DOLiS/DEC-230/13/12740,12746 - Nakaz przywrócenia stanu zgodnego z prawem, poprzez spełnienie obowiązku informacyjnego.

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), art. 12 pkt 2, art. 18 ust. 1 pkt 1 i art. 22, w związku z art. 25 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana M. P., na niewypełnienie w stosunku do niego obowiązku informacyjnego określonego w art. 25 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) przez E. Sp. z o.o,

nakazuję E. Sp. z o.o. przywrócenie stanu zgodnego z prawem, poprzez spełnienie wobec Pana M. P. obowiązku informacyjnego określonego w art. 25 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.).

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pana M. P. (zwanego dalej Skarżącym) na niewypełnienie w stosunku do niego obowiązku informacyjnego określonego w art. 25 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), zwanej dalej ustawą, przez E. Sp. z o.o. (zwaną dalej Spółką).

Skarżący wskazał, że od dnia [...] stycznia 2011 r. Spółka, jako nowoutworzony podmiot gospodarczy przejęła część pracowników C. S.A., w tym i jego osobę. Skarżący poinformował, że ponieważ był w tym czasie zwolniony z obowiązku świadczenia pracy, nic o tym nie wiedział, aż do dnia [...] marca 2011 r., kiedy ku jego zdziwieniu otrzymał świadectwo pracy od nowego pracodawcy. Skarżący zarzucił, iż wynika stąd, że nie dopełniono obowiązku informacyjnego wobec niego.

Generalny Inspektor Ochrony Danych Osobowych (zwany dalej również Generalnym Inspektorem) przeprowadził postępowanie wyjaśniające, w toku którego ustalił następujące okoliczności.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Generalny Inspektor zważył, co następuje.

Zgodnie z art. 25 ust. 1 ustawy w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o: (pkt 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku, (pkt 2) celu i zakresie zbierania danych, a w szczególności o odbiorcach lub kategoriach odbiorców danych, (pkt 3) źródle danych, (pkt 4) prawie dostępu do treści swoich danych oraz ich poprawiania, (pkt 5) o uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8.

Odnosząc się do zajętego przez Spółkę stanowiska, że w przedmiotowej sprawie nie nastąpiło zbieranie danych osobowych Skarżącego (co oznaczałoby, że na Spółce nie ciąży obowiązek określony w art. 25 ust. 1 ustawy) wskazać należy, że w ocenie Generalnego Inspektora zbieranie danych obejmuje wszystkie przypadki, gdzie administrator danych uzyskuje dane osobowe, w których posiadaniu nie znajdował się wcześniej. Nie ulega wątpliwości, że Spółka w związku z przejęciem od C. S.A. zorganizowanej części przedsiębiorstwa (Oddziału E. w S.) znalazła się w posiadaniu nieprzetwarzanych przez nią wcześniej danych osobowych Skarżącego. W ocenie Generalnego Inspektora oznacza to, że Spółka zebrała dane osobowe Skarżącego nie od osoby, której dane dotyczą, w związku z czym art. 25 ust. 1 ustawy ma zastosowanie do oceny stanu faktycznego sprawy. Również doktryna prawa odnośnie art. 25 ust. 1 ustawy wskazuje, iż "[z]akresem zastosowania komentowanego przepisu objęte są w szczególności przypadki (...), a także następstwa prawnego, np. w drodze dziedziczenia, albo przejścia zakładu pracy na innego pracodawcę" (Drozd Andrzej. Ustawa o ochronie danych osobowych. Komentarz. Wzory pism i przepisy. Warszawa 2008, s. 150).

W tym miejscu podnieść należy, że obowiązek informacyjny określony w art. 25 ust. 1 ustawy jest niezależny od obowiązku informacyjnego nałożonego w związku z przejściem zakładu pracy lub jego części na innego pracodawcę przez art. 26¹ ust. 1 ustawy z dnia 23 maja 1991 r. o związkach zawodowych (Dz. U. z 2001 r. Nr 79, poz. 854 z późn. zm.), stanowiący, iż w razie przejścia zakładu pracy lub jego części na nowego pracodawcę, dotychczasowy i nowy pracodawca są obowiązani do poinformowania na piśmie działających u każdego z nich zakładowych organizacji związkowych o przewidywanym terminie tego przejścia, jego przyczynach, prawnych, ekonomicznych oraz socjalnych skutkach dla swoich pracowników, a także zamierzonych działaniach dotyczących warunków zatrudnienia tych pracowników, w szczególności warunków pracy, płacy i przekwalifikowania, czy przez art. 23¹ § 3 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 1998 r. Nr 21, poz. 94 z późn. zm.), dotyczący przekazywania informacji pracownikom w przypadku gdy u pracodawców nie działają zakładowe organizacje związkowe. Wobec powyższego realizacja przez Spółkę lub C. S.A. obowiązków wynikających z przepisów odnoszących się do zatrudnienia pracowników i działalności związkowej nie stanowi wypełnienia obowiązku o którym mowa w art. 25 ust. 1 ustawy, a okoliczność przekazania konkretnych informacji może mieć znaczenie jedynie dla oceny, czy zaistniała przesłanka określona w art. 25 ust. 2 pkt 6 ustawy, zgodnie z którym przepisu ust. 1 nie stosuje się, jeżeli osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 1. W ocenie Generalnego Inspektora brak jest jednak podstaw do przyjęcia, że zaistniała ww. przesłanka, a w szczególności, że Skarżący posiadał chociażby część informacji o których mowa w art. 25 ust. 1 ustawy. Fakt, że w sytuacji, gdy Skarżący był z zwolniony z obowiązku świadczenia pracy, informacje o przejściu części zakładu pracy na Spółkę były rozwieszone w miejscach dostępnych dla pracowników, nie jest okolicznością przemawiającą za tym, że w chwili, gdy w stosunku do niego po stronie Spółki powstał obowiązek, o którym mowa w art. 25 ust. 1 ustawy, posiadał on chociażby podstawowe informacje identyfikujące Spółkę, jako nowego administratora danych.

Wobec faktu, że Spółka nie udzieliła Skarżącemu informacji określonych w art. 25 ust. 1 ustawy stwierdzić należy, iż podmiot ten uchybił spoczywającemu na nim obowiązkowi. Zasadne jest zatem skorzystanie przez Generalnego Inspektora z uprawnienia określonego w art. 18 ust. 1 pkt 1 ustawy, zgodnie z którym w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie uchybień.

Mając powyższe na uwadze, w tym stanie prawnym i faktycznym, Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak na wstępie.