II SA/Wa 1733/23

II SA/Wa 1733/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-04-26
orzeczenie nieprawomocne
Data wpływu
2023-09-06
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Ewa Radziszewska-Krupa
Piotr Borowiecki /sprawozdawca/
Sławomir Antoniuk /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2024 poz 935
art. 145 par. 1 pkt 1 lit a) i c)
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U. 2022 poz 2000
art. 8 par. 1
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U. 1997 nr 78 poz 483
art. 2
Konstytucja Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. uchwalona przez Zgromadzenie  Narodowe w dniu 2 kwietnia 1997 r., przyjęta przez Naród w referendum konstytucyjnym w dniu  25 maja 1997 r., podpisana przez Prezydenta Rzeczypospolitej Polskiej w dniu 16 lipca 1997 r.
Dz.U. 2019 poz 1781
art. 7 ust. 1 i 2
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 6 ust 1 i 2 w zw. z art. 58 ust 2 lit b)
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Piotr Borowiecki (spr.), Sędzia WSA Ewa Radziszewska-Krupa, po rozpoznaniu w trybie uproszczonym w dniu 26 kwietnia 2024 r. sprawy ze skargi Burmistrza B. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego Burmistrza B. kwotę 680 (słownie: sześćset osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania sądowego.
Uzasadnienie
Zaskarżoną decyzją z dnia [...] czerwca 2023 r., nr [...], Prezes Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO" lub "organ nadzorczy"), działając na podstawie art. 104 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2023 r., poz. 775 ze zm. - dalej: "k.p.a.") oraz art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz. U. 2019 r., poz. 1781), a także art. 6 ust. 1 i ust. 2 w związku z art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dziennik Urzędowy Unii Europejskiej, L 119 z dnia 4 maja 2016 r., str. 1, a także Dz. Urz. UE L 127 z dnia 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021, str. 35 - dalej także: "RODO"), po przeprowadzeniu postępowania administracyjnego zainicjowanego skargą G.C. (dalej także: "podmiot wnoszący skargę" lub "uczestnik postępowania") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Burmistrza B. (dalej także: "skarżący Burmistrz" lub "strona skarżąca"), polegające na udostępnieniu Wojewodzie [...] pismem z dnia [...] lipca 2021 r., sygn. [...], jego danych osobowych w postaci numeru PESEL oraz numeru dowodu osobistego, zawartych w akcie notarialnym Repertorium A nr [...] z dnia [...] listopada 2019 r. i umowie nr [...] najmu części nieruchomości z dnia [...] sierpnia 2016 r., oraz w zakresie daty, od jakiej G.C. jest zameldowany w mieszkaniu przy ul. K., [...], zawartych w ww. akcie notarialnym:
- udzielił Burmistrzowi B. upomnienia za naruszenie art. 6 ust. 1 RODO, polegające na udostępnieniu danych osobowych G.C. w postaci numeru PESEL oraz numeru dowodu osobistego, zawartych w akcie notarialnym Repertorium A nr [...] z dnia [...] listopada 2019 r. i umowie nr [...] najmu części nieruchomości z dnia [...] sierpnia 2016 r., oraz w zakresie daty, od jakiej podmiot wnoszący skargę jest zameldowany w mieszkaniu przy ul. K., [...], zawartych w ww. akcie notarialnym na rzecz Wojewody [...] poprzez przesłanie mu "do wiadomości" pisma z dnia [...] lipca 2021 r., sygn. [...].
Zaskarżona decyzja Prezesa UODO została wydana w następującym stanie faktycznym.
W piśmie z dnia [...] lutego 2022 r. G.C. skierował do Prezesa Urzędu Ochrony Danych Osobowych skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez z Burmistrza B., polegające na udostępnieniu Wojewodzie [...] pismem z dnia [...] lipca 2021 r., sygn. [...], jego danych osobowych w zakresie numeru PESEL i numeru dowodu osobistego, zawartych w akcie notarialnym Repertorium A nr [...] z dnia [...] listopada 2019 r. i umowie nr [...] najmu części nieruchomości z dnia [...] sierpnia 2016 r., oraz w zakresie daty, od jakiej jest on zameldowany w mieszkaniu przy ul. K., [...], zawartych w ww. akcie notarialnym w zakresie imienia, nazwiska, adresu zamieszkania i numeru telefonu.
W uzasadnieniu skargi podmiot wnoszący skargę wskazał, że dnia [...] lipca 2021 r. doszło do udostępnienia jego danych osobowych na rzecz Wojewody [...] przez Burmistrza B.. Podmiot wnoszący skargę podniósł, że udostępnienie nastąpiło poprzez oznaczenie pisma skierowanego do Rady Miejskiej B., jako pisma do wiadomości Wojewody [...] (znak pisma: [...]). Podmiot wnoszący skargę zauważył, że poprzez załączone do pisma dokumenty nastąpiło udostępnienie jego danych osobowych w zakresie numeru PESEL i numeru dowodu osobistego, zawartych w akcie notarialnym Repertorium A nr [...] z dnia [...] listopada 2019 r. i umowie nr [...] najmu części nieruchomości z dnia [...] sierpnia 2016 r., a także w zakresie daty, od jakiej jest on zameldowany w mieszkaniu przy ul. K., [...], zawartych w ww. akcie notarialnym w zakresie imienia, nazwiska, adresu zamieszkania i numeru telefonu. Podmiot wnoszący skargę wskazał, że powyższe udostępnienie nastąpiło bez podstawy prawnej i "bez wniosku ani innego postanowienia" Wojewody. Podmiot wnoszący skargę uznał, że przesłanie na ręce Wojewody ww. dokumentów bez przeprowadzenia procedury anonimizacji stanowiło naruszenie zasady adekwatności i poufności przetwarzania danych wyrażonej w art. 5 ust. 1 lit. a, lit. c i f RODO. Powołując się ponadto na przepisy ustawy z dnia 5 stycznia 2011 r - Kodeks wyborczy, podmiot wnoszący skargę zarzucił, że doszło do naruszenia procedury wygaszania mandatu radnego naruszającego zasadę prowadzenia działalności z wykorzystaniem majątku gminy, co w konsekwencji doprowadziło m.in. do przedwczesnego udostępnienia Wojewodzie [...] dokumentów zawierających jego dane osobowe.
Mając na względzie powyższe, podmiot wnoszący skargę zarzucił Burmistrzowi B., jako administratorowi danych osobowych, brak polityki ochrony danych osobowych oraz zwrócił się z dodatkowym wnioskiem do Prezesa UODO o przeprowadzenie postępowania kontrolnego.
W toku prowadzonego postępowania wyjaśniającego Prezes Urzędu Ochrony Danych Osobowych zwrócił się o stosowne wyjaśnienia zarówno do Burmistrza B., jak i do wnioskodawcy.
W toku postępowania wyjaśniającego skarżący Burmistrz w skierowanych do organu nadzorczego pismach z dnia [...] września 2022 r. oraz z dnia [...] października 2022 r. wyjaśnił, że celem przetwarzania danych osobowych G.C., będącego radnym Rady Miejskiej B., była konieczność weryfikacji, czy zaistniały przesłanki do wygaszenia sprawowanego przez niego mandatu. Burmistrz wyjaśnił, że do Urzędu Miasta B. w dniu [...] czerwca 2021 r. wpłynęło pismo J.N., z którego wynikało między innymi, że G.C. nie spełnia warunków pełnienia funkcji radnego, tj. konieczności zamieszkiwania radnego na terenie Gminy B. oraz zakazu prowadzenia działalności gospodarczej z wykorzystaniem mienia komunalnego (gminnego). Skarżący Burmistrz wyjaśnił, że przetwarza dane osobowe uczestnika postępowania, w zakresie wskazanym w skardze, w celu prowadzenia rejestru mieszkańców w oparciu o treść art. 6a ust. 1 ustawy z dnia 24 września 2010 r. o ewidencji ludności (tekst jednolity Dz. U. z 2022 r., poz. 1191). Ponadto, skarżący Burmistrz wyjaśnił, że Gmina B. znajdowała się w posiadaniu przywołanych w skardze umów, a w konsekwencji zawartych w niej danych osobowych, gdyż umowy te dotyczyły mienia zbywanego przez Gminę B. lub mienia stanowiącego własność gminy i oddawanego w najem. Skarżący Burmistrz zauważył, że jako organ wykonawczy Gminy B., jest podmiotem uprawnionym do gospodarowania mieniem gminy na podstawie ustawy o samorządzie gminnym oraz ustawy o gospodarce nieruchomościami. W tej sytuacji, skarżący Burmistrz uznał, że przywołane przez niego regulacje prawne stanowią podstawę do przetwarzania danych osobowych członka społeczności lokalnej. Skarżący Burmistrz stwierdził, że celem przetwarzania danych osobowych G.C. była konieczność weryfikacji, czy zaistniały przesłanki do wygaszenia sprawowanego przez niego mandatu radnego, która to okoliczność stwierdzana jest przez organ stanowiący gminy w drodze uchwały. Powołując się na treść art. 6 ust. 1 lit. e RODO, skarżący Burmistrz podniósł, że dane osobowe mogą być przetwarzane, jeżeli przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Ponadto, skarżący Burmistrz uznał, że w analizowanej sprawie uzasadnione jest również powołanie się na motyw 45 preambuły RODO, zgodnie z którym nie nakłada się wymogu, aby dla każdego indywidualnego przetwarzania istniało szczegółowe uregulowanie prawne. Wystarczy bowiem, jak zauważył Burmistrz, że dane uregulowanie prawne stanowi podstawę różnych operacji przetwarzania wynikających z obowiązku prawnego, któremu podlega administrator, lub, że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej. W tej sytuacji, odnosząc się bezpośrednio do przedmiotu skargi, skarżący Burmistrz poinformował, że zgodnie z ustawą o samorządzie gminnym, Wojewoda sprawuje nadzór nad działalnością gminną na podstawie kryterium zgodności z prawem. W związku z powyższym, skarżący Burmistrz wskazał, że celem zapewnienia realizacji przedstawionej kompetencji Wojewody, poinformował on Wojewodę [...] o skierowanym d niego zawiadomieniu z dnia [...] czerwca 2021 r. wniesionym przez mieszkańca B., a także przekazał niezbędne dane mogące potwierdzić okoliczności, o których była mowa w zawiadomieniu wspomnianego mieszkańca. W tej sytuacji, Burmistrz podkreślił, że celem jego działania było umożliwienie organowi nadzoru, jakim jest Wojewoda [...], podjęcia działań zgodnie z kompetencjami. Jednocześnie, skarżący Burmistrz uznał, że informacje, o których mowa jest w skardze z dnia [...] lutego 2022 r., były konieczne do tego, aby Wojewoda [...] mógł wydać stosowne zarządzenie zastępcze, będące jednym z przejawów sprawowanego przez ten organ nadzoru nad organami gminy.
W wyniku analizy zgromadzonego materiału dowodowego, Prezes UODO - działając na podstawie art. 104 § 1 pkt 1 k.p.a. oraz art. 7 ust. 1 i 2 u.o.d.o., a także art. 6 ust. 1 i 2 oraz art. 58 ust. 2 lit. b RODO - udzielił Burmistrzowi B. upomnienia za naruszenie art. 6 ust. 1 RODO, polegające na udostępnieniu danych osobowych G.C. w postaci numeru PESEL oraz numeru dowodu osobistego, zawartych w akcie notarialnym Repertorium A nr [...] z dnia [...] listopada 2019 r. i umowie nr [...] najmu części nieruchomości z dnia [...] sierpnia 2016 r., oraz w zakresie daty, od jakiej podmiot wnoszący skargę jest zameldowany w mieszkaniu przy ul. K., [...], zawartych w ww. akcie notarialnym na rzecz Wojewody [...] poprzez przesłanie mu "do wiadomości" pisma z dnia [...] lipca 2021 r., sygn. [...].
W uzasadnieniu decyzji organ nadzorczy wskazał na wstępie, że na administratorze danych osobowych, którym - w rozumieniu art. 4 pkt 7 RODO - jest w niniejszej sprawie Burmistrz B., ciąży obowiązek prawny przetwarzania danych osobowych zgodnie z obowiązującymi przepisami, a w szczególności obowiązek zapewnienia, by przetwarzanie odbywało się na podstawie co najmniej jednej z przesłanek enumeratywnie wymienionych w art. 6 ust. 1 RODO. Organ nadzorczy dodał jednocześnie, że katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty, a każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny.
Organ nadzorczy podniósł, że niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO), przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO), gdy jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e RODO) lub gdy jest to niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO). Organ nadzorczy zaznaczył jednocześnie, że zgodnie z art. 6 ust. 3 RODO podstawa przetwarzania, o której mowa w art. 6 ust. 1 lit. c oraz lit. e musi być określona w prawie państwa członkowskiego, któremu podlega administrator.
Dodatkowo, jak zauważył organ nadzorczy, proces przetwarzania danych osobowych musi być zgodny z zasadami określonymi w art. 5 ust. 1 RODO. Do zasad tych, jak wskazał organ nadzorczy, zalicza się między innymi zasadę ograniczenia celu (art. 5 ust. 1 lit. b RODO) oraz zasadę minimalizacji danych (art. 5 ust. 1 lit. c RODO). Prezes UODO stwierdził, że wspomniane zasady wymagają, by dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, a także, by proces przetwarzania danych osobowych był adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane. Organ nadzorczy uznał zatem, że przy przetwarzaniu danych osobowych przez administratora należy uwzględnić stosowną korelację pomiędzy zakresem danych a celem przetwarzania. Według organu nadzorczego, administrator winien przetwarzać tylko takie dane osobowe, które są niezbędne dla realizacji określonego celu. Jednocześnie, organ nadzorczy podniósł, że w motywie 39 preambuły RODO wyjaśniono, że "konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania". Prezes UODO podkreślił ponadto, że cel przetwarzania danych należy oznaczyć w sposób możliwie jak najbardziej precyzyjny, zaś przy gromadzeniu danych powinny być podane wszystkie cele jednostkowe, do których administrator zamierza wykorzystywać dane. Prezes UODO stwierdził także, iż w przypadku podmiotów publicznych cele przetwarzania danych powinny być określone w przepisach prawa, co wynika z zasady legalności działań administracji publicznej.
Organ nadzorczy wskazał, że z ustaleń postępowania wynika, iż Burmistrz B. przetwarza dane osobowe G.C. w celu prowadzenia rejestru mieszkańców na podstawie art. 6a ust. 1 ustawy z dnia 24 września 2010 r. o ewidencji ludności. Ponadto, jak zauważył organ nadzorczy, Burmistrz wskazał, że w zakresie umów będących przedmiotem skargi, tj. umowy sprzedaży z dnia [...] listopada 2019 r. zawartej w formie aktu notarialnego Repertorium A numer [...], która zawierała dane G.C. w zakresie numeru PESEL, numeru dowodu osobistego i daty zameldowania w B. w mieszkaniu przy ul. K. oraz umowy nr [...] najmu części nieruchomości z dnia [...] sierpnia 2016 r. zawierającej dane tej osoby w zakresie numeru PESEL i numeru dowodu osobistego, przetwarza dane osobowe uczestnika postępowania na podstawie art. 30 ust. 2 pkt 3 ustawy z dnia 8 marca 1990 r. o samorządzie gminnym (Dz. U. z 2022 r. poz. 559 ze zm.). oraz art. 25 ust. 1 ustawy z dnia 21 sierpnia 1997 r. o gospodarce nieruchomościami (tekst jednolity Dz. U. z 2021 r., poz. 1899 ze zm.), zgodnie z którymi to przepisami Burmistrz B. jest organem wykonawczym uprawnionym do gospodarowania mieniem gminy.
Prezes UODO zauważył, że postępowanie dotyczące wygaśnięcia mandatu radnego odbywa się na podstawie przepisów ustawy z dnia 5 stycznia 2011 r. - Kodeks wyborczy (tekst jednolity Dz. U. z 2022 r., poz. 1277 ze zm.) oraz ustawy z dnia 8 marca 1990 r. o samorządzie gminnym. Organ nadzorczy wskazał, że obowiązek wszczęcia postępowania zmierzającego do wygaszenia mandatu radnego zachodzi w przypadku wystąpienia jednej z okoliczności wskazanych w art. 383 § 1 ustawy - Kodeks wyborczy i odbywa się w trybie określonym w art. 98a ust. 1-2 ustawy z dnia 8 marca 1990 r. o samorządzie gminnym. Organ podkreślił, że zgodnie z przywołanym wyżej przepisem, dopiero brak czynności ze strony organu stanowiącego gminy aktualizuje obowiązek po stronie Wojewody do wydania stosownego zarządzenia zastępczego (art. 98a ust. 2 ustawy o samorządzie gminnym).
Prezes UODO wskazał, że z ustaleń dokonanych w toku postępowania wyjaśniającego wynika, że działanie zmierzające do wygaszenia mandatu G.C. do pełnienia funkcji radnego Rady Miejskiej B. zostało zainicjowane w związku z donosem, który wpłynął do Urzędu Miasta w B. i z którego wynikało, że wspomniany wyżej radny nie spełnia warunków pełnienia funkcji radnego w postaci konieczności zamieszkiwania na terenie Gminy B. oraz niezastosowania się do zakazu prowadzenia działalności gospodarczej z wykorzystaniem mienia komunalnego. Organ nadzorczy zauważył, że powyższe przesłanki wygaszenia mandatu radnego zostały wskazane w art. 383 § 1 pkt 2 i 5 ustawy - Kodeks wyborczy.
Organ nadzorczy podniósł, że w dniu [...] lipca 2021 r. Burmistrz B. skierował do Rady Miejskiej w B. pismo z załączonymi dokumentami zawierającymi dane osobowe G.C. celem zainicjowania przez Radę Miejską postępowania zmierzającego do ewentualnego wygaszenia mandatu radnego G.C.. Powyższe pismo zostało przesłane "do wiadomości" Wojewody [...]. Organ nadzorczy wskazał, że Burmistrz wyjaśnił, iż powyższe pozwoliło na realizację kompetencji Wojewody [...] do wydania zarządzenia zastępczego w przedmiocie wygaszenia mandatu radnego Rady Miejskiej w B., które to działanie Wojewody stanowi jeden z przejawów sprawowanego przez ten organ nadzoru nad organami gminy.
W tym miejscu, Prezes UODO wskazał, że jako organ właściwy w sprawie ochrony danych osobowych, nie jest uprawniony do kontrolowania postępowań prowadzonych przez inne organy, w tym do ingerowania w określone ustawowo kompetencje innych organów, wkraczania w prowadzone w zakresie ich właściwości postępowania i dokonywania merytorycznej oceny poszczególnych czynności wykonywanych w ramach tych postępowań (vide: wyroki Naczelnego Sądu Administracyjnego z dnia 11 stycznia 2010 r., sygn. akt I OSK 1453/2009 oraz z dnia 26 lutego 2009 r., sygn. akt I OSK 544/2008).
Mając na względzie powyższe, Prezes UODO zauważył zatem, że na podstawie zgromadzonego w niniejszej sprawie materiału dowodowego dokonał wyłącznie oceny legalności przetwarzania przez Burmistrza B. danych osobowych G.C. w objętym skargą zakresie.
W tej sytuacji, Prezes UODO podkreślił przede wszystkim, że w niniejszej sprawie należy zwrócić uwagę, że obowiązujące przepisy prawa nie kreują po stronie organu stanowiącego gminy obowiązku przesyłania "do wiadomości" Wojewody pisma skierowanego do organu uchwałodawczego gminy celem przeprowadzenia postępowania wyjaśniającego przed wszczęciem postępowania w trybie art. 383 ustawy - Kodeks wyborczy.
Organ nadzorczy zauważył również, że wskazane przez skarżącego Burmistrza uzasadnienie udostępnienia danych osobowych G.C. na rzecz Wojewody [...], jako konieczności zapewnienia realizacji przez Wojewodę jego kompetencji nadzorczych wynikających z art. 86 ustawy o samorządzie gminnym, należy uznać za chybione.
Uzasadniając swoje stanowisko, organ nadzorczy stwierdził, że należy przede wszystkim zwrócić uwagę, że działalność samorządu terytorialnego podlega nadzorowi wyłącznie z punktu widzenia legalności. Prezes UODO podniósł, że organy nadzoru, w tym Wojewoda, nie zostały wyposażone w prawo ciągłego ingerowania w działalność samorządową i mogą w nią wkraczać tylko w ściśle określonych przypadkach. Mając na uwadze powyższe i odnosząc się do treści art. 98a ustawy o samorządzie gminnym, Prezes UODO stwierdził, że ustawodawca jednoznacznie określił etapy postępowania związanego z wygaszaniem mandatu radnego wskazując, że wyłącznie brak działania ze strony właściwego organu gminy (w przedmiotowej sprawie wyłącznie, gdy stosownej uchwały nie podjęłaby rada gminy) upoważnia Wojewodę do wezwania organu gminy do podjęcia odpowiedniego aktu w terminie 30 dni (art. 98a ust. 1 ustawy o samorządzie gminnym).
W tej sytuacji, Prezes UODO uznał, że w przedmiotowej sprawie brak jest zatem przepisu, który nakładałby na Burmistrza B. obowiązek, dla realizacji którego konieczne byłoby udostępnienie Wojewodzie [...] danych osobowych G.C. w zakresie numeru PESEL i numeru dowodu osobistego, zawartych w akcie notarialnym Repertorium A nr [...] z dnia [...] listopada 2019 r. i umowie nr [...] najmu części nieruchomości z dnia [...] sierpnia 2016 r., a także w zakresie daty, od jakiej osoba ta jest zameldowana w mieszkaniu przy ul. K., [...], zawartych w ww. akcie notarialnym w dacie przekazania pisma Radzie Miasta B. celem ewentualnego przeprowadzenia procedury wygaśnięcia mandatu radnego.
Mając na względzie powyższe, organ nadzorczy uznał, że sporne udostępnienie przez Burmistrza B. danych osobowych G.C. nie znajdowało oparcia w żadnej spośród przesłanek określonych w art. 6 ust. 1 RODO, stanowiących o legalności przetwarzania (udostępnienia) danych osobowych.
Odnosząc się do stanowiska Burmistrza wyrażonego w jego pisemnych wyjaśnieniach z dnia [...] października 2022 r., w których skarżący administrator wskazał, że "dane osobowe radnego G.C. zostały przekazane Wojewodzie [...] jako organowi, który tymi informacjami dysponuje", Prezes UODO stwierdził, że spornego działania Burmistrza nie legalizuje wskazywana okoliczność, zgodnie z którą dane osobowe G.C. w zakresie numeru PESEL i numeru dowodu osobistego, zawartych w akcie notarialnym Repertorium A nr [...] z dnia [...] listopada 2019 r. i umowie nr [...] najmu części nieruchomości z dnia [...] sierpnia 2016 r., a także w zakresie daty, od jakiej jest on zameldowany w mieszkaniu przy ul. K., [...], zawartych w ww. akcie notarialnym, były znane Wojewodzie, albowiem zgodnie z treścią art. 46 ust. 1 pkt 1 ustawy o ewidencji ludności, Wojewoda ma dostęp do danych z rejestru PESEL oraz rejestru mieszkańców a na podstawie art. 8 pkt 10, pkt 14 i pkt 22 cyt. ustawy także do informacji o numerze PESEL mieszkańca, dacie i miejscu zameldowania na pobyt stały, a także serii, numerze i dacie ważności ostatniego wydanego dowodu osobistego obywatela polskiego. Prezes UODO uznał, że przetwarzanie przez Wojewodę danych osobowych G.C. na podstawie ww. przepisów jest bowiem odrębnym procesem, nie powiązanym z procesem przetwarzania danych osobowych podlegającym ocenie w niniejszej decyzji.
Organ nadzorczy podkreślił, że każda operacja na danych osobowych, a zatem także udostępnienie tych danych, musi znajdować oparcie w przynajmniej jednej spośród przesłanek określonych w art. 6 ust. 1 RODO. W konsekwencji, organ nadzorczy stwierdził, że udostępniając dane osobowe administrator legitymować się musi co najmniej jedną z przesłanek legalizujących ten proces, o których mowa w art. 6 ust. 1 RODO, niezależnie od tego czy podmiot, któremu dane osobowe są udostępniane dysponuje już tymi danymi, czy też nie.
Przechodząc do uzasadnienia zastosowanego środka naprawczego, organ nadzorczy zauważył, że w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych może on skorzystać z uprawnień naprawczych przyznanych mu na podstawie art. 58 ust. 2 RODO.
Organ nadzorczy wskazał, że z ustaleń przeprowadzonego postępowania wynika, iż opisane w przedmiotowej sprawie naruszenie miało charakter jednorazowy.
Ponadto, organ nadzorczy podniósł, że udostępnienie danych jest procesem nieodwracalnym, a więc - mimo stwierdzenia, że udostępnienie nastąpiło bez podstawy prawnej - nie jest możliwe przywrócenie w tej sprawie stanu zgodnego z prawem sprzed tego udostępnienia.
Mając na względzie powyższe, Prezes UODO uznał za zasadne skorzystanie w niniejszej sprawie z uprawnienia o charakterze naprawczym przewidzianego w art. 58 ust. 2 lit. b RODO i udzielenie Burmistrzowi B. upomnienia za udostępnienie bez podstawy prawnej danych osobowych G.C. w zakresie oraz w sposób szczegółowo opisane w treści decyzji.
W piśmie z dnia [...] lipca 2023 r. skarżący Burmistrz B., reprezentowany przez adwokata, działając za pośrednictwem organu nadzorczego, wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2023 r.
Wnosząc w petitum skargi o uchylenie zaskarżonej decyzji Prezesa UODO, a także o zasądzenie od organu nadzorczego na rzecz strony skarżącej zwrotu kosztów postępowania sądowego, w tym kosztów zastępstwa procesowego, skarżący Burmistrz zarzucił organowi nadzorczemu:
1) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, w szczególności:
a) naruszenie art. 7 k.p.a., art. 77 § 1 k.p.a. w zw. z art. 80 k.p.a. - poprzez nierozpatrzenie w sposób wyczerpujący wszystkich dowodów zebranych w sprawie oraz brak wykazania, iż w sprawie nie zaistniały przesłanki powodujące, że przetwarzanie danych osobowych jest zgodne z prawem w postaci wypełnienia obowiązku prawnego ciążącego na Burmistrzu B. oraz wykonywania zadania realizowanego w interesie publicznym, co w konsekwencji doprowadziło do niezastosowania art. 6 ust. 1 lit. c i lit. e RODO,
b) naruszenie art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych - poprzez niewyjaśnienie w uzasadnieniu zaskarżonej decyzji z jakich przyczyn w badanej sprawie nie mają zastosowanie przepisy zawarte w treści art. 6 ust. 1 lit. c i lit. e RODO oraz art. 50 ust. 1 ustawy o samorządzie gminnym;
2) naruszenie przepisów prawa materialnego, w szczególności:
a) naruszenie art. 6 ust. 1 lit. c i lit. e RODO - poprzez jego niezastosowanie, konsekwencją czego było przyjęcie, że udostępnienie danych Wojewodzie [...] nastąpiło z naruszeniem przepisów o ochronie danych osobowych, w sytuacji gdy uwzględnienie tychże regulacji winno spowodować uznanie, iż w sprawie wystąpiły okoliczności wyłączające bezprawność działania Burmistrza B.,
b) naruszenie art. 85 i art. 86 ustawy o samorządzie gminnym - poprzez jego nieprawidłową wykładnię polegającą na błędnym przyjęciu, że badanie kwestii prawidłowości sprawowania mandatu przez członka organu gminy nie mieści się w ramach określonych przez tenże przepis (badanie pod kątem legalności),
c) naruszenie art. 98a ust. 1 i ust. 2 ustawy o samorządzie gminnym - poprzez jego niezastosowanie, konsekwencją czego było przyjęcie, że do wydania zarządzenia zastępczego przez Wojewodę [...] nie jest konieczne dysponowanie przez ten organ danymi zawartymi w akcie notarialnym rep. A nr [...] z dnia [...] listopada 2019 r. i w umowie nr [...] najmu części nieruchomości z dnia [...] sierpnia 2016 r., podczas gdy do rozstrzygnięcia tej kwestii przekazane dane są nieodzowne,
d) naruszenie art. 50 ust. 1 ustawy o samorządzie gminnym - poprzez jego niezastosowanie skutkiem czego było ustalenie, że poinformowanie organu nadzoru o przypadku rażącego naruszenia prawa przez członka rady gminy nie stanowi realizacji zasady szczególnej staranności i dbałości o mienie gminne,
e) naruszenie art. 46 ust. 1 pkt 1 ustawy o ewidencji ludności - poprzez jego nieprawidłową wykładnię, skutkiem czego było pominięcie faktu, że Wojewodzie [...] zostały przekazane dane osobowe, którymi w istocie ten organ uprzednio dysponował,
f) naruszenie art. 383 § 1 pkt 2 i 5 Kodeksu wyborczego - poprzez niewzięcie pod uwagę celu, dla którego dane osobowe G.C. zostały przekazane na rzecz Wojewody [...].
W uzasadnieniu skargi Burmistrz B. zauważył na wstępie, że udostępnienie spornych danych osobowych miało miejsce w związku z wpłynięciem do siedziby Urzędu Miasta w B. donosu, z którego wynikało, że radny G.C. prowadzi działalność gospodarczą w oparciu o mienie Gminy B. oraz nie zamieszkuje na terenie tejże jednostki samorządu terytorialnego. W tej sytuacji, strona skarżąca wskazała, że istotne jest to, iż niedochowanie opisanych wymogów powoduje, że dochodzi do wygaśnięcia mandatu radnego (art. 383 § 1 pkt 2 i 5 Kodeksu wyborczego), która to okoliczność stwierdzana jest przez organ stanowiący gminy w drodze uchwały. Jednocześnie, strona skarżąca podkreśliła, że w przypadku niepodjęcia stosownej uchwały przez radę gminy, obowiązkiem wojewody jest wezwanie organu gminy do podjęcia aktywności, a w razie dalszej bezczynności poinformowanie o tym fakcie ministra właściwego do spraw administracji oraz wydanie zarządzenia zastępczego w omawianym zakresie, stosownie do wymogów wynikających z art. 98a ust. 1-2 ustawy o samorządzie gminnym.
Skarżący Burmistrz stwierdził, że z przywołanych wyżej przepisów jasno wynika, iż wojewoda odgrywa kluczową rolę w badaniu prawidłowości sprawowania mandatu radnego gminy. Według strony skarżącej, celem wypełnienia tejże funkcji wojewoda musi dysponować narzędziami oraz informacjami, które uczynią to zadanie realnym, bowiem nie jest możliwe wydanie rozstrzygnięcia w odniesieniu do podmiotu niezindywidualizowanego (abstrakcyjnego), bez podania koniecznych danych.
Strona skarżąca zarzuciła, że Prezes UODO, nakładając na Burmistrza B. karę w postaci upomnienia, nie uwzględnił wskazanych powyżej okoliczności, co doprowadziło w konsekwencji do wydania rozstrzygnięcia administracyjnego, które nie znajduje oparcia w obowiązujących przepisach prawnych, w szczególności stoi w sprzeczności z treścią art. 6 ust. 1 lit. c RODO, który uznaje za prawne wszelkie działania związane z realizacją obowiązku ciążącego na przetwarzającym dane osobowe.
Tymczasem, jak zauważyła strona skarżąca, zarówno Burmistrz B., jak i Wojewoda [...], są obowiązani do podejmowania określonych działań w procesie weryfikacji kwestii prawidłowości sprawowania mandatu przez radnego gminnego.
Burmistrz B. zwrócił uwagę, że zobligowany jest on do dbania o mienie komunalne. Ponadto, strona skarżąca zauważyła, że Wojewoda [...] w omawianej sprawie wydał zarządzenie zastępcze, co nie mogłoby mieć miejsca, gdyby organ nadzoru nie dysponował danymi, o których mowa jest w piśmie skarżącego Burmistrza z dnia [...] lipca 2021 r.
W związku z powyższym, strona skarżąca uznała, że udostępnienie przez Burmistrza B. danych radnego miejskiego organowi nadzoru stanowi realizację prawnych obowiązków organów samorządu terytorialnego.
Dokonując analizy kolejnego naruszenia, strona skarżąca podkreśliła, że podmiotem, wobec którego dokonywano weryfikacji, jest osoba publiczna w społeczności lokalnej - radny rady miejskiej. Strona skarżąca wskazała, że wprawdzie w odniesieniu do tej kategorii osób przepisy chroniące dane osobowe mają jak najbardziej zastosowanie, jednakże wspomniany kontekst należy uwzględnić, przeprowadzając weryfikację przesłanki, o której mowa w art. 6 ust. 1 lit. e RODO. Strona skarżąca wskazała, że zgodnie z przywołanym przepisem RODO dane osobowe mogą być przetwarzane, jeżeli przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. W tej sytuacji, zdaniem strony skarżącej, nie ulega wątpliwości, że w interesie społeczności lokalnej jest to, by wykorzystywanie mienia komunalnego odbywało się w granicach i na podstawie przepisów prawnych. Według skarżącego Burmistrza, jest to cel nadrzędny, przez pryzmat którego powinno się dokonywać interpretacji innych regulacji, w tym przepisów chroniących dane osobowe.
Ponadto, strona skarżąca zauważył, że opisany powyżej zarzut doznaje wzmocnienia, gdy zestawi się go z motywem 45 preambuły do rozporządzenia RODO, w którym jest właśnie mowa o tym, że nie nakłada się wymogu, aby dla każdego indywidualnego przetwarzania istniało szczegółowe uregulowanie prawne. Wystarczy bowiem, że dane uregulowanie prawne stanowi podstawę rożnych operacji przetwarzania wynikających z obowiązku prawnego, któremu podlega administrator, lub że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej. W tej sytuacji, jak podkreśliła strona skarżąca, jeśli przepisy regulują obowiązek prawny ciążący na administratorze danych i nie ma możliwości realizacji tego obowiązku bez przetwarzania danych osobowych, to działania podejmowane w tym kierunku są zgodne z prawem. Skarżący Burmistrz zauważył wprawdzie, że ma pełną świadomość tego, iż zapisy zawarte w preambule aktów prawnych stanowionych przez instytucje unijne nie mają mocy wiążącej, jednak owe treści niewątpliwie pokazują kierunek interpretacji konkretnych przepisów i winny być uwzględniane w procesie stosowania prawa.
Mając na względzie powyższe, strona skarżąca zarzuciła, że lektura uzasadnienia zaskarżonej decyzji pokazuje, iż Prezes UODO nie wyjaśnił, z jakich przyczyn uznano, że w sprawie nie ziściły się wyżej omówione przesłani określone w art. 6 ust. 1 lit c i lit. e RODO.
Zdaniem strony skarżącej, przywołanie treści konkretnych regulacji prawnych i ograniczenie się do stwierdzenia, iż tego typu okoliczności nie zaistniały, bez powołania się na konkretny stan faktyczny potwierdzający stanowisko organu administracji publicznej, jest działaniem daleko niewystarczającym. Strona skarżąca uznała, że takie postępowanie powoduje, iż adresat decyzji administracyjnej pozbawiony zostaje możliwości poznania motywów, jakimi kierował się organ. Według strony skarżącej, również sąd administracyjny nie ma w takiej sytuacji wystarczających danych do przeprowadzenia weryfikacji spornego rozstrzygnięcia organu nadzorczego.
Strona skarżąca zauważyła, że pomimo tego, iż skarżący Burmistrz w korespondencji prowadzonej z organem nadzorczym zwracał uwagę na powyższe kwestie, nie znalazły one jednak odzwierciedlenia w uzasadnieniu spornej decyzji.
W związku z powyższym, strona skarżąca zarzuciła, że takie działanie organu nadzorczego stanowi naruszenie zasady praworządności.
Skarżący Burmistrz podniósł, że przejawem nadzoru ze strony wojewody nad działalnością innych jednostek samorządu terytorialnego pod kątem legalności jest właśnie badanie między innymi prawidłowości sprawowania mandatu radnego. Strona skarżąca wskazała, że Wojewoda [...] nie dokonał weryfikacji osoby radnego pod kątem jego przymiotów osobistych czy też kwalifikacji do zasiadania w organie uchwałodawczym jednostki samorządu terytorialnego, ale właśnie wszelkie działania w procedowanej sprawie miały na celu weryfikację tego, czy nie doszło do złamania przepisów prawa powszechnie obowiązującego regulujących zasady wykonywania mandatu radnego.
Strona skarżąca uznała, że - wbrew stanowisku Prezesa UODO - na uwagę zasługują dwie okoliczności natury praktyczno-słusznościowej. Otóż, jak zauważyła strona skarżąca, informacje, które przekazano Wojewodzie [...], były już dla tegoż organu dostępne, albowiem jak wynika z treści art. 46 ust. 1 pkt 1 ustawy o ewidencji ludności, wojewoda dysponuje danymi z rejestru PESEL oraz rejestru mieszkańców. Z kolei, jak dodała strona skarżąca, z art. 8 pkt 10, pkt 14 i pkt 22 cyt. ustawy wprost wynika, że w rejestrze PESEL i rejestrach mieszkańców gromadzone są między innymi informacje o numerze PESEL mieszkańca, dacie i miejscu zameldowania na pobyt stały, a także serii, numerze i dacie ważności ostatniego wydanego dowodu osobistego obywatela polskiego.
Ponadto, strona skarżąca podkreśliła, że ostatecznie Wojewoda [...] wydał zarządzenie zastępcze w przedmiocie wygaszenia mandatu radnego G.C., w związku z czym nakładanie jakiejkolwiek kary na skarżącego jest działaniem nie tylko bezprawnym, ale stanowi również wyraz braku racjonalności i szerokiego spojrzenia na złożoność analizowanej problematyki.
W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji.
Odnosząc się w pierwszej kolejności do zarzutu skarżącego Burmistrza dotyczącego naruszenia przepisów postępowania, tj. art. 7 k.p.a., art. 77 § 1 k.p.a. w zw. z art. 80 k.p.a., organ nadzorczy podkreślił, że - zgodnie z dyspozycją tych przepisów - w sposób wyczerpujący zebrał i rozpatrzył cały materiał dowodowy, a więc - wbrew zarzutom strony skarżącej - zaskarżona decyzja została wydana na podstawie całokształtu materiału dowodowego.
Odnosząc się z kolei do argumentacji skarżącego Burmistrza, który stwierdził, że przesłane spornego pisma "do wiadomości" Wojewody [...] pozwoliło na realizację kompetencji Wojewody [...] do wydania zarządzenia zastępczego w przedmiocie wygaszenia mandatu radnego Rady Miejskiej w B. G.C., które to zarządzenie zastępcze jest jednym z przejawów sprawowanego przez ten organ nadzoru nad organami gminy, Prezes UODO zauważył, że przepisy prawa nie kreują obowiązku przesyłania "do wiadomości" Wojewody pisma skierowanego do organu uchwałodawczego gminy celem przeprowadzenia postępowania wyjaśniającego przed wszczęciem postępowania w trybie art. 383 ustawy - Kodeks wyborczy. Organ nadzorczy za chybiony uznał również argument wskazany przez Burmistrza B., jakoby udostępnienie danych osobowych G.C. na rzecz Wojewody miało jakoby zapewnić realizację przez Wojewodę jego kompetencji nadzorczych wynikających z art. 86 ustawy o samorządzie gminnym.
Prezes UODO, odnosząc się do treści art. 98a ustawy o samorządzie gminnym, stwierdził, że ustawodawca jednoznacznie określił etapy postępowania związanego z wygaszaniem mandatu radnego wskazując, że wyłącznie brak działania ze strony właściwego organu gminy (w przedmiotowej sprawie uchwały Rady Miasta B.) upoważnia Wojewodę do wezwania organu gminy do podjęcia odpowiedniego aktu w terminie 30 dni (art. 98a ust. 1 cyt. ustawy).
Mając na względzie powyższe, Prezes UODO uznał zatem, że w przedmiotowej sprawie brak było przepisu, który nakładałby na Burmistrza B. obowiązek, dla realizacji którego konieczne byłoby udostępnienie Wojewodzie danych osobowych G.C. w zakresie numeru PESEL i numeru dowodu osobistego, zawartych w akcie notarialnym Repertorium A nr [...] z dnia [...] listopada 2019 r. i umowie nr [...] najmu części nieruchomości z dnia [...] sierpnia 2016 r., a także w zakresie daty, od jakiej osoba ta jest zameldowana w mieszkaniu przy ul. K., [...], zawartych w ww. akcie notarialnym w dacie przekazania spornego pisma Radzie Miasta B. celem ewentualnego przeprowadzenia procedury wygaśnięcia mandatu radnego.
Tym samym, Prezes UODO uznał, że brak było podstaw do udostępnienie przez Burmistrza danych osobowych G.C. na rzecz Wojewody. W tej sytuacji, zdaniem organu nadzorczego, udostępnienie sporne udostępnienie danych nie znajdowało oparcia w żadnej spośród przesłanek określonych w art. 6 ust. 1 RODO, stanowiących o legalności przetwarzania (udostępnienia) danych osobowych.
Odnosząc się z kolei do zarzutu naruszenia przepisów postępowania, tj. art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych poprzez niewyjaśnienie w uzasadnieniu zaskarżonego rozstrzygnięcia, z jakich przyczyn w badanej sprawie nie mają zastosowania przepisy zawarte w treści art. 6 ust. 1 lit c i lit. e RODO oraz art. 50 ust. 1 ustawy o samorządzie gminnym, Prezes UODO stwierdził, że w uzasadnieniu decyzji zostało jednoznacznie wskazane, że w przedmiotowej sprawie brak jest przepisu, który nakładałby na Burmistrza obowiązek, dla realizacji którego konieczne byłoby udostępnienie Wojewodzie danych osobowych G.C. w dacie przekazania pisma nr [...] Radzie Miasta B. celem ewentualnego wydania zarządzenia zastępczego przez Wojewodę.
W związku z tym powyższe, organ nadzorczy uznał, że udostępnienie przez Burmistrza danych osobowych wskazanej powyżej osoby nie znajdowało oparcia w żadnej spośród przesłanek określonych w art. 6 ust. 1 RODO, stanowiących o legalności przetwarzania (udostępnienia) danych osobowych, bowiem na dzień przekazania spornych danych osobowych Wojewodzie [...] nie było niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, jak również nie było niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.
Odnosząc się do zarzutów naruszenia prawa materialnego, Prezes UODO stwierdził, że na podstawie zgromadzonego w niniejszej sprawie materiału dowodowego, dokonał wyłącznie oceny legalności przetwarzania przez Burmistrza danych osobowych uczestnika postępowania w objętym jego skargą zakresie. Organ nadzorczy podkreślił więc, że - wbrew sugestiom strony skarżącej - nie przyjął w zaskarżonej decyzji, że badanie kwestii prawidłowości sprawowania mandatu przez członka organu gminy nie mieści się w ramach określonych przez art. 85 i art. 86 ustawy o samorządzie gminnym. Organ nadzorczy zauważył, że w uzasadnieniu zaskarżonej decyzji podkreślił jedynie to, że ustawodawca jednoznacznie określił etapy postępowania związanego z wygaszaniem mandatu radnego, co oznacza, że wyłącznie brak działania ze strony właściwego organu gminy (w przedmiotowej sprawie uchwały Rady Miasta B.) upoważnia Wojewodę do wezwania organu gminy do podjęcia odpowiedniego aktu w terminie 30 dni (art. 98a ust. 1 ustawy o samorządzie gminnym). Tymczasem, jak podniósł organ nadzorczy, w niniejszej sprawie udostępnienie danych osobowych uczestnika postępowania na rzecz Wojewody [...] nastąpiło już w dacie przekazania pisma do Rady Miasta B. celem zainicjowania dopiero przez Radę Miasta stosownego postępowania zmierzającego do ewentualnego wygaszenia mandatu radnego, co - zdaniem organu nadzorczego - było przedwczesne i nie znajdowało uzasadnienia w obowiązujących przepisach.
Prezes UODO nie zgodził się również z zarzutem rzekomego naruszenia przez ten organ art. 50 ust. 1 ustawy o samorządzie gminnym poprzez jego niezastosowanie, albowiem przedwczesne poinformowanie Wojewody o rażącym naruszeniu prawa przez członka rady gminy, które miało stanowić realizację zasady szczególnej staranności i dbałości o mienie gminne, nie mogło dawać podstawy do udostępnienia spornych danych osobowych Wojewodzie w dniu przekazania tych danych Radzie Miasta B..
Odnosząc się z kolei do zarzutu naruszenia art. 46 ust. 1 pkt 1 ustawy o ewidencji ludności poprzez jego nieprawidłową wykładnię skutkiem czego było pominięcie faktu, że Wojewodzie [...] zostały przekazane dane osobowe, którymi w istocie organ ten już wcześniej dysponował, Prezes UODO stwierdził, że fakt, iż Wojewoda zna w pewnym zakresie dane osobowe G.C., nie skutkuje tym, że informacje w tym zakresie, zawarte w treści dokumentów udostępnionych Wojewodzie, przestają być danymi osobowymi, w rozumieniu RODO. Ponadto, organ nadzorczy zauważył, że przetwarzanie danych osobowych uczestnika postępowania przez Wojewodę w zakresie udostępnionym mu przez Burmistrza jest odrębnym procesem. Tymczasem, jak zauważył Prezes UODO, każda operacja na danych osobowych, a zatem także udostępnienie tych danych, musi znajdować oparcie w przynajmniej jednej spośród przesłanek określonych w art. 6 ust. 1 RODO. W tej sytuacji, Prezes UODO stwierdził zatem, że udostępniając dane osobowe uczestnika postępowania, Burmistrz B., jako administrator danych, powinien legitymować się co najmniej jedną z przesłanek legalizujących ten proces, o którym mowa w art. 6 ust. 1 RODO, niezależnie od tego, czy podmiot, któremu dane osobowe są udostępniane (w tym przypadku Wojewoda [...]) dysponuje już tymi danymi, czy też nie.
Odnosząc się do zarzutu naruszenia przepisu art. 383 § 1 pkt 2 i pkt 5 Kodeksu wyborczego, poprzez niewzięcie pod uwagę celu, dla którego dane osobowe G.C. zostały przekazane na rzecz Wojewody [...], Prezes UODO stwierdził, że jest on bezzasadny, albowiem organ nadzorczy wziął pod uwagę cel przekazania spornych danych, tj. wszczęcie procedury odwołania tej osoby z funkcji radnego w związku ze spełnieniem warunków określonych w art. 383 §1 pkt 2 i 5 Kodeksu wyborczego. Niemniej jednak, Prezes UODO uznał, że ów cel nie uzasadniał przekazania spornych danych osobowych, co zostało wyrażone w treści decyzji.
Ustosunkowując się z kolei do zarzutu naruszenia art. 98a ust. 1-2 ustawy o samorządzie gminnym poprzez jego niezastosowanie, konsekwencją czego było przyjęcie, że do wydania zarządzenia zastępczego przez Wojewodę [...] nie jest konieczne dysponowanie przez ten organ spornymi danymi, Prezes UODO stwierdził, że powyższy zarzut nie znajduje pokrycia w faktach, albowiem - wbrew sugestiom strony skarżącej - art. 98a ustawy o samorządzie gminnym został uwzględniony przy dokonywaniu oceny prawnej i treści rozstrzygnięcia. Prezesa UODO ponownie podkreślił, że udostępnienie przez Burmistrza B. danych osobowych G.C. na rzecz Wojewody [...] przed podjęciem (lub odmową podjęcia) uchwały o wygaśnięciu mandatu radnego przez Radę Miasta B. nie znajdowało oparcia w żadnej spośród przesłanek określonych w art. 6 ust. 1 RODO, stanowiących o legalności przetwarzania (udostępnienia) danych osobowych.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2022 r., poz. 2492), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego.
Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2024 r., poz. 935 - dalej także: "P.p.s.a.").
Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej.
Należy zauważyć, że w tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych, zobowiązany był - co do zasady - zbadać jej zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami zawartymi w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - zwane także: "RODO").
W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga Burmistrza B. zasługuje na uwzględnienie, albowiem sporna decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2023 r. w przedmiocie udzielenia skarżącemu Burmistrzowi upomnienia za naruszenie art. 6 ust. 1 RODO, polegające na udostępnieniu szczegółowo określonych w treści decyzji danych osobowych G.C. Wojewodzie [...] w piśmie z dnia [...] lipca 2021 r., sygn. [...], bez podstawy prawnej, narusza w sposób istotny obowiązujące przepisy prawa.
Analizując niniejszą sprawę, Sąd doszedł bowiem do wniosku, że organ nadzorczy, wydając wspomnianą decyzję administracyjną, dopuścił się - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., a także art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, które to naruszenie polegało przede wszystkim na braku należytego wykazania w uzasadnieniu spornej decyzji, że w analizowanej sprawie nie zaistniały przesłanki powodujące, że przetwarzanie danych osobowych jest zgodne z prawem w postaci wypełnienia obowiązku prawnego ciążącego na Burmistrzu B. oraz wykonywania zadania realizowanego w interesie publicznym, co w konsekwencji doprowadziło do niezastosowania przez organ nadzorczy art. 6 ust. 1 lit. c i lit. e RODO.
Sąd uznał w tej sytuacji, że doszło również do naruszenia przepisów art. 58 ust. 2 lit. b RODO w zw. z art. 6 ust. 1 RODO, które polegało na ich niewłaściwym zastosowaniu i przyjęciu przez organ nadzorczy, że Burmistrz B. dopuścił się naruszenia przepisów RODO, które uzasadniałoby udzielenie skarżącemu Burmistrzowi upomnienia, podczas gdy strona skarżąca legitymowała się podstawami prawnymi do przetwarzania danych osobowych G.C., co z kolei świadczyłoby jednak o braku naruszenia przez stronę skarżącą przepisów RODO.
Tym samym, Sąd uznał, że Prezes Urzędu Ochrony Danych Osobowych, wydając punkt pierwszy spornej decyzji administracyjnej - dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz art. 7 Konstytucji RP.
Przechodząc do oceny legalności spornej decyzji Prezesa UODO, należy zauważyć na wstępie, że przedmiotem sporu w niniejszej sprawie była kwestia prawidłowości ustaleń organu nadzorczego w zakresie legitymowania się przez skarżącego Burmistrza B., jako administratora danych, przesłanką uprawniającą - w świetle przepisów RODO - do udostępnienia danych osobowych G.C. Wojewodzie [...] w piśmie z dnia [...] lipca 2021 r., sygn. [...], a w konsekwencji ocena zasadności podjęcia wobec strony skarżącej prawnie wiążącego środka naprawczego, o którym mowa w art. 58 ust. 2 lit. b RODO.
W niniejszej sprawie Prezes UODO, wydając zaskarżoną decyzję, stwierdził, iż w trakcie prowadzonego postępowania ustalono, że skarżący Burmistrz, będąc administratorem danych, nie legitymował się ważną przesłanką legalizującą udostępnienie danych osobowych uczestnika postępowania G.C. Wojewodzie [...]. Organ nadzorczy uznał w konsekwencji, że skoro strona skarżąca przetwarza wspomniane dane osobowe z naruszeniem przepisów RODO, to tym samym w przedmiotowej sprawie zachodzi podstawa prawna do udzielenia jej, jako administratorowi danych, upomnienia, o którym mowa w art. 58 ust. 2 lit. b RODO.
W ocenie Sądu, uznać należy jednak, iż dokonując powyższych ustaleń, organ nadzorczy dopuścił się istotnego naruszenia prawa.
Należy wyraźnie wskazać, że Prezes Urzędu Ochrony Danych Osobowych jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i jednocześnie organem nadzorczym, w rozumieniu rozporządzenia 2016/679 (art. 34 ust. 2 u.o.d.o.).
Jak stanowi art. 57 ust. 1 lit. a i lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, a także rozpatruje skargi wniesione przez osobę, której dane dotyczą.
Nie ulega wątpliwości, że rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) stanowi kompleksową regulację dotyczącą ochrony danych osobowych, która nie wymaga implementacji ustawą krajową, aby mogła być stosowana w danym państwie.
Jednocześnie, państwom członkowskim Unii Europejskiej pozostawiono jednak pewien zakres swobody w zakresie regulacji na poziomie krajowym, aby niektóre zagadnienia doprecyzować (np. w przypadku organu nadzorczego, czy odpowiedzialności za naruszenie zasad ochrony danych osobowych), czy też dostosować zasady wprowadzone przez RODO do innych obowiązujących w danym porządku prawnym zasad.
Ze wskazanych wyżej przepisów art. 57 ust. 1 lit. a i lit. f RODO wynika m.in., iż procedura, w ramach której prowadzone są postępowania zainicjowane skargą wniesioną przez osobę, której dane dotyczą, określana jest przez poszczególne państwa członkowskie Unii Europejskiej. Pozostawienie w tym zakresie państwom członkowskim autonomii jest wyrazem realizacji zasady autonomii proceduralnej państw członkowskich. W tej sytuacji, skargi są wnoszone i rozpatrywane na podstawie przepisów proceduralnych obowiązujących w danym państwie członkowskim UE.
Art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych stanowi, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, zwane dalej "postępowaniem", jest prowadzone przez Prezesa Urzędu.
Nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych jest jednym z postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych. O takim jego charakterze rozstrzyga art. 7 ust. 1 ustawy o ochronie danych osobowych, który postępowanie z rozdziału 7 kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tego postępowania Kodeksu postępowania administracyjnego. Warto przy tym zauważyć, że ustawodawca w art. 7 ust. 1 cyt. ustawy nie przewiduje stosowania odpowiedniego, oznacza to zatem stosowanie przepisów ogólnej procedury administracyjnej wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych.
Użyte w art. 60 u.o.d.o. określenie "naruszenie przepisów o ochronie danych osobowych" ma zakres szeroki i obejmuje naruszenia wszystkich przepisów o ochronie danych, zarówno zawartych w unijnym rozporządzeniu, jak i w przepisach krajowych, które uzupełniają lub modyfikują regulacje unijne.
Zgodnie z art. 7 ust. 1 u.o.d.o., w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych, o których mowa w rozdziale 4-7 i 11 (a więc również w rozdziale 7 dotyczącym postępowania w sprawie naruszenia przepisów o ochronie danych osobowych), stosuje się przepisy Kodeksu postępowania administracyjnego.
Zdaniem Sądu, nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, iż Prezes UODO jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego Państwa (art. 8 § 1 k.p.a.). W tej sytuacji, organ nadzorczy, uwzględniając powyższą zasadę, zobowiązany jest przede wszystkim dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony skarżącej. Organ nadzorczy jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a.
Jeżeli zatem określona osoba fizyczna zgłasza Prezesowi Urzędu Ochrony Danych Osobowych nieprawidłowości w zakresie przetwarzania swoich danych osobowych, organ ten jest zobligowany do wszczęcia postępowania wyjaśniającego, którego zadaniem jest ustalenie, czy dane osobowe są w istocie przetwarzane, a jeżeli tak, to w jakim celu i czy proces ten następuje z poszanowaniem przepisów zarówno RODO, jak i ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.
Taka sytuacja miała miejsce w rozpoznawanej sprawie.
Otóż, Prezes Urzędu Ochrony Danych Osobowych, rozpatrując skargę G.C. z dnia [...] lutego 2022 r., zobowiązany był dokonać oceny, czy w sprawie doszło w ogóle do przetwarzania danych osobowych wnoszącego skargę, a w konsekwencji, czy ewentualnie sporne przetwarzanie - o ile do niego rzeczywiście doszło - było zgodne z prawem, przy jednoczesnym uwzględnieniu okoliczności przetwarzania tych danych, jeśli miało ono miejsce, a także przy uwzględnieniu całokształtu zgromadzonego w sprawie materiału dowodowego oraz w kontekście odpowiednio zastosowanych przepisów prawa, w tym przede wszystkim przepisów RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.
Należy zauważyć, iż w świetle przepisu art. 4 pkt 2 RODO, przez "przetwarzanie" rozumie się operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
W tej sytuacji, mając na względzie powyższą definicję przetwarzania, Prezes Urzędu Ochrony Danych Osobowych, jako organ nadzorczy, zobowiązany był, analizując wniesioną w dniu [...] lutego 2022 r. skargę, przeprowadzić stosowne postępowanie wyjaśniające i na podstawie całokształtu zgromadzonego materiału dowodowego ustalić, czy powoływane przez wnoszącego skargę naruszenia praw wynikających z RODO zostały udowodnione.
Z uwagi na fakt, iż zarówno RODO, jak i ustawa o ochronie danych osobowych nie regulują kwestii postępowania dowodowego i powinności organu nadzorczego związanych z czynieniem ustaleń faktycznych, zastosowanie w tym zakresie znajdują reguły i zasady określone w Kodeksie postępowania administracyjnego.
Warto jednocześnie zauważyć, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, którego dotyczy rozdział 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, jest postępowaniem administracyjnym, do którego na podstawie art. 7 ust. 1 u.o.d.o. znajdują zastosowanie przepisy Kodeksu postępowania administracyjnego i w ramach którego to postępowania prowadzący je organ jest związany kodeksowymi standardami prowadzenia postępowania wyjaśniającego.
Mając na względzie powyższe, należy zauważyć, że Prezes UODO, przeprowadzając sporne postępowanie wyjaśniające wykorzystał wszelkie niezbędne instrumenty prawne, jakie dawała mu ustawa o ochronie danych osobowych i uzasadniając swoje stanowisko w decyzji z dnia [...] czerwca 2023 r., przyjął, że strona skarżąca nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 RODO.
Tymczasem, skarżący Burmistrz wskazał wyraźnie w skierowanej do Sądu skardze, że organ nadzorczy nie tylko pominął szereg okoliczności istotnych dla prawidłowego rozpatrzenia sprawy zainicjowanej w dniu [...] lutego 2022 r. skargą G.C., dopuszczając się tym samym istotnego naruszenia przepisów k.p.a., ale również w sposób niewłaściwy zastosował przepisy prawa materialnego przywołane przez stronę skarżącą w wyjaśnieniach złożonych w toku postępowania.
Przechodząc do oceny legalności zaskarżonej decyzji, należy zauważyć na wstępie, że nie ulega wątpliwości to, iż na administratorze danych osobowych, którym - w rozumieniu art. 4 pkt 7 RODO - jest w niniejszej sprawie Burmistrz B., ciąży obowiązek prawny przetwarzania danych osobowych zgodnie z obowiązującymi przepisami, a w szczególności obowiązek zapewnienia, by przetwarzanie odbywało się na podstawie co najmniej jednej z przesłanek enumeratywnie wymienionych w art. 6 ust. 1 RODO.
Oparcie przetwarzania danych na jednej z przesłanek określonych w art. 6 ust. 1 RODO stanowi przejaw realizacji zasady zgodności z prawem (legalności) przetwarzania danych, wyrażonej w art. 5 ust. 1 lit. a RODO.
W tej sytuacji, przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO), czy też gdy jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e RODO).
Warto zaznaczyć jednocześnie, że zgodnie z art. 6 ust. 3 RODO podstawa przetwarzania, o której mowa w art. 6 ust. 1 lit. c oraz lit. e musi być określona w prawie państwa członkowskiego, któremu podlega administrator.
Z akt sprawy wynika, że udostępnienie spornych danych osobowych radnego Rady Miejskiej B. miało miejsce w związku z wpłynięciem do Urzędu Miasta w B. donosu, z którego wynikało, że radny miejski G.C. prowadzi działalność gospodarczą w oparciu o mienie Gminy B. oraz nie zamieszkuje na terenie tejże jednostki samorządu terytorialnego. Niedochowanie opisanych wymogów powoduje, że dochodzi do wygaśnięcia mandatu radnego (art. 383 § 1 pkt 2 i 5 Kodeksu wyborczego), która to okoliczność stwierdzana jest przez organ stanowiący gminy w drodze uchwały (w przypadku niniejszej sprawy - w drodze stosownej uchwały wydanej przez Radę Miejską B.). W tej sytuacji, skarżący Burmistrz - decydując się na przesłanie przy piśmie z dnia [...] lipca 2021 r. do wiadomości Wojewody [...] spornych danych osobowych wspomnianego wyżej radnego miejskiego - uznał, że istotne jest to, iż w przypadku niepodjęcia stosownej uchwały przez Radę Miejską B., obowiązkiem Wojewody [...] będzie wezwanie wspomnianego wyżej organu gminy do podjęcia stosownej uchwały, a w razie dalszej bezczynności - poinformowanie o tym fakcie ministra właściwego do spraw administracji oraz wydanie zarządzenia zastępczego w omawianym zakresie, stosownie do przepisów art. 98a ust. 1-2 ustawy o samorządzie gminnym.
Mając powyższe na względzie, skarżący Burmistrz uznał, że skoro z przywołanych przepisów jasno wynika, że Wojewoda [...] odgrywa kluczową rolę w badaniu prawidłowości sprawowania mandatu radnego G.C., to celem prawidłowego wypełnienia tejże funkcji Wojewoda ten musi dysponować stosownymi informacjami, które uczynią to ustawowe zadanie realnym. W związku z tym, strona skarżąca uznała, że zachodzi podstawa do przesłania Wojewodzie [...] koniecznych danych osobowych.
Należy zauważyć, że zgodnie z art. 6 ust. 1 lit. c RODO, przetwarzanie jest zgodne z prawem w przypadku, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.
Nie ulega wątpliwości, że wskazana podstawa dopuszczalności przetwarzania danych wymaga istnienia obowiązku określonego przepisami prawa. Niemniej, przyjmuje się jednocześnie w doktrynie, że nie ma konieczności, by przepis prawa wyraźnie regulował kwestie przetwarzania danych, albowiem wystarczy, jeżeli z przepisu prawa wynika obowiązek, do którego realizacji konieczne jest przetwarzanie danych, nawet jeśli przepis ten wyraźnie o przetwarzaniu danych nie wspomina (por. P. Fajgielski, Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Wolters Kluwer Polska 2022, t. 21 komentarza do art. 6 RODO). W ocenie Sądu, argumentów potwierdzających zasadność wskazanej powyżej interpretacji dostarcza również motyw 45 preambuły RODO, w którym stwierdzono, że "rozporządzenie nie nakłada wymogu, aby dla każdego indywidualnego przetwarzania istniało szczegółowe uregulowanie prawne. Wystarczyć może to, że dane uregulowanie prawne stanowi podstawę różnych operacji przetwarzania wynikających z obowiązku prawnego, któremu podlega administrator".
Mając powyższe na względzie, należy przyjąć, że w przypadku, gdy przepis określa kompetencje organu, wskazując uprawnienie tego organu do załatwiania określonego rodzaju spraw, oznacza to także możliwość zastosowania omawianej tu podstawy dopuszczalności przetwarzania danych przez ten organ, gdyż realizacja tych zadań należy do obowiązków organu. W tej sytuacji, twierdzić trzeba, że jeżeli przepisy nakładają obowiązek, do realizacji którego konieczne jest przetwarzanie danych, to nawet w przypadku, gdy przepisy wyraźnie wskazują na uprawnienie do przetwarzania danych, należy przyjąć, że przetwarzanie to służy realizacji obowiązku nałożonego przepisami, a zatem omawiana podstawa znajduje tu zastosowanie.
Warto zauważyć, że w doktrynie podkreśla się wyraźnie, iż przepisy prawa, które nie nakładają obowiązku przetwarzania danych, a przyznają kompetencję do ich przetwarzania związaną z zadaniem wykonywanym na podstawie przepisów prawa, powinny zostać uznane za przepisy stanowiące podstawę przetwarzania danych, o której mowa w art. 6 ust. 1 lit. c RODO (por. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Komentarz /w:/ Ogólne rozporządzenie o ochronie danych osobowych. Ustawa o ochronie danych osobowych. Wybrane przepisy sektorowe. Komentarz, pod red. dr Paweł Litwiński, Wydawnictwo C.H. Beck, Warszawa 2021, t. 46 komentarza do art. 6 RODO).
Należy zauważyć, że w przepisach prawa wskazane zostały różne zadania realizowane w interesie publicznym, do realizacji których konieczne jest przetwarzanie danych, jednak stosunkowo często brakuje przepisów, które regulowałyby wprost dopuszczalność przetwarzania danych. W tego rodzaju przypadkach zastosowanie znajduje podstawa, o której mowa w art. 6 ust. 1 lit. e RODO. Przepis ten stanowi, że przetwarzanie jest zgodne z prawem w przypadku, gdy jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.
Niewątpliwie, jest to przesłanka, która ma istotne znaczenie w sektorze publicznym i uzupełnia przedstawioną powyżej podstawę wskazaną w art. 6 ust. 1 lit. c RODO, polegająca na wypełnieniu obowiązku prawnego ciążącego na administratorze.
Warto wskazać, że podstawy przetwarzania danych osobowych zawartej w przepisie art. 6 ust. 1 lit. e RODO nie można jednak rozumieć jako generalne zezwolenie na przetwarzanie danych osobowych przez organy władzy publicznej, w oderwaniu od norm kompetencyjnych regulujących funkcjonowanie tychże organów. Jest wręcz przeciwnie, albowiem ogromnie ważna jest zasada działania władzy publicznej polegająca na działaniu na podstawie i w granicach prawa. Potwierdza to zresztą wspomniany wyżej motyw 45 preambuły do RODO, zgodnie z którym jeżeli przetwarzanie odbywa się w celu wypełnienia obowiązku prawnego, któremu podlega administrator, lub jeżeli jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, podstawę przetwarzania powinno stanowić prawo Unii lub prawo państwa członkowskiego, które powinno także określać cel przetwarzania danych.
W tej sytuacji, uznać trzeba więc, że w odniesieniu do organów władzy publicznej podstawy przetwarzania danych osobowych zawarte w art. 6 ust. 1 lit. c i lit. e RODO wzajemnie się uzupełniają, regulując sytuacje, w których w przepisach prawa Unii Europejskiej lub prawa krajowego wprost wskazano obowiązek przetwarzania określonych danych lub też wskazano zadania, do realizacji których niezbędne jest przetwarzanie danych osobowych.
Warto jednocześnie dodać, że w art. 6 ust. 3 RODO wskazano, że podstawa przetwarzania, o którym mowa w art. 6 ust. 1 lit. c i lit. e RODO, a więc w sytuacji gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze oraz do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, powinna być określona w prawie UE lub w prawie państwa członkowskiego, któremu podlega administrator. Zgodnie z wymogami określonymi w tym przepisie cel przetwarzania powinien być określony w tej podstawie prawnej lub powinno być ono niezbędne do wykonania zadania realizowanego w interesie publicznym albo w ramach sprawowania władzy publicznej powierzonej administratorowi.
Mając na względzie powyższe, należy zgodzić się ze stroną skarżącą, że Prezes UODO nie wyjaśnił w uzasadnieniu zaskarżonej decyzji, z jakich przyczyn uznał, iż w niniejszej sprawie nie ziściły się wskazane przez Burmistrza B. przesłanki dopuszczalności przetwarzania danych osobowych, o których mowa w art. 6 ust. 1 lit c i lit. e RODO. Sąd uznał bowiem, że w uzasadnieniu spornej decyzji organ nadzorczy ograniczył się właściwie wyłącznie do stwierdzenia, iż tego typu okoliczności nie zaistniały, bez powołania się na konkretny stan faktyczny potwierdzający stanowisko organu, co jest działaniem niewystarczającym i powoduje w konsekwencji, że zarówno adresat decyzji administracyjnej, jak i sąd administracyjny kontrolujący legalność tej decyzji pozbawieni zostają możliwości poznania motywów, jakimi kierował się organ nadzorczy.
W ocenie Sądu, skoro - w świetle przywołanych przez stronę skarżącą konkretnych przepisów ustawy o samorządzie gminnym oraz ustawy - Kodeks wyborczy - zarówno Burmistrz B., jak i Wojewoda [...], obowiązani byli do podejmowania określonych działań w procesie weryfikacji kwestii prawidłowości sprawowania mandatu przez G.C., będącego radnym Rady Miejskiej B., to Prezes UODO zobowiązany był jednoznacznie wyjaśnić, dlaczego udostępnienie przez Burmistrza B. danych radnego miejskiego Wojewodzie [...], jako organowi nadzoru, nie stanowiło realizacji prawnych obowiązków organów samorządu terytorialnego, gdy tymczasem - jak słusznie podkreśla strona skarżąca - sporne przetwarzanie (udostępnienie danych) było niezbędne do wykonania zadania realizowanego przez organ wykonawczy gminy w interesie publicznym i w ramach sprawowania władzy publicznej powierzonej administratorowi. Jednocześnie, Prezes UODO nie wyjaśnił, dlaczego nie zgodził się ze stroną skarżącą, iż nie było możliwości realizacji ciążącego na skarżącym administratorze obowiązku prawnego bez przetwarzania danych osobowych radnego miejskiego, pomimo, że Burmistrz B. podjął - zgodnie z obowiązującymi wymogami ustawowymi - stosowne działania w kierunku weryfikacji prawidłowości sprawowania mandatu radnego przez G.C..
W tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie uznał, że Prezes UODO, nakładając na skarżącego Burmistrza upomnienie za rzekome naruszenie art. 6 ust. 1 RODO polegające na przekazaniu przez ten organ danych osobowych uczestnika postępowania bez podstawy prawnej, w sposób szczegółowo określony w sentencji spornej decyzji, dopuścił się naruszenia art. 6 ust. 1 lit. c i lit. e RODO, które to naruszenie polegało na co najmniej przedwczesnym uznaniu, że wspomniane przepisy nie stanowią podstawy legalizującej sporne przekazanie danych Wojewodzie [...].
Mając na względzie wspomniane wyżej okoliczności, uznać należy, że skoro organ nadzorczy nie wyjaśnił w sposób jednoznaczny, dlaczego stwierdził, iż skarżący Burmistrz na dzień wystosowania spornego pisma z dnia [...] lipca 2021 r. nie dysponował przesłanką do legalnego przetwarzania danych osobowych G.C., to nie sposób przyjąć jednocześnie, że w przedmiotowej sprawie doszło do naruszenia art. 6 ust. 1 RODO, co oznacza na tym etapie, że udzielenie stronie skarżącej upomnienia nastąpiło z naruszeniem art. 58 ust. 2 lit. b RODO.
W tej sytuacji, Sąd uznał, że analizowane działanie Prezesa UODO w sposób istotny naruszało także zasadę zaufania obywateli do organów praworządnego państwa i stosowanego przez nie prawa, wyrażoną w art. 8 § 1 k.p.a. Nie ulega bowiem wątpliwości, że zasada zaufania wyrażona w przepisie art. 8 § 1 k.p.a. ma kontekst konstytucyjny i unijny, zaś organy administracji publicznej są obowiązane, w ramach wykładni zgodnej z prawem UE i Konstytucją RP, uwzględniać, że zasada zaufania, również w aspekcie procesowym, jest zasadniczym elementem zasady demokratycznego państwa prawa i jako taka ma swoje umocowanie i źródło w art. 2 Konstytucji RP.
W związku z powyższym, skoro działanie organu nadzorczego nie spełniało w sposób ewidentny powyższych warunków, stanowiło to podstawę do wyeliminowania z obrotu prawnego spornej decyzji administracyjnej Prezesa UODO z dnia [...] czerwca 2023 r.
Biorąc powyższe pod uwagę, Wojewódzki Sad Administracyjny w Warszawie - działając na podstawie art. 145 § 1 pkt 1 lit. a i c P.p.s.a. - orzekł, jak w pkt. 1 sentencji wyroku.
Zasądzając jednocześnie od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego Burmistrz B. kwotę 680 (sześćset osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania sądowego, w tym kosztów zastępstwa procesowego, Sąd działał na podstawie przepisów art. 200 i art. 205 § 2 w związku z art. 209 P.p.s.a.[pic][pic]