Decyzja UODO w sprawie PLL LOT: niezrozumiała, nieprecyzyjna i niejednoznaczna

Na pewno pamiętają Państwo wpis w aktualnościach dotyczący wyroku WSA w Warszawie z sierpnia 2022 r. uchylającego decyzję Prezesa UODO. W uchylonej decyzji Prezesa UODO nakazał PLL LOT usunąć dane osobowe pewnego pracownika tego administratora “w zakresie danych dotyczących aktywności Skarżącej w mediach społecznościowych na portalu Facebook, tj. informacji o wpisach, ich treści oraz udostępnieniach postów, które ujawniają jej pogląd polityczne, światopoglądowe oraz przekonania”:

WSA wypowiada się w sprawie decyzji Prezesa UODO wydanej wobec PLL LOT S.A.

Judykatura.pl to jedyna baza danych zawierająca przedmiotową decyzję w EDYTOWALNEJ wersji umożliwiającej jej dalsze merytoryczne wykorzystanie w sprawach dotyczących np. monitoringu zachowań pracowników!

Między inny tak sformowana sentencja decyzja organu nadzorczego była powodem uchylenia decyzji organu. 

Wczoraj WSA w Warszawie opublikowało uzasadnienie przedmiotowego orzeczenia. Jego treść nie pozostawia “suchej nitki” na organie wydającym decyzję nakazującą takie, a nie inne zachowanie administratora danych. 

Nie ma znaczenia, czy zgadzamy się z PLL LOT, co do uprawnień pracodawcy w zakresie monitoringu prywatnych aktywności pracowników – takie sformułowanie sentencję decyzji oraz jej uzasadnienie nie powinno mieć miejsca.

Sąd rozpoczął swoje uzasadnienie od jasnego przekazu:

(…) tak sformułowana sentencja decyzji nie spełnia wymogów wymienionych powyżej. Jej treść jest nieprecyzyjna, niejednoznaczna i niezrozumiała.

Nie wiadomo w istocie jakich danych osobowych dotyczy obowiązek nałożony na Spółkę, bowiem nie zostało wskazane które konkretnie (czy też pochodzące z jakich konkretnie dat) informacje o: wpisach, treści tych wpisów oraz udostępnieniach postów na portalu […] organ określił jako “ujawniające poglądy polityczne, światopoglądowe oraz przekonania” Uczestniczki postępowania.

Sąd słusznie wskazał, że organ nadzorczy nie może polegać na stanowisku osoby składającej skargę – czy to w zakresie ustalenia czy doszło do przetwarzania danych oraz tego czy ewentualnie przetwarzane dane dotyczą danych szczególnej kategorii:

również uzasadnienie decyzji nie wyjaśnia wątpliwości co do tego, które konkretnie dane osobowe – dotyczące aktywności uczestniczki postępowania w mediach społecznościowych – powinna usunąć skarżąca Spółka, aby wykonać nałożony na nią obowiązek, a przede wszystkim dlaczego dane te zostały uznane za dane sensytywne, a więc dane osobowe chronione w sposób szczególny w myśl art. 9 ust. 1 ogólnego rozporządzenia o ochronie danych (przy czym zgodnie z ww. przepisem dane osobowe sensytywne to dane ujawniające m.in. poglądy polityczne oraz przekonania światopoglądowe, nie zaś “poglądy polityczne, światopoglądowe oraz przekonania”).

Z taką właśnie sytuacją mamy do czynienia w niniejszej sprawie. W uzasadnieniu zaskarżonej decyzji organ nie wyjaśnił w oparciu o jaki materiał dowodowy ustalił, że dane dotyczące aktywności uczestniczki postępowania w mediach społecznościowych, o których mowa w sentencji decyzji, ujawniają jej “poglądy polityczne, światopoglądowe oraz przekonania”.

Organ wprawdzie wskazał, że podstawą zastosowania przez Spółkę wobec Uczestniczki postępowania kary porządkowej nagany z dnia […] maja 2021 r. były treści udostępniane przez nią na jej profilu w marcu 2021 r. oraz w kwietniu 2021 r., (…) jednak w ogóle nie dokonał analizy i oceny tychże treści.

Organ wskazał jedynie, że Spółka nawiązuje do ww. treści oraz cytuje fragmenty w uzasadnieniu faktycznym zawiadomienia o zastosowaniu kary, sam jednak treści tych ani nie powołał, ani nie poddał ich jakiejkolwiek analizie.

Sąd słusznie wskazał, że to nie Uczestnik (osoba składająca skargę do UODO) jest władna do rozstrzygania jakiej kategorii dane przetwarzane są przez administratora w danym celu:

W tym miejscu wskazać należy, że aktach administracyjnych sprawy brak jest wydruków zrzutów z ekranu profilu Uczestniczki postępowania na portalu […], które zawierałyby pełne treści wpisów przedstawionych w zawiadomieniach o zastosowaniu kar porządkowych.

W zawiadomieniach tych cytowane są często tylko fragmenty tychże wpisów – np. z dnia […] marca 2021 r. W takich przypadkach dopiero analiza ww. wydruków jako źródłowego materiału dowodowego mogłaby stanowić podstawę kwalifikacji danych osobowych Uczestniczki jako tzw. danych osobowych zwykłych bądź wrażliwych w rozumieniu odpowiednio art. 6 ust. 1 i art. 9 ust. 1 ogólnego rozporządzenia o ochronie danych.

Wobec braku takiej analizy samo stwierdzenie organu, że weryfikacji dokonanej przez Spółkę “podlegały przejawy aktywności skarżącej w internecie podane do publicznej wiadomości, m.in. polegające na umieszczeniu przez nią informacji na ogólnodostępnych forach internetowych, które ujawniały jej poglądy polityczne, światopoglądowe oraz przekonania” nosi cechy arbitralności i dowolności.

Co ciekawe Sąd odniósł się też do tematu gromadzenia przez Pracodawcę informacji o “prywatnej aktywności” Pracownika, w jego czasie wolnym – nie wskazał wprost nielegalności takiego zachowania:

Ponadto, organ nie wykazał, że przetwarzane informacje dotyczą życia prywatnego Uczestniczki postępowania, tj. życia osobistego – rodzinnego, intymnego, itp.

Skarżąca zaś w ww. wyjaśnieniach, jak i w skardze podnosiła, że wypowiedzi Uczestniczki na portalu […] stanowią naruszenie postanowień Polityki Medialnej Spółki, bowiem godzą w jej dobre imię.

Naruszają również ogólne obowiązki pracownika dbałości o dobro zakładu pracy oraz przestrzegania zasad współżycia społecznego (art. 100 § 2 pkt 4 i 6 k.p.).

Wskazywała również, że Uczestniczka wypowiadała się z perspektywy pracownika, wskazując Spółkę jako miejsce zatrudnienia, występując na zdjęciach profilowych w stroju służbowym na tle (…).

Wypowiedzi te odnosiły się zatem do sfery służbowej, a nie prywatnej Uczestniczki postępowania.

Organ wydaje się stać na stanowisku, że niedopuszczalność gromadzenia przez pracodawcę informacji zamieszczanych przez pracownika wynika z samego faktu zamieszczania informacji w mediach społecznościowych – wykorzystujących technologie internetowe.

Takie stanowisko budzi uzasadnione wątpliwości. Oznacza bowiem, że czynnikiem, który miałby determinować możliwość gromadzenia informacji (przetwarzania danych osobowych) pracowników przez pracodawcę jest to, czy określone informacje stanowią treści komunikacji elektronicznej czy tradycyjnej (“analogowej”).

Pomija natomiast to, jakie treści komunikuje pracownik podając je do publicznej wiadomości, a w szczególności czy mogą one stanowić naruszenie obowiązków pracowniczych wynikających z art. 100 § 2 pkt 4 i 6 k.p.