Wyrok Naczelnego Sądu Administracyjnegoz 8 lipca 2026 r., sygn. akt III OSK 2834/23

Uzasadnienie

Wojewódzki Sąd Administracyjny w Warszawie (dalej "WSA w Warszawie", "Sąd I instancji") wyrokiem z dnia 17 maja 2023 r., sygn. akt II SA/Wa 1338/22, oddalił skargę Gminnego Ośrodka Pomocy Społecznej w [...] (dalej "skarżący") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej "Prezes UODO", "organ") z [...] maja 2022 r., nr [...], w przedmiocie przetwarzania danych osobowych.

Powyższy wyrok, od którego została złożona skarga kasacyjna, zapadł w następujących okolicznościach faktycznych i prawnych.

Do Urzędu Ochrony Danych Osobowych wpłynęła skarga I.F. (dalej "uczestniczka postępowania") na nieprawidłowości w procesie przetwarzania jej danych osobowych przez skarżącego polegające na udostępnieniu jej danych osobowych w zakresie imienia, nazwiska, adresu zamieszkania i przynależności związkowej na rzecz A.B., K.K., K.W., K.K., M.U., B.R., M.W. oraz I.S. W treści skargi uczestniczka postępowania poinformowała, że Kierownik skarżącego świadomie naruszył poufność jej danych osobowych dotyczących przynależności związkowej w celu oczernienia jej przed innymi współpracownikami i wykluczenia z grona pracowniczego.

Prezes UODO decyzją z [...] maja 2022 r., nr [...] – wydaną na podstawie art. 104 § 1 i art. 105 § 1 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, dalej "u.o.d.o.") oraz art. 5 ust. 1, art. 9 ust. 1 i art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z dnia 4 maja 2016 r. s. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r. s. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r. s. 35, dalej "RODO") - 1) udzielił skarżącemu upomnienia za naruszenie art. 9 ust. 1 w związku z art. 5 ust. 1 lit. a RODO polegające na udostępnieniu danych osobowych uczestniczki postępowania w zakresie informacji o przynależności związkowej na rzecz A.B., K.K., K.W., K.K., M.U., B.R., M.W. oraz I.S.;

2) umorzył postępowanie w pozostałym zakresie. W uzasadnieniu rozstrzygnięcia organ wskazał, że skarżący jest pracodawcą uczestniczki postępowania w związku z zawartą umową o pracę w niepełnym wymiarze czasu pracy. Pismem z [...] września 2021 r., nr [...], Polska Federacja Związkowa [...] (dalej "Federacja") poinformowała skarżącego, że uczestniczka postępowania (członkini Federacji oraz pracownica skarżącego) zgodnie z uchwałą z [...] września 2021 r. została objęta ochroną, o której mowa w art. 32 ust. 1 i 2 ustawy z dnia 23 maja 1991 r. o związkach zawodowych (Dz. U. z 2022 r., poz. 854 ze zm.) na okres od [...] września 2021 r. do [...] lutego 2023 r. Następnie pismem z [...] września 2021 r. pracownice skarżącego, w osobach A.B., K.K., K.W., K.K., M.U., B.R., M.W. oraz I.S., skierowały do Federacji sprzeciw w przedmiocie braku zgody na występowanie w ich imieniu przez uczestniczkę postępowania wobec pracodawcy w zakresie prawa pracy. Wskazały, że informację o reprezentowaniu Federacji wobec pracodawcy w zakresie prawa pracy przez uczestniczkę postępowania pozyskały od Kierownika skarżącego. Mając na uwadze treść ww. pisma Prezes UODO uznał, że Kierownik skarżącego udostępnił informację o przynależności związkowej uczestniczki postępowania autorkom pisma. Dokonując tego ustalenia organ wziął również pod uwagę, że Państwowa Inspekcja Pracy (Okręgowy Inspektorat Pracy w [...], Oddział w [...]), na wniosek Federacji, przeprowadziła w siedzibie skarżącego czynności kontrolne, w ramach których poddano ocenie nieprawidłowości w zakresie przestrzegania przepisów prawa pracy wobec uczestniczki postępowania oraz przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 221 § 1 i 3 Kodeksu pracy, tj. w zakresie przynależności związkowej pracownika, a w szczególności dopuszczenia innych osób niż pracodawca do przetwarzania tych danych i ich rozpowszechniania bez zachowania w tajemnicy. O zakończeniu czynności kontrolnych i dokonanych ustaleniach Państwowa Inspekcja Pracy poinformowała wnioskodawcę pismem z [...] stycznia 2022 r., nr [...], z treści którego wynika, że Kierownik skarżącego złożył [...] stycznia 2022 r. ustne oświadczenie o przekazaniu pracownikom zatrudnionym w kontrolowanym podmiocie informacji o przynależności związkowej uczestniczki postępowania. Przy czym z wyjaśnień Kierownika skarżącego wynika, iż uczestniczka postępowania nie wyraziła zgody na przetwarzanie danych osobowych dotyczących jej przynależności związkowej poprzez ich rozpowszechnianie, czy innego rodzaju udostępnianie. Jednocześnie Prezes UODO zauważył, że skarżący w wyjaśnieniach z [...] kwietnia 2022 r. zaprzeczył udostępnieniu danych osobowych uczestniczki postępowania w zakresie imienia, nazwiska, adresu zamieszkania i przynależności związkowej oraz wskazał, iż informacja o przynależności związkowej uczestniczki postępowania została przez nią samą w sposób oczywisty upubliczniona przed [...] września 2021 r. Końcowo Prezes UODO stwierdził, że skarżący udostępnił dane osobowe uczestniczki postępowania w zakresie informacji o przynależności związkowej osobom nieupoważnionym. Przy czym skarżący nie wykazał, a organ nie stwierdził, zaistnienia którejkolwiek z przesłanek wymienionych w art. 9 ust. 2 RODO, pozwalających w sposób zgodny z obowiązującymi przepisami udostępnić ww. dane osobowe uczestniczki. W konsekwencji Prezes UODO, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO, udzielił skarżącemu upomnienia za naruszenie art. 9 ust. 1 w związku z art. 5 ust. 1 lit. a RODO polegające na udostępnieniu danych osobowych uczestniczki postępowania w zakresie informacji o przynależności związkowej wymienionym osobom nieupoważnionym. Organ wskazał również, że jeżeli wskutek okoliczności podniesionych w skardze doszło - w ocenie uczestniczki postępowania - do naruszenia jej dóbr osobistych, to istnieje możliwość wystąpienia z osobnym powództwem cywilnym wobec administratora. Odnosząc się natomiast do kwestii udostępnienia przez skarżącego adresu zamieszkania uczestniczki postępowania Prezes UODO podał, że analiza materiału dowodowego sprawy nie wykazała w sposób jednoznaczny i bezsporny aby skarżący udostępnił osobom nieuprawnionym dane osobowe uczestniczki postępowania w zakresie jej adresu zamieszkania. Dodatkowo skarżący w toku postępowania zaprzeczył stawianym w tym zakresie zarzutom a uczestniczka postępowania nie przedstawiła niebudzących wątpliwości dowodów na ich potwierdzenie. Reasumując, organ stwierdził, że postępowanie w powyższym zakresie jest bezprzedmiotowe w rozumieniu art. 105 § 1 k.p.a. i podlega umorzeniu z uwagi na brak dowodów.

Na przedstawioną decyzję Prezesa UODO w części dotyczącej jej punktu 1, tj. upomnienia, skarżący wniósł do WSA w Warszawie skargę, zarzucając naruszenie prawa materialnego oraz przepisów postępowania. W odpowiedzi na skargę organ wniósł o jej oddalenie.

W dniu 17 maja 2023 r. WSA w Warszawie wydał opisany na wstępie wyrok oddalający skargę. W uzasadnieniu wskazał na treść relewantnych przepisów RODO podkreślając, że dane ujawniające przynależność do związków zawodowych, a więc związane ze sferą zatrudnienia, mają status danych wrażliwych chronionych w sposób szczególny. Przy czym zakaz przetwarzania danych wrażliwych nie ma charakteru bezwzględnego stosownie do treści art. 9 ust. 2 RODO gdzie przesłanki legalności przetwarzania takich danych zostały ujęte w formie katalogu zamkniętego, a zatem wszelkie inne niż wskazane w treści powyższej regulacji przesłanki nie uchylają zakazu ustanowionego na mocy art. 9 ust. 1 RODO.

Nadto każda z okoliczności podanych w art. 9 ust. 2 RODO ma charakter autonomiczny. Oznacza to, że dla uznania, iż przetwarzanie danych osobowych wrażliwych jest zgodne z prawem wystarczające jest spełnienie jednej z przesłanek legalności przetwarzania danych określonych w tym przepisie.

W ocenie WSA w Warszawie Prezes UODO dokonał prawidłowych ustaleń faktycznych sprawy, zasadnie powołując się przy tym na wspomniane uprzednio dokumenty w postaci pisma Federacji z [...] września 2021 r. nr [...], sprzeciwu pracowników skarżącego z [...] września 2021 o braku zgody na występowanie uczestniczki postępowania w ich imieniu wobec pracodawcy w zakresie prawa pracy oraz pisma Państwowej Inspekcji Pracy Okręgowego Inspektoratu Pracy w [...], Oddział w [...] z [...] stycznia 2022 r. nr [...]. Według Sądu I instancji organ słusznie stwierdził, że skarżący (reprezentowany przez Kierownika) wbrew zakazowi zawartemu w art. 9 ust. 1 RODO udostępnił dane osobowe uczestniczki postępowania ujawniające jej przynależność związkową osobom nieupoważnionym, tj. wymienionym w punkcie 1 sentencji decyzji pracownikom skarżącego, co czyni zarzut naruszenia ww. przepisu nieuzasadnionym. Nie jest trafny również zarzut naruszenia art. 5 ust. 1 lit. a RODO.

Przepis ten wyraża m.in. zasadę legalności przetwarzania danych, co oznacza wymóg przestrzegania norm ustanowionych w przepisach prawa przy przetwarzaniu danych osobowych. Udostępnienie danych wrażliwych uczestniczki postępowania osobom nieupoważnionym, pomimo ustanowionego na mocy art. 9 ust. 1 RODO zakazu, stanowi więc naruszenie przez administratora zasady przetwarzania danych osobowych w sposób rzetelny i zgodny z prawem. Ponadto, zdaniem Sądu I instancji, nie ma racji skarżący, że w sprawie doszło do naruszenia art. 9 ust. 2 lit. e RODO wskutek braku przyjęcia przez organ, iż uczestniczka postępowania w sposób oczywisty upubliczniła dane dotyczące swojej przynależności związkowej przed [...] września 2021 r. Jak bowiem wskazuje się w literaturze przedmiotu pojęcie "upublicznienie" danych osobowych w rozumieniu tego przepisu oznacza wszelkie rodzaje podania danych do wiadomości publicznej, czyli podania informacji potencjalnie nieograniczonej liczbie osób, w szczególności za pośrednictwem środków masowego przekazu (np. prasa, radio, telewizja, internet).

Podaniem do publicznej wiadomości będzie także umieszczenie danych na ogólnie dostępnych forach internetowych, zamieszczenie danych we wszelkich jawnych rejestrach urzędowych, czy ogólnie dostępnych spisach członków. Nie będzie natomiast miała charakteru podania do publicznej wiadomości informacja skierowana do ograniczonego grona, zamkniętej grupy osób. Zgodnie z ww. przepisem upublicznienie danych przez podmiot ma nastąpić "w sposób oczywisty", co oznacza, że fakt upublicznienia nie może budzić jakichkolwiek wątpliwości. W ocenie WSA w Warszawie materiał dowodowy zgromadzony w sprawie nie pozwala natomiast na wyprowadzenie wniosku, że przesłanki określone w art. 9 ust. 2 RODO zostały w niniejszej sprawie spełnione. Z powołanych przez organ dokumentów w żaden sposób nie wynika, aby uczestniczka postępowania podjęła działania, o których mowa w tym przepisie, tj. aby w sposób oczywisty podała do publicznej wiadomości (w sposób wyżej wskazany) dane dotyczące swojej przynależności związkowej przed datą podaną przez skarżącego.

Przy czym w oświadczeniu złożonym [...] kwietnia 2022 r. skarżący na poparcie stanowiska, że ww. dane zostały w sposób oczywisty upublicznione przez uczestniczkę postępowania powołał się jedynie na stan swojej wiedzy, nie przedstawiając w tym zakresie żadnych dodatkowych wyjaśnień ani dowodów. Jednocześnie skarżący wskazał, że owo upublicznienie danych miało miejsce w zakładzie pracy w trakcie rozmowy w obecności innych pracowników. Jednakże według Sądu I instancji skierowanie informacji do ograniczonej, zamkniętej grupy osób (pracowników zakładu pracy liczącego, jak wynika z wyjaśnień skarżącego 8 osób), nawet jeśli - zakładając hipotetycznie - miało miejsce, nie wypełniało przesłanki "upublicznienia danych" w przedstawionym powyżej rozumieniu tego pojęcia.

W konsekwencji WSA w Warszawie stwierdził, że brak jest podstaw do uznania, iż Prezes UODO dopuścił się naruszenia art. 9 ust. 2 RODO. Materiał dowodowy zgromadzony w sprawie uprawniał bowiem organ do uznania, że żadna z przesłanek zawartych w powołanym przepisie, legalizujących udostępnienie danych wrażliwych uczestniczki postępowania, w tym przesłanka z art. 9 ust. 2 lit. e RODO, nie została spełniona. Ponadto Sąd I instancji uznał, że w sprawie nie doszło również do naruszenia przepisów postępowania administracyjnego, tj. art. 7, art. 8 oraz art. 107 § 1 i 3 k.p.a. w stopniu mogącym mieć istotny wpływ na wynik sprawy. Organ zebrał i rozpatrzył zgromadzony w sprawie materiał dowodowy, ustalając okoliczności faktyczne w zakresie adekwatnym do rozstrzygnięcia sprawy. Przy czym z uzasadnienia zaskarżonej decyzji w sposób jednoznaczny wynika na podstawie jakich dowodów organ stwierdził naruszenie przez skarżącego przepisów ochrony danych osobowych, a dowody te nie zostały podważone przez skarżącego ani w toku postępowania administracyjnego ani na etapie postępowania sądowego.

Dodatkowo Sąd I instancji podkreślił, że Prezes UODO w uzasadnieniu zaskarżonej decyzji wskazał, iż w wyjaśnieniach z [...] kwietnia 2022 r. skarżący jedynie zaprzeczył udostępnieniu danych osobowych uczestniczki postępowania w zakresie imienia, nazwiska, adresu zamieszkania i przynależności związkowej oraz podał, że informacja o przynależności związkowej uczestniczki postępowania została przez nią samą w sposób oczywisty upubliczniona przed [...] września 2021 r. Stanowisko to nie zostało jednak poparte żadnymi dowodami, a ponadto, jak już wyżej wspomniano, powoływane przez skarżącego w tych wyjaśnieniach ujawnienie danych wrażliwych ograniczonej, zamkniętej grupie osób (np. w zakładzie pracy) nie spełnia przesłanki upublicznienia danych w rozumieniu art. 9 ust. 2 lit. e RODO. Zdaniem WSA w Warszawie z uzasadnienia zaskarżonej decyzji dodatkowo nie wynika aby organ powziął jakiekolwiek wątpliwości dotyczące wyjaśnień złożonych przez skarżącego, które wymagałyby przeprowadzenia dalszego postępowania dowodowego.

Zasadnie zatem Prezes UODO uznał, że zgromadzony w sprawie materiał dowodowy był wystarczający do rozstrzygnięcia sprawy. Podsumowując, Sąd I instancji stwierdził, że zaskarżona decyzja jest zgodna z prawem zaś zarzuty skargi nie zasługują na uwzględnienie. Natomiast w kwestii podjętego przez organ rozstrzygnięcia wskazał, że Prezes UODO, na mocy art. 58 ust. 2 RODO, wyposażony jest w uprawnienia naprawcze o charakterze władczym, kierowane do administratora lub podmiotu przetwarzającego, do których należy m.in. udzielanie upomnień (lit. b). Upomnienie może być stosowane - jak wyjaśniono w motywie 148 preambuły do RODO - w przypadku, gdy naruszenie przepisów rozporządzenia jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, przy czym w każdym przypadku organ bierze pod uwagę okoliczności indywidualnej sprawy. Korzystanie z uprawnień naprawczych jest autonomiczną decyzją organu.

Uwzględniając powyższe WSA w Warszawie uznał, że Prezes UODO udzielając skarżącemu upomnienia, za wykazane uchybienia przepisom RODO, nie naruszył prawa. Zastosowany wobec skarżącego instrument prawny jest bowiem adekwatny do wagi stwierdzonych naruszeń.

Pismem z 28 lipca 2023 r. skargę kasacyjną od wyroku WSA w Warszawie wywiódł skarżący (dalej również jako "skarżący kasacyjnie"). Zaskarżonemu w całości wyrokowi zarzucił naruszenie przepisów postępowania, które to uchybienia mogły mieć istotny wpływ na wynik sprawy, tj.:

1. 1. art. 151 p.p.s.a. w zw. z art. 9 ust. 1 RODO poprzez niezasadne przyjęcie, że skarżący naruszył zakaz przetwarzania danych osobowych uczestniczki postępowania;
2. 2. art. 151 p.p.s.a. w zw. z art. 5 ust. 1 lit. a) RODO wskutek przyjęcia, że skarżący naruszył obowiązek spoczywający na administratorze danych na podstawie tego przepisu, tj. obowiązek zagwarantowania, aby dane osobowe były przetwarzane zgodnie z prawem;
3. 3. art. 151 p.p.s.a. w zw. z art. 9 ust. 2 lit. e) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U.UE.L2016.119.1) wskutek braku przyjęcia, że uczestniczka postępowania w sposób oczywisty upubliczniła dane dot. swojej przynależności związkowej przed dniem [...].09.2021 r.;
4. 4. art. 151 p.p.s.a. w zw. z art. 58 ust. 2 lit. b) RODO wskutek przyjęcia, iż organ zasadnie udzielił upomnienia skarżącemu.

W oparciu o przedstawione zarzuty skarżący kasacyjnie wniósł zmianę zaskarżonego wyroku oraz uchylenie decyzji Prezesa UODO w zaskarżonej części, tj. w zakresie pkt 1 decyzji; ewentualnie uchylenie zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania przez Sąd meriti. Skarżący kasacyjnie wystąpił także o zasądzenie zwrotu kosztów w tym kosztów zastępstwa procesowego według norm przepisanych. Pismem z 18 sierpnia 2023 r. zawnioskował również o rozpoznanie skargi kasacyjnej na rozprawie. W uzasadnieniu skargi kasacyjnej przedstawiona została argumentacja na poparcie sformułowanych zarzutów i wniosków.

Prezes UODO odpowiadając na skargę kasacyjną pismem z 9 października 2023 r. wniósł o jej oddalenie.

Uczestniczka postępowania odpowiadając na skargę kasacyjną pismem z 10 października 2023 r. wniosła o jej oddalenie oraz o zasądzenie od skarżącego na rzecz uczestniczki postępowania zwrotu kosztów zastępstwa prawnego według norm przepisanych.

Naczelny Sąd Administracyjny zważył, co następuje

Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn.: Dz. U. z 2026 r. poz. 143 dalej: "p.p.s.a."), Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę przesłanki uzasadniające nieważność postępowania wymienione w art. 183 § 2 p.p.s.a. Granice skargi kasacyjnej są wyznaczone przez zakres zaskarżenia orzeczenia sądu pierwszej instancji oraz podniesione i poddane konkretyzacji podstawy kasacyjne.

Zgodnie z treścią art. 174 p.p.s.a., skargę kasacyjną można oprzeć na następujących podstawach:

1. 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie;
2. 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.

Powyższe ustawowe podstawy kasacyjne wymagają od skarżącego kasacyjnie konkretyzacji poprzez sformułowanie tzw. zarzutów kasacyjnych. Oznacza to, że jeżeli - tak jak w rozpoznawanej sprawie - nie zachodzi nieważność postępowania zakres postępowania kasacyjnego wyznacza strona wnosząca skargę kasacyjną przez przytoczenie podstaw kasacyjnych i ich uzasadnienie.

Jak już wyżej wskazano z przytoczonych przepisów wynika, że wywołane skargą kasacyjną postępowanie przed Naczelnym Sądem Administracyjnym podlega zasadzie dyspozycyjności i nie polega na ponownym rozpoznaniu sprawy w jej całokształcie, lecz ogranicza się do rozpatrzenia poszczególnych zarzutów przedstawionych w skardze kasacyjnej w ramach wskazanych podstaw kasacyjnych. Istotą tego postępowania jest bowiem weryfikacja zgodności z prawem orzeczenia wojewódzkiego sądu administracyjnego oraz postępowania, które doprowadziło do jego wydania.

Rozpatrzenie zarzutów skargi kasacyjnej należy poprzedzić pewną uwagą wstępną. Skarga kasacyjna jest wysoce sformalizowanym środkiem zaskarżenia i musi odpowiadać wymogom określonym w art. 174 i art. 176 p.p.s.a. Wspomniane wyżej związanie Naczelnego Sądu Administracyjnego granicami skargi kasacyjnej wyrażone w art. 183 § 1 p.p.s.a. ma znaczenie nie tylko z perspektywy Sądu, ale także wpływa na obowiązki profesjonalnego pełnomocnika sporządzającego skargę kasacyjną dla reprezentowanego przezeń podmiotu. Podstawy skargi kasacyjnej wyznaczają granice rozpoznania sprawy w drugiej instancji sądowej. Wyrażają się one we wskazaniu zarzutów naruszenia prawa materialnego lub przepisów postępowania. Przedstawienie podstaw kasacyjnych jest obligatoryjne i powinny być one jednoznacznie sprecyzowane (art. 174 pkt 1 i 2, art. 176 § 1 pkt 2 p.p.s.a.). Przytoczenie podstaw kasacyjnych polega na wskazaniu, czy strona skarżąca zarzuca naruszenie prawa materialnego, czy naruszenia przepisów postępowania, czy też oba te naruszenia łącznie.

Uzasadnienie podstaw kasacyjnych powinno szczegółowo określać, do jakiego naruszenia przepisów prawa doszło i na czym to naruszenie polegało, a w przypadku zarzucania uchybień przepisom procesowym należy dodatkowo wykazać, że to naruszenie mogło mieć istotny wpływ na wynik sprawy. Z kolei uzasadnienie skargi kasacyjnej ma za zadanie wykazanie trafności (słuszności) zarzutów postawionych w ramach podniesionych podstaw kasacyjnych, co oznacza, że musi zawierać argumenty mające na celu "usprawiedliwienie" przytoczonych podstaw kasacyjnych (por. wyroki NSA z: 5 sierpnia 2004 r., sygn. akt FSK 299/04 z glosą A. Skoczylasa OSP 2005, Nr 3, poz. 36; 9 marca 2005 r., sygn. akt GSK 1423/04; 10 maja 2005 r., sygn. akt FSK 1657/04; 12 października 2005 r., sygn. akt I FSK 155/05; 23 maja 2006 r., sygn. akt II GSK 18/06; 4 października 2006 r., sygn. akt I OSK 459/06, CBOSA). Obowiązkiem strony składającej środek odwoławczy jest takie zredagowanie podstaw kasacyjnych i zarzutów skargi, a także ich uzasadnienia, aby nie budziły one wątpliwości interpretacyjnych (wyrok Naczelnego Sądu Administracyjnego z 19 lutego 2009 r., sygn. akt II OSK 1688/07 - orzeczenia sądów administracyjnych są dostępne w bazie internetowej na stronie NSA: orzeczenia.nsa.gov.pl).

Należy oczekiwać wskazania przez profesjonalnego pełnomocnika - autora skargi kasacyjnej - przepisów objętych zarzutami, to jest jednostek redakcyjnych aktów prawnych, jak i też sprecyzowania dat i nazw tych aktów oraz ich publikatorów pozwalających na zorientowanie się, którego brzmienia przepisu (ze względu na jego obowiązywanie na przestrzeni czasu) zarzut dotyczy. Związanie sądu kasacyjnego zarzutami podniesionymi w skardze kasacyjnej oznacza zatem, że sąd ten - co do zasady - nie ma kompetencji do kontroli legalności postępowania pierwszoinstancyjnego poza granicami zaskarżenia.

Z powyższych rozważań nadto wynika, że w sytuacji gdy nie podniesiono zarzutów kasacyjnych w oparciu o art. 174 pkt 2 p.p.s.a. dotyczących naruszenia w toku postępowania administracyjnego przez organy przepisów postępowania, w oparciu o które strona zamierza skutecznie podważyć ustalony stan faktyczny stanowiący podstawę wydania zaskarżonej decyzji, a następnie zaakceptowany przez Sąd I instancji, to podstawą oceny trafności skargi kasacyjnej stanowi stan faktyczny przedstawiony w uzasadnieniu zaskarżonego wyroku, przyjęty przez Sąd I instancji za podstawę rozstrzygnięcia. W niniejszej sprawie w skardze kasacyjnej nie podniesiono zarzutów kasacyjnych dotyczących błędnego ustalenia stanu faktycznego stanowiącego podstawę rozstrzygnięcia sprawy.

Zauważyć także należy, że podnosząc zarzuty kasacyjne dotyczące naruszenia przepisów prawa materialnego nie można skutecznie podważyć ustaleń faktycznych dokonanych przez organy administracji publicznej i przyjętego przez sąd I instancji za podstawę oceny legalności zaskarżonej decyzji. Reasumując stwierdzić należy, że podstawę oceny zasadności wniesionej skargi kasacyjnej stanowi stan faktyczny przyjęty i przedstawiony w uzasadnieniu zaskarżonego wyroku.

Przechodząc do oceny poszczególnych zarzutów dotyczących naruszenia przepisów prawa materialnego Naczelny Sąd Administracyjny w składzie orzekającym w niniejszej sprawie nie znalazł podstaw do uwzględnienia zarzutu dotyczącego naruszenia art. 151 p.p.s.a. w zw. z art. 9 ust. 2 pkt e RODO wskutek błędnego przyjęcia, że I.F. w sposób oczywisty upubliczniła dane dotyczące swojej przynależności związkowej przed dniem [...] września 2021 roku. Zgodnie z art. 9 ust. 1 RODO, zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.

Jednocześnie norma z art. 9 ust. 2 lit. e RODO przewiduje wyjątek od zakazu z art. 9 ust. 1, wyłączając zastosowanie tego ostatniego przepisu, jeżeli przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą. Prawodawca unijny zastrzegł także, że dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość" i art. 5 ust. 1 pkt a RODO); zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu"); adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"); a ponadto przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność").

Aby było możliwe powołanie się na przepis art. 9 ust. 2 pkt e RODO konieczne jest więc spełnienie następujących przesłanek: upublicznienie danych osobowych wrażliwych oraz upublicznienie to zostało dokonane przez osobę, której dane dotyczą. Przez upublicznienie danych osobowych należy rozumieć wszelkie rodzaje podania danych do wiadomości publicznej, czyli podania informacji potencjalnie nieograniczonej liczbie osób, w szczególności za pośrednictwem środków masowego przekazu (np. prasa, radio, telewizja, na ogólnie dostępnych forach internetowych do których istnieje dostęp bez ograniczeń dla każdego, w trakcie oficjalnego zebrania pracowników - osób zatrudnionych w zakładzie pracy, przy założeniu, że wszyscy pracownicy mieli potencjalną możliwość brania udziału w takim zebraniu). Do upublicznienia danych musi dojść przez działanie osoby, której te informacje dotyczą. Nie będzie zatem spełniało przesłanki określonej w art. 9 ust. 2 pkt e RODO przekazanie informacji dotyczącej danych wrażliwych, o których mowa w katalogu określonym w art. 9 ust. 1 przez osobę, której dane te dotyczą, w sytuacji gdy będzie ona kierowana tylko do konkretnej osoby lub ściśle określonego kręgu osób).

W przedmiotowej sprawie z ustalonego stanu faktycznego nie wynika, aby przed dniem [...] września 2021 roku I.F. upubliczniła dane dotyczące jej przynależności do związku zawodowego w sposób określony w art. 9 ust. w pkt e RODO. Strona skarżąca kasacyjnie podnosząc ten zarzut nie wskazała kiedy takie upublicznienie tych danych nastąpiło, w jakich okolicznościach. Samo podniesienie zarzutu, że I.F. przed wskazaną datą dokonała upublicznienia danych dotyczących jej przynależności do związków zawodowych w rozumieniu art. 9 ust. 1 pkt e RODO nie jest wystarczające do przyjęcia, że faktycznie to miało miejsce. Z przyjętego za podstawę rozstrzygnięcia sprawy stanu faktycznego, ustalonego przez organ oraz zaakceptowanego przez Sąd I instancji nie wynika, aby miało miejsce upublicznienie danych wrażliwych I. F. przez nią samą w warunkach określonych w art. 9 ust. 1 pkt e RODO. Skarżąca kasacyjnie tego ustalenia nie podważyła, a w składanych w toku postępowania administracyjnego pismach jak i w skardze oraz w skardze kasacyjnej, powołując się na sytuację wskazaną w powołanym wyżej przepisie, nie opisała okoliczności faktycznych, w których nastąpić miało to upublicznienie. Samo ogólnie stwierdzenie, że w niniejszej sprawie I.F. dokonała upublicznienia danych wrażliwych nie jest wystarczające do przyjęcia, że miało to faktycznie miejsce.

Brak jest także podstaw do uwzględnienia zarzutów kasacyjnych dotyczących naruszenia art. 151 p.p.s.a. w zw. z art. 9 ust. 1 i art. 5 ust. 1 lit. a RODO. Przepis art. 5 ust. 1 pkt a RODO nakazuje przetwarzanie danych osobowych, zgodnie z prawem, rzetelnie i sposób przejrzysty dla osoby, której dane dotyczą (zgodność z prawem, rzetelność i przejrzystość). Natomiast przepis art. 5 ust. 1 RODO, jak już wyżej wskazano, zabrania przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. Skoro brak jest podstaw do przyjęcia w niniejszej sprawie, że ujawnienie przez skarżącego kasacyjnie danych dotyczących przynależności I.F. do określonego związku zawodowego nastąpiło przed uprzednim ich upublicznieniem przez zainteresowaną w rozumieniu art. 9 ust. 2 pkt e RODO, to nastąpiło to z naruszeniem powołanych przepisów.

Zdaniem Naczelnego Sądu Administracyjnego brak jest także podstaw do uwzględnienia zarzutu kasacyjnego dotyczącego naruszenia art. 151 p.p.s.a. w zw. z ar. 58 ust. 2 lit. b RODO, poprzez błędne przyjęcie przez Sąd I instancji, że organ zasadnie udzielił skarżącemu kasacyjnie upomnienia za stwierdzone naruszenie. Udzielenie upomnienia mieści się w zakresie uprawnień naprawczych jakie przysługują organowi nadzorczemu w sytuacji naruszenia przez dany podmiot przepisów rozporządzenia RODO przez operację przetwarzania. Rozpowszechniane informacji w zakresie danych wrażliwych wymienionych w art. 9 ust. 1 RODO stanowi przetwarzanie w rozumieniu art. 4 pkt 2 RODO.

Mając powyższe na uwadze uznając, że skarga kasacyjna nie zawiera usprawiedliwionych podstaw, na podstawie art. 184 p.ps.a. orzeczono jak w wyroku.

Z uwagi na treść art. 204 p.p.s.a brak jest podstaw do uwzględnienia wniosku uczestniczki postępowania o zasądzenie od skarżącego kasacyjnie zwrotu kosztów postępowania kasacyjnego.