II SA/Wa 1254/20

II SA/Wa 1254/20 - Wyrok WSA w Warszawie
Data orzeczenia
2021-03-04
orzeczenie prawomocne
Data wpływu
2020-07-10
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Wieczorek /sprawozdawca/
Izabela Głowacka-Klimas /przewodniczący/
Joanna Kruszewska-Grońska
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 6357/21 - Wyrok NSA z 2025-01-09
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2017 poz 1904
art. 177 par. 1, art. 188 par. 1
Ustawa z dnia 6 czerwca 1997 r. Kodeks postępowania karnego - tekst jednolity
Dz.U.UE.L 2016 nr 119 poz 1 art. art. 4 ust. 1, 6 ust. 1 lit. c), 24, 29, 58 ust. 2 lit. b)
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Andrzej Wieczorek (spr.), Asesor WSA Joanna Kruszewska-Grońska, po rozpoznaniu na posiedzeniu niejawnym w dniu 4 marca 2021 r. sprawy ze skargi P.W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2020 r., nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (dalej organ/Prezes UODO) decyzją z dnia [...] kwietnia 2020 r., nr [...] udzielił Prezydentowi W. (dalej skarżący) upomnienia za naruszenie Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016) poprzez udostępnienie danych osobowych Pani M. K. zawartych
w dokumentacji pracowniczej i systemie Rejestr Czasu Pracy danych do celów prywatnych.
Ustalono, że Pani M.K. (cytowana dalej również jako Skarżąca) wniosła do organu skargę, na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Urząd Miejski W. Wskazała, że w dniach [...] kwietnia 2019 r. i [...] kwietnia 2019 r. na rozprawie przed Sądem Rejonowym dla W. Ś. we W., II Wydział Karny w sprawie prowadzonej pod sygn. II K 14/18 dowiedziała się, że dokumenty z jej akt osobowych zostały wydane przez pracodawcę (Urząd) bez jej zgody i wiedzy Panu W.P. oraz Pani D. H.-Z.. [...] kwietnia 2019 r. podczas składania zeznań Pan W. P. posiadał pisma, które Skarżąca składała do pracodawcy (Urzędu) oraz notatkę służbową dot. Skarżącej sporządzoną przez Urząd i przechowywaną w jej aktach osobowych. [...] kwietnia 2019 r. na rozprawie Pani D. H.-Z. ww. notatkę z danymi Skarżącej przekazała Pani A.S. Ponadto Skarżąca wskazała, że [...] maja 2019 r. Pani D. H.-Z. pozyskała do prywatnych celów i przekazała osobie trzeciej oraz załączyła do prywatnej sprawy sądowej dokumenty stanowiące wydruki zawierające jej dane osobowe (imię i nazwisko) z wewnętrznego systemu Urzędu służącego do rejestracji czasu pracy pracownika (system RCP). Wskazała, że przed ww. sądem toczyła się sprawa w postępowaniu prywatnoskargowym w związku z pomówieniem jej przez Panią D. H.-Z. Sprawa skierowana była przeciwko Pani D. H.-Z. jako osobie prywatnej, a niejako pracodawcy.
W toku prowadzonego postępowania administracyjnego, Prezes UODO następujący stan faktyczny:
1. Skarżąca jest pracownikiem Urzędu zatrudnionym w Wydziale N.K. (dowód: wyjaśnienia Prezydenta W. z [...]sierpnia 2019 r.).
2. Pani D. H.-Z. jest Dyrektorem Wydziału N. K. Urzędu i przełożonym Skarżącej (dowód: wyjaśnienia Prezydenta W. z [...] sierpnia 2019 r.).
3. Pan W. P. jest S. Miasta W. (dowód: wyjaśnienia Prezydenta W. z [...] sierpnia 2019 r.).
4. Skarżąca pismem z [...] kwietnia 2019 r. poinformowała Inspektora Ochrony Danych Osobowych Urzędu M. W.(IOD), że notatka służbowa, która znajdowała się w jej aktach osobowych, została udostępniona Panu W. P. i Pani D. H.-Z. do prywatnych celów rzeczonych osób bez jej zgody (dowód: wyjaśnienia Prezydenta W. z [...] sierpnia 2019 r. wraz z załącznikami). Skarżąca pismem z [...] maja 2019 r. poinformowała, że Pani D. H.-Z. przekazała osobie trzeciej dokumenty stanowiące wydruki zawierające jej dane osobowe (imię i nazwisko) z wewnętrznego systemu Urzędu Miejskiego W. służącego do rejestracji czasu pracy pracownika oraz wykorzystała w prywatnej sprawie do jej prywatnych celów (dowód: wyjaśnienia Prezydenta W. z [...] sierpnia 2019 r. wraz z załącznikami). Biorąc pod uwagę zgłoszenia Skarżącej IOD przeprowadził czynności mające na celu wyjaśnienia opisywanego stanu rzeczy, w ramach których odebrano wyjaśnienia od Pani D.H.-Z. i Pana W.P.. Z ustaleń dokonanych przez IOD wynika, że:
- prywatna sprawa pani D. H.-Z., o której wspomina Skarżąca, to sprawa karna prowadzona na podstawie prywatnego aktu oskarżenia, skierowanego do sądu rejonowego we W., przez Skarżącą wobec D. H.-Z. (dalej także "Sprawa");
- dane osobowe Skarżącej, które zostały ujawnione przez Panią D. H.-Z. i Pana W. P. w dniach [...] kwietnia 2019 r. i [...] kwietnia 2019 r. to dane osobowe zawarte w notatce służbowej dotyczącej Skarżącej z września 2016 r.;
- dane osobowe Skarżącej, które zostały ujawnione przez Panią D.H.-Z.w dniu [...] maja 2019 r. to również dane osobowe z systemu Rejestr Czasu Pracy (elektroniczny system funkcjonujący w UMW, w którym pracownicy potwierdzają m.in. rozpoczęcie i zakończenie pracy), a które powiązane były z okolicznościami zawartymi w notatce z września 2016 r.;
- osoby trzecie, którym pani D. H.-Z. przekazała dane osobowe to jej obrońca w Sprawie;
- w dniu [...] kwietnia 2019 r. Pan W. P. zeznawał jako świadek (osoba fizyczna, niereprezentująca UMW) w Sprawie - W ramach rzeczonych zeznań opowiadał o okolicznościach dotyczących zarzutów Skarżącej zawartych w akcie oskarżenia, ujawniając przy tym dane osobowe Skarżącej. Zeznania świadka obejmowały okoliczności zawarte w notatce służbowej z września 2016 r. oraz powiązane były z danymi zawartymi z systemu Rejestr Czasu Pracy. Pan W. P. w trakcie swoich zeznań odczytał notatkę z września 2016 r., omówił czas pracy wraz z wydrukami z systemu Rejestr Czasu Pracy oraz zaproponował przekazanie Sądowi rzeczonych dokumentów. Finalnie jednak, zgodnie z ustaleniami z Sądem, dokumenty te w dniach 17 kwietnia 2019 r. oraz 13 maja 2019 r. Pani D.H.-Z. przekazała swojemu obrońcy, a ten przekazał je Sądowi;
- Pan W. P. udostępniał znane mu z racji pełnionej funkcji osoby reprezentującej pracodawcę dane osobowe Skarżącej w ramach zeznań przed Sądem w charakterze świadka, co czynił w ramach obowiązku prawnego wynikającego m.in. z art. 188 § 1 kpk (obowiązek mówienia przez świadka szczerej prawdy i nie ukrywania niczego co mu jest wiadome);
- Pani D. H.-Z. udostępniała znane jej z racji pełnionej funkcji przełożonej Skarżącej dane osobowe Skarżącej swojemu obrońcy, który przekazał je Sądowi, co czyniła w ramach obowiązku prawnego wynikającego m.in. z art. 217 kpk (obowiązek wydania rzeczy mogących stanowić dowód w sprawie) (dowód: wyjaśnienia Prezydenta W. z [...] sierpnia 2019 r. wraz
z załącznikami).
Skarżący wyjaśnił, że Pan W. P. (jako m.in. upoważniony do reprezentowania pracodawcy), jak i Pani D. H.-Z. (jako przełożona Pani M. K. ) z racji pełnienia swych funkcji w Urzędzie Miasta byli upoważnieni do przetwarzania danych osobowych pracowników UMW
w zakresie niezbędnym do wykonywania przez te osoby obowiązków wynikających
z ich stosunku pracy i realizowanych zadań.
Wskazał, że w UMW funkcjonuje Polityka Ochrony Danych Osobowych
i Bezpieczeństwa Informacji, która informuje pracowników m.in. o tym jak należy przetwarzać dane w UMW, pracownicy UMW zobowiązują się na piśmie do bezterminowego zachowania w tajemnicy danych, w tym danych osobowych, które są im znane z racji wykonywania określonej funkcji oraz przechodzą szkolenia
z zakresu ochrony danych osobowych, w których informowani są o zachowaniu poufności danych i zgłaszania naruszeń ochrony danych.
Podniósł, że w związku z prowadzonym postępowaniem w sprawie
o sygnaturze akt II K 14/18, Pan W. Pani D H-Z, ani jej obrońca Pani A S nie zwracali się do UMW z wnioskiem
o udostępnienie danych osobowych Pani M. K. istniejących
w dokumentach związanych z zawarciem z nią stosunku pracy.
Po przeprowadzeniu analizy opisanego w decyzji staniu faktycznego Prezes UODO zaskarżoną decyzją z dnia [...] kwietnia 2020 r., udzielił skarżącemu upomnienia w związku z naruszeniem przepisów Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016) poprzez udostępnienie danych osobowych Pani M. K. zawartych w dokumentacji pracowniczej
i systemie Rejestr Czasu Pracy do celów prywatnych.
Organ wskazał, że przedmiotem niniejszego postępowania jest proces przetwarzania danych osobowych Skarżącej przez Prezydenta W., polegający na umożliwieniu wykorzystania danych osobowych Skarżącej, zgromadzonych w związku z jej zatrudnieniem w UMW, a zawartych w systemie Rejestr Czasu Pracy i notatce służbowej z września 2016 r. przez Panią D. H.-Z. i Pana W.P.(pracowników UMW) w celu innym niż ten, dla którego dane te zostały zebrane, to jest w celu związanym
z postępowaniem toczącym się przed Sądem Rejonowym dla W.-Ś. pod sygn. akt II K 14/18, w którym Skarżąca ma status oskarżyciela prywatnego, a Pani D. H.-Z. oskarżonej, natomiast Pan W. P. został powołany na świadka.
Stwierdził, że Prezydent W. jest uprawniony do przetwarzania danych osobowych Pani M. K. zgodnie z art. 6 ust. 1 lit. c RODO
w związku z zatrudnieniem Skarżącej w UM. Z materiału dowodowego wynika, że Pani D. H.-Z. i Pan W. P. samodzielnie zdecydowali o udostępnieniu na rzecz Sądu ww. dokumentów zawierających dane osobowe Skarżącej.
Podniósł, że Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku
z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej,
L 119, 4 maja 2016, dalej RODO) określa obowiązki administratora danych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tym rozporządzeniu. Zgodnie z treścią art. 4 ust. 1 RODO dane osobowe oznaczają "informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (osobie, której dane dotyczą); możliwa do zidentyfikowana osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie takiego identyfikatora jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, kulturową lub społeczną tożsamość osoby fizycznej". Przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z RODO również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Niezależnie od zgody osoby, której dane dotyczą przetwarzanie danych osobowych "zwykłych" jest dopuszczalne między innymi wtedy, gdy jest to niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b RODO), gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO) oraz gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą (art. 6 ust. 1 lit. f RODO).
Wskazał, że Pani D. H.-Z. i Pan W. P.samodzielnie zdecydowali o udostępnieniu na rzecz Sądu ww. dokumentów zawierających dane osobowe Skarżącej.
Stwierdził, że fakt posiadania upoważnienia do przetwarzania danych osobowych w rozumieniu art. 29 RODO przez Panią D. H.-Z.
i Pana W. .P. nie oznacza, iż posiadają oni autonomię
w decydowaniu o celach w jakich dane pracowników UMW będą przetwarzane. Zdaniem organu mogą oni przetwarzać dane osobowe pracowników UMW tylko
w zakresie niezbędnym do wykonywania przez te osoby obowiązków wynikających
z ich stosunku pracy i realizowanych zadań w określonych przez administratora danych celach. W niniejszej sprawie dane osobowe Skarżącej zostały wykorzystane przez Panią D. H.-Z.i Pana W. P. w celach osobistych, co naruszało przepisy o ochronie danych osobowych. Zdaniem organu w analizowanym przypadku doszło również do naruszenia art. 6 ust. 1 oraz art. 5 ust. 1 lit. b RODO, ponieważ Pani D. H.-Z. i Pan W. P.dokonali zmiany celu przetwarzania danych osobowych Skarżącej, pozyskując je
w związku z wykonywaniem czynności służbowych, a następnie wykorzystując ww. dane w celach osobistych.
Podkreślił, że za nieprawidłowości dotyczące przetwarzania danych osobowych w związku z wykonywaniem zadań przez pracowników administratora danych osobowych, odpowiada sam administrator (tj. Prezydent W.), zgodnie z art. 24 w zw. z art. 4 ust. 7 RODO.
Wobec powyższego, zdaniem organu, zastosowanie w niniejszej sprawie art. 58 ust. 2 lit. b RODO, jest zasadne i Prezes UODO był uprawniony do udzielenia upomnienia Prezydentowi W. za naruszenie art. 6 ust. 1, art. 5 ust. 1 lit. b poprzez udostępnienie danych osobowych Skarżącej zawartych w dokumentacji pracowniczej i systemie Rejestr Czasu Pracy do celów prywatnych na rzecz Pani D.H.-Z. i Pana W. P..
Wobec powyższego orzeczono jak w zaskarżonym orzeczeniu.
Skargę na powyższe orzeczenie wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skarżący, zarzucając:
1. naruszenie art. 5 ust. 1 lit. b RODO, art. 6 ust. 1 lit. c i lit d RODO poprzez ich niezastosowanie przez Organ w ustalonym przez Organ stanie faktycznym i uznanie, że udostępnienie sądowi danych osobowych M.K. przez W. P.i D. H.-Z. nastąpiło niezgodnie z prawem, pomimo, że było ono zgodne z prawem, albowiem osoby te realizowały obowiązki nałożone na nie przepisami prawa (przepisami procedury karnej);
2. naruszenie art. 29 RODO poprzez jego błędną wykładnię i uznanie, że przetwarzanie danych osobowych przez Sekretarza Miasta W.W.P. i D.H.-Z. (pracowników Urzędu Miejskiego W.) nastąpiło w celach osobistych, w sytuacji kiedy proces sądowy, w którym niniejsi pracownicy występowali odpowiednio jako świadek
i jako oskarżona związany był stricte z sytuacją w pracy (dotyczył rzekomego pomówienia w notatce wewnętrznej UMW) i występowanie w niniejszym procesie przez wskazane osoby miało związek tylko i wyłączenie
z zatrudnieniem ich w Urzędzie Miejskim W. i na okoliczności w miejscu pracy prowadzone było przez Sąd postępowanie dowodowe a więc pomimo, że był to proces toczący się wg procedury postępowania karnego jego związek z sytuacją w miejscu pracy był nierozerwalny i z tego powodu nie doszło tutaj do wykorzystania danych w celach osobistych;
3. naruszenie przepisów art. 107 § 3 k.p.a. poprzez pominięcie wyjaśnienia przez Organ jakie znaczenie dla rozstrzygnięcia ma okoliczność: że W.P.ujawnił dane osobowe M. K.
w ramach zeznań jako świadek w sprawie karnej na podstawie art. 188 § 1 k.p.k. oraz że udostępnienie danych Skarżącej przez D. H.-Z. nastąpiło na żądanie Sądu zgodnie z art. 217 k.p.k., w szczególności zaś pominięcie wyjaśnienia jakie czynności powinien był podjąć administrator oraz D.H.-Z. i W.P., by nie doszło / nie do-chodziło do wskazanych przez Organ naruszeń / jaki powinien być prawidłowy model postępowania administratora w zaistniałym w sprawie stanie faktycznym;
4. naruszenia przepisów art. 107 § 3 k.p.a. poprzez pominięci wyjaśnienia przez Organ jakie jeszcze inne przepisy o ochronie danych osobowych poza wskazanymi w decyzji art. 6 ust. 1 i art. 5 ust. 1 lit. b RODO naruszał W. P. i D.H.-Z.;
5. naruszenie art. 7, art. 77 § 1, art. 80 k.p.a. polegające na niewyczerpującym zebraniu i rozpatrzeniu materiału dowodowego istotnego dla spawy a więc nie ustaleniu, że zakres danych jakie zostały ujawnione w postępowaniu karnym miał ścisły związek z sytuacją w miejscu pracy, a zeznania W.P. i D.H.-Z. i przekazane Sądowi dokumenty były związane wprost z sytuacją w miejscu pracy gdyż postępowanie dotyczyło rzekomego pomówienia w notatce służbowej pracodawcy co w konsekwencji przełożyło się na błędne założenie o zmianie celu przetwarzania danych i wykorzystanie danych dla celów osobistych. Sam fakt, że w procesie karnym ujawniono dane nie może powodować niedostrzeżenia ich związku z sytuacją w miejscu pracy i to powinien też zbadać organ w prowadzonym postępowaniu.
Wyjaśnił, że według jego wiedzy Pani M. K. w ramach postępowania karnego, zarzuciła D. H.-Z., że ta oceniając jej pracę w UMW w taki, a nie inny sposób, dopuściła się pomówienia. Jego zdaniem zarówno W. P. jak i D.H.-Z., jako pracownicy skarżącego, z racji sprawowanych funkcji kierowniczych (odpowiednio Sekretarza Miasta i Dyrektora Wydziału N.K.) mają dostęp do danych pracowniczych. W. P. został wezwany przez Sąd na świadka w ww. sprawie karnej właśnie dlatego, że jako Sekretarz Miasta i osoba reprezentująca pracodawcę, miał określone wiadomości, dotyczące sposobu/jakości świadczenia pracy przez M.K., przydatne do rozstrzygnięcia sprawy. Natomiast D. H.-Z., była oskarżoną w ww. sprawie karnej właśnie dlatego, że bazując na informacjach dotyczących sposobu/jakości świadczenia pracy M. K., ujawnionych później przed Sądem w sprawie karnej, podjęła określone działania na gruncie służbowym/pracowniczym względem Skarżącej, które stały się przyczyną do złożenia aktu oskarżenia ww. sprawie karnej.
Wskazał, że W. P. udostępnił znane mu z racji pełnionej funkcji osoby reprezentującej pracodawcę dane osobowe Pani M. K.
w ramach zeznań przed Sądem Rejonowym w sprawie karnej w charakterze świadka, co czynił w ramach obowiązku prawnego wynikającego m.in. z art. 188 § 1 kpk (str. 4 akapit/tiret 1 decyzji). D. H.-Z. udostępniła znane jej
z racji pełnionej funkcji przełożonej M. K.dane osobowe M.K. swojemu obrońcy, który przekazał je ww. Sądowi Rejonowemu w sprawie karnej co czyniła w ramach obowiązku prawnego wynikającego m.in. z art. 217 kpk (str. 4 akapit/tiret 2 decyzji).
Podniósł, że formalnie ani W. P., ani D. H.-Z., ani jej obrońca A.S. nie zwracali się do UMW z wnioskiem
o udostępnienie danych osobowych M.K. zawartych w ww. dokumentach w związku z prowadzonym postępowaniem w sprawie o sygnaturze akt II K 14/18. Do dokumentów tych mieli jednak dostęp w związku z wykonywanymi obowiązkami służbowymi - pani D. H.-Z., jako Dyrektor Wydziału N.K. UMW i pan W.P., jako Sekretarz Miasta i osoba reprezentująca pracodawcę.
Podniósł, że w ujawnieniu przez W. P. i D. H.-Z. danych osobowych M.K. organ niezasadnie dopatrzył się uchybienia skarżącego, polegającego na zmianie celu przetwarzania danych osobowych zbieranych w celach pracowniczych oraz ich udostępnieniu przez pracowników skarżącego w celach "osobistych" Sądowi.
Jego zdaniem niezrozumiała jest sytuacja, w której Organ te same działania pracowników administratora traktuje raz jako działania administratora, a raz jako działania jego pracowników. W ocenie skarżącego, w tym konkretnym stanie faktycznym sprawy:
1) albo pracownicy skarżącego udostępniając dane osobowe M.K., działali w sferze prawnej administratora i wtedy można mówić o zmianie przez administrator celu przetwarzania i udostępnieniu danych osobowych M. K. przez administratora. Ale w takim wypadku również obowiązek prawny udostępnienia danych ciążący na pracownikach administratora należałoby potraktować jako obowiązek prawny administratora, a w konsekwencji nie można mówić o bezprawnej zmianie celu i bezprawnym udostępnieniu danych osobowych przez administratora, bowiem podstawą dla takiego udostępnienia byłby w takim wypadku art. 6 ust. 1 lit. c RODO w zw. z art. 177 § 1, 188 § 1 i 217 § 1 k.p.k.;
2) albo to nie administrator, ale jego pracownicy udostępnili dane osobowe. A zatem po stronie administratora nie doszło do bezprawnej zmiany celu lub udostępnienia danych (bo administrator nie zmienił ani celu, ani sposobu przetwarzania danych, a zrobili to "samowolnie/samodzielnie" jego pracownicy), co nie wyklucza jednak przyjęcia, że u administratora mogło dojść do naruszenia ochrony danych osobowych przez tych pracowników. Innymi słowy ewentualna odpowiedzialność administratora nie byłaby odpowiedzialnością za bezprawną zmianę celu i bezprawne przetworzenie danych przez administratora (bo administrator nie udostępnił Pani D. H.-Z. i Panu W. P. danych osobowych Pani M. K. do celów prywatnych, lecz osoby te miały do nich dostęp na drodze służbowej), a ewentualnie mogłaby być odpowiedzialnością za dopuszczenie do niezgodnego z prawem udostępnienia danych przez pracowników administratora (czyli mogłaby to być ewentualnie odpowiedzialność za naruszenie ochrony danych osobowych).
W jego ocenie zarówno Pan W. P. jak i Pani D. H.-Z. działali w ramach nałożonych na nich obowiązków wynikających
z przepisów prawa, a zatem nie doszło do incydentu bezpieczeństwa, bo nie doszło do nieuprawnionego ujawnienia danych osobowych (art. 177 § 1 k.p.k "Każda osoba wezwana na świadka ma obowiązek stawić się i złożyć zeznania", a zgodnie z art. 188 § 1 k.p.k osoba taka ma mówić szczerą prawdę niczego nie ukrywając z tego, co jej jest wiadome).
Jego zdaniem w tym stanie faktycznym, zarówno W. P. jak
i D. H.-Z. działali w ramach nałożonych na nich obowiązków wynikających z przepisów prawa, a zatem nie doszło do incydentu bezpieczeństwa, bo nie doszło do nieuprawnionego ujawnienia danych osobowych.
Wskazał, że przyjmując argumentację organu należałoby uznać, że w każdym postępowaniu (cywilnym, karnym, administracyjnym), w którym prowadzony byłby dowód ze świadków, świadkowie ci: albo powinni odmówić zeznań twierdząc, że nie mogą ujawnić posiadanych przez nich informacji, gdyż zostały one zebrane w celach innych niż w celu ich ujawnienia w postępowaniu sądowym, albo składać zeznania, narażając tym samym administratora (pracodawcę) na odpowiedzialność za naruszenie RODO. Skarżący wskazuje, że taki "obowiązek" odmowy złożenia przez świadka zeznań (ze względu na zmianę celu przetwarzania danych osobowych) obejmowałby również postępowania kontrolne prowadzone przez Organ (art. 86 ustawy o ochronie danych osobowych ), a jego efektem byłoby albo ukaranie świadka (za odmowę złożenia zeznań), albo administratora (za zmianę celu przetwarzania i ujawnienie danych);
Jego zdaniem organ nie dostrzegł tego, że proces sądowy, w którym niniejsi pracownicy występowali odpowiednio jako świadek i jako oskarżona związany był stricte z sytuacją w pracy (dotyczył rzekomego pomówienia w notatce wewnętrznej - piśmie UMW) i występowanie w niniejszym procesie przez wskazane osoby miało związek tylko i wyłączenie z zatrudnieniem ich w Urzędzie Miejskim W.. Przetwarzanie danych osobowych nie było więc związane z osobistymi celami tych pracowników, ale determinowane było postępowaniem dowodowym prowadzonym przez Sąd, które wprost dotyczyło sytuacji w miejscu pracy. Gdyby W.P. nie występował w roli Sekretarza Miasta lub D. H.-Z.
w roli Dyrektora Wydziału N. K. nigdy nie braliby udziału w tamtym procesie.
Podniósł, że organ w sposób niewyczerpujący zebrał i rozpatrzył materiał dowodowy istotny dla spawy. Organ nie ustalił, że zakres danych jakie zostały ujawnione w postępowaniu karnym miał ścisły związek z sytuacją w miejscu pracy,
a zeznania W.P. i D.H.-Z. i przekazane Sądowi dokumenty były związane wprost z sytuacją w miejscu pracy gdyż postępowanie dotyczyło rzekomego pomówienia w notatce służbowej pracodawcy co
w konsekwencji przełożyło się na błędne założenie o zmianie celu przetwarzania danych i wykorzystanie danych dla celów osobistych. Sam fakt, że w procesie dane ujawniono w procesie karnym nie może powodować niedostrzeżenia ich związku
z sytuacją w miejscu pracy i to powinien też zbadać organ w prowadzonym postępowaniu.
W związku z powyższym wnosił o uchylenie zaskarżonej decyzji w całości
i orzeczenie co do istoty sprawy względnie uchylenie decyzji i umorzenie postępowania pierwszej instancji w całości lub przekazanie sprawy do ponownego rozpoznania oraz zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego, od organu na rzecz skarżącego według norm przepisanych.
W odpowiedzi na skargę organ podtrzymał stanowisko.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga nie zasługuje na uwzględnienie.
Przedmiotem skargi jest decyzja organu z dnia [...] kwietnia 2020 r.,
nr [...], w przedmiocie naruszenia przepisów dotyczących ochrony danych osobowych, poprzez ich nieuprawnione udostępnienie.
Zgodnie z art. 1 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2019 r. poz. 2167), sądy administracyjne sprawują wymiar sprawiedliwości poprzez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem. Innymi słowy, kontrola aktów lub czynności z zakresu administracji publicznej dokonywana jest pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności. Oznacza to, że kontrola ta sprowadza się do badania, czy organ administracji wydając zaskarżony akt nie naruszył prawa. W wyniku takiej kontroli decyzja lub postanowienie mogą zostać uchylone w razie stwierdzenia,
że naruszono przepisy prawa materialnego w stopniu mającym wpływ na wynik sprawy lub doszło do takiego naruszenia przepisów prawa procesowego, które mogłoby w istotny sposób wpłynąć na wynik sprawy, ewentualnie w razie wystąpienia okoliczności naruszających prawo i przez to mogących być podstawą wznowienia postępowania (art. 145 § 1 pkt 1 lit. a-c ustawy z dnia 30 sierpnia 2002 r. – Prawo
o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r. poz. 2325 - dalej P.p.s.a.) lub też wystąpiło naruszenie prawa będące podstawą stwierdzenia jej nieważności (art. 145 § 1 pkt 2 P.p.s.a.).
Stosownie zaś do treści art. 134 P.p.s.a. sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Sąd nie może przy tym wydać orzeczenia na niekorzyść strony skarżącej, chyba że dopatrzy się naruszenia prawa skutkującego stwierdzeniem nieważności zaskarżonego aktu lub czynności.
Organ prawidłowo ustalił, że Pani M.K. jest pracownikiem UM zatrudnionym w Wydziale N. K.. Pani D. H.-Z. jest Dyrektorem Wydziału N. K. UM i przełożonym Skarżącej. Pan W.P. jest Sekretarzem Miasta W..
Pani D. H.-Z. i Pan W. P. mieli dostęp do ww. dokumentów zawierających dane osobowe Pani M. K.
z uwagi na wykonywane obowiązki służbowe Pani D. H.-Z. jako Dyrektor Wydziału N.K. UMW (bezpośredni przełożony Pani M. K.) i Pan W. P. jako sekretarz UM.
Wojewódzki Sąd Administracyjny w Warszawie (dalej WSA w Warszawie) wskazuje, że jak wynika z akt sprawy administracyjnej, sprawa tocząca się przed Sądem Rejonowym dla W. Ś. we W., II Wydział Karny sygn. II K [...] skierowana była przeciwko Pani D. H.-Z. jako osobie prywatnej, a nie przeciwko Prezydentowi W. jako pracodawcy.
Faktem niezaprzeczanym jest okoliczność, że na rozprawie przed ww. Sądem Rejonowym dla W. Ś. we W., w dniach [...] kwietnia 2019 r.
i [...] kwietnia 2019 r. dokumenty z akt osobowych Pani M.K. bez jej zgody i wiedzy, zostały udostępnione przez Pana W. P. oraz Panią D. H.-Z.. Faktem niezaprzeczonym jest okoliczność, że dnia [...] kwietnia 2019 r. podczas składania zeznań Pan W. P. posiadał pisma, które Pani M. K. składała do pracodawcy (UM) oraz notatkę służbową jej dotyczącą a sporządzoną przez UM i przechowywaną w jej aktach osobowych. [...] kwietnia 2019 r. na rozprawie Pani D. H.-Z. ww. notatkę z danymi Skarżącej przekazała Pani A. S.. Ponadto
w dniu [...] maja 2019 r. Pani D.H.-Z. pozyskała do prywatnych celów i przekazała osobie trzeciej oraz załączyła do prywatnej sprawy sądowej dokumenty stanowiące wydruki zawierające dane osobowe Pani M.K. (imię i nazwisko) z wewnętrznego systemu Urzędu służącego do rejestracji czasu pracy pracownika (system RCP).
Opisane w powołanych pismach okoliczności, zostały wykorzystane przed ww. sądem, bowiem toczyła się sprawa w postępowaniu prywatnoskargowym w związku ze wskazanym w aktach pomówieniem Pani M. K. przez Panią D. H.-Z..
Okolicznością niepodważalną, ale obojętną z punktu widzenia tego postępowania jest fakt, że przepisy k.p.k nakładają na świadka obowiązki: art. 177 § 1 k.p.k "Każda osoba wezwana na świadka ma obowiązek stawić się i złożyć zeznania", a zgodnie z art. 188 § 1 k.p.k osoba taka ma mówić szczerą prawdę niczego nie ukrywając z tego, co jej jest wiadome. W ocenie Sądu gdyby podzielić proces udostępniania danych osobowych Pani M.K. to postępowanie to dotyczyło faktu nielegalnego udostępnienia danych przez UM na rzecz Pana W. P. oraz Pani D. H.-Z. a nie prezentacji tych dokumentów w postępowaniu prywatnoskargowym.
Okolicznością niepodważalną w sprawie jest fakt, że Pani D.H.-Z. i Pan W. P. jako pracownicy skarżącego, w ramach pełnionych obowiązków służbowych byli uprawnieni do zaznajomienia się z treścią ww. udostępnionych dokumentów zawierających dane osobowe Pani M.K..
Faktem jest, że ani Sąd Rejonowy dla W. Ś.we W., ani Pan W.P., ani Pani D. H.-Z., ani jej obrońca Pani A. S. nie zwracali się do UM z wnioskiem o udostępnienie danych osobowych Skarżącej zawartych w ww. dokumentach w związku z prowadzonym postępowaniem w sprawie o sygnaturze akt II K [...].
W ocenie Sądu organ prawidłowo prowadził postępowanie nie oceniając procesu przetwarzania i udostępniania danych przez Panią D. H.-Z. i Pana W.P. na rzecz Sądu Rejonowego dla W.-Ś., a legalność udostępnienia danych przez UM na rzecz ww. osób.
Bezspornym jest fakt, że w UM funkcjonuje Polityka Ochrony Danych Osobowych i Bezpieczeństwa Informacji, która informuje pracowników m.in. o tym jak należy przetwarzać dane w UM, pracownicy UM zobowiązują się na piśmie do bezterminowego zachowania w tajemnicy danych, w tym danych osobowych, które są im znane z racji wykonywania określonej funkcji oraz przechodzą szkolenia
z zakresu ochrony danych osobowych, w których informowani są o zachowaniu poufności danych i zgłaszania naruszeń ochrony danych.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016, dalej RODO) określa obowiązki administratora danych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tym rozporządzeniu. Zgodnie z treścią art. 4 ust. 1 RODO dane osobowe oznaczają "informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (osobie, której dane dotyczą); możliwa do zidentyfikowana osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie takiego identyfikatora jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, kulturową lub społeczną tożsamość osoby fizycznej". Przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z RODO również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Niezależnie od zgody osoby, której dane dotyczą przetwarzanie danych osobowych "zwykłych" jest dopuszczalne między innymi wtedy, gdy jest to niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b RODO), gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO) oraz gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą (art. 6 ust. 1 lit. f RODO).
Zgodnie z art. 24 RODO na administratorze danych osobowych, tj. Prezydencie W., ciąży zapewnienie zgodności z prawem operacji przetwarzania danych osobowych, a tym samym sprawowanie kontroli nad tym jakie dane, kiedy i komu są udostępniane. Wiąże się to również z obowiązkiem administratora do dokładania szczególnej staranności w celu ochrony interesów osób, których dane dotyczą. Ponadto należy wskazać, że na administratorze zgodnie z art. 5 ust. 1 RODO spoczywa obowiązek dołożenia szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności obowiązek zapewnienia, aby dane te były zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami (art. 5 ust. 1 lit. b RODO).
W tym miejscu wskazać należy, że w orzecznictwie podkreśla się, że celem przepisów o ochronie danych osobowych jest ochrona prywatności w rozumieniu art. 47 Konstytucji RP (wyrok NSA z dnia 30 marca 2006 r., I OSK 628/05; wyrok NSA w składzie 7 sędziów z dnia 6 czerwca 2005 r., I OPS 2/05, wyrok NSA z 3 grudnia 2019 r., sygn. akt I OSK 920/18). Jednocześnie należy podkreślić, że zagwarantowana w art. 51 Konstytucji RP autonomia informacyjna oznacza prawo do samodzielnego decydowania o ujawnianiu innym informacji dotyczących swojej osoby, a także prawo do sprawowania kontroli nad takimi informacjami, jeśli znajdują się w posiadaniu innych podmiotów (zob. wyrok TK z dnia 19 lutego 2002 r., sygn. U 3/01, OTK ZU nr 1/A/2002, poz. 3). Przepis art. 51 Konstytucji RP wyraża prawo jednostki do ochrony danych osobowych, w zakres którego wchodzi m.in. wymaganie ustawowej podstawy nałożenia obowiązku ujawnienia przez daną osobę informacji jej dotyczących (ust. 1), zakaz pozyskiwania, gromadzenia i udostępniania innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym (ust. 2), prawo dostępu jednostki do dokumentów i zbiorów danych oraz żądania sprostowania bądź usunięcia danych nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą (ust. 3 i 4). Powyższe rozwiązania oznaczają z jednej strony, że przesłanki legalizujące przetwarzanie danych osobowych powinny być wykładane sposób zawężający, a postępowanie w sprawach związanych z wystąpieniem przesłanki pozwalającej na ujawnienie danych osobowych powinno zmierzać do tego, aby nie było wątpliwości co do wystąpienia możliwości przetwarzania danych osobowych przez dany podmiot. Zgodnie z art. 6 ust. 1 lit. c RODO, wedle którego możliwe jest przetwarzanie danych osobowych, gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Natomiast wedle treści art. 6 ust. 1 lit. e RODO przetwarzanie jest dozwolone, gdy jest ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Zgodnie z art. 6 ust. 3 RODO podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona: w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator. Oznacza to, że art. 6 ust. 1 lit. c i e RODO "samodzielnie nie stanowi podstawy legalizacyjnej przetwarzania, ale jedynie w połączeniu z odpowiednim przepisem prawa obowiązującego w państwie, któremu podlega administrator, lub też w połączeniu z odpowiednim przepisem unijnym" (E. Bielak-Jomaa (red.), D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, LEX 2019).
W przedmiotowej sprawie Prezydent W. przetwarza dane osobowe Skarżącej zgodnie z art. 6 ust. 1 lit. c RODO w związku z zatrudnieniem Skarżącej
w UMW. Zgodnie z art. 24 RODO na administratorze danych osobowych, tj. Prezydencie W., ciąży zapewnienie zgodności z prawem operacji przetwarzania danych osobowych, a tym samym sprawowanie kontroli nad tym jakie dane, kiedy i komu są udostępniane. Wiąże się to również z obowiązkiem administratora do dokładania szczególnej staranności w celu ochrony interesów osób, których dane dotyczą. Ponadto należy wskazać, że na administratorze zgodnie z art. 5 ust. 1 RODO spoczywa obowiązek dołożenia szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności obowiązek zapewnienia, aby dane te były zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami (art. 5 ust. 1 lit. b RODO). Z materiału dowodowego wynika, że Pani D. H.-Z.
i Pan W. P. samodzielnie zdecydowali o udostępnieniu na rzecz Sądu ww. dokumentów zawierających dane osobowe Pani M. K..
Wbrew twierdzeniom Prezydenta W. zawartym w skardze do WSA,
w niniejszej sprawie doszło do wykorzystania danych Skarżącej przez Panią D. H.-Z. i Pana W. P. niezgodnie z celem, dla którego dane zostały pozyskane przez Prezydenta W.. Pani D. H.-Z. i Pan W. P. mieli dostęp do ww. dokumentów zawierających dane osobowe Skarżącej z uwagi na wykonywane obowiązki służbowe.
W ocenie Sądu błędne jest stanowisko skarżącego twierdzącego, że z uwagi na zajmowane stanowisko Sekretarz UM miał prawo decydować o udostępnieniu danych osobowych. Jedynym podmiotem uprawnionym do przetwarzania zgodnie z prawem danymi osobowymi znajdującymi się w aktach UM jest Prezydent W..
W ocenie Sądu fakt posiadania upoważnienia do przetwarzania danych osobowych w rozumieniu art. 29 RODO przez Panią D. H.-Z.
i Pana W. P. nie oznacza, iż posiadają oni autonomię
w decydowaniu o celach w jakich dane pracowników UM będą przetwarzane
i udostępniane. Mogą oni bowiem przetwarzać dane osobowe pracowników UM tylko w zakresie niezbędnym do wykonywania przez te osoby obowiązków wynikających
z ich stosunku pracy i realizowanych zadań w określonych przez administratora danych celach. Jak ustalono w toku przeprowadzonego przez Prezesa Urzędu Ochrony Danych postępowania, Pani D. H.-Z. i Pan W.P. nie reprezentowali UM w postępowaniu toczącym się przed Sądem Rejonowym dla W.-Ś. pod sygn. akt II K [...], a samowolnie, nie wnioskując o udostępnienie danych od UM, wykorzystali w toku tego postępowania dane osobowe Skarżącej pozyskane z zasobów UM, zawarte w systemie Rejestr Czasu Pracy i notatce służbowej z września 2016 r.
W tym stanie rzeczy należy stwierdzić, że za nieprawidłowości dotyczące przetwarzania danych osobowych w związku z wykonywaniem zadań przez pracowników administratora danych osobowych, odpowiada sam administrator
(tj. Prezydent W.), zgodnie z art. 24 w zw. z art. 4 ust. 7 RODO. Powyższe stanowisko znajduje potwierdzenie w orzecznictwie sadów administracyjnych, czego przykładem jest wyrok Naczelnego Sądu Administracyjnego z 4 kwietnia 2003 r.
w sprawie o sygn. akt II SA 2935/02, w treści którego wskazano cyt. "Obok zindywidualizowanej odpowiedzialności karnej przetwarzającego lub administrującego danymi z rozdziału 8 tej ustawy, wchodzi w grę możliwość stosowania środków administracyjnych wobec administratora. Zgodnie bowiem z art. 18 ust. 1 ustawy, w razie stwierdzenia naruszenia przepisów o ochronie danych osobowych, Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej nakazuje administratorowi danych w drodze decyzji administracyjnej przywrócenie stanu zgodnego z prawem, a w szczególności zastosowanie wskazanych poniżej enumeratywnych środków. Administrator odpowiada więc za czyny swoich pracowników w zakresie naruszenia ustawy o ochronie danych osobowych. Nie może się przy tym ekskulpować, w oparciu o art. 26, że dołożył szczególnej staranności w celu ochrony tych danych. (...) W przypadku naruszenia przepisów o ochronie danych osobowych (wraz z bardziej rygorystycznymi wymogami z prawa bankowego) GIODO jest zobowiązany zastosować w stosunku do administratora danych środki przewidziane w art. 18 ustawy. Są one niezależne od doniesienia opartego o art. 19, które dotyczy osoby fizycznej. Tymczasem GIODO stwierdził, że do takiego naruszenia ze strony Banku nie doszło, przyjmując tym samym brak odpowiedzialności administratora za działania podległych mu pracowników. Z tego punktu widzenia zaskarżona decyzja naruszała art. 18 ust. 1 ustawy."
W tym stanie rzeczy Sąd nie podziela argumentów skarżącego, że w tym konkretnym przypadku jego pracownicy, zwłaszcza Sekretarz UM mógł działać jako pracodawca.
Organ słusznie nie neguje prawa i potrzeby Pani D.H.-Z. do obrony interesów przed sądem, jednak te czynności powinny odbywać się
z zachowaniem zasad wynikających z przepisów o ochronie danych osobowych.
W niniejszej sprawie doszło do wykorzystania danych Skarżącej przez Panią D. H.-Z. i Pana W.P. niezgodnie z celem, dla którego dane zostały pozyskane przez Prezydenta W..
Wobec powyższego, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO, Prezes Urzędu Ochrony Danych Osobowych udzielił upomnienia Prezydentowi W.za naruszenie art. 6 ust. 1, art. 5 ust. 1 lit. b poprzez udostępnienie danych osobowych Skarżącej zawartych w dokumentacji pracowniczej i systemie Rejestr Czasu Pracy do celów prywatnych na rzecz Pani D.H.-Z. i Pana W. P..
Biorąc pod uwagę powyższe, Sąd stwierdza, że organ prawidłowo ustalił, iż w niniejszej sprawie dane osobowe Skarżącej zostały wykorzystane przez Panią D. H.-Z. i Pana W. P. w celach osobistych bez zgody administratora, co naruszało przepisy o ochronie danych osobowych. Powyższe oznacza, że w analizowanym przypadku doszło do naruszenia art. 6 ust. 1 oraz art. 5 ust. 1 lit. b RODO, ponieważ Pani D. H.-Z. i Pan W. P. dokonali zmiany celu przetwarzania danych osobowych Skarżącej, pozyskując je w związku z wykonywaniem czynności służbowych,
a następnie wykorzystując te dane w celach osobistych w postępowaniu toczącym się przed Sądem Rejonowym dla Wrocławia-Śródmieście pod sygn. akt II K [...].
W tym stanie rzeczy należy uznać, że organ prawidłowo zastosował przepis art. 58 ust. 2 lit. b RODO, i udzielił upomnienia Prezydentowi W. za naruszenie art. 6 ust. 1, art. 5 ust. 1 lit. b poprzez udostępnienie danych osobowych Skarżącej zawartych w dokumentacji pracowniczej i systemie Rejestr Czasu Pracy do celów prywatnych na rzecz Pani D.H.-Z. i Pana W.P..
Zdaniem Sądu należy jednocześnie uznać, iż organ wyczerpująco zbadał istotne okoliczności faktyczne związane z niniejszą sprawą.
W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie organ rozstrzygając sprawę - oparł się na materiale prawidłowo zebranym, i dokonał jego wszechstronnej oceny.
Ponadto należy uznać, iż stanowisko wyrażone w zaskarżonej decyzji uzasadnił w sposób wymagany przez normę prawa określoną w przepisie art. 107
§ 3 k.p.a.
Z przytoczonych wyżej powodów Wojewódzki Sąd Administracyjny
na podstawie art. 151 P.p.s.a. orzekł, jak w sentencji.