II SA/Wa 252/24

II SA/Wa 252/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-11-13
orzeczenie nieprawomocne
Data wpływu
2024-02-22
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Góraj
Danuta Kania /przewodniczący sprawozdawca/
Mateusz Rogala
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 250/25 - Wyrok NSA z 2025-11-14
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2023 poz 775
art. 7, art. 77 par. 1, art. 80
Ustawa z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania (spr.), Sędzia WSA Andrzej Góraj, Asesor WSA Mateusz Rogala, Protokolant starszy referent Agnieszka Fidor po rozpoznaniu na rozprawie w dniu 13 listopada 2024 r. sprawy ze skargi Sądu Okręgowego w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2023 r. nr [...] w przedmiocie naruszenia przepisów o ochronie danych osobowych 1. uchyla zaskarżoną decyzję; 2. umarza postępowanie administracyjne; 3. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz Sądu Okręgowego w [...] kwotę 2200 (słownie: dwa tysiące dwieście złotych) tytułem zwrotu kosztów postępowania.
Uzasadnienie
Decyzją z dnia [...] grudnia 2023 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ"), na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r., poz. 775 ze zm.), dalej: "k.p.a." w związku z art. 7 ust. 1 i 2, art. 60, art. 102 ust. 1 pkt 1 i ust. 3 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), dalej: "u.o.d.o.", art. 57 ust. 1 lit. a, h, art. 58 ust. 2 lit. e, i, art. 83 ust. 1 i 2, art. 83 ust. 4 lit. a w związku z art. 33 ust. 1, ust. 3 i ust. 5 oraz art. 34 ust. 1 - 2 i ust. 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., s. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r., s. 35), dalej: "rozporządzenie 2016/679", po przeprowadzeniu postępowania administracyjnego w sprawie naruszenia przepisów o ochronie danych osobowych przez Sąd Okręgowy w [...] z siedzibą w [...] (dalej: "SO w [...]", "strona skarżąca"):
1) stwierdzając naruszenie przez Sąd Okręgowy w [...] przepisów:
a) art. 33 ust. 1 i ust. 3 rozporządzenia 2016/679 polegające na niezgłoszeniu Prezesowi UODO naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia,
b) art. 34 ust. 1 i ust. 2 rozporządzenia polegające na niezawiadomieniu o naruszeniu ochrony danych osobowych, bez zbędnej zwłoki, osób, których dane dotyczą,
2) nałożył na Sąd Okręgowy w [...] za naruszenie art. 33 ust. 1 i ust. 2 oraz art. 34 ust. 1 i ust. 2 rozporządzenia administracyjną karę pieniężną w wysokości 10.000 złotych,
3) nakazał Sądowi Okręgowemu w [...] zawiadomienie, w terminie 3 dni od dnia otrzymania niniejszej decyzji, czterech osób, których dane były zawarte na dokumentach znajdujących się w uszkodzonej przesyłce pocztowej (tj. powódki, pozwanego oraz dwójki ich dzieci), o naruszeniu ochrony ich danych osobowych w celu przekazania im informacji wymaganych zgodnie z art. 34 ust. 2 rozporządzenia tj.: a) opisu charakteru naruszenia ochrony danych osobowych, b) imienia i nazwiska oraz danych kontaktowych inspektora ochrony danych lub oznaczenia innego punktu kontaktowego, od którego można uzyskać więcej informacji, c) opisu możliwych konsekwencji naruszenia ochrony danych osobowych z uwzględnieniem kategorii osób i zakresu danych objętych naruszeniem, d) opisu środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu - w tym środków w celu zminimalizowania jego ewentualnych negatywnych skutków z uwzględnieniem kategorii osób i zakresu danych objętych naruszeniem,
4) w pozostałym zakresie umorzył postępowanie.
W uzasadnieniu decyzji organ wskazał, że w dniu [...] lipca 2022 r. do Urzędu Ochrony Danych Osobowych wpłynęło zgłoszenie naruszenia ochrony danych osobowych złożone przez Ministra Spraw Zagranicznych (dalej: "MSZ"), polegającego na dostarczeniu adresatowi przez operatora pocztowego [...] (dalej: "operator pocztowy") uszkodzonej i niekompletnej korespondencji zawierającej dane osobowe, wysłanej przez Konsulat Generalny RP w [...] (dalej: "Konsulat RP") na wniosek Sądu Okręgowego w [...]. Jak ustalono, Konsulat RP pismem z dnia 25 lipca 2022 r. nr [...], poinformował SO w [...] doręczeniu adresatowi uszkodzonej i niekompletnej przesyłki. Zgłoszenie naruszenia ochrony danych osobowych dokonane przez MSZ zostało zarejestrowane pod sygnaturą [...].
Prezes UODO wszczął z urzędu postępowanie administracyjne w przedmiocie naruszenia przepisów art. 33 oraz art. 34 ust. 1 - 2 rozporządzenia 2016/679 przez Sąd Okręgowy w [...], w związku z naruszeniem ochrony danych osobowych polegającym na dostarczeniu adresatowi przez operatora pocztowego uszkodzonej i niekompletnej korespondencji zawierającej dane osobowe, wysłanej przez Konsulat RP na wniosek SO w [...].
W toku postępowania organ poczynił następujące ustalenia:
MSZ poinformował Prezesa UODO, iż Konsulat RP w dniu 14 lipca 2022 r. wysłał, na wniosek SO w [...], korespondencję za pośrednictwem ww. operatora pocztowego. Adresat korespondencji poinformował w dniu 25 lipca 2022 r. Konsulat RP, iż doręczono mu uszkodzoną przesyłkę i "mogło dojść do naruszenia korespondencji". Z informacji uzyskanej od adresata wynikało także, że korespondencja została dodatkowo zapakowana w folię ochronną, zabezpieczającą uszkodzoną kopertę, jak również to, iż nie zawierała ona wszystkich dokumentów podlegających doręczeniu.
Konsulat RP poinformował SO w [...] o zdarzeniu pismem z dnia 25 lipca 2022 r., które zostało doręczone w dniu 1 sierpnia 2022 r. Z treści pisma wynika, że korespondencja została doręczona adresatowi w dniu 23 lipca 2022 r. za pośrednictwem operatora pocztowego. W piśmie tym zostało również wskazane, że: "dostarczona przesyłka została doręczona uszkodzona i niekompletna".
SO w [...] jako nadawca przesyłki jest Administratorem danych, objętych naruszeniem.
Pismem z dnia 24 sierpnia 2022 r. Prezes UODO wezwał SO w [...] do udzielenia wyjaśnień, czy została przeprowadzona analiza ryzyka naruszenia praw lub wolności osób fizycznych niezbędna dla oceny, czy doszło do naruszenia ochrony danych skutkującego koniecznością zawiadomienia Prezesa UODO oraz osób, których naruszenie dotyczy.
Pismem z dnia 26 sierpnia 2022 r. Sąd wskazał, że zgodnie z art. 175dd ustawy z dnia 22 lipca 2022 r. Prawo o ustroju sądów powszechnych (Dz. U. z 2021 r., poz. 137 ze zm.), dalej: "p.u.s.p.", organem właściwym do wykonywania nadzoru nad przetwarzaniem danych osobowych przetwarzanych w postępowaniach sądowych w ramach sprawowania wymiaru sprawiedliwości albo realizacji zadań z zakresu ochrony prawnej, których administratorem są sądy w rozumieniu art. 174da i 175db, jest dla SO w [...] - Prezes Sądu Apelacyjnego w [...].
Pismem z dnia 1 września 2022 r. Prezes UODO ponownie zwrócił się do Sądu żądając udzielenia odpowiedzi na pytanie zawarte w piśmie z dnia 24 sierpnia 2022 r. informując jednocześnie, iż jest w tym przypadku organem nadzorczym i właściwym do zbadania przedmiotowego naruszenia. W odpowiedzi, w piśmie z dnia 8 września 2022 r., Sąd podtrzymał swoje stanowisko, powołując się ponownie na treść art. 174da, art. 175db oraz art. 175dd p.u.s.p. Ponadto Sąd odwołał się do orzeczenia Trybunału Sprawiedliwości Unii Europejskiej (dalej: "TSUE") z dnia 24 marca 2022 r. w sprawie C-245/20, w którym wskazano, że "ochrona niezawisłości wymiaru sprawiedliwości zakłada bowiem co do zasady, że funkcje sądownicze są wykonywane w sposób całkowicie, niezależny; sądy nie podlegają żadnej hierarchii służbowej i nie są komukolwiek podporządkowane, ani nie otrzymują nakazów czy wytycznych z jakiegokolwiek źródła, a tym samym są chronione przed jakąkolwiek ingerencją lub naciskami zewnętrznymi mogącymi zaszkodzić niezależności osądu ich członków i wpływać na ich rozstrzygnięcia". TSUE, jak wskazał Sąd, doszedł do wniosku, że czynność/proces sprawowania wymiaru sprawiedliwości nie może i nie jest ograniczona wyłącznie do przetwarzania danych osobowych w ramach konkretnych postępowań sądowych, ale swoim szerokim zakresem obejmuje wszystkie operacje dokonywane w ramach działalności orzeczniczej. Dotyczy to również kodeksowych procedur informowania stron o toku toczącego się, jak również wszczynanego postępowania sądowego. Powyższe oznacza, że zakres rozumienia "sprawowania przez sądy wymiaru sprawiedliwości" jest szeroki i mieści się w nim wszystko, cokolwiek można powiązać z niezawisłością sądów. Powyższe podkreślił również Rzecznik Generalny TSUE (...) w poprzedzającej wspomniany wyrok opinii, gdzie zwrócił uwagę na fakt, iż mogą to być także decyzje, które na pierwszy rzut oka mają charakter administracyjny, ale w rzeczywistości należy je powiązać z orzekaniem, np. nagrywanie rozpraw, transmitowanie ich czy nawet stosowanie środków bezpieczeństwa (v. C-245/20 Opinia Rzecznika Generalnego, TSUE, art. 55, ust. 3 RODO).
Sąd wskazał również, że na tle art. 175 ust. 1 Konstytucji RP przyjmuje się że wymiar sprawiedliwości stanowi wiążące rozstrzyganie sporów o prawo dokonywane przez sąd. Do istoty wymiaru sprawiedliwości należy rozstrzyganie sporów prawnych (sporów ze stosunków prawnych) w ramach szczególnych form postępowania, co regulują przepisy postępowania sądowego cywilnego, karnego (wyrok Trybunału Konstytucyjnego z dnia 9 czerwca 1998 r., sygn. K 28/97, publ. OTK 1998/4/50). Krajowy organ nadzoru nie jest więc uprawniony do kontroli sądów w zakresie, w jakim wykonują one działalność orzeczniczą, przy czym taka działalność obejmuje orzekanie nie tylko w sprawie głównej, lecz także we wszystkich sprawach incydentalnych (wyrok NSA z dnia 26 maja 2020 r., sygn. akt I OSK 1533/19; CBOSA).
W piśmie z dnia 22 września 2022 r. Sąd wskazał, że Prezes UODO nie posiada uprawnień do rozpatrywania sprawy dotyczącej przetwarzania danych osobowych zawartych w ramach sprawowania przez ten Sąd wymiaru sprawiedliwości. Zaznaczył, że działalność orzeczniczą sądów, stanowiącą przejaw sprawowania wymiaru sprawiedliwości, określają przepisy ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz. U. z 2021 r., poz. 1805 ze zm.), dalej: "k.p.c.". Przepisy tej ustawy szczegółowo i kompleksowo regulują czynności dotyczące doręczenia pozwu wraz z załącznikami stronie pozwanej w procesie cywilnym. Tworzą tym samym ramy prawne sprawowania przez sąd wymiaru sprawiedliwości w przedmiocie spraw z zakresu prawa cywilnego. Sąd powołał się także na wyrok TSUE z dnia 24 marca 2022 r. sygn. akt. C-245/20, wskazując, że spod właściwości organu nadzorczego wyłączone są operacje przetwarzania, których nadzorowanie przez organ nadzorczy mogłoby bezpośrednio lub pośrednio wpłynąć na niezależność członków tych sądów lub wpłynąć na ich decyzje. Podkreślił, że sprawowanie wymiaru sprawiedliwości obejmuje czynności związane z doręczeniem stronom pism procesowych, w tym odpisu pozwu stronie pozwanej. Odpis pozwu jest pismem sądowym pozostającym w bezpośrednim związku z postępowaniem sądowym, dla którego przekazania właściwe prawo krajowe przewiduje sformalizowane doręczenie.
Ponadto Sąd wskazał na art. 2051 § 1 i 2 k.p.c., zgodnie z którym przewodniczący zarządza doręczenie pozwu pozwanemu i wzywa go do złożenia odpowiedzi na pozew w wyznaczonym terminie, nie krótszym niż dwa tygodnie. O zarządzeniu doręczenia pozwu zawiadamia się powoda. Sąd zaznaczył, że w okolicznościach sprawy odpis pozwu wraz z załącznikami w sprawie [...] został doręczony pozwanemu zgodnie z zarządzeniem sędziego za pośrednictwem Konsulatu RP, w drodze pomocy prawnej na podstawie art. 1130 i nast. k.p.c. oraz § 37 i nast. rozporządzenia Ministra Sprawiedliwości z dnia 28 stycznia 2002 r. w sprawie szczegółowych czynności sądów w sprawach z zakresu międzynarodowego postępowania cywilnego oraz karnego w stosunkach międzynarodowych (Dz. U. z 2014 r., poz. 1657), dalej: "rozporządzenie MS z dnia 28 stycznia 2002 r.". Rozporządzenie to przewiduje doręczenie korespondencji za pomocą konsulów RP. Korespondencję kierowaną do placówek dyplomatycznych podpisuje sędzia a pismo opatruje się m.in. pieczęcią urzędową (§ 14 ust. 1 i 2 rozporządzenia). Zatem działania sędziego w sprawie [...] w zakresie przetwarzanych danych osobowych, związane z doręczeniem stronie pozwanej odpisu pozwu wraz z załącznikami nastąpiło w ramach sprawowania wymiaru sprawiedliwości, czyli w zakresie nie należącym do kompetencji Prezesa UODO.
Zdaniem Sądu, Prezes UODO nie może ingerować w wewnętrzną organizację pracy Sądu, a w szczególności w zasady obiegu dokumentacji procesowej, skoro obieg ten odbywa się w związku ze sprawowaniem przez sąd wymiaru sprawiedliwości. Sąd, doręczając odpis pozwu wraz z załącznikami stronie pozwanej, działa w ramach sprawowania wymiaru sprawiedliwości, bowiem czynności te mają wymierny wpływ na treść orzeczenia wydanego przez Sąd w postępowaniu. Wobec powyższego w okolicznościach sprawy zasadnym jest umorzenie postępowania ze względu na brak właściwości rzeczowej Prezesa UODO. Zgodnie bowiem z art. 175dd § 1 p.u.s.p. organem nadzorczym wobec Sądu jako administratora danych osobowych przetwarzanych w postępowaniach sądowych w ramach sprawowania wymiaru sprawiedliwości albo realizacji zadań z zakresu ochrony prawnej nie jest Prezes UODO, a jest nim - w stosunku do podległego sądu okręgowego - prezes sądu apelacyjnego. (...) Wykonywanie przez Prezesa UODO - jako organ właściwy w sprawach ochrony danych - nadzoru nad przetwarzaniem danych w zakresie orzekania przez sądy, mogłoby stanowić niedopuszczalną ingerencję w ich działalność orzeczniczą. Brak właściwości rzeczowej organu - Prezesa UODO, który nie jest uprawniony do wydania merytorycznego rozstrzygnięcia w przedmiotowej sprawie, determinuje bezprzedmiotowość postępowania administracyjnego.
Niezależnie od powyższego Sąd wskazał, że zarzut naruszenia ochrony danych osobowych poprzez dostarczenie adresatowi uszkodzonej i niekompletnej korespondencji zawierającej dane osobowe, pozostaje chybiony i bezpodstawny. W sprawie o sygn. [...] sędzia sprawozdawca działając w oparciu o obowiązujące normy prawne pismem z dnia 11 maja 2022 r. zwróciła się do Konsula RP w ramach pomocy prawnej o doręczenie pozwanemu odpisu pozwu wraz z załącznikami (szczegółowo wyliczonymi w piśmie przewodnim). Korespondencji nadano właściwy bieg i skierowano do wysyłki w dniu 3 czerwca 2022 r. - zgodnie z zasadami wynikającymi z rozporządzenia MS z dnia 28 stycznia 2002 r. Konsulat RP w dniu 11 lipca 2022 r. przekazał adresatowi przesyłkę pocztą poleconą za potwierdzeniem odbioru. Zgodnie z informacją dostępną w elektronicznym systemie operatora pocztowego [...], przesyłka została w dniu 23 lipca 2022 r. doręczona adresatowi (brak adnotacji o jakichkolwiek uszkodzeniach w trakcie transportu - zapisy w systemach pocztowych).
Do ww. wyjaśnień Sąd załączył "Raport z naruszenia bezpieczeństwa danych osobowych/informacji z dnia 26 sierpnia 2022 r." opisujący zdarzenie.
Dalej organ wskazał, że w wyniku zdarzenia doszło do powstania naruszenia zarówno poufności jak i dostępności danych (pkt 4E formularza zgłoszenia przesłanego przez MSZ). W ocenie MSZ dotyczyło ono następującego zakresu danych: imienia i nazwiska, adresu zamieszkania lub pobytu, oraz innych informacji związanych z samym postępowaniem sądowym. W piśmie z dnia 22 października 2022 r. Sąd natomiast wyjaśnił, że naruszenie obejmowało dane osobowe siedmiu osób w następującym zakresie: 1) powódki: jej imię i nazwisko, numer PESEL, adres zamieszkania, datę urodzenia, dane zawarte w dokumentacji medycznej, numer konta bankowego, 2) pozwanego: jego imię i nazwisko, numer PESEL, adres zamieszkania, datę urodzenia, wizerunek zawarty na fotografii, 3) dane osobowe dwojga dzieci: ich imiona i nazwiska, numery PESEL, adres zamieszkania, daty urodzenia, dane zawarte w opinii psychologicznej, 4) dane osobowe trzech świadków: ich imiona i nazwiska, numery telefonów, adresy zamieszkania, adresy mailowe (w przypadku dwóch świadków). Sąd oświadczył, że postępowanie sądowe dotyczyło rozwiązania małżeństwa.
Z przesłanego przez Sąd "Raportu z naruszenia ochrony danych osobowych (...)", wynika m.in., że uszkodzona przesyłka dotyczyła pozwu wraz z załącznikami. Operator nie odnotował uszkodzeń w trakcie transportu, jednakże adresat korespondencji zgłosił do Konsulatu RP jej uszkodzenie i niekompletność.
W piśmie z dnia 9 stycznia 2023 r. Sąd, odpowiadając na wezwanie organu z dnia 4 stycznia 2023 r. dotyczące wskazania działań, które pozwoliły Sądowi na stwierdzenie, iż korespondencja nie była ani uszkodzona ani niekompletna, wyjaśnił, że "brak jest (...) jakichkolwiek przesłanek by stwierdzić, że korespondencja została wysłana jako niekompletna, bądź też nie została właściwie zabezpieczona. Dochowane zostały wszystkie procedury wynikające z przepisów kodeksu postępowania cywilnego". Sąd jednak nie wyjaśnił, w jaki sposób stwierdził powyższe.
W aktach sprawy znajdują się trzy zdjęcia przedmiotowej przesyłki wykonane przez jej adresata. Pierwsze zdjęcie ukazuje zapakowaną w folię korespondencję z widocznie rozerwaną papierową kopertą znajdującą się w środku, drugie zdjęcie pokazuje paczkę/korespondencję już bez folii, ale ze znacząco rozerwaną kopertą papierową umożliwiającą wyjęcie wszystkich zawartych w niej dokumentów, zaś trzecie pokazuje jak jej adresat odchyla uszkodzoną kopertę by pokazać jej zawartość. Zdjęcia zostały przesłane organowi przez MSZ.
Uwzględniając powyższe organ wskazał, że przedmiotem postępowania było naruszenie przez Administratora (Sąd) art. 33 oraz art. 34 ust. 1 i 2 RODO, wynikające z niezgłoszenia organowi nadzorczemu naruszenia ochrony danych osobowych oraz niezawiadomienia osób nim objętych w związku z dostarczeniem adresatowi przez operatora pocztowego uszkodzonej i niekompletnej korespondencji zawierającej dane osobowe, wysłanej przez Konsulat Generalny RP na wniosek Sądu Okręgowego w [...]. Organ zbadał, czy zgłoszone przez MSZ zdarzenie stanowiło naruszenie ochrony danych osobowych, jak również czy Prezes UODO jest właściwym organem nadzorczym do weryfikacji prawidłowości przestrzegania przepisów RODO przez Administratora danych objętych ww. zdarzeniem, tj. czy w tym przypadku miało miejsce sprawowanie przez Sąd wymiaru sprawiedliwości lub ochrony prawnej.
Zdaniem organu, z uwagi na to, że zgłoszone przez MSZ zdarzenie polegało na dostarczeniu przez operatora pocztowego do adresata uszkodzonej i niekompletnej przesyłki, doszło do naruszenia ochrony danych osobowych w związku z naruszeniem poufności danych (korespondencja została dostarczona w uszkodzonej kopercie), a także ich dostępności (adresat zgłosił MSZ niekompletność przesyłki). Sąd na żadnym etapie prowadzonego postępowania nie wykazał, aby opisane przez MSZ zdarzenie nie miało miejsca.
Prezes UODO jest organem nadzorczym właściwym do dokonania oceny ww. naruszenia. Dostarczenie korespondencji nie stanowi bowiem sprawowania przez Sąd wymiaru sprawiedliwości, ani ochrony prawnej, lecz techniczną, administracyjną czynność sądu. Tym samym brak jest przesłanki wyłączającej kompetencje Prezesa UODO jako organu nadzorczego.
Powołując art. 55 ust. 3, motyw 20 rozporządzenia 2016/679 oraz art. 175dd § 1 p.u.s.p. organ wskazał, że organami nadzorczymi nad sądami powszechnymi, w ramach sprawowania przez nie wymiaru sprawiedliwości, są: w zakresie działalności sądu rejonowego - prezes sądu okręgowego; sądu okręgowego - prezes sądu apelacyjnego; sądu apelacyjnego - Krajowa Rada Sądownictwa. Natomiast w zakresie spraw, które nie wchodzą w zakres pojęcia "sprawowania wymiaru sprawiedliwości", właściwym organem nadzorczym wobec sądów powszechnych jest Prezes UODO.
Organ stwierdził, że pojęcie sprawowania wymiaru sprawiedliwości w kontekście ram ochrony danych osobowych ustanowionych przez RODO należy rozumieć wąsko. Powołał się przy tym na wyrok Trybunału Konstytucyjnego z dnia 1 grudnia 2008 r., sygn. P 54/07 (publ. OTK-A 2008/10/171), gdzie wskazano, że "zgodnie z dominującym poglądem doktryny prawa wymiar sprawiedliwości stanowi działalność państwa polegającą na sądzeniu, czyli wiążącym rozstrzyganiu sporów o prawo, w których przynajmniej jedną ze stron jest jednostka lub inny podmiot podobny (zob. L. Garlicki, Polskie prawo konstytucyjne. Zarys wykładu, Warszawa 2006, s. 342; Z. Czeszejko-Sochacki, O wymiarze sprawiedliwości w świetle Konstytucji, międzynarodowych standardów i praktyki, "Państwo i Prawo" z. 9/1999, s. 3; S. Włodyka, Ustrój organów ochrony prawnej, Warszawa 1968, s. 16)".
Zdaniem organu, poza sferą orzeczniczą sądy wykonują również działalność administracyjną, której istota sprowadza się do zapewnienia odpowiednich warunków techniczno-organizacyjnych dla wykonywania przez sąd powierzonych mu zadań z zakresu sprawowania wymiaru sprawiedliwości i ochrony prawnej. Zgodnie z art. 8 p.u.s.p. działalność administracyjna sądów polega na: zapewnieniu odpowiednich warunków techniczno-organizacyjnych oraz majątkowych funkcjonowania sądu i wykonywania przez sąd zadań, o których mowa w art. 1 § 2 i 3 (pkt 1); zapewnieniu właściwego toku wewnętrznego urzędowania sądu, bezpośrednio związanego z wykonywaniem przez sąd zadań, o których mowa w art. 1 § 2 i 3 (pkt 2). Tym samym czynności o charakterze stricte technicznym wykonywane przez urzędnika sądowego, a następnie operatora pocztowego, takie jak wysyłanie korespondencji stosownie do zarządzenia lub polecenia sędziego, nie mieszczą się w sferze "sprawowania wymiaru sprawiedliwości", natomiast należą do sfery administracyjnej działalności sądu.
Organ zaznaczył przy tym, że Prezes UODO zajmując się przedmiotową sprawą nie ingeruje w zasady doręczania pism procesowych, ani w to, jakie dokumenty powinny zostać doręczone adresatowi. W zasięgu jego zainteresowania pozostaje wyłącznie utrata poufności danych oraz ich niekompletność (art. 5 ust. 1 lit. f RODO) w następstwie działania operatora pocztowego, co mieści się w zakresie działalności administracyjnej sądu. Stwierdzone nieprawidłowości korespondują z uprawnieniami naprawczymi Prezesa UODO, które nie mają wpływu na toczące się postępowanie (np. nie prowadzą do wstrzymania toczącego się postępowania lub do nakazania usunięcia części zeznań świadka) oraz na naruszenie niezawisłości sądu. Polegają bowiem jedynie na nakazaniu administratorowi dostosowania operacji przetwarzania do przepisów RODO.
Niezależnie od powyższego organ wskazał, że Prezes Sądu Apelacyjnego w [...] w przedmiotowej sprawie nie może zostać uznany za organ nadzorczy nad Sądem. W świetle art. 175dd p.u.s.p. sądowe organy nadzorcze (a więc także Prezes Sądu Apelacyjnego w [...]) nie są uprawnione do przyjmowania zgłoszeń naruszeń ochrony danych osobowych (art. 33 rozporządzenia 2016/679), ani oceny, czy w związku z naruszeniem ochrony danych osobowych wystąpiło wysokie ryzyko naruszenia praw lub wolności osób fizycznych, skutkujące koniecznością zawiadamiania osób, których dane dotyczą, o naruszeniu (art. 34 ww. rozporządzenia).
Dalej organ stwierdził, że badając przedmiotowe zdarzenie ocenił je jako naruszenie poufności (kwestii bezpieczeństwa danych - uszkodzona koperta, do zawartości której mogły mieć dostęp osoby nieuprawnione), jak również dostępności (brak niektórych dokumentów). Nie ma tu przy tym znaczenia, iż zawinił operator pocztowy uszkadzając przesyłkę, bowiem przedmiotem niniejszego postępowania jest brak zgłoszenia naruszenia ochrony danych oraz brak zawiadomienia osób, których dane dotyczą, o naruszeniu ochrony ich danych osobowych.
Organ zaznaczył przy tym, że jest uprawniony do kontrolowania i weryfikowania prawidłowości stosowania przepisów o ochronie danych osobowych, w tym stosowanych zabezpieczeń przez administratora danych (m.in. reakcji administratora na powstałe naruszenie ochrony danych) oraz realizacji obowiązków wynikających z art. 33 i art. 34 rozporządzenia 2016/679. Sposób zabezpieczenia danych osobowych przez Sąd nie podlega kontroli instancyjnej w ramach funkcji orzeczniczej i nie odnosi się do sprawowania wymiaru sprawiedliwości przez sąd. Tym samym podlega kontroli Prezesa UODO, podobnie jak realizacja obowiązków administratora wynikających z ww. przepisów rozporządzenia 2016/679.
Zdaniem organu, jeśli doszło do naruszenia ochrony danych osobowych w związku z administracyjną częścią działalności sądu, to powinno ono zostać zgłoszone w trybie przewidzianym w art. 33 ust. 1 ww. rozporządzenia do Prezesa UODO - jako właściwego organu nadzorczego. Nadto w sytuacji, gdy naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator jest zobowiązany bez zbędnej zwłoki zawiadomić osobę, której dane dotyczą, o takim naruszeniu.
W przedmiotowej sprawie, jak wskazał organ, doszło do naruszenia ochrony danych osobowych siedmiu osób, przy czym wobec czterech z nich powstało wysokie ryzyko naruszenia ich praw lub wolności z uwagi na zakres naruszonych danych osobowych. W przypadku powódki naruszenie obejmowało m.in. jej numer PESEL oraz dane o stanie zdrowia zawarte w dokumentacji medycznej, w przypadku pozwanego jego numer PESEL, a w przypadku dwojga dzieci informacje o ich stanie zdrowia (zawartych w opinii psychologicznej). Dane te zawarte były w dokumentacji przesłanej stronie postępowania rozwodowego. Informację o naruszeniu ochrony danych osobowych organ otrzymał jednak od innego podmiotu niż Administrator.
Sąd Okręgowy dokonał sprawdzenia otrzymanej od MSZ informacji o niekompletnej i uszkodzonej przesyłce wyłącznie w systemie operatora pocztowego, uznając, że brak adnotacji w tym zakresie świadczy o tym, iż nie doszło do incydentu (świadczy o tym "Raport z naruszenia bezpieczeństwa danych osobowych/informacji" z dnia [...] sierpnia 2022 r.). Natomiast Prezes UODO w toku postępowania ustalił, iż otrzymana przez jej adresata koperta wraz z dokumentami była dość istotnie uszkodzona (co potwierdzają zdjęcia przesyłki otrzymane od MSZ). Uszkodzenie koperty umożliwiało zapoznanie się z jej zawartością, tj. dokumentami zawierającymi dane osobowe w ww. zakresie.
Powołując się na "Wytyczne EROD 9/2022 w sprawie zgłaszania naruszeń danych osobowych zgodnie z RODO" oraz "Wytyczne EROD 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych osobowych" organ stwierdził, iż z uwagi na zakres danych objęty przedmiotowym naruszeniem ochrony danych osobowych, w tym numer ewidencyjny PESEL wraz z imieniem i nazwiskiem oraz dane o stanie zdrowia, istnieje wysokie prawdopodobieństwo wystąpienia negatywnych skutków, takich jak: dyskryminacja, kradzież tożsamości lub oszustwo dotyczące tożsamości, straty finansowe, naruszenie dobrego imienia, naruszenie poufności danych osobowych oraz znaczna szkoda gospodarcza lub społeczna.
Uzasadniając powyższe stanowisko organ odwołał się do Wytycznych EROD 01/2021 (przypadek nr 14, punkty 65 i 66), wyroków Wojewódzkiego Sądu Administracyjnego w Warszawie: z dnia 22 września 2021 r. sygn. akt II SA/Wa 791/21, z dnia 1 lipca 2022 r. sygn. akt II SA/Wa 4143/21, z dnia 31 sierpnia 2022 r. sygn. akt II SA/Wa 2993/21 oraz Raportu infoDOK (przygotowanego w ramach prowadzenia społecznej Kampanii Informacyjnej Systemu "Dokumenty Zastrzeżone"). Zaznaczył przy tym, że wykonanie przez Administratora jego obowiązku wynikającego z art. 33 ust. 1 oraz 34 ust. 1 rozporządzenia 2016/679 nie może być uzależniane od zmaterializowania się ryzyka wynikającego z naruszenia praw lub wolności osób fizycznych, których danych dotyczy naruszenie ochrony danych osobowych. Samo wystąpienie naruszenia ochrony danych osobowych, z którym wiąże się ryzyko naruszenia praw lub wolności osób fizycznych, implikuje obowiązek zgłoszenia naruszenia właściwemu organowi nadzorczemu, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.
W analizowanym przypadku wystąpiła możliwość zmaterializowania się doniosłych, negatywnych konsekwencji dla osób, których dane dotyczą, zatem wagę potencjalnego wpływu na prawa lub wolności osoby fizycznej należy uznać za wysoką. Determinowało to obowiązek dokonania zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu oraz zawiadomienia o naruszeniu osób objętych naruszeniem ochrony danych osobowych. Biorąc pod uwagę charakter naruszenia oraz kategorie danych (imię, nazwisko, PESEL), które uległy naruszeniu, Administrator powinien wskazać osobie, której dane dotyczą, najbardziej prawdopodobne, negatywne konsekwencje naruszenia jej danych osobowych, tj. możliwą kradzież lub sfałszowanie tożsamości poprzez uzyskanie przez osoby trzecie, na szkodę osoby, której dane naruszono, pożyczki w instytucjach pozabankowych bądź wyłudzenia ubezpieczenia lub środków z ubezpieczenia, co może spowodować negatywne konsekwencje związane z próbą przypisania osobie, której dane dotyczą, odpowiedzialności za dokonanie takiego oszustwa. Opis możliwych konsekwencji powinien bowiem odzwierciedlać ryzyko naruszenia praw lub wolności tej osoby tak, aby umożliwić jej podjęcie niezbędnych działań zapobiegawczych. Natomiast w przypadku pozostałych danych objętych naruszeniem ochrony danych osobowych, Administrator powinien wskazać: dyskryminację, naruszenie dóbr osobistych, pomawianie albo inną formę prześladowania tych osób, z uwagi na ujawnione dane o stanie zdrowia.
Organ podkreślił, iż zawiadamiając bez zbędnej zwłoki podmiot danych, Administrator umożliwia osobie podjęcie niezbędnych działań zapobiegawczych w celu ochrony praw lub wolności przed negatywnymi skutkami naruszenia. Natomiast podejmując decyzję o niezawiadomieniu o naruszeniu organu nadzorczego, jak i osób, których dane dotyczą, Administrator w praktyce pozbawił te osoby przekazanej bez zbędnej zwłoki, rzetelnej informacji o naruszeniu ochrony danych osobowych i możliwości przeciwdziałania potencjalnym szkodom.
Inspektor ochrony danych Sądu błędnie ocenił poziom ryzyka naruszenia praw lub wolności osób fizycznych w związku z przedmiotowym naruszeniem ochrony danych osobowych. Wskazał bowiem, że z uwagi na to, że dokumenty zostały sporządzone w języku polskim a wysłane do [...], to nie powoduje to powstania wysokiego ryzyka w tym zakresie. Jednakże okoliczność, że dokumenty zawierające dane osobowe były sporządzone w języku polskim i wysłane do kraju, w którym językiem podstawowym jest język angielski, nie obniża poziomu tego ryzyka. W dobie instrumentów pozwalających na szybkie tłumaczenie całych dokumentów, jak również z uwagi na fakt, iż w [...] spora część mieszkańców posługuje się językiem polskim, nie można przyjmować, że okoliczność ta pozwala na obniżenie poziomu ryzyka.
Organ podkreślił, iż bez znaczenia pozostaje okoliczność, że za dostarczenie ww. dokumentacji odpowiadał operator pocztowy. Uszkodzenie dokumentów, czy też zagubienie ich części przez operatora pocztowego, rodzi po stronie Administratora (Sądu) określone obowiązki wynikające z przepisów RODO, a ich niedopełnienie skutkuje odpowiedzialnością Administratora, co implikuje zastosowanie przez organ uprawnień naprawczych.
Z tych względów, obok nałożenia obowiązków określonych w punktach 1 - 3 sentencji decyzji organ stwierdził podstawy do nałożenia na Administratora administracyjnej kary pieniężnej w oparciu o art. 83 ust. 4 lit. a rozporządzenia 2016/679 biorąc pod uwagę, stosownie do art. 83 ust. 2 lit. a - k rozporządzenia, niżej wymienione okoliczności:
1) Charakter, waga i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczba poszkodowanych osób, których dane dotyczą, oraz rozmiar poniesionej przez nie szkody (art. 83 ust. 2 lit. a rozporządzenia 2016/679).
Organ wskazał, że stwierdzone w niniejszej sprawie naruszenie ma znaczną wagę i poważny charakter. Brak zawiadomienia osób, których dane dotyczą, o naruszeniu ochrony ich danych osobowych może doprowadzić do szkód majątkowych lub niemajątkowych, a prawdopodobieństwo ich wystąpienia jest wysokie. Informacje zawarte w korespondencji dotyczą sytuacji rodzinnej osób objętych naruszeniem, a więc świadczą o osobistym charakterze tych informacji. To z kolei ma wpływ na poziom ryzyka naruszenia praw lub wolności osób objętych naruszeniem. Za okoliczność obciążającą organ uznał długi czas trwania naruszenia. Od powzięcia przez Administratora informacji o naruszeniu ochrony danych osobowych (1 sierpnia 2022r., tj. data doręczenia pisma Konsulatu RP z dnia 25 lipca 2022 r.) do dnia wydania niniejszej decyzji upłynęło 16 miesięcy, w trakcie których (wysokie) ryzyko naruszenia praw lub wolności czterech osób mogło się zrealizować, a któremu to ryzyku osoby te nie mogłyby przeciwdziałać ze względu na niewywiązanie się przez Administratora z obowiązku powiadomienia ich o naruszeniu.
2) Umyślny charakter naruszenia (art. 83 ust. 2 lit. b rozporządzenia 2016/679).
Administrator podjął świadomą decyzję, by nie zawiadamiać o naruszeniu ochrony danych osobowych Prezesa UODO, jak i osób, których dane dotyczą pomimo faktu, że Prezes UODO w pierwszej kolejności informował Administratora o obowiązkach ciążących na administratorze w związku z naruszeniem ochrony danych. Samo wszczęcie przez organ postępowania w przedmiocie obowiązku zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu i zawiadomienia o naruszeniu osób, których dane dotyczą, powinno nasunąć Administratorowi co najmniej wątpliwości co do słuszności przyjętego przez niego stanowiska.
3) Kategorie danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g rozporządzenia 2016/679).
Naruszenie ochrony danych osobowych swoim zakresem objęło dane osobowe siedmiu osób, z czego w przypadku czterech wystąpiło wysokie ryzyko naruszenia ich praw lub wolności. Postępowanie sądowe dotyczyło rozwiązania małżeństwa. Zakres danych świadczy o powstaniu wysokiego poziomu ryzyka naruszenia praw lub wolności tych osób, w szczególności z uwagi na numer PESEL oraz informacje o stanie zdrowia - dane objęte szczególną ochroną na gruncie art. 9 rozporządzenia.
Inne, niżej wskazane okoliczności, o których mowa w art. 83 ust. 2 rozporządzenia 2016/679, po dokonaniu oceny ich wpływu na stwierdzone w niniejszej sprawie naruszenie, zostały przez Prezesa UODO uznane za neutralne, tj. nie mające ani obciążającego ani łagodzącego wpływu na wymiar orzeczonej administracyjnej kary pieniężnej.
1) Działania podjęte przez administratora w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą (art. 83 ust. 2 lit. c rozporządzenia 2016/679).
Na podstawie zgromadzonego w sprawie materiału dowodowego nie stwierdzono podjęcia przez Administratora takich działań.
2) Stopień odpowiedzialności administratora z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez niego na mocy art. 25 i art. 32 (art. 83 ust. 2 lit. d rozporządzenia 2016/679).
Naruszenie oceniane w niniejszym postępowaniu nie ma związku ze stosowanymi przez administratora środkami technicznymi i organizacyjnymi.
3) Wcześniejsze naruszenia przepisów RODO ze strony administratora (art. 83 ust. 2 lit. e rozporządzenia 2016/679).
Prezes UODO nie stwierdził jakichkolwiek, dokonanych przez Administratora, wcześniejszych naruszeń przepisów o ochronie danych osobowych, co jednak nie może mieć wpływu łagodzącego na dokonaną przez Prezesa UODO ocenę naruszenia.
4) Stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych, negatywnych skutków (art. 83 ust. 2 lit. f rozporządzenia 2016/679).
W toku postępowania wyjaśniającego oraz w toku wszczętego postępowania administracyjnego Administrator udzielał na wezwania organu nadzorczego odpowiedzi mających na celu wyjaśnienie wszelkich okoliczności związanych z naruszeniem ochrony danych osobowych.
5) Sposób w jaki organ nadzorczy dowiedział się o naruszeniu (art. 83 ust. 2 lit. h rozporządzenia 2016/679).
O zaistnieniu naruszenia ochrony danych osobowych, tj. o doręczeniu przez operatora pocztowego adresatowi uszkodzonej i niekompletnej przesyłki, Prezes UODO został poinformowany przez MSZ, a nie przez Administratora. Brak dopełnienia obowiązku z art. 33 i art. 34 rozporządzenia 2016/679 jest jednak jedynym przedmiotem niniejszego postępowania, zatem przesłanka ta nie stanowi okoliczności obciążającej.
6) Przestrzeganie wcześniej zastosowanych w tej samej sprawie środków, o których mowa w art. 58 ust. 2 RODO (art. 83 ust. 2 lit. i rozporządzenia 2016/679).
Przed wydaniem przedmiotowej decyzji Prezes UODO nie stosował wobec Administratora żadnych środków wymienionych w art. 58 ust. 2 rozporządzenia 2016/679. Administrator nie miał obowiązku podejmowania żadnych działań związanych z ich stosowaniem, a które to działania, poddane ocenie Prezesa UODO, mogłyby mieć obciążający lub łagodzący wpływ na ocenę stwierdzonego naruszenia.
7) Stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42 rozporządzenia 2016/679 (art. 83 ust 2 lit. j rozporządzenia 2016/679).
Administrator nie stosuje instrumentów, o których mowa w art. 40 i art. 42 rozporządzenia. Ich przyjęcie, wdrożenie i stosowanie nie jest jednak obowiązkowe dla administratorów i podmiotów przetwarzających, w związku z czym okoliczność ich niestosowania nie może być w niniejszej sprawie poczytana na niekorzyść Administratora. Natomiast na korzyść Administratora mogłaby być uwzględniona okoliczność przyjęcia i stosowania tego rodzaju instrumentów jako środków gwarantujących wyższy niż standardowy poziom ochrony przetwarzanych danych osobowych.
8. Osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty (art. 83 ust. 2 lit. k rozporządzenia 2016/679).
Prezes UODO nie stwierdził, aby Administrator w związku z naruszeniem odniósł jakiekolwiek korzyści finansowe lub uniknął tego rodzaju strat. Brak jest więc podstaw do traktowania tej okoliczności jako obciążającej Administratora.
9. Inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy (art. 83 ust. 2 lit. k rozporządzenia 2016/679).
Prezes UODO nie odnotował innych, niż opisane powyżej, okoliczności mogących mieć wpływ na ocenę naruszenia i na wysokość orzeczonej administracyjnej kary pieniężnej.
W ocenie Prezesa UODO zastosowana administracyjna kara pieniężna spełnia funkcje, o których mowa w art. 83 ust. 1 rozporządzenia - jest skuteczna, proporcjonalna i odstraszająca i ma charakter represyjny, bowiem stanowić będzie odpowiedź na naruszenie przez Administratora przepisów rozporządzenia. Spełniać będzie również funkcję prewencyjną, bowiem zwróci uwagę - zarówno Administrata, jak i innych administratorów danych - na naganność lekceważenia obowiązków związanych z zaistnieniem naruszenia ochrony danych osobowych, a mających na celu zapobieżenie jego negatywnym skutkom, a także ich usunięcie lub przynajmniej ograniczenie.
Końcowo organ wskazał, że zgodnie z art. 33 ust. 5 rozporządzenia 2016/679 administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu na weryfikowanie przestrzegania niniejszego przepisu. Z uwagi na to, że Administrator przedłożył w toku postępowania dokument oznaczony jako "Raport z naruszenia bezpieczeństwa danych osobowych informacji z dnia [...] sierpnia 2022 r." organ uznał, iż Administrator prowadzi dokumentację związaną z naruszeniami ochrony danych osobowych, w tym dokumentację dotyczącą przedmiotowego naruszenia ochrony danych osobowych. Wprawdzie zawarta w nim ocena zdarzenia jest nieprawidłowa, jednakże nie może to stanowić zarzutu naruszenia ww. przepisu rozporządzenia. Postępowanie w tym zakresie podlegało zatem umorzeniu jako bezprzedmiotowe na podstawie art. 105 § 1 k.p.a.
Pismem z dnia 18 stycznia 2024 r. Sąd Okręgowy w [...] wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa UODO z dnia [...] grudnia 2023 r., zaskarżając ją w całości, zarzucając naruszenie:
1) art. 7, art. 77 § 1 oraz art. 80 k.p.a. polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego, niepodjęcie wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz załatwienie sprawy poprzez niewyjaśnienie wszystkich okoliczności istotnych dla rozstrzygnięcia i jego oparcie na niepełnym materiale dowodowym, a mianowicie:
a) niewyjaśnienie na jakim etapie doszło do uszkodzenia korespondencji skierowanej do pozwanego w związku z realizacją wniosku sędziego o udzielenie pomocy prawnej z dnia [...] maja 2022 r. w sprawie o sygn. akt [...] i oparcie rozstrzygnięcia w tej kwestii jedynie na informacji adresata (pozwanego), że doręczono mu uszkodzoną przesyłkę, a tym samym niewystarczające ustalenie, iż w sprawie doszło do naruszenia danych osobowych,
b) niewyjaśnienie jakie dokładnie dokumenty zawierała uszkodzona korespondencja skierowana do pozwanego w związku z realizacją wniosku sędziego o udzielenie pomocy prawnej z dnia [...] maja 2022 r. w sprawie o sygn. akt [...]oraz jaki był skutek procesowy wykonania tego wniosku w sytuacji, gdy wskazana korespondencja zawierała pozew o rozwód, wezwanie do złożenia odpowiedzi na pozew, pouczenia i odpis postanowienia Sądu z dnia [...] maja 2022 r. z pouczeniem, a na skutek wykonania odezwy sędzia w sprawie o sygn. akt [...] uznał skuteczność doręczenia i skierował akta na kalendarz do złożenia odpowiedzi na pozew, tym samym zgłoszenie zdarzenia naruszenia danych osobowych, złożone przez Ministra Spraw Zagranicznych, polegającego na "dostarczeniu adresatowi przez operatora pocztowego [...] uszkodzonej i niekompletnej korespondencji zawierającej dane osobowe, wysłanej przez Konsulat Generalny RP w [...] na wniosek Sądu Okręgowego w [...] (...)" nastąpiło w związku z niezawisłym sprawowaniem wymiaru sprawiedliwości albo realizacją zadań z zakresu ochrony prawnej albowiem korespondencja ta zawierała pisma sądowe i procesowe ekspediowane do strony pozwanej w ramach toczącego się postępowania o rozwód, a ich doręczenie wywołało skutki prawne wynikające z przepisów Kodeksu postępowania cywilnego,
2) art. 7 ust. 1 i 2, art. 60, art. 102 ust. 1 pkt 1 i ust. 3 u.o.d.o. oraz art. 57 ust. 1 lit. a, h, art. 58 ust. 2 lit. e, i, art. 83 ust. 1 i 2, art. 83 ust. 4 lit. a w związku z art. 33 ust. 1, ust. 3 i ust. 5 oraz art. 34 ust. 1, ust. 2 i ust. 4 rozporządzenia 2016/679 poprzez ich błędną wykładnię i zastosowanie w sprawie, polegające na przyjęciu, że Prezes UODO jest organem właściwym do rozpoznania sprawy ze zgłoszenia zdarzenia naruszenia danych osobowych złożonego przez Ministra Spraw Zagranicznych polegającego na "dostarczeniu adresatowi przez operatora pocztowego [...] uszkodzonej i niekompletnej korespondencji zawierającej dane osobowe, wysłanej przez Konsulat Generalny RP w [...] na wniosek Sądu Okręgowego w [...] (...)", podczas gdy zdarzenie to nastąpiło w związku z niezawisłym sprawowaniem wymiaru sprawiedliwości albo realizacją zadań z zakresu ochrony prawnej przez Sąd Okręgowy w [...], a tym samym Prezes UODO nie jest właściwym organem nadzorczym do weryfikowania prawidłowości przestrzegania przepisów RODO przez administratora danych i nałożenia administracyjnej kary pieniężnej,
3) art. 55 ust. 3 rozporządzenia 2016/679 poprzez jego błędną wykładnię i zastosowanie w sprawie, polegające na przyjęciu, że doręczenie korespondencji sądowej w postaci pozwu wraz z załącznikami (wezwaniem do złożenia odpowiedzi na pozew, odpisem postanowienia Sądu z dnia [...] maja 2022 r. wraz z pouczeniem) nie stanowi sprawowania przez Sąd Okręgowy w [...] wymiaru sprawiedliwości ani zadań z zakresu ochrony prawnej, lecz jest techniczną, administracyjną czynnością Sądu, podczas gdy doręczenie tej korespondencji nastąpiło na wniosek sędziego z dnia [...] maja 2022 r. o udzielnie pomocy prawnej poprzez doręczenie dokumentów pozwanemu w ramach prowadzonego postępowania o sygn. [...] z powództwa U.O. przeciwko M. O. o rozwód zgodnie z przepisami k.p.c. (art. 1134 k.p.c.), rozporządzeniem MS z dnia 28 stycznia 2002 r. (§ 37 i nast.) oraz ustawą Prawo konsularne (26 ust. 1 ustawy),
4) art. 175dd § 1 pkt 2, § 2 pkt 1 w związku z art. 175db, art. 175da p.u.s.p. poprzez ich niezastosowanie w sprawie i uznanie, że nadzór nad przetwarzaniem danych osobowych w związku ze zgłoszeniem zdarzenia naruszenia danych osobowych złożonym przez Ministra Spraw Zagranicznych polegającym na "dostarczeniu adresatowi przez operatora pocztowego [...] uszkodzonej i niekompletnej korespondencji zawierającej dane osobowe, wysłanej przez Konsulat Generalny RP w [...] na wniosek Sądu Okręgowego w [...] (...)" sprawuje Prezes UODO, podczas gdy nadzór ten wykonuje Prezes Sądu Apelacyjnego w [...] jako organ uprawniony do jego sprawowania w postępowaniach sądowych w ramach sprawowania wymiaru sprawiedliwości albo realizacji zadań z zakresu ochrony prawnej.
W związku z powyższymi zarzutami strona skarżąca wniosła o:
- uchylenie zaskarżonej decyzji w całości i umorzenie postępowania na podstawie art. 145 § 1 pkt 1 lit. a, c oraz § 3 ustawy z dnia 30 sierpnia 2002 Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 1634 ze zm.), dalej: "p.p.s.a.", - zasądzenie od organu kosztów postępowania według norm prawem przepisanych na podstawie art. 200 p.p.s.a.
Nadto strona skarżąca wniosła o dopuszczenie i przeprowadzenie dowodu z:
a) wniosku sędziego z dnia [...] maja 2022 r. o udzielnie pomocy prawnej przez Konsulat Generalny RP w [...] w sprawie o sygn. akt [...],
b) pisma Przewodniczącego [...] Wydziału [...] z dnia 30 maja 2022r. w sprawie o sygn. akt [...],
c) pisma Wiceprezesa Sądu Okręgowego w [...] z dnia 2 sierpnia 2022 r. nr. [...],
d) zarządzenia sędziego z dnia 10 sierpnia 2022 r. sygn. akt [...].
W motywach skargi podniesiono w szczególności, że Prezes UODO w sposób dowolny i nie poparty żadnymi wyjaśnieniami uznał, że do uszkodzenia korespondencji ekspediowanej pozwanemu z wniosku sędziego o pomoc prawną z dnia [...] maja 2022r. sygn. akt [...] doszło na etapie doręczenia przesyłki pozwanemu. Wniosek taki organ wywiódł li tylko na podstawie twierdzeń samego adresata (pozwanego), któremu operator angielski – [...] - doręczył korespondencję w dniu 23 lipca 2022 r. Organ nie podjął żadnych kroków w celu weryfikacji twierdzeń adresata korespondencji, a przecież nie można wykluczyć, że do jej uszkodzenia doszło już po doręczeniu pism adresatowi. Jak wynika z pisma Konsulatu RP z dnia 25 lipca 2022 r. korespondencja w dniu 11 lipca 2022 r. została przekazana adresatowi pocztą poleconą za potwierdzeniem odbioru. Brak przy tym informacji o jakimkolwiek naruszeniu korespondencji na tym etapie jej doręczenia. Zgodnie z informacją dostępną w elektronicznym systemie operatora pocztowego [...] przesyłkę doręczono adresatowi w dniu 23 lipca 2022 r. Przy czym nie bez znaczenia pozostaje, iż adresat dopiero dwa dni później, tj. w dniu 5 lipca 2022 r., zgłosił do Konsulatu, iż przesyłkę doręczono uszkodzoną i niekompletną. Organ nie ustalił, ani nawet nie podjął żadnych prób ustalenia dlaczego adresat zgłosił naruszenie po kilku dniach, czy adresat zgłaszał to zdarzenie również operatorowi pocztowemu [...], czy operator zagraniczny prowadził jakiekolwiek wyjaśnienia w tym względzie, a jeśli tak, jakie były jego ustalenia. Organ nie ustalił również czy Urząd Konsularny dokonał jakichkolwiek wyjaśnień, reklamacji odnośnie doręczenia wskazanej korespondencji. Tymczasem zaangażowanie urzędów konsularnych uwalnia sądy od potrzeby samodzielnego weryfikowania pod względem formalnym prawidłowości doręczeń przez zagranicznych operatorów pocztowych (w tym analizowania potwierdzeń odbioru, odczytywania adnotacji doręczycieli na przesyłkach, procedowania z reklamacjami). Korzystając z pośrednictwa konsulów ciężar ten spoczywa na urzędzie konsularnym, który jest zobowiązany nie tylko do faktycznego przesłania pism, ale także do urzędowego poinformowania o szczegółowym sposobie wykonania czynności (v. R. Kowalska, Czynności Konsulów na wniosek organów wymiaru sprawiedliwości, Gdańskie Studia Prawnicze 2019, nr 2). Tym samym Organ nie mając ku temu dostatecznych podstaw dowodowych i opierając się wyłącznie na informacji powziętej od samego adresata oraz wykonanych przez niego zdjęć przesyłki przyjął, że w okolicznościach sprawy doszło do naruszenia danych osobowych.
Organ nie wyjaśnił również jakie dokładnie dokumenty zawierała uszkodzona korespondencja skierowana do pozwanego w związku z realizacją wniosku sędziego o udzielenie pomocy prawnej z dnia [...] maja 2022 r. w sprawie o sygn. akt [...] oraz jaki był skutek procesowy wykonania tego wniosku. Tymczasem z wniosku o udzielenie pomocy prawnej wynika, iż przesyłka zawierała pozew o rozwód, wezwanie do złożenia odpowiedzi na pozew, pouczenia i odpis postanowienia Sądu z dnia [...] maja 2022 r. z pouczeniem. Ekspediowana korespondencja zawierała zatem pisma sądowe i procesowe stworzone na potrzeby konkretnego postępowania sądowego. Ich doręczenie wywołało skutki prawne wynikające z przepisów k.p.c. Sąd uznał skuteczność doręczenia pozwu stronie pozwanej (art. 131 i nast., art. 2051 i nast. k.p.c.) wraz ze wszystkimi konsekwencjami procesowymi takiego stanu rzeczy.
Dalej wskazano, że Prezes UODO nie posiada uprawnień do rozpatrywania przedmiotowej sprawy jako dotyczącej przetwarzania danych osobowych w ramach sprawowania przez SO w [...] wymiaru sprawiedliwości. Powołując się na wyrok TSUE z dnia 24 marca 2022 r. wydany w sprawie [...] strona skarżąca podkreśliła, że spod właściwości organu nadzorczego wyłączone są operacje przetwarzania, których nadzorowanie przez organ nadzorczy mogłoby bezpośrednio lub pośrednio wpłynąć na niezależność członków tych sądów lub wpłynąć na ich decyzje.
Niezawisłe sprawowanie wymiaru sprawiedliwości obejmuje czynności wykonywane na zarządzenie sędziego w konkretnej sprawie sądowej związane z doręczeniem stronom pism procesowych, w tym odpisu pozwu wraz z pouczeniami i załącznikami. Jest to bowiem czynność procesowa niezawisłego sędziego związana z zarządzaniem procesem orzekania. Odpis pozwu jest pismem sądowym pozostającym w bezpośrednim związku z postępowaniem sądowym, dla którego przekazania właściwe prawo krajowe przewiduje sformalizowane doręczenie. Przepisy o doręczeniach mają charakter obligatoryjny i w związku z tym wyłączają swobodną dyspozycję stron w zakresie określania sposobu doręczenia pism procesowych.
Dalej powołano przepisy k.p.c. o doręczeniach (Tytuł VI, Dział I, Rozdział II) oraz organizacji postępowania (Dział II, Rozdział 2a) podkreślając, że zasady związane z obowiązkiem doręczenia odpisu pozwu stronie pozwanej i konsekwencje z tym związane określone są w k.p.c. i stanowią integralną część prawa procesowego. Doręczenie odpisu pozwu pozwanemu następuje na zarządzenie przewodniczącego, w ramach konkretnego postępowania sądowego, a więc w granicach sprawowania wymiaru sprawiedliwości. Złożenie odpowiedzi na pozew po upływie terminu zakreślonego w zarządzeniu przewodniczącego skutkuje jej zwrotem. Zwrot odpowiedzi na pozew następuje w formie zarządzenia przewodniczącego. W przypadku zwrotu odpowiedzi na pozew sąd będzie mógł na podstawie art. 339 § 1 k.p.c. wydać wyrok zaoczny na posiedzeniu niejawnym. Wówczas sąd przyjmuje za prawdziwe twierdzenia powoda o faktach zawarte w pozwie lub pismach procesowych doręczonych pozwanemu przed posiedzeniem, chyba że budzą one uzasadnione wątpliwości albo zostały przytoczone w celu obejścia prawa (art. 339 k.p.c.). Doręczenie odpisu pozwu stronie pozwanej stanowi składową realizacji praw strony w procesie cywilnym, albowiem wraz z jego doręczeniem następuje zawiśnięcie sporu, strona pozwana dowiaduje się o roszczeniu i terminie do przedstawienia twierdzeń, faktów i dowodów na poparcie swojego stanowiska w sprawie.
W okolicznościach sprawy odpis pozwu wraz z załącznikami (odpisem postanowienia z dnia [...] maja 2022 r. z pouczeniem, wezwaniem do złożenia odpowiedzi na pozew, pouczeniem) w sprawie o sygn. akt [...] został doręczony pozwanemu zgodnie z zarządzeniem sędziego za pośrednictwem Konsulatu Generalnego RP w [....], w drodze pomocy prawnej na podstawie art. 1130 i nast. k.p.c. oraz § 37 i nast. rozporządzenia MS z dnia 28 stycznia 2002 r.
Sędzia referent w sprawie o sygn. [...] po przedstawieniu przez Wiceprezesa Sądu Okręgowego w [...] korespondencji zagranicznej nadesłanej przez Konsulat Generalny RP w [...], związanej w wykonaniem wniosku o udzielnie pomocy prawnej, "skierował akta na kalendarz 3 miesiące" celem złożenia odpowiedzi na pozew przez pozwanego. Tym samym sędzia uznał skuteczność doręczenia pozwu, co miało znaczenie procesowe w kontekście przebiegu tej sprawy. Nastąpiło bowiem wdanie się w spor pomiędzy stronami wraz ze wszystkimi skutkami jakie przepisy k.p.c. wiążą z tym stanem. Sama czynność techniczna związana z adresowaniem korespondencji przez urzędnika sądowego i jej skierowanie do ekspedycji, czy też sam proces jej przesłania, nie mogą zostać rozważane w oderwaniu od procesu sądowego, w ramach którego są wykonywane, a zatem w oderwaniu od sprawowania wymiaru sprawiedliwości. Czynności te, choć mające charakter techniczny, są wykonywane na zarządzenie sędziego zgodnie z przepisami procedury cywilnej w ramach konkretnego postępowania sądowego a ich skutek w postaci skutecznego doręczenia (bądź jego braku) ma odzwierciedlenie w dalszym przebiegu procesu.
Sprawowania wymiaru sprawiedliwości nie można odnosić wyłącznie do wydawanych przez niezawisły sąd rozstrzygnięć, lecz do wszystkich czynności niezawisłego sądu wykonywanych zgodnie i w ramach przepisów postępowania cywilnego - począwszy od doręczenia pozwu stronie przeciwnej, przez postępowanie dowodowe, po wyrokowanie. Niedopuszczalna pozostaje zatem przyjęta przez Prezesa UODO wąska interpretacja sprawowania wymiaru sprawiedliwości, z której należałoby wyłączyć czynności techniczne, administracyjne związane z wysyłką korespondencji sądowej, wykonywane przez urzędnika sądowego a następnie operatora pocztowego. Prezes UODO nie może ingerować także w proces doręczenia pozwanemu odpisu pozwu wraz z załącznikami (stanowiącymi niejednokrotnie część materiału dowodowego), jest to bowiem element zarządzania procesem orzekania.
Wobec powyższego badanie przez Prezesa UODO czy administrator rzekomo naruszył przepisy o ochronie danych osobowych, czy też nie dopełnił obowiązków wynikających z art. 33 i art. 34 ust. 1 i 2 rozporządzenia 2016/679, pozostaje bezprzedmiotowe. Brak właściwości rzeczowej organu - Prezesa UODO, który nie jest uprawniony do wydania merytorycznego rozstrzygnięcia w przedmiotowej sprawie, determinuje bezprzedmiotowość postępowania administracyjnego.
W odpowiedzi na skargę Prezes UODO wniósł o oddalenie skargi podtrzymując stanowisko jak w zaskarżonej decyzji.
Odnosząc się do zarzutów skargi organ podniósł, że etap uszkodzenia przesyłki (a także to jakie konkretnie dokumenty znajdowały się w przesyłce) nie ma znaczenia dla oceny zdarzenia, skoro ostatecznie przesyłka dotarła do adresata uszkodzona i niekompletna, a Sąd w odpowiedzi na wezwanie organu wskazał zakres danych objętych naruszeniem, co oznacza naruszenie poufności danych, które znajdowały się w wysłanych dokumentach. Znaczenie natomiast ma to, że Administrator nie podjął działań w celu wyjaśnienia zgłaszanych przez stronę postępowania sądowego (i przekazanych przez Konsulat RP) zarzutów co do kompletności przesyłki i jej uszkodzeń. Sąd ograniczył się wyłącznie do sprawdzenia informacji w systemie operatora pocztowego uznając, że inne czynności w tej sytuacji są zbędne. Tymczasem znajdujące się w aktach sprawy zdjęcia wyraźnie wskazują na takie uszkodzenia przesyłki, które umożliwiają osobie nieuprawnionej wyjęcie znajdujących się w niej dokumentów i zapoznanie się z nimi.
Chybiony jest zarzut strony skarżącej, iż Prezes UODO nie wyjaśnił przyczyn poinformowania nadawcy przez adresata korespondencji o jej uszkodzeniu czy braku kompletności dopiero po dwóch dniach. Zbadanie tej kwestii, jako należącej do wyłącznych obowiązków Administratora danych związanych z dokumentowaniem okoliczności naruszenia ochrony danych osobowych (stosownie do art. 33 ust. 5 RODO) powinno znaleźć swoje odzwierciedlenie w dokumencie wytworzonym przez Sąd. Tymczasem z przedłożonego "Raportu z naruszenia bezpieczeństwa danych osobowych/informacji z dnia 26 sierpnia 2022 r." w żaden sposób nie wynika, by ta kwestia była przedmiotem jakichkolwiek ustaleń Administratora. W konsekwencji, zasadnym jest stwierdzenie, że Sąd swój wniosek o braku konieczności zgłoszenia naruszenia ochrony danych osobowych Prezesowi UODO oparł nie na rzeczywistych i kompletnych ustaleniach będących rezultatem rzetelnie przeprowadzonego postępowania wyjaśniającego, ale na swoim przekonaniu o rzekomym braku kompetencji Prezesa UODO w tym zakresie.
Wbrew stanowisku strony skarżącej Prezes UODO jest właściwym organem nadzorczym w niniejszej sprawie. Dostarczenie korespondencji nie stanowi bowiem sprawowania przez Sąd wymiaru sprawiedliwości ani ochrony prawnej, lecz techniczną, administracyjną czynność sądu. Zajmując się przedmiotową sprawą Prezes UODO nie ingeruje w zasady doręczania pism procesowych, ani w to, jakie dokumenty powinny zostać doręczone adresatowi. W zasięgu zainteresowania organu nadzorczego pozostaje wyłącznie utrata poufności danych oraz ich niekompletność w następstwie działania operatora pocztowego, co mieści się w zakresie działalności administracyjnej sądu. Tym samym kompetencje Prezesa UODO nie naruszają niezawisłości sędziowskiej, bowiem nie dotyczą kompetencji sędziego w prowadzonym postępowaniu.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2022 r., poz. 2492) oraz art. 3 § 1 p.p.s.a., sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego.
W myśl art. 134 § 1 i 2 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności.
Skarga oceniana w świetle powyższych kryteriów zasługuje na uwzględnienie, bowiem zaskarżona decyzja Prezesa UODO z dnia [...] grudnia 2023 r. została wydana z naruszeniem prawa.
Jak wynika z uzasadnienia tejże decyzji, została ona wydana na skutek stwierdzenia przez Prezesa UODO, że zgłoszone przez Ministra Spraw Zagranicznych zdarzenie, polegające na dostarczeniu adresatowi uszkodzonej i niekompletnej przesyłki, stanowiło naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 rozporządzenia 2016/679, a także, że w związku z dokonanym zgłoszeniem Prezes UODO jest właściwym organem nadzorczym do weryfikacji prawidłowości przestrzegania przepisów RODO przez Administratora danych - Sąd Okręgowy w [...]. Jednocześnie organ przyjął, że w sprawie nie ma zastosowania art. 55 ust. 3 ww. rozporządzenia, bowiem pojęcie "sprawowania wymiaru sprawiedliwości" w rozumieniu ww. przepisu należy rozumieć wąsko, jako "działalność państwa polegającą na sądzeniu, czyli wiążącym rozstrzyganiu sporów o prawo", a doręczanie korespondencji przez Sąd nie stanowi sprawowania wymiaru sprawiedliwości, lecz administracyjną, techniczną czynność Sądu.
Strona skarżąca prezentowała stanowisko przeciwne wywodząc, że zgłoszone przez MSZ zdarzenie, stanowiące rzekome naruszenie ochrony danych osobowych, nastąpiło w związku ze sprawowaniem wymiaru sprawiedliwości przez niezawisły Sąd. Zatem Prezes UODO nie jest właściwym organem nadzorczym do weryfikowania prawidłowości przestrzegania przepisów rozporządzenia 2016/679 przez Administratora danych osobowych - Sąd Okręgowy w [...], o czym stanowi art. 55 ust. 3 rozporządzenia 2016/679.
W ocenie Sądu stanowisko strony skarżącej jest prawidłowe z powodów poniżej przedstawionych.
Zgodnie z art. 175 Konstytucji Rzeczypospolitej Polskiej wymiar sprawiedliwości w Rzeczypospolitej Polskiej sprawują Sąd Najwyższy, sądy powszechne, sądy administracyjne oraz sądy wojskowe.
Sprawowanie wymiaru sprawiedliwości jest emanacją prawa każdego człowieka do sądu, wyrażonym zarówno w prawie krajowym, jak i w aktach prawa międzynarodowego. Stosownie bowiem do art. 45 Konstytucji RP, każdy ma prawo do sprawiedliwego i jawnego rozpatrzenia sprawy bez nieuzasadnionej zwłoki przez właściwy, niezależny, bezstronny i niezawisły sąd. Z kolei w świetle art. 6 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności, sporządzonej w Rzymie w dniu 4 listopada 1950 r., każdy ma prawo do sprawiedliwego i publicznego rozpatrzenia jego sprawy w rozsądnym terminie przez niezawisły i bezstronny sąd ustanowiony ustawą przy rozstrzyganiu o jego prawach i obowiązkach o charakterze cywilnym albo o zasadności każdego oskarżenia w wytoczonej przeciwko niemu sprawie karnej.
Prawo do sądu, jak wynika z art. 45 Konstytucji RP, obejmuje "sprawy" dotyczące jednostek i innych podmiotów tego prawa. "Termin "sprawa" należy odnosić do sporów prawnych między osobami fizycznymi i prawnymi. Obejmuje on spory wynikające ze stosunków cywilnoprawnych, administracyjno-prawnych oraz rozstrzyganie o zasadności zarzutów karnych. Jego znaczenie nie wyczerpuje się jednak na tym katalogu; generalnie chodzi o "rozstrzyganie o prawach danego podmiotu". Do kategorii praw, o których rozstrzyga sąd sprawujący wymiar sprawiedliwości należą więc "wszelkie inne prawa, których istnienie wynika z całokształtu obowiązujących regulacji prawa materialnego" (por. wyrok Trybunału Konstytucyjnego z dnia 10 lipca 2000 r., sygn. SK 12/99, publ. OTK 200/5/153).
Zgodnie z art. 2 pkt 1 p.u.s.p. zadania z zakresu wymiaru sprawiedliwości wykonują sędziowie. W ramach wykonywania tychże zadań sędziowie podejmują czynności związane z przetwarzaniem danych osobowych zawartych w aktach sprawy (tzw. danych orzeczniczych) w rozumieniu art. 4 pkt 1 i 2 rozporządzenia 2016/679. Przepisy te stanowią, że "dane osobowe" oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej (art. 4 pkt 1 rozporządzenia 2016/679). Z kolei "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie (art. 4 pkt 2 rozporządzenia 2016/679).
Ramy prawne dla przetwarzania danych osobowych przez sędziów konstytuują odpowiednie przepisy prawa. Uprawnienia dotyczące przetwarzania danych osobowych (danych orzeczniczych) są bowiem związane ze specyfiką procesu sądowego, w którym niezawiśli sędziowie występują jako osoby powołane do sprawowania wymiaru sprawiedliwości i prowadzenia konkretnego postępowania sądowego.
Przepis art. 55 ust. 3 rozporządzenia 2016/679 stanowi, że organy nadzorcze (danego państwa członkowskiego) nie są właściwe do nadzorowania operacji przetwarzania dokonywanych przez sądy w ramach sprawowania przez nie wymiaru sprawiedliwości.
Wykładni pojęcia "sprawowanie wymiaru sprawiedliwości" przez sądy dokonał TSUE w wyroku z dnia 24 marca 2022 r. sygn. C-245/20. TSUE orzekł, że art. 55 ust. 3 rozporządzenia 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE należy interpretować w ten sposób, że czasowe udostępnianie dziennikarzom przez sąd pochodzących z postępowania sądowego pism procesowych zawierających dane osobowe w celu umożliwienia tym dziennikarzom pełniejszego relacjonowania przebiegu tego postępowania wchodzi w zakres sprawowania przez ten sąd "wymiaru sprawiedliwości" w rozumieniu tego przepisu. I jakkolwiek powołane orzeczenie zapadło w sprawie dotyczącej "polityki informacyjnej sądów" (w związku z udzieleniem dziennikarzowi przez Sąd dostępu do akt sprawy sądowej zawierających dane osobowe), to jednak zawarto w nim obszerne rozważania dotyczące interpretacji pojęcia "sprawowania wymiaru sprawiedliwości" przez sądy, istotne również z punktu widzenia rozstrzygnięcia niniejszej sprawy.
W swych rozważaniach TSUE wskazał przede wszystkim, że wiele przepisów rozporządzenia 2016/679 zawiera mechanizmy mające na celu uwzględnienie specyfiki przetwarzania danych dokonywanego przez sądy. Tak jest w szczególności w przypadku art. 55 ust. 3 tego rozporządzenia, który wyłącza jakąkolwiek właściwość organu nadzorczego w odniesieniu do operacji przetwarzania dokonywanych przez sądy "w ramach sprawowania przez nie wymiaru sprawiedliwości" (26).
Nadto TSUE wskazał, że art. 55 ust. 3 rozporządzenia należy interpretować w świetle motywu 20 rozporządzenia, który uściśla, że powinna istnieć możliwość powierzenia nadzoru nad operacjami przetwarzania dokonywanymi przez sądy "w ramach sprawowania [przez nie] wymiaru sprawiedliwości" specjalnym organom w systemie wymiaru sprawiedliwości danego państwa członkowskiego, a nie organowi nadzorczemu, który podlega temu państwu, by "chronić niezawisłość sprawowania wymiaru sprawiedliwości [w ramach wykonywania przez nie ich funkcji sądowniczych, w tym również przy wydawaniu orzeczeń]" (31).
TSUE zwrócił zatem uwagę, że przetwarzanie danych przez sądy dokonywane jest nie tylko w związku z wydawaniem orzeczeń (rozstrzyganiem sporów sądowych), ale również w związku z pozostałymi czynnościami wykonywanymi przez sądy "w ramach sprawowania wymiaru sprawiedliwości". Odwołał się w tym względzie do opinii Rzecznika Generalnego z dnia [...] października 2021 r. w sprawie [...], w której wskazano, że z samego brzmienia motywu 20 rozporządzenia 2016/679, a w szczególności z użycia sformułowania "w tym" wynika, że zakres celu art. 55 ust. 3 tego rozporządzenia, jakim jest zachowanie niezawisłości sprawowania wymiaru sprawiedliwości w ramach wykonywania przez sądy funkcji sądowniczych, nie może ograniczać się wyłącznie do gwarancji niezawisłości sędziowskiej w kontekście wydawania danego orzeczenia sądowego. Ochrona niezawisłości wymiaru sprawiedliwości zakłada bowiem co do zasady, że funkcje sądownicze są wykonywane w sposób całkowicie niezależny; sądy nie podlegają żadnej hierarchii służbowej i nie są komukolwiek podporządkowane ani nie otrzymują nakazów czy wytycznych z jakiegokolwiek źródła, a tym samym są chronione przed jakąkolwiek ingerencją lub naciskami zewnętrznymi mogącymi zaszkodzić niezależności osądu ich członków i wpływać na ich rozstrzygnięcia. Poszanowanie gwarancji niezawisłości i bezstronności wymaganych na mocy prawa Unii zakłada istnienie zasad pozwalających wykluczyć w odczuciu podmiotów prawa wszelką uzasadnioną wątpliwość co do niezależności danego organu od czynników zewnętrznych i jego neutralności względem danych interesów (...) (33).
W związku z tym, jak stwierdził TSUE, zawarte w art. 55 rozporządzenia 2016/679 odniesienie do operacji przetwarzania dokonywanych przez sądy "w ramach sprawowania przez nie wymiaru sprawiedliwości" należy rozumieć w kontekście tego rozporządzenia nie jako ograniczone do przetwarzania danych osobowych, którego sądy dokonują w ramach konkretnych spraw, lecz szerzej - jako obejmujące wszystkie operacje przetwarzania, których sądy dokonują w ramach swej działalności orzeczniczej, w związku z czym spod właściwości organu nadzorczego wyłączone są operacje przetwarzania, których nadzorowanie przez organ nadzorczy mogłoby bezpośrednio lub pośrednio wpłynąć na niezależność członków tych sądów lub wpłynąć na ich decyzje (34).
W świetle powyższego, w ocenie Sądu, pojęcia "sprawowania wymiaru sprawiedliwości" w rozumieniu art. 55 ust. 3 rozporządzenia 2016/679 nie należy utożsamiać z pojęciem "wymierzania sprawiedliwości" rozumianego wyłącznie jako sądzenie, tj. wydawanie orzeczeń rozstrzygających spory sądowe. "Sprawowanie wymiaru sprawiedliwości" jest pojęciem szerszym i obejmuje wszelkie operacje przetwarzania danych osobowych, których sądy dokonują w ramach swej działalności orzeczniczej. Jest to podyktowane, jak wynika z motywu 20 rozporządzenia, ochroną niezawisłości sądów.
Wskazać w związku z tym należy, że zgodnie z art. 178 ust. 1 Konstytucji RP sędziowie w sprawowaniu swojego urzędu są niezawiśli i podlegają tylko Konstytucji oraz ustawom.
Na treść zasady niezawisłości składają się: bezstronność w stosunku do uczestników postępowania; niezależność wobec organów pozasądowych; samodzielność sędziego wobec władz i innych organów sądowych; niezależność od wpływu czynników politycznych, zwłaszcza partii politycznych; wewnętrzna niezawisłość sędziego. Zasada niezawisłości sędziów wyklucza wszelkie formy oddziaływania na działalność orzeczniczą sądów zarówno ze strony innych organów władzy publicznej jak i ze strony innych podmiotów (por. wyroki Trybunału Konstytucyjnego: z dnia 24 czerwca 1998 r. sygn. K 3/98, publ. OTK 1998/4/52; z dnia 14 kwietnia 1999 r. sygn. K 8/99, publ. OTK 1999/3/41).
Poszanowanie i obrona niezawisłości są konstytucyjnym obowiązkiem wszystkich organów i osób stykających się z działalnością sądów, a także konstytucyjnym obowiązkiem samego sędziego (v. Z. Czeszejko-Sochacki "Prawo do sądu w świetle Konstytucji RP", PiP 1997, nr 11-12, s. 99-100). Poszanowanie gwarancji niezawisłości i bezstronności pozwala wykluczyć w odczuciu podmiotów prawa wszelką uzasadnioną wątpliwość co do niezależności sądu od czynników zewnętrznych i jego neutralności względem danych interesów.
Co istotne, niezawisłość sędziego nie ogranicza się wyłącznie do wyrokowania. Zasada niezawisłości odnosi się bowiem do tej sfery aktywności sędziów, która objęta jest pojęciem sprawowania urzędu. Pojęcie to obejmuje szeroki zakres spraw, do którego należy zarówno wykonywanie czynności bezpośrednio powiązanych z orzekaniem czy też zarządzaniem procesem orzekania, jak i wykonywanie innych czynności związanych z urzędem sędziego (v. Tuleja Piotr (red.), Konstytucja Rzeczypospolitej Polskiej. Komentarz, wyd. II, WKP 2023).
W świetle powyższego rację ma strona skarżąca twierdząc, że niezawisłe sprawowanie wymiaru sprawiedliwości obejmuje czynności wykonywane na zarządzenie sędziego w konkretnej sprawie sądowej, związane z doręczeniem stronom pism procesowych, w tym - jak w sprawie niniejszej - odpisu pozwu wraz ze stosownymi pouczeniami i załącznikami. Jest to bowiem czynność procesowa niezawisłego sędziego stanowiąca element zarządzania procesem orzekania. Odpis pozwu jest pismem sądowym pozostającym w bezpośrednim związku z postępowaniem sądowym, którego doręczenie, w świetle obowiązujących przepisów prawa, ma charakter sformalizowany.
Przepisy Kodeksu postępowania cywilnego o doręczeniach (określone w Tytule VI, Dziale I, Rozdziale 2 "Doręczenia" oraz Dziale II, Rozdziale 2a "Organizacja postępowania") mają bowiem charakter obligatoryjny, co oznacza wyłączenie swobodnej dyspozycji stron w zakresie określania sposobu doręczenia pism procesowych (por. postanowienie SN z dnia 29 sierpnia 1995 r., publ. IPRN 39/95).
Zgodnie z art. 2051 § 1 i § 2 k.p.c. (według stanu prawnego obowiązującego w dacie dokonania czynności przez sędziego referenta w sprawie XI C 1295/22) przewodniczący zarządza doręczenie pozwu pozwanemu i wzywa go do złożenia odpowiedzi na pozew w wyznaczonym terminie nie krótszym niż dwa tygodnie. O zarządzeniu doręczenia pozwu zawiadamia się powoda. Przewodniczący zarządza zwrot odpowiedzi na pozew złożonej z uchybieniem terminu.
W myśl art. 2052 § 1 k.p.c. równocześnie z doręczeniem pism, o których mowa w art. 2051 § 1, poucza się strony o: 1) możliwości rozwiązania sporu w drodze ugody zawartej przed sądem lub mediatorem; 2) obowiązku udziału w posiedzeniu przygotowawczym i przedstawienia wszystkich twierdzeń i dowodów na tym posiedzeniu; 3) skutkach niedopełnienia obowiązków, o których mowa w pkt 2, w szczególności możliwości wydania przez sąd wyroku zaocznego na posiedzeniu niejawnym i warunkach jego wykonalności, obciążenia kosztami postępowania, a także możliwości umorzenia postępowania oraz pominięcia spóźnionych twierdzeń i dowodów; 4) możliwości ustanowienia pełnomocnika procesowego oraz o tym, że zastępstwo adwokata, radcy prawnego lub rzecznika patentowego nie jest obowiązkowe; 5) obowiązku złożenia pisma przygotowawczego na zarządzenie przewodniczącego, wymogach co do jego treści i skutkach ich niedochowania; 6) zwrocie pisma przygotowawczego złożonego bez zarządzenia przewodniczącego. Pozwanego poucza się także o czynnościach procesowych, które może lub powinien podjąć, jeśli nie uznaje żądania pozwu w całości lub części, w szczególności obowiązku złożenia odpowiedzi na pozew, w tym obowiązujących w tym zakresie wymaganiach co do terminu i formy (§ 2). Pouczenia, o których mowa w § 1 i 2, doręcza się bezpośrednio stronie, z wyjątkiem strony, o której mowa w art. 11355 § 1. Nie doręcza się ich Prokuratorii Generalnej Rzeczypospolitej Polskiej ani pełnomocnikowi, który jest adwokatem, radcą prawnym lub rzecznikiem patentowym (§ 3).
Zgodnie z art. 339 § 1 k.p.c., gdy pozwany w wyznaczonym terminie nie złożył odpowiedzi na pozew, sąd może wydać wyrok zaoczny na posiedzeniu niejawnym. W takim przypadku sąd przyjmuje za prawdziwe twierdzenia powoda o faktach zawarte w pozwie lub pismach procesowych doręczonych pozwanemu przed posiedzeniem, chyba że budzą one uzasadnione wątpliwości albo zostały przytoczone w celu obejścia prawa.
Jak wynika z powyższych regulacji zarządzenie sędziego o doręczeniu pozwanemu odpisu pozwu (wraz ze stosownymi pouczeniami), wywołuje określone skutki procesowe w postępowaniu sądowym. Mianowicie, złożenie przez pozwanego odpowiedzi na pozew po upływie zakreślonego w zarządzeniu przewodniczącego terminu, skutkuje jej zwrotem. W przypadku zwrotu odpowiedzi na pozew sąd może wydać wyrok zaoczny, na posiedzeniu niejawnym, przyjmując domniemanie prawdziwości twierdzeń powoda. W sytuacji, gdy twierdzenia powoda nie budzą uzasadnionych wątpliwości, domniemanie to zastępuje postępowanie dowodowe w procesie sądowym.
Warto w tym miejscu podkreślić, że do dnia wejścia w życie ustawy z dnia 4 lipca 2019 r. o zmianie ustawy Kodeks postępowania cywilnego oraz niektórych innych ustaw (Dz. U. poz. 1469), co miało miejsce w dniu 7 listopada 2019 r., wniesienie odpowiedzi na pozew było fakultatywne, a nie obligatoryjne. Pozwany mógł ją wnieść z własnej inicjatywy lub na zarządzenie przewodniczącego składu, przy czym przewodniczący nie był zobligowany do wydania zarządzenia (art. 207 § 1 i 2 w brzmieniu przed nowelizacją). Aktualnie wniesienie odpowiedzi na pozew jest obowiązkiem procesowym pozwanego, zaś termin na złożenie odpowiedzi na pozew rozpoczyna bieg od dnia doręczenia zarządzenia pozwanemu (art. 164 k.p.c.).
W świetle powyższego podzielić należy stanowisko strony skarżącej, że zarządzenie sędziego o doręczeniu odpisu pozwu stronie pozwanej jest czynnością wykonywaną w określonym postępowaniu sądowym, w ramach sprawowania wymiaru sprawiedliwości. Doręczenie odpisu pozwu w związku z wykonaniem zarządzenia sędziego, wywołuje określone skutki procesowe dla stron procesu sądowego. Wraz z doręczeniem pozwu następuje zawiśnięcie sporu między stronami wraz ze wszystkimi skutkami jakie przepisy k.p.c. wiążą z tym stanem. Strona pozwana dowiaduje się o roszczeniu strony powodowej i terminie do przedstawienia twierdzeń, faktów i dowodów na poparcie swojego stanowiska w sprawie oraz o skutkach zaniechania podjęcia czynności w sprawie. Uznając skuteczność doręczenia pozwu sędzia podejmuje decyzję w sferze orzeczniczej, która implikuje dalsze decyzje w procesie sądowym, mogące mieć wpływ na sposób rozstrzygnięcia sprawy.
Co istotne, czynności polegające na skierowaniu korespondencji do ekspedycji przez urzędnika sądowego oraz na przesłaniu tejże korespondencji do adresata nie mogą być rozważane w oderwaniu od procesu sądowego, w ramach którego są wykonywane, a tym samym w oderwaniu od sprawowania wymiaru sprawiedliwości przez niezawisłego sędziego. Czynności te nie mają samodzielnego charakteru, lecz są ściśle związane z orzeczniczą funkcją sądu. Stanowią one wykonanie zarządzenia sędziego wydanego na podstawie obowiązujących przepisów prawa, w ramach konkretnego postępowania sądowego, a ich skutek w postaci doręczenia (bądź niedoręczenia) korespondencji ma odzwierciedlenie w dalszym przebiegu procesu i może mieć wpływ na rozstrzygnięcie sprawy. Czynności tych nie można wyodrębnić z procesu sądowego jako stricte technicznych czy administracyjnych, niezwiązanych z procesem sądowym, a tym samym niezwiązanych ze sprawowaniem wymiaru sprawiedliwości. Sprawowania wymiaru sprawiedliwości, o czym była już mowa powyżej, nie można utożsamiać z wydawaniem rozstrzygnięć przez niezawisły sąd. Obejmuje ono bowiem wszystkie czynności niezawisłego sądu wykonywane w konkretnym postępowaniu sądowym na podstawie przepisów prawa, począwszy od doręczenia pozwu stronie przeciwnej po wydanie orzeczenia kończącego to postępowanie.
Z akt niniejszego postępowania wynika, że w sprawie o sygn. akt [...], zarejestrowanej w Sądzie Okręgowym w [...], odpis pozwu wraz z załącznikami (tj. odpisem postanowienia z dnia [...] maja 2022 r., wezwaniem do złożenia odpowiedzi na pozew, pouczeniem) został doręczony pozwanemu na zarządzenie sędziego sprawozdawcy za pośrednictwem Konsulatu Generalnego RP w [...], w drodze pomocy prawnej. Podstawę doręczenia korespondencji stanowiły przepisy art. 1130 i nast. k.p.c., art. 26 ustawy Prawo Konsularne oraz § 37 i nast. rozporządzenia Ministra Sprawiedliwości z dnia 28 stycznia 2002 r. w sprawie szczegółowych czynności sądów w sprawach z zakresu międzynarodowego postępowania cywilnego oraz karnego w stosunkach międzynarodowych.
Zgodnie z § 14 ust. 1 i 2 rozporządzenia pisma podlegające wysłaniu do organów zagranicznych, przedstawicielstw dyplomatycznych, urzędów konsularnych państw obcych w Rzeczypospolitej Polskiej lub konsulów Rzeczypospolitej Polskiej podpisuje sędzia (...). Pod podpisem wpisuje się pismem maszynowym imię i nazwisko oraz stanowisko służbowe osoby podpisującej lub umieszcza się stempel zawierający te dane oraz pismo opatruje się pieczęcią urzędową.
Pismo sędziego sprawozdawcy skierowane do Konsulatu Generalnego RP w [...] w sprawie doręczenia odpisu pozwu wraz z załącznikami zostało sporządzone w dniu [...] maja 2022 r. i przesłane przez Sąd Okręgowy w [...] za pismem z dnia 30 maja 2022 r. (k. 16 i 17 akt sądowych). Sędzia sprawozdawca, po przedstawieniu przez Wiceprezesa Sądu Okręgowego w [...] korespondencji zagranicznej nadesłanej przez Konsulat RP, związanej w wykonaniem wniosku o udzielnie pomocy prawnej, sprawę "skierował na kalendarz 3 miesiące" celem złożenia odpowiedzi na pozew przez pozwanego. Zarządzenie w tej sprawie sędzia sprawozdawca wydał w dniu 10 sierpnia 2022 r. (k. 18 akt sądowych).
Z ww. pism, załączonych do skargi, Sąd przeprowadził na rozprawie dowód uzupełniający z dokumentów korzystając z uprawienia przewidzianego w art. 106 § 3 p.p.s.a.
Powyższe dokumenty potwierdzają okoliczność, że sędzia sprawozdawca uznał skuteczność doręczenia pozwu, co - jak wskazywano powyżej - ma istotne znaczenie w kontekście dalszego przebiegu postępowania oraz wydania końcowego orzeczenia w sprawie o sygn. akt [...]. Nadto potwierdza stanowisko, że doręczenie korespondencji sądowej nie jest czynnością techniczną (wykonywaną przez urzędnika sądowego i operatora pocztowego), niezależną od działalności orzeczniczej niezawisłego sądu. Przeciwnie, doręczenie korespondencji na zarządzenie sędziego jest ściśle związane z funkcją orzeczniczą sądu, bowiem wywiera daleko idące skutki w sferze praw i obowiązków stron postępowania i determinuje dalsze decyzje sądu w postępowaniu. Zatem przetwarzanie danych osobowych w związku z doręczeniem korespondencji sądowej mieści się w pojęciu "sprawowania wymiaru sprawiedliwości", o którym mowa w art. 55 ust. 3 rozporządzenia 2016/679.
W świetle powyższego nieuzasadnione jest stanowisko Prezesa UODO, że w niniejszej sprawie jest on właściwym organem nadzorczym do weryfikacji prawidłowości przestrzegania przepisów rozporządzenia 2016/679 przez Sąd Okręgowy w [...]. Nie ma racji organ twierdząc, że dostarczenie korespondencji sądowej nie mieści się w ramach sprawowania wymiaru sprawiedliwości przez sąd, a jest jedynie techniczną, administracyjną czynnością sądu.
W tym względzie organ odwołał się do art. 8 p.u.s.p., zgodnie z którym Działalność administracyjna sądów polega na: 1) zapewnieniu odpowiednich warunków techniczno-organizacyjnych oraz majątkowych funkcjonowania sądu i wykonywania przez sąd zadań, o których mowa w art. 1 § 2 i 3 (tj. sprawowania wymiaru sprawiedliwości oraz innych zadań z zakresu ochrony prawnej); 2) zapewnieniu właściwego toku wewnętrznego urzędowania sądu, bezpośrednio związanego z wykonywaniem przez sąd zadań, o których mowa w art. 1 § 2 i 3.
Wskazać w związku z tym należy, że pierwsza z ww. kategorii działalności administracyjnej odnosi się do konieczności zapewnienia właściwych warunków lokalowych, finansowych, wyposażenia technicznego, poziomu wynagrodzeń oraz zatrudnienia odpowiedniego personelu pomocniczego. Realizacja tych zadań należy do dyrektora sądu, a nadzór nad tą działalnością, tzw. nadzór zewnętrzny, wykonuje Minister Sprawiedliwości (art. 9 p.u.s.p.). Druga kategoria polega natomiast na zapewnieniu właściwego toku wewnętrznego urzędowania sądu, w szczególności na zapewnieniu sprawności urzędowania, i należy do sfery tzw. wewnętrznego nadzoru. Wykonywanie tego nadzoru należy do prezesów sądów (art. 22 § 1 pkt 1 lit. a p.u.s.p.).
W świetle powyższego nie sposób przyjąć, że doręczenie korespondencji w postępowaniu sądowym, wykonane na zarządzenie sędziego i wywierające określone skutki procesowe dla stron tego postępowania, mieści się w którejś z ww. kategorii działalności administracyjnej sądu i z tego powodu nie należy do sfery sprawowania wymiaru sprawiedliwości przez sąd.
W uzasadnieniu zaskarżonej decyzji organ podkreślał, że "kompetencje Prezesa UODO nie naruszają niezawisłości sędziowskiej, bowiem nie dotyczą kompetencji sędziego w prowadzonym postępowaniu". Z twierdzeniem tym nie można się zgodzić.
Jak już bowiem wyżej wskazano, w następstwie wykonania zarządzenia sędziego, wydanego w sprawie o sygn. akt [...], doręczono pozwanemu odpis pozwu wraz z załącznikami. Sędzia sprawozdawca w dniu 10 sierpnia 2022 r. uznał skuteczność doręczenia pozwu, wpisując sprawę "na kalendarz". Powyższa okoliczność znana była Prezesowi UODO w toku postępowania administracyjnego, bowiem w "Raporcie z naruszenia bezpieczeństwa danych osobowych/informacji z dnia [...] sierpnia 2022 r.", przesłanym za pismem z dnia 22 września 2022 r., Inspektor Ochrony Danych Sądu Okręgowego w [....] wskazał: "brak obowiązku zgłoszenia [naruszenia ochrony danych] do PUODO (art. 33) - brak naruszenia dostępności (decyzja sędziego z dnia [...] sierpnia 2022 r. stwierdzająca skuteczne doręczenie i wpisanie na kalendarz)". Pomimo tego Prezes UODO badając przedmiotowe zdarzenie uznał, że doszło do naruszenia ochrony danych osobowych w związku z naruszeniem poufności danych ("uszkodzona koperta, do zawartości której mogły mieć dostęp osoby nieuprawnione"), jak również ich dostępności ("adresat zgłosił do MSZ niekompletność przesyłki", "brak niektórych dokumentów"). Stwierdzenie przez organ, że naruszenie ochrony danych osobowych nastąpiło w związku ze zgłoszoną niekompletnością przesyłki - brakiem niektórych dokumentów, jest sprzeczne z decyzją sędziego co do skuteczności doręczenia pozwu. Uznając skuteczność doręczenia pozwu Sąd uznał bowiem jednocześnie, że całość wysłanej korespondencji (odpis pozwu wraz z załącznikami) została prawidłowo doręczona do adresata.
W związku z tym podkreślić należy, że Prezes UODO nie ma uprawnień do wkraczania w zakres i treść decyzji sądu. Nie może ingerować w zasady obiegu dokumentacji procesowej, skoro obieg ten odbywa się w związku działalnością orzeczniczą sądu, a tym samym w związku ze sprawowaniem przez ten sąd wymiaru sprawiedliwości.
Podsumowując tę część rozważań wskazać należy, że Prezes UODO dopuścił się naruszenia art. 55 ust. 3 rozporządzenia 2016/679. Błędnie bowiem uznał, że jest właściwy w sprawie nadzorowania przetwarzania danych osobowych przez Sąd Okręgowy w [...] dokonywanego w związku z doręczeniem korespondencji sądowej (odpisu pozwu wraz z załącznikami) w ramach sprawowania przez ten Sąd wymiaru sprawiedliwości. W konsekwencji organ błędnie uznał, że jest uprawniony do dokonania oceny realizacji obowiązków administratora danych wynikających z art. 33 i art. 34 ww. rozporządzenia oraz zastosowania sankcji z art. 58 ust. 2 lit. e, lit. i w związku z art. 83 rozporządzenia. Uznając swą właściwość w sprawie Prezes UODO pominął art. 175dd § 1 pkt 2 i art. 175db p.u.s.p., z których to przepisów wynika, że nadzór nad przetwarzaniem danych osobowych przez Sąd Okręgowy w [...], w związku ze zgłoszeniem naruszenia danych złożonym przez Ministra Spraw Zagranicznych, wykonuje Prezes Sądu Apelacyjnego w [...].
Odnosząc się w tym miejscu do argumentacji Prezesa UODO, że do kompetencji organów nadzorczych określonych w art. 175dd § 1 p.u.s.p. nie należy przyjmowanie zgłoszeń naruszeń ochrony danych osobowych, ani ich merytoryczna ocena, wskazać należy, że okoliczność ta nie czyni organu właściwym do nadzorowania przetwarzania danych przez Sąd w niniejszej sprawie. Swych kompetencji Prezes UODO nie może domniemywać, zaś ewentualne uwagi Prezesa UODO co do zakresu czynności nadzorczych wykonywanych przez organy wymienione ww. przepisie mogą być traktowane wyłącznie jako postulaty de lege ferenda.
Brak właściwości rzeczowej Prezesa UODO w niniejszej sprawie oznacza, że postępowanie administracyjne jest bezprzedmiotowe w rozumieniu art. 105 § 1 k.p.a. Bezprzedmiotowość postępowania oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, co powoduje niemożność wydania decyzji rozstrzygającej sprawę co do istoty (por. wyrok NSA z dnia 21 listopada 2014 r., sygn. akt II GSK 1785/13, CBOSA). Bezprzedmiotowość postępowania może wiązać się z brakiem możliwości ukształtowania stosunku administracyjnoprawnego, ze względu na brak przepisów prawa stanowiących podstawę prawną do wydania merytorycznej decyzji (por. M. Dyl, [w:] R. Hauser, M. Wierzbowski (red.), Kodeks postępowania administracyjnego, 2015, art. 105, s. 529-530). Stwierdzenie braku kompetencji Prezesa UODO do prowadzenia postępowania w przedmiocie przestrzegania przepisów o ochronie danych osobowych przez Sąd Okręgowy w [...], wobec bezprzedmiotowości tego postępowania, skutkował uchyleniem zaskarżonej decyzji i umorzeniem postępowania administracyjnego.
Niezależnie od poczynionych wyżej rozważań Sąd zauważa, że zgodnie z art. 4 pkt 12 rozporządzenia 2016/679 "naruszenie ochrony danych osobowych" oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
Dla istnienia naruszenia danych osobowych muszą być spełnione kumulatywnie następujące przesłanki. Po pierwsze, musi zaistnieć naruszenie bezpieczeństwa. Po drugie, skutkiem tego naruszenia musi być przypadkowe lub niezgodne z prawem zniszczenie, utracenie, zmodyfikowanie, nieuprawnione ujawnienie lub nieuprawniony dostęp do przetwarzanych danych osobowych. Przez naruszenie bezpieczeństwa należy rozumieć każde zdarzenie, w którym organizacyjne lub techniczne środki zawodzą ochrony danych. Nie ma przy tym znaczenia, czy do naruszenia bezpieczeństwa dojdzie w wyniku umyślnego, czy nieumyślnego działania. Istotne jest jedynie obiektywnie wystąpienie naruszenia.
W niniejszej sprawie, w oparciu o zgłoszenie przez MSZ zdarzenia polegającego na dostarczeniu przez operatora pocztowego do adresata uszkodzonej i niekompletnej przesyłki, Prezes UODO ustalił, że doszło do naruszenia ochrony danych osobowych w związku z naruszeniem poufności danych (korespondencja została dostarczona w uszkodzonej kopercie), jak również ich dostępności (adresat zgłosił MSZ niekompletność przesyłki)". Uszkodzenie koperty wraz z dokumentami, jak stwierdził organ, potwierdzają zdjęcia przesyłki otrzymane od MSZ.
W ocenie Sądu, ustalenia organu nie znajdują potwierdzenia w zgromadzonym materialne dowodowym, co stanowi naruszenie art. 7, art. 77 § 1 i art. 80 k.p.a.
Z akt sprawy wynika, że zgłoszenie dokonane przez MSZ dotyczyło "podejrzenia naruszenia zasad bezpieczeństwa danych osobowych". Jako datę zaistnienia naruszenia wskazano "pomiędzy 14 lipca 2022 r. - data nadania przesyłki a 23 lipca 2022 r. - data odebrania uszkodzonej przesyłki". Wskazano, że "adresat przesyłki poinformował w dniu 25 lipca 2022 r. Konsulat Generalny RP w [...], że koperta, w której dostarczono do niego dokumenty sądowe została uszkodzona i mogło dojść do naruszenia korespondencji. Z informacji nadesłanych przez adresata przesyłki (dokumentacja zdjęciowa) wynika, że przesyłka była zapakowana dodatkowo w folię ochronną, zabezpieczającą uszkodzoną kopertę. W wyniku konsultacji z obywatelem, na którego była adresowana przesyłka, uzyskano informację, że przesyłka rzekomo nie zawiera wszystkich dokumentów podlegających doręczeniu". W zgłoszeniu podano również, że "Konsulat zgłosi w dniu 27 lipca br. oficjalną reklamację do operatora pocztowego oraz poinformuje Sąd Okręgowy w [...] o uszkodzonej korespondencji" (k. 2 - 5 akt admin.).
Za pismem MSZ z dnia 9 marca 2023 r. do organu przesłana została dokumentacja zdjęciowa przedstawiająca uszkodzoną przesyłkę (k. 60 - 63 akt admin.).
Uwzględniając powyższe stwierdzić należy, że organ nie poczynił wystarczających ustaleń, co do tego, czy do uszkodzenia przesyłki doszło na etapie doręczenia przesyłki pozwanemu, czy też po jej doręczeniu. Tymczasem z pisma Konsulatu RP z dnia 25 lipca 2022 r. wynika, że korespondencja w dniu 11 lipca 2022r. została przekazana adresatowi pocztą poleconą za potwierdzeniem odbioru. Nie stwierdzono naruszenia korespondencji na tym etapie jej doręczenia, co potwierdza informacja dostępna w elektronicznym systemie operatora pocztowego [...], zgodnie z którą przesyłkę doręczono adresatowi w dniu 23 lipca 2022 r. Adresat zaś dopiero dwa dni później, tj. w dniu 25 lipca 2022 r., zgłosił do Konsulatu RP, iż przesyłkę doręczono uszkodzoną i niekompletną.
Organ natomiast nie ustalił dlaczego adresat zgłosił naruszenie po kilku dniach, czy adresat zgłaszał to zdarzenie również operatorowi pocztowemu [...], czy operator zagraniczny prowadził jakiekolwiek wyjaśnienia w tym względzie, a jeśli tak jakie były jego ustalenia. Organ nie ustalił również jaki był wynik reklamacji zgłoszonej do operatora pocztowego przez Urząd Konsularny. Organ nie wziął również pod uwagę decyzji sędziego w sprawie o sygn. akt [...] wynikającej z treści "Raportu z naruszenia bezpieczeństwa danych (...)", zgodnie z którą korespondencja zawarta w ww. przesyłce została skutecznie doręczona do adresata. Pomimo tego organ - opierając się wyłącznie na informacji powziętej od samego adresata oraz wykonanych przez niego zdjęciach przesyłki - przyjął, że w okolicznościach sprawy doszło do naruszenia ochrony danych osobowych.
Stanowisko organu ma charakter dowolny. Zgromadzony materiał dowodowy jest niepełny i nie wyjaśnia istotnych okoliczności faktycznych. Brak było zatem podstaw do tego, aby stwierdzić, że naruszenie bezpieczeństwa danych w rozumieniu art. 4 pkt 12 rozporządzenia 2016/679 w ogóle miało miejsce w niniejszej sprawie.
Zważywszy jednak na to, że Sąd stwierdził brak właściwości rzeczowej Prezesa UODO do nadzorowania przetwarzania danych osobowych przez Sąd Okręgowy w [...] dokonywanego w związku z doręczeniem korespondencji sądowej (odpisu pozwu wraz z załącznikami), tj. w ramach sprawowania przez ten Sąd wymiaru sprawiedliwości (art. 55 ust. 3 rozporządzenia 2016/679), to ta okoliczność, jako najdalej idąca, przesądza o rozstrzygnięciu sprawy. Naruszenie przez organ ww. przepisów postępowania administracyjnego (art. 7, art. 77 § 1 i art. 80 k.p.a.), ma natomiast charakter wtórny wobec naruszenia przepisów o właściwości.
Z tych względów Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. a i c p.p.s.a. oraz art. 145 § 3 p.p.s.a., orzekł jak w punktach 1 i 2 sentencji wyroku. O kosztach postępowania, obejmujących wpis od skargi (400 złotych) oraz wynagrodzenie pełnomocnika w stawce minimalnej (1800 złotych), Sąd postanowił - na podstawie art. 200 i art. 205 § 2 p.p.s.a. oraz § 1 pkt 1 rozporządzenia Rady Ministrów z dnia 16 grudnia 2003 r. w sprawie wysokości oraz szczegółowych zasad pobierania wpisu w postępowaniu przed sądami administracyjnymi (Dz. U. z 2021 r., poz. 535 ze zm.) i § 2 pkt 4 w związku z § 14 ust. 1 pkt 1 lit. a rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz. U. z 2023 r., poz. 1935 ze zm.) - jak w punkcie 3 sentencji wyroku.