II SA/Wa 1551/19

II SA/Wa 1551/19 - Wyrok WSA w Warszawie
Data orzeczenia
2020-02-14
orzeczenie nieprawomocne
Data wpływu
2019-07-09
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Danuta Kania /przewodniczący/
Iwona Maciejuk /sprawozdawca/
Piotr Borowiecki
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Sygn. powiązane
III OSK 2836/21 - Wyrok NSA z 2023-11-24
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania, Sędzia WSA Piotr Borowiecki, Sędzia WSA Iwona Maciejuk (spr.), , Maria Zawada, Protokolant specjalista, po rozpoznaniu na rozprawie w dniu 14 lutego 2020 r. sprawy ze skargi C. z siedzibą w G. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2019 r. nr [...] w przedmiocie udostępnienia danych osobowych oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] stycznia 2019 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.), zwanej dalej k.p.a., art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 ze zm.) w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.) oraz art. 5 ust. 1 lit a), art. 6 ust. 1, art. 57 ust. 1 lit a) i lit. f) i art. 58 ust. 2 lit b) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1), zwanego dalej RODO, po przeprowadzeniu postępowania administracyjnego w sprawie skargi B. S. na nieuprawnione udostępnienie dotyczących jej danych osobowych przez Centrum [...] z siedzibą w [...], udzielił upomnienia Centrum [...] z siedzibą w [...] w związku z nieuprawnionym udostępnieniem danych osobowych B. S. na rzecz M. M. - zatrudnionej w przeszłości w Centrum [...] na stanowisku Zastępcy Kierownika Powiatowego Centrum Zarządzania Kryzysowego w Centrum [...].
W uzasadnieniu organ wskazał, że do Biura Generalnego Inspektora Ochrony Danych Osobowych (aktualnie Urzędu Ochrony Danych Osobowych) wpłynęła skarga B. S. na nieuprawnione udostępnienie dotyczących jej danych osobowych przez Centrum [...]. Jak wskazała, wystąpiła ona do Dyrektora Centrum z wnioskiem o udostępnienie jej określonych informacji w trybie przepisów o dostępie do informacji publicznej. Odpowiedź, jakiej udzielił Dyrektor Centrum na ww. wniosek, została przez niego przekazana również osobie, której dotyczyła wnioskowana informacja (tj. M. M. zatrudnionej w przeszłości w Centrum). W opisany sposób doszło zdaniem strony do kwestionowanego udostępnienia przez Dyrektora Centrum, na rzecz osoby nieupoważnionej, danych osobowych skarżącej w zakresie obejmującym jej imię, nazwisko oraz adres. Strona wniosła o "(...) wszczęcie postępowania wyjaśniającego w przedmiotowej sprawie (...) wydanie decyzji administracyjnej nakazującej przywrócenia stanu zgodnego z prawem (...) wszczęcie postępowania dyscyplinarnego przeciw Komendantowi Centrum [...] (...)".
Organ ustalił następujący stan faktyczny:
1. Kolejnymi pismami: z dnia [...] marca 2017 r., z dnia [...] marca 2017 r. i z dnia [...] maja 2017 r. skarżąca, powołując się na zapisy ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2018 r. poz. 1330 ze zm.) zwróciła się do Centrum z cyt.: "(...) Wnioskiem o udostępnienie informacji publicznej (...) w następującym zakresie (...) Wyniki ostatniej oceny okresowej Pani M. M. zatrudnionej (w latach 2008 - 2011) na stanowisku Zastępcy Kierownika Powiatowego Centrum Zarządzania Kryzysowego w Centrum [...] (...)" (kopie pism w aktach sprawy).
2. Centrum udzieliło skarżącej odpowiedzi na tak sformułowany wniosek kolejno pismami: z dnia [...] marca 2017 r., z dnia [...] kwietnia 2017 r. i z dnia [...] czerwca 2017 r. W pierwszym z wymienionych pism Centrum wskazało cyt.: "(...) żądana informacja nie podlega udostępnieniu w trybie art. 2 ust. 1 ustawy o dostępie do informacji publicznej (...) Pani M. M. otrzymała 1 egzemplarz oceny okresowej (w 2010 r.) ktorej kopia może być Pani udostępniona przez [...], ale tylko za zgodą osoby ocenianej (Pani M. M.) (...)". W korespondencji z dnia [...] kwietnia 2017 r. Centrum podtrzymało swoje stanowisko w sprawie argumentując dodatkowo, że wnioskowana informacja nie podlega udostępnieniu w żądanym trybie, gdyż nie stanowi ona informacji publicznej (jako, że odnosi się do osoby, która w podanym okresie nie miała kompetencji w zakresie podejmowania rozstrzygnięć o charakterze władczym, a tym samym nie pełniła funkcji publicznej), a zarazem wskazując cyt.: "(...) z akt osobowych Pani M. M. wynika, że osoba ta nie była oceniana okresowo na stanowisku zastępcy kierownika PCZK w [...]. To zaś oznacza wprost, że nie jest możliwe udostępnienie wskazywanej przez wnioskodawcę okresowej oceny konkretnego pracownika samorządowego, jeżeli taka konkretna ocena okresowa nie została dokonana (...)" (kopie pism w aktach sprawy).
3. Pismem z dnia [...] kwietnia 2017 r. adresowanym do Pani M. M. (znak: [...]) Centrum poinformowało ją o otrzymanym wniosku skarżącej, sposobie ustosunkowania się do niego przez Centrum, a także dodało cyt.: "(...) proszę o pisemną informację, czy w przypadku powtórzenia tego wniosku wyraża Pani zgodę na przedstawienie pozostałych Pani ocen okresowych za czas pracy w [...] (..)". Do wskazanej korespondencji załączono zarazem - co wynika wprost z jej treści - kopię odpowiedzi Centrum na wniosek skarżącej o udostępnienie jej informacji w trybie przepisów o dostępie do informacji publicznej (kopia korespondencji znajduje się w aktach sprawy).
4. Pismem z dnia [...] czerwca 2017 r. M. M. wystąpiła do Centrum z pytaniem cyt.: "(...) proszę o informację kim jest B. S.? Czego na mój temat chce się dowiedzieć? Jakie informacje na mój temat zostały tej Pani przedstawione? Bardzo proszę o udostępnienie treści pism pani B. S. (...)" (kopia pisma znajduje się w aktach sprawy). Centrum udzieliło Pani M. M. odpowiedzi pismem z dnia [...] czerwca 2017 r. wskazując w nim w szczególności cyt.: "(...) Podkreślamy, że kopie naszych pism kierowanych do wnioskodawczyni (skarżącej) przekazywaliśmy Pani, jako osobie, która może być zainteresowana wynikiem sprawy (szeroko rozumiany interes prawny) (...)" (kopia pisma znajduje się w aktach sprawy).
W złożonych Prezesowi Urzędu Ochrony Danych Osobowych pisemnych wyjaśnieniach Centrum uzasadniło kwestionowane udostępnienie danych osobowych skarżącej na rzecz M. M. powołując się w szczególności na zapisy art. 28 k.p.a. Wedle argumentacji Centrum cyt.: "(...) kierując się (...) równością stron każdego postępowania prowadzonego lub nadzorowanego przez organy publiczne - poinformowano Panią M. M. o trwającym postępowaniu, w którym jest niewątpliwie stroną (art. 28 kpa) - w celu zajęcia ewentualnego stanowiska. Pani M. M. korzystając ze swego prawa wystąpiła o udzielenie jej informacji o stanie postępowania i jego wyniku (...) Przekazanie Pani M. M. informacji o prowadzonym postępowaniu dotyczącym jej osoby i jej interesu prawnego wynikało z przepisów art. 28 kpa w związku z art. 23 kc. (...)". Jednocześnie Centrum zaakcentowało, iż cyt.: "(...) Skarżąca (...) w dacie składania wniosku była przedsiębiorcą prowadzącym działalność gospodarczą zaewidencjonowaną w [...]. Do dnia dzisiejszego dane osobowe Skarżącej dostępne są na ogólnodostępnych portalach [...],[...],[...],[...] (...). Nadto ustalono i potwierdzono, że Pani: B. S. i Pani M. M. znają się z dyskusji na portalach internetowych (...) Skarżąca (...) miała (czy ma) bliżej nieokreślone roszczenie o charakterze cywilnym bądź karnym (lub jeszcze innym), a to oznacza wprost, że celem działania Skarżącej nie był dostęp do informacji publicznej (...) ale jakaś sprawa prywatna.
Pomijając więc fakt (...) że wniosek nie dotyczył informacji publicznej - ewentualne uzyskanie wskazanej oceny było i pozostaje w pełni możliwe w postępowaniu sądowym, cywilnym, czy też karnym. Każda ze stron ma wówczas prawem określone możliwości dostępu do zgromadzonych dowodów (...)".
Prezes Urzędu rozstrzygając sprawę wskazał na wstępie, że z dniem 25 maja 2018 r., wraz z wejściem w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 ze zm.) Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.) zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego. Wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. pozostają skuteczne (art. 160 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych). Organ przywołał m.in. art. 57 ust. 1 RODO, art. 6 ust. 1 RODO, Art. 5 ust. 1 lit d) RODO.
Organ stwierdził, że analiza okoliczności przedmiotowej sprawy w kontekście przytoczonych powyżej przepisów prowadzi do wniosku, że kwestionowane udostępnienie danych osobowych skarżącej zawartych w jej wniosku o udzielenie określonych informacji, na rzecz osoby, której wniosek ten dotyczył, nastąpiło bez wymaganej podstawy prawnej. Oczywistym jest, że skarżąca nie wyraziła zgody na przedmiotowe udostępnienie jej danych (brak przesłanki z art. 6 ust. 1 lit. a) RODO), jak również udostępnienie to nie było niezbędne w kontekście zawarcia bądź wykonania umowy, której skarżąca byłaby stroną (brak przesłanki z art. 6 ust. 1 lit. b) RODO). Bez wątpienia również brak jest podstaw dla uznania kwestionowanego przez skarżącą udostępnienia jej danych jako niezbędnego z punktu widzenia ochrony jej żywotnych interesów, czy też żywotnych interesów innej osoby fizycznej (brak przesłanki z art. 6 ust. 1 lit. d) RODO).
Prezes UODO stwierdził, że udostępnienie danych bez wątpienia nie było również niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (brak przesłanki z art. 6 ust. 1 lit. e) RODO) - Centrum jednoznacznie uzasadniało bowiem swoje działania powołując się nie na interes publiczny, któremu miałyby one służyć, lecz na interes osoby, na rzecz której udostępniono dane skarżącej, a zarazem nie były to działania związane bezpośrednio ze sprawowaniem przez Centrum władztwa publicznego.
W ocenie organu kwestionowane udostępnienie danych nie może być również uznane za legalne w świetle art. 6 ust. 1 lit. c) RODO. Prezes UODO nie zgadza się z argumentacją przedstawioną przez Centrum, a wskazującą na rzekomą niezbędność kwestionowanego udostępnienia z punktu widzenia potrzeb postępowania w sprawie wniosku skarżącej o udostępnienie informacji publicznej. Prezes UODO wskazał, że abstrahując od dokonanej przez Centrum, zaś kwestionowanej przez skarżącą, oceny dotyczącej charakteru wnioskowanej informacji (która zdaniem Centrum nie stanowi informacji publicznej) - która to ocena nie mieści się w obszarze kompetencji Prezesa UODO – brak jest przepisu prawa, który w obszarze postępowania w przedmiocie wniosku o udostępnienie informacji publicznej dopuszczałby ujawnienie danych wnioskodawcy osobie, której dotyczy wnioskowana informacja. W szczególności, osoba, której dotyczą informacje wnioskowane w trybie przepisów o dostępie do informacji publicznej, nie jest stroną takiego postępowania. Stroną tą jest bowiem wyłącznie wnioskodawca. Stanowisko powyższe jest ugruntowane zarówno w literaturze przedmiotu, jak i orzecznictwie (por. postanowienia Naczelnego Sądu Administracyjnego: z dnia 8 maja 2015 r. I OSK 1038/15, 2 dnia 5 marca 2013 r. I OSK 298/13, z dnia 30 sierpnia 2012 r. I OSK 1860/12, a także: M. Kłaczyński, S. Szuster "Dostęp do informacji publicznej. Komentarz" LEX/el. 200, L Kamińska, M. Rozbicka - Ostrowska "Ustawa o dostępie do informacji publicznej. Komentarz" wyd. III WK 2016). W konsekwencji, chybionym jest argument Centrum, jakoby podstawę prawną kwestionowanego udostępnienia danych stanowił art. 28 k.p.a., a tym samym rzeczone udostępnienie zostało zrealizowane na warunkach określonych w art. 6 lit. 1 lit. c) RODO. Z przyczyn podanych powyżej w niniejszej sprawie nie można również uznać za spełnioną przesłanki z art. 6 ust. 1 lit. f) RODO - gdyż kwestionowanego udostępnienia nie sposób uznać za niezbędne z punktu widzenia interesów administratora danych (Centrum), ani osoby trzeciej (w omawianej sprawie – M. M.). Z tych względów zdaniem organu brak jest podstaw dla stwierdzenia że ww. osoba trzecia była uprawniona (miała interes prawny) w uzyskaniu danych osobowych skarżącej realizując jakiekolwiek uprawnienia w ramach postępowania zainicjowanego wnioskiem skarżącej o udostępnienie jej informacji publicznej. W niniejszej sprawie nie ma również żadnych podstaw by przyjąć, że kwestionowane udostępnienie danych osobowych skarżącej było niezbędne z punktu widzenia realizacji innych praw M. M. - w szczególności w obszarze ochrony jej dóbr osobistych (art. 23 i 24 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2018 r. poz. 1025 ze zm.)). Jakkolwiek Centrum powołało się na zapisy art. 23 Kodeksu cywilnego, w sprawie brak jest jakichkolwiek przesłanek by przyjąć, że M. M. ubiegała się o pozyskanie danych osobowych skarżącej dla potrzeb postępowania w sprawie ochrony dóbr osobistych, tym bardziej zaś dowodów potwierdzających, że działania w obszarze ochrony dóbr osobistych istotnie zostały przez M. M. podjęte, zaś pozyskanie danych osobowych Skarżącej warunkowało ich kontynuację, skuteczność etc. (było niezbędne dla ich realizacji). Powyższe potwierdza treść pisma M. M. do Centrum z dnia [...] czerwca 2017 r. (pkt 4 uzasadnienia faktycznego niniejszej decyzji), w którym wnioskując o udostępnienie danych skarżącej, w istocie w żaden sposób nie uzasadnia ona tego wniosku swojego wniosku. Argumentacja Centrum wskazuje, że to ten podmiot niejako sam "poszukuje" po stronie M. M. interesu prawnego, którego realizacji służyło kwestionowane udostępnienie. Interes ten ma przy tym charakter wyłącznie hipotetyczny. Organ stwierdził, że udostępnienie danych osobowych skarżącej nie znajdowało oparcia w żadnej spośród przesłanek określonych w art. 6 ust. 1 RODO, wiązało się ono równocześnie z naruszeniem art. 5 ust. 1 lit. a) RODO - gdyż nie odpowiadało określonym w powołanym przepisie wymogom działania w sposób legalny i rzetelny. Organ zaznaczył też, że bez znaczenia w kontekście oceny okoliczności przedmiotowej sprawy, jest akcentowana przez Centrum okoliczność, iż w chwili wystąpienia do niego z wnioskiem o udostępnienie określonej informacji w trybie przepisów o dostępie do informacji publicznej, skarżąca była osobą prowadzącą działalność gospodarczą.
Organ mając na uwadze uprawnienie przewidziane w art. 58 ust. 2 lit. c) RODO, a zarazem sformułowane przez skarżącą pod adresem Prezesa UODO żądanie cyt.: "(...) wydania decyzji administracyjnej nakazującej przywrócenie stanu zgodnego z prawem (...)" wskazał, że żądanie to nie może zostać uwzględnione. Jakkolwiek bowiem Centrum istotnie dopuściło się nieuprawnionego udostępnienia danych osobowych skarżącej, zdarzenie to miało charakter nieodwracalny w tym sensie, że w niniejszej sprawie nie sposób cofnąć konsekwencji powyższego działania sprowadzających się do zapoznania się z rzeczonymi informacjami przez osobę, na rzecz której zostały one udostępnione. Jednocześnie jednak, do naruszenia w obszarze przepisów o ochronie danych osobowych niewątpliwie doszło. Mając na uwadze fakt i wagę stwierdzonego naruszenia, jego nieodwracalność rozumianą jako brak możliwości powrotu do momentu sprzed naruszenia, a zarazem potrzebę egzekwowania zapisów RODO (por. motyw 148 RODO), organ właściwy w sprawie ochrony danych osobowych uznał za zasadne skorzystanie w niniejszej sprawie z instrumentu o charakterze naprawczym przewidzianego w art. 58 ust. 2 lit. b) RODO i skierowanie do Centrum upomnienia w związku z zaistniałą sytuacją.
Prezes Urzędu Ochrony Danych Osobowych, po rozpatrzeniu wniosku
o ponowne rozpoznanie sprawy, decyzją z dnia [...] maja 2019 r.
nr [...], na podstawie art. 138 § 1 pkt 1 k.p.a., utrzymał w mocy własną decyzję z dnia [...] stycznia 2019 r.
W uzasadnieniu, przedstawiając stan faktyczny jak w decyzji z dnia [...] stycznia 2019 r., podtrzymał ustalenia i stwierdzenia zawarte w powołanej decyzji. Stwierdził, że kwestionowane udostępnienie danych osobowych skarżącej zawartych w jej wniosku o udzielenie określonych informacji, na rzecz osoby, której wniosek ten dotyczył, nastąpiło bez wymaganej podstawy prawnej. Nadto, odnosząc się do zarzutów Centrum dotyczących niezasadnego stosowania w niniejszej sprawie RODO, wskazał, iż z dniem 25 maja 2018 r., wraz z wejściem w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000), Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz, 922 i z 2018 r. poz. 138 i 723) zgodnie z zasadami określonymi w ustawie k.p.a. Wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. pozostają skuteczne (art. 160 ust. 1 i ust, 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych). Prezes UODO jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i organem nadzorczym w rozumieniu RODO (art. 34 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.). Wobec wejścia w życie RODO, aktu stosowanego wprost w porządku krajowym, przewidującego materialne przepisy regulujące przetwarzanie danych osobowych, w ocenie Prezesa UODO nie jest możliwe stosowanie materialnych przepisów krajowej ustawy uchylonej, regulującej tożsame kwestie. RODO weszło w życie z dniem 25 maja 2018 r. i nie przewiduje żadnych wyłączeń jego stosowania do określonych stanów prawnych czy zdarzeń, jedynie art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. przewiduje stosowanie wyłącznie przepisów proceduralnych ustawy z dnia 29 sierpnia 1997 r., jak art. 12, art. 22 i art. 18 tej ustawy. RODO nie przewiduje również delegacji do ewentualnego uchwalenia w porządku krajowym przepisów zakładających wyłączenie jego stosowania w określonych sytuacjach. Tym samym jedynym aktem prawym regulującym zasady przetwarzania danych osobowych i mającym zastosowanie do przetwarzania danych osobowych po dniu 25 maja 2018 r. jest RODO. Zdaniem Prezesa UODO, konsekwencją powyższego jest to, iż art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. przewiduje stosowanie wyłącznie przepisów proceduralnych ustawy z dnia 29 sierpnia 1997 r., jak art. 12, art. 22 i art. 18 tej ustawy. Zgodnie bowiem z art. 87 ust. 1 Konstytucji RP, źródłami powszechnie obowiązującego prawa Rzeczypospolitej Polskiej są Konstytucja, ustawy, ratyfikowane umowy międzynarodowe oraz rozporządzenia. Z kolei zgodnie z art. 91 ust. 3 Konstytucji RP, jeżeli wynika to z ratyfikowanej przez Rzeczpospolitą Polską umowy konstytuującej organizację międzynarodową, prawo przez nią stanowione jest stosowane bezpośrednio, mając pierwszeństwo w przypadku kolizji z ustawami.
Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2019 r. nr [...] stała się przedmiotem skargi Centrum [...] z siedzibą w [...], reprezentowanego przez adwokata, do Wojewódzkiego Sądu Administracyjnego w Warszawie.
Pełnomocnik wnosząc o uchylenie zaskarżonej i poprzedzającej ją decyzji oraz umorzenie postępowania a także zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych lub spisu kosztów, jeżeli zostanie złożony, zarzucił:
1. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.:
a) zasady praworządności, wyrażonej w art. 6 k.p.a. poprzez zastosowanie w podstawie prawnej decyzji- do zdarzenia z [...].04.2017r.- przepisów art. 5 ust. 1 lit.a, art. 6 ust. 1, art. 57 ust. 1 lit.a i lit.f, art. 58 ust. 2 lit.b RODO, gdy przepisy intertemporalne - art. 159 ust. 1, art. 160 ust. 2 i 3 ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. z 2018r., poz. 1000 z poźn. zm.) nakazywały wprost do sprawy wszczętej [...].05.2017r. (znak: [...], art. 61 § 3a k.p.a.) i nie zakończonej przed 25.05.2018r.- zastosowanie przepisów dotychczasowych (czyli ustawy z 29 sierpnia 1997r. o ochronie danych osobowych);
b) art. 28 k.p.a w zw. z art. 61 § 4 k.p.a. oraz w zw. z art. 23 k.c.- poprzez bezzasadne uznanie, że zawiadomienie M. M. o zainicjowanym przez B. S. postępowaniu o udostępnienie ocen okresowych tej byłej pracownicy [...] (nie pełniącej funkcji publicznej), do którego nie mają zastosowania przepisy ustawy o dostępie do informacji publicznej - nastąpiło w sposób nieuprawniony i bez podstawy prawnej;
2. obrazę prawa materialnego, która miała istotny wpływ na wynik sprawy, tj. art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych poprzez błędną wykładnię i niewłaściwe zastosowanie, a to pominięcie w podstawie prawnej decyzji przepisów dotychczasowych ustawy z 29 sierpnia 1997r. o ochronie danych osobowych i uznanie przez organ, że wskazany przepis dotyczy stosowania wyłącznie przepisów proceduralnych tej ustawy z 1997 r., jak art. 12, art. 22 i art. 18.
W uzasadnieniu pełnomocnik Centrum [...] wskazał, że sprawa z wniosku B. S. została wszczęta przez Generalnego Inspektora Ochrony Danych Osobowych [...].05.2017 r. i była prowadzona na podstawie ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych i nie została zakończona przed dniem wejścia w życie ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018r., poz. 1000) czyli przed 25 maja 2018 r. (art. 176). Zgodnie z art. 159 ust. 1 i art. 160 ust. 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych, postępowania wszczęte i niezakończone do 25 maja 2018 r.- prowadzone będą już przez Prezesa UODO, jednakże na podstawie przepisów dotychczasowych i zgodnie z k.p.a. (np. Komentarz do ustawy o ochronie danych osobowych pod red. P. Litwińskiego, wyd. Legalis 2018; pod red. A. Dmochowskiej 2019, wyd. Legalis 2019). Pełnomocnik wskazał, że w wyroku z 14 marca 2017 r., sygn. II OSK 1770/15 Naczelny Sąd Administracyjny przypomniał, że wydając decyzję organ administracji publicznej jest zobowiązany do uwzględnienia stanu prawnego z daty wydania rozstrzygnięcia, o ile stan ten nie uległ zmianie w toku postępowania, a przepisy intertemporalne (tutaj: powyżej cytowane) nie nakazywały stosowanie do spraw wszczętych i niezakończonych przepisów dotychczasowych. W sprawie zaskarżonej do Sądu przepisy intertemporalne nakazują właśnie stosowanie do spraw wszczętych i niezakończonych przed 25 maja 2018 r. przepisów dotychczasowych. Powołanie zaś w podstawie prawnej rozstrzygnięcia administracyjnego przepisów "nowych"- i do tego mniej korzystnych dla strony- nie znajduje prawnego usprawiedliwienia i uzasadnienia. Podobnie- w ocenie skarżącego- organ niewłaściwie zdekodował status M. M., będącej stroną postępowania, do którego nie miały zastosowania przepisy ustawy o dostępie do informacji publicznej.
Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując dotychczasowe ustalenia. Dodatkowo wskazał, że wobec wejścia w życie RODO, aktu stosowanego wprost w porządku krajowym, przewidującego materialne przepisy regulujące przetwarzanie danych osobowych, w ocenie Prezesa Urzędu Ochrony Danych Osobowych nie jest możliwe stosowanie materialnych przepisów krajowej ustawy uchylonej, regulującej tożsame kwestie. RODO weszło w życie z dniem 25 maja 2018 r. i nie przewiduje żadnych wyłączeń jego stosowania do określonych stanów prawnych czy zdarzeń, jedynie art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. przewiduje stosowanie wyłącznie przepisów proceduralnych ustawy z dnia 29 sierpnia 1997 r., jak art. 12, art. 22 i art. 18 tej ustawy. RODO nie przewiduje również delegacji do ewentualnego uchwalenia w porządku krajowym przepisów zakładających wyłączenie jego stosowania w określonych sytuacjach. Tym samym jedynym aktem prawym regulującym zasady przetwarzania danych osobowych i mającym zastosowanie do przetwarzania danych osobowych po dniu 25 maja 2018 r. jest RODO. Konsekwencją powyższego jest to, iż art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. przewiduje stosowanie wyłącznie przepisów proceduralnych ustawy z dnia 29 sierpnia 1997 r., jak art. 12, art. 22 i art. 18 tej ustawy.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Skarga nie jest zasadna.
Zaskarżona i poprzedzająca ją decyzja Prezesa Urzędu Ochrony Danych Osobowych nie naruszają ani prawa materialnego ani prawa procesowego. Decyzje te wydane zostały po należytym przeprowadzeniu postępowania administracyjnego, w którym w sposób wyczerpujący ustalono pełny stan faktyczny sprawy (art. 7 k.p.a.). Organ rozpatrzył cały materiał dowodowy (art. 77 § 1 k.p.a.) i dokonał jego trafnej oceny (art. 80 k.p.a.). Na podstawie całości zgromadzonego materiału dowodowego Sąd stwierdził, że ocena ta nie była dowolna. Organ wydając zaskarżoną i poprzedzającą ją decyzję nie naruszył zasady praworządności (art. 6 k.p.a.), zastosował właściwe przepisy prawa. Nadto, uzasadnienia obu decyzji spełniają wszystkie wymogi art. 107 § 3 k.p.a. i nie pozostawiają wątpliwości, co do przyczyn, dla których Prezes UODO podjął rozstrzygnięcie w postaci udzielenia Centrum [...] upomnienia.
Dokonane w niniejszej sprawie przez Prezesa UODO ustalenie,
że udostępnienie przez Centrum [...] danych osobowych B. S. (osoby wnioskującej o udostępnienie informacji publicznej) M. M. (osobie trzeciej) było nieuprawnione, albowiem nastąpiło bez podstawy prawnej – jest trafne. Zasadnie, w stanie faktycznym tej sprawy, Prezes UODO stwierdził, że nie zaszła żadna z podstaw uprawniających do udostępnienia danych osobowych, określonych w art. 6 RODO, a nadto naruszono art. 5 ust. 1a RODO. W sprawie nie ma wątpliwości, że osoba wnioskująca o udostępnienie informacji publicznej nie wyraziła zgody na udostępnienie jej danych osobowych (imienia, nazwiska, adresu i numeru PESEL) osobie trzeciej (M. M.). Nie została zatem spełniona przesłanka z art. 6 ust. 1 lit. a RODO. Udostępnienie przez Centrum [...] danych osobowych wnioskodawcy osobie trzeciej nie było także niezbędne dla zawarcia bądź wykonania umowy (art. 6 ust. 1 lit. b RODO). Z całą pewnością nie może być mowy o spełnieniu przesłanki w postaci wypełnienia obowiązku prawnego ciążącego na administratorze ( art. 6 ust. 1 lit.c RODO). Udostępnienie danych nie było też niezbędne do ochrony żywotnych interesów osoby wnioskującej o udostępnienie informacji publicznej, czy też żywotnych interesów innej osoby fizycznej (art. 6 ust. 1 lit. d RODO). Prawidłowo Prezes UODO stwierdził, że udostępnienie danych nie było niezbędne również do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e RODO). Udostępnienie danych osobowych B. S. osobie trzeciej nie było w końcu niezbędne Centrum do realizacji prawnie usprawiedliwionych interesów realizowanych przez ten podmiot lub przez jakąkolwiek stronę trzecią (art. 6 ust. 1 lit. f RODO). Trafnie przy tym organ stwierdził, że bez znaczenia dla rozstrzygnięcia tej sprawy była podnoszona przez Centrum okoliczność, że osoba wnioskująca o informację publiczną była osobą prowadzącą działalność gospodarczą.
Twierdzenie Centrum [...], że dane osoby wnioskującej o informację publiczną udostępniono M. M. jako stronie postępowania w rozumieniu art. 28 k.p.a. w sprawie o udostępnienie informacji publicznej jest całkowicie nietrafne i nie znajduje oparcia w przepisach prawa. Zgodnie z art. 28 k.p.a. stroną jest każdy, czyjego interesu prawnego dotyczy postępowanie albo kto żąda czynności organu ze względu na swój interes prawny lub obowiązek. Podkreślenia wymaga przy tym, że w sprawach z zakresu dostępu do informacji publicznej k.p.a. znajduje zastosowanie dopiero wówczas, gdy podmiot zobowiązany zamierza odmówić udostępnienia informacji publicznej, a zatem zamierza wydać decyzję administracyjną (art. 16 k.p.a.). Do decyzji stosuje się wówczas k.p.a. Niezależnie jednak od powyższego zauważyć należy, że osoba, której dotyczą wnioskowane informacje (żądane dane) nie jest stroną postępowania w sprawie z wniosku o udostępnienie informacji publicznej. Pogląd ten jest ugruntowany w orzecznictwie sądowoadministracyjnym. Stroną postępowania o dostęp do informacji publicznej wszczynanego na wniosek jest wyłącznie wnioskodawca, co powoduje, że w sprawach tych nie znajduje zastosowania art. 28 k.p.a. (v. wyrok NSA z dnia 30 sierpnia 2012 r. sygn. akt I OSK 1860/12, orzeczenia.nsa.gov.pl).
Pamiętać trzeba bowiem, że uprawnienie do żądania udostępnienia informacji publicznej ma "każdy", a od osoby realizującej to prawo nie można żądać wykazania interesu ani faktycznego ani prawnego. Jest to postępowanie pomiędzy wnioskodawcą a podmiotem, do którego zwrócono się o udostępnienie określonych informacji. Dla uzyskania przez podmiot zobowiązany informacji o rezygnacji z przysługującego prawa do prywatności w określonych przypadkach, o czym jest mowa w art. 5 ust. 2 ustawy o dostępie do informacji publicznej, nie jest uprawnione udostępnienie danych osobowych wnioskodawcy, skoro z wnioskiem o informację publiczną może wystąpić "każdy".
Trafnie też Prezes UODO stwierdził, że nie było żadnych podstaw, aby przyjąć w tej sprawie, że udostępnienie danych osobowych wnioskującej o informację publiczną było niezbędne z punktu widzenia jakichkolwiek praw M. M. na gruncie art. 23 i 24 k.c. Z akt sprawy jednoznacznie wynika, że udostępnienie danych osobowych B. S. nastąpiło ściśle w związku z rozpatrywaniem przez Centrum [...] wniosku o udostępnienie informacji publicznej.
W świetle powyższego, Prezes UODO trafnie stwierdził, że udostępnienie danych osobowych M. S. osobie trzeciej nastąpiło bez podstawy prawnej, a tym samym naruszało również art. 5 ust. 1 lit. a RODO.
W ocenie Sądu prawidłowo Prezes UODO zastosował w niniejszej sprawie przepisy RODO. Przepis art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych nie wyklucza stosowania RODO. Przepis ten stanowi, że postępowania, o których mowa w ust. 1 (a zatem wszczęte i niezakończone przed dniem 25 maja 2018 r.), prowadzi się na podstawie ustawy uchylanej w art. 175 (a zatem ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych), zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2017 r., poz. 1257 oraz z 2018 r. poz. 149 i 650). Sąd podziela ustalenie organu, że powołany przepis przewiduje stosowanie jedynie przepisów proceduralnych ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, to jest art. 12, art. 22 i art. 18 tej ustawy. Zarzut naruszenia powołanego przepisu nie jest zasadny. W ocenie Sądu wywodzenie w stanie faktycznym niniejszej sprawy, że przepisy RODO nie miały zastosowania i organ ochrony danych osobowych nie mógł zastosować art. 58 ust. 2 lit.b RODO w zw. z art. 57 ust. 1 lit.a i lit.f RODO jest nietrafne. Okoliczność, że zdarzenie w postaci udostępnienia osobie trzeciej (nieuprawnionej) danych osobowych osoby wnioskującej o udostępnienie informacji publicznej nastąpiło w dniu [...] kwietnia 2017 r. i nie zostało zakończone przed dniem 25 maja 2018 r. nie oznacza pozbawienia Prezesa UODO przyznanych mu przepisami RODO uprawnień i nie pozbawia tego organu kompetencji do podejmowania działań naprawczych. Przepisy RODO bezspornie znajdowały zastosowanie w niniejszej sprawie. Warto przy tym zauważyć, że RODO weszło w życie już 25 maja 2016 r. Celem takiego uregulowania kwestii daty wejścia w życie rozporządzenia i jego stosowania od 25 maja 2018 r. było umożliwienie administratorom przez 2 lata dostosowanie procesu przetwarzania danych osobowych do nowej regulacji prawnej.
Zastosowany środek naprawczy w postaci udzielonego upomnienia jest w tej sprawie właściwy i znajduje umocowanie w przepisie art. 58 ust. 2 lit.b RODO. Nie ma żadnych wątpliwości, że w stanie faktycznym tej sprawy, nie ma możliwości przywrócenia stanu sprzed naruszenia. Osoba nieuprawniona zapoznała się już bowiem wskutek nieuprawnionego działania Centrum [...] z danymi osobowymi wnioskującej o informację publiczną. Zarówno fakt zaistniałego naruszenia, jego znaczenie (waga) i nieodwracalność dawały Prezesowi UODO podstawę do zastosowania środka w postaci upomnienia.
Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie,
na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r., poz. 2325), orzekł jak w wyroku.