Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] lutego 2020 r. nr [...], na podstawie art. 104 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.), zwanej dalej k.p.a. w zw. z art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000), zwanej dalej u.o.d.o. z 2018 r." oraz art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.), zwanej dalej u.o.d.o. z 1997 r., po przeprowadzeniu postępowania administracyjnego ze skargi J. S. na przetwarzanie jej danych osobowych przez Poradnię Psychologiczno – Pedagogiczną nr [...] z siedzibą w [...], dalej: "Poradnia" polegające na udostępnieniu jej danych osobowych pracownikom tej Poradni oraz na rzecz Samodzielnego Publicznego Zespołu Zakładów Lecznictwa [...] z siedzibą w [...] (Poradnia Medycyny Pracy w [...]), odmówił uwzględnienia wniosku.
W uzasadnieniu Prezes UODO wskazał, że do Urzędu GIODO wpłynęła skarga J. S. dalej: "Skarżąca" na nieprawidłowości przy przetwarzaniu jej danych osobowych przez Poradnię polegające na udostępnieniu jej danych osobowych pracownikom tej Poradni oraz na rzecz Samodzielnego Publicznego Zespołu Zakładów Lecznictwa [...] (Poradnia medycyny pracy w [...]), dalej: "SPZZL[...]". Wskazała, że Poradnia ujawniła jej dane osobowe dotyczące wieku oraz adresu zamieszkania osobom nieupoważnionym oraz udostępniła (w skierowaniu na badania kontrolne) na rzecz SPZZL[...] dane ponad wymagane przepisami prawa.
Ponadto wskazała, że jej skierowanie na badania kontrolne zostało dostarczone do SPZZL[...] przez pracownika Poradni. Prezes UODO podał, że w toku postępowania ustalił następujący stan faktyczny: skarżąca jest zatrudniona na stanowisku psychologa w Poradni, która przetwarza jej dane osobowe jako pracodawca; skarżąca od 26 marca 2103 r. do 17 września 2013 r. przebywała na zwolnieniu lekarskim; Poradnia udostępniła dane osobowe skarżącej na rzecz SPZZL[...] w celu wykonania badań kontrolnych; Poradnia zawarła z SPZZL[...] jako jednostką organizacyjną medycyny pracy umowę z dnia [...] stycznia 2013 r. na realizację profilaktycznej opieki zdrowotnej; dane skarżącej w zakresie imię, nazwisko, data urodzenia, płeć, adres zamieszkania, PESEL zostały pozyskane przez SPZZL[...] w dniu [...] września 2013 r. w związku z wydanym przez Poradnię skierowaniem na badania z [...] września 2013 r.; skierowanie, o którym mowa w pkt 5 zostało złożone w SPZZL[...] przez przedstawiciela Poradni; do skierowania załączony został wykaz zwolnień za okres od 1 stycznia 2002 r. do 31 grudnia 2013 r.; [...] kwietnia 2014 r. w skierowanym do Burmistrza [...] piśmie sporządzonym na druku Poradni widnieją informacje dotyczące adresu skarżącej oraz faktu osiągnięcia przez nią od sześciu lat wieku emerytalnego; pismo wskazane w pkt 8 podpisane zostało przez cyt. "(...) kilku pracowników administracji i obsługi" Poradni; akta osobowe skarżącej przechowywane są w zamkniętej metalowej szafie pancernej usytuowanej w gabinecie dyrektora Poradni.
Dostęp do tych akt posiadają dyrektor Poradni oraz upoważnieni przez niego pracownicy tj.: wicedyrektor i trzech pracowników administracyjno-biurowych sekretariatu Poradni, dysponujący upoważnieniami do przetwarzania danych osobowych.
Prezes UODO rozpatrując sprawę wskazał, że żądanie skarżącej dotyczące przetwarzania (udostępnienia) jej danych osobowych przez Poradnię nastąpiło w okresie obowiązywania u.o.d.o. z 1997 r., co powoduje, że zgodnie z brzmieniem art. 160 ust. 2 u.o.d.o. z 2018 r. do niniejszego postępowania będą miały zastosowanie przepisy u.o.d.o. z 1997 r. Zdaniem organu przesłanki legalności przetwarzania tzw. zwykłych danych osobowych, w tym ich udostępniania, określał poprzednio art. 23 ust. 1 u.o.d.o. z 1997 r., zgodnie z którym przetwarzanie danych było dopuszczalne m.in. gdy: osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (art. 23 ust. 1 pkt 1 u.o.d.o.z 1997 r.) lub gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2 u.o.d.o. z 1997 r.).
Z kolei przesłanki dopuszczające przetwarzanie danych szczególnie chronionych w tym o stanie zdrowia, zostały określone w art. 27 ust 2 pkt 1-10 u.o.d.o. z 1997 r. Każda z powyższych przesłanek miała charakter samodzielny i autonomiczny, co oznacza, że spełnienie chociaż jednej z nich przesądzało o legalności procesu przetwarzania danych osobowych. Organ podniósł, że realizacja zadań w zakresie wstępnych, okresowych oraz kontrolnych badań lekarskich uregulowana została m.in. w przepisach ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 2019 r. poz. 1040, z późn. zm.), zwanej dalej k.p. oraz w rozporządzeniu Ministra Zdrowia i Opieki Społecznej z dnia 30 maja 1996 r. w sprawie przeprowadzania badań lekarskich pracowników, zakresu profilaktycznej opieki zdrowotnej nad pracownikami oraz orzeczeń lekarskich wydawanych do celów przewidzianych w Kodeksie pracy (Dz. U. 1996 Nr 69 poz. 332).
Organ powołał zdanie drugie art. 229 § 2 i 4 k.p., zgodnie z którym w przypadku niezdolności do pracy trwającej dłużej niż 30 dni, spowodowanej chorobą, pracownik podlega kontrolnym badaniom lekarskim w celu ustalenia zdolności do wykonywania pracy na dotychczasowym stanowisku. Kontrolne badania lekarskie przeprowadza się na podstawie skierowania wydanego przez pracodawcę. Zakres wstępnych, okresowych i kontrolnych badań lekarskich pracowników, tryb ich przeprowadzania oraz sposób dokumentowania i kontroli tych badań określony z kolei został w przepisach powołanego wyżej rozporządzenia. Organ przytoczył § 4 ust. 1 i 2 tego rozporządzenia (w brzmieniu obowiązującym w okresie od 21 grudnia 2010 r. do 31 marca 2015 r.)
Prezes UODO stwierdził, że udostępnienie danych skarżącej w zakresie dat jej nieobecności w pracy oraz podstawy wynagrodzenia za dzień pracy nie korzysta z przymiotu legalności przetwarzania danych osobowych wskazanego w przesłankach art. 23 ust 1 u.o.d.o. z 1997 r. Nadto, powyższe udostępnienie danych skarżącej narusza treść art. 26 ust. 1 pkt 3 u.o.d.o. z 1997 r., nie jest bowiem adekwatne do celu przetwarzania jakim jest objęcie pracownika badaniami profilaktycznymi z zakresu medycyny pracy. Odnosząc się do naruszenia dotyczącego wydania i dostarczenia do SPZZLO, skierowania na badania kontrolne skarżącej przez pracownika Poradni Prezes UODO zaznaczył, że zgodnie z art. 211 pkt 5 k.p., jednym z podstawowych obowiązków pracownika w zakresie BHP jest poddanie się wstępnym, okresowym i kontrolnym badaniom lekarskim, na które skieruje go pracodawca po zakończeniu okresu rekonwalescencji oraz stosowania się do wskazań lekarskich.
Badania takie jak wskazuje art. 12 ust. 1 ustawy z dnia 27 czerwca 1997 r. o służbie medycyny pracy (Dz.U. z 2019 poz.1175), wykonywane są na podstawie pisemnej umowy zawartej przez podmiot obowiązany do ich zapewnienia (Poradnia) z podstawową jednostką służby medycyny pracy (SPZZLO). Organ wskazał jakie elementy powinna określać umowa. Zwrócił uwagę, że z materiału dowodowego sprawy w szczególności z treści § 4 ust. 1 rozporządzenia z dnia 30 maja 1996 r. w sprawie prowadzenia badań lekarskich (...) oraz § 3 ust. 1 umowy wynika, że Poradnia zobowiązana była do wydawania skierowań osobom kierowanym na badania profilaktyczne. W ocenie organu bezpodstawne było zatem przekazanie skierowania z [...] września 2013 r. do rąk pracownika (sekretarki) tej Poradni.
Dalej organ odnosząc się do udostępnienia przez Poradnię radzie pedagogicznej i osobom niebędącym członkami Rady jej danych osobowych obejmujących jej wiek oraz adres zamieszkania przywołał art. 40 ust. 1 oraz art. 79 ust. 1 ustawy z dnia 7 września 1991 r. o systemie oświaty. Wskazał, że w zebraniach rady pedagogicznej mogli także brać udział z głosem doradczym osoby zapraszane przez jej przewodniczącego za zgodą lub na wniosek rady pedagogicznej. Kompetencje rady pedagogicznej zostały natomiast określone w 41 ust. 1 u.s.o.
Organ odnosząc treść powyższych przepisów ustawy o systemie oświaty do ustalonego stanu faktycznego sprawy wskazał, że pismo z [...] kwietnia 2014 r. skierowane do Burmistrza [...] zostało sporządzone na blankiecie Poradni zawierającej jej logo oraz dane identyfikacyjne. Pismo to ponadto ma nadany swój indywidualny numer ewidencyjny. Podkreślił także, że pod pismem widnieją podpisy osób spoza członków tejże rady ("pracownicy administracji i obsługi"), co potwierdzone zostało przez samą Poradnię. Organ stwierdził, że na administratorze danych zgodnie z regulacjami wymienionymi w art. 36-39a u.o.d.o 1997 r. ciążyły szczególne obowiązki związane z zabezpieczeniem danych. Określały one m.in., że administrator danych obowiązany był zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem (art. 36 ust. 1 u.o.d.o. z 1997 r.).
Administrator był ponadto zobowiązany zapewnić kontrolę nad tym, komu przetwarzane przez niego dane były przekazywane (art. 38 u.o.d.o. z 1997 r.). Wskazał, że do przetwarzania danych mogły być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. Dodatkowo organ zwrócił uwagę, że ze zgromadzonego materiału dowodowego wynika, że osobami upoważnionymi w Poradni do przetwarzania danych osobowych, znajdujących się w aktach osobowych pracowników są: dyrektor Poradni oraz upoważnieni przez niego pracownicy tj.: wicedyrektor i trzech pracowników administracyjno - biurowych sekretariatu. Zdaniem organu upoważnienie dla pracowników biurowych swoim zakresem nie upoważniało jednak do przetwarzania danych osobowych w celach poinformowania o wieku i adresie zamieszkania skarżącej Burmistrza [...] oraz wskazanych pod pismem z [...] kwietnia 2014 r. podmiotów czy też osób, które to pismo podpisały.
Uprawnienia do udostępniania ww. danych osobowych skarżącej nie miały także osoby będące członkami rady pedagogicznej, bowiem nie realizowały one zadań wskazanych w art. 41 ust. 1 u.s.o. Prezes UODO wskazał, że Poradnia jako administrator nie wypełniła należycie obowiązku określonego w art. 38 u.o.d.o.1997 r. Jednocześnie w ocenie organu Poradnia nie była uprawniona do ujawnienia w treści ww. pisma informacji cyt. "sześć lat temu osiągnęła wiek emerytalny (...)". Informacja ta bowiem pośrednio ujawnia wiek skarżącej i w związku z tym podlega ochronie jako dana osobowa wymieniona w art. 6 u.o.d.o. z 1997 r. W ocenie organu udostępnienie powyższej informacji nie znajduje uzasadnienia w jakiejkolwiek przesłance przetwarzania danych osobowych określonej w art. 23 ust. 1 u.o.d.o. z 1997 r.
Prezes UODO wskazał, że mimo iż poczynione w sprawie ustalenia faktyczne oraz prawne, wskazują na naruszenie przepisów ustawy o ochronie danych osobowych wobec skarżącej, tj. art. 23 ust. 1, art. 36 ust. 1, art. 38 oraz art. 26 ust. 1 pkt 3 u.o.d.o. z 1997 r., to nieprawidłowości miały charakter incydentalny, a same zdarzenia miały charakter nieodwracalny. Brak jest zatem podstaw do zastosowania przepisu art. 18 ust. 1 u.o.d.o. z 1997 r. zgodnie, z którym w przypadku naruszenia przepisów tej ustawy organ z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem. Nakaz taki, w przedmiotowej sprawie, byłby bowiem niemożliwy do wykonania. Warunkiem wydania przez organ rozstrzygnięcia, o którym mowa w tym artykule jest istnienie stanu naruszenia prawa do ochrony danych osobowych w chwili wydania decyzji administracyjnej.
Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2020 r. nr [...] stała się przedmiotem skargi J. S. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżąca wniosła o uchylenie zaskarżonej decyzji. Wskazała na naruszenia u.o.d.o. przez Poradnię, w wyniku których pozbawiono ją m.in. możliwości szkoleń i awansu zawodowego. Podniosła też m.in., że ma niski dodatek motywacyjny, a jej osiągnięcia nie są dostrzegane. Podała, że domaga się ukarania Dyrektora i wszystkich osób, które podpisały pismo do Burmistrza. Wskazała, że nie do zaakceptowania jest stanowisko Prezesa UODO odstępujące od wymierzenia kary Dyrektorowi, a tym samym uwzględnienia jej skargi do GIODO. Podkreśliła, że skoro nie da się przywrócić stanu zgodnego z prawem i cofnąć zaistniałych faktów, to pozostaje możliwość ukarania winnych karą grzywny. Podała, że domaga się od Prezesa UODO wydania decyzji o ukaraniu karą grzywny, a nadto przeproszenia jej na piśmie za wszystkie naruszenia prawa, jakich dopuściła się Poradnia.
Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie, powołując się na ustalenia dokonane w zaskarżonej decyzji. Organ wskazał, że żądanie Skarżącej dotyczące przetwarzania (udostępnienia) jej danych osobowych przez Poradnię nastąpiło w okresie obowiązywania ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych z (Dz. U. z 2016 r. poz. 922), co powoduje, że zgodnie z brzemieniem art. 160 ust. 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) do niniejszego postępowania będą miały zastosowanie przepisy u.o.d.o. z 97 r. Organ podniósł, że skarżąca domagając się od Prezesa Urzędu wymierzenia kary grzywny oraz przeprosin, wnosi o rozstrzygnięcia, które nie mieszczą się w ramach kompetencji Prezesa Urzędu. Wskazał, że administracyjne kary pieniężne wprowadzone nowymi przepisami o ochronie danych osobowych (u.o.d.o z 2018 r.) nie mają w niniejszej sprawie zastosowania z uwagi na przepisy przejściowe.
Nadto, zgodnie z art. 175 u.o.d.o. z 2018 r. uchylone zostały Przepisy karne rozdziału 8 u.o.d.o. z 97 r. W związku z powyższym Prezes Urzędu zobowiązany był do wydania decyzji na podstawie obowiązujących go przepisów prawa, o czym Skarżąca została poinformowana jeszcze w trakcie prowadzonego postępowania.
W piśmie z dnia 10 czerwca 2020 r. skarżąca podtrzymała skargę i zarzuty w niej podniesione, wskazując jednocześnie na aspekt opieszałości, przewlekłości postępowania przy rozpatrywaniu jej wniosku przez organ.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Skarga nie podlegała uwzględnieniu.
Organ nie naruszył w tej sprawie ani przepisów k.p.a., które miałyby wpływ na wynik sprawy, ani przepisów prawa materialnego. Zarzuty skargi Sąd uznał za nietrafne. Zasadnie organ stwierdził, że w sprawie doszło do naruszenia zasad przetwarzania danych osobowych skarżącej.
W sprawie tej Prezes UODO jednoznacznie stwierdził, których to ustaleń skarżąca nie kwestionuje, że doszło do naruszenia przepisów u.o.d.o. z 1997 r., tj. art. 23 ust. 1, art. 36 ust. 1, art. 38 oraz art. 26 ust. 1 pkt 3 u.o.d.o. z 1997 r. Organ ustalił bowiem, że nieuprawnione było udostępnienie danych skarżącej w zakresie dat jej nieobecności w pracy oraz podstaw wynagrodzenia za dzień pracy. Dane te nie były nadto adekwatne do celu przetwarzania, jakim było objęcie pracownika badaniami profilaktycznymi z zakresu medycyny pracy. Prezes UODO odnosząc się do przetwarzania danych skarżącej w zakresie wieku i adresu zamieszkania, wskazał też na naruszenie przepisów dotyczących obowiązku zabezpieczenia danych przez administratora, którego to obowiązku Poradnia nie dopełniła.
Trafnie organ zaznaczył przy tym, że żądanie skarżącej dotyczące przetwarzania jej danych osobowych przez Poradnię skierowane zostało do GIODO w okresie obowiązywania ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych z (Dz. U. z 2016 r. poz. 922). Zatem, zgodnie z art. 160 ust. 2 u.o.d.o. z 2018 r., do postępowania w tej sprawie miały zastosowanie przepisy u.o.d.o. z 1997 r. Przepis art. 160 ust. 1 u.o.d.o. z 2018 r. stanowi, że postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu. Stosownie do art. 160 ust. 2 tej ustawy, postępowania, o których mowa w ust. 1, prowadzi się na podstawie ustawy uchylanej w art. 175 (tj. u.o.d.o. z 1997 r.), zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257 oraz z 2018 r. poz. 149 i 650).
Zgodzić należy się z Prezesem UODO, iż w związku z tym, że naruszenia, o których mowa w decyzji, miały charakter nieodwracalny i incydentalny, brak było podstaw do zastosowania art. 18 ust. 1 u.o.d.o. z 1997 r. i wydania przez organ nakazu przywrócenia stanu zgodnego z prawem. Odnosząc się do zawartego w skardze żądania ukarania przez Prezesa UODO podmiotu, który naruszył przepisy u.o.d.o.
z 1997 r. wskazania wymaga, że uprawnienie tego organu do stosowania administracyjnej kary pieniężnej przewiduje art. 58 ust. 2 pkt i RODO. Przepisy RODO mają zastosowanie od 25 maja 2018 r. (art. 99 ust. 2 RODO). Natomiast kwestionowane przez skarżącą przetwarzanie jej danych osobowych, którego dotyczy decyzja, miało miejsce w 2013 i 2014 r. Organ stwierdził w decyzji naruszenie przepisów ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997 r.
Odnosząc się do podniesionej przez stronę w piśmie procesowym kwestii czasu trwania postępowania przed organem ochrony danych osobowych wskazania wymaga, że strona miała możliwość kwestionowania przed sądem administracyjnym bezczynności, czy przewlekłego prowadzenia postępowania przez organ, po wyczerpaniu środka zaskarżenia. W niniejszym postępowaniu kwestia czasu trwania postępowania administracyjnego nie wpływa na wynik sprawy. Decyzja organu w ustalonym stanie faktycznym nie daje podstaw do uwzględnienia skargi.
Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r., poz. 2325 ze zm.) w zw. z art. 15zzs4 ust. 3 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem C0VID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. poz. 374 ze zm.), orzekł jak w wyroku.