Wyrok WSA w Warszawie, sygn. akt II SA/Wa 2227/19
Wojewódzki Sąd Administracyjny w Warszawie
Data orzeczenia: 2020-09-15 00:00:00+02:00 (orzeczenie nieprawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne: Ochrona danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Uchylono zaskarżoną decyzję
Powołane przepisy: article: art. 1 ust. 1, art. 1 ust. 2, art. 34 ust. 2, art. 60, art. 98 ust. 1
journal: Dz.U. 2018 poz 1000
law: Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych

SENTENCJA

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki (spr.), Sędzia WSA Agnieszka Góra-Błaszczykowska, Asesor WSA Joanna Kruszewska-Grońska, , Protokolant referent Joanna Mazur, po rozpoznaniu na rozprawie w dniu 15 września 2020 r. sprawy ze skargi J. Sp. z o.o. z siedzibą w G. oraz T. J. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2019 r., nr [...] , [...] w przedmiocie udzielenia upomnienia za nieprawidłowości w procesie przetwarzania danych osobowych 1) uchyla zaskarżoną decyzję; 2) zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz J. Sp. z o.o. z siedzibą w G. kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania; 3) zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz T. J. kwotę 200 (słownie: dwieście) złotych tytułem zwrotu kosztów postępowania.


UZASADNIENIE

Zaskarżonym aktem, wobec skargi p. T. J., zwanego dalej "Wnioskodawcą", na nieprawidłowości w przetwarzaniu jego danych osobowych przez J. Sp. z o.o., zwaną dalej "Spółką" – przywołując art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2018 r. poz. 2096 ze zm.), zwanej dalej "K.p.a." oraz art. 5 ust. 1 lit. c i f, art. 6 ust. 1 i art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119 z 4 maja 2016), zwanego dalej "RODO" - udzielono Spółce upomnienia za nieprawidłowości w procesie przetwarzania danych osobowych, polegające na naruszeniu art. 6 ust 1, w zw. z art. 5 ust. 1 lit. c oraz f RODO, poprzez udostępnienie [...] sierpnia 2018 r. osobom znajdującym się w poczekalni biura poselskiego, danych osobowych Wnioskodawcy w zakresie informacji o wypowiedzeniu mu umowy o pracę bez zachowania okresu wypowiedzenia, określanego dalej mianem "Wypowiedzenie" (pkt 1 orzeczenia). W pozostałym zakresie odmówiono uwzględnienia wniosków ze skargi (pkt 2 orzeczenia).

W uzasadnieniu rozstrzygnięcia przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy:

- skarga Wnioskodawcy dotyczyła nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę; polegały one na udostępnieniu jego danych osobowych osobom nieuprawnionym; zarzucano, że pracownicy Spółki - w obecności osób trzecich znajdujących się w biurze poselskim (Poseł A.M.) - odczytali, posługując się danymi osobowymi Wnioskodawcy, treść oświadczenia o Wypowiedzeniu; Wnioskodawca wskazał, że - po odmówieniu przez niego przyjęcia Wypowiedzenia, przedstawiciele Spółki pozostawili niezabezpieczone pismo zawierające Wypowiedzenie, w obecności osób przebywających w biurze poselskim; w związku z tym Wnioskodawca wniósł o podjęcie wszelkich działań zmierzających do usunięcia wskazanych naruszeń; zwrócił się też do organu o rozważenie wszczęcia postępowania sądowego przeciwko osobom reprezentującym Spółkę z tytułu naruszenia ustawy z dnia 10 maja 2018 r., o ochronie danych osobowych (Dz.U. poz. 1000 ze zm.), zwanej dalej "ustawą o danych",

- w toku prowadzonego postępowania administracyjnego ustalono następujący stan faktyczny:

- Wnioskodawca był zatrudniony w Spółce od [...] stycznia 2006 r. do [...] sierpnia 2018 r.; pełni w Spółce funkcję przewodniczącego Organizacji Zakładowej [...]"[...]";

- Spółka - za pośrednictwem kuriera - czterokrotnie usiłowała dostarczyć Wnioskodawcy oświadczenie o Wypowiedzeniu; korzystał on bowiem ze zwolnienia z obowiązku świadczenia pracy z zachowaniem prawa do wynagrodzenia;

- [...] sierpnia 2018 r. dwaj upoważnieni przedstawiciele Spółki wręczyli Wnioskodawcy Wypowiedzenie w poczekalni biura poselskiego; odmówił on przyjęcia pisma; reprezentanci Spółki, reagując na odmowę przyjęcia pisma, pozostawili je na znajdującym się obok Wnioskodawcy stole;

- w trakcie wręczania pisma jeden z przedstawicieli Spółki powiedział Wnioskodawcy, że jest to Wypowiedzenie i jest mu wręczane, bo nie odbiera pism od kurierów;

- w odwołaniu od Wypowiedzenia skierowanym do Sądu Rejonowego wskazano, że [...] sierpnia 2018 r. przedstawiciele Spółki osobiście wręczyli Wnioskodawcy pismo o Wypowiedzeniu,

- przedmiotowa sprawa dotyczy danych z zakresu tzw. "danych zwykłych"; ich przetwarzanie reguluje art. 6 ust. 1 RODO; zgodnie z nim, przetwarzanie danych osobowych jest dopuszczalne tylko, gdy jest spełniona jedna z przesłanek wskazanych w tym przepisie; katalog wymienionych w art. 6 ust. 1 RODO przesłanek legalizujących proces przetwarzania danych osobowych jest zamknięty; każda z nich ma charakter autonomiczny i niezależny; proces przetwarzania danych osobowych musi być też zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO; zalicza się do nich m.in. minimalizacje danych (lit. c), jak również integralność i poufność (lit. f),

- jeden z pełnomocników Spółki przy wręczaniu Wnioskodawcy Wypowiedzenia powiedział, że jest to oświadczenie o Wypowiedzeniu i jest mu wręczane, bo nie odbiera pism od kurierów; Spółka - w trakcie wypowiadania umowy o pracę - naruszyła zasadę integralności i poufności; upoważniony przedstawiciel Spółki, udostępnił bowiem dane osobowe Wnioskodawcy nieupoważnionym osobom, przebywającym w tym czasie w biurze poselskim; udostępnienie informacji o tym, co zawiera wręczane Wnioskodawcy pismo w obecności innych osób byłoby zgodne z prawem pod warunkiem, że posiadałoby one stosowne upoważnienie - przewidziane art. 29 RODO; zgodnie z zebranym materiałem dowodowym, osoby trzecie - znajdujące się w trakcie wręczenia Wnioskodawcy Wypowiedzenia w biurze poselskim - nie miały takiego upoważnienia; przedstawiciel Spółki - podczas wręczania Wypowiedzenia - nie musiał - w obecności osób nieuprawnionych - wskazywać, czego dotyczy przekazywane przez niego pismo, aby Wnioskodawca mógł zapoznać się z jego treścią,

- zgodnie z powyższym, udostępnienie danych osobowych Wnioskodawcy we wskazany wyżej sposób, odbyło się z naruszeniem przepisów ochrony danych osobowych (art. 5 ust. 1 lit. c i f RODO),

- odnosząc się do udostępnienia przez Spółkę danych osobowych Wnioskodawcy, poprzez pozostawienie w sposób niezabezpieczony Wypowiedzenia, w obecności osób przebywających w biurze poselskim wskazano: zgodnie z art. 4 ust. 7 RODO, administratorem danych jest osoba fizyczna lub prawną, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; na mocy art. 24 ust. 1 RODO administrator danych osobowych - uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze - wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z RODO i aby móc to wykazać; zgodnie z tym do momentu wręczenia Wnioskodawcy Wypowiedzenia, administratorem znajdujących się w tym piśmie jego danych osobowych była Spółka; w momencie jednak doręczenia mu wypowiedzenia Spółka przestała ponosić odpowiedzialność w stosunku do znajdujących się w nim danych osobowych; w chwili doręczenia korespondencji odpowiedzialność za jej zawartość spoczywa na adresacie; nie można jednocześnie uznać, że Spółka - po przekazaniu wystawionego na podstawie przepisów prawa pracy Wypowiedzenia, naruszyła obowiązek właściwego zabezpieczenia danych osobowych przed dostępem do nich osób nieupoważnionych; uprawnieni przedstawiciele Spółki przekazali zawierające dane osobowe pismo osobiście Wnioskodawcy w sposób przewidziany w art. 61 § 1 ustawy - Kodeks cywilny, w zw. z art. 300 ustawy - Kodeks pracy; oświadczenie woli, które ma być złożone innej osobie, jest złożone z chwilą, gdy doszło do niej w taki sposób, że mogła zapoznać się z jego treścią; nie można stwierdzić więc, że Spółka naruszyła w ten sposób obowiązki wynikające z przepisów prawa ochrony danych osobowych, nałożone na administratora danych osobowych,

- postępowanie administracyjne prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej; decyzje te służą przywróceniu stanu zgodnego z prawem, na podstawie art. 58 ust. 2 lit. b RODO m.in., poprzez udzielenie upomnienia administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operację przetwarzania; Spółka udostępniła dane osobowe naruszając przepisy o ochronie danych osobowych; przetwarzanie nie jest obecnie kontynuowane; w związku z tym - wobec uprawnienia określonego w art. 58 ust. 2 lit. b RODO - udzielono Spółce upomnienia.

W skardze Spółka, reprezentowana przez profesjonalnego pełnomocnika – radcę prawnego (sprawa opatrzona pierwotnie sygn. akt II SA/Wa 2325/19), zarzuciła naruszenie przepisów:

- postępowania, które mogło mieć wpływ na wynik sprawy:

- art. 7, w zw. z art. 77 § 1, art. 78 § 1 i 2 oraz art. 80 K.p.a., poprzez wydanie decyzji w oparciu o niekompletny materiał dowodowy i bez wszechstronnej oceny całokształtu materiału dowodowego jak również bez przeprowadzenia wnioskowanych przez Spółkę dowodów - z zeznań świadka i pisemnego oświadczenia na okoliczność przebiegu wręczenia Wypowiedzenia; doprowadziło to do błędnego ustalenia, jakoby osoby obecne w pomieszczeniu, w którym nastąpiło doręczenie usłyszały słowa wypowiadane do Wnioskodawcy, na temat rozwiązania umowy o pracę; w konsekwencji stwierdzono jakoby doszło do naruszenia przez Spółkę art. 5 ust. 1 lit. f RODO - zasady integralności i poufności danych;

- art. 107 § 3 K.p.a. poprzez brak wskazania dowodów, na których oparto ustalenie, że osoby obecne w pomieszczeniu, gdzie nastąpiło doręczenie Wypowiedzenia, usłyszały słowa skierowane do Wnioskodawcy na temat rozwiązania umowy o pracę;

- art. 8 § 1 i art. 11 K.p.a., poprzez brak ustosunkowania się i pominięcie załączonego do akt sprawy oświadczenia pracownika Spółki oraz twierdzeń i wyjaśnień Spółki; wynikało z nich, że dopiero zachowanie Wnioskodawcy - już po poinformowaniu go o zamiarze rozwiązania umowy o pracę - wzbudziło uwagę obecnych w pomieszczeniu osób; co za tym idzie osoby te nie mogły słyszeć słów wypowiadanych do Wnioskodawcy, które zostały uznane za udostępnienie danych osobowych,

- prawa materialnego, które miało wpływ na wynik sprawy:

- art. 4 pkt 1, w zw. z art. 2 ust. 1 RODO, poprzez przyjęcie, że sama informacja o Wypowiedzeniu - przekazana Wnioskodawcy [...] sierpnia 2018 r. - bez wskazywania danych go identyfikujących - np. w postaci jego imienia, nazwiska lub innego identyfikatora, umożliwiającego zidentyfikowanie osoby, czy też nazwy firmy (Spółki) - stanowiła dane osobowe w rozumieniu RODO; doprowadziło to do błędnego uznania, że doszło do udostępnienia danych osobowych Wnioskodawcy,

- art. 4 pkt 2 RODO, poprzez błędne przyjęcie, że samo udostępnienie informacji o rozwiązaniu umowy o pracę, osobom przebywającym w miejscu wykonywania tej czynności - gdy nie towarzyszy temu ujawnienie danej informacji, która była już publicznie ujawniona w internecie przed [...] sierpnia 2018 r. - stanowiło operację przetwarzania, do której zastosowanie mają przepisy RODO,

- art. 5 ust. 1 lit. c RODO, w zw. z art. 61 § 1 ustawy – Kodeks postępowania cywilnego i art. 300 ustawy - Kodeks pracy, poprzez błędne przyjęcie, że:

upoważniony przedstawiciel Spółki nie musiał informować Wnioskodawcy, czego dotyczy przekazywane mu pismo,

na skutek poinformowania go, czego dotyczy przekazane mu pismo - bez jednoczesnego wskazywania danych identyfikujących Wnioskodawcę (np. w postaci jego imienia, nazwiska lub innego identyfikatora, czy też nazwy firmy Spółki) doszło do złamania zasady minimalizacji danych;

- art. 6 ust. 1 lit. c i f RODO, poprzez brak zastosowania i brak przyjęcia, że - w okolicznościach sprawy - ewentualne udostępnienie [...] sierpnia 2018 r. osobom przebywającym w biurze poselskim publicznie dostępnej informacji o rozwiązaniu o umowy o pracę było niezbędne do wypełnienia obowiązku prawnego ciążącego na Spółce; było nim doręczenie Wypowiedzenia w terminie przewidzianym w art. 52 § 2 ustawy - Kodeks pracy i do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Spółkę, jakim było rozwiązanie z Wnioskodawcą umowy o pracę.

W szerokim uzasadnieniu skargi rozwinięto powyższe zarzuty. Podkreślano m.in., że czynności przedstawicieli Spółki [...] sierpnia 2018 r., niezależnie od okoliczności faktycznych, nie mogło doprowadzić do ujawnienie danych osobowych Wnioskodawcy, w rozumieniu RODO. Informacje o rozwiązanie z nim umowę o pracę przez Spółkę Wnioskodawca zamieścił sam wcześniej - w sieci teleinformatycznej, jako publicznie dostępną.

Wniesiono o uchylenie zaskarżonej decyzji oraz zasądzenie od organu zwrotu kosztów postępowania sądowego.

Wnioskodawca w skardze zarzucił naruszenie przepisów prawa:

- procesowego - art. 7, 77 § 1 i art. 80 K.p.a.; upatrywano go w niewyczerpującym rozpatrzeniu zebranego w sprawie materiału dowodowego oraz na jego dowolnej, a nie swobodnej ocenie, wyrażającej się w:

- uznaniu za wiarygodne wyjaśnienia Spółki:

co do czterokrotnego usiłowania dostarczenia Wypowiedzenia za pośrednictwem kuriera; miało to dawać podstawy do osobistego wręczenia przesyłki przez pracowników Spółki, dla zachowania terminów do dokonania określonych przepisami czynności prawnych - doręczenia Wypowiedzenia; tymczasem - zgodnie z przepisami ustawy - Kodeks postępowania cywilnego - oddanie pisma w polskiej placówce pocztowej operatora wyznaczonego skutkuje dokonaniem czynności w terminie; także zwyczajowo tego typu czynności w sprawach pracowniczych dokonuje się za pośrednictwem poczty; nie było zatem podstaw faktycznych i prawnych do doręczania pisma kurierem lub osobiście za pomocą innych pracowników, którzy na co dzień nie zajmują się doręczaniem korespondencji pracodawcy; istniała też możliwość wręczenia Wnioskodawcy pisma w miejscu pracy;

jakoby [...] sierpnia 2018 r. upoważnieni przedstawiciele Spółki wręczyli Wnioskodawcy Wypowiedzenie w poczekalni biura poselskiego, ten odmówił przyjęcia pisma a jej reprezentanci - reagując na odmowę - pozostawili je na stole, znajdującym się obok Wnioskodawcy; tymczasem, z oświadczeń osób trzecich - pracowników biura poselskiego, w którym doszło do zdarzenia oraz znajdujących się w tym biurze interesantów (znajdują się one w aktach sprawy) - jednoznacznie wynika, co innego - m.in. głośno odczytano całe oświadczenie o Wypowiedzeniu z ujawnieniem podstaw zwolnienia oraz danych osobowych Wnioskodawcy, mężczyźni, którzy odczytali treść oświadczenia nie przedstawili się, nie okazali stosownych upoważnień a po odczytaniu pismo o Wypowiedzeniu położono na jednym z krzeseł w biurze w sposób umożliwiający zapoznanie się z jego treścią osobom postronnym (tekstem ku górze);

- bezpodstawnym uznaniu, jakoby w momencie doręczenia Wnioskodawcy przez przedstawicieli Spółki Wypowiedzenia przestała ona ponosić odpowiedzialność w stosunku do znajdujących się w piśmie danych osobowych oraz jakoby nie naruszyła ona obowiązku właściwego zabezpieczenia danych osobowych przed dostępem do nich osób nieupoważnionych; tymczasem porzucenia w żaden sposób niezabezpieczonego pisma na krześle w biurze poselskim, pomimo wyraźnej odmowy jego odbioru ze strony Wnioskodawcy, nie można uznać za jakąkolwiek formę prawidłowego doręczenia; pozostawienia pisma z podstawami zwolnienia i danymi osobowymi Wnioskodawcy niezabezpieczonego np. w kopercie, do góry tekstem, nie można uznać za prawidłowe zabezpieczenie i ochronę danych osobowych,

- materialnego:

- art. 58 ust. 2 lit. i w zw. z art. 83 RODO, poprzez jego niezastosowanie i nienałożenie jakiejkolwiek administracyjnej kary pieniężnej za naruszenie przepisów tego rozporządzenia; naruszenie to jest ewidentne, a okoliczności sprawy - rodzaj naruszonych danych i sposób, w jaki doszło do naruszenia oraz podmiot, który naruszył przepisy dotyczące ochrony danych osobowych (radca prawny Spółki) - wskazują na podstawy do nałożenia kary, w celu skutecznego zapobiegnięcia wystąpieniu tego typu zdarzeniom w przyszłości ze strony Spółki;

- art. 98 ust. 1 ustawy o danych, poprzez jego niezastosowanie i zaniechanie wytoczenia w imieniu Wnioskodawcy i na jego rzecz powództwa przeciwko Spółce o roszczenia z tytułu bezprawnego naruszenia dóbr osobistych; tymczasem okoliczności sprawy oraz ocena dokonana przez organ jednoznacznie wskazują na wystąpienie naruszeń prawa ze strony Spółki; uzasadnia to skierowanie powództwa do sądu.

W uzasadnieniu skargi rozwinięto powyższe zarzuty. Wniesiono o uchylenie zaskarżonej decyzji w pkt 2, zasądzenie od organu zwrotu kosztów postępowania sądowego, oraz dopuszczenie i przeprowadzenie dowodu z załączonych dokumentów, na okoliczności wskazane w treści skargi.

W odpowiedziach na obie skargi organ administracji wniósł o ich oddalenie, podtrzymując dotychczasową argumentację.

W dodatkowym piśmie procesowym (k. 64-67 akt o sygn. II SA/Wa 2227/19) Spółka polemizowała ze stanowiskiem Wnioskodawcy sformułowanym w skardze, co do okoliczności faktycznych doręczenia mu w biurze poselskim Wypowiedzenia.

W trakcie rozprawy (k. 75) Sąd połączył sprawę ze skargi Wnioskodawcy (o sygn. akt II SA/Wa 2227/19) oraz Spółki (o sygn. akt II SA/Wa 2325/19) do wspólnego rozpoznania i rozstrzygnięcia - w myśl art. 111 § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r. poz. 2325 ze zm.).

Sąd zważył, co następuje:

Skargi zasługują na uwzględnienie, chociaż nie z przyczyn w nich podniesionych. Sąd - w związku z art. 134 § 1 ustawy - Prawo o postępowaniu przed sądami administracyjnymi - nie jest związany zarzutami i wnioskami skargi.

Trafne są zarzuty w skardze Spółki, gdy zakwestionowano konstatację organu, jakoby w rozpoznawanym przypadku doszło do ujawnienia danych osobowych w rozumieniu RODO. Chybiona jest jednak argumentacja na potwierdzenie tej tezy.

Rozpoznając niniejszą sprawę Sąd miał na uwadze jej następujące uwarunkowania formalnoprawne.

W myśl art. 1 ust. 1 ustawy o danych jej przepisy stosuje się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w zakresie określonym w art. 2 i 3 RODO, zaś - w myśl art. 1 ust. 2 pkt 4 i 5 tej ustawy - określa ona m.in.: organ właściwy w sprawie ochrony danych osobowych i same reguły postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych.

Uzasadnia to wniosek, że ramy materialnoprawne, co właściwości przedmiotowej wyspecjalizowanego organu - jest nim wedle art. 60 ustawy o danych Prezes Urzędu Ochrony Danych Osobowych - zakreślają wyczerpująco postanowienia RODO.

Już z treści preambuły do tego aktu wynika, że generalnie celem jego ustanowienia, jest przyczynienie sie do "tworzenia przestrzeni wolności, bezpieczeństwa i sprawiedliwości oraz unii gospodarczej, do postępu społeczno-gospodarczego, do wzmacniania i konwergencji gospodarek na rynku wewnętrznym, a także do pomyślności ludzi." (tak pkt 2 zd. 2). Z kolei, w pkt 3 preambuli - posłużono się tam jeszcze nomenklaturą zaczerpniętą z dyrektywy zastąpionej przez RODO – wskazano, że celem regulacji jest "zharmonizowanie ochrony podstawowych praw i wolności osób fizycznych w związku z czynnościami przetwarzania oraz zapewnienie swobodnego przepływu danych osobowych między państwami członkowskimi", zaś w pkt 6 przywołano wprost następujace przesłanki przyjęcia regulacji: "Szybki postęp techniczny i globalizacja przyniosły nowe wyzwania w dziedzinie ochrony danych osobowych. Skala zbierania i wymiany danych osobowych znacząco wzrosła. Dzięki technologii zarówno przedsiębiorstwa prywatne, jak i organy publiczne mogą na niespotykaną dotąd skalę wykorzystywać dane osobowe w swojej działalności. Osoby fizyczne coraz częściej udostępniają informacje osobowe publicznie i globalnie. Technologia zmieniła gospodarkę i życie społeczne i powinna nadal ułatwiać swobodny przepływ danych osobowych w Unii oraz ich przekazywanie do państw trzecich i organizacji międzynarodowych, równocześnie zaś powinna zapewniać wysoki stopień ochrony danych osobowych.".

Same sformułowane przez prawodawcę cele ustanowienia danej regulacji uzasadniają wprawdzie konkluzję, że generalnie RODO ma się przyczynić do lepszej ochrony danych osobowych obywateli państw członkowskich Unii Europejskiej. Rozporządzenie to nie stanowi jednakże aktu, służącemu pełnemu, ramowemu uregulowaniu ochrony praw w danym zakresie. Dotyczy jedynie komponentu danych, które podlegają automatycznemu przetworzeniu bądź mogą podlegać takiemu przetworzeniu, jako baza informacji o osobach.

Konkluzje taką potwierdzę wprost treść normatywna przepisów wstępnych RODO. W myśl art. 2 ust. 1, akt ten znajduje zastosowanie wyłącznie "do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych". Z kolei - wobec art. 4 pkt 6 RODO - zbiór danych to "uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie".

Oznacza to, że przepisy RODO nie znajdują zastosowania do wszelkich przypadków przetwarzania danych osobowych (formą przetwarzania jest ich ujawnianie – tak art. 4 pkt 3 RODO), lecz tylko gdy chodzi o te, objęte zakresem danej regulacji. Dotyczy to danych przetwarzanych w sposób całkowicie lub częściowo zautomatyzowany, zaś pozostałych tylko, gdy stanowią zbiór lub mogą stanowić część zbioru danych. Z kolei potencjalny zbiór danych to jedynie ich zestaw dostępny według określonych kryteriów. Wskazanej oceny nie zmienia to, że przetwarzanie (w tym ujawnienie) może - w myśl art. 4 pkt 3 RODO - nastąpić automatycznie lub także w inny sposób. Brzmienie danej definicji nie prowadzi do poszerzenia zakresu danych podlegających regułom RODO wedle treści art. 2 ust. 1 - gdy chodzi o dane przetwarzane w sposób inny niż zautomatyzowany tylko te, stanowiące część zbioru danych lub mających stanowić część zbioru danych, w rozumieniu art. 4 pkt 6 RODO.

Odmienne rozumienie przepisów RODO prowadziłoby do niemożliwych do przypisanie racjonalnemu prawodawcy wniosków - jakoby danym rozporządzeniem uregulowano w sposób szczególny wszelkie zasady ochrony danych osobowych, w zakresie, gdzie może to prowadzić m.in. do naruszenia dóbr osobistych. Wobec przyznania w RODO kompetencji rozstrzygania spraw na tym gruncie wyspecjalizowanym organom administracji państw członkowskich (tak art. 58 ust. 2 RODO i odpowiednio art. 34 ust. 2 oraz art. 60 ustawy o danych), oznaczałoby to ukształtowanie alternatywnej dróg ochrony praw przez wszystkie osoby, których dobra osobiste naruszono jakkolwiek ujawniając równocześnie ich dane osobowe w dowolny sposób.

Wobec przywołanych uwarunkowań uzasadniony jest wniosek, że - wobec wyartykułowanych celów przyjęcia RODO i treści jego regulacji wstępnych - akt ten dotyczy zdarzeń związanych z przetwarzaniem informacji (gromadzenie, transfer itp.) gdzie możliwe jest mechaniczne odnajdywanie informacji o osobach - ich danych osobowych – w szczególności w ramach systemów teleinformatycznych. Nie dotyczy ono zaś zdarzeń pozostających w związku z ujawnieniem (a więc przetworzeniem) danych osobowych w innych sytuacjach - np. użycia imienia i nazwiska określonej osoby przy zwróceniu się do niej w miejscu publicznym. W innym bowiem przypadku także np. delikty w postaci skierowanie słów obraźliwych do osoby wskazanej z imienia i nazwiska stanowiłoby przypadek podlegający rozpoznawaniu przez wyspecjalizowane organy administracji w ramach procedur przewidzianych RODO. Nie sposób racjonalnemu prawodawcy przypisać intencji przeniesienia tego typu spraw do rozstrzygania na drodze administracyjnej.

W rozpoznawanej sprawie są poza sporem jej istotne okoliczności w tym zakresie, że przedmiotem skargi do wyspecjalizowanego organu były zdarzenia w miejscu publicznym (biuro poselskie). Różnica stanowisk między stronami dotyczy natomiast tego, czy ujawniono dane osobowe w postaci imienia i nazwiska Wnioskodawcy oraz informacji o Wypowiedzeniu dotyczącym jego osoby, a jeśli tak to czy były to działanie prawnie dopuszczalne (w tym kontekście także kwestia okoliczności bezskutecznego doręczenia przesyłki przez kuriera).

W rozpoznawanej sprawie uzasadniona jest stwierdzenie, że przedmiotowe zdarzenie nie pozostawało w żadnym związku z procesem mechanicznego przetwarzania danych bądź posługiwanie się danymi mogącymi stanowić wyodrębnioną bazę, jako zespołu informacji uporządkowanych wedle pewnych kryteriów w dniu zdarzenia.

Jeżeli, wedle twierdzeń Wnioskodawcy, w biurze poselskim wymieniono jego imię i nazwisko oraz publicznie ujawniono fakt doręczenia mu Wypowiedzenia, czy pozostawiono dokument w sposób umożliwiający zapoznanie się z jego treścią osób trzecich, zderzenie to może wprawdzie stanowić o naruszenie jego dóbr osobistych w zakresie poszanowania prywatności i ochrony danych, związanych np. z życiem zawodowym - o ile faktycznie do tego doszło i nie było to uzasadnione okolicznościami sprawy (potrzeba doręczenia pisma, wobec dostosowanie wymagań formalnych). Kwestie te są w istocie przedmiotem sporu między stronami. Wyspecjalizowany organ administracji nie jest jednak właściwy do rozstrzygania takiej sprawy. Przetwarzanie danych w danym przypadku (ich ewentualne ujawnienie) nie jest objęte regułami zawartymi w RODO, determinującym ramy kompetencji do rozstrzygania spraw w trybie administracyjnym. Kompetencji organu administracji nie można przy tym wykładać rozszerzająco wobec treści art. 2 § 3 ustawy - Kodeks postępowania cywilnego. Wynika zeń, że właściwość organu administracji musi być wskazana wprost. W kwestii ochrony dóbr osobistych w rozumieniu art. 23 i 24 ustawy – Kodeks cywilny – do których zaliczają się dane osobowe - właściwe są zaś sądy powszechne.

W tej sytuacji - wobec bezsporności faktów, istotnych w kontekście oceny, czy organ administracji jest kompetentny do zastosowania środków, przewidzianych w RODO, w świetle reguł ustawy o danych – brak było podstaw do orzeczenia w sprawie, co do meritum. Nie mógł więc także organ wykonać kompetencji, określonych w art. 58 ust. 2 lit. i, w zw. z art. 83 RODO ani art. 98 ust. 1 ustawy o danych (patrz: zarzuty Wnioskodawcy). Orzekając w sprawie organ naruszył natomiast przepis prawa materialnego, zakreślającego jego kompetencje - art. 58 ust. 2 lit. b RODO - poprzez bezpodstawne jego zastosowanie, wobec art. 2 ust. 1, w zw. z art. 4 pkt 6 ustawy o danych.

Wydając wyrok w sprawie, Sąd miał na uwadze, że stanowi on rozstrzygnięcie na niekorzyść Wnioskodawcy, który także wniósł skargę. Reguła art. 135 § 2 ustawy - Prawo o postępowaniu przed sądami administracyjnymi nie znajduje jednak zastosowania, gdy akt zaskarżyły dwie strony o sprzecznych interesach, jak w rozpatrywanej sprawie.

Wobec wskazanych uwarunkowań, pozostają poza granicami sprawy (a więc także oceną Sądu), podnoszone w obu skargach kwestie dotyczące błędnych zdaniem stron ustaleń w kwestii, jakie były okoliczności doręczenia Wypowiedzenia, czy jego doręczenie skutkowało ujawnianiem danych osobowych wobec wcześniejszego upowszechnienia informacji w sieci internet (tak twierdzenie Spółki), oraz, czy ujawnienie danych było uprawnione w myśl obowiązujących regulacji (potrzeba zakomunikowania oświadczenia pracodawcy). Sąd nie przeprowadzał także dowodów w kwestii ustalenie okoliczności faktycznych w danym zakresie (patrz: wnioski dowodowe Wnioskodawcy).

Z przytoczonych wyżej przyczyn, na podstawie art. 145 § 1 pkt 1 lit. a ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzeczono jak w pkt 1 sentencji. O zwrocie kosztów postępowania Sąd orzekł jak w pkt 2 i 3 sentencji. W myśl art. 200 w zw. z art. 205 § 2 powyższej ustawy oraz § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz. U. z 2018 r., poz. 265 ze zm.) do kosztów na rzecz Spółki zaliczono wynagrodzenie jej pełnomocnika w kwocie 480 zł, wpis sądowy od skargi w kwocie 200 zł oraz 17 zł tytułem opłaty skarbowej od pełnomocnictwa. Do kosztów na rzecz Wnioskodawcy - w myśl art. 200 ustawy – Prawo o postępowaniu przed sądami administracyjnymi – zaliczono wpis sądowy od skargi w kwocie 200 zł.

Rozpatrując ponownie sprawę organ administracji uwzględni ocenę prawną, sformułowaną w niniejszym uzasadnieniu.