II SA/Wa 709/24

II SA/Wa 709/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-09-04
orzeczenie nieprawomocne
Data wpływu
2024-05-15
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Góraj
Łukasz Krzycki
Sławomir Antoniuk /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2019 poz 1781
art. 7 ust. 1 i ust. 2
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 4 pkt 1 i 2, art. 5 ust. 1 lit. a i b, art. 6 ust. 1, art. 58 ust. 2 lit. b
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Dz.U. 2024 poz 935
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk (spr.), Sędzia WSA Andrzej Góraj, Sędzia WSA Łukasz Krzycki, , Protokolant referent Magdalena Morawiec, po rozpoznaniu na rozprawie w dniu 4 września 2024 r. sprawa ze skargi Burmistrza Miasta [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO) decyzją z [...] września 2023 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775, z późn. zm.); zwanej dalej K.p.a. oraz art. 6 ust. 1, art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), po przeprowadzeniu postępowania administracyjnego w sprawie skargi R. Z. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Burmistrza Miasta [...], polegające na udostępnieniu jej danych osobowych w postaci imienia, nazwiska, adresu zamieszkania, adresu poczty elektronicznej, numeru PESEL oraz numeru telefonu osobie nieuprawnionej – S. P., udzielił upomnienia Burmistrzowi Miasta [...] za naruszenie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych); zwane dalej RODO polegające na udostępnieniu danych osobowych R. Z. w postaci imienia, nazwiska, adresu zamieszkania, adresu poczty elektronicznej, numeru PESEL oraz numeru telefonu zawartych w jej wnioskach o dostęp do informacji publicznej Panu S. P.bez podstawy prawnej.
W uzasadnieniu rozstrzygnięcia wskazał, że do Prezesa UODO wpłynęła skarga R. Z. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Burmistrza Miasta [...] polegające na udostępnieniu jej wskazanych powyżej danych osobowych osobie trzeciej – S. P.. W treści skargi strona podała, że Burmistrz Miasta [...]. W. w dniu [...] listopada 2021 r. nr [...] udzielił odpowiedzi pisemnej na zapytanie osobie prywatnej, w której znalazły się podane jej dane osobowe wraz z numerem PESEL i innymi danymi wrażliwymi.
W toku postępowania organ ustalił, że Burmistrz przetwarza dane osobowe skarżącej w związku z jej wnioskami o dostęp do informacji publicznej z [...] sierpnia, [...] września oraz [...] listopada 2021 r., które rozpatrywane były w trybie art. 10 ust. 1 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2022 r. poz. 902). Zaznaczył, że skarżąca wnosiła ww. wnioski za pośrednictwem skrzynki ePUAP, w związku z czym, zostały w nich ujawnione jej dane osobowe w postaci imienia, nazwiska, numeru PESEL, numeru telefonu, adresu e-mail oraz adresu zamieszkania. Dokumentacja związana z udostępnianiem informacji publicznej (znak JRWA: 1431) przechowywana jest przez okres 5 lat i po tym okresie podlega ekspertyzie archiwalnej, która decyduje o jej przydatności archiwalnej lub brakowaniu (zgodnie z załącznikiem nr 2 do rozporządzenia Prezesa Rady Ministrów z dnia 18 stycznia 2011 r. w sprawie instrukcji kancelaryjnej, jednolitych rzeczowych wykazów akt oraz instrukcji w sprawie organizacji i zakresu działania archiwów zakładowych (Dz. U. Nr 14, poz. 67, z późn. zm.) – wyjaśnienia Burmistrza z 4 lutego 2022 r.
Burmistrz wyjaśnił, że kopie odpowiedzi na ww. wnioski skarżącej wraz z kopiami samych wniosków przekazane zostały S. P. na jego pisemny wniosek z [...] listopada 2021 r., w którym zwrócił się o udzielenie informacji, czy skarżąca występowała do Urzędu Miasta [...] z zapytaniami w kwestiach związanych z robotami budowlanymi dokonywanymi przez niego, a jeśli tak to również o wydanie odpisów dokumentów. S. P. był wykonawcą zamówienia publicznego - przebudowy Miejskiego Ośrodka Kultury, a więc stroną zainteresowaną. Ponadto S. P. w piśmie z [...] listopada 2021 r. wykazał, że przed Sądem Okręgowym w [...] toczy się przeciwko skarżącej postępowanie zainicjowane przez niego, w związku z czym ww. informacje są mu potrzebne do tego postępowania dotyczącego ochrony dóbr osobistych. We wniosku z [...] listopada 2021 r. S. P. powoływał się na art. 73 § 2 K.p.a., wskazując na swój interes prawny (o którym mowa w art. 28 K.p.a.). Burmistrz wyjaśnił, że wniosek S. P. nie był rozpatrywany w trybie ustawy o dostępie do informacji publicznej. Został przekazany do rozpatrzenia do wydziału merytorycznego prowadzącego inwestycję przebudowy Miejskiego Ośrodka Kultury. Organ przychylił się do argumentacji S. P. i zdecydował o przekazaniu żądanych informacji. Ponadto podał, że pracownik przygotowujący odpowiedź do S. P. nie dokonał jednak anonimizacji danych osobowych skarżącej, zawartych w złożonych przez nią do Burmistrza wnioskach o udzielenie informacji publicznej, w związku z czym doszło do ujawnienia jej danych osobowych w zakresie imienia, nazwiska, adresu zamieszkania, adresu poczty elektronicznej, numeru PESEL oraz numeru telefonu S. P. Burmistrz wyjaśnił, że [...] grudnia 2021 r. do Prezesa UODO zostało przekazane zgłoszenie naruszenia ochrony danych dotyczące nieuprawnionego przekazania danych osobowych. W toku postępowania wyjaśniającego przeprowadzonego przez Burmistrza sporządzono raport z naruszenia ochrony danych osobowych, dokonano wpisu naruszenia do rejestru naruszeń i incydentów prowadzonego w Urzędzie Miasta [...], wystosowano także zawiadomienia do skarżącej z [...] grudnia 2021 r. oraz z [...] stycznia 2022 r.
W celu zminimalizowania skutków naruszenia Burmistrz wystąpił pisemnie do S. P. o zaprzestanie dalszego wykorzystywania pozyskanych danych osobowych skarżącej i usunięcie z otrzymanych kopii dokumentów. W związku z ww. pismem S. P. wyjaśnił, że kopie dokumentów, jakie otrzymał z Urzędu Miasta przedłożył, jako dowód w sprawie sądowej, której stronami są skarżąca i on sam, zapewnił także, że otrzymanych dokumentów nie wykorzystywał w żadnym innym celu. Ponadto Burmistrz przeprowadził z pracownikiem odpowiedzialnym za naruszenie rozmowę, której celem ma być zapobieżenie wystąpieniu w przyszłości podobnego zdarzenia, wyciągnął wobec pracownika winnego naruszenia sankcje wynikające z przepisów ustawy z dnia 26 czerwca 1974 r. – Kodeks pracy, pouczył pracowników Urzędu o odpowiedzialności w związku z ujawnianiem osobom nieupoważnionym danych osobowych, zobowiązał pracowników Urzędu do ponownego dokonania przeglądu obowiązującej w jednostce polityki ochrony danych osobowych wraz z załącznikami w celu przypomnienia pracownikom ciążących na nich obowiązków i konieczności zachowania należytej staranności przy ich realizacji, przeprowadził ponowne szkolenie z zakresu ochrony danych osobowych dla pracowników jednostki z położeniem szczególnego nacisku na zasady postępowania z dokumentami zawierającymi dane osobowe oraz analizę ryzyka.
Prezes UODO stwierdził, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Przetwarzanie danych osobowych jest dopuszczalne wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów (art. 6 ust. 1 lit. a RODO), przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b RODO), przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO), przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej (art. 6 ust. 1 lit. d RODO), przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e RODO), a także gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO). W niniejszej sprawie, z uwagi na fakt, że dotyczy ona przetwarzania danych osobowych w ramach działalności organu władzy publicznej, kwestię dopuszczalności przetwarzania danych osobowych Skarżącej należy rozpatrywać przede wszystkim przez pryzmat przesłanek określonych w przytoczonych powyżej przepisach art. 6 ust. 1 lit. c RODO oraz art. 6 ust. 1 lit. e RODO. Jak zaś przewiduje art. 6 ust. 3 RODO podstawa przetwarzania, o którym mowa w ust. 1 lit. c i e, musi być określona: a) w prawie Unii; lub b) w prawie państwa członkowskiego, któremu podlega administrator. Zgodnie z art. 5 ust. 1 lit. c RODO, przetwarzane dane powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (minimalizacja danych).
Z ustaleń przeprowadzonego postępowania wynika, że Burmistrz pozyskał dane osobowe skarżącej w postaci imienia, nazwiska, adresu zamieszkania, adresu poczty elektronicznej, numeru PESEL oraz numeru telefonu w związku ze złożeniem przez skarżącą wniosków o dostęp do informacji publicznej.
Odnosząc się do zarzutu udostępnienia przez Burmistrza ww. danych osobowych skarżącej S. P. w związku z jego wnioskiem z [...] listopada 2021 r. o udzielenie informacji i wydanie odpisów dokumentów, w którym zwrócił się o udzielenie informacji, czy skarżąca występowała do Urzędu Miasta [...] z zapytaniami w kwestiach związanych z robotami budowlanymi dokonywanymi przez niego, a jeśli tak, o wydanie odpisów dokumentów, organ wyjaśnił, że przeprowadzone w niniejszej sprawie postępowanie potwierdziło, że doszło do kwestionowanego przez skarżącą udostępnienia przez Burmistrza jej danych osobowych na rzecz S. P. Z wyjaśnień Burmistrza wynika, że wniosek S. P. nie był rozpatrywany w trybie ustawy o dostępie do informacji publicznej. Wniosek został przekazany do rozpatrzenia do wydziału merytorycznego prowadzącego inwestycję przebudowy Miejskiego Ośrodka Kultury. Organ przychylił się do argumentacji S. P. i zdecydował o przekazaniu żądanych informacji. Burmistrz wyjaśnił jednocześnie, że pracownik przygotowujący odpowiedź na wniosek S. P. z [...] listopada 2021 r. nie dokonał anonimizacji danych osobowych skarżącej zawartych w złożonych przez nią do Burmistrza wnioskach o dostęp do informacji publicznej, na skutek czego doszło do przekazania jej danych osobowych w zakresie imienia, nazwiska, adresu zamieszkania, adresu poczty elektronicznej, numeru PESEL oraz numeru telefonu S. P. Burmistrz nie wykazał ani celu ani podstawy prawnej udostępnienia danych osobowych skarżącej w kwestionowany przez nią sposób. Zgodnie z zasadą celowości wynikającą z art. 5 ust. 1 lit. b RODO dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami. Skarżony proces należy rozpatrywać pod względem celowości udostępnienia na rzecz S. P. danych osobowych skarżącej, pozyskanych i przetwarzanych w celu udzielenia jej odpowiedzi na złożone przez nią wnioski o dostęp do informacji publicznej.
W związku z powyższym organ uznał, że proces polegający na udostępnieniu przez Burmistrza danych osobowych skarżącej w ww. zakresie nie znajdował uzasadnienia w przepisach prawa i niezgodny był z ww. zasadą celowości, wymagającą zapewnienia przez administratora, zbierania danych osobowych w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzania ich dalej w sposób niezgodny z tymi celami. Burmistrz wyjaśnił, że pracownik przygotowujący odpowiedź do S. P. nie dokonał anonimizacji jej danych osobowych, zawartych w złożonych przez nią do Burmistrza wnioskach o udzielenie informacji publicznej, w związku z czym doszło do ujawnienia danych osobowych w zakresie imienia, nazwiska, adresu zamieszkania, adresu poczty elektronicznej, numeru PESEL oraz numeru telefonu osobie trzeciej. Natomiast w ocenie organu do udzielenia S. P. odpowiedzi na jego wniosek o udzielenie informacji z [...] listopada 2021 r. nie było niezbędne udostępnienie mu danych osobowych skarżącej w ww. zakresie, które to dane Burmistrz pozyskał w innym celu. Tego rodzaju działanie należy uznać za nieuzasadnione.
W ocenie Prezesa UODO udostępnienie danych osobowych w postaci imienia, nazwiska, adresu zamieszkania, adresu poczty elektronicznej, numeru PESEL oraz numeru telefonu skarżącej S. P. nie miało uzasadnienia w żadnej z przesłanek z art. 6 ust. 1 RODO, a tym samym nastąpiło bez podstawy prawnej.
Organ stwierdził, że w niniejszej sprawie Burmistrz naruszył przepisy o ochronie danych osobowych udostępniając dane osobowe skarżącej S. P. bez podstawy prawnej. Udostępnienie przez Burmistrza danych osobowych skarżącej było działaniem jednorazowym, które aktualnie nie jest kontynuowane. Prezes UODO jest wyposażony w uprawnienia naprawcze o charakterze władczym, do których należą m.in. wydawanie ostrzeżeń, udzielanie upomnień, nakazanie spełnienia żądania osoby, której dane dotyczą (art. 58 ust. 2 RODO), czy zastosowanie administracyjnej kary pieniężnej na mocy art. 83. Celem korzystania przez organ z ww. uprawnień naprawczych jest przywrócenie stanu zgodnego z prawem i zapewnienie egzekwowania przepisów o ochronie danych osobowych. Zgodnie z 129 motywem RODO swoje uprawnienia organy nadzorcze powinny wykonywać zgodnie z odpowiednimi zabezpieczeniami proceduralnymi przewidzianymi w prawie Unii i prawie państwa członkowskiego, bezstronnie, sprawiedliwie i w rozsądnym terminie. W szczególności każdy środek powinien być odpowiedni, niezbędny i proporcjonalny, aby zapewnić przestrzeganie niniejszego rozporządzenia. Korzystanie z uprawnień naprawczych jest autonomiczną decyzją organu. Uwzględniając wagę i charakter stwierdzonego naruszenia, a zarazem potrzebę egzekwowania przepisów RODO, Prezes UODO uznał za zasadne skorzystanie w niniejszej sprawie z instrumentu o charakterze naprawczym przewidzianego w art. 58 ust. 2 lit. b RODO i udzielił Burmiśtrzowi Miasta [...] upomnienia w zakresie stwierdzonego naruszenia przepisów art. 6 ust. 1 RODO, z uwagi na nieuprawnione udostępnienie danych osobowych R. Z. w postaci imienia, nazwiska, adresu zamieszkania, adresu poczty elektronicznej, numeru PESEL oraz numeru telefonu S. P. bez podstawy prawnej.
Pismem z [...] października 2023 r. Burmistrz Miasta [...] złożył do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa UODO z [...] września 2023 r. nr [...] wnosząc o jej uchylenie i zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych.
Zaskarżonemu rozstrzygnięciu zarzucił naruszenie art. 6 ust. 1 w zw. z art. 58 ust. 2 lit. b RODO, a w konsekwencji bezpodstawne udzielenie mu upomnienia. Podkreślił, że w niniejszej sprawie podstawa dopuszczalności przetwarzania danych osobowych została wskazana w art. 6 ust. 1 lit. e RODO. Obejmuje ona przetwarzanie danych, które "jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi". Jest to przesłanka, która ma istotne znaczenie w sektorze publicznym i uzupełnia podstawę wskazaną w art. 6 ust. 1 lit. c (wypełnienie obowiązku prawnego ciążącego na administratorze). Przesłanka ta jest wzorowana na podstawie określonej w art. 7 lit. e dyrektywy 95/46/WE, jest również zbliżona do przesłanki, którą przewidywał art. 23 ust. 1 pkt 4 u.o.d.o.1997, z tą różnicą, że polski prawodawca ujmował tą przesłankę w sposób znacznie węższy (wymagał aby zadania były określone prawem, oraz nie przewidywał wprost dopuszczalności przetwarzania danych w zakresie sprawowania władzy publicznej powierzonej administratorowi).
W przepisach prawa wskazane zostały różne zadania publiczne (czy szerzej, zadania realizowane w interesie publicznym), do realizacji których konieczne jest przetwarzanie danych, jednak stosunkowo często brakuje przepisów, które regulowałyby wprost dopuszczalność przetwarzania danych. W tego rodzaju przypadkach zastosowanie znajduje wskazana powyżej podstawa. Przepis posługuje się także sformułowaniem "sprawowanie, władzy publicznej powierzonej administratorowi". Wydaje się, że w zakresie tego pojęcia mieści się nie tylko aktywność organów władz publicznych (organów administracji publicznej i innych organów państwowych, którym przepisy prawa powierzają realizację spraw publicznych w formach władczych), ale także obejmuje podmioty prywatne, które w ramach realizacji określonych zadań zostały wyposażone we władztwo publiczne (np. samorządy zawodowe).
Ponadto w realiach przedmiotowej sprawy nie uwzględniono w stopniu wystarczającym okoliczności, że dane, które zostały udostępnione przez pracownika urzędu miasta miały zostać przekazane przez S. P. do dyspozycji Sądu Okręgowego w [...] w ramach sprawy o ochronę dóbr osobistych zawisłej pomiędzy nim, a R. Z. Sąd cywilny działa w oparciu o dowody przedłożone przez stronę, przez co złożenie dokumentu anonimizowanie w całości niweczy możliwość dochodzenia lub obrony praw przed Sądem, który jest właściwym w tym zakresie organem wymiaru sprawiedliwości, czyli także Państwa Polskiego. Ratio legis wprowadzenia regulacji w zakresie danych osobowych nie miało na celu takiego uregulowania stosunków prawnych, które niweczyłoby możliwość zwrócenia się obywatela do Sądu o udzielenie ochrony prawnej, ale przede wszystkim o zapobieżenie nieuprawnionemu rozpowszechnianiu danych osobowych.
Skarżący podał, że jeżeli pomiędzy S. P. a R. Z. zawisła sprawa sądowa, to S. P. jako powód musiał wskazać imię, nazwisko, adres zamieszkania oraz PESEL R. Z.. Ponadto jej numer telefonu widniał w sieci WWW i był dostępny publicznie. Strona musiała się także liczyć z tym, że skoro zwraca się o informację publiczną i korzysta ze swojego uprawnienia podmiotowego, to nie wyłącza to możliwości dowiedzenia się o takiej okoliczności podmiotu, którego to zapytanie dotyczyło, tym bardziej, że pomiędzy nią, a tym podmiotem istnieje spór prawny.
W odpowiedzi na skargę Prezes UODO wniósł o oddalenie skargi, podtrzymując argumentację wyrażoną w zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r. poz. 1267) oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r. poz. 935); zwanej dalej P.p.s.a, sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. W myśl art. 134 §1 P.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a.
Skarga oceniona według powyższych kryteriów nie zasługuje na uwzględnienie.
Kontrolowaną decyzją Prezes UODO udzielił upomnienia Burmistrzowi Miasta [...] za naruszenie art. 6 ust. 1 RODO z powodu udostępnienia danych osobowych R. Z. w postaci imienia, nazwiska, adresu zamieszkania, adresu poczty elektronicznej, numeru PESEL oraz numeru telefonu zawartych w jej wnioskach o dostęp do informacji publicznej S. P. bez podstawy prawnej.
W niniejszej sprawie nie ma wątpliwości i zostało to jednoznacznie ustalone przez Prezesa UODO w toku postępowania, że nastąpiło udostępnienie przez Burmistrza Miasta [...] powyżej wskazanych danych osobowych R. Z., pozyskanych w celu realizacji wniosku o dostęp do informacji publicznej, na rzecz osoby trzeciej.
Zgodnie z art. 4 pkt 1 RODO, dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Nie ma zatem wątpliwości, że w sprawie mamy do czynienia z przetwarzaniem danych osobowych R. Z. Zgodnie z art. 4 pkt 2 RODO, przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Strona skarżąca przy tym nie kwestionuje, że organ wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia niniejszej sprawy, w granicach prowadzonego postępowania, wyznaczonych skargą R. Z. Prezes UODO dokonał także, zdaniem Sądu, właściwej oceny zebranego w sprawie materiału dowodowego w kontekście prawidłowo zastosowanych przepisów RODO.
W ocenie składu orzekającego Prezes UODO prawidłowo stwierdził, że udostępnienie to odbyło się z naruszeniem art. 5 ust. 1 lit b RODO oraz nie znajdowało oparcia w żadnej z przesłanek wymienionych w art. 6 ust. 1 RODO i tym samym nastąpiło bez podstawy prawnej. To ustalenie Prezesa UODO jest zdaniem Sądu prawidłowe i zasadnie stanowiło – w okolicznościach stanu faktycznego tej sprawy – dostateczną podstawę do udzielenia upomnienia Burmistrzowi Miasta [...].
Zgodnie z art. 5 ust. 1 lit a rozporządzenia, dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Powinny być także zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami (ust. 1 lit. b). Stosownie do art. 6 ust. 1 RODO, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
Nie ulega wątpliwości, że cel przetwarzania danych osobowych R. Z. przez Burmistrza Miasta [...] był związany z realizacją wniosku wymienionej o udostępnienie informacji publicznej. Postępowanie prowadzone na podstawie ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (t.j. Dz. U. z 2022 poz. 902) ma charakter odformalizowany. Informacja publiczna, która może być niezwłocznie udostępniona jest udostępniana w formie ustnej lub pisemnej bez pisemnego wniosku, co uzasadnia przyjęcie, iż postępowanie w sprawie udzielenia informacji publicznej jest uproszczone. Powołana ustawa w istocie nie przewiduje także jakichkolwiek wymagań formalnych wniosku składanego w formie pisemnej. Przepisy K.p.a. stosuje się w ograniczonym zakresie, wyłącznie do decyzji odmawiającej udostępnienia informacji publicznej lub umorzenia postępowania (art. 16 ust. 2 tej ustawy). W przypadku wydania takiej decyzji stroną postępowania zakończonego jej wydaniem jest wyłącznie wnioskodawca. Podmiot, którego żądana informacja publiczna dotyczy, nie jest stroną tego postępowania. Nie jest zatem uprawniony do uzyskania informacji o sposobie rozstrzygnięcia sprawy o udostępnienie informacji publicznej, jak też o osobie wnioskodawcy. Wniosek S. P. z [...] listopada 2021 r. "o udzielenie informacji i wydanie odpisów dokumentów" (k. 17 - akt administracyjnych) skierowany do podmiotu obowiązanego do udostępnienia informacji publicznej nie podlega realizacji na podstawie art. 73 K.p.a., jako że nie pochodzi od strony postępowania w rozumieniu art. 28 K.p.a. Wobec tego udostępnienie S. P. danych osobowych osoby wnioskującej o udostępnienie informacji publicznej dotyczącej inwestycji, której wykonawcą był wskazany przedsiębiorca, bezsprzecznie narusza art. 5 ust.1 lit. b RODO.
Nie posiada także umocowania w przesłankach wskazanych w art. 6 ust. 1 RODO, w szczególności w przesłance legalizującej określonej w ust. 1 lit. e, na którą powołano się w skardze. Zgodnie z tym przepisem przetwarzanie danych osobowych jest zgodne z prawem w przypadku, gdy to przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Przesłanka ta w istocie uzupełnia przesłankę z art. 6 ust. 1 lit. c. Nie ulega wątpliwości, że w realiach niniejszej sprawy żądanie S. P. o ujawnienie danych osobowych wnioskodawcy informacji publicznej nie stanowi realizacji zadania w interesie publicznym lub w ramach władzy publicznej, a co najwyżej dotyczy interesu prywatnego przedsiębiorcy pozostającego w sporze sądowym z wnioskodawcą informacji publicznej. Za nietrafne przy tym należy uznać stwierdzenie strony skarżącej, że dane osobowe R. Z. były niezbędne S. P. do realizacji praw strony w postępowaniu przed Sądem Okręgowym w [...] . Przedsiębiorca nie wskazał bowiem, że dane osobowe wymienionej są mu niezbędne, aby wytoczyć powództwo o ochronę dóbr osobistych, a brak tych danych zniweczy ten zamiar. Przeciwnie, we wskazanym powyżej piśmie z [...] listopada 2021 r., w którym ww. wystąpił o wydanie na podstawie art. 73 § 2 K.p.a. odpisów wszelkich dotyczących go pism kierowanych przez R. Z., jak i odpowiedzi udzielonych przez Burmistrza Miasta [...], przedsiębiorca wskazał, iż postępowanie sądowe już jest w toku. Intencją przedsiębiorcy nie było zatem pozyskanie danych osobowych R. Z., w celu zbieżnym z przesłanką legalizującą uzyskanie przedmiotowych danych osobowych, lecz pozyskanie materiału dowodowego na swój prywatny użytek.
Prawidłowo zatem organ uznał, że Burmistrz Miasta [...] dopuścił się naruszenia art. 6 ust. 1 RODO poprzez ujawnienie danych osobowych R. Z. osobie do tego nieuprawnionej. W związku z powyższym Prezes UODO korzystając z przysługującego mu uprawnienia określonego w art. 58 ust. 2 lit. b RODO udzielił Burmistrzowi upomnienia.
Wskazać należy, że jest to jeden z najłagodniejszych środków stosowanych przez Prezesa UODO. Zdaniem Sądu zastosowany środek jest adekwatny do stwierdzonego w decyzji naruszenia RODO. Waga stwierdzonego naruszenia i jego charakter dawały podstawę do zastosowania upomnienia.
Reasumując, zaskarżona decyzja Prezesa UODO nie narusza norm prawa materialnego czy procesowego, w stopniu który miałby wpływ na wynik sprawy. Organ prawidło ustalił stan faktyczny sprawy, w wystarczający sposób zebrał i ocenił materiał dowodowy, a następnie w przekonywujący sposób uzasadnił swoje rozstrzygnięcie. Postępowanie administracyjne zostało przeprowadzone zgodnie z zasadami ogólnymi K.p.a., a w szczególności art. 7, art. 8, art. 11 K.p.a., a także innymi normami, zwłaszcza art. 77 i art. 80 K.p.a., a zaskarżone rozstrzygnięcie zostało oparte na prawidłowej interpretacji norm prawa materialnego.
Z tych względów, uznając że zaskarżona decyzja nie narusza prawa, zaś zarzuty podniesione w skardze nie zasługują na uwzględnienie, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 P.p.s.a., orzekł jak w sentencji wyroku.