II SA/Wa 1679/20

II SA/Wa 1679/20 - Wyrok WSA w Warszawie
Data orzeczenia
2021-03-31
orzeczenie prawomocne
Data wpływu
2020-09-01
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Kołodziej
Piotr Borowiecki /przewodniczący sprawozdawca/
Sławomir Antoniuk
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 6061/21 - Wyrok NSA z 2025-01-28
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2018 poz 1000
art.7 ust.1, art. 60, art.68 ust.1
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Piotr Borowiecki (spr.), Sędzia WSA Sławomir Antoniuk, Sędzia WSA Andrzej Kołodziej, po rozpoznaniu w trybie uproszczonym w dniu 31 marca 2021 r. sprawy ze skargi B. P. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Zaskarżoną decyzją z dnia [...] lipca 2020 r., nr [...], Prezes Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO" lub "organ nadzorczy"), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2020 r., poz. 256 ze zm. - dalej także: "k.p.a.") oraz art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2019 r., poz. 1781 - dalej także: "u.o.d.o."), w związku z art. 6 ust. 1 lit. c., art. 13 ust. 1-3 oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (Dz. Urz. EU L 119 z dnia 4 maja 2016 r., str. 1 oraz Dz. Urz. UE L 127 z dnia 23 maja 2018, str. 2 ze zm. dalej także: "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie zainicjowanej skargą wniesioną przez B.P. (dalej także: "skarżący" lub "strona skarżąca") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Prezesa Sądu Rejonowego w L. (dalej także: "Prezes Sądu") polegające na niespełnieniu obowiązku informacyjnego oraz przetwarzaniu danych osobowych przez osobę nieupoważnioną - odmówił uwzględnienia wniosku.
Zaskarżona decyzja Prezesa UODO została wydana w następującym stanie faktycznym.
W piśmie z dnia [...] maja 2019 r. do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła skarga B.P. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Prezesa Sądu Rejonowego w L., z siedzibą w L. przy ul. [...], polegające na niespełnieniu obowiązku informacyjnego oraz przetwarzaniu danych osobowych przez osobę nieupoważnioną.
W uzasadnieniu skargi skarżący wskazał na wstępie, że w piśmie z dnia [...] sierpnia 2018 r. wystosował do Prezesa Sądu Rejonowego w L. wniosek o udostępnienie informacji publicznej, w którym wskazał swoje dane osobowe w zakresie imienia, nazwiska, adresu e-mail oraz numeru telefonu. Skarżący podniósł, że pismem z dnia [...] sierpnia 2018 r. Prezes Sądu Rejonowego w L. udostępnił mu wnioskowaną informację publiczną, jednakże korespondencja ta nie zawierała klauzuli informacyjnej. Skarżący wskazał jednocześnie, że zamieszczona na stronie internetowej Sądu klauzula informacyjna nie obejmowała informacji wymaganych przez art. 13 ust. 1 i 2 RODO. Skarżący zauważył, że z rejestru zmian wynika, że klauzula informacyjna uzyskała aktualną treść dopiero w dniu [...] maja 2019 r. W tej sytuacji, skarżący zarzucił Prezesowi Sądu Rejonowego w L., że ten - realizując jego wniosek o udostepnienie informacji publicznej i udzielając odpowiedzi - nie dopełnił wobec niego obowiązku informacyjnego, o którym mowa w art. 13 ust. 1, ust. 2 i ust. 3 RODO. Tymczasem, w ocenie skarżącego, wspomniany obowiązek informacyjny powinien zostać zrealizowany w odniesieniu do faktu pozyskania danych osobowych (po złożeniu przez skarżącego wniosku) oraz rozpoczęcia przetwarzania danych osobowych w celu innym niż cel, w którym dane osobowe zostały zebrane (użycia tych danych w celach prywatnych przez pracownika sądu – B.G.). Skarżący podniósł bowiem, że Prezes Sądu Rejonowego w L. nie udzielił pracownikowi sporządzającemu odpowiedź w trybie dostępu do informacji publicznej (B.G.) upoważnienia do przetwarzania jego danych osobowych, co oznacza - według skarżącego - że jego dane były przetwarzane przez osobę nieupoważnioną i z naruszeniem art. 29 RODO. Skarżący wyjaśnił, że przygotowanie odpowiedzi na wniosek o dostęp do informacji publicznej miało miejsce w okresie od dnia [...] sierpnia 2018 r. do dnia [...] sierpnia 2018 r., natomiast B.G. sporządziła i następnie wykorzystała kopię wniosku skarżącego zawierającego jego dane osobowe jako załącznik do swojego pisma z dnia [...] stycznia 2019 r. skierowanego do Prezesa Sądu Rejonowego w L., które dotyczyło zarzutów dyscyplinarnych skierowanych wobec skarżącego. W tej sytuacji, skarżący stwierdził, że wykorzystanie kopii jego wniosku we wskazany powyżej sposób, po blisko 5 miesiącach od jego realizacji, oznacza, że przetwarzanie jego danych osobowych nastąpiło w celach prywatnych tego pracownika, czyli w sposób niezgodny z celem, jakim było udostępnienie skarżącemu informacji publicznej, czyli z naruszeniem art. 5 ust. 1 lit. b oraz art. 6 ust. 4 RODO. Ponadto, skarżący zarzucił, że Prezes Sądu Rejonowego w L. naruszył także art. 33 ust. 1 RODO, albowiem [pic]nie zgłosił Prezesowi UODO wspomnianego wyżej naruszenia przepisów w zakresie ochrony danych osobowych.
W piśmie uzupełniającym, skarżący wystąpił o przeprowadzenie postępowania w sprawie, a w razie stwierdzenia, że doszło do naruszenia prawa - wydanie decyzji administracyjnej nakazującej administratorowi danych osobowych przywrócenie stanu zgodnego z prawem przez zastosowanie wszystkich właściwych środków przewidzianych w art. 58 ust. 2 RODO.
W związku z wniesioną skargą, Prezes Urzędu Ochrony Danych Osobowych przeprowadził stosowne postępowanie wyjaśniające, w wyniku którego zgromadził odpowiedni materiał dowodowy, ustalając stan faktyczny konieczny do wydania stosownego rozstrzygnięcia.
W piśmie z dnia [...] lipca 2019 r. organ nadzorczy zwrócił się przede wszystkim do Prezesa Sądu Rejonowego w L. z prośbą o przedstawienie szczegółowych wyjaśnień dotyczących zarzutów zawartych we wniesionej skardze.
Ustosunkowując się do powyższego wezwania organu nadzorczego, Prezes Sądu Rejonowego w L. w piśmie z dnia [...] sierpnia 2019 r. wyjaśnił, że wypełnił obowiązek informacyjny wobec skarżącego poprzez zamieszczenie klauzuli informacyjnej na tablicy ogłoszeń w budynku Sądu oraz na stronie internetowej Sądu. Prezes Sądu wskazał również, że na dzień [...] sierpnia 2018 r., tj. na dzień złożenia wniosku o udzielenie informacji publicznej przez skarżącego, na stronie internetowej Sądu zamieszczona była klauzula informacyjna zgodna z art. 13 ust. 1 i 2 RODO, zaś w dniu [...] maja 2019 r. nastąpiło jedynie jej doprecyzowanie polegające na wskazaniu dokładnych okresów przechowywania danych osobowych oraz nastąpiło uszczegółowienie praw osób, których dane dotyczą poprzez wskazanie sposobu ich realizacji. Prezes Sądu poinformował organ nadzorczy, że w celu rozpatrzenia wniosku skarżącego o udzielenie informacji publicznej oraz zebrania niezbędnych danych w jego przedmiocie, przekazał wniosek, zgodnie z właściwością merytoryczną, odpowiedniej jednostce organizacyjnej Sądu wraz z poleceniem służbowym sporządzenia takiej odpowiedzi. Prezes Sądu wskazał, że obsługą ww. wniosku (przygotowaniem danych niezbędnych do udzielenia odpowiedzi) zajmowała się pracownik B.G., która - jak wyjaśnił Prezes Sądu - była upoważniona do przetwarzania danych osobowych i zobowiązana do zachowania tajemnicy służbowej. Prezes Sądu podniósł, że B.G. wykonała kopię udzielonej odpowiedzi wraz z kopiami dokumentów stanowiących podstawę do przygotowania odpowiedzi, w tym odpisem wniosku o udzielenie informacji publicznej. Dokumentację tę pozostawiła do swojej służbowej wiadomości, celem potwierdzenia złożenia przez nią projektu odpowiedzi do Prezesa Sądu, zgodnie ze swoją stałą praktyką służbową. Prezes Sądu zauważył, że skarżący wnosił do Sądu skargi na B.G. dotyczące jej merytorycznej pracy w Sądzie oraz złożył w Sądzie Okręgowym w [...] zawiadomienie o jej rzekomym przewinieniu dyscyplinarnym. W rezultacie, jak wskazał Prezes Sądu, B.G. w piśmie z dnia [...] stycznia 2019 r. wystąpiła, drogą służbową, do Prezesa Sądu celem zwrócenia uwagi na prawidłowość podejmowanych przez nią czynności w sprawach przydzielonych do jej referatu oraz w sprawach, w których skarżący występował jako pełnomocnik wnioskodawców, w szczególności w kontekście godności wykonywanego przez skarżącego zawodu radcy prawnego. Z wyjaśnień Prezesa Sądu wynikało, że B.G. do wspomnianego wyżej pisma załączyła m.in. sporną kopię wniosku skarżącego o udostępnienie informacji publicznej na okoliczność potwierdzenia stanu faktycznego wywodzonych przez nią tez. W konsekwencji, Prezes Sądu Rejonowego w L. stwierdził, że - wbrew zarzutom strony skarżącej - w przedmiotowej sprawie nie doszło do naruszenia danych osobowych skarżącego. Prezes Sądu uznał jednocześnie, że nie doszło do wystąpienia skutku w postaci ryzyka naruszenia praw i wolności osób fizycznych i tym samym stwierdził, że nie miał obowiązku dokonania zgłoszenia organowi nadzorczemu naruszenia, a więc nie naruszył art. 33 RODO. Ponadto, Prezes Sądu poinformował, że B.G. została wezwana do zwrotu sporządzonej kopii wniosku skarżącego do oddziału administracyjnego Sądu Rejonowego w L..
W piśmie z dnia [...] października 2019 r. skarżący podtrzymał swoją skargę i dotychczasowe zarzuty wobec Prezesa Sądu Rejonowego w L..
W wyniku analizy zgromadzonego materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych - działając na podstawie art. 104 § 1 k.p.a. oraz art. 7 ust. 1 i 2 u.o.d.o. w związku z art. 6 ust. 1 lit. c., art. 13 ust. 1-3 oraz art. 58 ust. 2 RODO - wydał w dniu [...] lipca 2020 r. decyzję nr [...]., na mocy której odmówił uwzględnienia wniosku skarżącego zawartego w jego skardze z dnia [...] maja 2019 r.
W uzasadnieniu wydanej decyzji Prezes UODO zauważył na wstępie, że RODO określa obowiązki administratora danych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tym rozporządzeniu. Organ nadzorczy wskazał, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Organ nadzorczy dodał, że katalog przesłanek wymienionych w art. 6 ust. 1 RODO jest zamknięty, a każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, jak stwierdził organ nadzorczy, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych.
Prezes UODO podniósł, że niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO) przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy jest to niezbędne dla wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO) lub gdy jest to niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora (art. 6 ust. 1 lit. f RODO).
Organ nadzorczy odniósł się ponadto do definicji zawartej w art. 4 pkt 1 RODO, a także stwierdził, że każda osoba działająca z upoważnienia administratora i mająca dostęp do danych osobowych przetwarza je wyłącznie na polecenie administratora, na podstawie art. 29 RODO.
Organ nadzorczy wskazał, że - w świetle art. 13 ust. 1, ust. 2 i ust. 3 RODO - jeżeli dane osobowe zbierane są od osoby, której dane dotyczą, administrator podaje jej m.in. informacje o swojej tożsamości i danych kontaktowych oraz danych kontaktowych inspektora ochrony danych, celach i podstawach prawnych przetwarzania, odbiorcach danych, okresie przechowywania danych, prawie dostępu do treści swoich danych oraz ich sprostowania, usunięcia, ograniczenia przetwarzania oraz prawie do wniesienia sprzeciwu wobec przetwarzania, wniesienia skargi do Prezesa UODO. Ponadto, organ nadzorczy zauważył, że jeżeli administrator planuje dalej przetwarzać dane osobowe w celu innym niż cel, w którym dane osobowe zostały zebrane, przed takim dalszym przetwarzaniem informuje on osobę, której dane dotyczą, o tym innym celu. Organ nadzorczy podniósł jednocześnie, że zgodnie z art. 13 ust. 4 RODO, powyższe obowiązki nie mają zastosowania, gdy - i w zakresie, w jakim - osoba, której dane dotyczą, dysponuje już tymi informacjami.
Powołując się z kolei na przepis art. 15 ust. 1 RODO, organ nadzorczy zauważył, że osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane dotyczące jej osoby, a jeżeli tak, to może ona uzyskać również dostęp do tych danych oraz informacji m.in. o celach przetwarzania, kategoriach danych, odbiorcach danych, planowanym okresie przechowywania danych.
Prezes UODO wskazał ponadto, że zgodnie z art. 33 ust. 1 RODO, w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki zgłasza owo naruszenie organowi nadzorczemu, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.
Organ nadzorczy zauważył, że Prezes Sądu jest administratorem danych osobowych osób składających do niego wnioski o udostępnienie informacji publicznej, a dane te przetwarza w celu realizacji obowiązku udzielania informacji publicznej, o którym mowa w art. 4 ust. 1 pkt 1 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (tekst jednolity Dz. U. z 2019 r., poz. 1427 ze zm. - dalej także: "u.d.i.p."). Organ nadzorczy stwierdził, Prezes Sądu, zbierając dane osób zwracających się z wnioskami o udostępnienie informacji publicznej, powinien legitymować się przesłanką określoną w art. 6 ust. 1 lit. c RODO w związku z art. 4 ust. 1 pkt 1ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej. Jednocześnie, organ nadzorczy podniósł, że po okresie niezbędnym do rozpatrzenia wniosku oraz po udzieleniu żądanej informacji publicznej administrator jest zobowiązany do przechowywania danych w oparciu o art. 5 ust. 11 ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (tekst jednolity Dz. U. z 2020 r., poz. 164 ze zm.), czym również wypełnia przesłankę określoną w art. 6 ust. 1 lit. c RODO.
Odnosząc się do zarzutu braku spełnienia obowiązku informacyjnego wynikającego z art. 13 ust. 1 i 2 RODO z uwagi na brak przesłania odpowiedniej klauzuli informacyjnej w korespondencji zwrotnej, Prezes UODO zauważył, że w procesie obsługi wniosku skarżącego o udzielenie mu informacji publicznej Prezes Sądu realizował obowiązek informacyjny poprzez zamieszczenie klauzuli informacyjnej na tablicy ogłoszeń w budynku Sądu oraz na stronie internetowej Sądu.
Organ nadzorczy zaznaczył, że - co do zasady - realizacja powyższego obowiązku informacyjnego powinna nastąpić podczas pozyskiwania danych osobowych, zaś przepis art. 12 ust. 1 RODO wskazuje, że informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach - elektronicznie. W tej sytuacji, organ nadzorczy zauważył, że przepisy dotyczące obowiązku informacyjnego nie narzucają administratorowi konkretnego sposobu jego realizacji, zaś istotne jest jedynie to, by właściwa informacja dotarła do podmiotu, którego dane dotyczą, a także, by administrator był w stanie wykazać zrealizowanie tego obowiązku wobec konkretnego podmiotu, którego dane osobowe są przetwarzane.
Mając powyższe na względzie, organ nadzorczy wskazał, że z wyjaśnień przesłanych przez samego skarżącego wynika, iż przed doręczeniem skargi do organu, a więc przed formalnym wszczęciem postępowania administracyjnego, zapoznał się on z aktualną klauzulą informacyjną zamieszczoną na stronie internetowej Sądu.
Ponadto, organ nadzorczy dodał, że z wyjaśnień skarżącego wynika również, iż w czasie składania przez niego wniosku o udzielenie informacji publicznej zapoznał się on z klauzulą informacyjną zamieszczoną na stronie internetowej Sądu, co wynika z faktu, iż zarzucił on, że wskazana klauzula nie spełniała w tamtym czasie wszystkich wymogów z art. 13 ust. 1 i 2 RODO.
Odnosząc się w tym miejscu do zarzutu skarżącego, który stwierdził, że z rejestru zmian wynika, iż klauzula informacyjna uzyskała aktualną treść dopiero w dniu [...] maja 2019 r., co - według skarżącego - świadczyć miało o niespełnieniu przez Prezesa Sądu obowiązku informacyjnego, organ nadzorczy zauważył, że Prezes Sądu wyjaśnił, że na dzień [...] sierpnia 2018 r., tj. na dzień złożenia przez skarżącego wniosku o udzielenie informacji publicznej, na stronie internetowej Sądu Rejonowego w L. zamieszczona była klauzula informacyjna zgodna z art. 13 ust. 1 i 2 RODO, zaś w dniu [...] maja 2019 r. nastąpiło jedynie jej doprecyzowanie polegające na wskazaniu dokładnych okresów przechowywania danych osobowych oraz nastąpiło uszczegółowienie praw osób, których dane dotyczą poprzez wskazanie sposobu ich realizacji.
Mając powyższe na względzie, Prezes UODO stwierdził, iż z zebranego materiału dowodowego wynika, że w procesie obsługi wniosku skarżącego o udostępnienie informacji publicznej, stronie skarżącej znana była pełna treść klauzuli informacyjnej, z którą zapoznał się na stronie internetowej Sądu. W konsekwencji, organ nadzorczy uznał tym samym, że skarżącemu znane były elementy obowiązku z art. 13 ust. 1 i 2 RODO, czyli tożsamość i dane kontaktowe Prezesa Sądu oraz dane kontaktowe inspektora ochrony danych, cel i podstawa prawna przetwarzania jego danych (obowiązek prawny związany z udzieleniem mu żądanej informacji, a następnie archiwizacją danych), odbiorcach danych (w tym przypadku ich braku), okresie przechowywania danych (związanym z czasem udzieleniem informacji a następnie archiwizacją), prawie dostępu do treści swoich danych oraz ich sprostowania, usunięcia, ograniczenia przetwarzania, prawie do wniesienia sprzeciwu wobec przetwarzania oraz wniesienia skargi do Prezesa UODO. Wobec tego, organ nadzorczy uznał, że Prezes Sądu - w świetle art. 13 ust 4 RODO - nie miał obowiązku zamieszczenia wskazanej powyżej informacji w odpowiedzi zwrotnej skierowanej do skarżącego, z uwagi na to, iż skarżący dysponował już tymi informacjami, co wynika z treści złożonej przez niego skargi.
Organ nadzorczy dodał jednocześnie, że jeżeli jednak - według skarżącego - klauzula informacyjna zamieszczona na stronie internetowej Sądu, gdy składał on wniosek o udzielenie informacji publicznej, nie była wystarczająco jasna lub też nie spełniała wymogów z art. 13 ust. 1 i 2 RODO, to ma on możliwość uzyskania od Prezesa Sądu niezbędnych informacji w trybie wniosku z art. 15 ust. 1 RODO.
Ustosunkowując się z kolei do zarzutu skarżącego podniesionego odnośnie częstych zmian w klauzuli informacyjnej Sądu, które wynikają z rejestru owych zmian, Prezes UODO wskazał, że ochrona danych osobowych jest procesem, który podlega nieustannym zmianom poprzez jego doskonalenie oraz ciągłe badanie zgodności z prawem. W tej sytuacji, organ nadzorczy stwierdził, że przyjąć należy, jako pozytywną praktykę, zmiany dokonywane w klauzuli informacyjnej przez Prezesa Sądu w okresie pomiędzy dniem [...] sierpnia 2018 r. a dnie [...] maja 2019 r., tym bardziej, jeśli zważy się fakt, iż - zgodnie z wyjaśnieniami Prezesa Sądu - polegały one na doprecyzowaniu klauzuli informacyjnej w zakresie okresów przechowywania danych osobowych oraz uszczegóławianiu praw osób, których dane dotyczą poprzez wskazanie sposobu ich realizacji.
Wobec powyżej przytoczonych okoliczności, organ nadzorczy stwierdził, że Prezes Sądu nie naruszył przepisów RODO w zakresie realizacji obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 i ust. 2 RODO, w indywidualnej sprawie dotyczącej danych osobowych skarżącego.
Odnosząc się do zarzutów skarżącego dotyczących przetwarzania jego danych osobowych zawartych we wniosku o udostępnienie informacji publicznej przez nieupoważnionego pracownika Sądu – B.G., a także zarzutów dotyczących bezprawnego wykorzystania tych danych w innym celu, niż ten, dla którego pierwotnie dane były zebrane oraz braku poinformowania skarżącego o zmianie tego celu, Prezes UODO uznał, że zarzuty te nie zasługują na uwzględnienie.
W szczególności, ustosunkowując się do zarzutu dotyczącego przetwarzania danych przez nieupoważnionego pracownika, organ nadzorczy wskazał, że Prezes Sądu przekazał do załatwienia wniosek skarżącego o udzielenie informacji publicznej pracownikowi Sądu – B.G., wydając jej tym samym polecenie służbowe zebrania niezbędnych danych oraz przygotowania projektu odpowiedzi dla skarżącego. W tej sytuacji, organ nadzorczy uznał, że B.G. działała z polecenia administratora danych osobowych i zgodnie z jego wyjaśnieniami była upoważniona do przetwarzania danych osobowych. Jednocześnie, organ nadzorczy zauważył, że żaden przepis RODO nie nakłada na administratora danych obowiązku sporządzenia pisemnego upoważnienia do przetwarzania danych osobowych.
Wobec powyższego, organ nadzorczy stwierdził, że Prezes Sądu nie naruszył art. 29 RODO, albowiem B.G. przetwarzała dane osobowe skarżącego wyłącznie z polecenia administratora danych. Dodatkowo organ nadzorczy zauważył, że gdyby Prezes Sądu, jako administrator danych, nie przekazał do załatwienia wniosku skarżącego wraz z jego danymi, to uniemożliwiłby tym samym B.G. wykonanie polecenia służbowego i opracowania przez nią projektu kompletnej odpowiedzi dla skarżącego.
Analizując z kolei zarzut skarżącego odnoszący się do okoliczności udokumentowania przez B.G. faktu wykonania polecenia służbowego poprzez wykonanie kopii udzielonej odpowiedzi wraz z dokumentami stanowiącymi podstawę jej udzielenia, w tym kopię wniosku skarżącego, Prezes UODO wskazał, że z ustaleń dokonanych w toku postępowania wyjaśniającego wynika, iż skopiowanie przez pracownika pisma skarżącego dla zapewnienia rozliczalności wykonywania obowiązków służbowych zostało dokonane w ramach czynności czysto technicznych i związanych z organizacją własnej pracy. W tej sytuacji, organ nadzorczy uznał, że w niniejszej sprawie nie ma podstaw do postawienia zarzutu, że poprzez wskazane powyżej działanie naruszone zostało prawo do ochrony danych osobowych skarżącego. Jednocześnie, organ nadzorczy uznał, że wszelkie czynności techniczne wykonywane w związku z przetwarzaniem danych osobowych skarżącego mieszczą się w zakresie celu tego przetwarzania. Organ nadzorczy stwierdził bowiem, że podjęte przez B.G. czynności wykonane zostały w obszarze działania tego samego administratora danych, zaś dane osobowe skarżącego nie były udostępniane przez nią na zewnątrz Sądu, a jedynie przekazane do wiadomości Prezesa Sądu, a więc administratora tych danych.
Ponadto, odnosząc się do argumentów strony skarżącej, która wskazywała, że, wykonana przez B.G. - po upływie 5 miesięcy od udzielenia skarżącemu informacji publicznej - kopia jego wniosku została użyta jednak w celu prywatnym, a więc innym, niż pierwotny cel przetwarzania, Prezes UODO uznał, że z zebranego materiału dowodowego wynika, iż Prezes Sądu Rejonowego w L. nie wyszedł poza pierwotny cel przetwarzania danych osobowych skarżącego. Według organu nadzorczego, w chwili skierowania przez pracownika pisma z dnia [...] stycznia 2019 r., Prezes Sądu, jako administrator danych, przetwarzał dane osobowe skarżącego zawarte w jego wniosku o udostępnienie informacji publicznej w celach archiwalnych i to właśnie ze względu na konieczność potwierdzenia pewnego archiwalnego stanu faktycznego, jakim było złożenie tego wniosku, B.G. załączyła go do przedmiotowego pisma, gdyż z tego faktu wywodziła swoje tezy.
Biorąc powyższe pod uwagę, organ nadzorczy uznał zatem, że Prezes Sądu nie naruszył tym samym zasady ograniczenia celu wyrażonej w art. 5 ust. 1 lit. b w zw. z art. 6 ust. 4 RODO.
Jednocześnie, organ nadzorczy uznał, że wobec okoliczności, iż pierwotny cel przetwarzania przez Prezesa Sądu danych osobowych skarżącego nie zmienił się, po jego stronie, jako administratora danych, nie powstał również obowiązek informacyjny, o którym mowa w art. 13 ust. 3 RODO.
Ustosunkowując się z kolei do zarzutu niezgłoszenia organowi nadzorczemu naruszenia ochrony danych osobowych, Prezes UODO zauważył, że zarówno z wyjaśnień Prezesa Sądu, jak i analizy zgromadzonego materiału dowodowego wynika, że administrator danych mógł uznać, iż nie doszło do naruszenia ochrony danych osobowych skarżącego, a także, że nie doszło do wystąpienia skutku w postaci ryzyka naruszenia praw i wolności osób fizycznych, co w konsekwencji - według organu nadzorczego - oznacza, iż Prezes Sądu nie miał obowiązku dokonania zgłoszenia naruszenia, o którym mowa w art. 33 ust. 1 RODO, a więc tym samym nie naruszył tego przepisu.
Podsumowując, organ nadzorczy stwierdził, że zebrany w przedmiotowej sprawie materiał dowodowy nie dał podstaw, aby uznać, iż Prezes Sądu Rejonowego w L. działał niezgodnie z przepisami o ochronie danych osobowych.
W konsekwencji, organ nadzorczy stwierdził, że - wbrew zarzutom strony skarżącej - nie dopatrzył się naruszenia praw związanych z ochroną danych osobowych skarżącego przez Prezesa Sądu Rejonowego w L. w procesie działań związanych z wnioskiem skarżącego o udzielenie informacji publicznej.
W piśmie z dnia [...] sierpnia 2020 r. skarżący wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na w/w decyzję Prezesa UODO z dnia [...] lipca 2020 r.
Wnosząc w petitum skargi o uchylenie w całości zaskarżonej decyzji Prezesa UODO, a także o zasądzenie od organu nadzorczego na rzecz strony skarżącej zwrotu kosztów postępowania sądowego, skarżący zarzucił organowi nadzorczemu:
1. naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. art. 7 k.p.a., art. 77 § 1 k.p.a. i art. 80 k.p.a. - polegające na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie, w szczególności oparciu ustaleń wyłącznie na piśmie administratora danych osobowych - Prezesa Sądu Rejonowego w L. z dnia [...] sierpnia 2020 r., mimo, że wyjaśnienia te zawierają informacje niezgodne z rzeczywistością i wzajemnie sprzeczne oraz pominięciu pisma skarżącego z dnia [...] października 2020 r. oraz dołączonego do niego dowodu;
2. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 5 ust. 2 RODO - przez przyjęcie, że wyjaśnienia administratora danych osobowych są wystarczające dla wykazania przestrzegania przepisów, o których mowa w art. 5 ust. 1 RODO;
3. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 12 ust. 1 RODO oraz art. 13 ust. 1, ust. 2 i ust. 3 RODO - przez przyjęcie, że dla dopełnienia obowiązku informacyjnego wystarczające jest zamieszczenie jakichkolwiek, chociażby częściowych, informacji na tablicy ogłoszeń w budynku sądu oraz na stronie internetowej bez zastosowania tzw. "informacji warstwowej";
4. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 29 RODO w zw. z art. 5 ust. 2 RODO - przez przyjęcie, że nie jest wymagane udokumentowanie udzielenia i zakresu upoważnienia do przetwarzania danych osobowych oraz że administrator danych osobowych może upoważnić ustnie pracownika do zachowania danych osobowych do "swojej służbowej wiadomości",
5. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 5 ust. 1 lit. b i art. 6 ust. 4 RODO - przez przyjęcie, że przetwarzanie danych osobowych w innym celu (tworzenie własnych kopii akt spraw przez pracownika i ich wykorzystanie prywatne) jest zgodne z celem, w którym dane osobowe zostały pierwotnie zebrane (załatwienie wniosku o udostępnienie informacji publicznej) przy uwzględnieniu wszelkich związków między celami, w których zebrano dane osobowe, a celami zamierzonego dalszego przetwarzania; kontekstu, w którym zebrano dane osobowe, w szczególności relacji między osobami, których dane dotyczą, a administratorem, charakteru danych osobowych, w szczególności czy przetwarzane są szczególne kategorie danych osobowych zgodnie z art. 9 RODO lub dane osobowe dotyczące wyroków skazujących i czynów zabronionych zgodnie z art. 10 RODO, ewentualnych konsekwencji zamierzonego dalszego przetwarzania dla osób, których dane dotyczą oraz istnienie odpowiednich zabezpieczeń, w tym ewentualnie szyfrowania lub pseudonimizacji;
6. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 33 ust. 1 RODO - przez przyjęcie, że administrator danych osobowych nie był obowiązany zawiadomić organu nadzorczego o naruszeniu ochrony danych osobowych.
W uzasadnieniu skargi strona skarżąca zauważyła na wstępie, że zgodnie z art. 5 ust. 2 RODO, administrator danych osobowych (w tym przypadku Prezes Sądu Rejonowego w L.) jest odpowiedzialny za przestrzeganie przepisu art. 5 ust. 1 RODO i musi być w stanie wykazać jego przestrzeganie ("rozliczalność").
Skarżący wskazał, że o ile prezes sądu powszechnego korzysta z autorytetu i zaufania przynależnego wymiarowi sprawiedliwości, to jednocześnie nie sposób przyjąć, iż dla wykazania przestrzegania przepisów RODO wystarczające są wyjaśnienia Prezesa Sądu Rejonowego w L., jako administratora danych osobowych, albowiem prowadzi do wypaczenia fundamentalnej zasady systemu ochrony danych osobowych ("zasady rozliczalności") przez przeniesienie "ciężaru dowodu" na osobę, której dane dotyczą i wręcz stawia pod znakiem zapytania sens istnienia systemu ochrony danych osobowych.
W konsekwencji, skarżący uznał, że zaskarżona decyzja Prezesa UODO prowadzi do kuriozalnej w gruncie rzeczy konstatacji, że oświadczenie administratora danych osobowych, że przetwarza dane osobowe zgodnie z przepisami - uwalnia go od odpowiedzialności za naruszenie ich ochrony.
Skarżący zarzucił, że wyjaśnienia Prezesa Sądu Rejonowego w L. budzą poważne wątpliwości co do ich prawdziwości. Jako przykład, skarżący wskazał powołanie się przez Prezesa Sądu Rejonowego w L. na przepis, który nie obowiązywał w czasie załatwiania wniosku o udzielenie informacji publicznej, tj. na § 34 rozporządzenia Ministra Sprawiedliwości z dnia 18 czerwca 2019 r. - Regulamin urzędowania sądów powszechnych (Dz. U. z 2019 r., poz. 1141). Ponadto, skarżący zauważył, że Prezes Sądu wprost podał nieprawdę, twierdząc, iż B.G. była upoważniona do przetwarzania danych osobowych, jako osoba funkcyjna "zastępca przewodniczącego wydziału". Skarżący zauważył jednocześnie, że również twierdzenia Prezesa Sądu Rejonowego w L. m.in. co do treści klauzuli informacyjnej i faktu zamieszczenia jej na tablicy ogłoszeń w budynku Sądu, nie zostały w żaden sposób zweryfikowane przez organ nadzorczy.
Skarżący zarzucił, że Prezes Sądu Rejonowego w L., jako administrator danych osobowych, nie dołączył wydruku klauzuli informacyjnej do korespondencji skierowanej do skarżącego oraz nie zastosował tzw. "informacji warstwowej", która polega na podaniu podstawowych informacji i odesłaniu do pełnej treści klauzuli informacyjnej, np. przez podanie hiperłącza do strony internetowej (zgodnie z wytycznymi Grupy Roboczej Art. 29 "Wytyczne w sprawie przejrzystości na podstawie rozporządzenia 2016/679"). Tymczasem, jak zauważył skarżący, nie jest wystarczające umieszczenie klauzuli informacyjnej w budynku sądu na tablicy ogłoszeń (skarżący zauważył na marginesie, że informacja przekazana przez Prezesa Sądu Rejonowego w L. nie została w tym zakresie zweryfikowana) oraz jej opublikowanie na stronie internetowej bez odesłania. Skarżący podniósł w tym miejscu, iż organ nadzorczy całkowicie pomija swoje wcześniejsze rozstrzygnięcia w podobnych stanach faktycznych (jako przykład wskazał m.in. decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2019 r., wydaną w sprawie nr [...]).
Ponadto, skarżący stwierdził, że administrator danych osobowych powinien zadbać o to, żeby móc wykazać dopełnienie obowiązku informacyjnego w stosunku do osoby, której dane dotyczą, a zasadą jest, że informacji udziela się na piśmie (art. 12 ust. 1 RODO).
Skarżący zauważył również, że - wbrew ustaleniom organu nadzorczego - nie zapoznał się z klauzulą informacyjną zamieszczoną na stronie internetowej w czasie załatwiania wniosku o udzielnie informacji publicznej w sierpniu 2018 r., ale dopiero przed złożeniem skargi w maju 2019 r. Skarżący uznał w tej sytuacji, że wniosek wywiedziony przez organ odwoławczy, jakoby skarżący zapoznał się z treścią klauzuli informacyjnej już w sierpniu 2018 r. jest nieuprawniony, tym bardziej, że gdyby tak było w rzeczywistości i skarżący był świadomy swoich praw, to nie wyraziłby zgody na sporządzanie kopii dokumentów, co - jak się później okazało - stanowiło w istocie "zbieranie kwitów" pod bezpodstawne zawiadomienie o przewinieniu dyscyplinarnym.
Skarżący uznał, że klauzula informacyjna nie odpowiadała wymogom określonym w art. 13 ust. 1 i 2 RODO, co wynika z ustalenia liczby zmian ujętych w "rejestrze zmian".
Uzasadniając zarzuty dotyczące braku udzielenia B.G. stosownego upoważnienia do przetwarzania danych osobowych, skarżący stwierdził, że Prezes Sądu ograniczył się wyłącznie do zapewnienia, iż "stosowne pisemne upoważnienia są przechowywane w aktach osobowych", lecz nie dołączył żadnego dokumentu. Skarżący zauważył jednocześnie, że organ nadzorczy wskazał w uzasadnieniu decyzji, iż upoważnienie do przetwarzania danych osobowych może być udzielone ustnie w drodze polecenia służbowego, jednakże nie ustalił zakresu takiego ewentualnego ustnego upoważnienia, co jest nader istotne w sytuacji, w której - jak się później okazało – B.G. w ramach swojej "stałej praktyki" sporządzała kopie dokumentów obejmujących dane osobowe do "swojej służbowej wiadomości".
Skarżący zarzucił ponadto, że nie polega na prawdzie twierdzenie Prezesa Sądu Rejonowego w L., jakoby B.G. pełniła funkcję Zastępcy Przewodniczącego [...] Wydziału [...] i była "osobą funkcyjną", gdyż - jak podkreślił skarżący - w Sądzie Rejonowym w L. nie została utworzona funkcja Zastępcy Przewodniczącego [...] Wydziału [...].
Skarżący zarzucił również Prezesowi Sądu Rejonowego w L., jako administratorowi danych osobowych, iż akceptuje on "stałą praktykę" polegającą na sporządzeniu przez pracowników kopii dokumentów i pozostawianiu ich do "swojej służbowej wiadomości".
Skarżący podkreślił ponadto, że żaden przepis prawa nie uprawnia pracowników sądu (sędziów, asesorów sądowych, referendarzy sądowych, asystentów sędziów, kuratorów sądowych, urzędników) do tworzenia kopii akt spraw.
Mając na względzie powyższe, skarżący uznał, iż w niniejszej sprawie doszło do oczywistego naruszenia przepisów o ochronie danych osobowych, z czego - jak zauważył skarżący - zdał sobie sprawę również Prezes Sądu Rejonowego w L., albowiem wezwał B.G. do zwrócenia kopii wniosku o udzielenie informacji publicznej do oddziału administracyjnego.
Skarżący wskazał ponadto, że złożenie przez B.G. do Prezesa Sądu Rejonowego w L. pisma z dnia [...] stycznia 2019 r. należy uznać za jej prywatne działanie, wykonane pod pozorem realizacji obowiązków referendarza sadowego, gdy tymczasem - jak uznał skarżący - brak jest przepisu prawa, który uprawniałby referendarza sądowego do złożenia takiego pisma nie tylko do Okręgowej Izby Radców Prawnych w [...], ale także do Prezesa Sądu Rejonowego w L., w szczególności w sytuacji, gdy pismo to obejmowało również zarzuty dotyczące prywatnej korespondencji SMS.
Skarżący zarzucił również, że Prezes Sądu Rejonowego w L., jako administrator danych osobowych, był obowiązany zawiadomić Prezes UODO o naruszeniu przepisów o ochronie danych osobowych, albowiem doszło do sytuacji, w której dane osobowe skarżącego zostały wykorzystane przez pracownika Sądu do pomówienia osoby skarżącego. W tym miejscu, skarżący zauważył, że informował pisemnie Prezesa Sadu Rejonowego w L. o naruszeniu ochrony danych osobowych oraz wnosił o podjęcie przepisanych prawem działań w obawie przed kolejnymi próbami zdyskredytowania go przez B.G., lecz otrzymał wówczas informację, że imię i nazwisko, adres poczty elektronicznej i numer telefonu nie stanowią danych osobowych.
W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. W ocenie organu nadzorczego, brak było podstaw do uwzględnienia wniosku strony skarżącej i wydania decyzji administracyjnej, mocą której Prezes UODO nakazałby Prezesowi Sądu Rejonowego w L. usunięcie uchybień w procesie przetwarzania danych osobowych skarżącego.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2021 r., poz. 137), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego.
Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2019 r., poz. 2325 ze zm. - dalej także: "P.p.s.a.").
Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej.
Należy zauważyć, że zgodnie z zasadą pierwszeństwa, prawo Unii Europejskiej ma wartość nadrzędną nad prawem krajowym państw członkowskich Unii Europejskiej. Nie ulega wątpliwości, że zasada pierwszeństwa dotyczy wszystkich aktów wspólnotowych, które mają moc wiążącą. W konsekwencji, państwa członkowskie UE nie mogą więc stosować przepisu krajowego, który jest niezgodny z prawem Unii Europejskiej, albowiem zasada pierwszeństwa gwarantuje jednolitą ochronę prawną obywateli na całym terytorium Unii Europejskiej. Jednocześnie, należy wyraźnie podkreślić, że sądy krajowe, będące zarazem sądami unijnymi, muszą czuwać nad przestrzeganiem wspomnianej zasady pierwszeństwa, gdyż stanowi ona istotę funkcjonowania wspólnoty europejskiej w ramach jednego porządku prawnego ustalonego prawem traktatowym Unii Europejskiej.
Warto również zwrócić uwagę na zasadę bezpośredniego skutku prawa Unii Europejskiej, która umożliwia podmiotom indywidualnym powoływanie się bezpośrednio na prawo unijne przed sądami i to niezależnie od tego, czy w prawie krajowym istnieją podobne regulacje prawne. W ten sposób zasada bezpośredniego skutku gwarantuje stosowanie i skuteczność prawa unijnego w państwach członkowskich UE.
Zasada bezpośredniego skutku dotyczy nie tylko prawa pierwotnego zawartego w Traktatach UE, ale także aktów prawa wtórnego, a więc aktów przyjętych przez instytucje UE na podstawie wspomnianego prawa traktatowego. W tym miejscu, należy jednak wyraźnie zauważyć, że zakres bezpośredniego skutku zależy od rodzaju danego aktu. W świetle zarówno przepisów traktatowych, jak i dotychczasowego orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej, pełny skutek bezpośredni mają przepisy rozporządzeń, które są bezpośrednio stosowane w państwach członkowskich UE.
W tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r., zobowiązany był zbadać jej zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami prawnymi zawartymi w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - zwane także: "RODO").
W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga B.P. nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020r., nr [...] - nie narusza obowiązujących przepisów prawa.
Sąd uznał, że Prezes UODO, wydając sporną decyzję administracyjną z dnia [...] lipca 2020 r., nie dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem wspomnianej wyżej decyzji.
Przede wszystkim, przyjąć należy, iż odmawiając uwzględnienia wniosku zawartego w inicjującej postępowanie administracyjne skardze B.P. z dnia [...] maja 2019 r., Prezes UODO nie naruszył obowiązujących przepisów, albowiem - wbrew zarzutom strony skarżącej - prawidłowo przyjął, że w niniejszej sprawie Prezes Sądu Rejonowego w L., jako administrator danych, nie naruszył przepisów RODO w zakresie realizacji obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 i 2 RODO.
Według Sądu, organ nadzorczy zasadnie uznał także, że Prezes Sądu Rejonowego w L. nie naruszył również przepisu art. 29 RODO, albowiem pracownik tego Sądu – B.G., przetwarzając dane osobowe skarżącego, działała wyłącznie na polecenie administratora danych.
Sąd stwierdził ponadto, że - wbrew zarzutom strony skarżącej - organ nadzorczy prawidłowo przyjął w zaskarżonej decyzji, iż Prezes Sądu Rejonowego w L. nie wyszedł poza pierwotny cel przetwarzania danych osobowych skarżącego, a więc tym samym nie naruszył zasady ograniczenia celu wyrażonej w przepisach art. 5 ust. 1 lit. b w związku z art. 6 ust. 4 RODO.
W dalszej konsekwencji, skład Sądu orzekający w niniejszej sprawie uznał, że wobec stwierdzenia, iż pierwotny cel przetwarzania przez Prezesa Sądu Rejonowego w L. danych osobowych skarżącego nie zmienił się, przyjąć należy, iż po stronie Prezesa tego Sądu, jako administratora danych, nie powstał również obowiązek informacyjny, o którym mowa w art. 13 ust. 3 RODO.
Wojewódzki Sąd Administracyjny w Warszawie nie podzielił również zarzutu naruszenia przez organ nadzorczy art. 33 ust. 1 RODO, albowiem uznał, że Prezes UODO prawidłowo przyjął w uzasadnieniu zaskarżonej decyzji, iż przede wszystkim nie doszło do naruszenia przez administratora ochrony danych osobowych skarżącego, a ponadto zasadnie wskazał, że Prezes Sądu Rejonowego w L. miał prawo na podstawie posiadanych informacji uznać, iż jest mało prawdopodobne, by doszło do wystąpienia skutku w postaci ryzyka naruszenia praw lub wolności osób fizycznych. W konsekwencji, stwierdzić należy, iż administrator danych nie miał obowiązku dokonania zgłoszenia naruszenia organowi nadzorczemu, o którym mowa w art. 33 ust. 1 RODO.
Mając powyższe na względzie, Sąd uznał, że w analizowanej sprawie brak było podstawy faktycznej i prawnej do skorzystania przez organ nadzorczy wobec Prezesa Sądu Rejonowego w L., jako administratora danych osobowych skarżącego, uprawnień naprawczych, o których mowa w art. 58 ust. 2 RODO.
Ponadto, w wyniku przeprowadzenia analizy stanowiska organu nadzorczego zaprezentowanego w uzasadnieniu zaskarżonej decyzji, Sąd stwierdził, że - wbrew zarzutom skargi - Prezes UODO, wydając w dniu [...] lipca 2020 r. sporne rozstrzygnięcie, nie dopuścił się - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, albowiem wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał właściwej oceny zebranego w sprawie materiału dowodowego, przeprowadzając jednocześnie ową ocenę w kontekście właściwie zastosowanych przepisów prawa materialnego.
W działaniu Prezesa UODO, jako organu administracji publicznej wydającego sporną decyzję, Sąd nie dopatrzył się jakichkolwiek istotnych nieprawidłowości, zarówno, gdy idzie o ustalenie stanu faktycznego sprawy, jak i o zastosowanie do jego oceny przepisów prawa materialnego.
Ponadto, Sąd uznał, że w uzasadnieniu zaskarżonej decyzji Prezesa UODO z dnia [...] lipca 2020 r. wyjaśnione zostały w sposób dostatecznie jasny i przekonywujący motywy jej podjęcia, zaś przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosząca się do stanowiska strony skarżącej podniesionego zarówno w skardze z dnia [...] maja 2019 r., jak i na dalszym etapie postępowania wyjaśniającego.
W konsekwencji, zdaniem Sądu, stwierdzić należy, iż Prezes UODO, wydając zaskarżoną decyzję administracyjną - nie dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP.
Przechodząc do merytorycznej oceny legalności spornej decyzji z dnia [...] lipca 2019 r., należy na wstępie wyraźnie wskazać, że Prezes Urzędu Ochrony Danych Osobowych jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i jednocześnie organem nadzorczym, w rozumieniu rozporządzenia 2016/679 (art. 34 ust. 2 u.o.d.o.).
Jak stanowi art. 57 ust. 1 lit. a i lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, a także rozpatruje skargi wniesione przez osobę, której dane dotyczą.
Nie ulega wątpliwości, że rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) stanowi kompleksową regulację dotyczącą ochrony danych osobowych, która nie wymaga implementacji ustawą krajową, aby mogła być stosowana w danym państwie.
Jednocześnie, państwom członkowskim Unii Europejskiej pozostawiono jednak pewien zakres swobody w zakresie regulacji na poziomie krajowym, aby niektóre zagadnienia doprecyzować (np. w przypadku organu nadzorczego, czy odpowiedzialności za naruszenie zasad ochrony danych osobowych), czy też dostosować zasady wprowadzone przez RODO do innych obowiązujących w danym porządku prawnym zasad.
Ze wskazanych wyżej przepisów art. 57 ust. 1 lit. a i lit. f RODO wynika m.in., iż procedura, w ramach której prowadzone są postępowania zainicjowane skargą wniesioną przez osobę, której dane dotyczą, określana jest przez poszczególne państwa członkowskie Unii Europejskiej. Pozostawienie w tym zakresie państwom członkowskim autonomii jest wyrazem realizacji zasady autonomii proceduralnej państw członkowskich. W tej sytuacji, skargi są wnoszone i rozpatrywane na podstawie przepisów proceduralnych obowiązujących w danym państwie członkowskim UE.
Art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych stanowi, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, zwane dalej "postępowaniem", jest prowadzone przez Prezesa Urzędu.
Nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych jest jednym z postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych. O takim jego charakterze rozstrzyga art. 7 ust. 1 ustawy o ochronie danych osobowych, który postępowanie z rozdziału 7 kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tego postępowania Kodeksu postępowania administracyjnego. Warto przy tym zauważyć, że ustawodawca w art. 7 ust. 1 cyt. ustawy nie przewiduje stosowania odpowiedniego, oznacza to zatem stosowanie przepisów ogólnej procedury administracyjnej wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych.
Użyte w art. 60 u.o.d.o. określenie "naruszenie przepisów o ochronie danych osobowych" ma zakres szeroki i obejmuje naruszenia wszystkich przepisów o ochronie danych, zarówno zawartych w unijnym rozporządzeniu, jak i w przepisach krajowych, które uzupełniają lub modyfikują regulacje unijne.
Zgodnie z art. 7 ust. 1 u.o.d.o., w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych, o których mowa w rozdziale 4-7 i 11 (a więc również w rozdziale 7 dotyczącym postępowania w sprawie naruszenia przepisów o ochronie danych osobowych), stosuje się przepisy Kodeksu postępowania administracyjnego.
Zdaniem Sądu, nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, iż Prezes UODO jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego Państwa (art. 8 § 1 k.p.a.). W tej sytuacji, organ nadzorczy, uwzględniając powyższą zasadę, zobowiązany jest przede wszystkim dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony skarżącej. Organ nadzorczy jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a.
Jeżeli zatem określona osoba zgłasza Prezesowi Urzędu Ochrony Danych Osobowych nieprawidłowości w zakresie przetwarzania swoich danych osobowych, organ ten jest zobligowany do wszczęcia postępowania wyjaśniającego, którego zadaniem jest ustalenie, czy dane osobowe są w istocie przetwarzane, a jeżeli tak, to w jakim celu i czy proces ten następuje z poszanowaniem przepisów zarówno RODO, jak i ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.
Taka sytuacja miała miejsce w rozpoznawanej sprawie. Otóż, Prezes Urzędu Ochrony Danych Osobowych, rozpatrując skargę B.P. z dnia [...] maja 2019 r., zobowiązany był dokonać oceny, czy w sprawie doszło w ogóle do przetwarzania danych osobowych skarżącego, a w konsekwencji, czy ewentualnie sporne przetwarzanie - o ile do niego rzeczywiście doszło - było zgodne z prawem, przy jednoczesnym uwzględnieniu okoliczności przetwarzania tych danych, jeśli miało ono miejsce, a także przy uwzględnieniu całokształtu zgromadzonego w sprawie materiału dowodowego oraz w kontekście odpowiednio zastosowanych przepisów prawa, w tym przede wszystkim przepisów RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.
Należy zauważyć, iż w świetle przepisu art. 4 pkt 2 RODO, przez "przetwarzanie" rozumie się operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
W tej sytuacji, mając na względzie powyższą definicję przetwarzania, Prezes Urzędu Ochrony Danych Osobowych, jako organ nadzorczy, zobowiązany był, analizując wniesioną w dniu [...] maja 2019 r. skargę, przeprowadzić stosowne postępowanie wyjaśniające i na podstawie całokształtu zgromadzonego materiału dowodowego ustalić, czy powoływane przez skarżącego naruszenia praw wynikających z RODO zostały udowodnione.
Z uwagi na fakt, iż zarówno RODO, jak i ustawa o ochronie danych osobowych nie regulują kwestii postępowania dowodowego i powinności organu nadzorczego związanych z czynieniem ustaleń faktycznych, zastosowanie w tym zakresie znajdują reguły i zasady określone w Kodeksie postępowania administracyjnego.
Organ nadzorczy, rozstrzygając sprawę zainicjowaną wspomnianą skargą B.P., zobowiązany był w tej sytuacji uwzględnić fakt, iż dowodami w postępowaniu mogą być w szczególności dokumenty, zeznania świadków, opinie biegłych oraz oględziny (art. 75 § 1 k.p.a.).
Celem postępowania administracyjnego jest rozstrzygnięcie sprawy administracyjnej dotyczącej konkretnie wskazanego adresata. Jednym ze stadiów postępowania jest stadium wyjaśniające, które pozwala ustalić dokładny stan faktyczny w danej sprawie. W wyniku postępowania wyjaśniającego organ administracji publicznej ma dojść do wskazanej w art. 7 k.p.a. prawdy obiektywnej, co czyni za pomocą środków dowodowych.
Warto przy tym zauważyć, że Kodeks postępowania administracyjnego nie wskazuje dowodów "mocniejszych" oraz "słabszych", przyjmując zasadę równej mocy środków dowodowych.
Kodeks postępowania administracyjnego nie określa również zamkniętego katalogu środków dowodowych, jakie mogą być stosowane w toku postępowania administracyjnego. Ustawodawca posłużył się jedynie przykładowym wyliczeniem, wskazując, że w szczególności mogą nimi być dokumenty, zeznania świadków, opinie biegłych oraz oględziny. Jako dowód może natomiast posłużyć wszystko, co jest zgodne z prawem i może przyczynić się do wyjaśnienia sprawy. Należy podkreślić, że chodzi tu o sprzeczność zarówno z prawem materialnym, jak i proceduralnym. Przyjęta w art. 75 § 1 k.p.a. koncepcja wskazuje, że wymienione przykładowo w tym przepisie dowody powinny zostać uznane za podstawowe i najczęściej stosowane w postępowaniu administracyjnym.
Warto jednocześnie zauważyć, że o ile postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, którego dotyczy rozdział 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, jest postępowaniem administracyjnym, do którego - na podstawie art. 7 ust. 1 u.o.d.o. - znajdują zastosowanie przepisy Kodeksu postępowania administracyjnego i w ramach którego to postępowania prowadzący je organ jest związany kodeksowymi standardami prowadzenia postępowania wyjaśniającego, o tyle Prezes UODO, jako organ nadzorczy, może ponadto skorzystać z możliwość posłużenia się w procesie gromadzenia dowodów takim instrumentem, jakim jest przeprowadzenie kontroli przestrzegania przepisów, o której mowa w art. 68 ust. 1 u.o.d.o.
Zgodnie z art. 68 ust. 1 u.o.d.o., jeżeli w toku postępowania zajdzie konieczność uzupełnienia dowodów, Prezes Urzędu może przeprowadzić postępowanie kontrolne.
Wspomniany przepis art. 68 ust. 1 u.o.d.o. pozwala organowi nadzorczemu dopuścić, jako dowód, materiały uzyskane w rezultacie przeprowadzonej kontroli. W ramach tego postępowania, kontrolujący ustala stan faktyczny na podstawie dowodów zabranych w postępowaniu kontrolnym, a w szczególności dokumentów, przedmiotów, oględzin oraz ustnych lub pisemnych wyjaśnień i oświadczeń (art. 87 u.o.d.o.). Kontrolujący może także przesłuchać w charakterze świadka pracownika kontrolowanego (art. 86 ust. 1 u.o.d.o.).
W tym miejscu, należy oczywiście wyraźnie zauważyć, że postępowanie kontrolne jest postępowaniem odrębnie uregulowanym w ustawie, nie mają do niego zastosowania przepisy Kodeksu postępowania administracyjnego, albowiem art. 7 ust. 1 u.o.d.o. nie wymienia postępowania uregulowanego w rozdziale 9 cyt. ustawy. Niemniej jednak, wskazać trzeba, że zebrany w toku kontroli materiał dowodowy będzie materiałem podlegającym ocenie w postępowaniu, dla potrzeb którego został zebrany, czyli postępowaniu o charakterze administracyjnym, do którego zastosowanie znajdują przepisy Kodeksu postępowania administracyjnego i zgodnie z kodeksowymi zasadami oceny materiału dowodowego (tak również: I. Bogucka /w:/ Ustawa o ochronie danych osobowych. Komentarz, pod red. D. Lubasza, WKP 2019, teza 4 komentarza do art. 68 u.o.d.o.).
Mając na względzie powyższe, należy uznać, że Prezes UODO, przeprowadzając sporne postępowanie wyjaśniające nie był zmuszony do wykorzystania wszelkich możliwych instrumentów prawnych, jakie dawała mu ustawa o ochronie danych osobowych, albowiem uzasadniając swoje stanowisko w decyzji z dnia [...] lipca 2020 r., w sposób przekonywujący przyjął na podstawie wystarczającego materiału dowodowego, że Prezes Sądu Rejonowego w L. prawidłowo wywiązał się z obowiązków wynikających z RODO. Należy stwierdzić jednocześnie, że - wbrew zarzutom strony skarżącej - rozstrzygając w niniejszej sprawie organ nadzorczy nie oparł się wyłącznie na piśmie wyjaśniającym administratora danych, lecz wydał sporną decyzję w oparciu zarówno o dowody przesłane przez Prezesa Sądu Rejonowego w L., jako administratora danych, jak i samego skarżącego, co jednoznacznie wykazał w uzasadnieniu zaskarżonej decyzji.
Podstawowym zadaniem Sądu w niniejszej sprawie było zbadanie, w kontekście zarzutów strony skarżącej, czy organ nadzorczy zasadnie przyjął, że administrator danych należycie wypełnił wszelkie obowiązki, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w RODO.
Warto zauważyć w tym miejscu, iż prawodawca unijny, wymagając w art. 5 ust. 1 lit. a RODO, aby dane były przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dotyczą, zawarł w tym przepisie dwie zasady, tj. zasadę rzetelności i legalności oraz zasadę przejrzystości, które mają ugruntowane miejsce w systemie ochrony danych osobowych od początku jego kształtowania się. Zasada rzetelności i legalności (zgodności z prawem) wymaga, by dane były przetwarzane rzetelnie, czyli uczciwie oraz zgodnie z prawem. Wymóg zapewnienia zgodności z prawem operacji przetwarzania danych oznacza nie tylko konieczność spełnienia przesłanek legalności przetwarzania danych, które zostały określone w art. 6 i art. 9 RODO, lecz także konieczność zapewnienia zgodności z pozostałymi przepisami o ochronie danych osobowych. Wymóg ten oznacza również konieczność zapewnienia zgodności z całokształtem przepisów regulujących działalność podmiotów przetwarzających dane osobowe (por. m.in. P. Drobek /w:/ RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, pod red. E. Bielak-Jomaa i D. Lubasza, WKP 2018, teza 6 komentarza do art. 5 RODO).
Zgodnie z art. 6 ust. 1 lit. c RODO, przetwarzanie jest zgodne z prawem, gdy jest ono niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.
W doktrynie i judykaturze przyjmuje się, iż przepis art. 6 ust. 1 lit. c RODO samodzielnie nie stanowi podstawy legalizacyjnej przetwarzania, ale jedynie w połączeniu z odpowiednim przepisem prawa obowiązującego w państwie, któremu podlega administrator, lub też w połączeniu z odpowiednim przepisem unijnym, o treści zgodnej z wymogami określonymi w art. 6 ust. 3. Adresatem obowiązków określonych w przepisach prawa krajowego lub przepisach prawa Unii Europejskiej musi być administrator.
Przepis art. 6 ust. 1 lit. e RODO stanowi natomiast, że przetwarzanie jest zgodne z prawem, gdy jest ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.
Warto jedynie zauważyć, że w stosunku do tej przesłanki legalizacyjnej - w odróżnieniu od przesłanki z art. 6 ust. 1 lit. c RODO - rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w przepisie art. 6 ust. 3 nie wymaga określenia w podstawie prawnej celu przetwarzania, a jedynie takiej jej konstrukcji, z której wynika niezbędność przetwarzania do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Zgodnie z wyjaśnieniami zawartymi w motywie 45 Preambuły do RODO, w omawianym zakresie wystarczyć może, że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej.
Pojęcie wykonania zadania realizowanego w interesie publicznym oraz sprawowania władzy publicznej powierzonej administratorowi należy wiązać z pojęciem zadań publicznych.
Przetwarzanie danych osobowych do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi musi być do tego celu niezbędne.
Wskazać należy jednocześnie, że korzystanie z przesłanki legalizacyjnej z art. 6 ust. 1 lit. e, podobnie zresztą jak z przesłanki legalizacyjnej, o której mowa w art. 6 ust. 1 lit. c RODO, dotyczyć ma administratora danych.
Nie ulega również wątpliwości, że podstawami prawnymi relewantnymi z punktu widzenia regulacji art. 6 ust. 1 lit. c i lit. e w zw. z art. 6 ust. 3 RODO będą przepisy prawne o charakterze powszechnie obowiązującym, które mogą być bezpośrednio zastosowane.
Warto również podkreślić w niniejszej sprawie, że przetwarzanie danych osobowych jest dopuszczalne także wtedy, gdy jest to niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora (art. 6 ust. 1 lit. f RODO).
W kontekście zarzutów strony skarżącej wskazać należy, że Prezes Sądu Rejonowego w L. jest m.in. administratorem danych osobowych osób, które składają do niego wnioski o udostępnienie informacji publicznej, a dane te przetwarza w celu realizacji obowiązku udzielania informacji publicznej, o którym mowa w art. 4 ust. 1 pkt 1 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej. W tej sytuacji, uznać należy, że Prezes Sądu, zbierając dane osób zwracających się z wnioskami o udostępnienie informacji publicznej legitymował się przesłanką określoną w art. 6 ust. 1 lit. c RODO w związku z art. 4 ust. 1 pkt 1 u.d.i.p.
Ustosunkowując się do zarzutów strony skarżącej dotyczących niewywiązania się przez administratora danych z obowiązków informacyjnych, należy zauważyć, że wymóg przetwarzania danych osobowych w sposób przejrzysty dla osoby, której dane dotyczą, wiąże się z obowiązkami informacyjnymi nałożonymi na administratora danych osobowych. Nie ulega bowiem wątpliwości, że tylko wtedy można mówić o przejrzystości (transparentności) procesów przetwarzania danych, jeżeli osoba, której dane dotyczą, została należycie poinformowana o istotnych dla niej aspektach tego przetwarzania. Na gruncie RODO wymóg przejrzystości przetwarzania danych został skonkretyzowany w obowiązkach wynikających z art. 12 RODO.
Z kolei, jeśli chodzi o art. 13 RODO, należy zauważyć, że przepis ten nakłada na administratora obowiązek informowania osoby, której dane dotyczą, w przypadku gdy dane są pozyskiwane od tej osoby. W przepisie określony został zakres obowiązku informacyjnego, termin jego realizacji oraz przewidziane zostało zwolnienie z tego obowiązku.
Obowiązek informacyjny przy przetwarzaniu danych jest ściśle związany z jednym z uprawnień składających się na prawo do ochrony danych osobowych - uprawnieniem osoby, której dane dotyczą, do "bycia poinformowanym" o fakcie i okolicznościach przetwarzania danych. Podmiot danych powinien wiedzieć (móc się dowiedzieć) o tym, że administrator przetwarza (zamierza przetwarzać) jego dane osobowe, gdyż tego rodzaju wiedza pozwala na decydowanie o przetwarzaniu danych (prawo do informacyjnego samookreślenia), daje także możliwość reagowania w sytuacjach, gdy przetwarzanie odbywa się z naruszeniem prawa. Uprawnienie do uzyskania informacji o przetwarzaniu warunkuje możliwość korzystania z innych uprawnień przyznanych podmiotowi danych, gdyż tylko osoba poinformowania może domagać się skorygowania nieprawidłowych danych, wnieść sprzeciw wobec przetwarzania danych bądź skorzystać z innych uprawnień przyznanych jej w przepisach o ochronie danych. Osoba pozbawiona możliwości uzyskania informacji o przetwarzaniu danych jej dotyczących nie wie o fakcie (bądź zamiarze) przetwarzania danych, a co za tym idzie - nie jest w stanie zareagować i korzystać z przysługujących jej uprawnień (por. P. Fajgielski, Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) /w:/ Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, WKP 2018, teza 1 i teza komentarza do art. 13 RODO).
Nałożone na administratora obowiązki informacyjne i odpowiadające im po stronie podmiotu danych uprawnienia informacyjne stanowią przejaw realizacji zasady przejrzystości przetwarzania dla osoby, której dane dotyczą, określonej w art. 5 ust. 1 lit. a RODO.
Prawo podmiotu danych do informacji stanowi jeden z filarów prawa ochrony danych osobowych. Uzyskanie przez osobę, której dane dotyczą, wszystkich określonych w art. 13 RODO informacji ma istotne znaczenie dla urzeczywistnienia idei autonomii informacyjnej jednostki. Należyta realizacja obowiązku informacyjnego warunkuje możliwość samodzielnego decydowania przez podmiot danych o udostępnieniu i zakresie udostępnienia dotyczących go informacji, a także pozwala na sprawowanie faktycznej kontroli nad tym, jakie informacje na jego temat posiadają inne podmioty. Przekazanie osobie, której dane dotyczą, podstawowych informacji o przyznanych jej na gruncie rozporządzenia prawach ma zapewnić skuteczne ich wykonywanie, a także umożliwić weryfikację, czy przetwarzanie odbywa się zgodnie z prawem. Realizacja wobec podmiotu danych obowiązku informacyjnego warunkuje zapewnienie rzetelności i przejrzystości przetwarzania (por. J. Łuczak /w:/ RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, pod red. E. Bielak-Jomaa i D. Lubasza, WKP 2018, teza 3 komentarza do art. 13 RODO).
Jeśli chodzi o zarzuty skarżącego związane z brakiem spełnienia przez Prezesa Sądu Rejonowego w L. obowiązku informacyjnego wynikającego z art. 13 ust. 1 i 2 RODO poprzez brak przesłania odpowiedniej klauzuli w korespondencji zwrotnej, należy stwierdzić, że nie zasługują one na uwzględnienie, albowiem - jak słusznie uznał Prezes UODO - obowiązek ten został spełniony jeszcze przed wniesieniem skargi z dnia [...] maja 2019 r. poprzez zamieszczenie klauzuli informacyjnej na tablicy ogłoszeń w budynku Sądu Rejonowego w L. oraz na stronie internetowej tego Sądu w zakładce "obowiązek informacyjny". Warto zauważyć, że skoro przepisy RODO dotyczące obowiązku informacyjnego nie narzucają administratorowi konkretnego sposobu jego realizacji, istotne jest jedynie to, aby właściwa informacja dotarła do podmiotu danych i aby administrator był w stanie wykazać zrealizowanie tego obowiązku wobec konkretnego podmiotu danych. Zdaniem Sądu, z wyjaśnień przesłanych przez samego skarżącego wynika, iż przed wniesieniem skargi do organu nadzorczego, a więc przed formalnym wszczęciem postępowania administracyjnego, skarżący zapoznał się z aktualną klauzulą informacyjną zamieszczoną na stronie internetowej Sądu. Również z wyjaśnień administratora danych wynika, że na dzień [...] sierpnia 2018 r., tj. na dzień złożenia przez skarżącego wniosku o udzielenie informacji publicznej, na stronie internetowej Sądu zamieszczona była klauzula informacyjna zgodna z art. 13 ust. 1 i 2 RODO, zaś w dniu [...] maja 2019 r. nastąpiło jedynie jej doprecyzowanie polegające na wskazaniu dokładnych okresów przechowywania danych osobowych oraz nastąpiło uszczegółowienie praw osób, których dane dotyczą poprzez wskazanie sposobu ich realizacji.
Mając powyższe na względzie, Sąd uznał, że skoro skarżącemu znana była pełna treść klauzuli informacyjnej, z którą zapoznał się na stronie internetowej Sądu, to w chwili wniesienia skargi nie istniał stan niezgodny z prawem, a więc organ nadzorczy nie mógł zastosować żadnego środka mającego na celu przywrócenie stanu zgodnego z prawem.
Jeśli chodzi o zarzuty skarżącego związane z przetwarzaniem danych osobowych przez pracownika Sądu Rejonowego w L. – B.G., stwierdzić należy, że nie zasługują one na uwzględnienie. Warto bowiem zwrócić uwagę, iż Prezes Sądu, jako administrator danych, przekazał do załatwienia wniosek o udzielenie informacji publicznej temu pracownikowi sądu, wydając mu tym samym polecenie służbowe zebrania niezbędnych danych oraz przygotowania projektu odpowiedzi dla skarżącego. W tej sytuacji, nie ulega wątpliwości, że pracownik ten działał z polecenia administratora i - jak wyjaśnił Prezes Sądu Rejonowego w L. - był on upoważniony do przetwarzania danych osobowych.
Warto w tym miejscu zauważyć, że przepis art. 29 RODO nie przewiduje formalnego obowiązku dopuszczenia do przetwarzania jedynie osób posiadających upoważnienie administratora. Owszem, taki obowiązek wyraźnie przewidywał przepis art. 37 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2016 r., poz. 922 ze zm. - dalej także: "u.o.d.o.1997"), niemniej w doktrynie przyjmuje się, iż istotą przepisu art. 29 RODO jest polecenie administratora, a nie upoważnienie do przetwarzania, w rozumieniu art. 37 u.o.d.o.1997. Samo umocowanie do przetwarzania - upoważnienie sensu largo - wypływać musi odpowiednio od administratora lub podmiotu przetwarzającego, natomiast - co ważne - niezależnie od źródła tego umocowania, osoba upoważniona tak przez administratora, jak i podmiot przetwarzający, oraz sam podmiot przetwarzający mogą działać wyłącznie na podstawie i w granicach polecenia wydawanego jedynie przez administratora. Ponadto, wskazuje się, że bezpośrednimi adresatami normy zawartej w art. 29 RODO są: osoba upoważniona oraz podmiot przetwarzający, nie administrator. W konsekwencji, jak wskazuje się w doktrynie, art. 29 RODO ustanawia obowiązek właśnie po stronie osoby upoważnionej lub podmiotu przetwarzającego, by przetwarzanie przez nich danych odbywało się jedynie na podstawie polecenia wydanego przez administratora. W tej sytuacji, przyjmuje się, że z przepisu tego nie wynika, iż na administratorze lub podmiocie przetwarzającym ciąży obowiązek nadawania upoważnień do przetwarzania danych (por. K. Witkowska-Nowakowska /w:/ RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, pod red. E. Bielak-Jomaa i D. Lubasza, WKP 2018, teza 10 komentarza do art. 29 RODO).
W związku z powyższym, Sąd uznał, że organ nadzorczy zasadnie przyjął w uzasadnieniu decyzji, że Prezes Sądu, jako administrator, nie naruszył art. 29 RODO, bowiem pracownik B.G. przetwarzała dane osobowe skarżącego wyłącznie z polecenia administratora danych.
Natomiast, jeśli chodzi o zarzut skarżącego odnoszący się do okoliczności udokumentowania przez B.G. faktu wykonania polecenia służbowego poprzez wykonanie kopii udzielonej odpowiedzi wraz z dokumentami stanowiącymi podstawę jej udzielenia, w tym kopi wniosku skarżącego o udzielenie informacji publicznej, zauważyć należy, że w toku postępowania wyjaśniającego organ nadzorczy ustalił, iż wspomniane skopiowanie przez pracownika pisma skarżącego zostało dokonane w ramach czynności czysto technicznych i związanych z organizacją własnej pracy (dla zapewnienia rozliczalności wykonywania obowiązków służbowych). Trudno w tej sytuacji uznać, aby poprzez wskazane powyżej działanie pracownika naruszone zostało prawo do ochrony danych osobowych skarżącego, gdyż wszelkie czynności techniczne wykonywane w związku z przetwarzaniem jego danych osobowych mieściły się w zakresie celu tego przetwarzania.
W tym miejscu warto zauważyć, że zasada ograniczenia celu przetwarzania danych osobowych wyraża się - oprócz nakazu, by przetwarzanie danych odbywało się w konkretnych, wyraźnych i prawnie uzasadnionych celach - także w zakazie przetwarzania danych w celach niezgodnych z pierwotnym celem przetwarzania danych. Przyjmuje się, iż zasada ta nie może być rozumiana jako zakaz przetwarzania danych osobowych w innym celu niż cel, dla którego zostały zebrane, lecz jako zakaz przetwarzania danych w celu niezgodnym z pierwotnie określonym. Nie można bowiem, po pierwsze, mówić o zasadzie niezmienności celu przetwarzania danych, jako że RODO nie zabrania przetwarzania danych w celu innym niż cel, w którym dane zostały zebrane. Zakaz dotyczy bowiem przetwarzania danych w celu niezgodnym z celem zebrania danych. Po drugie, nieuprawnione wydaje się przyjęcie, że administrator danych może przetwarzać dane osobowe jedynie w celu, dla którego zostały zgromadzone, albowiem ogólne RODO nie formułuje zakazu przetwarzania danych w celach "innych", lecz jedynie zakaz przetwarzania danych w celach "niezgodnych" z pierwotnym celem przetwarzania (por. m.in. P. Fajgielski, Komentarz do rozporządzenia nr 2016/679 w sprawie ... /w:/ Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, WKP 2018, teza 10 komentarza do art. 5 RODO).
W niniejszej sprawie, podnieść trzeba, że istotne jest to, iż podjęte przez wspomnianego wyżej pracownika czynności wykonane zostały w obszarze działania tego samego administratora, zaś dane osobowe skarżącego nie były udostępniane przez tego pracownika na zewnątrz, a jedynie przekazane do wiadomości Prezesa Sądu Rejonowego, a więc administratora tych danych.
Z kolei, jeśli chodzi o zachowanie pracownika, do jakiego doszło po upływie 5 miesięcy od udzielenia skarżącemu odpowiedzi (vide: załączenie przez pracownika wykonanej kopii wniosku skarżącego do pisma z dnia [...] stycznia 2019 r. skierowanego przez tego pracownika do Prezesa Sądu Rejonowego w L.) zauważyć trzeba, iż wynikało ono z potrzeby zwrócenia przez tą osobę uwagi Prezesa Sądu na prawidłowość podejmowanych przez pracownika czynności w sprawach z zakresu referatu tego pracownika, w których to sprawach skarżący występując jako radca prawny - pełnomocnik procesowy wnioskodawców, miał zastrzeżenia do pracy tej osoby.
W tym miejscu wskazać trzeba, iż przepis art. 6 ust. 4 RODO precyzuje, kiedy istnieje możliwość zmiany celu przetwarzania danych osobowych względem celu, w którym zostały one pierwotnie zebrane.
Jeżeli zmiana celu przetwarzania danych osobowych względem celu pierwotnego nie następuje na podstawie zgody podmiotu danych lub przepisu prawa unijnego lub krajowego, wówczas konieczne jest zbadanie, czy istnieje zgodność między pierwotnym a nowym celem przetwarzania danych. Przepis art. 6 ust. 4 RODO wskazuje kryteria, które należy uwzględnić przy dokonywaniu takiej oceny (por. D. Lubasz i W. Chomiczewski /w:/ RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, pod red. E. Bielak-Jomaa i D. Lubasza, WKP 2018, teza 4 komentarza do art. 6 ust. 4 RODO).
Należy zauważyć, że w art. 6 ust. 4 RODO wskazane zostały następujące kryteria, które należy uwzględnić w procesie badania zgodności między celami, tj.:
- wszelkie związki między celami, w których zebrano dane osobowe, a celami zamierzonego dalszego przetwarzania,
- kontekst, w którym zebrano dane osobowe, w szczególności relację między osobami, których dane dotyczą, a administratorem,
- charakter danych osobowych, w szczególności czy przetwarzane są szczególne kategorie danych osobowych zgodnie z art. 9 lub dane osobowe dotyczące wyroków skazujących i naruszeń prawa zgodnie z art. 10,
- ewentualne konsekwencje zamierzonego dalszego przetwarzania dla osób, których dane dotyczą, a także
- istnienie odpowiednich zabezpieczeń, w tym ewentualnie szyfrowania lub pseudonimizacji.
W ocenie Sądu, należy stwierdzić, iż - wbrew zarzutom strony skarżącej - Prezes Sądu Rejonowego w L., jako administrator, nie wyszedł poza pierwotny cel przetwarzania danych osobowych skarżącego pozyskanych w związku z jego wnioskiem o udostępnienie informacji publicznej. Zgodzić się należy z ustaleniami organu nadzorczego, iż w chwili skierowania przez pracownika wspomnianego wyżej pisma z dnia [...] stycznia 2019 r., administrator danych przetwarzał dane osobowe skarżącego zawarte w jego wniosku w celach archiwalnych i to właśnie ze względu na konieczność potwierdzenia pewnego archiwalnego stanu faktycznego, jakim było wniesienie tego wniosku, wspomniany pracownik załączył go do w/w pisma, broniąc się jedynie przed zarzutami ze strony skarżącego.
W tej sytuacji, nie sposób uznać, iż Prezes Sądu Rejonowego w L., jako administrator, naruszył zasady ograniczenia celu wyrażonej w art. 5 ust. 1 lit. b w zw. z art. 6 ust. 4 RODO.
Jednocześnie, wskazać należy, że z uwagi na fakt, iż pierwotny cel przetwarzania przez administratora danych osobowych skarżącego nie zmienił się, przyjąć trzeba, że organ nadzorczy zasadnie uznał, że po stronie administratora nie powstał obowiązek informacyjny, o którym mowa w art. 13 ust. 3 RODO.
Ustosunkowując się z kolei do zarzutu niezgłoszenia organowi nadzorczemu naruszenia ochrony danych osobowych i tym samym naruszenia art. 33 RODO, wskazać trzeba, iż przepis ten przewiduje obowiązek zgłaszania naruszenia ochrony danych osobowych i dokumentowania naruszeń, przy czym zakres podmiotowy tego obowiązku jest szerszy, niż wskazano w tytule tego artykułu, gdyż dotyczy nie tylko zgłoszenia przez administratora naruszenia organowi nadzorczemu, ale także dokumentowania naruszeń oraz zgłoszenia przez podmiot przetwarzający naruszenia administratorowi.
Przepis art. 33 RODO realizuje przede wszystkim wyrażony w przepisie art. 1 ust. 2 RODO cel w postaci ochrony podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do ochrony danych osobowych. Uzyskanie przez organ nadzorczy informacji o danym naruszeniu ochrony danych osobowych pozwala bowiem danej osobie na reakcję i może doprowadzić do ograniczenia skutków takiego naruszenia, co przekłada się na zwiększenie poziomu ochrony wskazanych powyżej wartości (por. W. Chomiczewski /w:/ RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, pod red. E. Bielak-Jomaa i D. Lubasza, WKP 2018, teza 2 komentarza do art. 33 RODO).
Przepis art. 33 RODO przewiduje wyjątek od obowiązku zgłoszenia, wskazując, że pomimo zaistnienia naruszenia ochrony danych osobowych, administrator nie musi dokonywać zgłoszenia, jeżeli jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych.
Niewątpliwie, uznać należy, że oceny, czy występuje ryzyko naruszenia praw lub wolności człowieka, musi dokonać administrator. Ocena ta powinna być oparta na obiektywnych kryteriach (takich jak dotychczasowe doświadczenie związane z podobnymi sprawami, wiedza z zakresu bezpieczeństwa informacji) oraz na uwzględnieniu okoliczności samego naruszenia ochrony danych osobowych. Trzeba też pamiętać, że dla braku konieczności zgłoszenia naruszenia do organu nadzorczego niezbędne jest wystąpienie małego prawdopodobieństwa, ale nie samego naruszenia praw lub wolności osób fizycznych, lecz ryzyka takiego naruszenia. Powoduje to szerszy zakres obowiązku niż w przypadku, gdyby ocena dotyczyła prawdopodobieństwa wystąpienia naruszenia praw lub wolności. Przyjmuje się jednocześnie, że w toku dokonywania oceny, czy występują ryzyka ich naruszenia, administrator powinien brać pod uwagę wszelkie możliwe szkody, jak i krzywdy, które mogą wyniknąć z danego zdarzenia dla osób fizycznych (tak m.in. W. Chomiczewski /w:/ RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, pod red. E. Bielak-Jomaa i D. Lubasza, WKP 2018, teza 6 komentarza do art. 33 RODO).
Mając powyższe na względzie, uznać należy, zdaniem Sądu, iż z materiału dowodowego zgromadzonego w toku postępowania wyjaśniającego wynika, że Prezes Sądu Rejonowego w L. zasadnie ocenił, że nie doszło przede wszystkim do naruszenia ochrony danych osobowych skarżącego, a ponadto - jak słusznie przyjął organ nadzorczy - miał on pełne podstawy do tego, by - jako administrator danych - uznać, że nie doszło do wystąpienia skutku w postaci ryzyka naruszenia praw i wolności osoby skarżącego. W konsekwencji, stwierdzić należy, iż Prezes Sądu Rejonowego w L. nie miał obowiązku dokonania zgłoszenia naruszenia organowi nadzorczemu, a więc nie dopuścił się obrazy przepisu art. 33 ust. 1 RODO.
Warto jednocześnie zauważyć, że okoliczność związana z ustaleniem, czy dany administrator dopuszcza pozostawianie przez swoich pracowników do służbowej wiadomości efektów ich pracy, w postaci np. kopii wykonanych czynności, jest okolicznością, która nie może być przedmiotem oceny organu nadzorczego, o ile te czynności nie wpłynęły na prawo do ochrony danych osobowych danego podmiotu danych, a więc o ile nie powstał w związku z tym jakiś incydent bezpieczeństwa i tym samym naruszenie (czy też ryzyko naruszenia) danych osobowych.
W niniejszej sprawie Prezes UODO zasadnie stwierdził, iż działanie pracownika Sądu Rejonowego w L. nie naruszało prawa do ochrony danych osobowych skarżącego. Uznać należy bowiem, że przywołując w swoim piśmie dane osobowe skarżącego i fakt, że złożył on niegdyś wniosek o udzielenie informacji publicznej, w dalszym ciągu dotyczyły tego samego celu przetwarzania danych, jakim była obsługa wniosku skarżącego przez Prezesa Sądu, zgodnie z art. 6 ust. 1 lit. c RODO.
W tej sytuacji, Sąd stwierdził, że w analizowanej sprawie - wbrew zarzutom strony skarżącej - organ nadzorczy zasadnie uznał w uzasadnieniu zaskarżonej decyzji, iż zarzuty skarżącego skierowane wobec Prezesa Sądu Rejonowego w L. opierały się na przepisach RODO oraz przepisach prawa krajowego, które nie zostały w niniejszej sprawie naruszone, a więc tym samym nie mogły w żadnym razie stanowić podstawy do nałożenia przez organ nadzorczy jakichkolwiek obowiązków na administratora danych, które wskazano w skardze z dnia [...] maja 2019 r.
W ocenie Sądu, należy uznać, że w rozpoznawanej sprawie Prezes Urzędu Ochrony Danych Osobowych przeprowadził postępowanie dowodowe w zakresie niezbędnym do jej rozstrzygnięcia.
Sąd stwierdził, iż ustalenia faktyczne, jakich dokonał organ nadzorczy, pozwoliły na wyprowadzenie wniosków końcowych, które uznać należy za prawidłowe i zgodne z obowiązującymi zasadami postępowania.
Według Sądu, przeciwne twierdzenia skarżącego nie zostały dostatecznie wykazane i poparte istotnymi dowodami oraz przepisami prawa zarówno w skardze inicjującej postępowanie, jak i na późniejszym etapie postępowania, a także w skardze złożonej do Sądu, a których to dowodów, czy też regulacji prawnych nie uwzględniłby lub nie omówił w swej decyzji organ nadzorczy.
Mając powyższe na uwadze, należy uznać, że wydając sporną decyzję administracyjną z dnia [...] lipca 2020 r., Prezes UODO nie dopuścił się w toku postępowania jakichkolwiek istotnych uchybień formalnych, które uniemożliwiłyby Sądowi dokonanie prawidłowej oceny zarzutów skargi i wypowiedzenie się co do legalności podjętego rozstrzygnięcia.
Sąd uznał, że uzasadnienie zaskarżonej decyzji spełnia wymogi przewidziane przez ustawodawcę w przepisie art. 107 § 3 k.p.a., gdyż w jej treści organ nadzorczy wyraźnie wskazał, dlaczego - pomimo podniesionych przez stronę skarżącą argumentów i przedłożonych materiałów dowodowych - nie wykazano, aby doszło do niezgodnego z prawem przetwarzania danych osobowych i jednoczesnego zignorowania obowiązków informacyjnych, a w konsekwencji, by administrator danych dopuścił się istotnego naruszenia przepisów o ochronie danych osobowych.
W konsekwencji, w ocenie Sądu, wbrew twierdzeniom strony skarżącej, prawidłowe ustalenia faktyczne poczynione w toku postępowania wyjaśniającego przez Prezesa UODO dały temu organowi pełną podstawę do wydania zaskarżonej decyzji z dnia [...] lipca 2020 r. odmawiającej uwzględnienia wniosku strony skarżącej zawartego w jej skardze z dnia [...] maja 2019 r.
Biorąc powyższe pod uwagę, Wojewódzki Sąd Administracyjny w Warszawie - działając na podstawie art. 151 P.p.s.a. - orzekł, jak w sentencji wyroku.