ZSZZS.440.801.2018

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257 oraz z 2018 r. poz. 149), art. 6 ust. 1 lit. c oraz art. 58 ust. 2 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych  i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana J.K., na udostępnienie jego danych osobowych w zakresie informacji zawartych w formularzach PIT-37 za lata 2015 oraz 2016 przez Naczelnika (…) Urzędu Skarbowego (…) z siedzibą w Ł. na wniosek Głównego Inspektora Pracy z siedzibą w Warszawie przy ul. Barskiej 28/30 oraz kwestionującej legalność ww. wniosku o udostępnienie danych i przetwarzanie tych danych przez Państwową Inspekcję Pracy z siedzibą w Warszawie przy ul. Barskiej 28/30, Prezes Urzędu Ochrony Danych Osobowych

1. nakazuje Państwowej Inspekcji Pracy z siedzibą w Warszawie przy ul. Barskiej 28/30, usunięcie danych osobowych Pana J.K., zawartych w formularzach PIT-37 za lata 2015 oraz 2016; 
2. w pozostałym zakresie odmawia uwzględnienia wniosku.

Uzasadnienie

Do Urzędu Ochrony Danych Osobowych wpłynęła skarga Pana J.K., zwanego dalej Skarżącym, na udostępnienie jego danych osobowych w zakresie informacji zawartych w formularzach PIT-37 za lata 2015 oraz 2016 przez Naczelnika (…) Urzędu Skarbowego (…) z siedzibą w Ł., zwanego dalej US lub Urząd Skarbowy, na wniosek Głównego Inspektora Pracy z siedzibą w Warszawie przy ul. Barskiej 28/30, zwanego dalej GIP, oraz kwestionującej legalność ww. wniosku o udostępnienie danych i przetwarzanie tych danych przez Państwową Inspekcję Pracy z siedzibą w Warszawie przy ul. Barskiej 28/30, zwaną dalej PIP. Prezes Urzędu, pismem z dnia (…) kwietnia 2019 r., uczynił stroną postępowania Okręgowy Inspektorat Pracy w Ł., dalej: OIP.

W toku postępowania administracyjnego Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny.

1. Pan J.K. był pracownikiem Państwowej Inspekcji Pracy, okręgu w Ł., do dnia (…) października 2017 r.
2. Skarżący był pracownikiem wykonującym czynności kontrolne, w związku z czym podlegał nadzorowi GIP.
3. W dniu (…) 09.2017 r. GIP skierował do US wniosek o udostępnienie danych finansowych pochodzących z deklaracji Skarżącego. Na podstawie art. 14 ust. 1 ustawy z dnia 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy (t.j. Dz.U. 2018 r. poz. 623), wniesiono o udostępnienie danych osobowych w zakresie deklaracji złożonych przez podatnika w latach 2015 i 2016, wysokości dochodów uzyskanych przez Skarżącego z praw autorskich oraz pozostałych źródeł, a także informacji czy w latach 2015-2017 odnotowano wpływ informacji o dochodach podatnika wystawionych przez precyzyjnie wskazanego płatnika – (…).
4. Naczelnik (…) Urzędu Skarbowego (…) udostępnił dane osobowe Skarżącego z Centralnego Rejestru Danych Podatkowych w żądanym zakresie w dniu (…) 10.2017 r. i opatrzył je klauzulą „Tajemnica Skarbowa”.
5. Okręgowy Inspektorat Pracy w Ł. wskazał, iż nie zwracał się do GIP o udostępnienie danych zawartych w formularzu PIT-37 za rok 2015 oraz 2016 oraz nie posiada kopii tych dokumentów.
6. Pozyskane dane osobowe zostały wykorzystane do rozwiązania stosunku pracy ze Skarżącym przez Okręgowy Inspektorat Pracy w Ł.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Konieczne jest podkreślenie, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję administracyjną, zobowiązany jest do rozstrzygania sprawy w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi się w doktrynie „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (…). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego M. Jaśkowska, A. Wróbel, Lex., el/2012). Jednocześnie niniejszy organ podziela stanowisko wyrażone przez Naczelny Sąd Administracyjny w wyroku z dnia 25 listopada 2013 r., wydanym w sprawie o sygn. akt I OPS 6/1, w którym ww. Sąd wskazał cyt.: „W postępowaniu administracyjnym, regulowanym przepisami Kodeksu postępowania administracyjnego, zasadą jest, że organ administracji publicznej załatwia sprawę przez wydanie decyzji, która rozstrzyga sprawę co do jej istoty, według stanu prawnego i faktycznego na dzień wydania decyzji”.

Podkreślenia jednakże wymaga, że decydujące znaczenie dla rozstrzygnięcia, jakie musi być wydane w przedmiotowej sprawie, mają dwie okoliczności. Po pierwsze, udostępnienie danych osobowych Skarżącego przez US na rzecz GIP było zdarzeniem jednorazowym i dokonanym, do którego doszło (…) października 2017 r., tj. w czasie obowiązywania ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zwanej dalej ustawą z 1997 r. W związku z tym legalność udostępnienia danych osobowych będzie oceniana na podstawie przepisów ustawy z 1997 r. Po drugie, w związku z kontynuowanym procesem przetwarzania pozyskanych danych przez GIP, do przedmiotowej sprawy zastosowanie mają przepisy Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych  i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), zwanego dalej: RODO.

W przedmiotowej sprawie niezbędne jest określenie obowiązków i ról pełnionych przez Państwową Inspekcję Pracy, Głównego Inspektora Pracy oraz Okręgowy Inspektorat Pracy w Ł., na podstawie ustawy z dnia 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy (t.j. Dz.U. 2018 r. poz. 623), zwanej dalej ustawą o PIP. W pierwszej kolejności wskazać należy, że Skarżący był zatrudniony w Okręgowym Inspektoracie Pracy w Ł., który zgodnie z art. 3 ust. 1 ustawy o PIP stanowi jednostkę organizacyjną Państwowej Inspekcji Pracy. Natomiast Główny Inspektor Pracy, zgodnie z art. 3 ust. 2 ustawy o PIP, kieruje Państwową Inspekcją Pracy, a także na podstawie art. 18 ust. 6 ustawy o PIP wykonuje czynności z zakresu prawa pracy w stosunku do między innymi pracowników nadzorujących lub wykonujących czynności kontrolne (w tym w stosunku do Skarżącego). Wskazać również należy, że ustawowe uprawnienia przyznane są dla organu, tj. Państwowej Inspekcji Pracy, i są wykonywane za pośrednictwem osób do tego upoważnionych, w tym Głównego Inspektora Pracy. Co istotne, za wykonywanie kompetencji PIP jako organu, przez jednostkę organizacyjną wpisaną w strukturę organu odpowiada PIP. Wobec powyższego, choć przedmiotowa skarga dotyczy Głównego Inspektora Pracy, który realizując kompetencje przyznane organowi Państwowej Inspekcji Pracy wystąpił z wnioskiem o udostępnienie danych osobowych Skarżącego, podmiotem odpowiedzialnym za jego działanie jest Państwowa Inspekcja Pracy. Oznacza to, że pomimo iż to Główny Inspektor Pracy wystąpił w przedmiotowej sprawie do Naczelnika Urzędu Skarbowego z wnioskiem o udostępnienie wskazanych danych osobowych Skarżącego, odpowiedzialność za to działanie ponosi, z perspektywy przepisów RODO, Państwowa Inspekcja Pracy, jako administrator danych osobowych w rozumieniu art. 4 ust. 7 RODO i organ, z którego kompetencji korzystał wnioskodawca. Dodatkowo, podmiotem odpowiedzialnym jest również Okręgowy Inspektorat Pracy w Ł., który będąc bezpośrednim pracodawcą Skarżącego, wykorzystał pozyskane przez Głównego Inspektora Pracy dane osobowe Skarżącego w celu rozwiązania z nim stosunku pracy.

Odnosząc się do udostępnienia danych przez US na rzecz PIP, wskazać należy, że każda forma przetwarzania danych osobowych tzw. „zwykłych” powinna była znaleźć oparcie w jednej z enumeratywnie wyliczonych w art. 23 ust. 1 ustawy z 1997 r., przesłanek warunkujących legalność tego procesu. Każda z tych przesłanek miała charakter autonomiczny i niezależny. Oznacza to, że przesłanki te były równoprawne, a spełnienie co najmniej jednej z nich stanowiło o zgodnym z prawem przetwarzaniu danych osobowych. Wskazać należy, że niezależnie od zgody osoby, której dane dotyczą, przetwarzanie jej danych osobowych było dopuszczalne między innymi wtedy, gdy było to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa w przypadku przetwarzania danych zwykłych (art. 23 ust. 1 pkt 2 ustawy z 1997 r.).

W przedmiotowej sprawie zakres udostępnionych danych ograniczony jest do informacji podatkowych Skarżącego, które normowane są przepisami ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa (t.j. Dz.U. 2018 r. poz. 800), zwanej dalej ordynacją podatkową. Jak wskazano w art. 293 § 1 ordynacji podatkowej, dane zawarte w deklaracji oraz innych dokumentach składanych przez podatników są objęte tajemnicą skarbową. Ponadto, zgodnie z art. 299 § 1 ordynacji podatkowej, informacje z akt podatkowych mogą być udostępnione organom wymienionym w art. 298 ordynacji podatkowej. Artykuł 298 ordynacji podatkowej nie wskazuje bezpośrednio na PIP jako organ uprawniony do otrzymania akt objętych tajemnicą skarbową, jednak w pkt 7 przepis ten przewiduje udostępnienie „innym organom – w przypadkach i na zasadach określonych w odrębnych ustawach”. Jak wskazuje art. 14 ust. 1 ustawy o PIP, przy realizacji zadań organ ten może współdziałać z innymi podmiotami i organizacjami, między innymi z organami Krajowej Administracji Skarbowej. Zgodnie z art. 11 ust. 1 pkt 5 ustawy z dnia 16 listopada 2016 r. o Krajowej Administracji Skarbowej (t.j. Dz. U. z 2019 r. poz. 768 z późn. zm.) jednym z organów Krajowej Administracji Skarbowej są naczelnicy urzędów skarbowych.

W ocenie Prezesa Urzędu udostępnienie żądanych danych osobowych przez Urząd Skarbowy nie stanowiło naruszenia przepisów o ochronie danych osobowych. Organ ten jest bowiem ustawowo zobowiązany do współpracy z Państwową Inspekcją Pracy na podstawie wskazanych powyżej przepisów, wobec czego udostępnienie danych przez Urząd Skarbowy było zgodne z art. 23 ust. 1 pkt 2 ustawy z 1997 r. Organ ten nie był bowiem władny by odmówić udostępnienia żądanych informacji, na podstawie obowiązujących przepisów prawa.

Wskazać jednakże należy, że w art. 10 ustawy o PIP znajduje się zamknięta lista zadań realizowanych przez ten organ, gdzie wymienia się między innymi nadzór i kontrolę nad przestrzeganiem przepisów prawa (ust. 1 pkt 1), kontrolę legalności zatrudnienia, innej pracy zarobkowej, wykonywania działalności oraz kontrolę przestrzegania obowiązków (ust. 1 pkt 3). Kluczowe w przedmiotowej sprawie jest rozgraniczenie ustawowych uprawnień posiadanych przez Państwową Inspekcję Pracy występującą w roli organu nadzorczego, a uprawnień posiadanych przez jednostkę organizacyjną PIP, jako pracodawcy. Jak wskazuje się w literaturze, zadania i kompetencje wynikające z art. 10 ustawy o PIP realizowane są przez ten organ względem pracodawców (Rączka, Krzysztof. Art. 10. W: Ustawa o Państwowej Inspekcji Pracy. Komentarz. Wydawnictwo Prawnicze LexisNexis, 2008). W przedmiotowej sprawie działania podjęte przez PIP nie miały na celu realizacji zadań przewidzianych w art. 10 ustawy o PIP, a dokonanie kontroli przestrzegania przez pracownika zapisu art. 48 ust. 2 ustawy o PIP, który ogranicza działalność zarobkową pracowników Państwowej Inspekcji Pracy. Dane pozyskane przez PIP w ramach art. 14 w zw. z art. 10 powinny tyczyć się podmiotów kontrolowanych bądź nadzorowanych, a nie pracowników zatrudnionych w jego strukturach. Wobec powyższego wskazać należy, że GIP jako jednostka organizacyjna PIP nie był władny by zastosować w przedmiotowej sprawie uprawnienia przysługujące PIP w czasie wykonywania zadań ustawowych i zażądać udostępnienia danych Skarżącego zawartych w dokumentacji podatkowej przechowywanej w zasobach US. Co więcej, ustawa o PIP zezwala na pozyskanie danych od organów Krajowej Administracji Skarbowej, jednakże tylko i wyłącznie w ramach kontroli prowadzonej przez Państwową Inspekcją Pracę w podmiocie działającym jako pracodawca. Wobec powyższego należy uznać, iż pozyskanie danych Głównego Inspektora Pracy od Urzędu Skarbowego było niezgodne z art. 23 ust. 1 ustawy z 1997 r., w związku z brakiem przepisu kompetencyjnego, który pozwalałby PIP pozyskać od Urzędu Skarbowego dane dotyczące osoby zatrudnionej w jego strukturze, w celu innym niż kontrola pracownika.

Co więcej, dane osobowe Skarżącego zawarte w udostępnionych formularzach PIT, które pozyskał GIP zostały wykorzystane jako podstawa do rozwiązania stosunku pracy zawartego pomiędzy Skarżącym a Okręgowym Inspektoratem Pracy w Ł. Wskazać należy, iż z wyjaśnień złożonych przez GIP w dniach (…) listopada 2018 r. oraz (…) kwietnia 2019 r. wynika, że dane osobowe Skarżącego pozyskane od US miały znaczący wpływ na rozwiązanie stosunku pracy ze Skarżącym przez jego bezpośredniego pracodawcę – Okręgowy Inspektorat Pracy w Ł. Wobec powyższego należy uznać, iż dane pozyskane przez GIP zostały przez tę jednostkę przekazane do OIP. W ocenie Prezesa Urzędu Ochrony Danych Osobowych powyższe działanie naruszało art. 23 ust. 1 w zw. z art. 26 ust. 1 ustawy z 1997 r. Nie tylko GIP przekroczył przyznane ustawowo PIP kompetencje, ale również przekazał pozyskane dane i dopuścił do ich przetwarzania przez kolejne jednostki organizacyjne PIP, które nie miały upoważnienia do przetwarzania pozyskanych w ten sposób danych osobowych dotyczących Skarżącego. Wskazać również należy, że zgodnie z zasadą ograniczonego celu, administrator danych powinien dołożyć wszelkich starań by przetwarzanie danych odbywało się na potrzeby konkretnych i prawnie uzasadnionych celów. Taki obowiązek nakładał art. 26 ust. 1 ust. 2 – 4 ustawy z 1997 r., a obecnie  znajduje on swoją podstawę w art. 5 ust. 1 lit. b RODO. Wskazać należy, że dane Skarżącego zostały pozyskane za pomocą kompetencji służących do kontroli pracodawców w ramach procesu służącego kontroli pracownika, a następnie zostały wykorzystane w celu innym niż dla którego zostały zebrane tj. przekazane do OIP i wykorzystane w celu rozwiązania stosunku pracy. W ocenie Prezesa Urzędu, obie te czynności były niezgodne z zasadą ograniczonego celu przetwarzania danych osobowych i stanowiły naruszenie przepisów o ochronie danych osobowych.

Pozyskane przez GIP dane osobowe Skarżącego są dalej przetwarzane, wobec czego do oceny zgodności tego procesu z przepisami o ochronie danych osobowych zastosowanie mają przepisy art. 6 ust. 1 RODO. Dane byłych i obecnych pracowników są przetwarzane na podstawie art. 6 ust. 1 lit c RODO. Zakres tych danych jest ograniczony zgodnie z przepisami art. 22¹ Kodeksu pracy (ustawa z dnia 26 czerwca 1974 r. Kodeks pracy (t.j. Dz. U. z 2018 r. poz. 917 z późn. zm.). Niemniej jednak, dane pozyskane przez GIP od US nie są niezbędne do realizacji obowiązku prawnego ciążącego na OIP jako pracodawcy. Dodatkowo, jak wykazano powyżej, nie powinny one były zostać przez GIP pozyskane ani przekazywane do wiadomości podlegających mu jednostek organizacyjnych. Wobec powyższego uznać należy, że ich przetwarzanie nie spełnia żadnej z przesłanek zawartych w art. 6 ust. 1 RODO i tym samym jest niezgodne z obowiązującymi przepisami o ochronie danych osobowych, wobec czego nakazuje się ich usunięcie.

Postępowanie administracyjne prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 58 RODO, na podstawie którego organ nadzorczy może między innymi nakazanie sprostowania lub usunięcia danych, ograniczenie przetwarzania danych, nakazanie powiadomienia o tych czynnościach odbiorców, którym dane ujawniono (art. 58 ust. 2 lit. g).

W przedmiotowej sprawie ustalono, iż pozyskanie danych osobowych Skarżącego oraz kontynuowanie ich przetwarzania przez PIP należy uznać za naruszenie przepisów o ochronie danych osobowych, tj. art. 23 ust. 1 ustawy z 1997 r. jak i art. 6 ust. 1 RODO, wobec czego Prezes Urzędu nakazał usunięcia danych osobowych Skarżącego w zakresie danych zawartych w formularzach PIT-37 za lata 2015 oraz 2016.

W tym stanie faktycznym oraz prawnym Prezes Urzędu Ochrony Danych Osobowych orzekł, jak w sentencji.

Pouczenie: Decyzja jest ostateczna. Na podstawie art. 7 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000) i w zw. z art. 13 § 2, art. 53 § 1 i art. 54 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. 2017 r., poz. 1369 z późn. zm.), od niniejszej decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia doręczenia niniejszej decyzji, za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00 – 193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.