II SA/Wa 1568/23

II SA/Wa 1568/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-03-11
orzeczenie prawomocne
Data wpływu
2023-08-10
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Wieczorek /sprawozdawca/
Łukasz Krzycki /przewodniczący/
Piotr Borowiecki
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2023 poz 1634
art. 151,  art. 120
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Piotr Borowiecki, Sędzia WSA Andrzej Wieczorek (spr.), po rozpoznaniu w trybie uproszczonym w dniu 11 marca 2024 r. sprawy ze skargi W.N. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO/organ) decyzją z dnia [...] maja 2023 roku nr [...] (dalej: decyzja) po rozpatrzeniu skargi W. N. (dalej: skarżący), w przedmiocie przetwarzania danych osobowych przez Agencję [...] w [...] (dalej: Agencja/uczestnik - następca prawny [...] w [...]).
udzielił uczestnikowi upomnienia w zakresie opisanym w pkt.1 i 2 decyzji,
odmówił uwzględnienia wniosku w zakresie opisanym w pkt.3, 4 i 5 decyzji,
umorzył postępowanie w pozostałym zakresie.
Organ ustalił, że skarżący od [...] listopada 2018 r. do [...] lipca 2021 r. pełnił służbę jako żołnierz zawodowy w Agencji, a następnie został skierowany do [...] Dywizji [...] w [...].
Skarżący przebywając na zwolnieniu lekarskim zwrócił się z prośbą o dostarczenie mu jego prywatnych rzeczy pozostawionych w miejscu pracy. Szef Agencji w celu realizacji prośby skarżącego powołał komisję, w skład której weszli [...] M.B., W.K. oraz [...] J. J. Komisja zabezpieczyła rzeczy skarżącego, w tym teczkę, w której znajdowały się płyty CD. Komisja wraz z lokalnym administratorem systemów teleinformatycznych – P. W., dokonała sprawdzenia zawartości płyt CD ustalając, iż zawierają one materiały osobiste Skarżącego. Na jednej z płyt CD znajdowały się dane osobowe skarżącego dotyczące jego dorobku naukowego, tj. imienia, nazwiska oraz treści jego rozprawy doktorskiej.
Agencja wskazała, że skarżący jako żołnierz zawodowy, wykonując zadania miał dostęp do informacji niejawnych i był zobowiązany do zachowania w tajemnicy informacji niejawnych. Wyjaśniła, iż kontrola zawartości nośników danych była niezbędna i konieczna do zapewnienia bezpieczeństwa ochrony informacji niejawnych.
Podniosła, że w budynku Agencji, gdzie obowiązki pełnił skarżący, celach związanych z ochroną budynku stosowany jest monitoring wizyjny. Agencja wyjaśniła, iż budynek ten zalicza się do kategorii budynków, dla których zachodzi konieczność zapewnienia monitoringu wizyjnego na jego terenie. Od 2011 r. monitoring stosowany był na podstawie "Instrukcji o ochronie obiektów wojskowych" wprowadzonej do użytku z decyzją Nr [...] Ministra Obrony Narodowej z dnia [...] września 2011 r. w sprawie wprowadzenia do użytku w resorcie obrony narodowej "Instrukcji o ochronie obiektów wojskowych" (Dz. Urz. Min. Obr. Nar. poz. 279), zmienionej decyzją Nr [...] Ministra Obrony Narodowej z dnia [...] grudnia 2013r. zmieniającą decyzję w sprawie wprowadzenia do użytku w resorcie obrony narodowej "Instrukcji o ochronie obiektów wojskowych" (Dz. Urz. Min. Obr. Nar. poz. 334), a następnie uchyloną decyzją Nr [...] Ministra Obrony Narodowej z dnia [...] lipca 2017 r. w sprawie wprowadzenia do użytku "Instrukcji o ochronie obiektów wojskowych". Obecnie monitoring wizyjny w budynku stosowany jest zgodnie z "Instrukcją o ochronie obiektów wojskowych", sygn. [...], wprowadzonej przez Sztab Generalny Wojska Polskiego na podstawie decyzji Nr [...] Ministra Obrony Narodowej z dnia [...] lipca 2017 r. w sprawie wprowadzenia do użytku "Instrukcji o ochronie obiektów wojskowych" (dowód: pismo Agencji z [...] września 2022 r. wraz z załącznikami).
Agencja poinformowała, iż przetwarzała dane osobowe skarżącego pozyskane za pośrednictwem stosowanego monitoringu wizyjnego w celach związanych z ochroną i funkcjonowaniem budynku. Podniosła, że dane osobowe Skarżącego były przetwarzane przez okres 3 miesięcy, a następnie usuwane (dowód: dowód: pismo Agencji z [...] września 2022 r. wraz z załącznikami).
Zdaniem Agencji uznała, że spełniła wobec skarżącego obowiązek informacyjny w związku z przetwarzaniem jego danych osobowych pozyskanych za pośrednictwem stosowanego monitoringu poprzez zapoznanie skarżącego z informacją o celach, zakresie i sposobie stosowania monitoringu wizyjnego udostępniając mu treść "Planu Ochrony Kompleksu Wojskowego [...]" zatwierdzonego przez Szefa [...] 22.12.2017 r. Skarżący 27 grudnia 2017 r. o godz. 14:24 potwierdził otrzymanie wskazanego dokumentu w elektronicznym systemie obiegu dokumentów (dowód: dowód: pismo Agencji z 29 września 2022 r. wraz z załącznikami).
Agencja na podstawie zapisu monitoringu wizyjnego ustaliła, że skarżący [...] maja 2019 r. spóźnił się do służby oraz w godz. 10:35:28 - 14:08:34 przebywał poza budynkiem Agencji (dowód: pismo Agencji z 29 września 2022 r. wraz z załącznikami).
Postanowieniem z [...] czerwca 2019 r. Agencja wszczęła wobec skarżącego postępowanie dyscyplinarne sygn. akt: [...], do akt którego załączono płytę CD z nagrania monitoringu, na którym utrwalono wizerunek skarżącego z [...] maja 2019 r. (dowód: pismo skarżącego z [...] października 2021 r. wraz z załącznikami, pismo Agencji z 29 września 2022 r. wraz z załącznikami).
Agencja wyjaśniła, iż w związku z decyzją Nr [...] Ministra Obrony Narodowej z [...] lipca 2019 r. skarżący został przeniesiony do rezerwy kadrowej i pełnił służbę w [...] Dywizji [...]w [...] (dowód: pismo Agencji z 29 września 2022 r. wraz z załącznikami).
Postanowieniem z [...] września 2019 r. [...] Dywizja [...] w [...] przejęła prowadzenie wskazanego postępowania dyscyplinarnego wszczętego wobec skarżącego. Agencja przekazała [...] Dywizji [...] w [...] akta postępowania wraz z danymi osobowymi skarżącego pozyskanymi za pośrednictwem monitoringu wizyjnego z [...] maja 2019 r. utrwalonymi na płycie CD (dowód: pismo Agencji z 29 września 2022 r. wraz z załącznikami).
Skarżący wniósł skargę , na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Agencję, polegające na przetwarzaniu jego danych osobowych wskutek stosowania monitoringu wizyjnego, niespełnieniu wobec niego obowiązku informacyjnego wskazanego w art. 13 ust. 1 oraz art. 15 ust. 1 i 3 rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35 dalej: RODO), , w związku ze stosowanym monitoringiem wizyjnym, przetwarzaniu jego danych osobowych pozyskanych za pośrednictwem monitoringu wizyjnego w celu ewidencji i kontroli czasu jego służby, udostępnieniu jego danych osobowych pozyskanych za pośrednictwem monitoringu na rzecz [...] Dywizji [...] w [...], przetwarzaniu jego danych osobowych pozyskanych wskutek przejrzenia zawartości jego prywatnej płyty CD, w szczególności danych dotyczących jego dorobku naukowego, tj. imienia i nazwiska oraz treści rozprawy doktorskiej.
Zaskarżoną decyzją organ:
1. udzielił Agencji upomnienia za naruszenie art. 5 ust. 1 lit. c w zw. z art. 6 ust. 1 RODO polegające na przetwarzaniu danych osobowych skarżącego pozyskanych z wykorzystaniem monitoringu wizyjnego w celu ewidencji i kontroli czasu jego służby;
2. udzielił Agencji upomnienia za naruszenie art. 13 ust. 1 RODO polegające na niespełnieniu wobec skarżącego obowiązku informacyjnego, o którym mowa w art. 13 ust 1 RODO, w związku z przetwarzaniem jego danych osobowych pozyskanych z wykorzystaniem monitoringu wizyjnego w celu ewidencji i kontroli czasu jego służby;
3. odmówił uwzględnienia wniosku w zakresie przetwarzania przez Agencję danych osobowych skarżącego pozyskanych wskutek stosowania monitoringu wizyjnego w budynku, gdzie pełnił on służbę;
4. odmówił uwzględnienia wniosku w zakresie braku spełnienia przez Agencję wobec skarżącego obowiązku informacyjnego, o którym mowa w art. 13 ust 1 RODO, w związku z przetwarzaniem jego danych osobowych wskutek stosowania monitoringu wizyjnego w budynku, gdzie pełnił on służbę;
5. odmówił uwzględnienia wniosku w zakresie przekazania przez Agencję danych osobowych skarżącego pozyskanych za pośrednictwem monitoringu wizyjnego [...] maja 2019 r. na rzecz [...] Dywizji [...] w [...];
6. umorzył postępowanie w pozostałym zakresie.
Organ wskazał, że Przepisy RODO określą obowiązki administratora, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tym rozporządzeniu. Przepisem uprawniającym administratora do przetwarzania danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny.
Organ stwierdził, że w przedmiotowej sprawie zgromadził pełny materiał dowodowy i dokonał jego oceny w sposób rzetelny i wyczerpujący w zgodzie z zasadą wynikającą z art. 80 k.p.a., a wyniki tej oceny znalazły odzwierciedlenie w uzasadnieniu decyzji. Prezes UODO, korzystając z instrumentów prawnych określonych w art. 58 ust. 1 lit. a i lit. e RODO w toku postępowania podejmował kroki zmierzające do pełnego ustalenia stanu faktycznego sprawy. Sposób działania organu ochrony danych osobowych był zdeterminowany spoczywającym na nim, na mocy art. 77 § 1 k.p.a., obowiązkiem wyczerpującego zebrania oraz rozpatrzenia całego materiału dowodowego. Wydanie decyzji administracyjnej w sprawie należącej do właściwości Prezesa UODO było poprzedzone dokładnym zbadaniem jej okoliczności faktycznych oraz zebraniem niezbędnego i wystarczającego oraz wewnętrznie spójnego materiału dowodowego.
Skargę na powyższą decyzję wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skarżący, zarzucając jej:
"Stronniczość w zakresie nie uwzględnienia ewidentnych, oczywistych wniosków jednej strony postępowania (Skarżącego), a uwzględnianie bezzasadnych wniosków drugiej strony (administratora - [...], obecnie Agencja [...]). Niewłaściwe uwzględnienie i wykorzystanie obowiązujących przepisów prawa w celu stworzenia bezzasadnych, bezprawnych warunków do umorzenia, nierozstrzygania spraw. Nierzetelną analizę materiału dowodowego, który dostarczył do UODO. Przewlekłe prowadzenie postępowania".
Skarżący w szczególności kwestionował:
- pkt. 3 decyzji Prezes UODO z dnia [...] maja 2023 r. Wnosił o uznanie winnym administratora w zakresie braku spełnienia przez Agencję wobec skarżącego obowiązku informacyjnego o którym mowa w art. 13 ust. 1 RODO, w związku z przetwarzaniem jego danych osobowych wskutek stosowania monitoringu wizyjnego w budynku, gdzie pełnił on służbę
- pkt. 4 decyzji Prezesa UODO z dnia [...] maja 2023 r. Wnosił o uznanie winnym administratora w zakresie przekazania przez Agencję danych osobowych skarżącego pozyskanych za pośrednictwem monitoringu wizyjnego [...].05.2019 r. na rzecz [...] Dywizji [...] w [...]
- pkt. 5 decyzji Prezesa UODO z dnia [...] maja 2023 r. Wnosił o sprecyzowanie spraw do których odnosi się informacja zawarta w pkt. 6 decyzji Prezesa UODO z dnia [...] maja 2023 r., cyt.: "umarza postępowanie w pozostałym zakresie".
W związku z powyższym wnosił o nałożenie na administratora jednej, surowszej kary grzywny w kwocie, tj. 100 000 zł (sto tysięcy złotych). Zasądzenie kosztów postępowania (procesu) oraz innych kosztów związanych z niniejszą sprawą na administratora Agencja [...] w związku z ewidentną jego winą w zakresie nieprzestrzegania obowiązujących regulacji prawnych w obszarze ochrony danych osobowych.
W odpowiedzi na skargę organ podtrzymał stanowisko.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga nie zasługuje na uwzględnienie.
Przedmiotem skargi jest decyzja organu z dnia [...] maja 2023 roku przedmiocie przetwarzania danych osobowych skarżącego przez Agencję [...] w [...]
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (t. j. z dnia 2 grudnia 2022 r., Dz. U. z 2022 r., poz. 2492), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności.
Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2023 r., poz. 1634 -zwaną dalej P.p.s.a.").
Przedmiotem postępowania jest decyzja w sprawie nieprawidłowości w procesie przetwarzania danych osobowych skarżącego przez Agencję, polegające na przetwarzaniu danych osobowych skarżącego wskutek stosowania monitoringu wizyjnego, niespełnieniu wobec niego obowiązku informacyjnego wskazanego w art. 13 ust. 1 oraz art. 15 ust. 1 i 3 rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej: RODO, w związku ze stosowanym monitoringiem wizyjnym, przetwarzaniu jego danych osobowych pozyskanych za pośrednictwem monitoringu wizyjnego w celu ewidencji i kontroli czasu jego służby, udostępnieniu jego danych osobowych pozyskanych za pośrednictwem monitoringu na rzecz [...] Dywizji [...] w [...], przetwarzaniu jego danych osobowych pozyskanych wskutek przejrzenia zawartości jego prywatnej płyty CD, w szczególności danych dotyczących jego dorobku naukowego, tj. imienia i nazwiska oraz treści rozprawy doktorskiej.
Odnosząc się do zarzutu skarżącego opisanego w pkt.3 decyzji a dotyczącego przetwarzania przez Agencję jego danych osobowych wskutek stosowania monitoringu wizyjnego, w ocenie Sądu zasadne jest twierdzenie organu iż, Agencja gdzie obowiązki pełnił skarżący, jest jednostką budżetową podległą Ministrowi Obrony Narodowej (§ 1 Statutu Inspektoratu Uzbrojenia, Dz. Urz. MON z 2013 r. poz. 203; § 1 Statutu Agencji Uzbrojenia, Dz. Urz. MON z 2021 r. poz. 252). Organ prawidłowo wykazał, że budynek gdzie stosowany jest monitoring jest budynkiem, który zalicza się do kategorii budynków, dla których zachodzi konieczność zapewnienia monitoringu wizyjnego na jego terenie. Budynek Agencji, gdzie obowiązki pełnił skarżący, objęty jest monitoringiem od 2011 r. Monitoring wizyjny został wprowadzony na podstawie "Instrukcji o ochronie obiektów wojskowych" wprowadzonej do użytku z decyzją Nr [...] Ministra Obrony Narodowej z dnia [...] września 2011 r. w sprawie wprowadzenia do użytku w resorcie obrony narodowej "Instrukcji o ochronie obiektów wojskowych" (Dz. Urz. Min. Obr. Nar. poz. 279), zmienionej decyzją Nr [...] Ministra Obrony Narodowej z dnia [...] grudnia 2013r. zmieniającą decyzję w sprawie wprowadzenia do użytku w resorcie obrony narodowej "Instrukcji o ochronie obiektów wojskowych" (Dz. Urz. Min. Obr. Nar. poz. 334), a następnie uchyloną decyzją Nr [...] Ministra Obrony Narodowej z dnia [...] lipca 2017 r. w sprawie wprowadzenia do użytku "Instrukcji o ochronie obiektów wojskowych". Obecnie monitoring wizyjny w budynku stosowany jest zgodnie z "Instrukcją o ochronie obiektów wojskowych", sygn. [...], wprowadzoną przez Sztab Generalny Wojska Polskiego na podstawie decyzji Nr [...] Ministra Obrony Narodowej z dnia [...] lipca 2017 r. w sprawie wprowadzenia do użytku "Instrukcji o ochronie obiektów wojskowych". Organ prawidłowo ustalił, że Agencja przetwarzała dane osobowe Skarżącego przy wykorzystaniu monitoringu wizyjnego w oparciu o art. 6 ust. 1 lit. e RODO, tj. gdy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Przetwarzanie danych osobowych Skarżącego w budynku Agencji było niezbędne dla zapewnienia ochrony realizacji zadań wykonywanych przez Agencję związanych z obronnością i bezpieczeństwem państwa. Dodatkowo Szef Agencji był zobowiązany w zakresie technicznego zabezpieczenia ochronnego zrealizować polecenie Ministra Obrony Narodowej i podległego mu Sztabu Generalnego Wojska Polskiego wchodzącego w skład Ministerstwa Obrony Narodowej (§ 1 Statutu Inspektoratu Uzbrojenia w zw. z art. 1 ust. 1 ustawy z dnia 14 grudnia 1995 r. o urzędzie Ministra Obrony Narodowej, t. j. Dz. U. z 2022 r. poz.1438). Wobec tego Prezes UODO zasadnie nie stwierdził naruszenia ochrony danych osobowych Skarżącego w tym zakresie i odmówił uwzględnienia wniosku.
Odnosząc się do zarzutu skarżącego dotyczącego niespełnienia przez Agencję wobec niego obowiązku informacyjnego wskazanego w art. 13 RODO w związku ze stosowanym monitoringiem wizyjnym (pkt 4 Decyzji) należy zauważyć, że Agencja zapoznała Skarżącego z treścią dokumentu "Plan Ochrony Kompleksu Wojskowego [...]" zatwierdzonego przez Szefa [...] 22.12.2017 r. informującego o celach, zakresie i sposobie stosowania monitoringu wizyjnego. Skarżący [...] grudnia 20217 r. o godz. 14:24 potwierdził otrzymanie wskazanego dokumentu w elektronicznym systemie obiegu dokumentów. Wobec tego w ocenie Sądu, Agencja spełniła wobec Skarżącego obowiązek informacyjny w związku z przetwarzaniem jego danych osobowych pozyskanych za pośrednictwem stosowanego monitoringu wizyjnego, wobec czego Prezes UODO słusznie odmówił uwzględnienia wniosku Skarżącego w tym zakresie.
Także zasadne jest twierdzenie organu, że w okolicznościach przedmiotowej sprawy bezcelowym było nakazywanie Agencji spełnienia wobec skarżącego obowiązku informacyjnego wynikającego z art. 13 ust 1 RODO, gdyż skarżący pozyskał wszelkie niezbędne informacje dotyczące przetwarzania przez Agencję jego danych osobowych pozyskanych za pośrednictwem monitoringu wizyjnego z [...] maja 2019 r. w celu ewidencji i kontroli czasu służby skarżącego w toku niniejszego postępowania.
Odnosząc się do zarzutu skarżącego dotyczącego przebiegu i zasadności toczącego się wobec skarżącego postępowania dyscyplinarnego, należy uznać, że zasadne jest twierdzenie Prezesa UODO, że nie może on kwestionować ustaleń i dokonywać oceny zasadności działań podejmowanych przez inne wyspecjalizowane podmioty, w sprawach zastrzeżonych do ich właściwości, których orzeczenia podlegają ocenom w toku instancji czy w inny sposób określony odpowiednimi procedurami. Prezes UODO nie sprawuje nadzoru i nie może ingerować w sprawy zastrzeżone do kompetencji Agencji w sprawach prowadzonych postępowań dyscyplinarnych. Powyższe stanowisko, aktualne na gruncie RODO, potwierdza Naczelny Sąd Administracyjny w wyroku z dnia 2 marca 2001 r. (sygn. akt II SA 401/00) stwierdzając, że cyt.: "(...) Generalny Inspektor (...) nie jest organem kontrolującym ani nadzorującym nieprawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych organów, służb czy sądów, których orzeczenia podlegają ocenom w toku instancji, czy w inny sposób określony odpowiednimi procedurami". Należy wskazać, iż postępowanie dyscyplinarne toczące się wobec Skarżącego prowadzone było na podstawie przepisów ustawy z dnia 9 października 2009 r. o dyscyplinie wojskowej (Dz. U. 2019 r. poz. 1508 z późn. zm.), dalej: u.d.w. Skarżący jako żołnierz zawodowy zobowiązany był do przestrzegania dyscypliny wojskowej (art. 2 ust. 1 u.d.w.). Zgodnie z art. 44 ust. 1 u.d.w. przełożony dyscyplinarny niezwłocznie wszczyna postępowanie dyscyplinarne, jeżeli istnieje uzasadnione przypuszczenie, że żołnierz popełnił przewinienie dyscyplinarne. Kontrolę instancyjną nad prawidłowością postępowania dyscyplinarnego sprawuje wyższy przełożony dyscyplinarny lub sąd wojskowy (art. 65 u.d.w.).
Organ ustalił, że przekazanie przez Agencję jego danych osobowych skarżącego pozyskanych za pośrednictwem monitoringu wizyjnego z [...] maja 2019 r. na rzecz [...] Dywizji [...] w [...] związane było z decyzją Nr [...] Ministra Obrony Narodowej z [...] lipca 2019 r. mocą, której skarżący został przeniesiony do rezerwy kadrowej i pełnił służbę w [...] Dywizji [...] w [...]. Jednostka ta postanowieniem z [...] września 2019 r. przejęła prowadzenie wskazanego postępowania dyscyplinarnego. Zgodnie z art. 46 ust 3 u.d.w., w przypadku przeniesienia żołnierza do innej jednostki wojskowej lub instytucji cywilnej, innego pododdziału albo komórki wewnętrznej, wszczęte wobec niego postępowanie dyscyplinarne przejmuje i orzeka w pierwszej instancji nowy przełożony dyscyplinarny, chyba że dotychczasowy przełożony dyscyplinarny zachowuje właściwość. Tym samym Agencja zobowiązana była do przekazania akt prowadzonego postępowania dyscyplinarnego Skarżącego wraz z płytą CD, na której utrwalone były jego dane osobowe w zakresie wizerunku pozyskane z monitoringu wizyjnego z [...] maja 2019 r. Wobec tego należy uznać, że działanie Agencji znajduje oparcie w art. 6 ust. 1 lit. c w zw. z art. 46 ust. 3 u.d.w., wobec czego Prezes UODO zasadnie nie stwierdził naruszenia ochrony danych osobowych Skarżącego w tym zakresie i odmówił uwzględnienia wniosku.
Odnosząc się do zarzutu skarżącego dotyczącego pozyskanie przez Agencję jego danych osobowych zawartych na prywatnej płycie CD, należy wskazać, iż zgodnie z art. 2 ust. 2 lit. a RODO rozporządzenie nie ma zastosowania do przetwarzania danych osobowych w ramach działalności nieobjętej zakresem prawa Unii. Chodzi tu o szeroko pojęte działania, odnoszące się do bezpieczeństwa narodowego (P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 2). Jednocześnie zgodnie z art. 6 pkt. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j. Dz. U. z 2019 r. poz. 1781) przepisów RODO nie stosuje się do przetwarzania danych osobowych przez jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 1,3, 5, 6 i 14 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2019 r. poz. 869 i 1622), w zakresie, w jakim przetwarzanie to jest konieczne do realizacji zadań mających na celu zapewnienie bezpieczeństwa narodowego, jeżeli przepisy szczególne przewidują niezbędne środki ochrony praw i wolności osoby, której dane dotyczą. W przedmiotowej sprawie powołana przez Szefa Agencji komisja, w celu wydania rzeczy skarżącego, wykonując czynności kontrolne ujawniła, iż płyty CD zawierają materiały osobiste skarżącego i uzyskała dostęp do danych osobowych skarżącego zgromadzonych na nośnikach danych, w tym informacji dotyczących jego dorobku naukowego. Agencja poinformowała, iż przetwarza informacje niejawne związane z bezpieczeństwem narodowym, do których dostęp miał również skarżący. W myśl art. 4 ust. 1 ustawy z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz. U. z 2019 r. poz. 742 z późn zm.), dalej: u.o.i.n., informacje niejawne mogą być udostępnione wyłącznie osobie dającej rękojmię zachowania tajemnicy i tylko w zakresie niezbędnym do wykonywania przez nią pracy lub pełnienia służby na zajmowanym stanowisku albo wykonywania czynności zleconych. Kierownik jednostki organizacyjnej, w której są przetwarzane informacje niejawne, odpowiada za ich ochronę, w szczególności za zorganizowanie i zapewnienie funkcjonowania tej ochrony (14 ust. 1 u.o.i.n.). Wobec tego, Szef Agencji realizując ustawowy obowiązek zapewnienia ochrony informacji niejawnych przed wydaniem rzeczy skarżącego powołał komisję, która dokonała kontroli zawartości płyt CD, które miały być wydane skarżącemu. W tym stanie rzeczy zasadne jest twierdzenie, że przetwarzanie danych osobowych skarżącego przez Agencję w kwestionowanym zakresie związane było bezpośrednio z realizacją zadań Szefa Agencji mających na celu zapewnienie bezpieczeństwa narodowego, wobec czego przepisy RODO nie mają zastosowania do kwestionowanego przetwarzania.
Postępowanie w tym zakresie było bezprzedmiotowe i zasadnie podlegało umorzeniu. Zgodnie bowiem z art. 105 § 1 k.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji wydaje decyzję o umorzeniu postępowania.
Skarżący niezasadnie powołuje się na nieprawidłowości związane z odebraniem mu służbowej pieczątki. Na gruncie przepisów RODO żądanie skarżącego dotyczące ww. pieczątki, nie zawiera się w zakresie żądań, których nakazania spełnienia Prezes UODO może dokonać, w ramach przyznanych mu kompetencji. Podkreślenia wymaga, że żaden przepis RODO, ani ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) nie uprawnia Prezesa UODO do wydawania nakazów dotyczących nośników danych. Powołane akty normatywne nie zawierają również przepisów mogących stanowić dla osoby, której dane dotyczą, podstawę do żądania od administratora danych wydania lub zniszczenia nośnika zawierających jej dane osobowe. Prezes UODO uprawniony jest do dokonywania oceny legalności dysponowania danymi osobowymi - nie zaś nośnikami, na których dane te zostały utrwalone. Powyższe stanowisko organu, aktualne na gruncie RODO, potwierdził Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 6 września 2005 r. (sygn. akt II SA/Wa 825/05), uznając: "W ustawie o ochronie danych osobowych brak jest przepisów obligujących administratora do udostępnienia dokumentów zawierających dane osobowe. Ustawodawca posługuje się pojęciem udostępnienia, odnosząc je zawsze do danych osobowych, a nie do zawierających je dokumentów". Z powyższego wynika, że Prezes Urzędu Ochrony Danych Osobowych uprawniony jest jedynie do dokonywania oceny legalności dysponowania danymi osobowymi, nie zaś przedmiotami czy też nośnikami, na których to dane zostały utrwalone. Wobec tego, należy stwierdzić bezprzedmiotowość postępowania w zakresie dotyczącym odebrania Skarżącemu pieczątki służbowej i zasadność jego umorzenia.
Zdaniem Sądu należy jednocześnie uznać, iż organ wyczerpująco zbadał istotne okoliczności faktyczne związane z niniejszą sprawą.
W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie organ rozstrzygając sprawę - oparł się na materiale prawidłowo zebranym, i dokonał jego wszechstronnej oceny.
Ponadto należy uznać, iż stanowisko wyrażone w zaskarżonej decyzji, organ nie uzasadniły w sposób wymagany przez normę prawa określoną w przepisie art. 107 § 3 k.p.a.
Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 w związku z art. 119 pkt 2 i art. 120 P.p.s.a., oddalił skargę