VIII SA/WA 597/22

VIII SA/Wa 597/22 - Wyrok WSA w Warszawie
Data orzeczenia
2022-12-15
orzeczenie nieprawomocne
Data wpływu
2022-08-01
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Iwona Szymanowicz-Nowak
Marek Wroczyński /sprawozdawca/
Renata Nawrot /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Inne
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2021 poz 735
art. 7, art. 77 par. 1, art. 80, art. 107 par. 3
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - tekst jedn.
Dz.U. 2018 poz 1000
art. 7 ust. 1
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych
Dz.U. 2022 poz 329
art. 145 par. 1 pkt 1 lit. c
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi  - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Renata Nawrot, Sędziowie Sędzia WSA Iwona Szymanowicz - Nowak, Sędzia WSA Marek Wroczyński (sprawozdawca), po rozpoznaniu na posiedzeniu niejawnym w Radomiu w trybie uproszczonym w dniu 15 grudnia 2022 r. sprawy ze skargi J. D. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 11 kwietnia 2022 r. znak: [...] w przedmiocie przetwarzania danych osobowych uchyla zaskarżoną decyzję
Uzasadnienie
Syg. akt VIII SA/Wa 597/22
Uzasadnienie
Zaskarżoną decyzją nr [...] z dnia 11 kwietnia 2022 roku Prezes Urzędu Ochrony Danych Osobowych( dalej jako organ, Prezes UODO) na podstawie art. 105 §1 ustawy z dnia 14 czerwca 1960 roku Kodeks postępowania administracyjnego ( DZ.U z 2021 roku, poz. 735 ze zm. dalej jako kpa) w związku z art. 7 ust.1 i 2 ustawy z dnia 10 maja 2018 roku o ochronie danych osobowych (DZ.U z 2019 roku, poz. 1781 dalej jako uodo), po przeprowadzeniu postępowania administracyjnego w sprawie skargi J. D., na nieprawidłowości w procesie przetwarzania danych osobowych przez W. sp. z oo w W. polegające na udostępnieniu danych osobowych skarżącego bez podstawy prawnej podmiotom nieuprawnionym – umorzył postępowanie w sprawie.
Podstawą rozstrzygnięcia były następujące ustalenia faktyczne i ocena prawna.
Do organu wpłynęła skarga J. D. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez W. sp. z oo w W. polegające na udostępnieniu jego danych osobowych podmiotom nieuprawnionym. Skarżący zarzucił, że wyżej powołana firma ujawniła dane osobowe osobom trzecim. O naruszeniu dowiedział się od Sądu Rejonowego w S., który przesłał mu komplet dokumentów( nakaz zapłaty utracił moc). Z Sądu otrzymał umowę sprzedaży wierzytelności, gdzie dług od Kolei M. odkupiła W. sp. z oo w W.. Firma udostępniła dane innych dłużników poprzez wysłanie wydruków 50 pozycji z imionami i nazwiskami adresem oraz numerem pesel( skarżący dostał stronę nr 58 ze 141 stron listy dłużników, adresując w/w do danego dłużnika. Dłużnik ten posiada dane osobowe innych osób ujętych na tej liście. W związku z tym dłużnik uznał, że jego dane osobowe w ten sposób zostały udostępnione innym dłużnikom wskazanym na ww. liście. Spółka wyjaśniła, że zawarła z Kolejami M. sp. z oo umowę sprzedaży wierzytelności z dnia 26 września 2013 roku w związku z którą pozyskała dane osobowe skarżącego, które wchodziły w skład nabytego pakietu wierzytelności. Spółka przetwarza dane skarżącego wyłącznie w celu dochodzenia swoich uzasadnionych i stwierdzonych prawomocnym tytułem wykonawczym roszczeń. Obecnie spółka realizuje ten cel, poprzez prowadzenie postępowania egzekucyjnego przez komornika sądowego. Spółka podkreśliła, że udostępniła dane osobowe wyłącznie w toku postępowania sądowego, które toczyło się przed Sądem Rejonowym w sprawie [...]. Spółka wskazywała, że nie wykorzystywała i nie wykorzystuje danych osobowych skarżącego.
Spółka wskazywała, że udostępniała danych osobowych skarżącego innym dłużnikom, a wykorzystywała jego dane osobowe jedynie na potrzeby prowadzenia postępowania sądowego.
Zdaniem organu należy zauważyć, że postępowanie administracyjne prowadzone przez prezesa UODO służy kontroli zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych i jest ukierunkowane na przywrócenie stanu zgodnego z prawem poprzez wydanie decyzji administracyjnej na podstawie art. 58 ust.2 Rozporządzenia Parlamentu Europejskiego i Rady(UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE( ogólne rozporządzenie o ochronie danych)( Dz.Urz.UE L 119 z 4.05.2016, str.1, Dz.Urz.UE z 23 maja 2018 roku, str.2 oraz Dz.Urz. UE L 74 z 4 marca 2021, str.35) ( dalej rozporządzenie 2016/697 lub RODO).
Odnosząc się do zarzutu udostępnienia przez spółkę danych osobowych skarżącego widniejących na liście dłużników na rzecz podmiotów nieuprawnionych, stwierdzić należało, że zgromadzony w sprawie materiał dowodowy nie potwierdza w sposób jednoznaczny i bezsporny tej okoliczności. Spółka w swoich wyjaśnieniach stanowczo zaprzeczyła jakoby udostępniła dane osobowe innym dłużnikom. Brak jest również jednoznacznych i bezspornych dowodów na to, aby osoby nieuprawnione uzyskały dostęp do listy dłużników, na której dane osobowe skarżącego.
Zdaniem organu nie przedstawił on poza własnym oświadczeniem dowodów na potwierdzenie wskazywanych nieprawidłowości jakoby doszło do takiego udostępnienia doszło. Tym samym organ w postępowaniu organ dysponował jedynie sprzecznymi oświadczeniami stron. Skarżący przedstawił jedną stronę zawierającą dane osobowe jego i innych osób, co nie stanowi jednak dowodu na to, że spółka udostępniła jego dane osobowe innym osobom.
Z art. 7 i art. 77 § 1 kpa wynika, że obowiązek wyczerpującego zbadania i rozpatrzenia całego materiału dowodowego ciąży na organie prowadzącym postępowanie administracyjne. Nie znaczy to, że strona jest całkowicie zwolniona z tego obowiązku, zwłaszcza że nieudowodnienie określonej okoliczności faktycznej może prowadzić do rezultatów niekorzystnych dla strony. Po wyczerpaniu możliwości dokonania niezbędnych dla podjęcia rozstrzygnięcia ustaleń faktycznych organ prowadzący postepowanie jest uprawniony, a nawet zobowiązany do przyjęcia takiej wersji zdarzeń, która odpowiada logicznie pozostałemu materiałowi dowodowemu.
Zdaniem organu należało stwierdzić, iż brak jest niebudzących wątpliwości dowodów, które potwierdziłyby zarzuty skarżącego w zakresie udostępnienia jego danych osobowych innym dłużnikom. Wobec powyższego nie można uznać, że kwestionowany przez skarżącego proces przetwarzania danych osobowych w ogóle zaistniał.
Ustalenie przez organ przesłanki umorzenia postępowania z uwagi na bezprzedmiotowość postępowania obligował organ do jego umorzenia na podstawie art. 105 § 1 kpa.
Skargę na decyzję organu wniósł J. D..
W uzasadnieniu skargi podnosił, iż nie zaszły podstawy do wydania zaskarżonej decyzji o umorzeniu postępowania.
Jego zdaniem organ nie przeprowadził postępowania administracyjnego w pełni, nie zebrał całości materiału dowodowego, a poprzestał jedynie na odpowiedzi spółki. Argumentował, że skoro on otrzymał odpis pozwu wraz z listą 50 pozycji z wyszczególnieniem danych osobowych innych dłużników, to jego dane jako dłużnika otrzymali inni pozwani umieszczeni na liście dłużników. Nadto wskazywał, że odbywając karę pozbawienia wolności nie miał żadnych możliwości przedstawienia innych dowodów w sprawie. Taką możliwość miał organ i powinien zwrócić się do spółki czy też Sądu z pytaniem czy skierowane pozwy przeciwko innym dłużnikom zawierały załączniki w postaci listy z danymi osobowymi innych dłużników. Taka informacja dałaby odpowiedź czy inne osoby uzyskały jego dane osobowe.
Podnosił jeszcze, że udostępnienie danych osobowych może być wykorzystane do przestępstw gospodarczych, czego się obawia ponieważ prowadzi działalność gospodarczą na terenie P. i I..
Mając powyższe na uwadze wnosił o uchylenie zaskarżonej decyzji celem kontynuowania postępowania w sprawie.
Organ w odpowiedzi na skargę wnosił o jej oddalenie podtrzymując dotychczas zaprezentowane stanowisko.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.) sądy administracyjne sprawują wymiar sprawiedliwości, przez kontrolę działalności administracji publicznej pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Sąd w zakresie swojej właściwości ocenia zaskarżoną decyzję z punktu widzenia jej zgodności z prawem materialnym i przepisami postępowania administracyjnego według stanu faktycznego i prawnego obowiązującego w dacie wydania tej decyzji.
Dokonując takiej kontroli Sąd uznał, że skarga zasługuje na uwzględnienie.
Zgodnie z art. 4 pkt 2 RODO pod pojęciem przetwarzania należy rozumieć operację lub zestaw operacji wykonywanych na danych osobowych lub ich zestawach w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adoptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczenie, usuwanie lub niszczenie.
Pojęcie przetwarzania składa się z dwóch elementów. Pierwszym jest ogólna definicja, a drugim katalog przykładowych operacji, które mogą być uznane za przetwarzanie. Operacja na danych powinna być działaniem człowieka i chodzi o zależność operacji na danych osobowych od woli człowieka, przejawiającą się w podjęciu decyzji o wykonywania określonych operacji na danych osobowych.
Rozporządzenie 2016/679 określa obowiązki administratora danych osobowych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w wyżej powołanym rozporządzeniu.
Przepisem upoważniającym administratorów danych osobowych do przetwarzania zwykłych danych osobowych osób fizycznych jest art. 6 ust.1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z wymienionych w art. 6 ust.1 RODO przesłanek. Katalog przesłanek tam wymienionych jest katalogiem zamkniętym i każda przesłanka ma charakter autonomiczny i niezależny.
Ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust.2 RODO służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych osobowych. Na podstawie powołanego przepisu Prezesowi UODO przysługują uprawnienia naprawcze, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów RODO przez operacje przetwarzania danych.
Sąd uznał, że Prezes UODO, wydając sporną decyzję administracyjną z dnia 11 kwietnia 2022 r., dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem wspomnianej wyżej decyzji.
Należy zgodzić się z zarzutami skargi, iż postępowanie przeprowadzone przed organem nie dokonało niezbędnych ustaleń faktycznych, które dawałyby podstawy do merytorycznego orzekania w sprawie. Organ dopuścił się - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 kpa, art. 77 § 1 kpa, art. 80 kpa, a także art. 107 § 3 kpa w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, albowiem nie wyjaśnił wszystkich okoliczności istotnych dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał niewłaściwej oceny zebranego w sprawie materiału dowodowego, kontekście właściwie zastosowanych przepisów prawa materialnego.
Administrator danych W. sp. z oo – nabywca wierzytelności od K.sp. z oo w sposób nieodpowiedni dokonywał przetwarzania danych osobowych swoich dłużników, w tym być może danych J. D..
Organ wskazuje, że materiał dowodowy zebrany w sprawie nie przesądził jednoznacznie, iż doszło do naruszenia w zakresie danych osobowych skarżącego.
Jednak już ze zgromadzonego materiału wynika, że doszło naruszenia przez W. sp. z oo w W. przetwarzania danych osobowych dłużników umieszczonych na przesłanej do skarżącego dokumentacji z Sądu. Skarżący jako pozwany w sprawie cywilnej o zapłatę zapoznał się z danymi osobowymi innych dłużników. Organ nie wyjaśnił i nie wskazał, czy i na jakiej podstawie administrator danych osobowych mógł te dane przekazywać innym dłużnikom.
Fakt czy inni dłużnicy mogli zapoznać się z danymi osobowymi skarżącego nie został przez organ w postępowaniu wyjaśniony. Sam fakt skierowania zapytania do administratora danych osobowych czy udostępniał nie wyczerpuje obowiązku organu do przeprowadzenia pełnego postępowania dowodowego i oceny jego wyników zgodnie z art. 7, art. 77 § 1, art. 80, art. 107 § 3 kpa.
Organ mógł i powinien ustalić czy spółka dochodziła wierzytelności od innych dłużników z listy, którą otrzymał skarżący, i jaka dokumentacja została przesłana pozwanym w sprawach o zapłatę. Sposób rozumowania skarżącego, że skoro on mógł zapoznać się z danymi osobowymi około 50 dłużników, to inni mogli też zapoznać się z danymi osobowymi jego wydaje się być racjonalna. Wyjaśnienie tej okoliczności wymagało przeprowadzenia stosownego postępowania wyjaśniającego, co należało do obowiązków organu zgodnie z wyżej powołanymi przepisami.
Skarżący nie miałby możliwości prawnych aby żądać stosownych wyjaśnień w tym zakresie, dlatego przerzucanie przez organ obowiązków w tym zakresie na skarżącego nie ma umocowania prawnego. Organ mógł takie postępowanie przeprowadzić żądając w tym zakresie zarówno od administratora, jak i od sądu stosownych wyjasnień.
W związku z powyższym w ocenie Sądu w sprawie nie zachodziły podstawy do zastosowania art. 105 § 1 kpa i umorzenia postępowania w sprawie.
Organ ponownie rozpoznając sprawę przeprowadzi pełne wyjaśniające celem ustalenia czy administrator danych nie dopuścił się naruszeń w zakresie ochrony danych osobowych skarżącego w sposób wskazywany przez Sąd w uzasadnieniu.
Z uwagi na powyższe biorąc za podstawę art. 145 § 1 pkt 1 lit. c) p.p.s.a. orzeczono jak na wstępie.