Uzasadnienie
Wyrokiem z dnia 19 stycznia 2017 r., sygn. akt II SA/Wa 1789/13, Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę C.K. (dalej: skarżący) na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2013 r. nr [...] w przedmiocie przetwarzania danych osobowych.
Z uzasadnienia zaskarżonego wyroku wynika, że do Biura GIODO wpłynęła skarga skarżącego na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Grupę [...] Sp. z o.o. z siedzibą w Warszawie.
Skarżący zarzucił wyżej wskazanej Spółce naruszanie zasad ochrony danych osobowych. Wskazał, iż w dniu 30 czerwca 2012 r. odpowiedział na tzw. "ogłoszenie ukryte" o pracy w branży określonej jako "Automotive", umieszczone na portalu internetowym Spółki, przesyłając CV i list motywacyjny. Skarżący wyjaśnił, iż zdecydował się aplikować na powyższe ogłoszenie, pomimo braku wskazania nazwy pracodawcy, albowiem Spółka na swoim portalu informowała, iż w razie aplikowania na ogłoszenie bez podania nazwy firmy, informacja o danych (pracodawcy) zostanie przekazana aplikującemu bezpośrednio przez pracodawcę, w czasie późniejszym, niezwłocznie po otrzymaniu przez niego aplikacji. Ponieważ od pracodawcy skarżący nie otrzymał żadnej informacji, zwrócił się e-mailem do Spółki o powiadomienie go do jakiej firmy trafiły jego CV i list motywacyjny. Powołując się na powyższe okoliczności, skarżący zażądał od GIODO podjęcie działań w kierunku nakazania w drodze decyzji administracyjnej, obu podmiotom powiadomienia skarżącego o posiadaniu i przetwarzaniu jego danych osobowych i o zakazanie umieszczania takich ogłoszeń, w których anonimowy ogłoszeniodawcy zbiera dane osobowe.
Generalny Inspektor Ochrony Danych Osobowych przeprowadził postępowanie wyjaśniające, w toku którego ustalił następujące okoliczności faktyczne:
- Skarżący dnia [...] grudnia 2010 r. zarejestrował się na portalu http://[...].pl/. Spółka pozyskała dane osobowe skarżącego w postaci jego adresu e-mail [...], na podstawie art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych, w związku z faktem, że na żądanie użytkownika posiadającego ww. adres świadczyła usługi drogą elektroniczną. Zgoda na przetwarzanie danych osobowych przez Spółkę nie została nigdy cofnięta przez użytkownika;
- Spółka przetwarza dane osobowe skarżącego w zakresie imienia, nazwiska i adresu e-mail [...] w Zbiorze danych użytkowników portalu [...].pl zarejestrowanym pod numerem [...], wyłącznie w celu prawidłowej realizacji usług określonych w Regulaminie świadczenia usług drogą elektroniczną;
- Dnia 30 czerwca 2012 r. skarżący odpowiedział na "ogłoszenie ukryte" zamieszczone na portalu http://pracui.pl/. Dnia 4 lipca 2012 r. zwrócił się do Spółki z wnioskiem o spełnienie obowiązku informacyjnego, przez poinformowanie go, na rzecz jakiego podmiotu udostępniono jego dane osobowe;
- W wyjaśnieniach udzielonych w sprawie przez Spółkę wskazano: "(...) z adresu e-mail [...], za pośrednictwem Portalu [...].pl, wskazanym przez skarżącego w skardze, w dniu 30 czerwca 2012 r. nie została złożona aplikacja na ofertę pracy. Oznacza to, że skarżący najprawdopodobniej aplikował na wskazaną w swojej skardze ofertę przy użyciu innego adresu e-mail, którego nie podał w skardze, ani w korespondencji mailowej z Grupą [...]. W związku z powyższym Grupa [...] nie jest w stanie ustalić - dysponując jedynie imieniem i nazwiskiem oraz adresem e-mail: [...] - czy osoba ta rzeczywiście aplikowała na ogłoszenie w dniu wskazanym przez skarżącego". Dodano, że Spółka jest wyłącznie podmiotem przetwarzającym dane osobowe na zlecenie administratora danych, którym jest konkretny pracodawca i nie posiada informacji o tym czy pracodawca, na którego ofertę pracy aplikował skarżący - jako administrator danych osobowych - dopełnił wobec skarżącego obowiązku informacyjnego, który został określony w art. 24, art. 25 lub art. 33 ustawy o ochronie danych osobowych;
- Ogłoszenie rekrutacyjne, na które odpowiedział skarżący, stanowiło tzw. "ogłoszenie ukryte", czyli bez podawania nazwy firmy. Spółka wyjaśniła: "W przypadku korzystania z ogłoszenia ukrytego to pracodawca decyduje o celach i środkach przetwarzania danych osobowych kandydatów aplikujących na ogłoszenie, gromadzonych w ramach prowadzonego przez siebie postępowania rekrutacyjnego, stając się tym samym administratorem ich danych osobowych. Rola Grupy [...] w procesie przekazywania pracodawcom danych osobowych kandydatów ogranicza się wyłącznie do udostępniania platformy, za pomocą której kandydat przesyła swoje dokumenty aplikacyjne bezpośrednio do potencjalnego pracodawcy. Grupa [...] przekazuje dane pracodawcom na podstawie zawartych z nimi umów o świadczenie usług oraz Ogólnych Zasad Współpracy z Grupa [...] sp. z o.o. (...), jako podmiot przetwarzający dane na ich zlecenie i w ramach udzielonych przez nich upoważnień niezbędnych do wykonania usługi. Grupa [...] nie jest w powyższym zakresie administratorem danych osobowych kandydatów";
- Spółka ponadto wyjaśniła: "Przy aplikowaniu na ogłoszenie ukryte każdy użytkownik uzyskuje informację o treści: »Dane osobowe zawarte w dokumentach aplikacyjnych są zbierane w celu przeprowadzenia procesów rekrutacyjnych i pozostają niejawne. W razie aplikowania na ogłoszenie bez podanej nazwy firmy, informacje na temat administratora danych (pracodawcy) zostaną Ci przekazane bezpośrednio przez pracodawcę w terminie późniejszym, niezwłocznie po otrzymaniu aplikacji przez Pracodawcę. Jeżeli nie zgadzasz się na taką procedurę, prosimy o nieprzesyłanie aplikacji na to ogłoszenie«. Cały proces rekrutacyjny oparty o powyższą konstrukcję jest w pełni dobrowolny, co zostało podkreślone w treści samej klauzuli, a użytkownik świadomie korzysta z tak skonstruowanej usługi oferowanej przez Grupę [...]".
Generalny Inspektor decyzją z dnia 6 maja 2013 r. odmówił uwzględnienia wniosku skarżącego, wskazując, iż Grupę [...] Sp. z o.o. nie była podmiotem przetwarzającym w tej sprawie dane osobowe skarżącego, natomiast brak jest dowodu wskazującego na aplikowanie w dniu 30 czerwca 2012 r. przez skarżącego na ogłoszenie ukryte zamieszczone na portalu powyższej Spółki.
Wniosek o ponowne rozpatrzenie spawy złożył skarżący.
Generalny Inspektor nie podzielił zarzutów odwołania i decyzją z dnia 9 lipca 2013 r. utrzymał w mocy poprzedzające rozstrzygnięcie z dnia 6 maja 2013 r.
Organ wskazał na art. 7 ust. 4 ora z na art. 3 ustawy i wyjaśnił, iż w niniejszej spawie Spółka w procesie przekazywania pracodawcom danych osobowych kandydatów ogranicza się wyłącznie do udostępniania platformy, za pomocą której kandydat przesyła swoje dokumenty aplikacyjne bezpośrednio do potencjalnego pracodawcy. Natomiast Spółka przekazuje ww. dane pracodawcom na podstawie zawartych z nimi umów o świadczenie usług oraz Ogólnych Zasad Współpracy, jako podmiot przetwarzający dane na ich zlecenie i w ramach udzielonych przez nich upoważnień niezbędnych do wykonania usługi. Spółka nie jest w tym zakresie administratorem danych osobowych kandydatów, dlatego także nie jest administratorem danych osobowych skarżącego w związku z jego aplikacją na "ogłoszenie ukryte", a jedynie podmiotem z art. 31 ustawy, który udostępnia platformę, za pomocą której kandydat przesyła swoje dokumenty aplikacyjne bezpośrednio do potencjalnego pracodawcy.
Jak wynika z materiału dowodowego, zgromadzonego w sprawie, przy aplikowaniu na "ogłoszenie ukryte" Spółka umieściła klauzulę, zgodnie z którą użytkownik świadomie i dobrowolnie korzysta z usługi oferowanej przez Spółkę. Klauzula zawiera informacje dotyczące zbierania danych osobowych użytkownika zamierzającego skorzystać z tego ogłoszenia. Ponadto Spółka każdorazowo poucza swoich klientów o obowiązku informacyjnym określonym w art. 24 ustawy o ochronie danych osobowych, m.in. przez umieszczanie w systemie, z którego korzystają klienci w celu zamieszczania ogłoszeń, wyświetlającego się okienka z informacją dotyczącą tego obowiązku wraz z hiperłączem do broszury dotyczącej ogłoszeń ukrytych oraz dopełnienia obowiązku informacyjnego.
Nadto w toku postępowania kontrolnego Spółka usunęła uchybienia w procesie przetwarzania danych osobowych m.in. poprzez zmianę przez Spółkę sposobu świadczenia usługi "Aplikuj" dla "ogłoszeń ukrytych", w zakresie ograniczenia się Spółki do roli podmiotu przetwarzającego (pozyskującego) na rzecz pracodawców danych kandydatów odpowiadających na ogłoszenia. Spółka będzie świadczyła ww. usługę na rzecz pracodawców na podstawie zawartych z nimi umów, tj. na ich zlecenie i w ramach udzielonych przez pracodawców upoważnień niezbędnych do wykonania ww. usługi.
Spółka podjęła dodatkowe starania w celu edukowania pracodawców w zakresie przepisów ustawy o ochronie danych osobowych m.in. przez wysyłanie mailingu informacyjnego do klientów.
W konkluzji powyższego wywodu, organ wskazał, że Spółka nie jest administratorem danych osobowych skarżącego, zawartych w jego aplikacji wysłanej dnia 30 czerwca 2012 r. na ww. ogłoszenie ukryte, a jedynie podmiotem, o którym mowa w art. 31 ustawy.
Dalej organ wskazał, że zrównanie odpowiedzialności podmiotu, któremu powierzono dane osobowe do przetwarzania, z odpowiedzialnością administratora danych, dotyczy tylko kwestii uregulowanych w przepisach wymienionych w art. 31 ust. 3 ustawy. Konsekwencją powyższego jest zwolnienie podmiotu przetwarzającego dane osobowe na zlecenie z tych obowiązków, które ustawa nakłada wyłącznie na administratora danych, w szczególności obowiązków informacyjnych, w tym określonych w art. 24 i art. 25 ustawy. Ponadto wskazać należy, że ze zgromadzonego materiału dowodowego wynika, że skarżący nie zwracał się do Spółki z wnioskiem o spełnienie obowiązku informacyjnego z art. 33 ustawy, ale o podanie nazwy dającego ogłoszenie ukryte pracodawcy. Natomiast we wniosku o ponowne rozpatrzenie sprawy skarżący podał, że zwrócił się do Spółki "drogą e-mailową o poinformowanie mnie, do kogo trafiła moja aplikacja, bez podawania jakiejkolwiek podstawy prawnej. Dla mnie istotne było i jest otrzymanie żądanej odpowiedzi, a nieważne jest, czy zostanie ona przekazana mi na podstawie art. 24, art. 25 czy art. 33 u.o.d.o". Wobec powyższego organ podkreślił, że wprawdzie skarżącemu obojętne jest, na jakiej podstawie prawnej udzielono by mu żądanych informacji, jednak ze względu na zróżnicowane konstrukcje prawne każdego z ww. obowiązków miałoby znaczenie - w odniesieniu do administratora danych - na której z ww. podstaw skarżący opiera swoje żądanie. Ponadto okoliczność, że we wniosku o ponowne rozpatrzenie sprawy skarżący wskazuje na art. 33 ustawy nie może konwalidować braku powołania tego przepisu w skardze, bowiem wniosek o ponowne rozpatrzenie sprawy nie stanowi uzupełnienia wniosku inicjującego sprawę.
Odnosząc się do zarzutu skarżącego, że wbrew twierdzeniom Spółki wysłał dnia 30 czerwca 2012 r. na ww. ogłoszenie ukryte aplikację z adresu [...], GIODO stwierdził, że za dowód potwierdzający tę okoliczność nie można uznać dokumentu załączonego przez skarżącego do wniosku o ponowne rozpatrzenie sprawy.
Generalny Inspektor w zaskarżonej decyzji uznał za wystarczające wyjaśnienia Spółki, że z ww. adresu za pośrednictwem Portalu [...].pl w ww. terminie nie została złożona aplikacja na ofertę pracy i że skarżący najprawdopodobniej aplikował na tę ofertę przy użyciu innego adresu e-mail. Dlatego organ podtrzymał stanowisko zajęte w poprzedzającej decyzji.
Niezależnie od powyższego Generalny Inspektor wskazał, że status administratora danych osobowych przysługuje Spółce odnośnie do danych osobowych skarżącego w zakresie jego imienia, nazwiska i adresu e-mail pozyskanych w związku z dokonaniem przez niego rejestracji na portalu http://[...].pl/. W tym zakresie administrowanie przez spółkę danymi osobowymi skarżącego znajduje oparcie zarówno w przepisach ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. Nr 144, poz. 1204 ze zm.), jak i w przepisach ustawy o ochronie danych osobowych. Zgodnie z art. 23 ust. 1 pkt 3 ustawy przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to konieczne dla realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to konieczne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą.
Natomiast w zakresie objętym skargą inicjującą postępowanie przez GIODO, Spółka nie jest administratorem danych skarżącego i dlatego Generalny Inspektor stwierdził brak podstaw do zastosowania art. 18 ust. 1 ustawy i wydania decyzji nakazującej Spółce przywrócenie stanu zgodnego z prawem.
We wniosku o ponowne rozpatrzenie sprawy skarżący wskazał: "również nie otrzymałem od nikogo żadnej informacji, do kogo trafiła moja aplikacja wysłana w dniu 22/03/2012 roku w odpowiedzi na anonimowe/ukryte ogłoszenie (...)".
Organ podkreślił, że skarżący podniósł ten zarzut dopiero we wniosku o ponowne rozpatrzenie spawy, natomiast nie uczynił go przedmiotem skargi inicjującej postępowanie przed Generalnym Inspektorem Ochrony Danych Osobowych i dlatego brak jest podstaw do oceny zasadności tego zarzutu w toku postępowania dotyczącego wniosku o ponowne rozpatrzenie sprawy. Organ odwoławczy nie może zmieniać rodzaju sprawy, a zatem w postępowaniu odwoławczym może być rozpoznana i rozstrzygnięta wyłącznie tożsama pod względem podmiotowym i przedmiotowym sprawa.
Skarżący wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Generalnego Inspektora Ochrony Danych Osobowych.
Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie.
Sąd I instancji uznał, iż skarga nie zasługuje na uwzględnienie.
Na wstępie wyjaśnił, iż przedmiotem sprawy jest jedynie zagadnienie ochrony danych osobowych skarżącego wynikające z dokonania przez skarżącego w dniu 30 czerwca 2012 r. aplikowania na stronę internetową Grupy [...] Sp. z o.o. - www.[...].pl. Tak określony przedmiot sprawy jest zgodny z wnioskiem skarżącego (zwanym skargą na nieprawidłowości w przetwarzaniu danych osobowych), inicjującym stosowne postępowanie administracyjne przez Generalnym Inspektorem Ochrony Danych Osobowych. Dlatego przedmiotem kontroli Sądu tej sprawie, nie mogą być zagadnienia przetwarzania danych osobowych skarżącego w ramach dokonywanych przez niego innych aplikacji na w/w portal na inne tzw. "ogłoszenia ukryte".
Następnie Sąd wskazał, że w prawie polskim brak jest normy, która wprost zakazywała by "ogłoszeń ukrytych". Wojewódzki Sąd Administracyjny w Warszawie dostrzegł rażącą nierówność stron w tego rodzaju ogłoszeniach, gdy pracodawca dający takie ogłoszenie o poszukiwaniu pracownika pozostaje anonimowy, zaś pracownik na takie ogłoszenie odpowiadający, wskazuje swoje personalia, adres oraz posiadane kwalifikacje. Problem ten jest szeroko omawiany w doktrynie prawa pracy jak i w licznych opracowaniach GIODO, dostępnych na jego stronie internetowej.
Jednakże Sąd I instancji podkreślił, że może wypowiadać się jedynie w ramach konkretnego przedmiotu sprawy i w ramach obowiązującego porządku prawnego, nie zaś w zakresie uwag de lege ferenda. Dlatego ten zakres skargi i pism ją uzupełniających, w tym również uwag skarżącego zgłaszanych na rozprawie nie może być przedmiotem rozpoznania.
Dalej Sąd wskazał, że w spawie nie zostało udowodnione aby skarżący istotnie w dniu 30 czerwca 2012 r. aplikował na tzw. "ogłoszenie ukryte" o pracy w branży określonej jako "Automotive", umieszczone na portalu internetowym Grupy [...] Sp. z o.o. - www.[...].pl, przesyłając CV i list motywacyjny ze swojego komputera, posługując się swoim adresem poczty internetowej [...]. Powyższe ustalenie jest kluczowe dla wyniku sprawy i w ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, ustalenie to jest prawidłowe.
Z przedstawionego przez skarżącego kilkakrotnie w trakcie postępowania administracyjnego oraz załączonego do skargi wydruku (jest to ten sam wydruk) nie wynika fakt logowania z powyższego adresu na wyżej wspomniany portal w dniu 30 czerwca 2012 r. Brak tu odpowiedniego oznaczenia adresów internetowych nadawcy i adresata oraz czasu nadania korespondencji, które to dane, dla skuteczności doręczenia muszą wystąpić łącznie.
Z materiału spawy, w tym z licznych pism skarżącego, niezbicie wynika, iż już wcześniej, bo w dniu 28 grudnia 2010 r. skarżący zarejestrował się na portalu http://[...].pl/ tejże Spółki, korzystając z adresu e-mail [...] i posługują się tym adresem dokonywał aplikowania na różne głoszenia o pracę zawarte na tym portalu. Powyższy fakt potwierdza także Spółka Grupa [...], zaprzeczając jednocześnie aplikowaniu skarżącego z adresu e-mail [...] na portal http://[...].pl/ w dniu 30 czerwca 2012 r.
W odpowiedzi na to zaprzeczenie skarżący nie przedstawił, innych wydruków pozwalających np. prześledzić historię jego logowań na powyższy portal, czy wskazującym dokładne dane adresata i nadawcy e-maila z dnia 30 czerwca 2012 r., poza wskazanym wyżej wydrukiem - z którego fakt aplikowania przez skarżącego z adresu e-mail [...] na portal http://pracui.pl/ w dniu 30 czerwca 2012 r. nie wynika. Skarżący nie wykazał także aby tego dnia dokonywał aplikowania na ogłoszenie zamieszczone na portalu http://pracui.pl/, albo www. [...].pl. posługując się innym adresem poczty elektronicznej.
Sąd I instancji podkreślił przy tym, że nie wymaga tu wykazania się takim dowodem elektronicznego doręczenia korespondencji, jak w przypadku doręczeń dokonywanych pomiędzy organami administracyjnymi a obywatelem za pośrednictwem systemu: Urzędowe Poświadczenie Przedłożenia nr ePUAP-UPP (porównaj wyrok NSA z dnia 22 listopada 2016 r. sygn. akt I OSK 2137/15), bo w prywatnym obrocie elektronicznym nie jest to możliwe, ale wykazania wysłania e-mailu z adresu skarżącego na adres Spółki w dniu 30 czerwca 2012 r.
W ocenie Sądu I instancji, powyższe negatywne ustalenie, co do faktu aplikowania skarżącego w dniu 30 czerwca 2012 r. na zamieszczone na stronie internetowej Spółki Grupa [...] ogłoszenie ukryte, uniemożliwia automatycznie prowadzenie przez Generalnego Inspektora Ochrony Danych Osobowych postępowania sprawdzającego prawidłowość przetwarzania danych osobowych skarżącego, podanych przez niego w związku z tym konkretnym aplikowaniem.
Następnie Sąd podał, że Spółka mogła natomiast przetwarzać dane skarżącego w postaci jego adresu e-mailowego, albowiem w dniu 28 grudnia 2010 r. skarżący, podając swój adres poczty elektronicznej, zarejestrował się na portalu internetowym tej Spółki. W tym zakresie administrowanie przez Spółkę danymi osobowymi skarżącego znajduje oparcie zarówno w przepisach ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. Nr 144, poz. 1204 ze zm.), jak i w przepisach ustawy o ochronie danych osobowych. Zgodnie z art. 23 ust. 1 pkt 3 ustawy przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to konieczne dla realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to konieczne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą.
W ocenie Sądu I instancji, prawidłowe są także dalsze ustalenia organu dokonane w postępowaniu administracyjnym, aczkolwiek, wobec braku udowodnienia faktu aplikowania przez skarżącego w dniu 30 czerwca 2012 r. na ogłoszenie publikowane na stronie internetowej Spółki (o czym wyżej), ustalenia te nie mają istotnego znaczenia dla sprawy.
Z zapisów umieszczonych na stronie internetowej Spółki, dotyczących tzw. "ogłoszeń ukrytych" wynika, iż skarżący wiedział o sposobie aplikowania i względnej anonimowości dającego ogłoszenie pracodawcy. Wiedział także, iż Spółka nie przetwarza danych osobowych wskazanych przez osoby aplikujące na takie ogłoszenia ani nie przetwarza treści zamieszczanych przez osoby aplikujące (starające się o pracę). Powyższe wynika zarówno z treści pism skarżącego (zwłaszcza wniosku inicjującego sprawę) jak i z przedstawionych organowi przez Spółkę zasad jej działania, zawartych w umowach o świadczenie usług oraz Ogólnych Zasadach Współpracy.
Zdaniem Sądu, z powyższego stanu faktycznego organ trafnie wyciągnął wniosek, iż Spółka nie jest w tym zakresie administratorem danych osobowych kandydatów, a jedynie podmiotem określonym w art. 31 ustawy, który udostępnia platformę, za pomocą której kandydat przesyła swoje dokumenty aplikacyjne bezpośrednio do potencjalnego pracodawcy.
Zrównanie odpowiedzialności podmiotu, któremu powierzono dane osobowe do przetwarzania, z odpowiedzialnością administratora danych, dotyczy tylko kwestii uregulowanych w przepisach wymienionych w art. 31 ust. 3 ustawy. Konsekwencją powyższego jest zwolnienie podmiotu przetwarzającego dane osobowe na zlecenie z tych obowiązków, które ustawa nakłada wyłącznie na administratora danych, w szczególności obowiązków informacyjnych, w tym określonych w art. 24 i art. 25 ustawy. Ponadto Sąd wskazał, że ze zgromadzonego materiału dowodowego wynika, że skarżący nie zwracał się do Spółki z wnioskiem o spełnienie obowiązku informacyjnego z art. 33 ustawy, ale o podanie nazwy dającego ogłoszenie ukryte pracodawcy.
Dlatego, w zakresie objętym wnioskiem skarżącego, inicjującym postępowanie administracyjnym przed GIODO, Spółka nie jest administratorem danych skarżącego i dlatego Generalny Inspektor prawidłowo, w zaskarżonej decyzji, stwierdził brak podstaw do zastosowania wobec niej art. 18 ust. 1 ustawy i wydania decyzji nakazującej Spółce przywrócenie stanu zgodnego z prawem.
Końcowo Sąd wyjaśnił, że dalsze żądania skarżącego w kierunku rozszerzenia postępowania administracyjnego o okoliczności aplikowania przez niego, w innych dniach, na inne ogłoszenia w sprawie ofert pracy, zamieszczonych na stronie internetowej Grup [...] Sp. z o.o. nie może stanowić przedmiotu niniejszego postępowania, albowiem żądania w tej materii zostały złożone co najwcześniej w postępowaniu wywołanym wnioskiem o ponowne rozparzenie sprawy przez GIODO, albo w treści pism uzupełniających skargę na decyzje z dnia 9 lipca 2013 r.
Skargę kasacyjną od powyższego wyroku wniósł skarżący, zaskarżając go w całości, zarzucił Sądowi I instancji naruszenie przepisów prawa materialnego, tj.
- art. 1 ust. 1, 31 ust. 1 - 5, 32 ust. 1 i 33 ust. 1 ustawy o ochronie danych osobowych, poprzez jego błędną wykładnię polegającą na przyjęciu, że podmiot przetwarzający dane na zlecenie administratora danych osobowych nie ma obowiązku posiadania wiedzy kto jest administratorem danych osobowych konkretnej osoby, która korzysta z jej usług, podczas gdy minimalnym wymaganiem od podmiotu przetwarzającego dane osobowe jest wiedza dla kogo je przetwarza, czym Sąd I instancji powtórzył błąd organu zawarty zarówno w decyzji z I jak i II instancji.
Ponadto skarżący kasacyjnie zarzucił Sądowi I instancji naruszenie przepisów prawa procesowego, które miało istotony wpływ na wynik sprawy, tj.
- art. 3 § 1 i art. 145 § 1 pkt 1 lit c), oraz art. 135 w zw. z art. 145 § 1 pkt 1 lit c) P.p.s.a. w zw. z art. 7, 77 i 80 k.p.a. poprzez niedostrzeżenie przez Sąd, że organ utrzymując w mocy swoją decyzję nie zauważył, że wydając decyzję w I instancji pominął jako dowód korespondencję mailową pomiędzy skarżącym a pracownikiem Spółki, która wskazywała, że skarżący zwracał się do Spółki z wnioskiem o którym mowa w art. 33 ustawy o ochronie danych osobowych tym samym organ nie oparł się na całości materiału dowodowego i dokonał wybiórczego rozumowania w oparciu o niepełny stan faktyczny;
- art. 3 § 1 i art. 145 § 1 pkt 1 lit c), oraz art. 135 w zw. z art. 145 § 1 pkt 1 lit. c) P.p.s.a. w zw. z art. 7, 77 i 80 k.p.a., poprzez niedostrzeżenie przez Sąd, że organ utrzymując w mocy swoją decyzję nie zauważył, że wydając decyzję w I instancji odmówił wiarygodności wydruku z konta [...] na platformie www. [...].pl przedstawionego przez skarżącego, który potwierdzał złożenie aplikacji na "ogłoszenie ukryte", tym samym organ I instancji nie oparł się na całości materiału dowodowego i dokonał wybiórczego rozumowania w oparciu o niepełny stan faktyczny;
- art. 3 § 1 i art. 145 § 1 pkt 1 lit c), oraz art. 135 w zw. z art. 145 § 1 pkt 1 lit. c) P.p.s.a. w zw. z art. 7, 77 i 80 k.p.a., poprzez niedostrzeżenie przez Sąd, że organ utrzymując w mocy swoją decyzję nie zauważył, że wydając decyzję w I instancji odmówił przeprowadzenie dowodu z opinii biegłego na okoliczność, czy twierdzenie, że nie da się z przyczyn technicznych ustalić czy skarżący w dniu 30 czerwca 2012 roku dokonał aplikacji do ukrytego pracodawcy oraz kim był ten ukryty pracodawca, tym samym organ nie przeprowadził dowodu, który wymaga wiedzy specjalistycznej na kluczową okoliczność w sprawie i w konsekwencji nie oparł się na całości materiału dowodowego i dokonał wybiórczego rozumowania w oparciu o niepełny stan faktyczny;
- art. 3 § 1 i art. 145 § 1 pkt 1 lit c), oraz art. 135 w zw. z art. 145 § 1 pkt 1 lit. c) P.p.s.a. w zw. z art. 7, 77 i 80 k.p.a., poprzez niedostrzeżenie przez Sąd, że organ utrzymując w mocy swoją decyzję nie zauważył, że wydając decyzję w I instancji nie rozpoznał w całości wniosku skarżącego tj. pominął przeprowadzenie kontroli Spółki pod kątem prawidłowości przechowywania danych osobowych w aspekcie tzw. ukrytych rekrutacji;
- art. 3 § 1 i art. 145 § 1 pkt 1 lit c), oraz art. 135 w zw. z art. 145 § 1 pkt 1 lit. c) P.p.s.a. w zw. z art. 73 § 2 k.p.a. poprzez niedostrzeżenie przez Sąd, że organ odmówił wydania skarżącemu kserokopii z akt sprawy, podczas gdy organ powinien wydać takie kserokopie, a ich niewydanie było ograniczeniem praw strony;
- art. 3 § 1 i art. 145 § 1 pkt 2, oraz art. 135 w zw. z art. 145 § 1 pkt 2 P.p.s.a. w zw. z art. 15 i 156 k.p.a., poprzez niedostrzeżenie przez Sąd, że organ utrzymując w mocy swoją decyzję nie zauważył, że okoliczności przywołane przez skarżącego, które miały rozszerzać granice skargi, a znajdujące się we wniosku o ponowne rozpatrzenie sprawy oraz w pismach uzupełniających, powinny zostać potraktowane jako wniosek o rozpoczęcie kolejnej sprawy i wydanie w tej materii decyzji przez organ w postępowaniu drugoinstancyjnym stanowiło naruszenie dwuinstancyjności postępowania administracyjnego;
- art. 3 § 1 i art. 145 § 1 pkt 2, oraz art. 135 w zw. z art. 145 § 1 pkt 2 P.p.s.a. w zw. z art. 15 i 156 k.p.a., poprzez niedostrzeżenie przez Sąd, że organ utrzymując w mocy swoją decyzję nie zauważył, że nie podjął żadnych czynności pomiędzy wydaniem decyzji w I instancji a decyzją w II instancji, co stanowiło naruszenie dwuinstancyjności postępowania;
- art. 34 i 42 § 1 P.p.s.a. poprzez dopuszczenie do przeprowadzenia rozprawy w dniu 19 stycznia 2017 r. w sytuacji, gdy pełnomocnik skarżącego poinformował Sąd o wypowiedzeniu pełnomocnictwa oraz złożeniu wniosku w ORA w Warszawie o wyznaczenie nowego pełnomocnika, skarżący potwierdził wypowiedzenie pełnomocnictwa, a obydwaj wnosili o nieprowadzenie sprawy, podczas gdy w takiej sytuacji skarżący nie miał prawidłowej reprezentacji na rozprawie.
W konkluzji skargi kasacyjnej wniesiono o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz zasądzenie kosztów postępowania za obie instancje.
W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie.
Naczelny Sąd Administracyjny zważył, co następuje
Skarga kasacyjna nie zasługiwała na uwzględnienie.
Na wstępie należy zauważyć, że w postępowaniu kasacyjnym obowiązuje wynikająca z art. 183 § 1 P.p.s.a. zasada związania Naczelnego Sądu Administracyjnego podstawami i granicami zaskarżenia, wskazanymi w skardze kasacyjnej. Przytoczone w tym środku prawnym przyczyny wadliwości kwestionowanego orzeczenia determinują zakres kontroli dokonywanej w ramach nadzoru judykacyjnego. Do podjęcia działań z urzędu Naczelny Sąd Administracyjny zobowiązany jest jedynie w sytuacjach określonych w art. 183 § 2 P.p.s.a., które w tej sprawie nie występują.
W skardze kasacyjnej zarzucono zaskarżonemu wyrokowi naruszenie zarówno przepisów prawa materialnego, jak też przepisów postępowania. W takiej sytuacji, co do zasady, jako pierwsze podlegają rozpatrzeniu zarzuty naruszenia przepisów postępowania, gdyż weryfikacja prawidłowości wykładni przepisów prawa materialnego, dokonanej przez Sąd I instancji, jest możliwa jedynie w przypadku stwierdzenia braku uchybień natury procesowej, mogących mieć istotny wpływ na treść rozstrzygnięcia.
W ocenie Naczelnego Sądu Administracyjnego zarzuty procesowe przedstawione w pkt. 2.1,i 2.2, 2.3,2.4. nie mogły odnieść zamierzonego skutku. Oparte są one na tej samem podstawie, a jedynie inne jest ich uzasadnienie.
W pkt. 2.1 skargi kasacyjnej jej autor zarzucił Sądowi I instancji, że nie zauważył iż skarżący w korespondencji mailowej zwracał się do Spółki z wnioskiem, o którym mowa w art. 33 ust. 1 ustawy o ochronie danych osobowych.
Zgodnie z wymienionym przepisem na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie do jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a.
Jak wynika z akt sprawy skarżący prosił Spółkę o podanie informacji do kogo trafiła jego aplikacja z dnia 30 czerwca 2012r., jednakże okoliczność ta w żaden sposób nie może uzasadniać zarzutu naruszenia przez Sąd I instancji art. 145 § 1 pkt. 1 lit. c P.p.s.a. (nie ustęp 1 jak wskazano w skardze kasacyjnej).
Po pierwsze w skardze kasacyjnej nie zostały postawione zarzuty procesowe pozwalające podważyć stan faktyczny sprawy, zgodnie z którym Grupa [...] Spółka z o.o. (dalej określana jako Spółka) w Warszawie nie jest administratorem danych osobowych skarżącego. Spółka jest podmiotem określonym w art. 31 ustawy, który udostępnia platformę za pomocą której osoba zainteresowana zatrudnieniem przekazuje swoje dokumenty do potencjalnego pracodawcy.
Przepis art. 33 ust. 1 kierowany jest do administratora danych i nie znajduje zastosowania do Spółki jako podmiotu któremu administrator danych powierzył w drodze umowy zawartej na piśmie, przetwarzanie danych.
Po drugie stosownie do art. 145 § 1 pkt 1 lit. i c P.p.s.a. Sąd, uwzględniając skargę na decyzję lub postanowienie, uchyla decyzję lub postanowienie w całości albo w części, jeżeli stwierdzi naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy. Naruszenie wspomnianego przepisu można zarzucić Sądowi I instancji tylko w sytuacji, gdy pomimo stwierdzenia naruszenia przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy Sąd ten nie uchyli zaskarżonego orzeczenia zgodnie z dyspozycją powołanej normy prawnej. Natomiast w rozpatrywanej sprawie przedstawione przez Sąd I instancji powody oddalenia skargi nie pozwalały na zastosowanie art. 145 § 1 pkt 1 lit. c P.p.s.a., ponieważ Sąd I instancji nie stwierdził takich naruszeń prawa, które mogłyby wpłynąć na sposób jej rozpatrzenia przez organ. Stąd też, nie znajdując podstaw do uwzględnienia skargi i uchylenia zaskarżonej decyzji, Sąd I instancji oddalił skargę na podstawie art. 151 P.p.s.a.
Nietrafny jest zarzut przedstawiony w pkt. 2.2. skargi kasacyjnej.
Istotnie w aktach sprawy brak jest dowodu potwierdzającego złożenie przez skarżącego w dniu 30 czerwca 2012r. aplikacji na ogłoszenie ukryte. Załączone do skargi skierowanej do Sądu I instancji wydruki z konta [...], wydruki potwierdzeń wysłania aplikacji, nie dowodzą tego faktu. W niniejszej sprawie nie mamy do czynienia z negatywną oceną przedstawionego dowodu, tylko z brakiem dowodu.
Zarzut opisany w pkt. 2.3 skargi kasacyjnej nie jest trafny. Dotyczy on niedopuszczenia przez organ dowodu z opinii biegłego na okoliczność że nie da się ustalić, czy skarżący w dniu 30 czerwca 2012r. dokonał aplikacji do ukrytego pracodawcy oraz kim był ten pracodawca. W rozpoznawanej sprawie okoliczność ta nie wymagała dowodu, gdyż nie miała znaczenia dla rozstrzygnięcia sprawy. Faktem który wymagał udowodnienia było to, czy skarżący złożył aplikację i fakt ten nie został udowodniony. Dodatkowo trzeba stwierdzić, że przedmiotem dowodu są okoliczności możliwe do ustalenia. W razie niemożności ustalenia określonego faktu przyjmuje się, że dana okoliczność nie została udowodniona.
Wbrew twierdzeniom skargi kasacyjnej organ skontrolował prawidłowość przetwarzania danych osobowych skarżącego przez Spółkę. Z akt sprawy wynika, że skarżący już wcześniej tj. 28 grudnia 2010r. zarejestrował się na portalu internetowym Spółki i przesłankę legalizującą przetwarzanie podanych przez niego danych osobowych stanowił art. 23 ust. 1 pkt. 3 ustawy o ochronie danych osobowych.
W pkt. 2.5 skargi kasacyjnej powołano się na ograniczenie w postępowaniu administracyjnym praw strony do żądania kserokopii z akt sprawy. Wymienione w ramach tego zarzutu przepisy P.p.s.a. i K.p.a. nie są w stanie uzasadnić tego zarzutu. Nadto, o czym była mowa już wcześniej art. 145 § 1 ust. 1 lit. c P.p.s.a. nie istnieje, zaś art. 73 § 2 K.p.a. przewidujący prawo strony do żądania kopii z akt sprawy, nie stanowi wystarczającej podstawy do uznania że w sprawie doszło do naruszenia praw strony.
Nie istnieje też wymieniony w pkt. 2.6 art. 145 § 1 ust. 2 P.p.s.a.
Odnosząc się do tego zarzutu należy wyraźnie podkreślić, ze przedmiotem niniejszej sprawy jest wyłącznie zagadnienie legalności przetwarzania danych osobowych skarżącego przez Spółkę w związku ze złożoną aplikacją na ofertę pracy (wg. skarżącego w dniu 30 czerwca 2012r.). Innymi słowy przedmiotem postępowania była ocena zasadności skargi skierowanej do GIODO z dnia 17 sierpnia 2012r. Skarga ta wyznaczyła granice postępowania w rozpoznawanej sprawie. Oznacza to że skarżący nie może skutecznie zarzucić organowi, że w toku niniejszego postępowania nie zajął się ochroną danych osobowych w innych sprawach, których skarga nie dotyczyła, a które sygnalizował we wniosku o ponowne rozpatrzenie sprawy.
Podobnie należało ocenić zarzut opisany w pkt. 2.7. Dotyczy on bezczynności organu, czyli zupełnie innej sprawy niż sprawa ze skargi na decyzję GIODO.
Nie został naruszony również art. 34 i art. 42 § 1 P.p.s.a.
Skarżący był reprezentowany przez pełnomocnika z urzędu. W takiej sytuacji skarżącemu nie przysługiwało prawo do wypowiedzenia pełnomocnictwa, o jakim mowa w art. 42 § 1 P.p.s.a. Oświadczenie skarżącego, że nie chce aby reprezentował go dotychczasowy pełnomocnik nie wywołało skutków prawnych w postaci braku należytej reprezentacji procesowej, do czasu ewentualnego uwzględnienia jego wniosku o zmianę pełnomocnika z urzędu przez właściwą ORA.
Nie został więc naruszony art. 34 P.p.s.a, gdyż skarżący na rozprawie w dniu 19 stycznia 2017r. korzystał z pomocy pełnomocnika, zaś art. 42 § 1 P.p.s.a. nie znajdował w sprawie zastosowania, ponieważ powyższa norma nie dotyczy pełnomocnika z urzędu.
W niniejszej sprawie nie zaistniały okoliczności nakazujące Sądowi I instancji odroczenie rozprawy w dniu 19 stycznia 2017r. – art. 109 P.p.s.a.
Z uwagi na fakt, że podniesione w skardze kasacyjnej zarzuty dotyczące naruszenia przepisów postępowania okazały się nieusprawiedliwione, Naczelny Sąd Administracyjny w dalszej kolejności mógł przystąpić do oceny zasadności zarzutu naruszenia prawa materialnego.
Zarzut przedstawiony w pkt. 1.1. skargi kasacyjnej, w ocenie Naczelnego Sądu Administracyjnego nie mógł odnieść pożądanego skutku z jednego prostego powodu, jakim jest brak dowodu na okoliczność aplikowania skarżącego w dniu 30 czerwca 2012r. na tzw. ogłoszenie ukryte o pracy, umieszczone na portalu internetowym Spółki. Wbrew wywodom skargi kasacyjnej Sąd I instancji nie stwierdził w uzasadnieniu zaskarżonego wyroku, że podmiot przetwarzający dane na zlecenie administratora nie ma obowiązku posiadania wiedzy kto jest administratorem danych osobowych. W niniejszej sprawie problem dotyczył zupełnie innej kwestii, a mianowicie czy Spółka w ustalonym stanie faktycznym była zobowiązana do poinformowania skarżącego do kogo jako pracodawcy kierowana była jego oferta o pracę. Na tak postawione pytanie odpowiedź nie może być pozytywna, a to z uwagi na brak aplikacji z dnia 30 czerwca 20012r.
Z tych względów przepisy prawa materialnego składające się na materialną podstawę skargi kasacyjnej nie zostały naruszone.
Mając na uwadze powyższe Naczelny Sąd Administracyjny na podstawie art. 184 P.p.s.a. i art. 204 pkt. 1 P.p.s.a. orzekł jak w sentencji.