Skarżąca Maria K., pracownica urzędu miejskiego, (dane zmienione) wniosła do prezesa UODO skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych przez urząd.

Wskazała, że w dniach 1 kwietnia 2019 r. i 17 kwietnia 2019 r. na rozprawie przed sądem rejonowym w wydziale karnym dowiedziała się, że dokumenty z jej akt osobowych zostały wydane przez urząd bez jej zgody i wiedzy osobom prywatnym. 

Podczas składania zeznań świadek Waldemar P. posiadał pisma, które Maria K. składała do pracodawcy oraz notatkę służbową dotyczącą skarżącej sporządzoną przez urząd i przechowywaną w jej aktach osobowych. Na rozprawie tę notatkę z danymi Marii K. przekazała Anna S. 
Ponadto skarżąca podała, że 13 maja 2019 r. Danuta H., przełożona skarżącej, pozyskała do prywatnych celów i przekazała osobie trzeciej oraz załączyła do prywatnej sprawy sądowej dokumenty stanowiące wydruki zawierające jej dane osobowe (imię i nazwisko) z wewnętrznego systemu urzędu służącego do rejestracji czasu pracy pracownika. Dodała, że przed tym toczyła się sprawa w postępowaniu prywatnoskargowym przeciwko i w związku z pomówieniem jej przez Danutę H., jako osobie prywatnej, a nie jako pracodawcy.


Dane w sprawie karnej

W związku ze zgłoszeniem skarżącej inspektor ochrony danych przeprowadził czynności mające na celu wyjaśnienia opisywanego stanu rzeczy. Ustalił, że prywatna sprawa Danuty H., to sprawa karna prowadzona na podstawie prywatnego aktu oskarżenia, skierowanego do sądu rejonowego.
A dane osobowe skarżącej pochodziły z systemu Rejestr Czasu Pracy (elektroniczny system funkcjonujący w urzędzie, w którym pracownicy potwierdzają m.in. rozpoczęcie i zakończenie pracy). Danuta H. przekazała dane swemu obrońcy. Udostępniała znane jej z racji pełnionej funkcji przełożonej skarżącej dane osobowe, co czyniła w ramach obowiązku prawnego wynikającego m.in. z art. 217 k.p.k.

Prezydent miasta, jako pracodawca wskazał, że w urzędzie funkcjonuje Polityka Ochrony Danych Osobowych i Bezpieczeństwa Informacji, która informuje pracowników m.in. o tym, jak należy przetwarzać dane. Pracownicy są informowani o zachowaniu poufności danych i zgłaszania naruszeń ochrony danych.
Po zbadaniu sprawy, prezes Urzędu Ochrony Danych Osobowych udzielił prezydentowi upomnienia za naruszenie RODO - Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. W uzasadnieniu decyzji organ stwierdził, że Danuta H. i Waldemar P. samodzielnie zdecydowali o udostępnieniu na rzecz sądu dokumentów zawierających dane osobowe skarżącej.


Nie ma samodzielności w ujawnieniu danych

Organ dodał, że RODO określa obowiązki administratora danych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tym rozporządzeniu. Jednak, fakt posiadania upoważnienia do przetwarzania danych osobowych w rozumieniu art. 29 RODO przez przełożoną i świadka nie oznacza, iż posiadają oni autonomię w decydowaniu o celach, w jakich dane pracowników urzędu będą przetwarzane. 
Zdaniem organu mogą oni przetwarzać dane osobowe pracowników urzędu tylko w zakresie niezbędnym do wykonywania przez te osoby obowiązków wynikających z ich stosunku pracy i realizowanych zadań w określonych przez administratora danych celach. W tej sprawie dane osobowe skarżącej zostały wykorzystane w celach osobistych, co naruszało przepisy o ochronie danych osobowych. Zdaniem organu w analizowanym przypadku doszło również do naruszenia art. 6 ust. 1 oraz art. 5 ust. 1 lit. b RODO, ponieważ Danuta H. i Waldemar P. dokonali zmiany celu przetwarzania danych osobowych skarżącej, pozyskując je w związku z wykonywaniem czynności służbowych, a następnie wykorzystując te dane w celach osobistych. Prezes PUODO podkreślił, że za nieprawidłowości dotyczące przetwarzania danych osobowych w związku z wykonywaniem zadań przez pracowników administratora danych osobowych odpowiada sam administrator, czyli prezydent miasta. Skargę na to orzeczenie wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie prezydent, żądając uchylenia decyzji. 

 

Nielegalne pozyskanie danych

Zdaniem sądu I instancji okolicznością niepodważalną, ale obojętną z punktu widzenia tego postępowania jest fakt, że przepisy k.p.k nakładają na świadka obowiązki. Artykuł 177 par. 1 k.p.k. mówi, że każda osoba wezwana na świadka ma obowiązek stawić się i złożyć zeznania.

W ocenie sądu postępowanie to dotyczyło faktu nielegalnego udostępnienia danych przez urząd na rzecz osób trzecich, a nie prezentacji tych dokumentów w postępowaniu prywatnoskargowym. W ocenie WSA w Warszawie wbrew twierdzeniom prezydenta miasta zawartym w skardze, doszło do wykorzystania danych skarżącej przez Danutę H. i Waldemara P. niezgodnie z celem, dla którego dane zostały pozyskane. Błędne jest stanowisko prezydenta twierdzącego, że z uwagi na zajmowane stanowisko sekretarz urzędu miał prawo decydować o udostępnieniu danych osobowych. Jedynym podmiotem uprawnionym do przetwarzania zgodnie z prawem danych osobowych znajdującymi się w aktach urzędu jest prezydent.

Zdaniem sądu fakt posiadania upoważnienia do przetwarzania danych osobowych w rozumieniu art. 29 RODO przez pracowników nie oznacza, iż posiadają oni autonomię w decydowaniu o celach, w jakich dane pracowników będą przetwarzane i udostępniane. Mogą oni bowiem przetwarzać dane osobowe pracowników tylko w zakresie niezbędnym. Jednocześnie WSA w Warszawie wskazał, że organ słusznie nie neguje prawa i potrzeby do obrony interesów przed sądem, jednak te czynności powinny odbywać się z zachowaniem zasad wynikających z przepisów o ochronie danych osobowych.

 

Skarga prezydenta do NSA

Naczelny Sąd Administracyjny oddalił skargę prezydenta miasta. Podzielił stanowisko prezesa UODO, że prezydent jako pracodawca pełnił rolę administratora. Trafnie też PUODO zauważył, iż na administratorze, zgodnie a art. 5 ust. 1 lit. b RODO, spoczywał obowiązek zapewnienia, aby dane osobowe były zbierane dla oznaczonych celów i nie były poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami. Tymczasem, jak ustalono, dane zawarte w notatce służbowej, a także dane z wewnętrznego systemu urzędu, zostały wykorzystane w sprawie przed sądem rejonowym, w którym Maria K. ma status oskarżyciela prywatnego. A dyrektor wydziału – Danuta H. - oskarżonej, sekretarz miasta natomiast został powołany na świadka, a więc niezgodnie z celem, dla którego dane te zostały pozyskane przez prezydenta.

Wyrok Naczelnego Sądu Administracyjnego z 9 stycznia 2025 r., sygnatura akt I OSK 6357/21 

Sprawdź również książkę: RODO dla AI [PRZEDSPRZEDAŻ] >>