II SA/WA 114/24

II SA/Wa 114/24 - Wyrok WSA w Warszawie
Data orzeczenia
2025-03-14
orzeczenie nieprawomocne
Data wpływu
2024-01-24
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Dorota Kozub-Marciniak /sprawozdawca/
Ewa Radziszewska-Krupa /przewodniczący/
Łukasz Krzycki
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 935
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Łukasz Krzycki, Asesor WSA Dorota Kozub-Marciniak (spr.), , Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 14 marca 2025 r. sprawy ze skargi B.B. i J.B. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
B. B. i J. B. (dalej, jako: skarżący) wnieśli do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej, Jako: PUODO) z dnia [...] listopada 2023 r., którą organ po rozpoznaniu skargi skarżących na nieprawidłowości w procesie przetwarzania ich danych osobowych przez Zakład Ubezpieczeń Społecznych z siedzibą w W. (polegające na tworzeniu kopii dokumentów zawierających ich dane osobowe i przekazywaniu do sądów akt zawierających ich dane osobowe, wykorzystywaniu ich danych osobowych w elektronicznym koncie płatnika/ubezpieczonego) oraz Prezesa Kasy Rolniczego Ubezpieczenia Społecznego z siedzibą w W. (polegające na tworzeniu kopii dokumentów zawierających ich dane osobowe i przekazywaniu do sądów akt zawierających ich dane osobowe):
1. umorzył postępowanie w zakresie dotyczącym przetwarzania przez Zakład Ubezpieczeń Społecznych z siedzibą w W. (dalej, jako: ZUS) i Prezesa Kasy Rolniczego Ubezpieczenia Społecznego z siedzibą w W. (dalej, jako: Prezes KRUS) danych osobowych skarżących przed 25 maja 2018 r.,
2. w pozostałym zakresie odmówił uwzględnienia wniosku.
W uzasadnieniu decyzji podniesiono, że w dniu [...] listopada 2019 r. do PUODO wpłynęła skarga na nieprawidłowości w przetwarzaniu danych osobowych skarżących przez ZUS i Prezesa KRUS. Skarżący szczegółowo opisali wskazywane przez nich nieprawidłowości.
Organ uzyskał wyjaśnienia od ZUS i Prezesa KRUS i ustalił, że ZUS przetwarza dane osobowe skarżących w związku z faktem, że podlegają oni obowiązkowym ubezpieczeniom społecznym z tytułu prowadzenia pozarolniczej działalności gospodarczej będąc zobowiązanymi do opłacania składek z tego tytułu. ZUS przetwarza dane osobowe skarżących jako dane osób ubezpieczonych oraz jako dane płatników składek. Z uwagi na fakt, że skarżący nie dopełniają obowiązku opłacania składek ZUS prowadzi w stosunku do nich postępowania administracyjne kończone decyzjami określającymi wysokość zadłużenia z tytułu składek za kolejne okresy rozliczeniowe. Do dnia 23 czerwca 2020 r. w stosunku do skarżących ZUS wydał po kilkanaście decyzji określających stan zadłużenia. Wszystkie te decyzje zostały zaskarżone do Sądu Okręgowego w L.
W sprawach zaskarżonych przez skarżących decyzji ZUS przekazuje do sądu odwołanie od decyzji wraz z aktami sprawy, tj. do sądu przekazywany jest zestaw oryginalnych dokumentów dotyczących danej sprawy, a w teczce zastępczej pozostawiane są kopie decyzji, odwołania od decyzji oraz inne dokumenty niezbędne w postępowaniu odwoławczym. ZUS wyjaśnił, że w trakcie postępowań odwoławczych skarżący składają liczne pisma procesowe i wnioski dowodowe, a ZUS na zarządzenia sądu zobowiązany jest do ustosunkowania się do wniosków dołączając do swojego stanowiska wymagane dokumenty.
Prezes KRUS przetwarza dane osobowe skarżących w związku z faktem, że podlegali oni ubezpieczeniu rolniczemu. Decyzją z dnia [...] listopada 2005 r. Prezes KRUS stwierdził ustanie ubezpieczenia społecznego rolników dla skarżącej od dnia [...] stycznia 1998 r. Powodem wydania powyższej decyzji było ustalenie, że skarżąca od dnia [...] listopada 1997 r. podjęła prowadzenie pozarolniczej działalności gospodarczej. Od powyższej decyzji skarżąca wniosła odwołanie do sądu. Decyzją z dnia [...] listopada 2001 r. Prezes KRUS stwierdził podleganie skarżącego ubezpieczeniu społecznemu rolników od dnia [...] października 2001 r. Następnie w dniu [...] grudniu 2004 r. została wydana decyzja stwierdzająca ustanie ubezpieczenia społecznego rolników dla skarżącego z dniem [...] października 2001 r. i jednocześnie uchylająca decyzję z dnia [...] listopada 2001 r. o objęciu ubezpieczeniem społecznym rolników. Od tej decyzji skarżący wniósł odwołanie do Sądu Okręgowego w L.
Ww. wydane przez Prezesa KRUS decyzje wyłączające skarżących z ubezpieczenia społecznego rolników były przedmiotem postępowań odwoławczych przed Sądem Okręgowym w L. oraz Sądem Apelacyjnym w L. Następnie skarżący zainicjowali szereg postępowań administracyjnych - o wznowienie postępowania w sprawie o podleganie ubezpieczeniu społecznemu rolników, o stwierdzenie nieważności decyzji, o wydanie zaświadczenia, o zasiłek chorobowy, a wszystkie niekorzystne dla nich rozstrzygnięcia zaskarżali do właściwego sądu.
W KRUS kopie akt zawierających dane osobowe skarżących zostały wykonane po raz pierwszy w całości w lutym 2005 r. po wniesieniu pierwszego odwołania do Sądu Okręgowego w L. Następne kopie akt zawierających dane osobowe skarżących były sukcesywnie wykonywane w KRUS po składaniu przez skarżących kolejnych odwołań od kolejnych decyzji. KRUS w złożonych w sprawie wyjaśnieniach wskazał, że podstawą sporządzania kopii akt była konieczność przekazania do sądu akt oryginalnych w trybie art. 4779 § 2 Kodeksu postępowania cywilnego, oraz iż sporządzanie kopii akt umożliwia realizację zadań KRUS na bieżąco, jak również pozwala w rzetelny sposób odzwierciedlić zawartość akt pozostających w dyspozycji sądu, co jest niezbędne z racji tego, że Prezes KRUS jest stroną postępowania przed sądem, aktywnie biorącą udział w procesie.
W związku z wnoszonymi przez skarżących odwołaniami od rozstrzygnięć Prezesa KRUS przekazał on oryginały akt zawierających dane osobowe skarżących:
• w dniach [...] marca 2005 r., [...] listopada 2005 r., [...] grudnia 2005 r., [...] listopada 2006 r., [...] lipca 2007 r., [...] czerwca 2009 r., [...] listopada 2009 r., [...] maja 2011 r., [...] lipca 2013 r., [...] sierpnia 2015 r., [...] kwietnia 2016 r., [...] września 2016 r., [...] października 2016 r., [...] października 2016 r., [...] listopada 2016 r., [...] października 2017 r., [...] stycznia 2018 r., [...] listopada 2019 r. i [...] grudnia 2019 r. do Sądu Okręgowego w L. [...] Wydział Pracy i Ubezpieczeń Społecznych;
• w dniach [...] kwietnia 2018 r., [...] czerwca 2018 r., [...] sierpnia 2018 r., [...] sierpnia 2018 r. i [...] października 2018 r. do Sądu Rejonowego L. [...] Wydział Pracy i Ubezpieczeń Społecznych.
Po zapoznaniu się z całością zgromadzonego materiału dowodowego organ w pierwszej kolejności wskazał, że przed [...] maja 2018 r. obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm., dalej, jako : ustawa z dnia 29 sierpnia 1997 r.). Przepisy te określały zasady przetwarzania danych osobowych do [...] maja 2018 r. natomiast od [...] maja 2018 r., obowiązują przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej, jako: RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, dalej, jako: ustawa z dnia 10 maja 2018 r.). Będące przedmiotem wniesionej przez skarżących skargi, a mające miejsce przed [...] maja 2018 r. operacje na ich danych osobowych nie mogą być rozpatrywane w toku postępowania administracyjnego zmierzającego do wydania decyzji w oparciu o przepisy RODO (art. 99 ust. 2 RODO). W związku z tym przepisy RODO mają zastosowanie wyłącznie w sprawach, w których kwestionowany proces przetwarzania danych osobowych miał miejsce po 24 maja 2018 r. Organ przytoczył motyw 122 RODO oraz art. 55 ust. 1, art. 58 RODO i wyjaśnił, że z uwagi na fakt, że takie operacje miały miejsce w czasie, gdy obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r., a postępowanie administracyjne przed organem nadzorczym zostało zainicjowane w czasie, gdy zaczęły obowiązywać przepisy ustawy z dnia 10 maja 2018 r., do rozstrzygnięcia przedmiotowej sprawy nie jest możliwe również zastosowanie przepisów ustawy z dnia 29 sierpnia 1997 r. Artykuł 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. przewiduje, że jedynie postępowania, wszczęte i niezakończone przed dniem wejścia w życie ustawy z dnia 10 maja 2018 r., są prowadzone przez PUODO, na podstawie ustawy z dnia 29 sierpnia 1997 r. Tym samym PUODO nie ma możliwości prowadzenia postępowania administracyjnego w oparciu o przepisy ustawy z dnia 29 sierpnia 1997 r., gdyż postępowanie w przedmiotowej sprawie zostało wszczęte po dniu wejścia w życie ustawy z dnia 10 maja 2018 r. Brak jest również podstawy do korzystania przez PUODO z uprawnień przewidzianych w uchylonej ustawie z 29 sierpnia 1997 r., w tym do oceny zgodności zachowania administratora z ww. przepisami. Ponadto brak jest obecnie przepisów kompetencyjnych uprawniających organ do prowadzenia postępowania w przedmiocie oceny zgodności działania administratora z przepisami ustawy z dnia 29 sierpnia 1997 r.
W tej sytuacji niniejsze postępowanie w zakresie dotyczącym przetwarzania przez ZUS i Prezesa KRUS danych osobowych skarżących przed 25 maja 2018 r. podlega umorzeniu na podstawie art. 105 § 1 K.p.a.
Natomiast odnosząc się do przetwarzania danych osobowych po 25 maja 2018 r. PUODO wskazał na art. 5 i art. 6 ust. 1 RODO oraz podniósł, że ZUS i Prezes KRUS przetwarzają dane osobowe skarżących w związku z prowadzeniem postępowań administracyjnych, w których skarżący są stronami, a przesłanką przetwarzania przez ww. organy danych osobowych skarżących w związku z prowadzeniem tych postępowań jest niezbędność do wypełnienia obowiązku prawnego ciążącego na administratorze, o której mowa w przytoczonym powyżej art. 6 ust. 1 lit. c RODO.
Odnośnie tworzenia - od 25 maja 2018 r. - przez ZUS i Prezesa KRUS kopii dokumentów zawierających dane osobowe skarżących, organ wskazał, że posługiwanie się określoną techniką przetwarzania danych (np. kopiowanie, skanowanie, wykonywanie zdjęć lub przepisywanie) nie przesądza samo przez się o legalności albo nielegalności tego procesu przetwarzania. Kopiowanie dokumentów jest czynnością techniczną, która ze swojej istoty nie jest zakazana przepisami o ochronie danych osobowych. Z punktu widzenia przepisów o ochronie danych osobowych istotny bowiem jest nie sam fakt kopiowania dokumentów, lecz to, aby podmiot, który czynności tej dokonuje, legitymował się jedną z przesłanek legalności przetwarzania.
Z wyjaśnień złożonych w niniejszej sprawie przez ZUS i Prezesa KRUS wynika, że powyższe podmioty wykonywały kopie dokumentów, zawierających dane osobowe skarżących, znajdujących w aktach spraw, których oryginały zostały przekazane do sądów, z uwagi na fakt, iż ww. dokumenty były niezbędne ww. organom w postępowaniach odwoławczych prowadzonych przed sądami. Wobec powyższego organ rentowy - czyli ZUS i Prezes KRUS - jest stroną postępowania sądowego w sprawach z zakresu ubezpieczeń społecznych, co wynika z art. 47711 Kpc. POUDO w tym kontekście wskazał na wymogi stawiane pismom w postępowaniu sądowym, w szczególności art. 126 § 1 pkt 5, art. 386 § 1 Kpc i wywiódł, że dla prawidłowego wykonywania przez ZUS i Prezesa KRUS powierzonej im jako organom rentowym roli strony w postępowaniach sądowych zainicjowanych odwołaniami skarżących niezbędne jest posiadanie przez ww. organy informacji, w tym danych osobowych skarżących, znajdujących się w aktach postępowań administracyjnych, w których wniesiono takie odwołania, a w szczególności informacji o treści rozstrzygnięć wydanych w tych sprawach. Z uwagi na powyższe, w ocenie PUODO, wytworzenie przez ZUS i Prezesa KRUS kopii danych osobowych skarżących w wyniku wykonania kopii dokumentów zawierających te dane, w okolicznościach niniejszej sprawy znajduje oparcie w przesłance określonej w przytoczonym wcześniej art. 6 ust. 1 lit. e RODO, jako niezbędne w ramach sprawowania władzy publicznej powierzonej im jako organom rentowym.
Dodatkowo Prezes KRUS wyjaśnił w toku postępowania, że sporządzenie kopii akt umożliwia realizację zadań KRUS na bieżąco. Skarżący po wyłączeniu ich na podstawie decyzji Prezesa KRUS z ubezpieczenia społecznego rolników inicjowali kolejne, liczne, dotyczące podlegania ubezpieczeniu społecznemu rolników postępowania administracyjne prowadzone przez Prezesa KRUS. Wniesienie podania, co do zasady nakłada zaś na organ administracji publicznej jego rozpatrzenia (art. 35, art. 217 i art. 61a § 1 K.p.a.). Dokonanie oceny nie jest zaś możliwe bez posiadania przez organ, do którego podanie wniesiono, informacji o innych prowadzonych przez ten organ postępowaniach, a w szczególności informacji, w tym danych osobowych, zawartych w treści podań i decyzji w tych innych postępowaniach. Ponadto, postępowania inicjowane przed Prezesem KRUS przez skarżących dotyczyły postępowań, w których Prezes KRUS wydał już decyzję lub też dla ich rozstrzygnięcia znaczenie miała okoliczność podlegania ubezpieczeniu społecznemu rolników. W takich przypadkach jest zaś niemożliwe rozstrzygnięcie sprawy bez posiadania informacji przetwarzanych w ramach postępowania, którego nowo zainicjowane postępowanie dotyczy, lub ramach postępowań, w których rozstrzygnięto w przedmiocie podlegania przez skarżących ubezpieczeniu społecznemu rolników. Zatem, dla wypełnienia przez Prezesa KRUS wynikającego z przepisów K.p.a. obowiązku załatwienia spraw, niezbędne jest, zdaniem PUODO, przetwarzanie przez Prezesa KRUS danych osobowych skarżących zawartych w aktach innych postępowań administracyjnych prowadzonych przez Prezesa KRUS, w których skarżący są stronami. W ocenie PUODO, dokonanie przez Prezesa KRUS w celu realizacji bieżących zadań KRUS kopii danych osobowych skarżących zawartych w dokumentach wchodzących w skład akt przekazanych do sądów w związku z wnoszonymi przez skarżących odwołaniami, jako niezbędne dla wypełnienia obowiązku prawnego ciążącego na Prezesie KRUS, znajduje również oparcie w przesłance określonej w art. 6 ust. 1 lit. e RODO.
Odnośnie do kwestii przekazywania – od 25 maja 2018 r. – przez ZUS i Prezesa KRUS do sądów akt zawierających dane osobowe skarżących, organ podniósł, że te procesy przetwarzania danych osobowych dotyczą akt spraw, w których w stosunku do rozstrzygnięć wydanych przez ZUS lub Prezesa KRUS skarżący wnosili odwołania do sądu. Wobec powyższego organ wskazał na zasady prowadzenia postępowań sądowych w sprawach z zakresu ubezpieczeń społecznych określonych w art. 4778-47714a Kpc i wyjaśnił, że w przypadku wniesienia przez skarżących odwołania od rozstrzygnięcia i nieuznania odwołania w całości za słuszne, ZUS i Prezes KRUS zobowiązani byli do przesłania akt sprawy do właściwego sądu. Wobec powyższego udostępnianie przez ZUS i Prezesa KRUS sądom danych osobowych skarżących zawartych w aktach takich spraw, jako niezbędne do wykonania obowiązku prawnego ciążącego na administratorze, znajduje oparcie w przesłance określonej w przytoczonym wcześniej art. 6 ust. 1 lit. c RODO.
Dalej PUODO odniósł się do kwestii wykorzystywania przez ZUS - od 25 maja 2018 r. - danych osobowych skarżących w elektronicznym koncie płatnika/ubezpieczonego. Organ podał, że skarżący podlegają obowiązkowym ubezpieczeniom społecznym z tytułu prowadzenia pozarolniczej działalności gospodarczej będąc zobowiązanymi do opłacania składek z tego tytułu, są zatem klientami ZUS jako osoby ubezpieczone oraz jako płatnicy składek. Mając powyższe na uwadze organ wskazał na art. 4, art. 33 ust. 1, art. 40 i art. 45 ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (Dz. U. z 2023 r. poz. 1230 ze zm.) i podniósł, że skarżący są zarówno ubezpieczonymi, jak i płatnikami składek. Powyższe oznacza, że wynikającym z art. 33 ust. 1 ustawy o systemie ubezpieczeń społecznych obowiązkiem prawnym ciążącym na ZUS jest prowadzenie również dotyczących skarżących kont płatników składek. Realizacja tego obowiązku wymaga zaś przetwarzania danych osobowych skarżących. Zdaniem PUODO, ZUS nie może się ograniczyć, tak domagają się tego skarżący, do przetwarzania danych osobowych wyłącznie na kontach ubezpieczonych. Zatem wykorzystywanie przez ZUS danych osobowych skarżących w elektronicznym koncie płatnika/ubezpieczonego, jako niezbędne do obowiązku prawnego ciążącego na ZUS, znajduje oparcie w przesłance określonej w przytoczonym wcześniej art. 6 ust. 1 lit. c RODO.
Mając powyższe na względzie PUODO wyjaśnił, że nie może wydać decyzji administracyjnej nakazującej przywrócenie stanu zgodnego z prawem, jak również nie może skorzystać z uprawnień naprawczych, o których mowa w art. 58 ust. 2 RODO, co skutkuje koniecznością odmowy uwzględnienia wniosku skarżących.
Końcowo PUODO wskazał, że okoliczności istotne dla jej rozstrzygnięcia zostały w sprawie stwierdzone innymi dowodami niż oględziny wszystkich dokumentów zawierających dane osobowe skarżących znajdujących się w aktach ubezpieczonych prowadzonych przez Placówkę Terenową KRUS w B. oraz materiałach wytworzonych przez Oddział ZUS w L. Natomiast dopuszczalność odmowy uwzględnienia przez organ administracji publicznej żądania strony w przedmiocie przeprowadzenia dowodu, w sytuacji gdy żądanie to dotyczy okoliczności już stwierdzonych innymi dowodami, nie budzi wątpliwości zarówno w literaturze przedmiotu jak i orzecznictwie sądowym.
Z tym rozstrzygnięciem skarżący nie zgodzili się i wywiedli skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, wnosząc o uchylenie zaskarżonej decyzji i przekazanie sprawy do ponownego rozpoznania organowi "w celu uwzględnienia między innymi art. 7, art. 51 Konstytucji, art. 76 a. § 2b kodeksu postępowania administracyjnego, art. 33 i 34 ustawy o systemie ubezpieczeń społecznych w odniesieniu do sprawy, które obowiązują jako prawo krajowe łącznie z przepisami RODO oraz uwzględnienia, że organy rentowe nie są uprawnione jako jednostki organizacyjne działające na podstawie prawa do działań samowolnych, bez podstawy prawnej, takiej jak kopiowanie dokumentów, które prawnie jest niedopuszczalne w przypadku osób wykonujących czynności urzędowe, ponieważ nie ma do tego podstawy prawnej (art. 7 Konstytucji, art. 6 kodeksu postępowania administracyjnego), konieczne jest zwrócenie uwagi na art. 76a. § 2b KPA).".
W uzasadnieniu skargi skarżący podtrzymali swoje stanowisko co do nieprawidłowości w przetwarzaniu ich danych osobowych przez ZUS i Prezesa KRUS.
W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymał swoje dotychczasowe stanowisko.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga nie jest zasadna.
Zgodnie z art. 1 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r. poz. 1267) sądy administracyjne są właściwe do badania zgodności z prawem zaskarżonych aktów administracyjnych, przy czym sąd nie może opierać tej kontroli na kryterium słuszności lub sprawiedliwości społecznej. Kontrolowane rozstrzygnięcie jest zgodne z prawem, jeżeli jest zgodne z powszechnie obowiązującymi przepisami prawa materialnego i przepisami prawa procesowego. Uchylenie decyzji, względnie stwierdzenie jej nieważności przez sąd następuje tylko w przypadku stwierdzenia istnienia istotnych wad w postępowaniu lub naruszenia przepisów prawa materialnego, mającego wpływ na wynik sprawy, o czym przesadza art. 145 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r. poz. 935 ze zm., dalej, jako: P.p.s.a.). Zakres kontroli Sądu wyznacza art. 134 P.p.s.a. stanowiący, iż sąd orzeka w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną.
Dokonując kontroli legalności zaskarżonej decyzji w granicach kompetencji przysługujących sądowi administracyjnemu, na podstawie wymienionych ustaw, Sąd uznał zasadność zastosowania art. 151 P.p.s.a.
W pierwszej kolejności należy przypomnieć, że celem ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), jest ochrona prywatności w rozumieniu art. 47 Konstytucji RP (por. wyrok NSA z dnia 30 marca 2006 r., I OSK 628/05, LEX nr 198299; wyrok NSA w składzie 7 sędziów z dnia 6 czerwca 2005 r., I OPS 2/05).
W doktrynie, na gruncie art. 47 Konstytucji RP, prawo do prywatności oznacza "przymioty, wewnętrzne przeżycia osobiste (jednostkowe) człowieka i ich oceny, refleksje dotyczące wydarzeń zewnętrznych i jego wrażenia zmysłowe, a także stan zdrowia. Nie są one w założeniu przeznaczone do upowszechniania i sam zainteresowany decyduje o kręgu osób, z którymi zechce się nimi podzielić. Składową prawa do prywatności jest życie prywatne, które odnosi się generalnie do życia: osobistego, towarzyskiego, nienaruszalności mieszkania, tajemnicy korespondencji i ochrony informacji dotyczących danej osoby. Można je opisać jako "prawo do pozostawienia w spokoju" czy "prawo jednostki do bycia pozostawioną samej sobie" (B. Banaszak, Konstytucja RP,. Komentarz, Warszawa 2012, tekst za Legalis). Uprawnienie to oznacza, że ochronie podlegają te informacje o osobie fizycznej, które dotyczą jej najbliższej sfery życia, wyznaczonej przez nią samą, o której decydować powinna tylko ona lub ewentualnie osoby jej najbliższe. Sfera ta w istocie stanowi o tożsamości tej osoby i określa jej godność statuującą ją jako człowieka.
Zgodnie z art. 4 pkt 1 RODO dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
W interesie osób fizycznych leży udostępnianie tych danych o tyle, o ile taka jest ich wola, chyba że ustawodawca realizując inne jeszcze wartości przesądza o udostępnianiu tych danych niezależnie od woli tych osób stanowiąc tym samym w konkretnym przypadku o pierwszeństwie wartości związanych z interesem publicznym nad wartościami powiązanymi z interesami indywidualnymi. Na gruncie obowiązującego prawa podstawą tą jest art. 6 ust. 1 RODO, w którym określono warunki uznania przetwarzania danych osobowych za zgodne z prawem. A więc przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
Nie może też ujść uwadze, że RODO wiąże przetwarzanie danych z przestrzeganiem zasad określonych w art. 5 RODO, które mają charakter podstawowy w odniesieniu do całej regulacji. Zgodnie z art. 5 ust. 1 lit. a RODO, dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"). Stosownie z kolei do treści art. 5 ust. 1 lit. b RODO, dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu"). Jednocześnie, na administratorze spoczywa obowiązek poszanowania wyrażonej w art. 5 ust. 1 lit c RODO zasady minimalizacji danych, obligującej go do ograniczenia zakresu przetwarzanych danych do niezbędnego, adekwatnego do realizowanego celu minimum.
Odnosząc się do przetwarzania danych osobowych skarżących przez ZUS i Prezesa KRUS polegające na tworzeniu kopii dokumentów zawierających ich dane osobowe i przekazywaniu do sądów akt zawierających ich dane osobowe, to stwierdzić należy, iż organ doszedł do prawidłowych wniosków.
W ocenie Sądu zasadne jest stanowisko PUODO, że przetwarzanie danych osobowych skarżących w ww. zakresie przez ZUS i Prezesa KRUS znajduje oparcie w przesłankach wymienionych w art. 6 ust. 1 lit. c oraz e RODO.
Przede wszystkim ZUS i Prezes KRUS przetwarzają dane osobowe skarżących w związku z prowadzeniem postępowań administracyjnych, w których skarżący są stronami, a przesłanką przetwarzania przez ww. organy danych osobowych skarżących w związku z prowadzeniem tych postępowań jest niezbędność do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO). ZUS i Prezes KRUS jako organy rentowe wydawały w stosunku do skarżących rozstrzygnięcia, decyzje, które stawały się przedmiotem wystąpień skarżących. Z kolei na organach spoczywają obowiązki w zakresie prowadzonych postępowań wynikające z przepisów K.p.a. Prezes KRUS wyjaśniał w toku postępowania, że sporządzenie kopii akt umożliwia realizację zadań KRUS na bieżąco. Skarżący po wyłączeniu ich na podstawie decyzji Prezesa KRUS z ubezpieczenia społecznego rolników inicjowali kolejne, liczne, dotyczące podlegania ubezpieczeniu społecznemu rolników postępowania administracyjne prowadzone przez Prezesa KRUS. W ocenie Sądu wykładnia organu, zgodnie z którą kwestionowane przez skarżących przetwarzanie ich danych osobowych przez ZUS i Prezesa KRUS było procesem legalnym, opartym na przesłance, o której mowa w art. 6 ust. 1 lit c RODO w zw. z art. art. 4778-47714a, art. 126 § 1 pkt 5 i art. 368 § 1 Kodeksu postępowania cywilnego – jest prawidłowa.
Właściwa jest też ocena PUODO, że znajduje oparcie w przesłance legalizującej (art. 6 ust. 1 lit. e RODO), dokonanie przez ZUS i Prezesa KRUS kopii dokumentów, zawierających dane osobowe skarżących, znajdujących się w aktach spraw, których oryginały zostały przekazane do sądów – z uwagi na fakt, iż dokumenty te były niezbędne tym organom w postępowaniach odwoławczych przed sądami. ZUS i Prezes KRUS jako strony postępowań mają określone obowiązki, które właściwe opisał PUODO powołując się na art. 4778-47714a, art. 126 § 1 pkt 5, art. 368 § 1 Kpc.
Przepisy Kodeksu postępowania cywilnego wprawdzie wprost nie mówią o przetwarzaniu danych osobowych, jednakże nie budzi wątpliwości, iż w postępowaniu sądowym dochodzi do przetwarzania danych osobowych. Na czynności przetwarzania danych osobowych w toku postępowania sądowego składają się takie czynności jak przetwarzanie danych osobowych stron postępowania, przeprowadzanie dowodów zwłaszcza osobowych, prowadzenie akt sprawy, sporządzanie protokołów, dokonywanie doręczeń i wezwań, udostępnianie akt sprawy, a wreszcie wydanie rozstrzygnięcia. W istocie bez przetwarzania danych osobowych stron prowadzenie postępowania przed sądem nie byłoby możliwe.
Nadto słusznie organ wskazał, że przetwarzanie danych osobowych skarżących w elektronicznym koncie płatnika/ubezpieczonego ZUS, jako niezbędne do obowiązku prawnego ciążącego na ZUS, znajduje oparcie w przesłance określonej w art. 6 ust. 1 lit. c RODO.
Nie budzi bowiem wątpliwości, że skarżący podlegają obowiązkowym ubezpieczeniom społecznym z tytułu prowadzenia pozarolniczej działalności gospodarczej będąc zobowiązanymi do opłacania składek z tego tytułu, są zatem klientami ZUS jako osoby ubezpieczone oraz jako płatnicy składek. A zatem skarżący są zarówno ubezpieczonymi, jak i płatnikami składek (art. 4, art. 33 ust. 1, art. 40 i art. 45 ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych). Powyższe oznacza, że wynikającym z art. 33 ust. 1 ustawy o systemie ubezpieczeń społecznych obowiązkiem prawnym ciążącym na ZUS jest prowadzenie również dotyczących skarżących kont płatników składek. Realizacja tego obowiązku wymaga zaś przetwarzania danych osobowych skarżących.
W tej sprawie odnotować należy, iż mnogość postępowań administracyjnych jak i sądowych, w których stronami są skarżący oraz ZUS i Prezes KRUS, wymusiło określone działanie ze strony administratorów związane z przetwarzaniem danych osobowych skarżących. Analiza akt sprawy, wyjaśnień stron i stanowiska zaprezentowanego w zaskarżonej decyzji, pozwalają, zdaniem Sądu, uznać, iż przetwarzanie danych osobowych skarżących w zakresie przez nich opisanym w skardze do PUODO, znajduje podstawę legalizującą w przepisach RODO i polskim porządku prawnym.
Zdaniem Sądu, zgodne z prawem jest również rozstrzygnięcie organu o umorzeniu postępowania w zakresie dotyczącym przetwarzania przez ZUS i Prezesa KRUS danych osobowych skarżących przed 25 maja 2018 r.
Postępowanie administracyjne w kontrolowanej sprawie zostało wszczęte po 25 maja 2018 r. – na skutek skargi skarżących z dnia [...] listopada 2019 r. Część operacji na danych osobowych, których dotyczy niniejsze postępowanie (tj. tworzenia kopii dokumentów zawierających dane osobowe skarżących, przekazywania do sądów akt zawierających dane osobowe skarżących i przetwarzania danych osobowych skarżących w elektronicznym koncie płatnika/ubezpieczonego) miała miejsce przed 25 maja 2018 r. W świetle powyższego należy przyznać rację PUODO, że ww. skarga nie mogła doprowadzić do merytorycznego załatwienia sprawy, stosownie do przepisów RODO – jak tego chcieli tego skarżący. Zgodnie bowiem z treścią art. 99 ust. 2 RODO, rozporządzenie ma zastosowanie od dnia 25 maja 2018 r., a zatem do spraw, w których skargę wniesiono od 25 maja 2018 r., a także do spraw, w których w ww. dacie trwał skarżony proces przetwarzania danych osobowych.
Wyjaśnić jeszcze raz należy skarżącym, że przed 25 maja 2018 r. obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, które określały zasady przetwarzania danych osobowych do 24 maja 2018 r. Od 25 maja 2018 r., obowiązują przepisy RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Właściwie organ ocenił, że z uwagi na fakt, że operacje przetwarzania danych osobowych skarżących miały miejsce w czasie, gdy obowiązywały przepisy ustawy z dnia 29 sierpnia 1997 r., a postępowanie administracyjne przed organem nadzorczym zostało zainicjowane w czasie, gdy zaczęły obowiązywać przepisy ustawy z dnia 10 maja 2018 r. oraz RODO, do rozstrzygnięcia przedmiotowej sprawy nie jest możliwe zastosowanie przepisów ustawy z dnia 29 sierpnia 1997 r. Zgodnie a art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. jedynie postępowania, wszczęte i niezakończone przed dniem wejścia w życie ustawy z dnia 10 maja 2018 r., są prowadzone przez PUODO, na podstawie ustawy z dnia 29 sierpnia 1997 r. PUODO nie ma zatem możliwości prowadzenia postępowania administracyjnego w oparciu o przepisy ustawy z dnia 29 sierpnia 1997 r., gdyż postępowanie w tej sprawie zostało wszczęte po dniu wejścia w życie ustawy z dnia 10 maja 2018 r. Brak jest również podstawy (brak przepisów kompetencyjnych) do korzystania przez organ z uprawnień przewidzianych w ustawie z dnia 29 sierpnia 1997 r., w tym do oceny zgodności zachowania administratora z ww. przepisami.
Powyższe doprowadziło organ do prawidłowego wniosku, że postępowanie w tym zakresie należało umorzyć wobec jego bezprzedmiotowości. Zgodnie bowiem z art. 105 § 1 K.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości lub w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości lub w części. Brak któregoś z elementów stosunku materialnoprawnego stanowi przeszkodę załatwienia sprawy przez rozstrzygnięcie jej co do istoty.
Podsumowując stwierdzić trzeba, że kontrola zaskarżonej decyzji w granicach sprawy nie dała podstaw do przyjęcia, iż została ona wydana z naruszeniem przepisów postępowania lub naruszeniem prawa materialnego. Brak jest podstaw do uznania, że w postępowaniu zakończonym wydaniem zaskarżonej decyzji nie wyjaśniono wszystkich istotnych kwestii mających wpływ na rozstrzygnięcie sprawy. Materiał dowodowy zgromadzony w toku postępowania zakończonego zaskarżoną decyzją stanowił wystarczającą podstawę do wydania decyzji. Uzasadnienie zaskarżonej decyzji odpowiada prawu. Zawiera wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, a także wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa.
Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 P.p.s.a., orzekł jak w sentencji wyroku.