II SA/Wa 1883/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania, Sędzia WSA Andrzej Wieczorek (spr.), Sędzia WSA Sławomir Antoniuk, Protokolant specjalista Ewa Kielak po rozpoznaniu na rozprawie w dniu 11 stycznia 2022 r. sprawy ze skargi Z. R. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2021 r., nr [...] w przedmiocie umorzenia postępowania 1. uchyla zaskarżoną decyzję w zakresie pkt 1; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz Z. R. kwotę 200 (słownie: dwieście) złotych tytułem zwrotu kosztów postępowania.

Prezes Urzędu Ochrony Danych Osobowych (zwany dalej Prezesem UODO/Organem) decyzją z dnia [...] marca 2021 r. nr [...] (zwaną dalej Decyzją) po rozpatrzeniu sprawy Pani Z. R. (zwanej dalej Skarżącą), umorzył postępowanie w zakresie dotyczącym przetwarzania przez [...] w [...] (zwaną dalej Uczestnikiem/Spółką), danych biometrycznych Skarżącej oraz udzielił Spółce upomnienia za przetwarzanie danych osobowych Skarżącej poprzez prowadzenie monitoringu aktywności wykorzystywania komputerów służbowych/Internetu. Do Urzędu Ochrony Danych Osobowych wpłynęła skarga Skarżącej z dnia [...] sierpnia 2020 r. Skarżąca wskazywała na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Uczestnika. Nieprawidłowości te miały polegać, na przetwarzaniu jej danych osobowych zgromadzonych w toku prowadzonego przez Spółkę monitoringu aktywności wykorzystywania komputerów służbowych/Internetu bez spełnienia obowiązków informacyjnych oraz jej danych biometrycznych w celu ewidencji czasu pracy. Organ ustalił, że Skarżąca była zatrudniona w Spółce od [...] czerwca 2014 r. do [...] kwietnia 2020 r. Rozwiązanie umowy o pracę ze Skarżącą nastąpiło [...] kwietnia 2020 r. przez Spółkę poprzez wręczenie Skarżącej wypowiedzenia umowy o pracę bez okresu wypowiedzenia w trybie art. 52 § 1 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 2020 r. poz. 1320, zwanej dalej Kodeksem pracy), ze wskazaniem jako powód: niepodpisanie obowiązującego u Pracodawcy Regulaminu Pracy – naruszenie art. 100 § 1 Kodeksu pracy oraz odwiedzanie stron internetowych w czasie godzin pracy na komputerze służbowym – naruszenie art. 100 § 1 oraz art. 100 § 2 pkt 4 Kodeksu pracy. W tym zakresie Organ uznał, że prowadzenie monitoringu aktywności wykorzystywania komputerów służbowych/Internetu bez spełnienia warunków wynikających z art. 222 § 6-10 i art. 223 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy, narusza powołane w Decyzji przepisy i udzielił Uczestnikowi upomnienia. Decyzja w tej części uprawomocniła się. W części dotyczącej przetwarzania przez Uczestnika danych biometrycznych Skarżącej Organ umorzył postępowanie. W tym zakresie Organ wskazał, że Spółka pismami z dnia [...] września 2020 r. (k. 15 akt adm.), z dnia [...] listopada 2020 r. (k. 36 akt adm.) oraz [...] grudnia 2020 r. (k. 41 akt adm.) oświadczyła, że nie przetwarzała i nie przetwarza danych osobowych Skarżącej w postaci jej danych biometrycznych. Wyjaśniła, że w Spółce nie został nigdy wprowadzony czytnik linii papilarnych, a tożsamość pracownika weryfikowana jest poprzez przypisanie do pracownika karty. Spółka wskazała, że stosowany czytnik w czasie rzeczywistym zapisywał godzinę wejścia i wyjścia pracownika (Skarżącej) i tylko te dane – godziny wejścia i wyjścia – były przechowywane na potrzeby ewidencji czasu pracy (dowód: wyjaśnienia Spółki z [...] września 2020 r. wraz z załącznikami, wyjaśnienia Spółki z [...] grudnia 2020 r.). Spółka wskazała, że wykorzystuje urządzenie typu RCP jako czytnik wejścia do pracy. Weryfikacja tożsamości pracownika następowała poprzez ustalony w pamięci algorytm, który weryfikował wchodzącą do pracy osobę, poprzez zapisanie godziny wejścia do pracy i jego wyjścia w pamięci komputera w formie tabeli exel. Spółka wskazała, że Skarżąca nigdy nie zwracała się do Spółki z wnioskiem o usunięcie jej danych osobowych, w szczególności danych biometrycznych oraz jej danych osobowych zgromadzonych w toku prowadzonego przez Spółkę monitoringu aktywności wykorzystywania komputerów służbowych. Jednocześnie oświadczyła, iż jedyne dane osobowe Skarżącej jakie posiada, to jej akta osobowe, założone i prowadzone w związku z zawartą umową o pracę i w zakresie wynikającym z przepisów prawa (dowód: wyjaśnienia Spółki z [...] września 2020 r. wraz z załącznikami). Jak wskazał Organ, Spółka oświadczyła, że zgodnie z wprowadzonym od 1 sierpnia 2018 r. Regulaminem Pracy pracownicy mogli potwierdzać swoją obecność w pracy za pomocą odpowiedniego czytnika (§ 11 Regulaminu Pracy). Prezes UODO podniósł, że postępowanie administracyjne prowadzone w oparciu o przepisy Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, zwanego dalej RODO), służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej przywracającej stan zgodny z prawem na podstawie art. 58 ust. 2 RODO. Wskazał, że ocena dokonywana przez Prezesa Urzędu w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu środka naprawczego wskazanego w art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych. W jego ocenie analiza materiału dowodowego nie wykazała w sposób jednoznaczny i bezsporny, aby Spółka przetwarzała dane biometryczne Skarżącej w celu ewidencji czasu pracy. Podniósł, że w toku postępowania Spółka oświadczyła, że wbrew twierdzeniom Skarżącej w Spółce nie został nigdy wprowadzony czytnik linii papilarnych, a tożsamość pracownika weryfikowana jest poprzez przypisanie do pracownika karty. Spółka wskazała, że stosowany czytnik w czasie rzeczywistym zapisywał godzinę wejścia i wyjścia pracownika (Skarżącej) i tylko te dane - godziny wejścia i wyjścia - były przechowywane na potrzeby ewidencji czasu pracy (dowód: wyjaśnienia Spółki z [...] września 2020 r. wraz z załącznikami, wyjaśnienia Spółki z [...] grudnia 2020 r.). Uznał, że Skarżąca oparła skargę na własnym przekonaniu i nie przedstawiła niebudzących wątpliwości dowodów na potwierdzenie stawianych zarzutów. W ocenie Prezesa UODO, w toku postępowania administracyjnego ustalono, że nie doszło do kwestionowanego przez Skarżącą przetwarzania przez Spółkę jej danych osobowych biometrycznych, i wobec tego na podstawie art. 105 § 1 Kpa., umorzono postępowanie w zakresie dotyczącym przetwarzania przez Spółkę danych biometrycznych Skarżącej w celu ewidencji czasu pracy zgodnie z punktem 1 decyzji. Skargę na powyższą decyzję w części dotyczącej pkt 1. decyzji, tj. umarzającej postępowanie w zakresie dotyczącym przetwarzania przez Spółkę danych biometrycznych Skarżącej w celu ewidencji czasu pracy, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie (zwany dalej WSA w Warszawie) Skarżąca. W skardze zarzuciła naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy. Wskazała, że naruszenie przepisów polegało na tym, że "...wbrew regułom wynikającym z art. 7, 8, 77 § 1 oraz art. 80 ustawy z 14.6.1960 r. - Kodeks postępowania administracyjnego (t.j. Dz.U. z 2020 r. poz. 256, dalej jako "KPA")...", organ zaniechał zebrania, rozpatrzenia oraz dokonania oceny materiału dowodowego. Podniosła, że Organ ograniczył się jedynie do zebrania i analizy oświadczeń składanych przez Uczestnika. W związku z powyższym wnosiła o uchylenie Decyzji w zaskarżonej części oraz zasądzenie zwrotu kosztów postępowania. W odpowiedzi na skargę Organ podtrzymał stanowisko. W dniu [...] stycznia 2022 r. WSA w Warszawie wydał wyrok w tej sprawie. W wyroku tym uchylono decyzję organu w zaskarżonej części, tj. umarzającej postępowanie w zakresie dotyczącym przetwarzania przez Spółkę danych biometrycznych Skarżącej w celu ewidencji czasu pracy. W dniu [...] stycznia 2022 r. do WSA w Warszawie wpłynęło pismo Uczestnika, informujące, że Skarżąca zmarła dnia [...] września 2021 r., o czym poinformował Spółkę mąż Skarżącej. Wobec tego Uczestnik postępowania wnosi o umorzenie postępowania. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga zasługuje na uwzględnienie. Przedmiotem skargi jest decyzja Organu z dnia [...] marca 2021 r. w części umarzającej postępowanie w zakresie przetwarzania przez Uczestnika, danych biometrycznych Skarżącej w celu ewidencji czasu pracy. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2021 r., poz. 137), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r., poz. 2325 ze zm.; dalej p.p.s.a.). Rozpoznając sprawę WSA w Warszawie podziela stanowisko Skarżącej, że Organ zaniechał zebrania, rozpatrzenia oraz dokonania oceny materiału dowodowego. Należy stwierdzić, że Organ ograniczył się jedynie do zebrania i analizy oświadczeń składanych przez Uczestnika. Organ, analizując sprawę pozyskał stanowisko Spółki, podnoszącej, że wbrew twierdzeniom Skarżącej w Spółce nie został nigdy wprowadzony czytnik linii papilarnych, a tożsamość pracownika weryfikowana jest poprzez przypisanie do pracownika karty. Spółka wskazała, że stosowany czytnik w czasie rzeczywistym zapisywał godzinę wejścia i wyjścia pracownika (Skarżącej) i tylko te dane – godziny wejścia i wyjścia – były przechowywane na potrzeby ewidencji czasu pracy (dowód: wyjaśnienia Spółki z dnia [...] września 2020 r. wraz z załącznikami (k. 15 akt adm.), z dnia [...] listopada 2020 r. (k. 36 akt adm.) oraz [...] grudnia 2020 r. (k. 41 akt adm.). Należy zauważyć, że w wyjaśnieniach Spółki z dnia [...] września 2020 r. oraz z dnia [...] grudnia 2020 r. wskazano, że Spółka w celu rejestracji czasu pracy wprowadziła zapis w regulaminie, z którego wynika, że stosowany jest odpowiedni sposób rozpoznawania osoby wchodzącej. Nadto wskazano, że w celu zabezpieczenia Spółki korzysta się z systemu RCP a system ten na podstawie algorytmu rozpoznaje osobę. Sąd wyjaśnia, że system RCP umożliwia rejestrowanie czasu pracy za pomocą karty zbliżeniowej, jednakże nowoczesny rejestrator umożliwia weryfikację również za pomocą identyfikacji twarzy, gałki ocznej, głosu bądź odcisku palca. W piśmie z [...] listopada 2020 r. Spółka wskazała, iż wykorzystuje "urządzenie typu RCP jako czytnik wejść do pracy" nie precyzując, która z metod inicjuje rejestrowanie zdarzenia (karta zbliżeniowa, identyfikacja twarzy, odcisk palca, itp.), które następnie przy użyciu odpowiedniego algorytmu identyfikuje osobę wchodzącą lub wychodzącą z budynku. Wydaje się, że użycie karty zbliżeniowej jako elementu identyfikacji pracownika nie wymaga stosowania zaawansowanego oprogramowania wykorzystującego algorytmy do identyfikacji. Nasuwających się wątpliwości, w świetle zarzutów stawianych przez Skarżącą, Organ nie wyjaśnił. Przede wszystkim nie ustalił jaki czytnik, w myśl § 11 regulaminu pracy w [...], powoduje elektroniczną rejestrację czasu pracy oraz jak zaawansowany system RCP jest stosowany w Spółce. Organ przyjął te wyjaśnienia jako decydujące o konieczności wydania decyzji o umorzeniu postępowania w tej części. W ocenie Sądu, zaskarżona Decyzja, została wydana z naruszeniem art. 77 § 1, art. 80 Kpa., bowiem Organ nie dokonał całościowej oceny i analizy sprawy. Nadto należy uznać, że Organ nie uzasadnił decyzji w sposób spełniający wymagania art. 107 § 3 Kpa.. W tym kontekście Organ rozpatrując ponownie sprawę powinien; 1. Dokonać ustaleń w zakresie zaistnienia zdarzenia opisanego w piśmie Uczestnika z dnia [...] stycznia 2022 r., tj. zgonu Skarżącej. W tym celu Organ pozyska odpowiedni dokument potwierdzający okoliczności opisane w tym piśmie. W zależności od informacji zawartej w tym dokumencie podejmie decyzję co do dalszego procedowania w sprawie. W przypadku konieczności dalszego prowadzenia postępowania: 2. Dokona ustaleń co do zakresu możliwości (w tej konkretnej sprawie) działania systemu RCP. W tym celu pozyska od Spółki instrukcję działania tego systemu oraz dokumenty potwierdzające zakres działania systemu (np. protokoły z instalacji wskazujące na zakres działania). 3. Nadto ustali działanie "algorytmu", w który wyposażony jest system i ustali co ten "algorytm" rozpoznaje (tj czy rozpoznaje kartę, czy też osobę, a jeżeli tak to w jaki sposób identyfikowana jest osoba). 4. Pozyska informację w jaki sposób dokonywana jest weryfikacja pracownika, tj. czy tak jak podaje Uczestnik poprzez zbliżenie karty, czy też w inny sposób oraz jakie dane są zapisywane w formacie exel. 5. Ustali, czy karta pracownika identyfikuje samą kartę (pośrednio także korzystającego z niej pracownika) umożliwiając wejście na teren Spółki każdemu posiadaczowi karty czy też działa w inny sposób. Po dokonaniu powyższych ustaleń Organ wyda odpowiednie rozstrzygnięcie. Ponieważ naruszenie wymienionych przepisów postępowania miało istotny wpływ na wynik sprawy, Wojewódzki Sąd Administracyjny, na podstawie art. 145 § 1 pkt 1 lit. c) p.p.s.a., orzekł jak w sentencji. O kosztach postępowania sądowego orzeczono na podstawie art. 200 p.p.s.a.. ----------------------- 7