Przetwarzanie danych z CEIDG/KRS – prawnie uzasadniony interes strony trzeciej

02.11.2021

W przypadku zwalniania z pracy nauczyciela Szkoła musi kierować się pewnymi kryteriami doboru takiego pracownika. Jednym z takich kryteriów są informacje dotyczące sytuacji materialnej nauczyciela poparte danymi uzyskanymi z dostępnych publicznie i jawnych rejestrów oraz w jawnym oświadczeniem majątkowym współmałżonka.

W takiej sprawie orzekał we wrześniu br. Wojewódzki Sąd Administracyjny. W wyroku Sąd uchylił decyzję Prezesa UODO w zakresie nakazania Szkole “usunięcie danych osobowych M. B. dotyczących stanu majątku oraz dochodów z działalności gospodarczej oraz działalności rolniczej, umorzył postępowanie w zakresie przetwarzania przez Szkołę danych osobowych K. By”.

Szkoła, we wskazanym powyżej celu, a więc “wytypowaniu” osoby do zwolnienia, posłużyła się informacjami dostępnymi publicznie w Centralnej Ewidencji i Informacja o Działalności Gospodarczej, Krajowym Rejestrze Sądowym oraz w oświadczeniu majątkowym współmałżonka, osoby która otrzymała wypowiedzenie umowy o pracę, a dostępnym na stronach internetowych Starostwa.

Szkoła odpowiadając na wezwania Prezesa UODO wskazywała, że przetwarzała takie dane osobowe na podstawie prawnie uzasadnionego interesu strony trzeciej (art. 6 ust. 1 lit. f RODO).

Prezes UODO był innego zdania i w trakcie postępowania administracyjnego stwierdził, że:

Natomiast przetwarzanie publicznie dostępnych danych skarżącej – jako osoby prowadzącej działalność gospodarczą czy pełniącej określone funkcje w podmiotach podlegających wpisowi do KRS, znajduje oparcie w art. 6 ust. 1 lit. f RODO.

i

Zdaniem organu pojęcie prawnie uzasadnionego interesu prawnego należy rozumieć nie jako interes wynikający z przepisów prawa, lecz jako interes zgodny z prawem. Owa zgodność z prawem stanowi ograniczenie pojęcia interesu administratora jako potencjalnej podstawy do przetwarzania danych osobowych. Wykładnia pojęcia prawnie uzasadnionego interesu powinna być zatem szeroka i obejmować interesy gospodarcze, faktyczne czy prawne.

W związku z powyższym Prezes UODO stwierdził, że działania podjęte przez administratora, polegające na zamieszczeniu w treści wypowiedzenia stosunku pracy, danych osobowych skarżącej, pozyskanych z ogólnodostępnych rejestrów publicznych nie znajdują podstaw w przepisach RODO oraz stanowią naruszenie art. 6 ust. 1 RODO.

Szkoła wywiodła do WSA skargę na wskazaną na wstępie decyzję Prezesa UODO w części obejmującej nakaz usunięcia danych osobowych M. B. dotyczących stanu majątku oraz dochodów z działalności gospodarczej oraz działalności rolniczej.

Sąd uznał, że Prezes UODO, wydając sporną decyzję administracyjną z dnia […] stycznia 2021 r. dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i prawa krajowego w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem wspomnianej wyżej decyzji w zakresie jej punktu pierwszego.

Szkoła będąca Administratorem danych M. B. jako podstawę przetwarzania danych wskazała art. 6 ust. 1 lit. f RODO oraz fakt pozyskania danych osobowych przez Szkołę z publicznie dostępnych rejestrów CEIDG oraz KRS i oświadczenia majątkowego radnego, które jest jawne.

W pierwszej kolejności Sąd ocenił, czy po stronie administratora lub strony trzeciej występuje prawnie uzasadniony interes. Może to być interes faktyczny, gospodarczy lub prawny, ale taki, który jest zgodny z prawem. Dla realizacji celu wynikającego z tak rozumianego interesu administratora przetwarzanie musi być niezbędne. Oznacza to rozsądną potrzebę dla realizacji tego celu. W kolejnym kroku należy ocenić, czy planowana realizacja celu wynikającego z prawnie uzasadnionego interesu administratora lub strony trzeciej może naruszać interesy, podstawowe prawa lub wolności podmiotu danych, które wymagają ochrony danych osobowych.

Odnosząc się do wskazanej przez Szkołę podstawy przetwarzania danych określonej w art. 6 ust. 1 lit. f RODO organ ograniczył się w zaskarżonej decyzji do stwierdzenia, że:

pojęcie prawnie uzasadnionego interesu prawnego (chociaż w przepisie mowa jest o prawnie uzasadnionym interesie) należy rozumieć nie jako interes wynikający z przepisów prawa, lecz jako interes zgodny z prawem.

Reasumując organ nie wypełnił w niniejszej sprawie obowiązku prawidłowej oceny kryterium przetwarzania wskazanego przez szkołę, zgodnie z wyżej wskazanym schematem, gdyż do dokonania tej oceny nie jest wystarczające przytoczenie orzeczenia SN, ocena ta musi bowiem znaleźć oparcie w rozpatrywanej sprawie, czego w uzasadnieniu decyzji zabrakło i doprowadziło to do naruszenia art. 107 § 3 k.p.a.

Reasumując stwierdzenia organu są niewystarczające w ocenie Sądu do uznania po stronie Szkoły jako Administratora braku prawnie uzasadnionego interesu w przetwarzaniu danych M. B..

W niniejszej sprawie Szkoła zawarła w wypowiedzeniu umowy poza główną przyczyna wypowiedzenia – redukcja zatrudnienia – również kryteria jakimi się kierowała przy doborze pracowników do zwolnienia, w tym kryterium dotyczące sytuacji materialnej, które zostało poparte danymi z publicznych jawnych rejestrów oraz jawnym oświadczeniem majątkowym, co w ocenie Sądu daje podstawę do przyjęcia, że przetwarzanie przez Szkołę, w celu uzasadnienia wypowiedzenia, dostępnych w jawnych źródłach danych osobowych Skarżącej – znajduje oparcie w powołanym już art. 6 ust. 1 lit. f RODO.

Co również ważne, Sąd wypowiedział się co do zakresu przetwarzanych przez Pracodawcę danych osobowych wskazanych w art. 22 prim 1 kodeksu pracy:

Na etapie odpowiedzi na skargę organ powołał się na treść art. 22¹ kodeksu pracy wskazując, że pracodawca może przetwarzać jedynie dane osobowe pracownika tam wymienione. Sąd tego poglądu nie podziela i podkreśla, że zgodnie z treścią art. 6 ust. 1 RODO przetwarzanie danych jest dopuszczalne, gdy spełniona jest co najmniej przesłanka wskazana w tym przepisie, co zostało spełnione w niniejszej sprawie.

Ciekawe, czy podpowiedzieć zwolnionej nauczycielce, kolejnego pomysłu na skargę do Prezesa UODO w zakresie spełniła, wobec jej męża, pośredniego obowiązek informacyjnego. Szkoła pozyskała jego dane ze strony Starostwa, gdzie publicznie dostępne jest oświadczenie majątkowe, a więc przetwarzała jego dane osobowe. Zakładając istnienie wspólnoty majątkowej można też założyć, że Pan ten odebrałby przesyłkę zawierającą treść informacji wskazanych w art. 14 RODO pod adresem pod, który wysłano małżonce wypowiedzenie umowy o pracę.

Może jednak Szkoła spełniła taki obowiązek informacyjny.