NSA: pracodawca może korzystać z danych ogólnodostępnych przy zwalnianiu pracownika

Naczelny Sąd Administracyjny opublikował uzasadnienie bardzo ważnego wyroku.

W tej sprawie Prezes UODO wydał w styczniu 2021 r. decyzję, w której nakazał:

Szkole usunięcie danych osobowych M. B. dotyczących stanu majątku oraz dochodów z działalności gospodarczej oraz działalności rolniczej, umorzył postępowanie w zakresie przetwarzania przez Szkołę danych osobowych K. By.

Do Urzędu Ochrony Danych Osobowych wpłynęła skarga M. B. oraz K. B., zam. w […], na nieprawidłowości w procesie przetwarzania ich danych osobowych przez Szkołę polegające na pozyskaniu oraz przetwarzaniu danych o stanie majątku, dochodach z działalności gospodarczej oraz rolniczej przez dyrektora Szkoły bez podstawy prawnej.

Zdaniem Szkoły przetwarzanie publicznie dostępnych danych skarżącej – jako osoby prowadzącej działalność gospodarczą czy pełniącej określone funkcje w podmiotach podlegających wpisowi do KRS, znajduje oparcie w art. 6 ust. 1 lit. f RODO.

Zdaniem organu pojęcie prawnie uzasadnionego interesu prawnego należy rozumieć nie jako interes wynikający z przepisów prawa, lecz jako interes zgodny z prawem. Owa zgodność z prawem stanowi ograniczenie pojęcia interesu administratora jako potencjalnej podstawy do przetwarzania danych osobowych. Wykładnia pojęcia prawnie uzasadnionego interesu powinna być zatem szeroka i obejmować interesy gospodarcze, faktyczne czy prawne.

W związku z powyższym Prezes UODO stwierdził, że działania podjęte przez administratora, polegające na zamieszczeniu w treści wypowiedzenia stosunku pracy, danych osobowych skarżącej, pozyskanych z ogólnodostępnych rejestrów publicznych nie znajdują podstaw w przepisach RODO oraz stanowią naruszenie art. 6 ust. 1 RODO.

Z takimi argumentami organu nadzorczego nie zgodził się Wojewódzki Sąd Administracyjny w Warszawie, który we wrześniu 2021 r. uchylił przedmiotową decyzję wskazując, że: 

Prezes UODO, wydając sporną decyzję administracyjną z dnia […] stycznia 2021 r. dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i prawa krajowego w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem wspomnianej wyżej decyzji w zakresie jej punktu pierwszego.

W pierwszej kolejności należy ocenić, czy po stronie administratora lub strony trzeciej występuje prawnie uzasadniony interes. Może to być interes faktyczny, gospodarczy lub prawny, ale taki, który jest zgodny z prawem. Dla realizacji celu wynikającego z tak rozumianego interesu administratora przetwarzanie musi być niezbędne. Oznacza to rozsądną potrzebę dla realizacji tego celu. W kolejnym kroku należy ocenić, czy planowana realizacja celu wynikającego z prawnie uzasadnionego interesu administratora lub strony trzeciej może naruszać interesy, podstawowe prawa lub wolności podmiotu danych, które wymagają ochrony danych osobowych.

Reasumując organ nie wypełnił w niniejszej sprawie obowiązku prawidłowej oceny kryterium przetwarzania wskazanego przez szkołę, zgodnie z wyżej wskazanym schematem, gdyż do dokonania tej oceny nie jest wystarczające przytoczenie orzeczenia SN, ocena ta musi bowiem znaleźć oparcie w rozpatrywanej sprawie, czego w uzasadnieniu decyzji zabrakło i doprowadziło to do naruszenia art. 107 § 3 k.p.a.

Reasumując stwierdzenia organu są niewystarczające w ocenie Sądu do uznania po stronie Szkoły jako Administratora braku prawnie uzasadnionego interesu w przetwarzaniu danych M. B..

 

Według WSA: 

Szkoła zawarła w wypowiedzeniu umowy poza główną przyczyna wypowiedzenia – redukcja zatrudnienia – również kryteria jakimi się kierowała przy doborze pracowników do zwolnienia, w tym kryterium dotyczące sytuacji materialnej, które zostało poparte danymi z publicznych jawnych rejestrów oraz jawnym oświadczeniem majątkowym, co w ocenie Sądu daje podstawę do przyjęcia, że przetwarzanie przez Szkołę, w celu uzasadnienia wypowiedzenia, dostępnych w jawnych źródłach danych osobowych Skarżącej – znajduje oparcie w powołanym już art. 6 ust. 1 lit. f RODO.

Tym samym należy przyjąć, że przetwarzanie przez Szkołę, w celu uzasadnienia wypowiedzenia, dostępnych danych osobowych Skarżącej – jako osoby posiadającej udziały w podmiotach podlegających wpisowi do Rejestru – znajduje oparcie w powołanym już art. 6 ust. 1 lit. f RODO.

Tym samym należy przyjąć, że przetwarzanie przez Szkołę, w celu uzasadnienia wypowiedzenia, dostępnych danych osobowych Skarżącej pozyskanych z CEIDG znajduje oparcie w powołanym już art. 6 ust. 1 lit. f RODO.

Tym samym należy przyjąć, że przetwarzanie przez Szkołę, w celu uzasadnienia wypowiedzenia, dostępnych danych osobowych Skarżącej pozyskanych z oświadczenia majątkowego znajduje oparcie w powołanym już art. 6 ust. 1 lit. f RODO.

Na etapie odpowiedzi na skargę organ powołał się na treść art. 22¹ kodeksu pracy wskazując, że pracodawca może przetwarzać jedynie dane osobowe pracownika tam wymienione. Sąd tego poglądu nie podziela i podkreśla, że zgodnie z treścią art. 6 ust. 1 RODO przetwarzanie danych jest dopuszczalne, gdy spełniona jest co najmniej przesłanka wskazana w tym przepisie, co zostało spełnione w niniejszej sprawie.

Następnie Prezes UODO złożył skargę kasacyjną, która została przez Naczelny Sąd Administracyjny oddalona w orzeczeniu z marca 2025 r.

Według NSA:

Pozyskane informacje zostały wykorzystane przez Szkołę w celu wypowiedzenia nauczycielowi tej Szkoły umowy o pracę. Szkoła zaskarżyła tę decyzję w części obejmującej nakaz usunięcia danych osobowych M. B. dotyczących stanu majątku oraz dochodów z działalności gospodarczej oraz działalności rolniczej (w zakresie punktu 1 decyzji).

Obydwa zarzuty dotyczą błędnej wykładni art. 6 ust. 1 lit. f) RODO, zatem zostały rozpoznane łącznie. Autor skargi kasacyjnej błędnej wykładni tego przepisu upatruje w przyjęciu przez Sąd I instancji, że organ “nie dokonał w niniejszej sprawie prawidłowej oceny przesłanki, wskazanej w art. 6 ust. 1 lit. f) RODO, gdyż ocena ta nie znalazła oparcia w rozpatrywanej sprawie co doprowadziło do naruszenia art. 107 § 3 k.p.a.” a także w przyjęciu, że “przetwarzanie, pozyskanych z rejestrów publicznych danych osobowych w celu uzasadnienia wypowiedzenia stosunku pracy znajduje uzasadnienie w art. 6 ust. 1 lit. f) RODO”. W ocenie Naczelnego Sądu Administracyjnego zarzuty te nie są zasadne.

W niniejszej sprawie Szkoła wskazała, że pozyskanie danych osobowych uczestniczki z CEIDG, KRS oraz oświadczenia majątkowego radnego powiatu wynikało z obowiązku zadośćuczynienia wszelkim nakazom nałożonym przez przepisy prawa w zakresie uzasadnienia wypowiedzenia stosunku pracy z uczestniczką, wynikającym w szczególności z art. 30 § 4 Kodeksu Pracy.

W realiach niniejszej sprawy należało przede wszystkim ocenić, czy przetwarzanie danych osobowych przez administratora, (którym jest Szkoła) jest niezbędne do celów (tu wypowiedzenie umowy o pracę) wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Spór w niniejszej sprawie dotyczy wykładni pojęcia “prawnie uzasadniony interes”. Naczelny Sąd Administracyjny zgadza się z Sądem I instancji, że może to być interes faktyczny, gospodarczy lub prawny, ale taki, który jest zgodny z prawem. Dla realizacji celu wynikającego z tak rozumianego interesu administratora przetwarzanie musi być niezbędne. Oznacza to rozsądną potrzebę dla realizacji tego celu.

W niniejszej sprawie Szkoła zawarła w wypowiedzeniu umowy poza główną przyczyną wypowiedzenia – redukcją zatrudnienia – również kryteria jakimi się kierowała przy doborze pracowników do zwolnienia, w tym kryterium dotyczące sytuacji materialnej, które zostało poparte danymi z publicznych jawnych rejestrów oraz jawnym oświadczeniem majątkowym.

 

Dalej NSA podniósł, że: 

że przetwarzanie przez Szkołę, w celu uzasadnienia wypowiedzenia, dostępnych w jawnych źródłach danych osobowych skarżącej – znajduje oparcie w powołanym już art. 6 ust. 1 lit. f RODO w związku z art. 34 § 4 Kodeksu pracy. Należy bowiem przyjąć, że przetwarzanie danych osobowych uczestniczki pozyskanych przez Szkołę z jawnych rejestrów i jawnego oświadczenia, było niezbędne do celu jakiemu służyło, tj. do wypowiedzenia nauczycielowi umowy o pracę, ze wskazaniem przyczyny wypowiedzenia i kryteriów jakimi kierował się pracodawca przy doborze pracowników do zwolnienia. Zatem należy uznać, że cel ten wynikał z prawnie uzasadnionego interesu realizowanego przez Szkołę.

Na marginesie należy też zauważyć, że stanowisko Prezesa UODO, o ograniczeniu przetwarzania danych osobowych pracownika w wypowiedzeniu umowy o pracę, tylko do danych osobowych wskazanych w art. 22¹ Kodeksu Pracy, doprowadziłoby do sytuacji, w której przykładowo, pracodawca w wypowiedzeniu umowy o pracę nie mógłby powołać się na dane dotyczące zdrowia pracownika, które uniemożliwiałyby dalsze zatrudnienie, a które to dane osobowe nie są wskazane w art. 22¹ Kodeksu Pracy.

Przy czym podkreślić należy, że dane osobowe uczestniczki dotyczące stanu majątku, dochodów z działalności gospodarczej oraz działalności rolniczej, były przetwarzane przez pracodawcę tylko w celu wypowiedzenia jej umowy o pracę.

Organ zdaje się zapominać, że Szkoła przetwarzała dane osobowe uczestniczki dostępne w publicznych rejestrach uczestniczki tylko w określonym celu. Cel ten podlega ocenie co do zgodności z wymogami przepisu art. 6 ust. 1 RODO. Zatem, na podstawie stanowiska Sądu I instancji nie sposób wywieść aby dane osobowe zawarte w publicznych rejestrach mogłyby być przetwarzane be ograniczeń. Sąd I instancji, wyraźnie podkreślił, że przetwarzanie danych osobowych pracowników może odbywać się tylko zgodnie z treścią art. 6 ust. 1 RODO.