Czy związki zawodowe mogą domagać się od pracodawcy udostępnienia danych osobowych pracowników na potrzeby referendum strajkowego, a w razie odmowy złożyć skargę do PUODO? Czy w takim przypadku organ może nakazać pracodawcy przekazanie danych personalnych — czy jednak nakazanie udostępnienia osobie trzeciej danych osobowych pracowników firmy jest sprzeczne z RODO?
nieprawomocny wyrok WSA w Warszawie z 8 lipca 2021 r. (II SA/Wa 2489/19)
Na gruncie przepisów RODO Prezes Urzędu Ochrony Danych Osobowych nie ma uprawnienia do nakazania administratorowi danych udostępnienia innemu podmiotowi danych osobowych swoich pracowników.
Sprawa zaczęła się od wystosowanego przez zakładową organizację związku zawodowego do pracodawcy wniosku o wydanie wykazu pracowników w celu przeprowadzenia referendum pracowniczego w/s akcji strajkowej. W odpowiedzi spółka przekazała wykaz numerów identyfikacyjnych użytkownika w systemie teleinformatycznym SAP i poinformowała, że każdy pracownik identyfikowany jest w ten sposób; związek poprosił więc o przekazanie listy pracowników z podaniem imienia i nazwiska wraz z adresem sklepu, w którym pracuje; pracodawca odparł, że indywidualny numer SAP jest wystarczający na potrzeby referendum strajkowego — zatem organizacja związkowa złożyła skargę do PUODO.
W wydanej decyzji Prezes Urzędu Ochrony Danych Osobowych nakazał pracodawcy udostępnienie organizacji związkowej danych osobowych swoich pracowników: wprawdzie ustawa o rozwiązywaniu sporów zbiorowych nie określa wprost uprawnienia związków zawodowych do pozyskiwania danych osobowych pracowników na potrzeby referendum strajkowego, jednak przesłanką tą jest prawnie uzasadniony interes w postaci wypełnienia obowiązków związanych z akcją protestacyjną. W takim przypadku pracodawca ma obowiązek udostępnić organizacji związkowej imię, nazwisko i dane kontaktowe zatrudnionych, zaś przekazanie wyłącznie numeru SAP nie jest wystarczające, bo numer ten nie umożliwia kontaktu z pracownikiem.
W skardze na tę decyzję pracodawca podkreślił, że zamiar organizacji strajku pracowniczego i prowadzenie agitacji związkowej nie mogą usprawiedliwiają pozyskania danych pracowników w oparciu o uzasadniony interes, zaś tak czy inaczej związki zawodowe nie mogą domagać się danych osób niezrzeszonych — zwłaszcza, że przynależność do związków zawodowych jest uznane za dane szczególnie wrażliwe (art. 9 ust. 1 RODO).
(Co ciekawe po wniesieniu skargi PUODO zmienił zdanie i stwierdził nieważność wcześniejszej decyzji — ale sąd uznał, że było to niedopuszczalne, wyrok WSA w Warszawie z 26 lutego 2021 r., II SA/Wa 2238/20 — zatem PUODO zwrócił się do sądu o uchylenie błędne, bo wydanej z naruszeniem RODO decyzji.)
art. 58 ust. 2 lit. d) rozporządzenia o ochronie danych osobowych
Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze:
d) nakazanie administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu;
Wojewódzki Sąd Administracyjny podzielił samokrytyczną ocenę PUODO: RODO nie upoważnia organu nadzorczego do nakazania pracodawcy przekazania osobie trzeciej danych osobowych swoich pracowników (por. „PUODO nie może nakazać udostępnienia danych osobowych osobie trzeciej„). Wydaną decyzję organ oparł na przepisie, który do uprawnień naprawczych zalicza nakazanie dostosowania operacji przetwarzania danych osobowych do przepisów rozporządzenia o ochronie danych osobowych — co nie oznacza jednak, iżby PUODO mógł zmusić administratora do udostępnienia komuś danych osobowych (por. „PUODO nie może nakazać udostępnienia danych abonenta telekomunikacyjnego (nawet jeśli są niezbędne do wniesienia pozwu)”). Podstawowym obowiązkiem i uprawnieniem PUODO jest egzekwowanie stosowania RODO, w szczególności ochrona praw i wolności osób, których dane dotyczą — a nie zmuszanie administratorów do udostępniania danych osobowych. Podstawą nakazania udostępnienia danych osobowych osobie trzeciej nie może być powołany przez PUODO art. 58 ust. 2 lit. d) RODO, bo udostępnienie danych nie jest działaniem naprawczym (na marginesie: podstawą nie może być także art. 58 ust. 2 lit. c) RODO, por. „PUODO nie może nakazać udostępnienia danych osobowych internautów — nawet jeśli jest to niezbędne do wniesienia sprawy za zniesławiające komentarze”).
Stwierdzając, iż nakazanie pracodawcy udostępnienia związkom zawodowym danych osobowych pracowników w oczywisty sposób przeczy realizacji celów RODO stanowi rażące naruszenie prawa, WSA stwierdził jej nieważność.