II SA/Wa 284/20

SENTENCJA Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska, Sędzia WSA Iwona Maciejuk (spr.), Asesor WSA Karolina Kisielewicz, , , po rozpoznaniu na posiedzeniu niejawnym w dniu 20 listopada 2020 r. sprawy ze skargi L. S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2019 r. nr [...] w przedmiocie upomnienia oddala skargę. UZASADNIENIE Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] listopada 2019 r. nr [...], na podstawie art. 104 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2018 r., poz. 2096), zwanej dalej k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz. U. z 2019 r., poz. 1781), oraz art. 5 ust. 1, art. 6 ust.1 i art. 58 ust. 2 lit. b Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z dnia 4 maja 2016 r.), zwanej dalej RODO, po przeprowadzeniu postępowania administracyjnego w sprawie ze skargi A. S. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez L. [...] S.A. z siedzibą w W. w punkcie 1: udzielił upomnienia wymienionej Spółce za naruszenie art. 5 ust. 1 lit. b i c oraz 6 ust. 1 RODO polegające na udostępnieniu w dniu 5 marca 2019 r. danych osobowych A. S. dotyczących przyczyn rozwiązania umowy o pracę poprzez skierowanie przez Radę Nadzorczą Spółki wewnętrznego komunikatu do pracowników Spółki oraz do T. S.A. z siedzibą w K., w punkcie 2: pozostałym zakresie odmówił uwzględnienia wniosku. W uzasadnieniu Prezes UODO wskazał, że do organu w dniu 21 maja 2019 r. wpłynęła skarga A. S. na wyżej opisane nieprawidłowości w procesie przetwarzania jej danych osobowych przez Spółkę. Wnioskodawczyni zwróciła się o stwierdzenie naruszenia przez Spółkę przepisów dotyczących przetwarzania danych osobowych; wszczęcie wobec Spółki jako administratora danych osobowych kontroli w zakresie przetwarzania danych osobowych; nałożenie administracyjnej kary pieniężnej na Spółkę jako administratora danych osobowych oraz wypełnienie w stosunku do wnioskodawczyni obowiązku informacyjnego, o którym mowa w art. 13 RODO i przekazanie wnioskodawczyni jakie jej dane są przetwarzane przez Spółkę, jaka jest podstawa prawna oraz cel przetwarzania jej danych, jaki jest krąg odbiorców jej danych osobowych praż jaki jest okres, przez który jej dane osobowe będą przetwarzane. Prezes UODO podał, że w toku postępowania ustalił, że A. S. była zatrudniona w Spółce w okresie od dnia [...] grudnia 2012 roku do dnia [...] marca 2019 roku na podstawie umowy o pracę zawartej na czas nieokreślony. Zajmowała stanowisko Zastępcy Dyrektora [...] oraz Dyrektora [...]. Z uwagi na powierzone jej obowiązki miała bezpośredni wpływ na wynik finansowy Spółki. Spółka rozwiązała z wymienioną powyższą umowę bez wypowiedzenia stwierdzając, że dopuściła się ona ciężkiego naruszenia podstawowych obowiązków pracowniczych. Spółka wraz z wyjaśnieniami przedłożyła dokument w postaci klauzuli informacyjnej dla pracowników zawierający szczegółowe informacje przekazywane pracownikom, dotyczące podanych przez nich danych osobowych uzyskanych w ramach procesu zatrudnienia/zawarcia umowy o pracę/ umowy zlecenia/ umowy o staż oraz w toku jej wykonywania. W dniu [...] marca 2019 roku pracownik Spółki wystosował komunikat skierowany do pracowników Spółki oraz pracowników T. S.A. z siedzibą w K., tj. podmiotu będącego większościowym akcjonariuszem Spółki, zawierający następującą treść cyt.: "[...]" Prezes UODO rozpatrując sprawę wskazał, że zakres danych osobowych A. S., udostępnionych w kwestionowany przez nią sposób, mieści się w granicach tzw. "danych zwykłych". Przesłanki legalizujące proces przetwarzania takich danych zawarte są w art. 6 ust. 1 RODO. Katalog przesłanek zawartych w tym przepisie ma charakter zamknięty, zaś każda z nich jest przesłanką autonomiczną i niezależną. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Organ zaznaczył, że pracodawca nie dysponował zgodą A. S. na przetwarzanie jej danych osobowych w postaci imienia, nazwiska oraz poprzez wskazanie, że została zwolniona w ramach realizowania przez Spółkę wytycznych KNF oraz wdrożenia nowych, szczegółowych zasad audytu wewnętrznego, co nastąpiło w drodze komunikatu wysłanego drogą mailową do pracowników Spółki oraz pracowników T. S.A. z siedzibą w K. w dniu [...] marca 2019 roku. Organ wskazał, że należy rozważyć, czy Spółka dysponowała w tym zakresie inną z przesłanek z art. 6 ust. 1 RODO, w szczególności czy realizowała w ten sposób swój prawnie uzasadniony cel (art. 6 lit. f RODO). Dodatkowo organ wskazał na konieczność rozważenia, czy proces przetwarzania danych osobowych był zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi ograniczenie celu przetwarzania (lit. b), jak również minimalizacja przetwarzanych danych (lit. c). Wspomniane zasady wymagają, by proces przetwarzania był ukierunkowany na konkretny, wyraźny i prawnie uzasadniony cel, a także by zakres danych osobowych przetwarzanych na rzecz określonego celu był ograniczony do jak najmniejszego. Organ odwołując się do ustaleń stanu faktycznego, w tym ustalenia, że komunikat obejmował informację o tym że A. S. została zwolniona z zajmowanego stanowiska, zaś decyzje kadrowe wynikały z realizacji wytycznych KNF oraz wdrożenia nowych, szczegółowych zasad audytu wewnętrznego, wskazał na art. 6 ust. 1 lit. f oraz motywu 47 RODO. Prezes UODO podał, że prawnie uzasadnione interesy administratora mogą stanowić podstawę do przetwarzania tylko w sytuacji, w której mają one nadrzędny charakter w stosunku do interesów lub podstawowych praw i wolności osoby, której dane dotyczą. Oczekiwania co do ochrony i nadrzędności interesów i praw osób, których dane dotyczą powinny być rozsądne. W ocenie Prezesa UODO kwestionowane przez A. S. działanie Spółki można potraktować jedynie częściowo jako prawnie usprawiedliwiony interes administratora danych, w rozumieniu art. 6 ust. 1 lit. f RODO. Organ stwierdził, że konieczne dla ochrony uzasadnionego interesu Spółki było poinformowanie wszystkich pracowników o fakcie zakończenia współpracy z A. S. Organ podkreślił, że zajmowała ona stanowisko o znaczeniu kluczowym dla Spółki, gdyż miała bezpośredni wpływ na jej wynik finansowy. Pełnienie funkcji dyrektora wiąże się ponadto również z podległością służbową osób zajmujących niższe stanowiska. Spółka jest podmiotem podlegającym szczególnym regulacjom, nadzorowanym przez Komisję Nadzoru Finansowego. Zdaniem organu mogło dojść do sytuacji, w której pracownicy Spółki lub pracownicy T. S.A. z siedzibą w K., niepoinformowani o zmianie kadrowej dotyczącej stanowiska zajmowanego przez A. S., kontaktowaliby się z nią w istotnych dla tych podmiotów sprawach, przekazując jej jednocześnie ważne informacje, bądź dopuszczając ją do informacji, do których od dnia rozwiązania stosunku pracy, nie powinna mieć dostępu. Zdaniem Prezesa UODO udostępnienie danych osobowych A. S. w zakresie imienia, nazwiska oraz faktu zakończenia pracy w Spółce, w komunikacie przesyłanym drogą mailową w dnia [...] marca 2019 roku, było więc zasadne. Organ stwierdził, że Spółka legitymowała się przesłanką z art. 6 ust. 1 lit. f RODO, a tym samym przetwarzanie w ten sposób jej danych osobowych uznał za zgodne z obowiązującymi przepisami o ochronie danych osobowych. Prezes UODO podzielił częściowo również stanowisko A. S. zgodnie z którym sformułowanie użyte przez Spółkę w przedmiotowym komunikacie sugerowało, iż Spółka zakończyła współpracę z przyczyn zawinionych przez A. S. Na powyższe wskazuje określenie, iż "została zwolniona", co nastąpiło w związku z realizacją wytycznych KNF oraz wdrożenia nowych szczegółowych zasad audytu. W ocenie organu stwierdzenie takie sugeruje, że Spółka rozwiązała z A. S. stosunek pracy w związku z naruszeniem przez nią obowiązków i stawia ją w złym świetle. Tym bardziej, że do zwolnienia miało dojść w konkretnie wskazanych okolicznościach, tj. w związku z przeprowadzoną kontrolą KNF, która zaleciła Spółce rozwiązanie z wymienioną stosunku pracy. Organ uznał podane w tym zakresie informacje za nadmiarowe, wykraczające poza zasadę ograniczenia celu (art. 5 ust. 1 lit. b RODO) oraz zasadę minimalizacji danych (art. 5 ust. 1 lit. c RODO). Organ podkreślił, że o ile o fakcie dokonania zmian kadrowych na ważnych stanowiskach powinni dowiedzieć się wszyscy pracownicy Spółki jak również pracownicy T. S.A. z siedzibą w K. (Spółka powiadamiając o tym realizowała swój prawnie uzasadniony cel), to wszelkie pozostałe informacje podane w komunikacie z dnia [...] marca 2019 roku, skierowanym do tak szerokiego kręgu odbiorców, były całkowicie zbędne dla realizacji tego celu. Spółka nie legitymowała się zatem w tym zakresie którąkolwiek z przesłanek określonych w art. 6 ust. 1 RODO. Prezes UODO powołując się na art. 58 ust. 2 lit.b RODO stwierdził, że w realiach niniejszej sprawy właściwe jest zastosowanie wobec Spółki upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 5 ust. 1 lit. b i c oraz art. 6 ust. 1 RODO, gdyż przetwarzanie danych osobowych A. S., polegające na udostępnieniu w dniu [...] marca 2019 roku jej danych osobowych dotyczących przyczyn rozwiązania umowy o pracę poprzez skierowanie przez Radę Nadzorczą Spółki wewnętrznego komunikatu do pracowników Spółki oraz do T. S.A. z siedzibą w K., w nie miało podstawy prawnej. Odnosząc się do kwestii nakazania Spółce wypełnienia wobec A. S. obowiązku informacyjnego, o którym mowa w art. 13 w zw. z art. 12 RODO organ podniósł, że przepisy te dotyczą obowiązku informacyjnego w sytuacji, w której dane osobowe osoby, której dotyczą, zbierane są od tej osoby. Artykuł 13 RODO obliguje administratora do podania szczegółowych informacji podczas pozyskiwania tych danych. Artykuł 12 RODO obliguje zaś administratora do podejmowania odpowiednich środków celem przekazania informacji, o których mowa w ww. art. 13 w sposób przejrzysty. Organ zwrócił uwagę, że Spółka przedłożyła wyjaśnienia, z których wynika, że wypełniła powyższe obowiązki wobec A. S. Do pisemnych wyjaśnień dołączono dokument w postaci "Klauzuli informacyjnej dla pracowników". Organ stwierdził, że treść przedmiotowej klauzuli zawiera wszystkie niezbędne elementy, o których mowa w art. 13 RODO. W związku z tym wniosek w zakresie spełnienia tego obowiązku przez Spółkę organ uznał za niezasadny. Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2019 r. nr [...] w części dotyczącej jej punktu 1, tj. udzielenia upomnienia, stała się przedmiotem skargi L. S.A. z siedzibą w W. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżący wnosząc o uchylenie punktu 1 zaskarżonej decyzji i umorzenie w tej części postępowania administracyjnego oraz zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych, zarzucił: 1. naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.: - art. 80 k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. w zw. z art. 107 § 3 k.p.a. poprzez dokonanie dowolnej oceny materiału dowodowego zgromadzonego w sprawie oraz wyprowadzenie z niego błędnych wniosków przez Prezesa UODO, a zwłaszcza wyprowadzenie błędnych wniosków z dokumentu w postaci wewnętrznego komunikatu skierowanego w dniu [...] marca 2019 r. przez Radę Nadzorczą Spółki do pracowników Spółki oraz T. S.A. z siedzibą w K. i uznanie, że treść przedmiotowego komunikatu wskazywała przyczyny rozwiązania umowy o pracę z A. S. w rozumieniu przepisów kodeksu pracy; 2. naruszenie przepisów prawa materialnego mające wpływ na wynik sprawy, tj.: - art. 4 pkt 1 RODO poprzez jego zastosowanie i uznanie, że sformułowania zawarte w wewnętrznym komunikacie Rady Nadzorczej Spółki takie jak: "została zwolniona" oraz "decyzje kadrowe wynikają z realizacji wytycznych KNF oraz wdrożonych nowych, szczegółowych zasad audytu wewnętrznego. Jesteśmy przekonani, że podjęte działania będą służyć większej transparentności TFI i ochronie środków powierzonych przez naszych klientów" stanowią dane osobowe A. S. w rozumieniu art. 4 pkt 1 RODO, tj. wskazują przyczynę zwolnienia jej z pracy, przez co Prezes UODO miał być rzekomo uprawniony do rozstrzygania, czy doszło do naruszenia przepisów o ochronie danych osobowych na gruncie przepisów ogólnego rozporządzenia o ochronie danych w stosunku do udostępnienia tego rodzaju informacji, w tym nałożenia na Spółkę z tego tytułu kary określonej w art. 58 ust. 2 lit. b RODO, w sytuacji, w której wskazane wyżej sformułowania nie wskazują przyczyny rozwiązania umowy o pracę z A. S. i nie stanowią jej danych osobowych, - art. 5 ust. 1 lit. b RODO, poprzez jego zastosowanie i uznanie, że Spółka naruszyła zasadę ograniczenia celu w przetwarzaniu danych osobowych A. S., co miało polegać na udostępnieniu wewnętrznego komunikatu skierowanego w dniu [...] marca 2019 r. przez Radę Nadzorczą Spółki do pracowników Spółki oraz T. S. A. Z siedzibą w K., który jak błędnie wywodzi Prezes UODO, miał rzekomo zawierać informację o przyczynie rozwiązania stosunku pracy z A. S., w sytuacji, w której wewnętrzny komunikat Rady Nadzorczej Spółki w rzeczywistości nie zawierał informacji o przyczynach rozwiązania umowy o pracę z nią, które można by było uznać za jej dane osobowe, a w konsekwencji do takich informacji, nie ma zastosowania zasada ograniczenia celu, o której mowa w art. 5 ust. 1 lit. b RODO, - art. 5 ust. 1 lit. c RODO, poprzez jego zastosowanie i uznanie, że Spółka naruszyła zasadę minimalizacji danych w przetwarzaniu danych osobowych A. S., co miało polegać na udostępnieniu wewnętrznego komunikatu skierowanego w dniu [...] marca 2019 r. przez Radę Nadzorczą Spółki do pracowników Spółki oraz T. S.A. z siedzibą w K., który jak błędnie wywodzi Prezes UODO, miał rzekomo zawierać informację o przyczynie rozwiązania z nią stosunku pracy, w sytuacji, w której wewnętrzny komunikat Rady Nadzorczej Spółki, nie zawierał informacji o przyczynach rozwiązania umowy o pracę, które można uznać za dane osobowe A. S., a w konsekwencji do takich informacji, nie ma zastosowania zasada minimalizacji danych, o której mowa w art. 5 ust. 1 lit. c RODO, - art. 58 ust. 2 lit. b RODO poprzez jego zastosowanie i nałożenie kary upomnienia na Spółkę za rzekome jego naruszenie, w sytuacji, w której udostępnione przez Spółkę informacje nie stanowią danych osobowych w rozumieniu RODO, a przez to Prezes UODO nie posiada kognicji do skorzystania z uprawnień naprawczych, o których mowa w art. 58 ust. 2 RODO, w sytuacji udostępniania informacji niestanowiących danych osobowych. W obszernym uzasadnieniu skargi Spółka przedstawił przebieg postępowania przed organem i rozszerzył argumentację podniesionych zarzutów. Wskazała m. in., że Prezes UODO błędnie uznał, że w wewnętrznym komunikacie Rady Nadzorczej Spółki udostępniono informację odnośnie przyczyn rozwiązania umowy o pracę z A. S. Skarżący odwołał się do art. 30 § 4 k.p., wskazał jak w orzecznictwie i doktrynie rozumie się na gruncie powołanego przepisu sformułowanie przyczyny rozwiązania umowy o pracę. Podniósł, że za przyczynę rozwiązania umowy o pracę nie może być potraktowana zawarta w komunikacie mailowym informacja dotycząca zbiorczo wszystkich departamentów o tym, że "Decyzje kadrowe wynikają z realizacji wytycznych KNF oraz wdrożenia nowych, szczegółowych zasad audytu wewnętrznego. Jesteśmy przekonani, że podjęte działania będą służyć większej transparentności TFI i ochronie środków powierzonych przez naszych klientów". Skarżący podkreślił, że KNF nie ma żadnych uprawnień do wskazywania jakimkolwiek podmiotom, czy powinny rozwiązać umowy o pracę z konkretnymi pracownikami, co samo w sobie czyni absurdalnym zarzut, iż tego rodzaju zdanie zawarte w komunikacie Rady Nadzorczej stanowiło wskazanie przyczyny rozwiązania umowy o pracę z pracownikiem. Spółka podniosła, że w rzeczywistości informacje podane w komunikacie nieodnoszące się do przyczyn rozwiązania umowy o pracę, ale stanowiące ogólną informację o realizowaniu przez Spółkę wytycznych KNF, nie stanowią danych osobowych A. S., a tym samym Prezes UODO nie posiada kognicji do oceny tego rodzaju informacji przez pryzmat naruszenia przepisów o ochronie danych osobowych, w tym RODO, a tym bardziej nakładania jakichkolwiek kar z tego tytułu. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie, powołując się na ustalenia dokonane w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Skarga nie podlegała uwzględnieniu. Zarzuty skargi nie są zasadne. Zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych nie narusza ani prawa materialnego ani prawa procesowego. Decyzja ta wydana została po należytym przeprowadzeniu postępowania administracyjnego, w którym w sposób wyczerpujący ustalono stan faktyczny sprawy (art. 7 k.p.a.). Organ rozpatrzył cały materiał dowodowy (art. 77 § 1 k.p.a.) i dokonał jego trafnej oceny (art. 80 k.p.a.). Na podstawie całości zgromadzonego materiału dowodowego Sąd stwierdził, że ocena ta nie była dowolna. Organ wydając zaskarżoną decyzję nie naruszył zasady praworządności (art. 6 k.p.a.), zastosował właściwe przepisy prawa. Nadto, uzasadnienie decyzji spełnia wszystkie wymogi art. 107 § 3 k.p.a. i nie pozostawia wątpliwości, co do przyczyn, z powodu których Prezes UODO udzielił Spółce upomnienia. Organ ochrony danych osobowych nie przekroczył swoich kompetencji i prawidłowo zastosował art. 58 ust. 2 lit.b RODO w związku z trafnie stwierdzonym naruszeniem RODO poprzez zakwestionowaną w decyzji operację przetwarzania danych osobowych. Odnosząc się do zasadniczego zarzutu skargi, że w sprawie nie mamy do czynienia z przetwarzaniem danych osobowych, zauważyć należy, że komunikat przesłany [...] marca 2019 r. do pracowników Spółki i do T. S.A. z siedzibą w K. bez wątpienia dotyczył A. S. Wskazania wymaga, jak na gruncie RODO rozumieć należy pojęcie dane osobowe. Zgodnie z art. 4 pkt 1 RODO, dane osobowe oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Jednocześnie wskazania wymaga, że przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesyłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie (art. 4 pkt 2 RODO). W ocenie Sądu nie ma żadnych wątpliwości, że komunikat wystosowany w dniu [...] marca 2019 r. do pracowników Spółki i do T. S.A. stanowił przetwarzanie danych osobowych A. S. Użyte w tym komunikacie sformułowanie, że " (...) Decyzje kadrowe wynikają z wytycznych KNF oraz wdrożonych nowych, szczegółowych zasad audytu wewnętrznego.(...)" w kontekście podanej w tym komunikacie informacji, że zwolniona została A. S. bezspornie stanowią o przetwarzaniu danych osobowych wymienionej. Także dalsza treść komunikatu "Jesteśmy przekonani, że podjęte działania będą służyć większej transparentności TFI i ochronie środków powierzonych przez naszych klientów" w nawiązaniu do wymienionej wyżej informacji o zwolnieniu A. S. stanowi o przetwarzaniu jej danych osobowych. Warto wskazać, że na gruncie uchylonej dyrektywy 95/46/WE, w orzecznictwie przyjmowano, że użycie w zawartej w art. 2 lit.a tej dyrektywy definicji danych osobowych wyraża wszelkie informacje, odzwierciedla bowiem przyświecający unijnemu prawodawcy zamiar przypisania temu pojęciu szerokiego zakresu, nie ograniczając go do informacji wrażliwych czy też prywatnych, lecz rozszerzając go potencjalnie o informacje wszelkiego rodzaju, zarówno obiektywne, jak i subiektywne, w postaci opinii czy oceny, a jedynym warunkiem, które muszą spełniać, jest to, aby dotyczyły danej osoby. Warunek ten jest zaś spełniony, gdy ze względu na swą treść, cel czy skutek dana informacja jest powiązana z daną osobą (v. wyrok Trybunału Sprawiedliwości z dnia 20 grudnia 2017 r. C-434/16, www.eur-lex.europa; Lex nr 2411272). Pogląd ten pozostaje aktualny na gruncie RODO. Okoliczność zakwalifikowania treści komunikatu przez Prezesa UODO w decyzji jako przyczyny rozwiązania umowy o pracę i użycie takiego zwrotu w punkcie 1 decyzji nie wpływa na prawidłowość rozstrzygnięcia organu. Nadto, organ ochrony danych osobowych nie odwoływał się w tym zakresie do rozumienia przyczyn rozwiązania umowy o pracę na gruncie k.p. Bezsporne jest zaś, że w komunikacie, o którym mowa w decyzji Spółka wskazała z czego wynikają decyzje kadrowe, o których mowa, odnosząc je do A. S. Sąd podziela ustalenie Prezesa UODO, że dla wypełnienia prawnie usprawiedliwionego celu administratora, o którym mowa w art. 6 ust. 1 lit.f RODO wystarczające było udostępnienie imienia, nazwiska i faktu zakończenia pracy w Spółce. Natomiast pozostałe wskazane w komunikacie informacje dotyczące podjętych wobec wymienionej działań kadrowych, w tym wskazanie z czego one wynikają i czemu służyć będą te działania, nie były niezbędne dla wypełnienia uzasadnionych interesów realizowanych przez administratora danych, a nadto nie przeważają nad ochroną podstawowych praw i wolności osoby, której dane dotyczą. Sąd nie podziela zatem argumentacji zawartej w skardze. Bezsporne jest, że Spółka nie dysponowała zgodą zwalnianego pracownika na takie przetwarzanie jego danych osobowych, które jednoznacznie wykraczało poza zasadę ograniczenia celu (art. 5 ust. 1 lit.b RODO) i minimalizacji danych (art. 5 ust. 1 lit.c RODO). Przepis art. 5 ust. 1 lit.b zdanie pierwsze RODO wprost stanowi, że dane osobowe powinny być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami. Ocena materiału dowodowego dokonana przez organ nie była w tej sprawie dowolna. Prawidłowe ustalenie naruszenia przez Spółkę wskazanych już wyżej przepisów RODO poprzez częściowo nieuprawnione ich przetwarzanie, dawało Prezesowi UODO podstawę do zastosowania wobec Spółki uprawnienia naprawczego w postaci upomnienia. Organ zastosował właściwy środek naprawczy i nie naruszył art. 58 ust. 2 lit.b RODO. W stanie faktycznym tej sprawy, nie ma możliwości przywrócenia stanu sprzed naruszenia. Fakt zaistniałego naruszenia i jego znaczenie (waga) dawały Prezesowi UODO podstawę do zastosowania wskazanego środka. Z tych względów Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r., poz. 2325 ze zm.) w zw. z art. 15zzs4 ust. 3 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem C0V1D-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. poz. 374 ze zm.), orzekł jak w wyroku.