WSA uchyla decyzję Prezesa UODO w zakresie przekazania danych pracownika innemu pracownikowi

W tej sprawie stan faktyczny nie jest dla mnie dość jasny – spróbuje go przedstawić na tyle na ile go zrozumiałem z uzasadnienia omawianego orzeczenia.

1. W lutym 2023 r. Pan E.D. otrzymał wiadomość e-mail od swojego przełożonego Pana P.B.
2. Wiadomość mailowa była przesłana do wiadomości Pana T. B.
3. W wiadomości poinformowano Pana E.D. o nieprzedłużeniu mu umowy o pracę.
4. Do wiadomości mailowej została załączona treść porozumienia dotyczącego zwolnienia z pracy.
5. Spółka wyjaśniła, że celem udostępnienia danych Uczestnika Panu T. B. było przeprowadzenie i zakończenie procesu rozwiązania umowy o pracę z Uczestnikiem pod nieobecność przełożony Uczestnika. Przełożony Uczestnika był poza biurem a Pan T. B. zastępował go. Zgodnie z umową o pracę Pan T. B. jest upoważniony do samodzielnego działania pod nieobecność przełożonego Uczestnika (do zadań Pana T. B. należało m.in. “…Inne zadania powierzone przez Pracodawcę”).

Prezes UODO stwierdził, że przedmiotem niniejszego postępowania jest ocena legalności udostępnienia danych osobowych Uczestnika zawartych w porozumieniu dotyczącym zwolnienia ze świadczenia pracy na rzecz Pana T. B., tj. osoby, która zastępowała przełożonego Uczestnika, w czasie jego nieobecności.

W ocenie Prezesa UODO:

zakres obowiązków służbowych Pana T. B. nie obejmuje prawa do wykonywania czynności w imieniu Spółki z zakresu rozwiązywania umów o pracę z innymi pracownikami Spółki. Zdaniem organu, uwzględnienie w umowie o pracę Pana T. B. prawa do autonomicznych działań w przypadku nieobecności Senior Sales Managera nie oznacza, że w zakres tego pojęcia wchodzą czynności z zakresu spraw pracowniczych jakim jest np. wypowiedzenie bądź rozwiązania umowy o pracę. Z zebranego materiału dowodowego nie wynika także, aby Pan T. B. był upoważniony do przetwarzania danych Uczestnika z zakresu spraw pracowniczych (kadrowych).

w tym przypadku sama umowa o pracę nie upoważnia pracownika (tu: Pana T. B.) do przetwarzania danych osobowych innych pracowników (tu: Skarżącego).

Uzasadniając swoje stanowisko Prezes UODO stwierdził, że Pan T. B. nie zajmował, w chwili zapoznania go z informacjami dotyczącymi Skarżącego, stanowiska zastępcy Pana P. B., tj. nie zastępował go w pełnieniu obowiązków.

Okoliczność pełnienia funkcji zastępcy nie wynika również z przedstawionej przez Spółkę argumentacji wskazującej na to, że Pan T. B. był upoważniony do samodzielnego działania pod nieobecność Managera Sales Business Development. Z takiego sformułowania, którym posłużyła się Spółka wskazując na upoważnienie Pana T. B. zdaniem organu wynika wyłącznie to, że Pan T. B. może działać we własnym imieniu w ramach posiadanego zakresu zadań i obowiązków bez konieczności wykonywania przez Pana P. B. roli przełożonego, a nie pełnić tę rolę względem pozostałych pracowników, dla których Pan P. B. jest przełożonym.

Mając na uwadze powyższe, Prezes UODO wskazał, że udostępnienie przez Spółkę (która odpowiada za działania swojego pracownika) danych osobowych Skarżącego zawartych w porozumieniu dotyczącym zwolnienia ze świadczenia pracy na rzecz Pana T. B. nie miało swojej podstawy w przepisach art. 6 ust. 1 RODO.

Organ nadzorczy zakończył postępowanie decyzją z lutego 2024 r., którą udzielił upomnienia Spółce  w związku przetwarzaniem danych osobowych Pana E. D..

 

 

WSA w Warszawie rozpoznając skargę Spółki uchylił zaskarżoną decyzję. Sąd wskazał, że:

Przedmiotem niniejszego postępowania jest ocena legalności udostępnienia danych osobowych Uczestnika zawartych w porozumieniu dotyczącym zwolnienia ze świadczenia pracy na rzecz Pana T. B., tj. osoby, która zastępowała przełożonego Uczestnika, w czasie jego nieobecności.

W ocenie Sądu podejmując czynności dotyczące rozwiązana umowy o pracę z Uczestnikiem (w tym obejmujące doręczenie Uczestnikowi informacji opisującej warunki zakończenia współpracy między stronami) Skarżący (jako pracodawca Uczestnika) działał jako administrator danych Uczestnika.

W rezultacie, ważność podstaw prawnych przetwarzania danych Uczestnika w przedmiotowej sprawie, związanego z czynnościami dotyczącymi rozwiązania umowy o pracę z Uczestnikiem, powinna być oceniania z perspektywy Skarżącego działającego jako pracodawca Uczestnika.

Realizacja czynności związanych z rozwiązywaniem umów o pracę z pracownikami Skarżącego, w tym obejmujące doręczenie informacji określającej warunki zakończenia współpracy między stronami, w ocenie Sądu pozostaje w zakresie czynności standardowych dla każdego pracodawcy w ramach podstaw przetwarzania danych związanych z realizacją umowy o pracę z podmiotem danych (art. 6 ust. 1 lit. b RODO) oraz obowiązków prawnych pracodawcy określonych w Kodeksie pracy (art. 6 ust. 1 lit. c RODO) i nie wykracza poza zakres informacji objętych ww. oświadczeniem, którego treść była wiadoma Uczestnikowi. Takie też podstawy prawne przetwarzania miały zastosowanie do przetwarzania danych Uczestnika będącego przedmiotem niniejszej sprawy.

Zdaniem Sądu wskazane upoważnienie do autonomicznego działania w razie nieobecności przełożonego oznacza faktyczne zastępowanie przełożonego Pracownika i możliwość podejmowania różnych czynności celu umożliwienie efektywnego zastępstwa przełożonego w razie jego nieobecności.

 

 

Według Sądu:

w rezultacie, niezasadne jest twierdzenie, jakoby udostępnienie danych Uczestnika wykraczało poza dopuszczalny zakres lub nie znajdowało podstawy w treści umowy o pracę T. B.

co więcej, Organ nie wykazał w żaden sposób, że jego interpretacja przedstawionej treści umowy o pracę wynikała z jakkolwiek pogłębionej analizy standardów obowiązujących w innych zakładach pracy, wymogów prawa pracy lub wytycznych właściwych organów.

w rezultacie, Organ przyjął błędne, za wąskie rozumienie jej treści I prowadzące do wniosku, że w rezultacie Skarżący naruszył wymogi art. 6 ust. 1 i art. 5 ust. 1 lit. a RODO.

w ocenie Sądu nie ulega wątpliwości, że T. B. został upoważniony przez Skarżącego do przetwarzania danych Uczestnika. Organ nie ma jednak podstawy prawnej do formułowania obowiązku, że takie upoważnienie zostanie sporządzone w każdym przypadku na piśmie, skoro w okolicznościach tej sprawy Skarżący był w stanie wykazać, iż takie upoważnienie zostało udzielone.

organ bezpodstawnie oczekuje, że administrator w każdym przypadku będzie legitymował się odrębnym, pisemnym upoważnieniem do przetwarzania danych osobowych, podczas gdy przepisy RODO nie nakładają na administratorów tak restrykcyjnego obowiązku zbierania tego typu dokumentów – wymagają jedynie zapewnienia, że osoby przetwarzające dane osobowe robią to pod nadzorem i zgodnie z instrukcjami administratora.