Wyrok WSA w Warszawie z dnia 28 października 2009 r., sygn. II SA/Wa 16/09

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Stanisław Marek Pietras (spr.), Sędzia WSA - Andrzej Kołodziej, Sędzia WSA - Przemysław Szustakiewicz, Protokolant Eliza Kusy, po rozpoznaniu na rozprawie w dniu 28 października 2009 r. sprawy ze skargi B. S.A. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2008 r. nr [...] w przedmiocie nakazu zaprzestania pozyskiwania danych osobowych - uchyla zaskarżoną decyzję oraz decyzję ją poprzedzającą z dnia [...] czerwca 2008 r. nr [...], - zaskarżona decyzja nie podlega wykonaniu w całości, - zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz B. S.A. z siedzibą w W. kwotę 440 (czterysta czterdzieści złotych) tytułem zwrotu kosztów postępowania.

Uzasadnienie

Zastępca Dyrektora Departamentu Kadr B. S.A. pismem z dnia [...] sierpnia 2007 r., powołując się na art. 30 ust. 21 ustawy z dnia 23 maja 1991 r. o związkach zawodowych (tekst jedn. z 2001 r. Dz. U. Nr 79, poz. 854 ze zm.), wystąpił m.in. do Przewodniczącego Komisji Zakładowej N. przy B. S.A. o udzielenie informacji w formie wykazu o osobach korzystających z ochrony związku zawodowego.

W tej sytuacji Przewodniczący oraz zastępcy Komisji Zakładowej N. przy B. S.A., wnieśli do Generalnego Inspektora Ochrony Danych Osobowych o wydanie decyzji w sprawie przetwarzania danych osobowych członków związku przez B. S.A. W ocenie wnioskodawców, Departament Kadr B. żądając od związku zawodowego imiennej listy osób objętych ochroną związkową wykracza poza zakres upoważnienia zawartego w przepisach prawa w tym z art. 27 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. z 2002 r. Dz. U. Nr 101, poz. 926 z późn. zm.) oraz art. 221 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (tekst jedn. z 1998 r. Dz. U. Nr 21 poz. 94 z późn. zm.).

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] czerwca 2008 r. nr [...], działając na podstawie art. 104 § 1 Kodeksu postępowania administracyjnego, art. 12 pkt 2 oraz art. 26 ust. 1 pkt 3 i 18 ust. 1 pkt 2 w z art. 27 ust. 2 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. z 2002 r. Dz. U. Nr 101, poz. 926 ze. zm.) w zw. z art. 30 ust. 21 ustawy z dnia 23 maja 1991 r. o związkach zawodowych (tekst jedn. z 2001 r. Dz. U. Nr 79, poz. 854 ze zm.), nakazał B. S.A., z siedzibą w W. [...] zaprzestanie praktyki polegającej na pozyskiwaniu od N. przy B. S.A. z siedzibą w W. [...], informacji o osobach korzystających z obrony wyżej wymienionego związku zawodowego w formie imiennej listy pracowników. W uzasadnieniu - wskazując na opisany już powyżej stan faktyczny - podał, że dane osobowe ujawniające przynależność związkową należą do kategorii danych tzw. "szczególnie chronionych", wymienionych w art. 27 ust. 1 ustawy o ochronie danych osobowych i zgodnie z powołanym przepisem, zabrania się przetwarzania danych ujawniających pochodzenie etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. Zatem powołanym przepisem wprowadza się zakaz przetwarzania (w tym ich zbierania) danych ujawniających przynależność związkową. Jednakże przedmiotowy zakaz nie ma charakteru bezwzględnego, gdyż przetwarzanie tego rodzaju danych jest dopuszczalne po spełnieniu przez administratora danych, co najmniej jednej z przesłanek enumeratywnie wymienionych w art. 27 ust. 2 ustawy, tzn. przetwarzanie danych tzw. "szczególnie chronionych" jest dopuszczalne wyłącznie w sytuacji, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę na piśmie, chyba że chodzi o usunięcie dotyczących jej danych, 2) przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony, 3) przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, gdy osoba, której dane dotyczą, nie jest fizycznie lub prawnie zdolna do wyrażenia zgody, do czasu ustanowienia opiekuna prawnego lub kuratora, 4) jest to niezbędne do wykonania statutowych zadań kościołów i innych związków wyznaniowych, stowarzyszeń, fundacji lub innych niezarobkowych organizacji lub instytucji o celach politycznych, naukowych, religijnych, filozoficznych lub związkowych, pod warunkiem, że przetwarzanie danych dotyczy wyłącznie członków tych organizacji lub instytucji albo osób utrzymujących z nimi stałe kontakty w związku z ich działalnością i zapewnione są pełne gwarancje ochrony przetwarzanych danych, 5) przetwarzanie dotyczy danych, które są niezbędne do dochodzenia praw przed sądem, 6) przetwarzanie jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie, 7) przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych, 8) przetwarzanie dotyczy danych, które zostały podane do wiadomości publicznej przez osobę, której dane dotyczą, 9) jest to niezbędne do prowadzenia badań naukowych, w tym do przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego; publikowanie wyników badań naukowych nie może następować w sposób umożliwiający identyfikację osób, których dane zostały przetworzone,10) przetwarzanie danych jest prowadzone przez stronę w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym. Ponadto z punktu widzenia zasad przetwarzania danych ujętych w ustawie o ochronie danych osobowych, nawet legitymowanie się przez administratora danych podstawą do gromadzenia danych osobowych nie upoważnia go do ich zbierania w zakresie szerszym, niż jest to niezbędne do realizacji celu, dla którego dane są zbierane. Zgodnie bowiem z art. 26 ust. 1 pkt 3 ustawy, administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane, zaś adekwatność danych w stosunku do celu ich przetwarzania powinna być rozumiana jako równowaga pomiędzy uprawnieniem osoby do dysponowania swoimi danymi, a interesem administratora danych i administrator danych nie może w żaden sposób stawiać swego interesu ponad dobro osoby, której dane przetwarza. Stąd też równowaga będzie zachowana, jeżeli administrator zażąda danych tylko w takim zakresie, w jakim jest to niezbędne do wypełnienia celu, w jakim dane są przez niego przetwarzane i z przepisu tego wynika w szczególności zakaz zbierania wszelkich danych dla celu zebrania danych nieistotnych, niemających znaczenia, jak i danych o większym, niż uzasadniony tym celem, stopniu szczegółowości, zaś relewantność danych powinna być oceniana najpóźniej w momencie ich zbierania. W dalszej części podał, że wprawdzie przepisy ustawy o ochronie danych osobowych określają zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy), to jednak źródło tej ochrony wynika przede wszystkim z Konstytucji RP, bowiem stosownie do treści art. 51 ust. 5, zasady i tryb gromadzenia oraz udostępniania informacji o osobie określa ustawa, zaś dyspozycję powołanego powyżej przepisu wypełnia właśnie ustawa o ochronie danych osobowych. Ponadto, zgodnie z art. 47 Konstytucji RP, każdy ma prawo do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym, a w art. 51 wprowadza się nową kategorię prawa jednostki do ochrony danych osobowych, w zakres którego wchodzi m.in. warunek ustawowej podstawy ujawnienia przez jednostkę informacji dotyczących jej osoby i przytoczone przepisy pozostają w określonej relacji wzajemnej: prawo do prywatności, statuowane w art. 47, zagwarantowane jest m.in. w aspekcie ochrony danych osobowych, przewidzianej w art. 51 (vide: wyrok Trybunału Konstytucyjnego z dnia 19 maja 1998 r. U. 5/97 OTK ZU 1998/4 poz. 46 Prokuratura i Prawo - dodatek 1998/9 poz. 51, podobnie postanowienie Trybunału Konstytucyjnego z dnia 24 czerwca 1998 r. U. 4/97 OTK ZU 1998/4 poz. 54). Natomiast, w wyroku z dnia 24 czerwca 1997 r. Trybunał Konstytucyjny wskazując rangę prawa do prywatności uznał m.in., iż nie ma ono charakteru absolutnego i może podlegać ograniczeniom. Konieczne jest przy tym jednak, by ograniczenia tego prawa formułowane były w sposób czyniący zadość wymaganiom konstytucyjnym. Zdaniem Trybunału Konstytucyjnego oznacza to, że ograniczenie prawa bądź wolności może nastąpić tylko jeżeli przemawia za tym inna norma, zasada lub wartość konstytucyjna, a stopień tego ograniczenia musi pozostać w odpowiedniej proporcji do rangi interesu, któremu ograniczenie to ma służyć (orzeczenie Trybunału Konstytucyjnego z dnia 24 czerwca 1997 r. K. 21/96 OTK ZU 1997/2 poz. 23 Prokuratura i Prawo - dodatek 1997/10 poz. 60). Z powyższego zatem jednoznacznie wynika, iż przepisy ustawy o ochronie danych osobowych odzwierciedlają konstytucyjne prawo każdej jednostki do ochrony prywatności, tj. prawa do ochrony danych osobowych. Niezależnie od powyższego organ podał, że zgodnie z art. 30 ust. 21 ustawy o związkach zawodowych, w indywidualnych sprawach ze stosunku pracy, w których przepisy prawa pracy zobowiązują pracodawcę do współdziałania z zakładową organizacją związkową, pracodawca jest obowiązany zwrócić się do tej organizacji o informację o pracownikach korzystających z jej obrony, zgodnie z przepisami ust. 1 i 2. Nieudzielenie tej informacji w ciągu 5 dni, zwalnia pracodawcę od obowiązku współdziałania z zakładową organizacją związkową w sprawach dotyczących tych pracowników. Powyższy przepis stanowi rozwinięcie zasady wyrażonej w art. 232 ustawy Kodeks pracy, w świetle której, jeżeli przepisy prawa pracy przewidują współdziałanie pracodawcy z zakładową organizacją związkową w indywidualnych sprawach ze stosunku pracy (np. art. 38 Kodeksu pracy), pracodawca ma obowiązek współdziałać w takich sprawach z zakładową organizacją związkową reprezentującą pracownika z tytułu jego członkostwa w związku zawodowym albo wyrażenia zgody na obronę praw pracownika nie zrzeszonego w związku - zgodnie z ustawą o związkach zawodowych. W tej sytuacji przepisy art. 30 ust. 21 ustawy o związkach zawodowych oraz art. 232 ustawy Kodeks pracy nie upoważniają B. - zdaniem organu - do pozyskiwania od związku zawodowego w formie imiennej listy, danych osobowych pracowników korzystających z ochrony wyżej wymienionego związku zawodowego, bowiem narusza to jedną z podstawowych zasad przetwarzania danych osobowych, jaką jest zasada adekwatności, zaś B. pozyskuje w ten sposób dane osobowe pracowników objętych ochroną związkową również na zapas (ewentualna realizacja trybu z art. 38 Kodeksu pracy, może ale nie musi się rozpocząć), co w świetle przepisów ustawy jest niedopuszczalne. Ponadto organ nie kwestionuje prawa B. do pozyskiwania informacji o pracownikach korzystających z ochrony związkowej, ale jedynie sposób realizacji tego prawa i stąd też, mając na uwadze unormowania wynikające przede wszystkim z przepisów ustawy o ochronie danych osobowych, B. powinien realizować prawo z art. 30 ust. 2 ustawy o związkach zawodowych poprzez indywidualne wystąpienie odnoszące się do poszczególnego pracownika.