II SA/WA 279/24

II SA/Wa 279/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-10-17
orzeczenie prawomocne
Data wpływu
2024-02-27
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Arkadiusz Koziarski. /sprawozdawca/
Danuta Kania /przewodniczący/
Joanna Kube
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 935
art. 1 § 1 i § 2, art. 134 § 1 i 2, art. 153, art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U. 2024 poz 572
art. 11, art. 107 §1 pkt 4 i 6 i § 3, art. 7, art. 77, art. 80, art. 107 § 3,
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania, Sędzia WSA Joanna Kube, Asesor WSA Arkadiusz Koziarski (spr.), Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 17 października 2024 r. sprawy ze skargi K. O. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych, dalej "PUODO", decyzją z dnia [...] grudnia 2023 r. nr [...], wydaną na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775 ze zm.), dalej "k.p.a.", w zw. z art. 7 ust. 1 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), art. 5 ust. 1 lit. a), art. 6 ust. 1, art. 57 ust. 1 lit. a) i f) oraz art. 58 ust. 2 lit. b) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej "RODO", po przeprowadzeniu postępowania administracyjnego w sprawie skargi K. O. dotyczącej nieprawidłowości w procesie przetwarzania jego danych osobowych przez Prezesa Urzędu Ochrony Danych Osobowych, polegających na ujawnieniu jego danych osobowych osobie nieuprawnionej, udzielił upomnienia Prezesowi Urzędu Ochrony Danych Osobowych w związku z nieuprawnionym udostępnieniem danych osobowych K. O., które nastąpiło wskutek błędnego załączenia dokumentu zawierającego dane osobowe K. O. (tj. pisma Wspólnoty Mieszkaniowej z [...] kwietnia 2022 r. wraz z załącznikiem) do akt postępowania administracyjnego prowadzonego w trybie skargowym w sprawie zainicjowanej skargą innej osoby i udostępnienia rzeczonych akt do wglądu stronie tego postępowania.
Decyzja ta została wydana w następujących okolicznościach faktycznych:
Do Urzędu Ochrony Danych Osobowych wpłynęła skarga K. O., dalej "skarżący", na nieprawidłowości w procesie przetwarzania jego danych osobowych przez PUODO. W treści skargi skarżący podniósł, że w Urzędzie Ochrony Danych Osobowych udostępniono osobie trzeciej dokumenty z jego sprawy prowadzonej przez organ. Skarżący wyjaśnił, że dokumenty zawierające chronione dane znalazły się
w aktach innej sprawy, które udostępniono osobie trzeciej.
Prowadząc postępowanie w sprawie powyższej skargi organ ustalił, że:
- 25 kwietnia 2022 r. do UODO wpłynęło (za pośrednictwem e-PUAP) pismo osoby trzeciej w sprawie [...], które zarejestrowano (zgodnie z Instrukcją Kancelaryjną Urzędu), wydrukowano i skompletowano w punkcie kancelaryjnym, naniesiono pieczątkę wpływu na pierwszej stronie; przekazano do Departamentu [...], po przypisaniu do konkretnej sprawy; przekazano do dekretacji, a następnie do pracownika prowadzącego sprawę, który (zgodnie z ww. Instrukcją) po sprawdzeniu dołączył je do akt sprawy wszczętej - w takiej postaci, w jakiej została skompletowana przez punkt kancelaryjny; przesyłka otrzymała numerację k. 77-85;
- [...] czerwca 2022r. osoba trzecia podczas przeglądu akt [...] zwróciła uwagę, że na k. 82 znajduje się pismo, które zawiera dane osoby niebędącej uczestnikiem tego postępowania. Na skutek omyłkowego załączenia pisma Wspólnoty z [...] kwietnia 2022 r. do pisma z 25 kwietnia 2022 r. dotyczącego sprawy [...] doszło do ujawnienia danych osobowych skarżącego (imię, nazwisko, nr tel., adres e-mail członka zarządu Wspólnoty, informacji dotyczącej przedmiotu zapytania skierowanego przez Wspólnotę do Urzędu);
- [...] czerwca 2022r. PUODO wydał postanowienie o wyłączeniu z akt postępowania [...] ww. pisma (k. 82), w celu zapobieżenia udostępnieniu danych osobowych osób trzecich osobom nieupoważnionym;
- zgłoszenie ww. naruszenia ochrony danych osobowych skarżącego przesłano Inspektorowi UODO, a osobę trzecią zobowiązano do usunięcia danych osobowych Skarżącego i do zachowania ich poufności;
- Dyrektor Departamentu [...] UODO uczulił pracowników – w celu zapobieżenia wystąpieniu podobnej sytuacji w przyszłości - aby bardzo uważanie przeglądali dokumenty otrzymane z Kancelarii Ogólnej, przed ich dołączeniem do akt i przy przygotowywaniu akt do przeglądania przez strony - pod kątem omyłkowego załączenia pism.
PUODO decyzją z dnia [...] października 2022 r. nr [...] odmówił uwzględnienia wniosku.
Na powyższą decyzję skarżący wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, który wyrokiem z 26 maja 2023 r., sygn. akt II SA/Wa 2201/22, uchylił zaskarżoną decyzję.
W uzasadnieniu wyroku Sąd stwierdził, że wbrew stanowisku prezentowanemu przez skarżącego, PUODO miał kompetencję do rozpatrzenia skargi złożonej przez skarżącego, w związku z nieprawidłowościami, które przy przeglądaniu własnej sprawy skargowej ujawniła osoba trzecia, a które to nieprawidłowości zgłosił sam skarżący
w piśmie z 23 czerwca 2022r. PUODO był jedynym właściwym organem, który mógł ocenić wadliwość w postaci błędnego załączenia przez pracownika UODO dokumentów zawierających dane osobowe skarżącego do akt innego postępowania administracyjnego, prowadzonego w trybie skargowym w sprawie zainicjowanej skargą osoby trzeciej. Postępowanie to mieści się w zakresie ochrony danych osobowych. Uchylenie się w takim przypadku przez organ nadzoru od wydania rozstrzygnięcia w tego typu sprawie, w której pracownicy UODO naruszyli przepisy o ochronie danych osobowych, oznaczałoby w istocie pozbawienie skarżącego (podmiotu tychże danych) możliwości realizacji na drodze administracyjnoprawnej jego praw, gwarantowanych przepisami u.o.d.o. i RODO.
Sąd wskazał również, że obowiązkiem PUODO była ocena legalności przetwarzania danych osobowych konkretnej osoby – skarżącego, w związku ze złożoną przez ten podmiot skargą. Ustawodawca nie przewidział bowiem złożenia skargi do innego podmiotu niż PUODO w zakresie naruszenia przepisów RODO i u.o.d.o.
W uprawnieniach PUODO mieściło się też w związku z tym udzielenie upoważnienia do wydawania decyzji Dyrektorowi Departamentu [...] UODO.
Sąd zarzucił jednak organowi, że wydając zaskarżoną decyzję naruszył w stopniu mogącym mieć wpływ na wynik sprawy art. 7 i art. 77 § 1 k.p.a.. Organ nadzorczy przy rozpatrywaniu sprawy nie ustosunkował się w treści zaskarżonej decyzji i nie ocenił zgodnie z art. 80 k.p.a. bezprawnego ujawnienia osobie trzeciej karty do głosowania, którą wypełnił skarżący w związku z głosowaniem w ww. Wspólnocie. Skarżący wskazuje, że karta ta była wypełniona i zawierała dane osobowe. Konieczne było
w związku z tym dokonanie ocen tej okoliczności przez PUODO w kontekście naruszenia przepisów RODO. Brak wyrażenia w zaskarżonej decyzji ocen z tego zakresu wskazuje na naruszenie przez zarówno ww. art. 7 i art. 77 § 1 k.p.a., jak również art. 8 § 1 k.p.a..
Zdaniem Sądu wadliwość procesowa polegająca na braku oceny ujawnienia danych osobowych skarżącego zawartych na karcie do głosowania jest o tyle istotna, że w aktach administracyjnych sprawy (91 akt administracyjnych) znajduje się wypełniona, a nie – jak to określa PUODO w zaskarżonej decyzji – "przykładowa karta do głosowania". Z karty do głosowania wynika sposób głosowania skarżącego w ściśle określonej dacie. Organ nadzorczy powinien zatem w treści zaskarżonej decyzji ocenić, jaki wpływ mogło wywołać bezprawne ujawnienie osobie trzeciej także informacji (danych) zawartych na ww. karcie do głosowania w kontekście wniosku skarżącego o zastosowania sankcji administracyjnej.
Dalej Sąd podniósł, że organ powinien rozważyć wymóg proporcjonalności,
a także przewidywaną skuteczności stosowanego środka władczego oddziaływania (art. 58 ust. 2 RODO w związku z motywem 129). Sąd zwrócił uwagę, że z motywu 148 RODO wynika wprost, że aby egzekwowanie przepisów RODO było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne - oprócz lub zamiast (podkreślenie Sądu) odpowiednich środków nakładanych na mocy RODO przez organ nadzorczy. Zdaniem Sądu należy w związku z tym przyjąć, że wbrew stanowisku prezentowanemu w zaskarżonej decyzji, organ nadzoru w przypadku stwierdzenia naruszenia danych osobowych, tak jak w rozpoznawanej sprawie, powinien – oprócz lub zamiast odpowiednich środków nakładanych na mocy RODO – nałożyć pieniężną karę administracyjną. Tylko w sytuacji, gdy naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna była nieproporcjonalnie obciążająca, można za ww. naruszenie udzielić upomnienia.
Sąd stwierdził, że organ wydając zaskarżoną decyzję, w której stwierdził, że doszło do naruszenia danych osobowych konkretnej osoby (skarżącego) – w celu skuteczniejszego egzekwowania przepisów RODO – powinien zastosować oprócz lub zamiast odpowiednich środków przewidzianych w art. 58 ust. 2 RODO, także karę pieniężną, albo wyjaśnić dlaczego uzasadnione jest zastosowanie środka władczego oddziaływania (art. 58 ust. 2 RODO w związku z motywem 129), np. upomnienia. Sąd zauważył, że pośród przyznanych organowi nadzorczemu narzędzi znajdują się i takie, które - w sytuacji stwierdzenia naruszenia przepisów o ochronie danych osobowych i z uwzględnieniem m.in. jego wagi - mają służyć wzmocnieniu respektowania prawa o ochronie danych, przez oddziaływanie o charakterze upominawczym (art. 58 ust. 2 lit. b) RODO) bądź represyjnym (art. 58 ust. 2 lit. i) w związku z art. 83 RODO). Ocena zasadności skorzystania z tego rodzaju narzędzi pozostawiona została organowi nadzorczemu, który w wydawanej decyzji administracyjnej powinien, stosownie do art. 11 k.p.a. w związku z art. 107 § 1 pkt 4 i 6 i § 3 k.p.a. wyjaśnić przesłanki, którymi kierował się wydając ją.
Sąd stwierdził ponadto, że jakkolwiek PUODO uznał, że ujawnienie osobie trzeciej danych osobowych Skarżącego było wynikiem błędu ludzkiego, tym niemniej w sposób wyraźny, mimo składanych przez skarżącego wniosków dowodowych z tego zakresu, nie wskazał, czy było to działanie o umyślnym, czy nieumyślnym charakterze. To także wskazuje na wadliwość proceduralną zaskarżonej decyzji, jak również powoduje, że rację należy przyznać skarżącemu, że organ w sposób należyty nie uzasadnił odstąpienia od zastosowania wnioskowanej przez skarżącego kary pieniężnej, naruszając tym samym art. 11 i art. 107 § 1 pkt 4 i 6 i § 3 k.p.a. W świetle natomiast motywu 148 RODO, jak również art. 83 RODO umyślny lub nieumyślny charakter naruszenia ma wpływ na rodzaj środka władczego oddziaływania, który można zastosować. Skoro w zaskarżonej decyzji w tym zakresie PUODO nie zawarł przekonywującego uzasadnienia, bo za takie nie można uznać odwołania się do treści art. 78 k.p.a. i wskazania, że w przypadku istnienia dokumentu lub dokumentów urzędowych stwierdzających wszystkie okoliczności faktyczne istotne dla rozstrzygnięcia sprawy administracyjnej, przesłuchanie świadka (świadków) na temat tych okoliczności jest zasadniczo zbędne, bo zeznania nie mogą konkurować z dokumentem urzędowym przy ustalaniu okoliczności. Sąd wskazał, że wbrew stanowisku PUODO w aktach sprawy nie ma urzędowego dokumentu, w którym stwierdzono, że działanie ww. pracownika/-ów było zawinione, bądź nie. Tym samym odmowę przeprowadzenia zeznań wnioskowanych przez skarżącego świadków należało uzasadnić w sposób spójny i logiczny, który nie pozostawiałby wątpliwości co do braku potrzeby przesłuchania świadków na ww. okoliczność zawinionego bądź nie działania pracowników.
Sąd zarzucił także, że PUODO nie rozważył, czy z zeznań wnioskowanych przez skarżącego świadków nie mogłyby wyniknąć inne obciążające lub łagodzące czynniki, mogące mieć wpływ na potrzebę i rodzaj stosowanego środka władczego oddziaływania.
Rozpatrując sprawę ponownie PUODO powołaną na wstępie decyzją z dnia [...] grudnia 2023 r. udzielił Prezesowi Urzędu Ochrony Danych Osobowych upomnienia.
W uzasadnieniu decyzji organ opisał na wstępie przebieg postępowania
w sprawie.
Następnie organ wyjaśnił, że dokonał oceny legalności przetwarzania danych osobowych biorąc pod uwagę wszystkie kategorie tych danych, bez względu na formę ich utrwalenia, czy charakter dokumentu, w jakim się znalazły. Zdaniem organu istotny
z punktu widzenia niniejszego rozstrzygnięcia jest zakres i kategorie przetwarzanych danych, a nie fakt, w jaki sposób zostały one utrwalone (w tym przypadku m. in. w dokumencie opisanym przez Wspólnotę Mieszkaniową jako "przykładowa karta do głosowania z danymi", wg. zaś jego nagłówka jako "Indywidualna karta do głosowania nad uchwałami Wspólnoty Mieszkaniowej przy ul. [...] w W. (tryb indywidualnego zbierania głosów)"). Organ podkreślił, że z materiału dowodowego sprawy jednoznacznie wynika, że osobie nieuprawnionej został udostępniony ww. dokument opisany jako "przykładowa karta do głosowania". W piśmie Wspólnoty Mieszkaniowej z [...] kwietnia 2022 r. (bezpodstawnie udostępnionym osobie trzecie) wskazano, że "(...) Zarząd wspólnoty mieszkaniowej przeprowadzając głosowanie uchwał wybiera formę głosowania, którą może być indywidualne zbieranie głosów przez Zarząd (np. korespondencyjnie). W takim przypadku, każdy głosujący wypełnia przygotowaną wcześniej przez Zarząd indywidualną kartę do głosowania (przykładowa karta w załączeniu) (...)". Ponadto, w ww. piśmie, w części opisującej załączniki, również wskazano, że załączono do niego "przykładową kartę do głosowania z danymi" (pismo Wspólnoty Mieszkaniowej z [...] kwietnia 2022 r. w aktach sprawy - karta nr 93). Zdaniem organu nie może umknąć uwadze fakt, że ww. pismo zostało podpisane przez samego skarżącego, co oznacza, że w dacie przesłania tego pisma do Urzędu Ochrony Danych Osobowych, skarżący prezentował stanowisko, że omawiany dokument stanowi "przykładową kartę do głosowania". PUODO podkreślił także, że w dacie zaskarżonego udostępnienia danych osobowych, osoba nieuprawniona (T. B.) uzyskała informację, że są to dane zawarte w "przykładowej kacie do głosowania". Dowodem powyższego jest fakt, że w wiadomości e-mail z [...] czerwca 2022 r. wysłanej przez T. B. do skarżącego jej nadawca wskazuje, że "(...) na karcie 82 akt sprawy [...] znalazło się pismo z dnia [...] kwietnia 2022 r. Wspólnoty Mieszkaniowej z W. ul. [...] z danymi osobowymi Pana K. O., tel. [...] mail [...] oraz przykładową kartą do głosowania (...)".
Organ zwrócił uwagę, że pierwotnie T. B. nie miał świadomości ani jednoznacznych podstaw by stwierdzić, że uzyskany dokument obrazuje faktyczny sposób głosowania skarżącego, w określonej dacie, nad konkretnymi uchwałami Wspólnoty Mieszkaniowej. Wiedzę taką uzyskał dopiero na późniejszym etapie postępowania administracyjnego - gdy został ustanowiony pełnomocnikiem skarżącego i dopiero w związku z tym, na podstawie informacji uzyskanych od swego mocodawcy, zaczął wskazywać, że dokument ten obrazuje sposób głosowania skarżącego w dniu [...] marca 2022 r. nad "Uchwałą nr [...] w sprawie zatwierdzenia sprawozdania finansowego za rok 2021 oraz udzielenia absolutorium Zarządowi za rok 2021" (podpis w rubryce "głosuję za uchwałą") oraz "Uchwałą nr [...] w sprawie przyjęcia planu gospodarczego na rok 2022 oraz wysokości stawek zaliczek na eksploatację, fundusz remontowy i inne opłaty (stawka eksploatacji wzrost o 0.15 zł, fundusz remontowy i pozostałe stawki bez zmian" (podpis w rubryce "głosuję za uchwałą").
Zdaniem organu ww. dokument, bez względu na jego charakter, tj. czy obrazuje on jedynie przykładowy, prawidłowy sposób wypełnienia karty do głosowania (w tym przypadku ze wskazaniem danych skarżącego), czy faktyczny sposób głosowania tej osoby, ujawnienie zawartych w nim informacji osobie trzeciej nie wiązało się z wysokim ryzykiem naruszenia praw lub wolności skarżącego.
Dalej organ wskazał, że podmiotem przeciwko któremu, skierowano skargę jest sam organ nadzorczy. PUODO zwrócił uwagę, że jedynym sposobem uzyskania w trybie administracyjnym rozstrzygnięcia w sprawie indywidualnej dotyczącej uprawnień gwarantowanych podmiotowi danych przez przepisy o ochronie danych osobowych, jest droga postępowania administracyjnego inicjowanego przed organem nadzorczym - wyłącznie właściwym w tym zakresie. W świetle powyższego, jakkolwiek
w przedmiotowym postępowaniu PUODO występuje jednocześnie w charakterze administratora danych, przeciwko któremu skierowane są zarzuty skargi, a zarazem - wyłącznie uprawnionego do oceny zasadności tych zarzutów - organu nadzorczego, w obliczu istniejących rozwiązań systemowych i prawnych, uchylenie się przez organ od wydania rozstrzygnięcia w tego rodzaju sprawie oznaczałoby w istocie pozbawienie podmiotu danych możliwości realizacji jego praw gwarantowanych przepisami o ochronie danych osobowych na drodze administracyjnoprawnej.
Organ wskazał również, w jego uprawnieniach mieści się też udzielenie upoważnienia do wydawania decyzji Dyrektorowi Departamentu [...] UODO. Prawidłowość powyższej oceny podzielił Wojewódzki Sąd Administracyjny
w wyroku z dnia 26 maja 2023 r., sygn. II SA/Wa 2201/22. Brak jest zatem podstaw dla uwzględnienia wniosków skarżącego o wydanie decyzji kończącej niniejsze postępowanie bezpośrednio przez Prezesa Urzędu Ochrony Danych Osobowych.
PUODO stwierdził następnie, że zgromadzony w niniejszej sprawie materiał dowodowy potwierdził zasadność zarzutów skargi inicjującej postępowanie administracyjne przed organem nadzorczym.
Organ podał, że kwestionowane ujawnienie danych osobowych skarżącego nie znajdowało oparcia w art. 6 ust. 1 RODO. Podniósł również, że na żadnym etapie nie kwestionował zasadności zarzutów skarżącego w omawianym obszarze i nie upatrywał istnienia podstaw prawnych dla zaskarżonego działania przyznając, że było ono wynikiem błędu ludzkiego i - w konsekwencji - podejmując działania mające na celu zaradzenie tej sytuacji (wyeliminowanie możliwości zapoznania się z kwestionowanymi danymi przez osoby nieuprawnione poprzez wyłączenie błędnie załączonej korespondencji zawierającej dane osobowe skarżącego z niewłaściwych akt; zobowiązanie nieuprawnionego odbiorcy do usunięcia pozyskanych danych i zachowania ich poufności) oraz zminimalizowanie ryzyka wystąpienia analogicznych nieprawidłowości w przyszłości (działania podjęte przez Dyrektora Departamentu [...] tut. Urzędu wobec pracowników tej jednostki).
Następnie organ wyjaśnił, że przepisy regulujące te spośród kompetencji organu nadzorczego, które służą nie tyle przywróceniu w rozpoznawanej sprawie stanu zgodnego z prawem (np. art. 58 ust. 2 lit c)-e) RODO), lecz mają służyć wzmocnieniu respektowania prawa o ochronie danych, poprzez oddziaływanie o charakterze upominawczym (art. 58 ust. 2 lit. b) RODO) bądź represyjnym (art. 58 ust. 2 lit. i) w zw.
z art. 83 RODO), wskazują na uprawnienia, a nie obowiązki organu nadzorczego. Rozpatrując określoną sprawę PUODO każdorazowo podejmuje decyzję odnośnie zasadności i celowości skorzystania z tych uprawnień, biorąc pod uwagę ich funkcję, zamierzony skutek i całokształt indywidualnych okoliczności sprawy. Ww. przepisy nie obligują jednak organu do tego, aby w przypadku uznania skargi za zasadną zastosować konkretny instrument prawny w nich określony. Skorzystanie z takiego instrumentu jest uzasadnione i potrzebne o tyle, o ile może przyczynić się do wzmocnienia respektowania i egzekwowania przepisów RODO - przy uwzględnieniu wymogu proporcjonalności, a także przewidywanej skuteczności stosowanego środka.
Organ wskazał dalej, że w badanej sprawie nieuprawnione przetworzenie danych skarżącego (ujawnienie ich osobie trzeciej) pozostaje faktem nieodwracalnym i w tym sensie żaden z przyznanych organowi instrumentów władczego oddziaływania nie może doprowadzić do sytuacji, która istniałaby, gdyby do incydentu nigdy nie doszło. Innymi słowy, wszelkie działania podjęte w przedmiotowym postępowaniu przez organ nadzorczy mogą mieć oddziaływanie wyłącznie represyjne lub prewencyjne -
w odniesieniu do tych środków, Skarżącemu nie przysługują natomiast konkretne roszczenia. Skarżący nie może zatem skutecznie dochodzić od organu nadzorczego nałożenia w związku ze stwierdzonym naruszeniem administracyjnej kary pieniężnej.
PUODO wyjaśnił, że w przedmiotowej sprawie występuje w szczególnej, podwójnej roli - jednocześnie organu nadzorczego i administratora danych odpowiedzialnego za naruszenie. Fakt ten - jak zauważył WSA w Warszawie - skutkuje koniecznością rygorystycznego podejścia do kwestii odpowiedzialności za zaistniały incydent i szczegółowego uzasadnienia dla zastosowanych w związku z tym środków władczego oddziaływania. Nie może to zarazem oznaczać, że Prezes Urzędu za każde naruszenie przepisów winien ponieść konsekwencje idące dalej, niż w przypadku dowolnego innego administratora danych.
Organ wskazał, że mając na uwadze, iż zgodnie z motywem 148 RODO przy rozstrzyganiu o zasadności użycia sankcji i jej wyborze cyt.: "powinno się (...) zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne" oraz akcentowaną przez WSA w Warszawie w wyroku z 26 maja
2023 r. potrzebę odniesienia się w uzasadnieniu rozstrzygnięcia także do tej kwestii nadmienić należy, że Grupa Robocza Art. 29 w wytycznych w sprawie stosowania
i ustalania administracyjnych kar pieniężnych do celów RODO przyjętych 3 października 2017 r., odnosząc się do aspektu umyślności bądź nieumyślności naruszenia wskazała, że zasadniczo "umyślność" obejmuje zarówno wiedzę, jak i celowe działanie, w związku z cechami charakterystycznymi czynu zabronionego, podczas gdy "nieumyślność" oznacza brak zamiaru spowodowania naruszenia, pomimo niedopełnienia przez administratora/podmiot przetwarzający obowiązku staranności wymaganego prawem. Innymi okolicznościami wskazującymi na zaniedbanie mogą być nieprzeczytanie
i nieprzestrzeganie istniejących zasad, błąd ludzki, niesprawdzenie danych osobowych w opublikowanych źródłach, niedokonanie aktualizacji technicznych w odpowiednim czasie, nieprzyjęcie zasad (w przeciwieństwie do ich niestosowania). Organ ocenił, że
w przedmiotowej sprawie nie sposób przyjąć, że naruszenie mogło mieć charakter umyślny. Naruszenie, którego konsekwencją była utrata poufności danych osobowych skarżącego (ujawnienie tych danych na rzecz osoby nieuprawnionej) było następstwem błędu pracownika Urzędu Ochrony Danych Osobowych - co zostało stwierdzone przez jego zwierzchnika służbowego - Dyrektor Departamentu [...] UODO) - zatem konsekwencją omyłki, nie zaś celowego działania tej osoby.
PUODO zwrócił także uwagę, że w związku z zaistniałą sytuacją, w celu zapobiegnięcia udostępnieniu danych osobowych osobom nieupoważnionym, wydane zostało postanowienie z [...] czerwca 2022 r. o wyłączeniu z akt postępowania [...] ww. pisma (tj. karty nr 82). Do Inspektora Ochrony Danych UODO przesłano zgłoszenie naruszenia ochrony danych osobowych oraz zobowiązano osobę, na rzecz której ujawniono dane osobowe skarżącego, do usunięcia pozyskanych przez nią ww. danych oraz do zachowania pozyskanych informacji w poufności. Ponadto, celem zapobieżenia wystąpieniu podobnej sytuacji w przyszłości, Dyrektor Departamentu [...] UODO uczuliła pracowników departamentu, aby bardzo uważanie przeglądali otrzymane z Kancelarii Ogólnej UODO dokumenty przed dołączeniem ich do akt postępowania oraz przy przygotowywaniu akt do przeglądania przez strony pod kątem omyłkowego załączenia pism dot. innych spraw. Zdaniem organu zgromadzony w niniejszej sprawie materiał dowodowy wskazuje jednoznacznie, że stwierdzone naruszenie przepisów
o ochronie danych osobowych skarżącego miało charakter wyłącznie incydentalny
i nieumyślny.
PUODO podniósł, że stosownie do treści art. 83 ust. 2 lit. a) - k) RODO wziął pod uwagę wszystkie okoliczności sprawy i uznał, że w rozpoznawanej sprawie nie ma podstaw do zastosowania administracyjnej kary pieniężnej.
W ocenie organu stwierdzone naruszenie przepisów ochrony danych osobowych, którego skutkiem była utrata poufności danych nie ma znacznej wagi i poważnego charakteru oraz zostało w krótkim okresie czasu wyeliminowane (art. 83 ust. 2 lit. a) RODO). Naruszenie nie wiąże się z wysokim ryzkiem istotnych, negatywnych konsekwencji dla podmiotu danych (jednej osoby, której dane dotyczą). Objęło stosunkowo wąski zakres danych osobowych, w szczególności nie dotyczyło numeru ewidencyjnego PESEL. Co więcej, żadna z informacji objętych incydentem nie należy do którejkolwiek z kategorii wymienionych w art. 9 RODO (takich jak np. dane dotyczące pochodzenia rasowego lub etnicznego, przekonań religijnych lub światopoglądowych, dane biometryczne, dane dotyczące zdrowia, seksualności lub orientacji seksualnej), ani też nie dotyczy wyroków skazujących i czynów zabronionych (art. 10 RODO). Również dane skarżącego utrwalone w dokumencie karty do głosowania nie generują wysokiego ryzyka naruszenia praw lub wolności osób fizycznych. Uzyskanie przez osobę postronną wiedzy na temat sposobu głosowania skarżącego w określonej dacie nad określonymi uchwałami Zarządu Wspólnoty Mieszkaniowej nie wiąże się z ryzykiem zaistnienia po jego stronie poważnych, trudnych do przezwyciężenia dolegliwości czy to w sferze materialnej, czy w sferze dóbr niematerialnych. Na marginesie organ nadmienił, że sam skarżący wydaje się nie wiązać z faktem ujawnienia ww. jego danych na rzecz konkretnej osoby fizycznej (radcy prawnego - zatem osoby wykonującej zawód zaufania publicznego) obawy o możliwe nieuprawnione dalsze wykorzystanie przez nią ww. informacji, zwłaszcza zaś o takie posłużenie się nimi, które mogłoby wiązać się dla niego z istotnymi, negatywnymi konsekwencjami. Skarżący nie tylko nie dążył bowiem do tego, aby nieuprawniony odbiorca danych zaprzestał ich przetwarzania, usunął je, czy zobowiązał się do zachowania ich w poufności (do czego dążył po incydencie administrator), lecz nawiązał z nim relację (wynikającą ze stosunku pełnomocnictwa),
w ramach której dane te podlegają dalszemu przetwarzaniu - na jego rzecz i w jego imieniu.
PUODO wyjaśnił, że rozważając zasadność i celowość skorzystania z uprawnienia do nałożenia administracyjnej kary pieniężnej, wziął pod uwagę - co wynika już
z argumentacji przedstawionej powyżej - przesłankę wskazaną w art. 83 ust. 2 lit. g) RODO. Organ powtórzył, że udostępnieniu nie podlegały dane należącej do którejkolwiek z kategorii, z którą przepisy RODO wiążą szczególne, ponadprzeciętne, rygory prawne (art. 9, art. 10 RODO).
Organ wziął również pod uwagę to, że:
- ze zgromadzonego w przedmiotowej sprawie materiału dowodowego wynika, iż działanie, w wyniku którego doszło do ww. naruszenia ewidentnie wynikało z błędu pracownika i miało charakter nieumyślny (art. 83 ust. 2 lit. b) RODO);
- PUODO podjął także działania mające na celu zminimalizowanie szkody poniesionej przez osobę, której dane dotyczą (art. 83 ust. 2 lit. c RODO), tj. wyłączył
z akt prowadzonego postępowania administracyjnego błędnie włączone do nich dokumenty zawierające dane osobowe skarżącego - tym samym wyeliminowane zostało ryzyko dalszego nieuprawnionego dostępu do rzeczonych danych przez uczestników ww. postępowania;
- nie ma podstaw do kwestionowania zasadności wprowadzenia przez PUODO określonych środków technicznych i organizacyjnych, bowiem stwierdzone naruszenie ochrony danych osobowych było następstwem błędu pracownika, a nie braku rozwiązań ukierunkowanych na zabezpieczenie danych (art. 83 ust. 2 lit. d) RODO);
- w okresie poprzedzającym incydent nie miały miejsca po stronie administratora jakiekolwiek inne naruszenia przepisów ochrony danych osobowych, których wystąpienie zostałoby stwierdzone w toku postępowania administracyjnego zakończonego wydaniem decyzji administracyjnej (art. 83 ust. 2 lit. e) RODO);
- organ nadzorczy dowiedział się o naruszeniu w następstwie złożonej skargi (art. 83 ust. 2 lit. h) RODO). Okoliczność ta nie ma obciążającego lub łagodzącego wpływu na ocenę stwierdzonego naruszenia w kontekście właściwych i adekwatnych w tym przypadku środków władczego oddziaływania na administratora;
- przed wydaniem niniejszej decyzji organ nadzorczy nie stosował wobec PUODO - jako administratora danych osobowych skarżącego - żadnych środków wymienionych w art. 58 ust. 2 RODO, w związku z czym administrator nie miał obowiązku podejmowania żadnych działań związanych z ich stosowaniem, które to działania mogłyby mieć obciążający lub łagodzący wpływ na ocenę stwierdzonego naruszenia (art. 83 ust. 2 lit. i) RODO);
- PUODO, działając jako administrator danych, nie stosuje zatwierdzonych kodeksów postępowania ani zatwierdzonych mechanizmów certyfikacji, o których mowa w przepisach RODO. Ich przyjęcie, wdrożenie i stosowanie nie jest jednak - jak stanowią przepisy RODO - obowiązkowe dla administratorów i podmiotów przetwarzających,
w związku z czym okoliczność ich niestosowania nie może być w niniejszej sprawie poczytana na niekorzyść administratora (art. 83 ust. 2 lit. j) RODO);
- PUODO - jako administrator danych - nie odniósł jakiekolwiek korzyści finansowej bezpośrednio bądź pośrednio w związku z incydentem, ani nie uniknął w związku z nim strat. W tym sensie nie stwierdzono zaistnienia przesłanki obciążającej lub łagodzącej
w kontekście decyzji o sankcji w niniejszej sprawie (art. 83 ust. 2 lit. k) RODO).
Następnie organ stwierdził, że rozpatrując przedmiotową sprawę nie odnotował innych niż opisane powyżej okoliczności mogących mieć wpływ na ocenę naruszenia przepisów o ochronie danych osobowych. Wskazał również, że PUODO - jako administrator danych osobowych skarżącego - nie kontynuuje aktualnie kwestionowanego procesu przetwarzania tych danych.
Mając na uwadze powyższe, a także uwzględniając motyw 129 i 148 RODO, PUODO uznał za niezasadne nałożenie w przedmiotowej sprawie administracyjnej kary pieniężnej, nie uznając go wobec całokształtu okoliczności sprawy za odpowiedni, niezbędny ani proporcjonalny. Zdaniem organu stwierdzone naruszenie ochrony danych osobowych, biorąc pod uwagę zakres udostępnionych danych nie powoduje wysokiego ryzyka istotnych, negatywnych konsekwencji w sferze praw lub wolności skarżącego. Miało ono przy tym charakter jednostkowy, incydentalny, doszło do niego w następstwie błędu, zaś administrator podjął w związku ze zdarzeniem adekwatne działania zaradcze.
Organ wskazał, że w rozpoznawanej sprawie niewątpliwie doszło do naruszenia przepisów o ochronie danych osobowych i naruszenie to ma charakter nieodwracalny
w tym sensie, że nie sposób cofnąć jego konsekwencji sprowadzających się do umożliwiania zapoznania się z danymi osobowymi skarżącego zawartymi
w korespondencji błędnie załączonej do akt niewłaściwego postępowania, przez osobę nieuprawnioną. Mając na uwadze powyższe, kierując się potrzebą egzekwowania zapisów RODO organ uznał za zasadne skorzystanie w niniejszej sprawie z instrumentu przewidzianego w art. 58 ust. 2 lit. b) RODO, tj. upomnienia. Organ wskazał, że podejmując decyzję o skorzystaniu z tego środka władczego oddziaływania uwzględnił treść motywów 129 i 148 RODO. Biorąc pod uwagę całokształt okoliczności sprawy oraz wszystkie przesłanki wskazane w ww. motywach, PUODO uznał, że ten środek będzie odpowiedni, niezbędny i proporcjonalny.
Odnosząc się do wniosków dowodowych skarżącego organ wskazał, że nie kwestionuje zasadności zarzutów skarżącego sformułowanych w skardze inicjującej niniejsze postępowanie. Nie neguje zaistnienia zaskarżonego incydentu, jak również podziela stanowisko skarżącego odnośnie braku podstaw prawnych dla zaskarżonego udostępnienia jego danych osobowych. Zaskarżone działania organu nadzorczego jako administratora danych osobowych skarżącego zarówno w ich wymiarze faktycznym (fakt zaistnienia), jak i prawnym (ocena prawna) pozostają niesporne. Zdaniem organu czyni to zbędnym przeprowadzanie jakichkolwiek dalszych czynności dowodowych w tym zakresie.
PUODO podkreślił, że wszystkie okoliczności sprawy znane są organowi i zostały potwierdzone materiałem dowodowym zgromadzonym w aktach niniejszego postępowania. Dotyczy to także kwestii tego, że oceniany incydent miał charakter nieumyślny. W wyjaśnieniach złożonych przez Departament [...] z 23 sierpnia 2022 r. jednoznacznie wskazano, że do naruszenia doszło na skutek omyłkowego załączenia pisma Wspólnoty Mieszkaniowej z [...] kwietnia 2022 r. Dodatkowym dowodem potwierdzającym ustalenie stanu faktycznego jest oświadczenie pracownika, którego nieumyślne działanie przyczyniło się do naruszenia ochrony danych osobowych (oświadczenie to zastało odebrane przez Dyrektora Departamentu [...]). W ocenie PUODO przeprowadzenie dowodu z zeznania świadków (o co wnioskował skarżący) jedynie potwierdziłoby ustalony już stan faktyczny. Stosując się do nałożonego na organ nadzorczy wyrokiem WSA w Warszawie z 26 maja 2023 r. obowiązku wskazania, czy zdarzenie było umyślne czy nieumyślne - zarówno celem uzasadnienia powodów, dla których organ nie skorzystał w niniejszej sprawie z możliwości zastosowania sankcji, jak również powodów odmowy uwzględnienia wniosków dowodowych skarżącego w tym obszarze – organ wskazał, że wyjaśniania w przedmiotowej sprawie zostały złożone przez Dyrektora Departamentu [...], tzn. przez osobę odpowiedzialną za organizację pracy komórki Urzędu, w której doszło do naruszenia ochrony danych osobowych (Dyrektor Departamentu [...] jest przełożonym pracownika, który błędnie załączył dokument zawierający dane osobowe do niewłaściwej sprawy). Dodatkowo, w celu wyeliminowania wątpliwości Sądu (co kwestii umyślności działania pracownika Departamentu [...]), odebrano wyjaśnienia od pracownika, którego nieumyślne działanie doprowadziło do naruszenia ochrony danych osobowych. Zdaniem PUODO przeprowadzenie jakiegokolwiek dodatkowego dowodu w niniejszej sprawie pozostawałoby bez wpływu na ustalenie stanu faktycznego i rozstrzygnięcie organu nadzorczego, bowiem wyjaśnienia w tym zakresie odebrano od pracownika odpowiedzialnego za kwestionowane działanie oraz od jego przełożonego służbowego.
PUODO podniósł, że przeprowadzenie dodatkowych dowodów, o co wnioskował skarżący, nie zmieniłoby oceny zaistniałego naruszenia ochrony danych osobowych Skarżącego. Zdaniem organu bez znaczenia dla rozstrzygnięcia w przedmiotowej sprawy jest także oświadczenie T. B. złożone do protokołu w dniu 15 września
2023 r. Organ podkreślił, że osoba ta nie jest stroną, ani uczestnikiem niniejszego postępowania administracyjnego. Poglądy wyrażone przez T. B. nie zostały złożone w imieniu skarżącego, bowiem ww. złożył oświadczenie "jako osoba ujawniająca naruszenie ochrony danych osobowych Pana K. O.". Niezależnie jednak od powyższego okoliczności wskazane przez T. B. w oświadczeniu
z 15 września 2023 r. nie zostały poparte żadnymi dowodami, a ponadto przedstawione w nim obserwacje dotyczące funkcjonowania Urzędu Ochrony Danych Osobowych
w aspekcie udostępniania do wglądu akt postępowania administracyjnego nie mają wpływu na stwierdzenie przez organ nadzorczy naruszenia.
Końcowo organ wskazał, że mając na uwadze wielokrotnie powielane wnioski profesjonalnego pełnomocnika skarżącego (T. B.) o umożliwienie mu "przedstawienia istotnych dowodów w niniejszym postępowaniu", przy równoczesnym braku przedstawiania jakichkolwiek merytorycznych informacji i dowodów w bardzo obszernej korespondencji nadsyłanej do organu oraz wnioski dowodowe dotyczące okoliczności, które już zostały bezspornie ustalone, należy poddać w wątpliwość jego rzeczywiste intencje. Zdaniem organu wydaje się, że działania te nie tylko nie służą ochronie praw skarżącego, lecz stanowią cel sam w sobie i mogą być oceniane
w kategoriach nadużycia prawa.
Na powyższą decyzję skarżący, reprezentowany przez pełnomocnika – radcę prawnego T. B., wniósł skargę do Wojewódzkiego Sądu Administracyjnego
w Warszawie.
Skarżący zarzucił organowi, naruszenie art. 7, art. 75 w zw. z art. 77 § 1 k.p.a. poprzez wydanie rozstrzygnięcia na podstawie ustaleń, które nie zostały dokonane
w sposób pełny, wyczerpujący, rzetelny, obiektywny.
Zdaniem skarżącego postępowanie w przedmiotowej sprawie zostało także przeprowadzone z naruszeniem zasady bezstronności i unikania konfliktu interesów,
a organ prowadzący postępowanie nie przeprowadził istotnych dla sprawy dowodów, wnioskowanych przez pełnomocnika skarżącego oraz nie rozpatrzył i pominął przy rozstrzygnięciu materiał dowodowy, którym dysponował Urząd Ochrony Danych Osobowych.
W uzasadnieniu skargi skarżący podniósł, że w przedmiotowej sprawie kompetencja organu (kompetencja UODO do rozpoznania spraw dotyczących własnego bezprawnego ujawnienia danych osobowych) nie jest wprost określona. W ustawie
o ochronie danych osobowych regulacji takich bowiem nie zawarto. W innych regulacjach ustawowych, dotyczących tego rodzaju organów publicznych - regulatorów lub organów nadzoru nad danych obszarem sfery publicznej - istnieją przepisy dotyczące sposobu rozpatrywania naruszeń dokonanych przez ten organ. Kompetencja PUODO do rozpatrywania przedmiotowej sprawy wywiedziona jest zatem z wykładni systemowej
i celowościowej, nie ma bowiem wprost przepisów regulujących kwestie bezprawnego ujawnienia danych osobowych przez pracowników Urzędu Ochrony Danych Osobowych. Zdaniem skarżącego w takich sprawach PUODO jest de facto sędzią we własnej sprawie.
W ocenie skarżącego taka perspektywa spojrzenia na przepisy w zakresie objętych niniejszym postępowaniem prowadzi do wniosku, że powyższe okoliczności wskazują na bezsporną konieczność zapewnienia mechanizmów bezstronności
i unikania konfliktu interesów oraz rzetelnego, pełnego obiektywnego bezstronnego ustalenia stanu faktycznego, gdyż Urząd Ochrony Danych Osobowych prowadzi postępowanie w sprawie bezprawnego ujawnienia danych osobowych przez pracowników Urzędu Ochrony Danych Osobowych, czyli jest sędzią we własnej sprawie.
Skarżący podniósł, że jego pełnomocnik wielokrotnie zwracał się o wprowadzenie mechanizmów zapewniających realizację powyższych zasad.
Dalej skarżący zwrócił uwagę, że decyzja w sprawie ponownie została wydana
z upoważnienia PUODO przez Dyrektora Departamentu [...] Urzędu Ochrony Danych Osobowych. Zdaniem skarżącego oznacza to, że podległy PUODO pracownik (Dyrektor Departamentu [...] Urzędu Ochrony Danych Osobowych) rozstrzygnął o kwestii naruszeń | odpowiedzialności swojego przełożonego. Nie kwestionując prawa PUODO do upoważnienia Dyrektora Departamentu [...] Urzędu Ochrony Danych Osobowych do wydawania decyzji, zdaniem skarżącego należy zauważyć, że to podległy PUODO pracownik prowadził postępowanie, wydał decyzje i zastosował instrumenty sankcyjne (udzielił upomnienia wobec swojego przełożonego. Status pracowniczy (od powierzenia funkcji, poprzez wynagradzanie, premiowanie, dyscyplinowanie, nagradzanie, ocenianie, rozwiązanie stosunku pracy itp.) Dyrektora Departamentu [...] Urzędu Ochrony Danych Osobowych zależny jest od PUODO, wobec którego Dyrektor Departamentu [...] Urzędu Ochrony Danych Osobowych prowadził postępowania i udzielił upomnienia. Taka sytuacja prowadzi do oczywistego i bezspornego konfliktu interesów oraz narusza zasadę bezstronności działania organu, co przedmiotowej sprawie miało miejsce na całym etapie prowadzonego przez UODO postępowania.
Skarżący podniósł, że nie zostały przeprowadzone dowody dotyczące:
- dołączenia do akt postępowania dokumentacji z postępowania przeprowadzonego postępowania przez Inspektora Ochrony Danych w UODO przeprowadzonego po zgłoszeniu faktu bezprawnego ujawnienia przez pracowników Departament [...] Urzędu Ochrony Danych Osobowych danych osobowych skarżącego;
- przesłuchania w charakterze świadka trzech pracowników Departamentu [...] Urzędu Ochrony Danych Osobowych, którzy w dniu [...] czerwca 2022 r. w W., w siedzibie Urzędu Ochrony Danych Osobowych ujawnili dane osobowe skarżącego, w tym m. in. wypełnionej karty do głosowania wspólnoty mieszkaniowej oraz bezprawnego ujawnienia danych zawartych na kartach prowadzanego przez Urząd postępowania. Skarżący wskazał, że dowód ten miał prowadzić do ustalenia okoliczności w jakich doszło do naruszenia, przyczyn tego naruszenia, w tym wyjaśnienia dlaczego do tego naruszenia doszło, pomimo, że termin zapoznania się z aktami sprawy został wyznaczony trzy tygodnie wcześniej, a w zapoznaniu się z aktami sprawy uczestniczyło trzech pracowników Departamentu [...] Urzędu Ochrony Danych Osobowych (dlaczego akta sprawy nie zostały uporządkowane i przygotowane do dokonania przeglądu przez stronę postępowania). Dowód ten ma też ustalić przyczynę dlaczego w aktach postępowania [...] znalazła się nieponumerowana karta do głosowania wspólnoty mieszkaniowej oraz dlaczego dokumenty powyższe nie zostały wyłączone z akt sprawy przed ich udostępnieniem. W konsekwencji oznacza to, że akta sprawy nie zostały uporządkowane i odpowiednio przygotowane do przeglądu przez stronę postępowania. Zdaniem skarżącego powyższe wskazuje na niezachowanie minimalnych standardów postępowania i dobrych praktyk w tej sprawie i świadczy
o umyślności działania (zamiar ewentualny).
- przesłuchanie w charakterze świadka Dyrektora Departamentu [...] Urzędu Ochrony Danych Osobowych, w zakresie ustalenia okoliczności w jakich doszło do naruszenia, przyczyn tego naruszenia, w tym wyjaśnienia dlaczego do tego naruszenia doszło, pomimo, że termin zapoznania się z aktami sprawy został wyznaczony trzy tygodnie wcześniej, a w zapoznaniu się z aktami sprawy uczestniczyło trzech pracowników Departamentu [...] Urzędu Ochrony Danych Osobowych (dlaczego akta sprawy nie zostały uporządkowane i przygotowane do przeglądu przez stronę postępowania). Dowód ten ma prowadzić do ustalenia jakie działania zarządcze podjęto związku z bezprawnym ujawnieniem danych osobowych pracowników Departamentu [...] Urzędu Ochrony Danych Osobowych, czy wobec pracowników wyciągnięto konwekcje służbowe lub dyscyplinarne, jeżeli tak, to jakie. Jeżeli takich konsekwencji nie wyciągnięto, to dlaczego.
Skarżący podniósł również, że nie został też przeprowodzony dowód wnioskowany przez pełnomocnika skarżącego, dotyczący ustalenia, czy Urząd wprowadził wewnętrzne procedury, dotyczące zarządzania dokumentacją (m.in. rejestracji akt postępowania, prowadzenia akt sprawy, udostępniania akt postępowania) oraz ustalenia, czy procedury te były w przedmiotowej sprawie przestrzegane. Zdaniem skarżącego dowód ten byłby do ustalenia przesłanek umyślności działania i stosowania środków sankcyjnych.
Ponadto skarżący zarzucił, że od momentu zawiadomienia Urzędu Ochrony Danych Osobowych o bezprawnym ujawnieniu danych osobowych poszkodowanego oraz bezprawnym ujawnieniu akt postępowania (w dniu [...] czerwca 2022 r.), w trakcie postępowania dowodowego UODO wystosował jedynie jedno pismo w sprawie prowadzonego naruszenia. Pismo to zostało skierowane do osoby zarządzającej Departamentem Skarg UODO. Nie pobrano natomiast wyjaśnień, czy też innych dowodów, od osób które bezpośrednio dopuściły do bezprawnego ujawnienia danych osobowych poszkodowanego oraz bezprawnego ujawnienia akt postępowania prowadzonego przez Urząd. Ponadto w aktach sprawy znalazło się oświadczenie N. H., z którym zapoznała się Dyrektor Departamentu [...] UODO. Z akt postępowania nie wynika jednakże na czyj wniosek oświadczenie to zostało sporządzone, w jakim postępowaniu i trybie je sporządzono, jakie znaczenie ma adnotacja Dyrektora Departamentu [...] UODO na tym oświadczeniu (w kontekście bezstronności postępowania), jak i dlaczego zostało przekazane do akt przedmiotowego postępowania. Dodatkowo wątpliwości w tym zakresie podglebia naruszenie przez organ art. 66a k.p.a., to jest niesporządzenie metryki sprawy.
W odpowiedzi na skargę organ wniósł o oddalenie skargi, podtrzymując argumentację zawartą w zaskarżonej decyzji.
W piśmie procesowym z dnia 14 października 2024 r. skarżący podtrzymał zarzuty skargi.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267, z późn. zm.) oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U.
z 2024 r. poz. 935), dalej "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. Kontrola ta jest dokonywana według stanu faktycznego i prawnego obowiązującego w dacie wydania zaskarżonego aktu.
W myśl art. 134 § 1 i 2 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną,
z zastrzeżeniem art. 57a, przy czym sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności.
Rozpatrując skargę wedle powyższych kryteriów Sąd uznał, że nie zasługuje ona na uwzględnienie.
Zaskarżoną w niniejszej sprawie decyzją organ udzielił upomnienia Prezesowi Urzędu Ochrony Danych Osobowych w związku z nieuprawnionym udostępnieniem danych osobowych skarżącego osobie trzeciej. Do udostępnienia danych osobowych skarżącego osobie trzeciej doszło wskutek załączenia dokumentu zawierającego dane osobowe skarżącego (tj. pisma Wspólnoty Mieszkaniowej z [...] kwietnia 2022 r. wraz z załącznikiem) do akt postępowania administracyjnego prowadzonego w trybie skargowym w sprawie zainicjowanej skargą tejże osoby trzeciej i udostępnienia tych akt do wglądu stronie tego postępowania. Osobą trzecią jest radca prawny T. B. występujący w postępowaniu przed organem, jak i przed sądem, jako pełnomocnik skarżącego.
Zauważyć należy, że zaskarżona decyzja została wydana w wyniku wyroku tutejszego Sądu z dnia 26 maja 2023 r., sygn. akt II SA/Wa 2201/22, którym uchylono decyzję PUODO z dnia [...] października 2022 r. Decyzją tą organ odmówił uwzględnienia wniosku.
Dokonując kontroli legalności zaskarżonej w niniejszej sprawie decyzji konieczne zatem jest zbadanie, czy organ rozpatrując sprawę ponownie zastosował się do oceny prawnej oraz wskazań do dalszego postępowania zawartych w powyższym wyroku. Sąd rozpoznający skargę wniesioną w niniejszej sprawie jest bowiem związany oceną prawną i wytycznymi zawartymi we wskazanym wyżej prawomocnym wyroku tutejszego Sądu, który wyznaczył kierunek postępowania w niniejszej sprawie.
Zgodnie z art. 153 p.p.s.a. ocena prawna i wskazania co do dalszego postępowania wyrażone w orzeczeniu sądu wiążą w sprawie organy, których działanie, bezczynność lub przewlekłe prowadzenie postępowania było przedmiotem zaskarżenia, a także sądy, chyba że przepisy prawa uległy zmianie.
Jak wyjaśnił Naczelny Sąd Administracyjny w wyroku z 25 marca 2014 r., sygn. akt II GSK 55/13, obowiązek ten może być wyłączony tylko w przypadku istotnej zmiany stanu prawnego lub faktycznego, a także po wzruszeniu wyroku. Ocena prawna może dotyczyć stanu faktycznego, wykładni przepisów prawa materialnego i procesowego, prawidłowości korzystania z uznania administracyjnego, jak i kwestii zastosowania określonego przepisu prawa, jako podstawy do wydania decyzji. W pojęciu "ocena prawna" mieści się przede wszystkim wykładnia przepisów prawa materialnego i prawa procesowego. Ocena prawna dotyczy dotychczasowego postępowania w sprawie, zaś "wskazania" określają sposób postępowania organów w przyszłości i wynikają z uzasadnienia wyroku. Wskazania stanowią więc konsekwencję oceny prawnej, zwłaszcza oceny przebiegu postępowania przed organami administracyjnymi i rezultatu tego postępowania w postaci materiału procesowego zebranego w sprawie. Ich celem jest zapobieżenie w przyszłości błędom, stwierdzonym przez sąd administracyjny w trakcie kontroli zaskarżonego orzeczenia.
Przepis art. 153 p.p.s.a. ma charakter bezwzględnie obowiązujący, wobec czego ani organ administracji publicznej, ani sąd administracyjny orzekając ponownie w tej samej sprawie, nie może pominąć oceny prawnej wyrażonej wcześniej w orzeczeniu, gdyż ocena ta wiąże go w sprawie. Uregulowanie zawarte w art. 153 p.p.s.a. oznacza, że orzeczenie sądu administracyjnego wywiera skutki wykraczające poza zakres postępowania sądowoadministracyjnego, bo jego oddziaływaniem objęte jest także przyszłe postępowanie administracyjne w danej sprawie. Związanie samego sądu administracyjnego, w rozumieniu art. 153 p.p.s.a. oznacza, że nie może on formułować nowych ocen prawnych, które są sprzeczne z wyrażonym wcześniej poglądem, lecz zobowiązany jest do podporządkowania się mu w pełnym zakresie oraz konsekwentnego reagowania w razie stwierdzenia braku zastosowania się organu administracji publicznej do wskazań w zakresie dalszego postępowania (por. wyroki NSA: z 21 marca 2014 r., I GSK 534/12, LEX nr 1487724; z 15 stycznia 2014 r., II GSK 1762/12, LEX nr 1452730).
Sąd uchylając wyrokiem z 26 maja 2023 r. decyzję PUODO z dnia [...] października 2022 r. zarzucił organowi naruszeniem art. 7 i art. 77 § 1 k.p.a. na skutek pominięcia, że zaskarżony incydent polegał na ujawnieniu osobie trzeciej m. in. danych osobowych skarżącego utrwalonych w dokumencie karty do głosowania, którą wypełnił skarżący
w związku z głosowaniem we Wspólnocie Mieszkaniowej. Sąd wskazał przy tym, że rozstrzygnięcie w sprawie skargi na naruszenie ochrony danych osobowych powinno
w pierwszej kolejności wiązać się z precyzyjnym ustaleniem i wskazaniem w treści decyzji, zakresu danych objętych tym incydentem, gdyż kwestia ta determinuje decyzje odnośnie zasadności zastosowania przez organ nadzorczy środków władczego oddziaływania przewidzianych w art. 58 ust. 2 w związku z art. 83 RODO oraz odnośnie wyboru tych środków.
Sąd wskazał ponadto, że kierując się wymogami art. 11 k.p.a. w związku z art. 107 § 1 pkt 4 i 6 i § 3 k.p.a. oraz mając na względzie motyw 148 RODO, organ powinien wyjaśnić przesłanki, którymi kierował się wydając zaskarżoną decyzję i powody, dla których odstąpił od zastosowania któregokolwiek z prawem przewidzianych środków władczego oddziaływania wymienionych w art. 58 ust. 2 RODO, a zarazem od nałożenia - oprócz lub zamiast jednego z ww. środków - kary pieniężnej, o której mowa w art. 83 RODO. Sąd ocenił przy tym, że brak odniesienia się w uzasadnieniu uchylonego rozstrzygnięcia do wszystkich aspektów sprawy istotnych z punktu widzenia decyzji
o zasadności i wyborze środków władczego oddziaływania (w tym kwestii, czy incydent miał charakter umyślny, czy nieumyślny), stanowiło naruszenie art. 11 i art. 107 § 1 pkt 6 i § 3 k.p.a. Sąd wskazał również, że odmowę przeprowadzenia zeznań wnioskowanych przez skarżącego świadków należało uzasadnić w sposób spójny i logiczny, który nie pozostawiałby wątpliwości co do braku potrzeby ich przesłuchania na okoliczność zawinionego bądź nie działania pracowników organu.
Zauważyć też należy, że w sprawie mamy do czynienia z sytuacją nietypową, albowiem PUODO jest z jednej strony organem nadzoru rozstrzygającym sprawę zainicjowaną skargą skarżącego, a z drugiej jest on jednocześnie stroną tego postępowania. PUODO bowiem jako administrator danych osobowych skarżącego dopuścił się nieprawidłowości w procesie przetwarzania jego danach osobowych.
Kwesta tej podwójnej roli organu w niniejszej sprawie poddana została jednak już ocenie tutejszego Sądu we wskazanym wyżej wyroku z 26 maja 2023 r. i oceną tą Sąd rozpatrujący niniejszą sprawę jest związany. W wyroku z dnia 26 maja 2023 r. Sąd wskazał, że "(...) obowiązkiem Prezesa UODO, działającego jako organ nadzorczy, była zatem ocena legalności przetwarzania danych osobowych konkretnej osoby – Skarżącego, w związku ze złożoną przez ten podmiot skargą. Ustawodawca nie przewidział bowiem złożenia skargi do innego podmiotu niż Prezes UODO w zakresie naruszenia przepisów RODO i u.o.d.o. W uprawnieniach Prezesa UODO mieściło się też w związku z tym udzielenie upoważnienia do wydawania decyzji Dyrektorowi Departamentu [...] UODO. Sąd w związku z tym nie znalazł podstaw do uwzględnienia zarzutów skargi w zakresie kwestionowania upoważnienia udzielonego do wydawania ww. decyzji."
Stwierdzić zatem należy, że nie można była ocenić jako wadliwe działanie organu polegające na tym, iż zaskarżona decyzja została wydana z upoważnienia PUODO przez Dyrektora Departamentu [...].
Kontrolując zaskarżoną decyzję Sąd zważył, że w świetle RODO przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 RODO, a mianowicie: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów, b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Przetwarzanie danych osobowych skarżącego w opisany wyżej sposób niewątpliwie nie znajdowało oparcia w art. 6 ust. 1 RODO. Organ nie kwestionuje, że dopuścił się zarzuconego mu przez skarżącego naruszenia.
Organ w tym zakresie ustalił, że 25 kwietnia 2022 r. do Urzędu Ochrony Danych Osobowych wpłynęło (za pośrednictwem ePUAP) pismo strony postępowania skargowego toczącego się pod sygn.[...]. Korespondencja ta (zgodnie z Instrukcją Kancelaryjną Urzędu) została zarejestrowana, wydrukowana i skompletowana przez punkt kancelaryjny. Na pierwszej stronie wydruku naniesiono pieczątkę wpływu. Po wykonaniu czynności związanych z przyjęciem i zarejestrowaniem przesyłki, punkt kancelaryjny przekazał ją do właściwej komórki organizacyjnej, tj. do Departamentu [...] tut. Urzędu po przypisaniu przesyłki do konkretnej sprawy. Przesyłka została przekazana do dekretacji, a następnie trafiła do pracownika prowadzącego sprawę, który (zgodnie z ww. Instrukcją po sprawdzeniu, czy przekazana mu przesyłka należy do sprawy już wszczętej, czy też rozpoczyna nową sprawę) dołączył ją do akt sprawy już wszczętej - w takiej postaci, w jakiej została ona skompletowana przez punkt kancelaryjny. Korespondencja ta została dołączona do akt sprawy o sygnaturze [...] i otrzymała numerację kart 77-85. W dniu 29 czerwca 2022 r. podczas przeglądu akt postępowania[...] , strona tego postępowania – radca prawny T. B., zwrócił uwagę, że na karcie 82 znajduje się pismo, które zawiera dane osoby niebędącej uczestnikiem tego postępowania. Na skutek załączenia pisma Wspólnoty Mieszkaniowej z [...] kwietnia 2022 r. do pisma z 25 kwietnia 2022 r. dotyczącego sprawy o sygn. [...] doszło do ujawnienia danych osobowych skarżącego, tj. osoby niebędącej uczestnikiem postępowania w sprawie o sygn. [...] w zakresie imienia i nazwiska, numeru telefonu, adresu e-mail członka zarządu Wspólnoty Mieszkaniowej oraz informacji dotyczącej przedmiotu zapytania skierowanego przez ww. Wspólnotę Mieszkaniową do Urzędu. Do pisma wspólnoty dołączona została również karta do głosowania we Wspólnocie. Karta ta zawiera dane osobowe skarżącego oraz wskazuje sposób jego głosowania na dwie uchwały Wspólnoty.
Stan faktyczny sprawy opisany powyżej jest w istocie niesporny. Sporna jest jednak ocena pewnych jego elementów.
Po pierwsze sporne jest, czy stwierdzone w sprawie naruszenie miało charakter umyślny czy nieumyślny. Skarżący zarzuca, że organ nie zgromadził wiarygodnych, obiektywnych i rzetelnych dowodów dotyczących okoliczności bezprawnego ujawnienia jego danych osobowych oraz nie przeprowadził dowodów w zakresie potwierdzenia umyślności lub braku umyślności działania pracowników UODO.
Zdaniem Sądu zarzuty te są niezasadne.
Zauważyć należy, że PUODO dokonując ustaleń w sprawie uzyskał stanowisko Dyrektora Departamentu [...] Urzędu Ochrony Danych Osobowych. Komórka ta prowadziła postepowanie w sprawie [...] Dyrektor Departamentu [...] w piśmie z dnia 23 sierpnia 2022 r. opisał zaistniałą sytuacje i wskazał, że dołączenie korespondencji dotyczącej skarżącego do akt innej sprawy nastąpiło na skutek omyłki. Potwierdzają to również wyjaśnienia pracownika Departamentu [...], który dołączył przedmiotową korespondencję do akt sprawy [...]. Pracownik ten w wyjaśnieniach z 13 listopada 2023 r. wskazał, że jego działanie było nieumyślne, całkowicie niezamierzone i wynikało z błędu. Osoba ta przedstawiła również okoliczności, które ten błąd mogły spowodować, a mianowicie to, że radca prawny T. B.
w sprawie [...] kierował do Urzędu liczne pisma z obszerną ilością załączników, często powielające się w swojej treści.
Ustalając stan faktyczny w niniejszej sprawie, w ocenie Sądu, naturalnym było aby uzyskać wyjaśnienia dotyczącego zaistniałego incydentu od osób bezpośrednio związanych z tym incydentem, a ściśle rzecz biorąc z tą jego fazą, która doprowadziła do dołączenia do akt sprawy [...] korespondencji dotyczącej innej sprawy. Osobami tymi były pracownik dołączający korespondencję oraz jego bezpośredni przełożony. Wybór środków dowodowych mających odtworzyć przebieg incydentu zdaniem Sądu był trafny.
Zauważyć też należy, że powyższe wyjaśnienia dwóch pracowników Urzędu są spójne i trudno im odmówić wiarygodności. Nie jest istotne przy tym, na czyj wniosek pracownik Departamentu [...] złożył wyjaśnienia w sprawie, czy też jakie znaczenie ma umieszczona na jego wyjaśnieniach adnotacja Dyrektora Departamentu [...] o treści "Zapoznałam się". Adnotacja ta w żaden sposób nie podważa wiarygodności tych wyjaśnień. Ponadto należy zauważyć, że wyjaśnienia złożył pracownik Departamentu [...] a przedmiotową adnotację naniosła osoba kierująca tym Departamentem. Adnotacja ta w istocie obrazuje zatem, że wyjaśnienia pracownika z zachowaniem drogi służbowej, być może zbędnej w okolicznościach niniejszej sprawy, zostały przekazane przełożonemu tego pracownika do zapoznania się. Nic więcej z tych okoliczności nie sposób wywieźć.
Pełnomocnik skarżącego wnosił w toku sprawy o przesłuchanie w charakterze świadków pracowników Urzędu, którzy przekazali mu w dniu [...] czerwca 2022 r. akta postępowania [...] do zapoznania się. Skarżący podnosił, że dowód ten miałby przyczynić się do ustalenia okoliczności, w jakich doszło do ujawnienia danych osobowych skarżącego. Kwestia ta jednak została wyjaśniona przy pomocy powyżej wskazanych dowodów. Przeprowadzenie dowodów z przesłuchania tych świadków było zatem zbędne. Zbędne z tych samych przyczyn było również przesłuchanie
w charakterze świadka Dyrektora Departamentu [...]. Osoba ta złożyła bowiem już wcześniej wyjaśnienia, których treść nie budzi wątpliwości i nie jest sprzeczna z innym dowodami zgormadzonym w sprawie.
Odnotować należy, że pełnomocnik skarżącego w toku postępowania próbował dociec, dlaczego doszło do przedmiotowego incydentu, tj., dlaczego mimo, że pracownicy Urzędu mieli czas na odpowiednie przygotowanie akt sprawy [...] do zapoznania się z nimi przez stronę tego postępowania, akt te zawierały dokumenty z innej sprawy. W tym zakresie pełnomocnik skarżącego upatruje możliwość oceny takiego działania jako umyślne (zamiar ewentualny) i dostrzega konieczność przeprowadzenia dodatkowych dowodów na tą okoliczność.
Należy jednak zwrócić uwagę, że pierwotną przyczyną całego incydentu jest dołączenie korespondencji do akt innej sprawy przez odpowiedzialnego za tę sprawę pracownika. Pracownik ten złożył wyjaśnienia w sprawie wskazując, że wynikało to z jego błędu i nie było to działaniem zamierzonym. Przy tego rodzaju okolicznościach, wykazanych już przy pomocy przeprowadzonych dowodów, trudno wymagać od organu aby podejmował jeszcze dodatkowe czynności w celu wykazania tezy głoszonej przez pełnomocnika skarżącego.
Słusznie organ zauważa w zaskarżonej decyzji, że Grupa Robocza art. 29 RODO w wytycznych w sprawie stosowania i ustalania administracyjnych kar pieniężnych do celów RODO przyjętych 3 października 2017 r., odnosząc się do aspektu umyślności bądź nieumyślności naruszenia wskazała, że zasadniczo "umyślność" obejmuje zarówno wiedzę, jak i celowe działanie, w związku z cechami charakterystycznymi czynu zabronionego, podczas gdy "nieumyślność" oznacza brak zamiaru spowodowania naruszenia, pomimo niedopełnienia przez administratora/podmiot przetwarzający obowiązku staranności wymaganego prawem.
Organ ustalił, że pracownik odpowiedzialny za akta sprawy [...] popełnił błąd w dołączaniu korespondencji do tychże akt oraz że było to działanie niezamierzone. Niezależnie od tego, czy było to działanie spowodowane lekkomyślnością, czy też niedbalstwem, niewątpliwie w świetle ustaleń organu było to działanie nieumyślne.
Kolejną kwestią związaną ze stanem faktycznym sprawy, która mogła budzić kontrowersję w sprawie jest zakres danych osobowych skarżącego, jaki został udostępniony osobie trzeciej. Sąd w wyroku z dnia 26 maja 2023 r. wytknął organowi, że pominął on, iż ujawniono osobie trzeciej również kartę do głosowania, która była wypełniona i zawierała dane osobowe. Sąd nakazał organowi ocenę tej okoliczności w świetle naruszenia przepisów RODO. Organ wywiązał się z tego obowiązku i rozpatrując sprawę ponownie wziął pod uwagę, że udostępniono również osobie trzeciej przedmiotową kartę do głosowania, która zwierała dane osobowe. To czy organ prawidłowo ocenił tę okoliczność i jej konsekwencje w kontekście konieczności zastosowania odpowiednich środków naprawczych omówione zostanie w dalszej części uzasadnienia wyroku.
Podsumowując tę część wywodów stwierdzić należy, że organ w wystarczający sposób zebrał i ocenił materiał dowodowy i w konsekwencji prawidłowo ustalił stan faktyczny sprawy. Nastąpiło to w zgodzie z art. 7, art. 77 § 1 i art. 80 k.p.a. Organ naprawił w tym zakresie błędy popełnione w poprzednio prowadzonym postępowaniu. Uzupełnił materiał dowodowy o wyjaśnienia pracownika odpowiedzialnego za dołączenie do akt sprawy [...] dokumentów dotyczących skarżącego i zwierających jego dane osobowe. Przekonująco, w sposób spójny i logiczny, a przy tym w zgodzie z art. 107 § 3 k.p.a., organ wyjaśnił też powody nieprzeprowadzenia dowodów wnioskowanych przez skarżącego. PUODO wykonał w tym zakresie zalecenia Sądu zawarte w wyroku z dnia 26 maja 2023 r.
Zdaniem Sądu organ wywiązał się również z obowiązku wyjaśnienia dlaczego
w okolicznościach niniejszej sprawy adekwatnym środkiem naprawczym było udzielenie upomnienia i z jakich powodów nie zachodziła konieczność nałożenia kary pieniężnej.
Wyjaśnić należy, że zgodnie z art. 58 ust. 2 RODO każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze:
a) wydawanie ostrzeżeń administratorowi lub podmiotowi przetwarzającemu dotyczących możliwości naruszenia przepisów niniejszego rozporządzenia poprzez planowane operacje przetwarzania;
b) udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania;
c) nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia;
d) nakazanie administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu;
e) nakazanie administratorowi zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych;
f) wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania;
g) nakazanie na mocy art. 16, 17 i 18 sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania oraz nakazanie na mocy art. 17 ust. 2 i art. 19 powiadomienia o tych czynnościach odbiorców, którym dane osobowe ujawniono;
h) cofnięcie certyfikacji lub nakazanie podmiotowi certyfikującemu cofnięcia certyfikacji udzielonej na mocy art. 42 lub 43, lub nakazanie podmiotowi certyfikującemu nieudzielania certyfikacji, jeżeli jej wymogi nie są spełnione lub przestały być spełniane;
i) zastosowanie, oprócz lub zamiast środków, o których mowa w niniejszym ustępie, administracyjnej kary pieniężnej na mocy art. 83, zależnie od okoliczności konkretnej sprawy;
j) nakazanie zawieszenia przepływu danych do odbiorcy w państwie trzecim lub do organizacji międzynarodowej.
W motywie 148 RODO wskazuje się, że "Aby egzekwowanie przepisów niniejszego rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne - oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. Jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące."
Stosownie natomiast do treści art. 83 ust. 2 RODO administracyjne kary pieniężne nakłada się, zależnie od okoliczności każdego indywidualnego przypadku, oprócz lub zamiast środków, o których mowa w art. 58 ust. 2 lit. a)-h) oraz j). Decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca się w każdym indywidualnym przypadku należytą uwagę na:
a) charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody;
b) umyślny lub nieumyślny charakter naruszenia;
c) działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą;
d) stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich na mocy art. 25 i 32;
e) wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego;
f) stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków;
g) kategorie danych osobowych, których dotyczyło naruszenie;
h) sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie;
i) jeżeli wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 - przestrzeganie tych środków;
j) stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42; oraz
k) wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.
Jak zasadnie zauważa organ w zaskarżonej decyzji przepisy regulujące te spośród kompetencji organu nadzorczego, które służą nie tyle przywróceniu w rozpoznawanej sprawie stanu zgodnego z prawem (np. art. 58 ust. 2 lit c)-e) RODO), lecz mają służyć wzmocnieniu respektowania prawa o ochronie danych, poprzez oddziaływanie o charakterze upominawczym (art. 58 ust. 2 lit. b) RODO) bądź represyjnym (art. 58 ust. 2 lit. i) w zw. z art. 83 RODO), wskazują na uprawnienia, a nie obowiązki organu nadzorczego. Organ nadzorczy każdorazowo podejmuje decyzję odnośnie zasadności
i celowości skorzystania z tych uprawnień, biorąc pod uwagę ich funkcję, zamierzony skutek i całokształt indywidualnych okoliczności sprawy. Podkreślenia wymaga, że ww. przepisy nie obligują organu do tego, aby w przypadku uznania skargi za zasadną zastosować konkretny instrument prawny w nich określony. Skorzystanie z takiego instrumentu jest uzasadnione i potrzebne o tyle, o ile może przyczynić się do wzmocnienia respektowania i egzekwowania przepisów RODO przy uwzględnieniu wymogu proporcjonalności, a także przewidywanej skuteczności stosowanego środka.
Słuszna jest również uwaga organu wskazująca, że w przedmiotowej sprawie nieuprawnione przetworzenie danych skarżącego jest faktem nieodwracalnym. Żaden
z przyznanych organowi instrumentów władczego oddziaływania nie może zatem doprowadzić do przywrócenia sytuacji pierwotnej. Wszelkie działania podjęte w tym postępowaniu przez organ nadzorczy mogą wobec tego mieć wyłącznie oddziaływanie represyjne lub prewencyjne. Ponadto skarżącemu nie przysługują konkretne roszczenia w odniesieniu do tych środków.
Zauważyć należy, że w motywie 148 RODO, tak jak już zaznaczono powyżej, wskazuje się, że jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia.
Wobec tego istotne było w niniejszej sprawie ustalenie skali naruszenia, jakiego dopuścił się PUODO. Zgodzić się należy z oceną organu, że naruszenie to nie wiąże się z wysokim ryzykiem istotnych, negatywnych konsekwencji dla skarżącego. Naruszenie objęło wyłącznie dane osobowe skarżącego. Ponadto objęło ono taki zakres danych osobowych, który organ prawidłowo ocenił, jako stosunkowo wąski. Istotne jest przy tym, że naruszenie nie objęło numeru ewidencyjnego PESEL skarżącego. Nie dotyczyło także żadnych z kategorii danych wymienionych w art. 9 RODO, takich jak np. dane dotyczące pochodzenia rasowego lub etnicznego, przekonań religijnych lub światopoglądowych, dane biometryczne, dane dotyczące zdrowia, seksualności lub orientacji seksualnej, ani też nie dotyczy wyroków skazujących i czynów zabronionych - art. 10 RODO. Słusznie organ również ocenił, że także dane osobowe skarżącego utrwalone w dokumencie karty do głosowania nie generują wysokiego ryzyka naruszenia praw lub wolności osób fizycznych. Taka ocena jest uprawniona nawet jeżeli była to karta obrazująca faktyczny sposób głosowania skarżącego, a nie przykładowa karta do głosowania. Zasadnie bowiem organ zauważa, że uzyskanie przez osobę postronną wiedzy na temat sposobu głosowania skarżącego w określonej dacie nad określonymi uchwałami Zarządu Wspólnoty Mieszkaniowej nie wiąże się z ryzykiem zaistnienia po jego stronie poważnych, trudnych do przezwyciężenia dolegliwości, czy to w sferze materialnej, czy w sferze dóbr niematerialnych. Podkreślenia też wymaga, że karta ta nie zwiera danych wrażliwych.
Organ zwraca też uwagę na szczególny kontekst ujawnienia danych osobowych skarżącego polegający na tym, że osoba trzecia, która powzięła informację o danych osobowych skarżącego, była następnie jego pełnomocnikiem w postępowaniu przed organem, a później również w postępowaniu przed Sądem w niniejszej sprawie. W istocie kontekst ten niweluje obawy o możliwe nieuprawnione dalsze wykorzystanie przez osobę trzecią tych danych. Tak jak słusznie organ zauważa, skarżący nie tylko nie dążył do tego, aby nieuprawniony odbiorca danych zaprzestał ich przetwarzania, usunął je, czy zobowiązał się do zachowania ich w poufności, lecz nawiązał z nim relację w postaci stosunku pełnomocnictwa i w ramach tej relacji dane te podlegają dalszemu przetwarzaniu, na rzecz skarżącego i w jego imieniu.
Zdaniem Sądu organ wyczerpująco przeanalizował wszystkie kwestie, które mogłyby wskazywać na konieczność zastosowania kary pieniężnej, a które zostały wymienione w art. 83 ust. 2 RODO. Niecelowe wydaje się powtarzanie w tym miejscu wywodów organu. W ocenie Sądu przedstawioną przez organ argumentację cechuje rzetelność i spójność. Odzwierciedla ona również dążenie organu do skrupulatnej oceny potrzeby zastosowania w niniejszej sprawie kary pieniężnej. Wywód ten, zdaniem Sądu, przeprowadzony został w sposób obiektywny, co w okolicznościach niniejszej sprawy było niezwykle istotne. Nadmienić jedynie należy, że do najistotniejszych okoliczności, które przemawiały za niezastosowaniem kary pieniężnej należy mała waga naruszenia, brak w istocie jakiejkolwiek szkody wyrządzonej tym naruszeniem, a także jego nieumyślny charakter.
Prawidłowo organ w efekcie uznał, że niezasadne byłoby nałożenie
w przedmiotowej sprawie administracyjnej kary pieniężnej. Podzielić należy ocenę organu, że środek taki nie byłby w okolicznościach tej sprawy odpowiedni, niezbędny, ani też proporcjonalny. Istotne jest to, że stwierdzone naruszenie ochrony danych osobowych, biorąc pod uwagę zakres udostępnionych danych nie powoduje wysokiego ryzyka istotnych, negatywnych konsekwencji w sferze praw lub wolności skarżącego. Zgodzić się należy z organem, że miało ono przy tym charakter jednostkowy, incydentalny i doszło do niego w następstwie błędu. Ponadto administrator podjął w związku ze zdarzeniem adekwatne działania zaradcze. W pełni uprawnione było w tym przypadku zastosowanie środka naprawczego w postaci upomnienia.
Reasumując należy przede wszystkim stwierdzić, że organ zastosował się do oceny prawnej i wskazań do dalszego postępowania zawartych w wyroku z dnia 26 maja 2023 r. Organ w wystarczający sposób zebrał i oceniły materiał dowodowy i w efekcie tego prawidło ustalił stan faktyczny sprawy. PUODO w przekonywujący sposób uzasadnił też swoje rozstrzygnięcie, kładąc przy tym szczególny nacisk na argumentację wskazującą na niezasadność nałożenia kary pieniężnej. Zgodnie z zaleceniami Sądu organ wskazał również argumenty przemawiające za brakiem potrzeby przeprowadzania dowodów wnioskowanych przez skarżącego. W sprawie nie doszło zatem do naruszenia art. 153 p.p.s.a. Postępowanie administracyjne zostało przeprowadzone zgodnie
z zasadami ogólnymi k.p.a., a w szczególności art. 7, art. 8, art. 11 k.p.a., a także innymi normami, zwłaszcza art. 77 i art. 80 k.p.a. Ponadto zaskarżone rozstrzygnięcie zostało oparte na prawidłowej interpretacji norm prawa materialnego. Uzasadnienie zaskarżonej decyzji spełnia przy tym wymogi określone w art. 107 § 3 k.p.a.
Zaskarżona decyzja odpowiada zatem prawu, a zarzuty podniesione w skardze oraz w piśmie procesowym z dnia z dnia 14 października 2024 r. nie zasługiwały na uwzględnienie.
W tym stanie rzeczy, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku.