Tak wynika z wtorkowego wyroku Naczelnego Sądu Administracyjnego (NSA) w kolejnej sprawie dotyczącej przepisów RODO.
Spór dotyczy uprawnień burmistrza, na którego do prezesa Urzędu Ochrony Danych Osobowych (UODO) poskarżył się jeden z urzędników samorządowych. Mężczyzna – zatrudniony w Zakładzie Gospodarki Komunalnej i Mieszkaniowej (ZGKiM) na stanowiskach kierowniczych m.in. kierownika Działu Rekreacyjno-Sportowego – zarzucił, że jego pracodawca złamał prawo, bo udostępnił bez podstawy prawnej burmistrzowi dane osobowe jego i innych pracowników. Burmistrz zaś pozyskał i przetwarzał je bezprawnie.
Czy burmistrz może żądać informacji o wynagrodzeniach pracowników zakładu budżetowego?
Włodarz miasta nie poczuwał się do winy. Wyjaśnił, że ZGKiM jest gminną jednostką budżetową, dla której corocznie to on zatwierdza plan finansowy. Projekt planu finansowego na 2020 r. przewidywał drastyczny wzrost wydatków na wynagrodzenia i nie został przez niego zaakceptowany. Jednak w trakcie 2020 r. zakład poprosił o zwiększenie wynagrodzeń pracowników. Magistrat postanowił sam sprawdzić, czy są ku temu podstawy. Dlatego wystąpiono do ZGKiM o przygotowanie informacji zbiorczej o wynagrodzeniach, w tym m.in. co do liczby etatów, stałych i zmiennych składników wynagrodzeń oraz liczby przepracowanych dni i przyczyn nieobecności.
Czytaj więcej:
Udostępnienie pracownikom w mailu danych osobowych kogoś, kto zrezygnował z pracy, nie narusza RODO. Pracodawca ma w takim przypadku prawnie uzasad...
Pro
Burmistrz był przekonany, że zbiorcza informacja o wynagrodzeniach pracowników ZGKiM nie pozwala na ich zidentyfikowanie. Poza tym miasto miało prawo przetwarzać informacje o wynagrodzeniu pracownika zakładu w celu realizowania swoich zadań kontrolnych i zarządczych w stosunku do jednostki podległej w zakresie wydatkowania środków publicznych. Zwłaszcza, że w oparciu o przedłożone dokumenty rada miasta uchwaliła zwiększenie budżetu zakładu na wynagrodzenia w trakcie roku o blisko 400 tys. zł.
Żadnej z podstaw legalizujących przetwarzanie danych osobowych ani przez burmistrza, ani podległy mu zakład nie dopatrzył się jednak prezes UODO. I choć w obu przypadkach skończyło się tylko na upomnieniu, nie miał cienia wątpliwości, że udostępnienie oraz ich pozyskanie i dalsze przetwarzanie danych w zakresie informacji o elementach składowych wynagrodzenia, liczbie dni przepracowanych i powodzie nieobecności w pracy naruszało RODO.
Czy RODO chroni dane osobowe pracowników samorządowych?
Sprawa trafiła na wokandę i w pierwszej instancji skończyła się fiaskiem dla samorządowców. Wojewódzki Sąd Administracyjny (WSA) w Warszawie też nie dopatrzył się przepisów, które dawałyby podstawę do udostępniania i przetwarzania spornych danych. W ocenie WSA nie ma jej ani w ustawie o finansach publicznych, ani w ustawie o samorządzie gminnym, ani w innych aktach prawnych.
Rację burmistrzowi i podległemu mu zakładowi przyznał dopiero NSA. Nie zgodził się bowiem, że nie ma żadnych podstaw prawnych dla organu wykonawczego jednostek samorządu terytorialnego, które uzasadniałyby przetwarzanie danych osobowych osoby zatrudnionej w gminnej jednostce budżetowej.
Czytaj więcej
Realizacja obowiązku składania radzie miasta sprawozdań z działalności między sesjami nie uprawnia do udostępnienia danych osobowych byłego wicepre...
Kluczowy okazał się art. 6 ust. 1 lit. c RODO, zgodnie z którym przetwarzanie danych osobowych jest zgodne z prawem wyłącznie, gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. NSA nie krył co prawda, że są wątpliwości, czy regulacja ta wymaga, aby przepis prawa wyraźnie regulował przetwarzanie danych osobowych, czy wystarczą do tego przepisy ustrojowe, materialne, albo wynikające z kontroli zarządczej.
W ocenie sądu nie można jednak stwierdzić, że zawsze musi istnieć konkretny przepis prawa stanowiący, że organ może przetwarzać dane osobowe podległego pracownika. W wielu przypadkach brak jest bowiem szczegółowych przepisów odnoszących się wprost do przetwarzania danych osobowych, w których trudno byłoby zaakceptować wniosek, że nie ma do tego podstaw do przetwarzania danych osobowych. NSA podkreślił, że przepisy RODO mają szczególne znaczenie dla przetwarzania danych osobowych w odniesieniu do podmiotów publicznych i – jak w spornym przypadku – podmiotów zależnych.
Czy podległość zakładu budżetowego ma znaczenie dla RODO?
Zakład to nie jest samodzielny podmiot. Zakład gospodarki budżetowej jest uzależniony od burmistrza. Trudno więc wyobrazić sobie sytuację, że burmistrz chce prognozować wynagrodzenia dla pracowników zakładu bez możliwości wglądu we wszystkie dane, również te związane z wynagrodzeniem, skierowaniem na L4 czy jakimiś innymi kwestiami. Dlatego zdaniem NSA choć rzeczywiście przepisy wprost nie stanowią, że burmistrz może przetwarzać dane osobowe zakładu jako jednostki budżetowej, to są przepisy ustrojowe i dotyczące kontroli zarządczej. Ta sprowadza się zaś do prawa kontrolowania podległej jednostki, co nie jest możliwe bez możliwości wglądu w dane osobowe i prognozowania takich wydatków.
I jak tłumaczył sędzia NSA Artur Kuś, nie można powiedzieć, że jeżeli żaden przepis prawa nie przewiduje możliwości przetwarzania danych osobowych wprost, to nie można ich przetwarzać. To byłoby sprzeczne z celem RODO i przesłanką niezbędności przetwarzania danych. A ta zdaniem sądu w sprawie jest jak najbardziej wykazana, bo przetwarzanie spornych danych osobowych pracowników podmiotu zależnego od burmistrza, jakim był ten zakład, jest niezbędne dla ustalenia jego budżetu. Wyrok jest prawomocny.
Sygnatura akt: III OSK 144/23
