II SA/Wa 519/20

SENTENCJA Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska(spr.), Sędzia WSA Danuta Kania, Sędzia WSA Iwona Maciejuk, po rozpoznaniu na posiedzeniu niejawnym w dniu 3 grudnia 2020 r. sprawy ze skargi S. B. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę UZASADNIENIE Prezes Urzędu Ochrony Danych Osobowych (dalej jako Prezesem UODO), decyzją z dnia [...] stycznia 2020 r. nr [...]., działając na podstawie art. 138 § 1 pkt 1 K.p.a., art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), w zw. z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922) oraz art. 6 ust. 1 lit. c Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016) – zwanego dalej RODO, utrzymał w mocy decyzję Generalnego Inspektora Ochrony Danych Osobowych (dalej jako GIODO) z dnia [...] marca 2018 r. ([...]) o odmowie uwzględnienia wniosku S.B. dotyczącego nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...], z siedzibą w W. przy ul. [...], polegających na bezprawnym pozyskaniu i wykorzystaniu danych w ankiecie przeprowadzonej wśród współpracowników w zakresie imienia, nazwiska oraz relacji interpersonalnych, udostępnieniu wzoru ankiety osobom nieuprawnionym oraz braku zrealizowania obowiązku informacyjnego w procesie przeprowadzonej ankiety. Do wydania powyższych decyzji doszło w następującym stanie faktycznym i prawnym: Do Biura GIODO wpłynęła skarga S.B., na przetwarzanie jej danych osobowych przez [...] (zwanej dalej Pracodawcą). W treści ww. skargi skarżąca podniosła, że Pracodawca przetwarza jej dane osobowe bez podstawy prawnej oraz z naruszeniem obowiązków informacyjnych, o których mowa w ustawie z 1997 r. Skarżąca wniosła o nakazanie Pracodawcy usunięcia uchybień w procesie przetwarzania jej danych osobowych poprzez wypełnienie w stosunku do niej obowiązku informacyjnego wynikającego z art. 25 ust. 1 ww. ustawy oraz udostępnienie jej informacji o niej przetwarzanych w aktach tzw. "postępowania kontrolnego". Skarżąca dodała przy tym, że prosi o zweryfikowanie, czy była podstawa prawna do przetwarzania jej danych osobowych przez Pracodawcę bez jej zgody w ramach tego postępowania kontrolnego, a w przypadku gdyby takiej podstawy nie było, o nakazanie usunięcia zgromadzonych bezprawnie jej danych. W toku postępowania GIODO ustalił, że Pracodawca przetwarza dane osobowe skarżącej w ramach trwającego stosunku pracy. W dniach [...]-[...] lipca 2017 r. Pracodawca przeprowadził doraźną kontrolę w trybie uproszczonym w miejscu pracy skarżącej. Przedmiotem kontroli było sprawdzenie informacji dotyczących możliwych nieprawidłowości w funkcjonowaniu Biura Powiatowego [...] w B., w którym skarżąca pracuje. Pracodawca przeprowadził kontrolę na podstawie "Regulaminu Kontroli w [...]" (wprowadzonego zarządzeniem Prezesa [...] nr [...] z dnia [...] sierpnia 2016 r.). Zgodnie z jego treścią celem kontroli wewnętrznej jest wykrywanie i zapobieganie: nieprawidłowościom w realizacji zadań i funkcjonowaniu jednostek i komórek organizacyjnych Agencji, nienależytemu wykonywaniu obowiązków i nieprzestrzeganiu zasad etyki przez pracowników - ustalenie ich zakresu, przyczyn i skutków oraz osób za nie odpowiedzialnych. W Regulaminie tym ustalono również, że kontrola w trybie uproszczonym może być zarządzona w szczególności: w razie potrzeby sporządzenia informacji zawartych w skargach i wnioskach; dokonania analizy dokumentów otrzymanych z podmiotu kontrolowanego; w sprawach indywidualnych dotyczących wykonywania obowiązków lub przestrzegania zasad etyki przez pracowników komórek/jednostek organizacyjnych. Zapisy ww. regulaminu przewidują również, że: "Kontroler w trakcie przeprowadzania czynności kontrolnych (...) ma możliwość żądania od pracowników podmiotu kontrolowanego ustnych oraz pisemnych lub w formie elektronicznej wyjaśnień dotyczących przedmiotu kontroli". W ramach kontroli dokonanej na podstawie upoważnienia udzielonego przez Prezesa [...] przeprowadzone zostały dwie anonimowe ankiety wśród pracowników BP w B., pierwsza [...] lipca 2017 r., a druga [...] lipca 2017 r. Pytania zawarte w pierwszej ankiecie dotyczyły relacji interpersonalnych w BP w B. oraz wzajemnej komunikacji z jego kierownictwem. W związku z poczynionymi przez kontrolujących początkowymi ustaleniami (dokonanymi m.in. w oparciu informacje uzyskane z pierwszej z ankiet) w treści drugiej z przeprowadzonych ankiet sformułowano zapytania o następującej treści: "1. Czy posiada Pani/Pan wiedzę, kto zamieścił w siedzibie [...] Biura Powiatowego treści zamieszczone w załączniku do ankiety? (...) [odpowiedź]: Tak/Nie. W przypadku zaznaczenia odpowiedzi "Tak", proszę wskazać konkretne osoby, wskazać osoby, które mogłyby potwierdzić ww. czynność, określić przedział czasowy, w jakim ww. czynność wystąpiła (...) 2. Z uwagi na informację zawartą w części ankiet, które przeprowadzone zostały w dniu [...].07.2017 r., proszę o wskazanie jak kształtują się Pani/Pana relacje interpersonalne z Panią S.B. pracownikiem Biura Powiatowego w B.? [odpowiedź] Bardzo dobrze* Dobrze* Źle* Nie mam zdania* W przypadku zaznaczenia odpowiedzi Źle, proszę syntetycznie opisać te relacje, wskazać osoby, których sytuacja dotyczyła, wskazać osoby, który mogłyby potwierdzić ww. sytuacje, określić przedział czasowy". Ustalono też, że Pracodawca w wyniku błędu przesłał wzory ankiet do trzech niewłaściwych osób, nie biorących udziału w procesie kontroli, tj. nie będących pracownikami kontrolowanej jednostki organizacyjnej. W wyniku przeprowadzonej ankiety, w trakcie przeprowadzonego postępowania kontrolnego, Pracodawca pozyskał nowe dane osobowe skarżącej w zakresie jej relacji interpersonalnych z innymi współpracownikami. Pracodawca obecnie przetwarza te dane w celu ich archiwizacji przez okres 10 lat w oparciu o Zarządzenie Prezesa [...] Nr [...] z dnia [...] października 2015 r. w sprawie wprowadzenia instrukcji kancelaryjnej, jednolitego rzeczowo wykazu akt oraz instrukcji w sprawie organizacji archiwów zakładowych i składnicy akt w [...]. GIODO ustalił nadto, że skarżąca została poinformowana o zarządzonej kontroli (w tym o jej przedmiocie, jak i o okolicznościach jej przebiegu) najpierw drogą mailową, a następnie Pracodawca poinformował (pismem z dnia [...] września 2017 r. znak [...]) o podstawach prawnych, celu i zakresie przeprowadzonej kontroli, uprawnieniach przysługujących kontrolującym, dowodach, w oparciu o które formułowane są ustalenia z kontroli, o osobach mającym dostęp do dokumentów kontroli (w tym kwestionowanych ankiet). Wobec tak ustalonego stanu faktycznego, GIODO decyzją z dnia [...] marca 2018 r. nr [...] wydaną na podstawie art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych odmówił uwzględnienia wniosku S.B.. W uzasadnieniu decyzji powołując przepisy art. 7 pkt 2, art. 6 ust. 1 i 2 oraz art. 23 ust. 1 ww. ustawy z 1997 r., GIODO doszedł do wniosku, iż okoliczności sprawy nie pozwalają na stwierdzenie, aby Pracodawca naruszył prawo do ochrony danych osobowych skarżącej. W pierwszej kolejności GIODO wyjaśnił, że ustawodawca w ustawie z 1997 r., posługuje się pojęciem "przetwarzania danych osobowych", odnosząc je zawsze do danych osobowych, nie zaś do zawierających je nośników, tj. dokumentów, zbiorów tych dokumentów (w tym m.in. ankiet, czy dokumentów kontroli). Oceniając działania Pracodawcy w odniesieniu do przetwarzania danych osobowych skarżącej, a dokonanej na gruncie przepisów ustawy z 1997 r., GIODO wskazał, że Pracodawca jako podmiot zatrudniający skarżącą, legitymuje się przesłanką wynikającą z art. 23 ust. 1 pkt 2 ustawy z 1997 r. Pracodawca przetwarza dane skarżącej jako pracownika w zbiorze o nazwie "Pracownicy [...]", w celu wykonania przepisów ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 2016 r. poz. 1666 z późn. zm.), tj. jego art. 22¹, w zw. z art. 94 pkt 9a oraz przepisów rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (Dz. U. z 2017 r. poz. 894). Przepisy te wskazują na zakres danych i cel ich przetwarzania, do którego Pracodawca jest uprawniony. GIODO podniósł także, że niezależnie od powyższego zarzuty skarżącej przedstawione w skardze dotyczą również przetwarzania przez Pracodawcę jej danych osobowych poza aktami osobowymi, a zgromadzonymi w toku kontroli przeprowadzonej w lipcu 2017 r. z upoważnienia Prezesa [...]. Zdaniem organu z treści skargi wynika, że w ocenie skarżącej nieuprawnione działanie Pracodawcy polega na przetwarzaniu przez niego dotyczących jej danych osobowych zgromadzonych w związku z przeprowadzoną kontrolą, w tym informacji pozyskanych z wypełnionych przez jego pracowników w dniach [...]-[...] lipca 2017 r. ankiet. Zdaniem skarżącej Pracodawca nie miał prawa gromadzić jej danych osobowych w ten sposób. Skarżąca podniosła również, że cel pozyskania i dalszego przetwarzania przez Pracodawcę jej danych osobowych jest sprzeczny z przepisami zarówno ustawy z 1997 r., jak i przepisów Kodeksu pracy. W ocenie GIODO ww. zarzuty skarżącej nie zasługują jednak na uwzględnienie, ponieważ Pracodawca miał pełne prawo pozyskania i dalszego przetwarzania danych osobowych skarżącej w związku z przeprowadzoną w zakładzie pracy kontrolą wewnętrzną. GIODO wyjaśnił, że szczególną i charakterystyczną cechą stosunku pracy jest to, że na skutek nawiązania stosunku pracy pracownik zobowiązany jest do wykonywania pracy określonego rodzaju na rzecz pracodawcy i pod jego kierownictwem oraz w miejscu i czasie wyznaczonym przez pracodawcę, a pracodawca - do zatrudniania pracownika za wynagrodzeniem (por. art. 22 § 1 Kodeksu pracy). Z powyższego wynika zatem, że pracodawcy wobec pracownika przysługuje, w ramach uprawnień kierowniczych, prawo kontroli wykonywania przez niego szeroko rozumianych obowiązków pracowniczych. W art. 100 Kodeksu pracy wskazano bowiem, że pracownik jest obowiązany wykonywać pracę sumiennie i starannie oraz stosować się do poleceń przełożonych, które dotyczą pracy, jeżeli nie są one sprzeczne z przepisami prawa lub umową o pracę. Dalej GIODO wskazał, że w ramach przysługujących pracodawcy uprawnień kontrolnych wykonywania przez pracownika pracy, pracodawcy przysługuje jednocześnie prawo do przetwarzania w tym celu danych osobowych pracownika, pod warunkiem oczywiście, że przetwarzanie to nie narusza postanowień art. 26 ustawy z 1997 r. Dodano też, że zgodnie z treścią § 6 ust. 1 oraz ust. 2 pkt 2 rozporządzenia Ministra Pracy i Polityki Socjalnej w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika, pracodawca zakłada i prowadzi oddzielne dla każdego pracownika akta osobowe. Akta osobowe pracownika składają się z 3 części i obejmują w części B: dokumenty dotyczące m.in. przebiegu zatrudnienia pracownika. Powyższe oznacza, zdaniem organu, że dane osobowe skarżącej zgromadzone przez Pracodawcę w toku kontroli, o której zakresie, celu i przedmiocie skarżąca została poinformowana, stanowią informacje dotyczące przebiegu zatrudnienia i do których przetwarzania pracodawca jest co do zasady upoważniony w prawnie usprawiedliwionym celu wynikającym z przepisów art. 22 oraz 100 Kodeksu pracy, przez co uznano, że spełniony został pierwszy warunek określony w art. 23 ust. 5 ustawy z 1997 r. (tj. przetwarzanie danych będące niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora danych). Jednocześnie, w ocenie GIODO, ww. działania Pracodawcy nie stanowią naruszenia praw i wolności skarżącej, ponieważ zachował on wobec skarżącej transparentność podjętych przez siebie działań. Skarżąca została o prowadzonej kontroli poinformowana indywidualnie zgodnie z przyjętymi u Pracodawcy sposobami komunikacji, a także zaakceptowała ona i zobowiązała się stosować, jako pracownik [...] do obowiązujących u Pracodawcy reguł i organizacji pracy, które określone zostały w stosownych regulaminach wewnętrznych. Za uprawnieniem Pracodawcy do zawarcia takich postanowień w aktach wewnętrznych opowiedziała się również doktryna. GIODO stwierdził nadto, że informacje, w tym dane osobowe gromadzone przez pracodawców w celu ewidencjonowania przebiegu zatrudnienia pracownika, mogą służyć następnie dla stwierdzenia naruszenia obowiązków pracowniczych i rozwiązania o pracę z jego winy. Zatem, jeżeli w ocenie Pracodawcy działania skarżącej mogły być przejawem zakłócenia przez nią obowiązującej u niego dyscypliny pracy, był on uprawniony do podjęcia czynności mających na celu wyjaśnienie zaobserwowanych zagrożeń dla tego porządku, w tym czynności kontrolnych, a zatem i przetwarzania w ramach nich jej danych osobowych. Odnosząc się do kwestii żądania skarżącej nakazania Pracodawcy usunięcia uchybień w procesie przetwarzania jej danych osobowych poprzez wypełnienie w stosunku do niej obowiązku informacyjnego wynikającego z art. 25 ust. 1 ustawy z 1997 r. oraz udostępnienie jej przetwarzanych w sprawie kontrolnej i przechowywanych w aktach tzw. "postępowania kontrolnego" danych w zakresie dotyczących danych osobowych jej osoby, GIODO wskazał, że w tej sytuacji, dotyczącej przetwarzania danych osobowych skarżącej w związku z kontrolą, obowiązek ten Pracodawcy nie dotyczył. Ponadto, jak wynika ze zgromadzonego w sprawie materiału dowodowego, Pracodawca udzielił skarżącej szczegółowych informacji odnośnie jej danych osobowych w korespondencji mailowej (w dniach [...] i [...] lipca 2017 r.), jak również pismem z dnia [...] września 2017 r. Tym samym zarzut niewypełnienia wobec skarżącej przez Pracodawcę obowiązku informacyjnego z art. 25 ust. 1 ustawy z 1997 r. nie może zostać przez organ uwzględniony. W kwestii natomiast nakazania Pracodawcy udostępnienia na rzecz skarżącej dotyczących ją danych osobowych GIODO wskazał, że z akt postępowania wynika, że skarżąca nigdy nie zwracała się do Pracodawcy z wnioskiem o udzielenie jej informacji odnośnie jej danych osobowych zgromadzonych w aktach kontroli (również i skarżąca nie przedstawiła na tę okoliczność jakiejkolwiek dokumentacji, a za wniosek z ustawy z 1997 r. nie może być uznany sprzeciw skarżącej z [...] sierpnia 2017 r. skierowany do Pracodawcy). Tym samym, jako że organ nie jest uprawniony do wyręczania strony w zakresie przysługujących jej praw, nie mógł podjąć innego rozstrzygnięcia jak odmówić wykonania ww. żądania skarżącej. Wobec powyższego GIODO stwierdził, że działanie Pracodawcy polegające na przetwarzaniu danych osobowych skarżącej jest działaniem usprawiedliwionym, albowiem wypełnia przesłanki z art. 23 ust. 1 pkt 5 ustawy z 1997 r. W złożonym wniosku o ponowne rozpatrzenie sprawy S.B. zarzuciła, że GIODO prowadził postępowanie z naruszeniem art. 80 w zw. z art. 77 § 1 K.p.a. poprzez dowolne rozpatrzenie materiału dowodowego i przyjęcie, że: – administrator danych osobowych wykonał obowiązek informacyjny wynikający z art. 25 ust. 1 ustawy z 1997 r., – podejmowane przez Pracodawcę wobec skarżącej działania były transparentne, nie naruszyły jej praw i wolności, podczas gdy dotychczas zebrany materiał dowodowy wskazuje na sytuację przeciwną, – dane osobowe skarżącej były przetwarzane w związku z kontrolą w ramach stosunku pracy, co doprowadziło do błędnej konkluzji GIODO, że działanie administratora danych było działaniem usprawiedliwionym, stosownie do art. 23 ust. 1 pkt 5 ustawy z 1997 r. – skarżąca wyraziła zgodę na przetwarzanie jej danych dla celów ankiety na podstawie samego faktu obowiązywania u Pracodawcy regulaminu Kontroli w [...]. Uzasadniając ww. zarzuty skarżąca podniosła, że informacja o zarządzonej kontroli została wysłana drogą mailową na jej adres służbowy wewnętrznej poczty w okresie przebywania na urlopie wypoczynkowym, gdy z tej poczty nie korzystała. Nadto, jako przyczynę przeprowadzenia kontroli wskazano informacje zawarte w części ankiet, które zostały przeprowadzone w dniu [...] lipca 2017 r., a nie jak podano w decyzji - sprawdzenie informacji przekazanych przez skarżącą Naczelnikowi Wydziału. Skarżąca zarzuciła, że pismo z dnia [...] września 2017 r. nie wyjaśniało przyczyny przeprowadzenia kontroli, wskazując jedynie ogólnikowo definicję legalną z regulacji wewnętrznych [...] oraz, że powstało w reakcji na zgłoszenie do Prezesa [...] sygnalizacji o dyskryminacji (art. 18 3a § 5 Kodeksu pracy), natomiast nie zostało podpisane ani przez administratora danych ani też osobę przez niego upoważnioną. Skarżąca wyjaśniła też, że nigdy nie przekazywała Naczelnikowi Wydziału informacji dotyczących funkcjonowania BP w B., które miały w ocenie organu stanowić legalną podstawę do przeprowadzenia przeciwko skarżącej anonimowej ankiety. Zdaniem skarżącej zapytanie o konieczność i celowość pracy w kolejną sobotę (czyli w godzinach nadliczbowych) powinno być rozpatrywane w kontekście przestrzegania przez Pracodawcę przepisów o czasie pracy. Skarżąca podniosła też, że odmówiono jej prawa do rzetelnej informacji o tym, dlaczego ankiety przeprowadzono bez jej zgody i wiedzy, i to w okresie absencji w pracy spowodowanej korzystaniem z przysługującego jej urlopu. S.B. zarzuciła również, że nie zapoznano jej z wynikami ankiet, chociaż było to wcześniej praktykowane w sprawach ankiet dotyczących osób zajmujących kierownicze stanowiska. Skarżąca podniosła nadto, że w prowadzonym przed GIODO postępowaniu nie zostało wykazane, że przetwarzanie jej danych osobowych związane było ze stosunkiem pracy. W aktach sprawy brak jest jakichkolwiek informacji o postępowaniu dyscyplinarnym lub porządkowym prowadzonym przez Pracodawcę w stosunku do niej, nie wpłynęła również żadna skarga wymagająca procedowania w ramach stosunku pracy. Skarżąca podniosła też, że Pracodawca nie przechowuje dokumentacji związanej z kontrolą podjętą wobec niej w aktach pracowniczych, lecz zgodnie z przekazaną informacją, w aktach tzw. postępowania kontrolnego, do których dostęp ma wyłącznie Departament Kontroli i zlecający kontrolę tj. Prezes [...]. W ocenie skarżącej, sprawa, która skutkowała przeprowadzeniem w tajemnicy przed nią ankiety jej dotyczącej nie jest sprawą z zakresu prawa pracy, co potwierdza stanowisko Państwowej Inspekcji Pracy. Skarżąca zaznaczyła też, że należy mieć na względzie treść art. 221 Kodeksu pracy, który przewiduje zamknięty katalog informacji, jakie zatrudniający może zbierać o pracowniku. Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której one dotyczą (§ 3), a więc nie w formie anonimowych ankiet. Zarzuciła też, że ustawodawca nie przewidział gromadzenia i przechowywania danych obejmujących badania opinii współpracowników o pracowniku, gromadzenia innych niż wskazane w Kodeksie pracy informacji. W zakresie nieuregulowanym w § 1-4 do danych osobowych, o których mowa w tych przepisach, stosuje się przepisy o ochronie danych osobowych (§ 5). Wyjaśniając zarzut braku zgody na przetwarzanie danych osobowych w celu przeprowadzenia ankiety skarżąca podkreśliła, że zgoda taka obowiązuje wyłącznie w celu, dla jakiego została uzyskana, w zakresie danych niezbędnych do realizacji tego celu. Tymczasem Pracodawca nie uprzedzał o takich formach kontroli pracownika jak poddanie się ocenie innych pracowników, a skarżąca nigdy nie wyrażała zgody na przetwarzanie jej danych w celach anonimowych ankiet. Skarżąca dodała też, że administrator danych osobowych musi udowodnić, że faktycznie uzyskał zgodę osoby, której dane dotyczą na tak określony cel przetwarzania danych osobowych tj. sprawdzenie funkcjonowania biura, a tego nie uczyniono w sprawie. W ocenie skarżącej, zgoda musi być dobrowolna i być aktem woli osoby, której dane dotyczą, nie można zakładać dorozumianej zgody skarżącej na anonimowe ankietowanie tylko i wyłącznie z tego powodu, że jest pracownikiem podmiotu, którego funkcjonowanie było sprawdzane. We wniosku o ponowne rozpatrzenie sprawy skarżąca zarzuciła nadto naruszenie przepisu art. 7 i art. 8 K.p.a. poprzez: – pominięcie obowiązku podejmowania czynności z urzędu w celu dokładnego wyjaśnienia stanu faktycznego sprawy oraz prowadzenie postępowania w sposób nie budzący zaufania do władzy publicznej, poprzez dowolne przyjęcie wyjaśnień Prezesa [...] jako prawdziwych w sytuacji, gdy przeciwne wnioski wynikają z twierdzeń i wskazanego przez skarżącą materiału dowodowego, – brak ustalenia istotnych okoliczności sprawy poprzez nieustalenie rzeczywistego kręgu odbiorców ankiety i udostępnienie jej danych osobowych wraz z ankietą osom niezatrudnionym w jednostce organizacyjnej będącej przedmiotem kontroli, choć skarżąca nie wyraziła zgody na udostępnianie ww. danych nieznanych sobie pracownikom [...], – brak ustalenia istotnych okoliczności związanych z zasadą adekwatności przetwarzania danych osobowych. Jeżeli pracodawca chce się powołać na podstawę prawną przetwarzania danych z art. 7 lit. f) i art. 23 ust. 1 pkt 5 ustawy z 1997 r., cel przetwarzania danych musi być uzasadniony, a wybrany sposób, czy też stosowana technologia, za pomocą której dane są przetwarzane, musi być niezbędna do ochrony uzasadnionego interesu pracodawcy. Przetwarzanie musi być też proporcjonalne do potrzeb. Zbieranie, utrwalanie, przechowywanie, opracowywanie jakichkolwiek ankiet z danymi osobowymi skarżącej nie były adekwatne do wskazanego dla GIODO celu przeprowadzonej kontroli wewnętrznej. Zakres danych osobowych adekwatnych do celu przetwarzania oceniać trzeba każdorazowo z uwzględnieniem określonego stosunku prawnego, w związku z którym administrator przetwarza dane. Nie wykazano w jaki sposób pytanie skarżącej skierowane do Naczelnika Wydziału w sprawie pracującej soboty wpływa na prawidłowość funkcjonowania biura (brak związku przyczynowo - skutkowego). Wskazując ww. zarzuty skarżąca wniosła o przeprowadzenie ponownego postępowania, uzupełnienie materiału dowodowego oraz rzetelną ocenę zgromadzonego materiału dowodowego, w tym w zakresie kryteriów zachowania przez administratora danych [...] zasady szczególnej staranności w celu ochrony interesów osób, których dotyczą, zasady przetwarzania danych zgodnie z prawem (brak podstawy prawnej przetwarzania danych osobowych poza sprawami związanymi ze stosunkiem pracy), zasady przetwarzania danych zgodnie z celem, dla którego zostały zebrane, zasady adekwatności przetwarzania danych oraz kwestii prawidłowości przechowywania danych osobowych skarżącej poza teczką akt osobowych pracownika. Skarżąca podniosła, że wyjaśnić należy związek przyczynowo - skutkowy jaki ma rzekomo zachodzić między zadaniem pytania przez skarżącą przełożonemu, a celem kontroli wskazanym przez administratora danych, aby ustalić, czy cel był prawnie uzasadniony. W ocenie skarżącej dowieść należy w jakim celu zbierane są i przechowywane informacje o pracowniku nie objęte ww. normą Kodeksu pracy tj. opinie i inne informacje o zachowaniu skarżącej, jeżeli nie są prowadzone przeciwko niej żadne postępowania w trybie przepisów prawa pracy i K.p.a. Skarżąca wniosła nadto o: – rzetelne wyjaśnienie obowiązku informacyjnego wobec niej, w tym wyjaśnienie dlaczego inny powód kontroli został wskazany przez administratora danych GIODO, a inny skarżącej w mailu przesłanym na pocztę służbową w okresie jej nieobecności w pracy, – weryfikację przesłanki adekwatności przetwarzania danych osobowych skarżącej, – zażądanie od administratora danych informacji o miejscu zatrudnienia wskazanych z imienia i nazwiska trzech osób oraz informacji w jakim celu przekazano im ankiety przeciwko S.B., – w związku ze sprzecznościami w materiale dowodowym – o przesłuchanie w charakterze świadków osób związanych z zainicjowaniem samej kontroli, jak również przeprowadzających kontrolę celem wyjaśnienia m.in. dlaczego zadanie pytania do bezpośredniego przełożonego zostało zakwalifikowane w charakterze naruszenia obowiązku pracowniczego, jakiego obowiązku oraz, czy skarżąca była w związku z tym rzekomym naruszeniem informowana o formułowanych w stosunku do niej zarzutach, czy działanie kontrolera było adekwatne do celu. Prezes UODO, po ponownym rozpatrzeniu sprawy, decyzją z dnia [...] stycznia 2020 r. nr [...], utrzymał w mocy zaskarżoną decyzję GIODO z dnia [...] marca 2018 r. W uzasadnieniu decyzji podniósł, że decydujące znaczenie dla rozstrzygnięcia w sprawie ma ocena legalności przetwarzania danych osobowych skarżącej w procesie postępowania kontrolnego przeprowadzonego przez Pracodawcę, które polegało na zebraniu informacji w anonimowych ankietach, zawierających jej dane osobowe. Proces ten rozpoczął się w okresie obowiązywania ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, jednakże ze względu na to, że przetwarzanie danych osobowych skarżącej jest obecnie kontynuowane, to Prezes UODO stwierdził, że właściwe w przedmiotowej sprawie jest również odwołanie się do przepisów obowiązujących w czasie wydawania rozstrzygnięcia w sprawie tj. przepisów RODO, ponieważ organ musi ocenić, czy kwestionowany proces przetwarzania danych osobowych na dzień wydania decyzji administracyjnej jest zgodny z prawem. Prezes UODO podkreślił, że szczególną i charakterystyczną cechą stosunku pracy jest to, że na skutek nawiązania stosunku pracy pracownik zobowiązany jest do wykonywania pracy określonego rodzaju na rzecz pracodawcy i pod jego kierownictwem oraz w miejscu i czasie wyznaczonym przez pracodawcę, a pracodawca - do zatrudniania pracownika za wynagrodzeniem (por. art. 22 § 1 Kodeksu pracy). Z powyższego wynika zatem, że pracodawcy wobec pracownika przysługuje, w ramach uprawnień kierowniczych, prawo kontroli wykonywania przez niego szeroko rozumianych obowiązków pracowniczych, co potwierdza treść art. 100 Kodeksu pracy. Pracownik jest obowiązany m. in. przestrzegać regulaminu pracy i ustalonego w zakładzie pracy porządku, przestrzegać przepisów oraz zasad bezpieczeństwa i higieny pracy, dbać o dobro zakładu pracy, przestrzegać w zakładzie pracy zasad współżycia społecznego. W ramach przysługujących pracodawcy uprawnień kontrolnych wykonywania przez pracownika pracy, pracodawcy przysługuje jednocześnie prawo do przetwarzania w tym celu danych osobowych pracownika, pod warunkiem oczywiście, że przetwarzanie to nie narusza innych zasad przetwarzania danych. Tym samym w ocenie Prezesa UODO, dane osobowe skarżącej zgromadzone przez Pracodawcę w toku kontroli, o której zakresie, celu i przedmiocie skarżąca została poinformowana, stanowią informacje dotyczące przebiegu zatrudnienia i do których przetwarzania pracodawca jest co do zasady upoważniony w prawnie usprawiedliwionym celu wynikającym z przepisów art. 22 oraz 100 Kodeksu pracy, przez co należy uznać, że spełniony został pierwszy warunek określony w art. 23 ust. 1 pkt 5 ustawy z 1997 r. (tj. przetwarzanie danych będące niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora danych). Jednocześnie, w ocenie Prezesa UODO, ww. działania Pracodawcy nie stanowią naruszenia praw i wolności skarżącej, gdyż zachował on wobec skarżącej transparentność podjętych przez siebie działań. Przede wszystkim skarżąca została o prowadzonej kontroli poinformowana indywidualnie zgodnie z przyjętymi u Pracodawcy sposobami komunikacji, a także zaakceptowała ona i zobowiązała się stosować, jako pracownik [...] do obowiązujących u Pracodawcy reguł i organizacji pracy, które określone zostały w stosownych regulaminach wewnętrznych. Organ dodał też, że jak wynika z wyjaśnień Pracodawcy, dane na temat relacji interpersonalnych pozyskane w ankiecie podczas kontroli wewnętrznej były elementem oceny funkcjonowania i organizacji pracy i miały wpływ na ustalenia pokontrolne zawarte w sprawozdaniu. W konsekwencji wykryte nieprawidłowości dotyczyły jedynie przełożonego skarżącej, zaś w odniesieniu do skarżącej zebrany materiał dowodowy nie dał podstaw do wyciągnięcia żadnych konsekwencji. W ocenie Prezesa UODO pracodawca nie może być pozbawiony możliwości przeprowadzenia stosownego postępowania wyjaśniającego w przypadku sygnałów o potencjalnych nieprawidłowościach w zakładzie pracy, w związku z czym przeprowadzenie anonimowych ankiet na temat relacji interpersonalnych pracownika z przełożonymi lub pozostałymi współpracownikami mogą zostać sporządzone w ramach takiego postępowania. Czynności pracownicze, w ocenie Prezesa UODO, mogą być weryfikowane przez Pracodawcę, zbieraniu zatem informacji oraz ich dokumentowaniu w formie ankiet w celu udokumentowania zdarzeń związanych z czynnościami pracowniczymi nie można przypisać naruszenia jakichkolwiek praw i wolności. W rozpatrywanej sprawie Pracodawca podczas postępowania kontrolnego, gromadząc w ankietach dane o relacjach skarżącej oraz posługując się jej danymi osobowymi, miał prawnie uzasadniony interes w tym aby zapewnić właściwą kontrolę nad organizacją pracy. Zebrane dane służyły do oceny relacji skarżącej z jej współpracownikami w zestawieniu z jej obowiązkami pracowniczymi określonymi w art. 100 § 2 pkt 2, 3 i 6 Kodeksu pracy w ściśle określonym celu. Organ podkreślił również, że nie ma dowodów na to aby Pracodawca wykorzystywał dane pozyskane w ankietach w innych celach niż te, dla których zostały zebrane. Ponadto treść tych danych osobowych jest ściśle związana ze świadczeniem przez skarżącą pracy na rzecz Pracodawcy. Tym samym Prezes UODO nie mógł stwierdzić, że proces zbierania danych o relacjach interpersonalnych ze współpracownikami naruszał prawa i wolności skarżącej. Prezes UODO stwierdził też, że przepisy dotyczące gromadzenia i przechowywania akt osobowych nie przewidują możliwości umieszczania w aktach osobowych pracownika anonimowych ankiet zabranych w związku z postępowaniem kontrolnym dotyczącym funkcjonowania miejsca pracy. W ocenie Prezesa UODO takie ankiety powinny być sporządzone w określonym celu, a po jego wypełnieniu niezwłocznie usunięte lub zarchiwizowane. Za niedopuszczalne należy uznać przetwarzanie danych osobowych pracownika znajdujących się w notatkach służbowych przez okres bliżej nieokreślony - na zapas. Prezes UODO wyjaśnił, że w rozpatrywanej sprawie ankiety w postępowaniu kontrolnym stanowiły formę komunikacji pracownika z Pracodawcą, poinformowania go o zaistniałym stanie faktycznym i to od Pracodawcy zależało co zrobi z tą informacją. Jak wynika z treści wyjaśnień Pracodawca wykorzystał materiał dowodowy w postaci anonimowych ankiet do sporządzenia sprawozdania z przeprowadzonej kontroli. Organ stwierdził tym samym, że przetwarzanie danych w celu kontroli wewnętrznej dotyczącej funkcjonowania zakładu pracy skarżącej było uzasadnione i spełniało dyspozycję art. 23 ust. 1 pkt 5 ustawy z 1997 r., ponieważ następowało w celu zrealizowania prawidłowej organizacji pracy oraz zapewnieniu bezpiecznych warunków pracy zgodnie z prawnie uzasadnionym interesem administratora. Ponadto Pracodawca jako podmiot publiczny podlega przepisom ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2019 r., poz. 553), w szczególności ma obowiązek przechowywania dokumentacji na podstawie art. 5 ust. 1 pkt 2 ww. ustawy. Prezes UODO zaznaczył, że zgodnie z przekazanymi wyjaśnieniami, Pracodawca będzie przetwarzał dane osobowe zawarte we wskazanych ankietach w celach archiwalnych przez okres 10 lat na podstawie wewnętrznych przepisów dotyczących jednolitego rzeczowo wykazu akt, czym wypełnia przesłankę określoną w art. 6 ust. 1 lit. c RODO. Mając na uwadze treść zarzutów skarżącej kwestionujących podstawy faktyczne, prawne oraz sposób prowadzenia kontroli, Prezes UODO podkreślił, że nie jest jego rolą stwierdzanie, czy Pracodawca w sposób prawidłowy przeprowadził kontrolę i czy kontrola ta była uzasadniona, ponieważ kompetencje we wskazanym zakresie, w zależności od zagadnienia, posiada sąd powszechny lub Państwowa Inspekcja Pracy. Organ zwrócił również uwagę, że ustawa z 1997 r. oraz przepisy RODO nie przyznają Prezesowi UODO kompetencji w zakresie podejmowania rozstrzygnięć, których przedmiotem byłby nakaz udostępnienia treści dokumentów lub usunięcia danego dokumentu, a więc podejmowania rozstrzygnięć w zakresie w jakim nie dotyczą bezpośrednio danych osobowych. Prezes UODO ponownie wskazał, że treść ankiet zawiera opis pewnego subiektywnego stanu faktycznego, który nie jest przedmiotem oceny w toku niniejszego postępowania administracyjnego. Odnosząc się do zarzutu udostępnienia danych osobowych skarżącej we wzorach ankiet trzem osobom nieuprawnionym Prezes UODO wyjaśnił, że dane w zakresie imienia i nazwiska skarżącej, znajdujące się w drugiej ankiecie (tj. z dnia [...] lipca 2017 r.) zostały udostępnione tym osobom bez podstawy prawnej. Udostępnienie to nie miało bowiem oparcia w żadnej z autonomicznych przesłanek uprawniających do przetwarzania danych określonych w art. 23 ust. 1 ustawy z 1997 r., zaś zgodnie z wyjaśnieniami Pracodawcy przesłanie wzoru ankiety do tych osób wyniknęło z pomyłki, a osoby te nie brały udziału w procesie postępowania kontrolnego (nie były pracownikami kontrolowanej jednostki organizacyjnej). W ocenie organu, w przedmiotowej sprawie doszło zatem do naruszenia przepisów ustawy z 1997 r. poprzez udostępnienie przez Pracodawcę danych osobowych skarżącej osobom nieuprawnionym. Z uwagi jednak na to, że przedmiotem skargi jest zdarzenie jednorazowe, o nieodwracalnym charakterze, w ocenie Prezesa UODO niemożliwym jest wydanie decyzji nakazującej przywrócenie stanu zgodnego z prawem. Odnosząc się do kolejnego zarzutu podnoszonego w skardze oraz we wniosku o ponowne rozpatrzenie sprawy, oraz jednocześnie żądania spełnienia przez Pracodawcę wobec skarżącej obowiązku informacyjnego z art. 25 ust. 1 ustawy z 1997 r. w procesie przeprowadzonego postępowania kontrolnego Prezes UODO stwierdził, że nie zasługuje on na uwzględnienie, ponieważ obowiązek ten został spełniony. Jak bowiem wynika z materiału dowodowego skarżąca była informowana przez Pracodawcę, w sposób przez niego przyjęty, o podstawach prawnych, celu i zakresie przeprowadzonej kontroli, uprawnieniach przysługujących kontrolującym, dowodach, w oparciu o które formułowane są ustalenia z kontroli, o osobach mających dostęp do dokumentów kontroli (w tym kwestionowanych ankiet). Organ podkreślił również, że w związku z przetwarzaniem przez Pracodawcę danych osobowych skarżącej w postaci treści ankiet na temat relacji interpersonalnych po stronie Pracodawcy powstał obowiązek informacyjny określony w art. 25 ust. 1 ustawy z 1997 r. Pracodawca pozyskał bowiem w procesie zbierania anonimowych ankiet dla celów postępowania wyjaśniającego nowe dane osobowe skarżącej ponad te, które przetwarzał w związku z wykonywaną przez nią pracą na rzecz Pracodawcy. Jednakże należy uznać, że obecnie skarżąca posiada informacje określone w art. 25 ust. 1 pkt 1 - 5 ustawy z 1997 r. i tym samym spełniona została dyspozycja art. 25 ust. 2 pkt 6 ww. ustawy. Po pierwsze skarżącej, w oparciu o nawiązany stosunek pracy, znana jest siedziba i pełna nazwa administratora (pkt 1), oraz ogólne prawo pracownika do dostępu do swoich danych i ich poprawiania (pkt 4). Po drugie skarżąca miała wiedzę o celu i zakresie zbierania danych (pkt 2), źródle danych (pkt 3) oraz prawie żądania zaprzestania przetwarzania danych ze względu na szczególną sytuację (pkt 5), co wynika z treści złożonego sprzeciwu, w którym skarżąca zarzuca dyskryminację swojemu Pracodawcy. Organ podkreślił, że postępowanie kontrolne, w oparciu o które pozyskano nowe dane osobowe skarżącej, zostało przeprowadzone na podstawie Regulaminu kontroli obowiązującego u Pracodawcy. Tym samym proces kontrolny, m. in. jego podstawy, cele oraz przebieg był znany skarżącej, co wynika z obowiązku zapoznania się i stosowania z przyjętym w miejscu pracy porządkiem pracy. Podsumowując, na podstawie zebranego materiału dowodowego Prezes UODO stwierdził, że skarżącej znana jest pełna treść obowiązku informacyjnego z art. 25 ust. 1 ustawy z 1997 r. niezależnie od tego w jaki sposób ją uzyskała. W powyższej kwestii Prezes UODO nie odwołał się do przepisów RODO ze względu na to, że obowiązek informacyjny został spełniony przed 25 maja 2018 r., tj. przed obowiązywaniem przepisów RODO i był zgodny z treścią poprzedniej ustawy z 1997 r. Dalej Prezes UODO wskazał, że postępowanie administracyjne prowadzone przez organ służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 18 ust. 1 ustawy z 1997 r. W ocenie Prezesa UODO nie ma jednak podstaw do stwierdzenia, że przetwarzanie danych osobowych skarżącej w dokumentacji zbieranej w trakcie trwania stosunku pracy, w szczególności w procesie wewnętrznego postępowania kontrolnego przed dniem 25 maja 2018 r. było niezgodne z przepisami ustawy z 1997 r. Skarżony proces znajdował bowiem oparcie w przesłance określonej w art. 23 ust. 1 pkt 5 ww. ustawy. Obecnie natomiast Pracodawca, przetwarzając dane osobowe skarżącej pozyskane w tym procesie, legitymuje się przesłanką określoną w art. 6 ust. 1 lit. c RODO w zw. z art. 5 ust. 1 pkt 2 ustawy o archiwach. W obszernej skardze skierowanej do Wojewódzkiego Sądu Administracyjnego w Warszawie na powyższą decyzję Prezesa UODO S.B. wniosła o uchylenie zaskarżonej oraz poprzedzającej ją decyzji, a także o zasądzenie na jej rzecz kosztów postępowania. Zaskarżonej decyzji zarzuciła naruszenie: – przepisów postępowania, tj. art. 9 i art. 79a K.p.a., poprzez ich niezastosowanie skutkujące wydaniem decyzji niezgodnej z żądaniem strony, – przepisów postępowania, tj. art. 7, art. 7a, art. 7b, 77 § 1, art. 80, art. 105 K.p.a. przez zaniechanie wszechstronnego i wyczerpującego zgromadzenia i rozpatrzenia materiału dowodowego w sprawie, braku wskazania faktów, które organ uznał za udowodnione, dowodów, na których się oparł oraz przyczyn i powodów, dla których innym dowodom odmówił wiarygodności i mocy dowodowej, co w konsekwencji doprowadziło do błędnego ustalenia i dowolnego uznania, że: a) nie doszło do naruszenia praw i wolności skarżącej, podczas gdy z akt sprawy wynika, że skarżącą pozbawiono konstytucyjnego prawa do bycia poinformowaną o tym kto i dlaczego przetwarza jej dane osobowe, b) administrator wykonał obowiązek informacyjny o przeprowadzeniu kontroli i w terminie umożliwiającym wniesienie sprzeciwu, c) błędnie ustalono, że zachowano transparentność podjętych działań wobec skarżącej, skoro ankiety przeprowadzono w okresie przebywania przez nią na urlopie, bez jej wiedzy i zgody, – naruszenie prawa materialnego, tj. art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych z 1997 r. poprzez brak ustalenia okoliczności związanych z zachowaniem zasady adekwatności przetwarzanych danych i uznanie się przez Prezesa UODO za organ niekompetentny do badania tej przesłanki, pomimo tego, że przy piśmie przesłanym przez skarżącą w odpowiedzi na wezwanie GIODO do uzupełnienia braków załączyła odpowiedź PIP na zgłoszony problem przetwarzania danych osobowych pracownika, gdzie wskazano GIODO jako organ uprawniony do rozpoznania sprawy, ponieważ PIP nie ma kompetencji do kontroli innych akt niż akta osobowe. – naruszenie art. 12 i art. 18 ustawy o ochronie danych osobowych z 1997 r. przez uznanie, że Prezes UODO w ramach posiadanych kompetencji nie jest uprawniony do ingerowania w treść zebranych ankiet, skoro żaden przepis prawa nie daje podstawy do gromadzenia informacji o skarżącej poza aktami osobowymi pracownika, szczególnie informacji o charakterze pomówień dot. zdrowia psychicznego. Wobec powyższych zarzutów skarżąca stwierdziła, że skarżone decyzje nie odpowiadają prawu, ponieważ nie było legalnej podstawy do przetwarzania jej danych osobowych, w tym danych wrażliwych, w postaci anonimowych ankiet. W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie i podtrzymał argumentację przedstawioną w zaskarżonej decyzji. Organ dodatkowo wyjaśnił, że z dniem wejścia w życie ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000), Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez GIODO, wszczęte i niezakończone przed 25 maja 2018 r. prowadzone są przez Prezesa UODO, na podstawie ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego. Wszelkie czynności podjęte przez GIODO przed 25 maja 2018 r. pozostają skuteczne. Organ zaznaczył jednocześnie, że argumenty przytoczone w skardze były w większości podnoszone przez skarżącą również we wniosku o ponowne rozpatrzenie sprawy, do czego odniósł się w decyzji z dnia [...] stycznia 2020 r. Uzasadnienie skargi w dużym stopniu stanowi polemikę ze stanowiskiem wyrażonym w zaskarżonej decyzji oraz w poprzednim rozstrzygnięciu organu, wydanych w przedmiotowej sprawie. Odnosząc się do zarzutów skargi organ wskazał, że art. 7a K.p.a. nie miał zastosowania w sprawie, ponieważ przedmiotem postępowania administracyjnego nie było nałożenie na stronę obowiązku bądź ograniczenie lub odebranie stronie uprawnienia, jak stanowi ten przepis. Przedmiotem postępowania przed Prezesem UODO jest legalność procesu przetwarzania danych i jego prawidłowość, zatem decyzja ma charakter restytucyjny i nie przyznaje prawa żadnej ze stron, a przywraca stan zgodny z prawem. Prezes UODO wyjaśnił też, że zgodnie z art. 138 § 1 K.p.a. rozstrzygnięcia organu znajdowały podstawy w obowiązującym stanie prawnym oraz dokonane zostały w oparciu o zgromadzony w sprawie materiał dowodowy. Organ nie podważył żadnego dowodu przesyłanego przez skarżącą, tym samym wziął pod uwagę m. in. fakt jej przebywania na urlopie podczas czynności kontrolnych Pracodawcy, lecz okoliczności nie wskazane w opisie stanu faktycznego nie miały wpływu na ocenę legalności działania administratora danych. Prezes UODO dał wiarę wszelkim dowodom przesyłanym w toku postępowania, również tym przesyłanym przez skarżącą, nie dopatrzył się rozbieżności, rozpatrzył cały zgromadzony materiał dowodowy i uwzględnił go w zaskarżonej decyzji. W postępowaniu Prezes UODO, na podstawie zgromadzonych wyjaśnień, dokonał indywidualnej oceny podstaw przetwarzania danych osobowych skarżącej przez Pracodawcę. Odnosząc się do kwestii legalności przetwarzania danych w zakresie relacji interpersonalnych skarżącej ze współpracownikami, pozyskanych przez Pracodawcę poprzez anonimowe ankiety, Prezes UODO podtrzymał swoje stanowisko wyrażone w zaskarżonej decyzji podkreślając, że Pracodawca nie może być pozbawiony prawa do kontroli i oceny sytuacji w miejscu pracy. W rozpoznawanej sprawie Pracodawca w raporcie końcowym uwzględnił wyniki ankiet i ocenił, że nie dają one podstaw do podejmowania jakichkolwiek działań wobec skarżącej (np. dyscyplinarnych), zaś wcześniejsza sugestia nieprawidłowości nie znalazła potwierdzenia w toku kontroli. Jednocześnie organ zaznaczył, że w przypadku pozyskania danych osobowych pracownika w toku kontroli służącej do weryfikacji jakichś negatywnych zdarzeń (w tym otrzymanych anonimowo), pracodawca nie ma prawa ich przetwarzania w aktach osobowych pracownika, jeżeli nie wyciąga na ich podstawie konsekwencji dyscyplinarnych. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Sąd administracyjny wykonuje wymiar sprawiedliwości, poddając kontroli rozstrzygnięcia wydawane przez organy administracji publicznej pod względem ich zgodności z prawem, badając czy właściwie zastosowano przepisy prawa materialnego i przestrzegano przepisów proceduralnych w postępowaniu administracyjnym. Sąd jest władny wzruszyć zaskarżoną decyzję jedynie w przypadku stwierdzenia naruszenia prawa. Art. 145 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi – (tekst jednolity Dz. U. z 2019 r., poz. 2325, dalej jako "P.p.s.a.") określa w jakich sytuacjach decyzje lub postanowienia organów administracji podlegają uchyleniu, czy też stwierdzeniu ich nieważności. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 P.p.s.a.). W ocenie Sądu, analizowana pod tym kątem skarga S.B. nie zasługuje na uwzględnienie, gdyż zaskarżona decyzja Prezesa UODO, nie narusza prawa. Sąd uznał, że Prezes UODO, wydając sporną decyzję z dnia [...] stycznia 2020 r., nie dopuścił się - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 K.p.a., art. 7b K.p.a., art. 77 § 1 K.p.a., art. 80 K.p.a., a także art. 107 § 3 K.p.a. w zw. z art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781). W działaniu Prezesa UODO Sąd nie dopatrzył się jakichkolwiek istotnych nieprawidłowości, zarówno, gdy idzie o ustalenie stanu faktycznego sprawy, jak i o zastosowanie do jego oceny przepisów prawa materialnego. Ponadto, Sąd uznał, że w uzasadnieniu zaskarżonej decyzji Prezesa UODO wyjaśnione zostały w sposób dostatecznie jasny i przekonywujący motywy jej podjęcia, zaś przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosząca się do stanowiska strony skarżącej. Z uwagi na przedmiot niniejszego postępowania, którym była ocena legalności przetwarzania danych osobowych skarżącej przez Pracodawcę w ramach wewnętrznego postępowania kontrolnego oraz spełnienia wobec skarżącej obowiązku informacyjnego, nie znajdują uzasadnienia podniesione w skardze zarzuty naruszenia art. 7a K.p.a., art., 9 K.p.a. oraz art. 79a K.p.a. Przedmiotem tego postępowania nie było bowiem ustalenie praw i obowiązków skarżącej lub ograniczenie lub odebranie skarżącej uprawnienia. Treść rozstrzygnięcia organu nie była też uzależniona od wykazania przez skarżącą spełnienia określonych przesłanek zależnych od niej. W świetle zebranego w sprawie materiału dowodowego uzasadnione jest stanowisko Prezesa UODO, że przetwarzanie danych osobowych skarżącej w dokumentacji zbieranej w trakcie trwania stosunku pracy, w szczególności w procesie wewnętrznego postępowania kontrolnego przed dniem 25 maja 2018 r. było zgodne z przepisami ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych ( Dz. U. z 2016 r. poz. 922 ze zm.), znajdowało bowiem oparcie w przesłance określonej w art. 23 ust. 1 pkt 5 tej ustawy. Obecnie natomiast Pracodawca przetwarzając dane osobowe skarżącej pozyskane w tym procesie legitymuje się przesłanką określoną w art. 6 ust. 1 lit. c Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), zwanego RODO w zw. z art. 5 ust. 1 pkt 2 ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (t.j. Dz. U. z 2020 r. poz. 164). Jak ustalił Prezes UODO, w dniach [...]-[...] lipca 2017 r. Pracodawca przeprowadził doraźną kontrolę w trybie uproszczonym w miejscu pracy skarżącej, której przedmiotem było sprawdzenie informacji dotyczących możliwych nieprawidłowości w funkcjonowaniu Biura Powiatowego [...] w B.. Kontrola ta została przeprowadzona na podstawie "Regulaminu Kontroli w [...]" wprowadzonego zarządzeniem Prezesa [...] nr [...] z dnia [...] sierpnia 2016 r. Z zapisu § 3 ust. 2 tego Regulaminu wynika, że celem kontroli wewnętrznej jest wykrywanie i zapobieganie: nieprawidłowościom w realizacji zadań i funkcjonowaniu jednostek i komórek organizacyjnych [...], nienależytemu wykonywaniu obowiązków i nieprzestrzeganiu zasad etyki przez pracowników - ustalenie ich zakresu, przyczyn i skutków oraz osób za nie odpowiedzialnych. Przepis § 45 ust. 2 pkt 5 Regulaminu stanowi, że kontrola w trybie uproszczonym może być zarządzona w szczególności w razie potrzeby: sprawdzenia informacji zawartych w skargach i wnioskach (pkt 2); dokonania analizy dokumentów otrzymanych z podmiotu kontrolowanego (pkt 4); w sprawach indywidualnych dotyczących wykonywania obowiązków lub przestrzegania zasad etyki przez pracowników komórek/jednostek organizacyjnych [...] (pkt 5). W § 10 ust. 1 pkt 7 Regulaminu przewidziano, że kontroler w trakcie czynności kontrolnych może żądać od pracowników podmiotu kontrolowanego ustnych informacji oraz pisemnych lub w formie elektronicznej wyjaśnień dotyczących przedmiotu kontroli. Zgodnie natomiast z § 30 ust. 2 pkt 4 i 5 Regulaminu dowodami w postępowaniu kontrolnym w szczególności mogą być wywiady i analizy, ankiety oraz wyjaśnienia uzyskane przez kontrolerów od pracowników podmiotu kontrolowanego. Okolicznością, która ma zasadnicze znaczenie w niniejszej sprawie jest to, że skarżącą łączy z [...] stosunek pracy. Pracodawca w ramach łączącego go ze skarżącą stosunku pracy pozyskał i przetwarzał jej dane osobowe w związku z przeprowadzoną w zakładzie pracy kontrolą wewnętrzną. Kontrola ta była następstwem zastrzeżeń jakie zostały sformułowane przez skarżącą w e-mailu z dnia [...] czerwca 2017 r. skierowanym do jej bezpośredniego przełożonego – Naczelnika Wydziału [...], dotyczących funkcjonowania BP [...] w B.. W sytuacji, gdy w ocenie Pracodawcy pojawiły się sygnały mogące świadczyć o zakłóceniu obowiązującego porządku organizacyjnego w BP w B., był on uprawniony do podjęcia czynności mających na celu wyjaśnienie tych okoliczności, w tym czynności kontrolnych, a zatem i przetwarzania w ramach nich danych osobowych pracowników, w tym skarżącej. Pozyskanie i przetwarzanie danych osobowych skarżącej w toku kontroli wewnętrznej związane było zatem z realizacją uprawnień Pracodawcy przysługujących mu w ramach stosunku pracy wynikających z przepisów Kodeksu pracy. Skarżąca jako pracownik BP [...] w B. zaakceptowała i zobowiązała się stosować do obowiązujących u Pracodawcy zasad organizacji pracy, które określone zostały w stosownych regulaminach wewnętrznych. Należy zgodzić się z Prezesem UODO, że pracodawca nie może być pozbawiony możliwości przeprowadzenia stosownego postępowania wyjaśniającego w przypadku sygnałów o potencjalnych nieprawidłowościach w zakładzie pracy. W związku z czym zbieraniu informacji oraz ich dokumentowaniu w formie ankiet w celu udokumentowania zdarzeń związanych z czynnościami pracowniczymi nie można przypisać naruszenia jakichkolwiek praw i wolności skarżącej. Pracodawca podczas postępowania kontrolnego gromadząc w ankietach dane o relacjach skarżącej oraz posługując się jej danymi osobowymi miał prawnie uzasadniony interes w tym aby zapewnić właściwą kontrolę nad organizacją pracy. Zebrane dane służyły do oceny relacji skarżącej z jej współpracownikami w zestawieniu z jej obowiązkami pracowniczymi określonymi w Kodeksie pracy. Dane na temat relacji interpersonalnych pozyskane w ankiecie podczas kontroli wewnętrznej były elementem oceny funkcjonowania i organizacji pracy i miały wpływ na ustalenia pokontrolne zawarte w sprawozdaniu. Skarżąca nie sformułowała natomiast w toku postępowania zarzutów oraz nie przedstawiła żadnych dowodów na to, że Pracodawca wykorzystywał dane pozyskane w ankietach w innych celach niż te dla których zostały zebrane. Tym samym nie można stwierdzić, że proces zbierania danych o relacjach interpersonalnych ze współpracownikami naruszał prawa i wolności skarżącej. Z zebranego materiału dowodowego wynika, że Pracodawca wykorzystał materiał dowodowy w postaci anonimowych ankiet do sporządzenia sprawozdania z przeprowadzonej kontroli. Tym samym przetwarzanie danych osobowych skarżącej spełniało dyspozycję art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych z 1997 r., bowiem miało na celu zapewnienie prawidłowej organizacji pracy zgodnie z prawnie uzasadnionym interesem administratora danych. Nie jest natomiast rolą Prezes UODO ocenianie, czy zachodziła w ogóle potrzeba przeprowadzenia kontroli w BP w B. oraz, czy została ona przeprowadzona przy wykorzystaniu adekwatnych do celu kontroli środków dowodowych. Odnośnie natomiast stwierdzonego faktu udostępnienia bez podstawy prawnej danych osobowych skarżącej we wzorach ankiet z dnia 27 lipca 2017 r. trzem osobom nieuprawnionym należy zgodzić się z Prezesem UODO, iż z uwagi na to, że było to zdarzenie jednorazowe, o nieodwracalnym charakterze, niemożliwym było wydanie decyzji nakazującej przywrócenie stanu zgodnego z prawem w tym zakresie. Kodeks pracy w art. 94 pkt 9a nakłada na pracodawcę obowiązek prowadzenia dokumentacji w sprawach związanych ze stosunkiem pracy oraz akt osobowych pracowników. Obowiązki wynikające z pkt 9a szczegółowo określa wydane na podstawie art. 298¹ Kodeksu pracy rozporządzenia Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika (t.j. Dz. U. z 2017 r. poz. 894) Przepisy tego rozporządzenia nie przewidują możliwości umieszczania w aktach osobowych pracownika anonimowych ankiet zabranych w związku z postępowaniem kontrolnym dotyczącym funkcjonowania miejsca pracy. Pracodawca jako podmiot publiczny podlega natomiast przepisom ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach, a zatem w szczególności ma obowiązek przechowywania dokumentacji na podstawie art. 5 ust. 1 pkt 2 ww. ustawy. Pracodawca jest zatem uprawniony do tego aby przetwarzać dane osobowe zawarte we wskazanych ankietach w celach archiwalnych przez okres 10 lat na podstawie wewnętrznych przepisów dotyczących jednolitego rzeczowo wykazu akt, czym wypełnia przesłankę określoną w art. 6 ust. 1 lit. c RODO. Słusznie też podniósł organ, że przepisy ustawy o ochronie danych osobowych z 1997 r. oraz przepisy RODO nie przyznają Prezesowi UODO kompetencji w zakresie podejmowania rozstrzygnięć, których przedmiotem byłby nakaz udostępnienia treści dokumentów lub usunięcia danego dokumentu, a więc podejmowania rozstrzygnięć w zakresie w jakim nie dotyczą bezpośrednio danych osobowych. Wbrew też zarzutom skarżącej, z zebranego materiału dowodowego wynika, że Pracodawca przed 25 maja 2018 r., tj. przed wejściem w życie przepisów RODO, spełnił wobec niej obowiązek informacyjny z art. 25 ust. 1 ustawy z 1997 r. Jak wynika bowiem ze zgromadzonego w sprawie materiału dowodowego Pracodawca udzielił skarżącej szczegółowych informacji odnośnie jej danych osobowych w korespondencji mailowej (w dniach [...] i [...] lipca 2017 r.), jak również pismem z [...] września 2017 r. Skarżąca została tym samym poinformowana przez Pracodawcę, w sposób przez niego przyjęty, o podstawach prawnych, celu i zakresie przeprowadzonej kontroli, uprawnieniach przysługujących kontrolującym, dowodach, w oparciu o które formułowane są ustalenia z kontroli oraz o osobach mających dostęp do dokumentów kontroli (w tym kwestionowanych ankiet). Z punktu widzenia oceny spełnienia obowiązku informacyjnego przez Pracodawcę nie ma znaczenia podnoszona przez skarżącą okoliczność, że w dacie przekazania wiadomości e-mali na jej skrzynkę służbową o czynnościach kontrolnych oraz zbieraniu ankiet przebywała na urlopie wypoczynkowym. Skarżąca zapoznała się bowiem z tą korespondencją po powrocie z urlopu wypoczynkowego. Ponadto szczegółowe informacje w tym zakresie zostały przekazane skarżącej przez Pracodawcę w piśmie z dnia [...] września 2017 r. Przepis art. 25 ust. 1 ustawy z 1997 r. stanowi natomiast, że w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązanych poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych. Odwołując się do regulacji art. 18 ust. 1 ustawy z 1997 r. należy zaznaczyć, iż Prezes UODO w przypadku naruszenia przepisów o ochronie danych osobowych nakazuje z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. W rozpatrywanej sprawie jednak stanu niezgodności z prawem w dacie wydania decyzji nie stwierdzono. Reasumując stwierdzić należy, iż organ prawidłowo ustalił, że w niniejszej sprawie wystąpiła przesłanka legalizująca przetwarzanie danych osobowych skarżącej w dokumentacji zbieranej w trakcie trwania stosunku pracy, w szczególności w procesie wewnętrznego postępowania kontrolnego przed dniem 25 maja 2018 r. określona w art. 23 ust. 1 pkt 5 ustawy z 1997 r. Brak jednocześnie podstaw by przyjąć, że proces przetwarzania danych osobowych wiązał się z naruszeniem jakichkolwiek praw, czy wolności skarżącej. Obecnie natomiast Pracodawca przetwarzając dane osobowe skarżącej pozyskane w tym procesie legitymuje się przesłanką określoną w art. 6 ust. 1 lit. c RODO w zw. z art. 5 ust. 1 pkt 2 ustawy o narodowym zasobie archiwalnym i archiwach. Wbrew zarzutom skarżącej, przedmiot niniejszego postępowania został rzetelnie oceniony przez organ przez pryzmat przepisów ustawy o ochronie danych osobowych z 1997 r., a następnie także przepisów RODO, z uwzględnieniem zakresu skargi złożonej przez skarżącą oraz po dokonaniu kompleksowej analizy całości zgromadzonego materiału dowodowego, który organ uznał za wystarczający do wydania merytorycznej decyzji administracyjnej w zakresie podlegającym jego kompetencjom. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi orzekł, jak w sentencji wyroku.