonej informacji nie wymienia jako wymagającej udostępnienia pracodawcy. Brak jest zatem podstaw prawnych do przetwarzania (otrzymywania) takiej listy przez pracodawcę.

Odnosząc się do argumentu Spółki, że żądanie podania danych nie jest ich przetwarzaniem w rozumieniu art. 7 pkt 2 ustawy o ochronie danych osobowych, Naczelny Sąd Administracyjny wskazuje, iż jest on nietrafny. Aktualną linię orzeczniczą w tym zakresie wyznacza wyrok NSA z 13 grudnia 2013 r. o sygn. akt I OSK 1102/12, w pełni podzielany przez skład orzekający w niniejszej sprawie. Wyjaśniono w nim, że "Żądanie udostępnienia określonych danych osobowych stanowi element zbierania danych osobowych, a więc ich przetwarzania w rozumieniu ustawy o ochronie danych osobowych. [...] Należy zwrócić uwagę, iż przetwarzanie danych, a więc i ich zbieranie, nie jest czynnością prawną, ale zawsze czynnością faktyczną, z której wynikają określone skutki prawne. Ustawa wprowadza bardzo szeroko ujętą definicję przetwarzania danych, przy czym przewiduje wyodrębnioną regulację dla określonych etapów tego przetwarzania. Ma to miejsce m.in. w stosunku do etapu zbierania. Zbieranie danych osobowych jest pierwszym etapem ich przetwarzania. O tym, że już żądanie określonych danych jest ich zbieraniem świadczy nie tylko wykładnia językowa, ale także systemowa i celowościowa. Stosownie bowiem do art. 24 ust. 1 ustawy o ochronie danych osobowych w przypadku zbierania danych od osoby, której one dotyczą, administrator danych zobligowany jest poinformować tę osobę m.in. o celu zbierania danych, o dobrowolności podania danych albo o podstawie prawnej obowiązku podania danych. Przepis ten w sposób jednoznaczny wskazuję, że żądanie podania danych osobowych jest już ich zbieraniem. Obowiązek zaś poinformowania osoby, od której zbierane są dane osobowe, następuje w momencie ich żądania. Tylko tak rozumiane pojęcie zbierania danych osobowych, gwarantuje ich pełną ustawową ochronę i zapobiega nieuprawnionemu gromadzeniu i dalszemu przetwarzaniu." Mając na uwadze powyższe stwierdzić należy, że w niniejszej sprawie żądanie Spółki było zatem formą przetwarzania danych w rozumieniu art. 7 pkt 2 ustawy o ochronie danych osobowych. Ochrona danych osobowych musi wszak dopuszczać także – a nawet przede wszystkim – działania prewencyjne.

Naczelny Sąd Administracyjny nie podzielił też uwag Sądu pierwszej instancji dotyczących nieprawidłowego sformułowania decyzji administracyjnej. Osnowa decyzji jest bowiem dostatecznie jasna i jednoznaczna – zgodnie z nią Spółka nie ma prawa przetwarzać żądanych danych w podanym przez siebie zakresie, a zatem zakładowa organizacja związkowa wskutek decyzji ma pewność, że nie musi udzielać żądanych informacji we wskazanym we wniosku Spółki zakresie, lecz jedynie w wymaganym przez przepisy ustawowe Kodeksu pracy. Stan faktyczny GIODO ustalił przy tym dostatecznie prawidłowo, jednoznacznie bowiem z niego wynika, że Spółka o przynależność związkową pytała nie w kontekście podejmowania czynności (wypowiedzenia czy rozwiązania) w ramach indywidualnego stosunku pracy, lecz aby uzyskać ogólną wiedzę, kto z jej pracowników zapisał się do związku zawodowego bądź podlega jego obronie.

Mając powyższe na uwadze stwierdzić należy, że organ prawidłowo wyłożył i zastosował w sprawie art. 18 ust. 1 pkt 1 u.o.d.o. nakazując L. usunięcie uchybień powstałych w procesie przetwarzania danych osobowych pracowników, polegających na pozyskiwaniu informacji o osobach będących członkami oraz korzystających z obrony Komisji Międzyzakładowej NSZZ "Solidarność" E. w sytuacji, gdy przepisy prawa pracy przewidują w stosunku do tych osób współdziałanie pracodawcy z zakładową organizacją związkową jedynie w indywidualnych sprawach ze stosunku pracy, zgodnie z art. 23² ustawy – Kodeks pracy.

Z podanych względów, mając za podstawę art. 188 ustawy – Prawo o postępowaniu przed sądami administracyjnymi, Naczelny Sąd Administracyjny uchylił wyrok i oddalił skargę. O kosztach orzeczono na podstawie art. 203 pkt 2 tej ustawy.