II SA/Wa 777/23

II SA/Wa 777/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-03-13
orzeczenie nieprawomocne
Data wpływu
2023-04-19
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Góraj
Iwona Maciejuk /przewodniczący sprawozdawca/
Lucyna Staniszewska
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2023 poz 1634
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Dz.U. 2022 poz 2000
art. 7, art. 49 par. 1, art. 77 par. 1, art. 80, art. 107 par. 3
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U. 2022 poz 503
art. 53 ust. 1
Ustawa z dnia 27 marca 2003 r. o planowaniu i zagospodarowaniu przestrzennym (t. j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 4 pkt 2,  art. 4 pkt 7 i 8, art. 5 ust. 1, art. 6 ust. 1, art. 28, art. 77 ust. 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Dz.U. 1993 nr 61 poz 284
art. 8
Konwencja o Ochronie Praw Człowieka i Podstawowych Wolności sporządzona w Rzymie dnia 4 listopada 1950 r., zmieniona następnie Protokołami nr 3, 5 i 8 oraz uzupełniona Protokołem nr 2.
Dz.U.UE.C 2016 nr 202 poz 389 art. 8 ust. 1
Karta praw podstawowych Unii Europejskiej
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk (spr.), Sędzia WSA Andrzej Góraj, Asesor WSA Lucyna Staniszewska, Protokolant starszy specjalista, Aleksandra Weiher, po rozpoznaniu na rozprawie w dniu 13 marca 2024 r. sprawy ze skargi Burmistrza Miasta i Gminy [...] na punkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
K. T., zwana dalej także uczestniczką postępowania, pismem z dnia [...] czerwca 2021 r. złożyła do Urzędu Ochrony Danych Osobowych skargę na SKO w [...] i Urząd Miasta i Gminy w [...] dotycząca ujawnienia bez jej zgody jej danych osobowych w miejscach publicznych. W skardze wskazała, że w dniu [...] marca 2021 r. będąc na spacerze w miejscowości [...] zauważyła w dwóch miejscach, tj. na terenie Miejsko-Gminnego Centrum Kultury i Turystyki i Miejsko-Gminnej Biblioteki Publicznej w [...] przy ul. [...] oraz na terenie prywatnego pustostanu przy ul. [...] pisma zawierające jej dane osobowe, które zostały umieszczone bez jej zgody. Wskazała m.in., że efektem tego działania oprócz przetworzenia jej danych i udostępnienia ich bez jej zgody są represje słowne osób trzecich. W załączeniu przekazała wydrukowane zdjęcia obwieszczenia z jej danymi osobowymi wraz z datami ich wykonania dotyczące tego naruszenia. Zażądała ukarania osób odpowiedzialnych za ten stan rzeczy oraz usunięcia danych i poinformowania publicznie o naruszeniu i konsekwencjach dla łamiących przepisy dotyczące przetwarzania danych.
Prezes UODO zwrócił się do Burmistrza Miasta i Gminy [...] (Urząd Miasta i Gminy [...]) o złożenie wyjaśnień.
W odpowiedzi Burmistrz Miasta i Gminy [...] (Urząd Miasta i Gminy [...]) w piśmie z dnia [...] września 2022 r. wyjaśnił, że obwieszczenie SKO z dnia [...] lutego 2021 r. znajduje się aktualnie w archiwum Urzędu MiG [...]. Przedmiotowe obwieszczenie zostało przekazane do UMiG w [...] przez SKO w [...] w celu jego wywieszenia w miejscach publicznie dostępnych oraz na stronie BIP Urzędu (co jak wskazano jednoznacznie wynika z treści przekazanego obwieszczenia). Podstawę prawną do publicznego ogłoszenia obwieszczenia stanowił art. 49 k.p.a. Burmistrz Miasta i Gminy [...] w piśmie z dnia [...] października 2021 r. wskazał Prezesowi UODO, że dane osobowe K. T. były przetwarzane na potrzeby postępowania odwoławczego prowadzonego przez SKO, postępowanie to było prowadzone z odwołania wniesionego przez K. T.. Dalej Burmistrz zaznaczył, że SKO zwróciło się do niego – jako organu I instancji, o zawiadomienie stron i wszystkich osób zainteresowanych w sprawie poprzez zamieszczenie przesłanego obwieszczenia w Biuletynie Informacji Publicznej oraz w miejscach publicznie dostępnych, tj. w siedzibie Urzędu i zwyczajowo na terenie, którego dot. przedsięwzięcie. Wskazał, że obwieszczenie zawierało informację o utrzymaniu w mocy decyzji Burmistrza MiG [...] nr [...] o ustaleniu, na rzecz Gminy [...], lokalizacji inwestycji celu publicznego dla zamierzenia polegającego na budowie miejsc parkingowych związanych z zagospodarowaniem terenu placu zabaw przy ul. [...] w [...], zlokalizowanych na nieruchomościach nr ewid. [...], [...] obręb [...], gmina [...]. Podstawą prawną zamieszczenia obwieszczenia w BIP Urzędu oraz w sposób zwyczajowo przyjęty w danej miejscowości był przepis szczególny zawarty w art. 53 ust. 1 ustawy z dnia 27 marca 2003 r. o planowaniu i zagospodarowaniu przestrzennym (Dz.U. z 2022 r., poz. 503), (dalej: "u.p.z.p."). Burmistrz zaznaczył, że w obwieszczeniu znajdowało się tylko imię i nazwisko K. T., brak jest danych adresowych. Obwieszczenie zostało zamieszczone na wniosek SKO. Wskazał też, że w BIP zamieszczane są obwieszczenia dotyczące procedury odwoławczej, która była prowadzona przez SKO w [...] na podstawie odwołania K. T..
Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] lutego 2023 r. nr [...] na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2022 r., poz. 2000 ze zm.) - zwana dalej: k.p.a., w zw. z art. 7 ust. 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781 ze zm.) - zwana dalej u.o.d.o. oraz art. 6 ust. 1 w zw. z art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, s. 1, Dz. Urz. UE L 127 z 23.05.2018, s. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, s. 35) - zwanego dalej: RODO, po przeprowadzeniu postępowania administracyjnego w sprawie ze skargi K. T. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Samorządowe Kolegium Odwoławcze w [...] oraz przez Burmistrza Miasta i Gminy [...], polegające na udostępnieniu danych osobowych K. T. zawartych w obwieszczeniu SKO w [...] z dnia [...] lutego 2021 r. (nr [...]) w miejscach publicznie dostępnych, w pkt 1 udzielił upomnienia Samorządowemu Kolegium Odwoławczemu w [...] za naruszenie art. 6 ust. 1 RODO polegające na udostępnieniu danych osobowych K. T., zawartych w obwieszczeniu SKO w [...] z dnia [...] lutego 2021 r. (nr [...]) na stronie internetowej Biuletynu Informacji Publicznej SKO w [...] oraz na tablicy ogłoszeń SKO w [...]; w pkt 2 udzielił upomnienia Burmistrzowi Miasta i Gminy [...] (Urząd Miasta i Gminy [...]) za naruszenie art. 6 ust. 1 RODO, polegające na udostępnieniu danych osobowych K. T., zawartych w obwieszczeniu SKO w [...] z dnia [...] lutego 2021 r. (nr [...]) w miejscach ogólnodostępnych na terenie miasta i gminy [...].
Prezes UODO w wyniku przeprowadzonego postępowania wyjaśniającego wskazał na następujące ustalenia faktyczne. Zgodnie z wyjaśnieniami SKO, Burmistrz Miasta i Gminy [...], decyzją Nr [...] z dnia [...].12.2020 r., znak: [...], ustalił na wniosek Gminy [...] lokalizację inwestycji celu publicznego dla zamierzenia polegającego na budowie placu zabaw oraz budowie miejsc parkingowych związanych z zagospodarowaniem terenu placu zabaw przy ul. [...] w [...], zlokalizowanych na nieruchomościach nr ewid. [...] i nr [...] obręb [...], gm. [...]. Od ww. decyzji złożyła odwołanie do Kolegium skarżąca posiadająca legitymację strony postępowania. Kolegium, po rozpoznaniu sprawy, decyzją z dnia [...].02.2021 r. znak: [...] utrzymało w mocy ww. decyzję organu I instancji. Zgodnie z wyjaśnieniami SKO, SKO przekazało Burmistrzowi Miasta i Gminy [...] obwieszczenie zawierające informacje o wydaniu ww. decyzji po to, by organ dokonał umieszczenia ww. obwieszczenia w miejscach oraz w terminie określonym przez ustawodawcę. Z wyjaśnień SKO wynika, że obwieszczenie z dnia [...].02.2021 r. zawierające informację o wydanej przez Kolegium decyzji znak: [...] zostało zamieszczone na tablicy ogłoszeń SKO oraz w BIP Kolegium w dniach od 1 do 16 marca 2021 r. Ww. obwieszczenie zawierało informację, że Kolegium wydało decyzję ostateczną, którą, po rozpatrzeniu odwołania wniesionego przez K. T., utrzymało w mocy decyzję nr [...] Burmistrza Miasta i Gminy [...] znak [...] (wyjaśnienia SKO z dnia [...].10.2021 r., kopia ww. obwieszczenia jako załącznik do skargi). Z wyjaśnień Burmistrza wynika, że Burmistrz udostępnił obwieszczenie Samorządowego Kolegium Odwoławczego w [...] z dnia [...].02.2021 r., znak [...], w którym zawarte było imię i nazwisko skarżącej, jako osoby która złożyła odwołanie od decyzji Burmistrza Miasta i Gminy [...], na stronie BIP Urzędu Miasta i Gminy [...] oraz w miejscach ogólnodostępnych na terenie Gminy [...]. Obwieszczenie zostało zamieszczone ww. miejscach na wniosek SKO. Z wyjaśnień Burmistrza wynika, że na terenie miasta i gminy [...] (w miejscach publicznie dostępnych) ww. obwieszczenie było zamieszczone w dniach od [...].03.2021 r. do dnia [...].03.2021 r., po czym zostało usunięte. Burmistrz Miasta i Gminy [...] wyjaśnił, iż Obwieszczenie Samorządowego Kolegium Odwoławczego w [...] z dnia [...].02.2022 r. znak: [...] znajduje się aktualnie w archiwum BIP Urzędu Miasta i Gminy [...] i nie jest publicznie dostępne. Z wyjaśnień SKO wynika, że obecnie SKO nie udostępnia w sposób opisany w skardze danych osobowych skarżącej. Dane te były udostępniane przez SKO na tablicy ogłoszeń Kolegium oraz na stronie internetowej BIP Kolegium w dniach od [...] marca 2021 r. do [...] marca 2021 r.
Prezes UODO rozstrzygając w sprawie przytoczył treść art. 6 ust. 1 RODO. Wskazał, że przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Zgodnie z zasadami określonymi w art. 5 RODO, w tym m.in. z tzw. zasadą legalności (art. 5 ust. 1 lit. a RODO), dane osobowe muszą być przetwarzane przez administratora zgodnie z prawem, tj. na podstawie przynajmniej jednej z przesłanek określonych w art. 6 ust. 1 RODO. Prezes UODO wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania niniejszej decyzji. Jak podnosi doktryna "organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (...) Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjnoprawnych, gdy stosunki te tego wymagają" (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U.00.98.1071) M, Jaśkowska, A. Wróbel, Lex., el/2012).
Prezes UODO wskazał, że zgodnie z art. 53 ust. 1 ustawy o planowaniu i zagospodarowaniu przestrzennym o wszczęciu postępowania w sprawie wydania decyzji o ustaleniu lokalizacji inwestycji celu publicznego oraz postanowieniach i decyzji kończącej postępowanie zawiadamia się strony w drodze obwieszczenia, a także w sposób zwyczajowo przyjęty w danej miejscowości. Inwestora oraz właścicieli i użytkowników wieczystych nieruchomości, na których będą lokalizowane inwestycje celu publicznego, zawiadamia się na piśmie. Zaś zgodnie z art. 49 § 1 k.p.a., jeżeli przepis szczególny tak stanowi, zawiadomienie stron o decyzjach i innych czynnościach organu administracji publicznej może nastąpić w formie publicznego obwieszczenia, w innej formie publicznego ogłoszenia zwyczajowo przyjętej w danej miejscowości lub przez udostępnienie pisma w Biuletynie Informacji Publicznej na stronie podmiotowej właściwego organu administracji publicznej. Zgodnie z § 2 niniejszego artykułu dzień, w którym nastąpiło publiczne obwieszczenie, inne publiczne ogłoszenie lub udostępnienie pisma w Biuletynie Informacji Publicznej wskazuje się w treści tego obwieszczenia, ogłoszenia lub w Biuletynie Informacji Publicznej. Zawiadomienie uważa się za dokonane po upływie czternastu dni od dnia, w którym nastąpiło publiczne obwieszczenie, inne publiczne ogłoszenie lub udostępnienie pisma w BIP.
Prezes UODO podzielił stanowisko wyrażone przez Naczelny Sąd Administracyjny, który w wyroku z dnia 17 lipca 2020 r. w sprawie o sygnaturze II OSK 330/20 wskazał, że cyt.: "Artykuł 53 ust. 1 u.p.z.p. wprowadza (...) zmianę w postępowaniu administracyjnym ogólnym polegającą na odmiennym niż w k.p.a. uregulowaniu spraw związanych z zawiadamianiem stron o czynnościach procesowych. Przepis ten stosuje się tylko do decyzji o ustaleniu lokalizacji inwestycji celu publicznego. Jeżeli postępowanie dotyczy takiej decyzji, to zgodnie z art. 53 ust. 1 u.p.z.p. strony zawiadamia się w drodze obwieszczenia, a także w sposób zwyczajowo przyjęty w danej miejscowości. Rozwiązanie takie likwiduje praktyczne trudności z właściwym zawiadomieniem stron, które stanowią czynnik przedłużający procedurę. Obwieszczenia dokonuje się, zależnie od miejscowych warunków, w prasie lokalnej, w innym medium publicznym, np. w Internecie, również przez zamieszczenie go na tablicy ogłoszeń urzędu gminy czy w innym miejscu publicznym. Oprócz tego niezbędne jest skorzystanie ze sposobów zwyczajowo przyjętych w danym miejscu.".
Prezes UODO wskazał, że wprawdzie przepisy ustawy o planowaniu i zagospodarowaniu przestrzennym nakładają konieczność zawiadomienia stron postępowania w drodze obwieszczenia lub w sposób zwyczajowo przyjęty w danej miejscowości o decyzji kończącej postępowanie, zaś przepisy k.p.a. przewidują możliwość zawiadomienia stron w formie publicznego obwieszczenia lub w innej formie publicznego ogłoszenia zwyczajowo przyjętej w danej miejscowości lub przez udostępnienie pisma w BIP na stronie podmiotowej właściwego organu administracji publicznej, jednakże ww. przepisy nie nakazują zamieszczenia w ww. obwieszczeniu danych osobowych stron postępowania lub danych osobowych stron, na wniosek których przeprowadzono postępowanie odwoławcze. Prezes UODO wskazał, że celem ww. przepisu jest wyeliminowanie trudności związanych z doręczaniem stronom decyzji i postanowień na piśmie - w przypadku znacznej liczby osób uczestniczących w postępowaniu administracyjnym, (por. Wyrok Naczelnego Sądu Administracyjnego z dnia 7 czerwca 2006 r. sygn. akt II OSK 902/05, wyrok Wojewódzkiego Sądu Administracyjnego w Olsztynie z dnia 9 listopada 2010 r. sygn. akt II SA/OI 632/10). Organ wskazał, że dla poinformowania w formie obwieszczenia stron o zakończeniu postępowania odwoławczego oraz wydaniu decyzji nie było niezbędne zamieszczenie w obwieszczeniu danych osobowych osoby, na wniosek której wszczęto postępowanie odwoławcze. Strony w toczącym się postępowaniu administracyjnym są uprawnione do zapoznawania się z informacjami zawartymi w materiale zgromadzonym w toku postępowania, w tym z danymi osobowymi identyfikującymi pozostałe strony. Oznaczenie stron postępowania lub jego uczestników powinno jednak mieć miejsce w treści rozstrzygnięcia administracyjnego (decyzji), a nie w treści publicznego obwieszczenia dostępnego także dla osób postronnych (innych niż strony lub uczestnicy postępowania administracyjnego). Wskazał, że jak wynika z treści obwieszczenia, w postępowaniu odwoławczym zakończonym decyzją SKO, strony postępowania mogły zapoznać się z pełną treścią decyzji w Urzędzie Miasta i Gminy [...].
Prezes UODO zaznaczył przy tym, że zgodnie z zasadą minimalizacji danych dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Zasada ta wprowadza ilościowe ograniczenie zbierania i dalszego przetwarzania danych osobowych. Zgodnie z nią dane osobowe mogą być przetwarzane tylko w takim zakresie, który jest niezbędny dla osiągnięcia celu ich przetwarzania. Prezes UODO stwierdził, że udostępnienie danych osobowych K. T. m.in. przez Burmistrza Miasta i Gminy [...] w miejscach publicznie dostępnych nie znajduje oparcia w art. 53 ust. 1 ustawy o planowaniu i zagospodarowaniu przestrzennym, nie było bowiem niezbędne do poinformowania stron postępowania o wynikach postępowania administracyjnego prowadzonego przez SKO. Ww. udostępnienie danych osobowych K. T. miało charakter nadmiarowy. Przepis art. 53 ust. 1 ustawy o planowaniu i gospodarowaniu przestrzennym nakazuje bowiem jedynie powiadomić strony postępowania o wydanej decyzji w sprawie.
Prezes UODO stwierdził, że udostępnienie danych osobowych wymienionej m.in. przez Burmistrza Miasta i Gminy [...] w miejscach publicznie ogólnodostępnych nie znajduje oparcia art. 6 ust. 1 lit. c RODO w związku z art. 53 ust. 1 ustawy o planowaniu i gospodarowaniu przestrzennym. Prezes UODO stwierdził, że Burmistrz Miasta i Gminy [...] nie wykazał jednocześnie, aby przedmiotowe udostępnienie znalazło oparcie w którejkolwiek z pozostałych przesłanek legalizujących proces przetwarzania danych osobowych, określonych w art. 6 ust. 1 RODO. W związku z powyższym udostępnienie danych osobowych K. T. m.in. przez Burmistrza Miasta i Gminy [...] w obwieszczeniu Samorządowego Kolegium Odwoławczego w [...] z dnia [...] lutego 2021 r. (nr [...]) w miejscach publicznie dostępnych naruszyło art. 6 ust. 1 RODO.
Jednocześnie Prezes UODO wskazał, że z wyjaśnień Burmistrza wynika, że ww. obwieszczenie nie jest obecnie publicznie dostępne, znajduje się aktualnie w archiwum BIP Urzędu Miasta i Gminy [...]. Ww. obwieszczenie było zamieszczone w BIP Urzędu Miasta i Gminy [...] oraz na terenie miasta i gminy [...] (w miejscach publicznie dostępnych) w dniach od [...] marca 2021 r. do dnia [...] marca 2021 r., po czym zostało usunięte.
Prezes UODO wyjaśnił, że katalog uprawnień naprawczych organu nadzorczego, jakim jest Prezes UODO, został ściśle określony w art. 58 ust. 2 RODO i jest dla organu wiążący. Realizacja kompetencji przysługujących organowi nadzorczemu na mocy art. 58 ust. 2 RODO ma na celu przywróceniu stanu zgodnego z prawem w sytuacjach, w których jest to możliwe.
Burmistrz Miasta i Gminy [...], reprezentowany przez adwokata, wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na punkt 2 decyzji Prezesa UODO z dnia [...] lutego 2023 r. nr [...] Wniósł o uchylenie punktu 2 wymienionej decyzji oraz zasądzenie od organu na rzecz skarżącego zwrotu kosztów postępowania wraz z kosztami zastępstwa procesowego według norm przepisanych, zarzucając naruszenie:
- art. 4 pkt. 2 RODO w zw. art. 53 ust. 1 ustawy z dnia 27 marca 2003 roku o planowaniu i zagospodarowaniu przestrzennym (tj. Dz. U. z 2022 r., poz. 503 z późn. zm.) w zw. z art. 49 §1 k.p.a. poprzez uznanie, że w niniejszej sprawie Burmistrz Miasta i Gminy [...] przetwarzał dane osobowe podczas gdy Burmistrz działając na wniosek SKO w [...] dokonał w sposób zwyczajowo przyjęty w danej miejscowości zawiadomienia o wydaniu ostatecznej decyzji o ustaleniu lokalizacji inwestycji celu publicznego poprzez umieszczenia obwieszczenia zredagowanego przez SKO w [...];
- w przypadku uznania, że Burmistrz przetwarzał dane osobowe zarzucił naruszenie art. 4 pkt. 7 i 8 RODO w zw. art. 53 ust. 1 u.p.z.p. w zw. z art. 49 § 1, 77 § 1 i 107 k.p.a. poprzez brak ustalenia, w jakim charakterze w niniejszej sprawie działał Burmistrz Miasta i Gminy [...] czy jako administrator czy jak podmiot przetwarzający w przypadku uznania, że Burmistrz Miasta i Gminy [...] przetwarzał dane osobowe;
- w przypadku uznania, że Burmistrz przetwarzał dane osobowe zarzucił naruszenie art. 6 ust. 1 lit. e RODO w zw. art. 53 ust. 1 u.p.z.p. w zw. z art. 49 §1 k.p.a. poprzez ustalenie, że w niniejszej sprawie Burmistrz Miasta i Gminy [...] działał z naruszeniem przepisów RODO podczas, gdy organ działał na wniosek SKO w [...] w celu wykonania ciążących na nim obowiązków powiadomienia stron w sposób zwyczajowo przyjęty w danej miejscowości o podjętej ostatecznej decyzji o ustaleniu lokalizacji inwestycji celu publicznego, nie decydował o celach i sposobach przetwarzania a jedynie zawiadomił w sposób zwyczajowo przyjęty o wydaniu ostatecznej decyzji o ustaleniu lokalizacji inwestycji celu publicznego poprzez umieszczenia obwieszczenia zredagowanego przez SKO w [...] i zgodnie z wnioskiem SKO w [...].
W uzasadnieniu pełnomocnik rozszerzył argumentację podniesionych zarzutów. Wskazał m.in., że należałoby rozważyć, czy Burmistrz Miasta i Gminy [...] w niniejszej sprawie w ogóle przetwarzał dane osobowe. Zwrócił uwagę, że pojęcie udostępnienia nie zostało zdefiniowane. Burmistrz Miasta i Gminy [...] działał w celu wykonania ciążących na nim obowiązków (art. 53 §1 PZP w zw. z art. 49 §1 k.p.a.) powiadomienia stron w sposób zwyczajowo przyjęty o podjętej ostatecznej decyzji o ustaleniu lokalizacji inwestycji celu publicznego. Burmistrz nie decydował o celach i sposobach przetwarzania, a jedynie zawiadomił w sposób zwyczajowo przyjęty poprzez umieszczenia obwieszczenia zredagowanego przez SKO w [...] i zgodnie z wnioskiem SKO w [...], a więc w zasadzie był jedynie posłańcem przekazującym informację o podjęciu decyzji. Trudno więc w niniejszej sprawie analizując treść decyzji jednoznacznie określić jakie operacje na danych osobowych wykonał Burmistrz Miasta i Gminy [...]. Organ, poza brakiem ustalenia jakich czynności na danych osobowych dokonał Burmistrz Miasta i Gminy [...] i czy w ogóle przetwarzał dane osobowe, nie ustalił także, w jakim charakterze działał Burmistrz, czy jako administrator czy jako podmiot przetwarzający czy jeszcze jako inny podmiot. Pełnomocnik raz jeszcze podkreślił, ze Burmistrz nie decydował o celach i sposobach przetwarzania a jedynie zawiadomił w sposób zwyczajowo przyjęty poprzez umieszczenie obwieszczenia zredagowanego przez SKO i zgodnie z wnioskiem SKO, nie mógł więc pełnić roli administratora danych. Pełnomocnik podniósł, że Burmistrz poprzez umieszczenie obwieszczenia SKO w jednostkach samorządowych dokonał zawiadomienia w sposób zwyczajowo przyjęty i działał na podstawie i w granicach powszechnie obowiązujących przepisów, zatem nie mógł dopuścić się naruszenia RODO.
Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie podtrzymując dotychczasowe stanowisko. W uzasadnieniu dodał, że przepis art. 4 pkt 2 RODO wśród przykładowych operacji przetwarzania danych wymienia m.in. ujawnienie. "Może ono nastąpić poprzez przesłanie, rozpowszechnienie lub innego rodzaju udostępnienie. Ujawnienie oznacza uczynienie określonych informacji jawnymi. Oznacza to, że dane osobowe w konsekwencji tej operacji mogą być poznane przez inne osoby, które do tej poty ich nie znały. Istotne jest, że ujawnienie musi być skutkiem działania osoby przetwarzającej dane. Pojęcie to zakłada bowiem, że dane są czynione jawnymi dla określonej osoby albo osób. Dla kwalifikacji określonej operacji na danych, która doprowadza do poznania danych przez nową osobę, jako ujawnienia niezbędna jest zatem aktywność samego administratora czy też podmiotu przetwarzającego." D. Lubasz, W. Chomiczewski, M. Czerniawski, P. Drobek, U. Góral, M. Kuba, P. Makowski, K. Witkowska-Nowakowska [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, Warszawa 2018, art. 4. Z kolei zgodnie z zgodnie z art. 4 pkt 7 RODO administrator oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. Natomiast zgodnie z art. 4 pkt 8 RODO podmiot przetwarzający oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. "Rozporządzenie dopuszcza ustalanie celów i sposobów przetwarzania samodzielnie przez danego administratora lub wspólnie z innymi administratorami. (...) Oznacza to, że ten współudział przy decydowaniu może przybierać różne formy, w tym formę bardzo ścisłej współpracy lub wprost przeciwnie - jedynie częściowego wspólnego działania. Może zachodzić zatem zarówno wówczas, gdy administratorzy wspólnie określają i dzielą wszystkie cele oraz sposoby przetwarzania w równych proporcjach, jak i wtedy, kiedy ten podział jest niesymetryczny lub nie dotyczy w ogóle wszystkich celów przetwarzania, lecz tylko niektórych z nich". D. Lubasz, W. Chomiczewski, M. Czerniawski, P. Drobek, U. Góral, M. Kuba, P. Makowski, K. Witkowska-Nowakowska [\n:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, Warszawa 2018, art. 4. Prezes UODO wskazał, że w treści decyzji jasno wskazał na odpowiedzialność Burmistrza odnośnie do udostępnienia danych osobowych K. T. w BIP Urzędu Miasta i Gminy [...] oraz na terenie Gminy [...] wynikającą z art. 6 ust. 1 RODO oraz art. 5 RODO. Z wyjaśnień Burmistrza jasno wynikało, że Burmistrz udostępniając dane osobowe wymienionej zawarte ww. obwieszczeniu na stronie BIP Urzędu Miasta i Gminy [...] oraz w miejscach publicznych na terenie Gminy [...] działał jako administrator danych. Organ wskazał m.in., że zgodnie z art. 4 ust. 1 pkt 1 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2022 r., poz. 902) obowiązane do udostępniania informacji publicznej są władze publiczne oraz inne podmioty wykonujące zadania publiczne, w szczególności organy władzy publicznej. W myśl art. 7 ust. 1 pkt 1 udostępnianie informacji publicznej następuje w drodze ogłaszania informacji publicznych, w tym dokumentów urzędowych/w Biuletynie Informacji Publicznej, o którym mowa w art. 8. Organ wskazał też na art. 9 ust. 2 tej ustawy. Podniósł, że Burmistrz wskazując, iż opublikował ww. obwieszczenie na prowadzonej przez siebie stronie BIP Urzędu Miasta i Gminy [...] jasno wskazał, że działał w niniejszej sprawie jako administrator danych osobowych uczestniczki postępowania zawartych w opublikowanym przez niego obwieszczeniu z dnia [...] lutego 2021 r. W tym zakresie sam decydował o celu i sposobie przetwarzania ww. danych osobowych. Podobnie w przypadku publikacji ww. obwieszczenia w miejscach ogólnodostępnych na terenie Gminy [...], Burmistrz wskazał, że wywiesił ww. obwieszczenie w dniach [...] marca 2021 r. oraz w dniach [...] marca 2021 r. Działał więc także w tym przypadku jako administrator tych danych decydując o sposobie ich przetwarzania - czasie, miejscu, sposobie udostępnienia. Prezes UODO zaznaczył przy tym, że Burmistrz nie wskazywał, aby doszło do powierzenia przetwarzania danych w sposób określony w art. 28 ust. 3 RODO i nie przedstawił umowy powierzenia.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2022 r., poz. 2492), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
W świetle powołanych przepisów, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną (w tym przypadku jej punkt 2), postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego.
Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi Dz. U. z 2023 r., poz. 1634 ze zm.), zwanej dalej P.p.s.a.
W sprawie tej Sąd dokonując oceny legalności zaskarżonej decyzji Prezesa UODO w części dotyczącej punktu 2, zobowiązany był – co do zasady – zbadać jej zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami RODO.
W ocenie Sądu, analizowana pod tym kątem skarga na punkt 2 decyzji Prezesa UODO z dnia [...] lutego 2023 r. nie zasługuje na uwzględnienie, albowiem decyzja w zaskarżonej części – nie narusza obowiązujących przepisów prawa. Sąd uznał, że Prezes UODO, udzielając w punkcie 2 decyzji upomnienia Burmistrzowi Miasta i Gminy [...] nie dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w tym k.p.a., w stopniu mającym istotny wpływ na wynik sprawy.
Prezes Urzędu Ochrony Danych Osobowych jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i jednocześnie organem nadzorczym, w rozumieniu RODO (art. 34 ust. 2 u.o.d.o.).
Jak stanowi art. 57 ust. 1 lit. a i lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, a także rozpatruje skargi wniesione przez osobę, której dane dotyczą.
W wyniku przeprowadzonej analizy stanowiska Prezesa UODO w zakresie udzielonego Burmistrzowi w punkcie 2 decyzji upomnienia za naruszenie art. 6 ust. 1 RODO polegającego na udostępnieniu danych osobowych uczestniczki postępowania zawartych w obwieszczeniu SKO z [...] lutego 2021 r. w miejscach ogólnodostępnych na terenie miasta i gminy [...], Sąd stwierdził, że - wbrew zarzutom skargi – organ ochrony danych osobowych, rozstrzygając, jak w punkcie 2 decyzji, nie dopuścił się naruszenia powołanych w skardze przepisów prawa materialnego, jak również - mogącego mieć wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej. Sąd nie stwierdził w szczególności, po dokonaniu oceny przeprowadzonego przez organ postępowania, aby organ naruszył w sposób istotny art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., czy art. 107 § 3 k.p.a. W ocenie Sądu organ wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia niniejszej sprawy, tj. dotyczącej udzielenia Burmistrzowi upomnienia za naruszenie art. 6 ust. 1 RODO.
W sprawie jest bezsporne, że Burmistrz Miasta i Gminy [...] (Urząd Miasta i Gminy w [...]) umieścił w miejscach publicznych, ogólnodostępnych na terenie miasta i gminy [...], w tym także w BIP Urzędu, obwieszczenie SKO w [...] z [...] lutego 2021 r. zawierające dane osobowe (imię i nazwisko) K. T.. Obwieszczenie zawierało informację o wydaniu przez SKO w dniu [...] lutego 2021 r. decyzji ostatecznej znak: [...] ze wskazaniem, że decyzja SKO wydana została po rozpatrzeniu odwołania wniesionego przez K. T.. Informowało o utrzymaniu w mocy decyzji nr [...] Burmistrza Miasta i Gminy [...] znak [...]. W obwieszczeniu wskazane było też, że akta sprawy znajdują się w siedzibie Urzędu Miasta i Gminy [...], gdzie strony niniejszego postępowania mogą się z nimi zapoznać w godzinach pracy urzędu.
W sprawie niniejszej Burmistrz kwestionuje przede wszystkim ustalenie organu, że przetwarzał dane osobowe K. T. poprzez umieszczenie obwieszczenia w miejscach ogólnodostępnych i w BIP w sytuacji, gdy, jak podaje, działając na wniosek SKO w [...], dokonał zawiadomienia o wydaniu ostatecznej decyzji w sposób zwyczajowo przyjęty w danej miejscowości poprzez umieszczenie obwieszczenia zredagowanego przez SKO w [...]. Zdaniem Burmistrza w takim przypadku nie można mówić o przetwarzaniu (zarzut naruszenia art. 4 pkt 2 RODO). Skarżący uważa też, że Prezes UODO nie ustalił, w jakim charakterze w sprawie działał Burmistrz, czy jako administrator, czy podmiot przetwarzający (zarzut naruszenia art. 4 pkt 7 i 8 RODO w zw. z art. 53 ust. 1 ustawy o planowaniu i zagospodarowaniu przestrzennym i art. 49 § 1, art.. 77 § 1 i art. 107 k.p.a.), a nadto uważa, że działanie Burmistrza było działaniem na podstawie i w granicach prawa (zarzut naruszenia art. 6 ust. 1 lit.e RODO w zw. z art. 53 ust. 1 ustawy o planowaniu i zagospodarowaniu przestrzennym w zw z art. 49 § 1 k.p.a.).
Na wstępie wskazania wymaga, że imię i nazwisko stanowi dane osobowe. Zgodnie bowiem z art. 4 pkt 1 RODO, "dane osobowe" oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Odnosząc się do zarzutu naruszenia art. 4 pkt 2 RODO Sąd wskazuje, że zarzut ten nie jest zasadny. Zgodnie z tym przepisem, "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Przetwarzaniem danych osobowych jest zatem m.in. rozpowszechnianie lub innego rodzaju udostępnianie. Burmistrz poprzez rozmieszczenie obwieszczenia zawierającego dane osobowe K. T. w miejscach ogólnodostępnych, także w BIP, przetwarzał dane osobowe uczestniczki niniejszego postępowania, albowiem udostępnił je, ujawnił (rozpowszechnił) w miejscach ogólnodostępnych w okresie od [...] marca 2021 r. do [...] marca 2021 r. Tego rodzaju działanie stanowi operację przetwarzania danych osobowych. Ujawnienie danych, rozpowszechnienie ich stanowi przetwarzanie danych osobowych. Nie ma przy tym znaczenia dla oceny zgodności z prawem punktu 2 decyzji Prezesa UPDO, argumentacja Burmistrza, że obwieszczenie, którego rozmieszczenia dokonał Urząd Miasta i Gminy w [...] zredagowane zostało przez SKO w [...]. Ocena zgodności z prawem działań SKO w zakresie dotyczącym udostępnienia danych osobowych uczestniczki postępowania była przedmiotem odrębnej sprawy. Okoliczność zredagowania treści obwieszczenia przez inny podmiot nie wyłącza odpowiedzialności Burmistrza za udostępnienie (ujawnienie) danych osobowych uczestniczki w związku z działaniami Burmistrza (Urzędu Miasta i Gminy) poprzez rozpowszechnienie tych danych w miejscach publicznych, ogólnodostępnych.
Niezasadny jest też zarzut naruszenia art. 4 pkt 7 i 8 RODO poprzez brak ustalenia, czy Burmistrz działał jak administrator, czy podmiot przetwarzający. Zgodnie z pierwszym z powołanych przepisów, "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. Stosownie zaś do art. 4 pkt 8 RODO "podmiot przetwarzający" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora.
Odnosząc się do argumentacji skargi podkreślenia wymaga, że okoliczność, iż SKO zwróciło się o zamieszczenie obwieszczenia w miejscach publicznie dostępnych, na co Burmistrz wskazywał w toku postępowania administracyjnego, nie oznacza, że Burmistrz przetwarzał dane w imieniu administratora i nie ustalał celów i sposobów przetwarzania danych osobowych. W stanie faktycznym tej sprawy nie ma mowy o usłudze przetwarzania danych w imieniu administratora (art. 28 RODO). Zgodnie z tym przepisem, jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą (pkt 1). Próba podważenia w skardze stanowiska Prezesa UODO, który uznał Burmistrza za administratora, nie jest w świetle przepisów RODO zrozumiała. W sprawie ujawnienia przez Burmistrza danych osobowych uczestniczki niniejszego postępowania poprzez rozplakatowanie obwieszczenia SKO (zawierającego dane osobowe) nie mamy do czynienia z usługą w rozumieniu art. 28 RODO. Burmistrz jest organem władzy, jest podmiotem publicznym, realizującym zadania w interesie publicznym. Zatem samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych. W sprawie tej nie mamy do czynienia z umową powierzenia przetwarzania danych. Burmistrz ani w toku postępowania przed Prezesem UODO ani w skardze nie powołuje się na żadną umowę przetwarzania danych. Prezes UODO w uzasadnieniu zakwestionowanej decyzji nie wskazuje wprawdzie wprost, że Burmistrz jest administratorem, jednakże nie ma wątpliwości co do tego ustalenia, albowiem rozstrzygnięcie punktu 2 decyzji – udzielenie upomnienia Burmistrzowi – wprost wskazuje na naruszenie art. 6 ust. 1 RODO określającego przesłanki zgodności z prawem przetwarzania danych osobowych. Okoliczność, że dane w obwieszczeniu zostały zamieszczone przez SKO nie zmienia tego, że Burmistrz poprzez wywieszenie obwieszczenia w miejscach ogólnodostępnych ujawnił (rozpowszechnił) dane osobowe K. T.. Nie można zgodzić się ze skarżącym, że jedynie zawiadomił w sposób zwyczajowo przyjęty o wydaniu ostatecznej decyzji w przedmiocie ustalenia lokalizacji inwestycji celu publicznego. Nic nie stało na przeszkodzie, aby Burmistrz obwieszczeniem zawiadomił o wydaniu przez SKO decyzji o utrzymaniu w mocy jego decyzji z dnia [...] grudnia 2020 r.
Powoływany przez skarżącego jako podstawa prawna zamieszczenia obwieszczenia w BIP Urzędu i w miejscach ogólnodostępnych przepis art. 53 ust. 1 ustawy o planowaniu i zagospodarowaniu przestrzennym stanowi o zawiadomieniu o decyzji kończącej postępowanie. Zgodnie z tym przepisem (brzmienie z okresu udostępnienia danych przez Burmistrza, a zatem od [...] marca 2021 r. do [...] marca 2021 r.), o wszczęciu postępowania w sprawie wydania decyzji o ustaleniu lokalizacji inwestycji celu publicznego oraz postanowieniach i decyzji kończącej postępowanie strony zawiadamia się w drodze obwieszczenia, a także w sposób zwyczajowo przyjęty w danej miejscowości. Inwestora oraz właścicieli i użytkowników wieczystych nieruchomości, na których będą lokalizowane inwestycje celu publicznego, zawiadamia się na piśmie.
Wymieniony przepis nie daje podstaw do ujawnienia (udostępnienia) publicznie – dla nieokreślonego kręgu podmiotów – danych osobowych osoby składającej odwołanie od decyzji o ustaleniu lokalizacji celu publicznego.
Także w związku z art. 49 § 1 k.p.a. przepis art. 53 ust. 1 ustawy o planowaniu i zagospodarowaniu przestrzennym nie legalizuje rozpowszechnienia danych osobowych osoby, która złożyła odwołanie od decyzji Burmistrza. Przepis art. 49 § 1 k.p.a. w okresie udostępnienia danych osobowych uczestniczki niniejszego postępowania stanowił, że jeżeli przepis szczególny tak stanowi, zawiadomienie stron o decyzjach i innych czynnościach organu administracji publicznej może nastąpić w formie publicznego obwieszczenia, w innej formie publicznego ogłoszenia zwyczajowo przyjętej w danej miejscowości lub przez udostępnienie pisma w Biuletynie Informacji Publicznej na stronie podmiotowej właściwego organu administracji publicznej. Zgodnie zaś z art. 49 § 2 k.p.a., dzień, w którym nastąpiło publiczne obwieszczenie, inne publiczne ogłoszenie lub udostępnienie pisma w Biuletynie Informacji Publicznej wskazuje się w treści tego obwieszczenia, ogłoszenia lub w Biuletynie Informacji Publicznej. Zawiadomienie uważa się za dokonane po upływie czternastu dni od dnia, w którym nastąpiło publiczne obwieszczenie, inne publiczne ogłoszenie lub udostępnienie pisma w Biuletynie Informacji Publicznej. W odniesieniu do powyższego, warto zauważyć, że SKO, które wydało decyzję ostateczną po rozpatrzeniu odwołania K. T., zawiadomiło o swojej decyzji obwieszczeniem już [...] marca 2021 r., na co Prezes UODO wskazał w bezspornych ustaleniach faktycznych.
Zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.
Powyższe znalazło wyraz w art. 6 ust. 1 RODO określającym przesłanki legalności przetwarzania danych osobowych. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
Bezsporne jest, że w sprawie nie została spełniona żadna z przesłanek legalności udostępnienia (ujawnienia, rozpowszechnienia) przez Burmistrza danych osobowych K. T.. W szczególności nie została spełniona wskazywana przez skarżącego przesłanka z art. 6 ust. 1 lit. e RODO, a zatem przetwarzanie, o którym mowa w sprawie, nie było niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.
Jak wskazano już bowiem wyżej powoływany przez Burmistrza przepis art. 53 ust. 1 ustawy o planowaniu i zagospodarowaniu przestrzennym nie nakazuje i nie uprawnia do ujawniania w zawiadomieniu (poprzez publiczne obwieszczenie) o wydaniu decyzji kończącej postępowanie w przedmiocie ustalenia lokalizacji celu publicznego danych osobowych odwołującego się. Przepis ten nie stanowi podstawy do ujawnienia publicznie – dla nieokreślonego, nieograniczonego kręgu podmiotów – danych osobowych odwołującego się od decyzji o ustaleniu lokalizacji celu publicznego. Udostępnienie przez Burmistrza w miejscach ogólnodostępnych i w BIP Urzędu danych osobowych K. T. nie stanowiło też wypełnienia obowiązku prawnego ciążącego na administratorze. Jeśli w ocenie Burmistrza spoczywał na nim obowiązek obwieszczenia o wydaniu decyzji ostatecznej, to bezspornie ujawnienie danych osobowych odwołującej się poprzez rozpowszechnienie tych danych w miejscach ogólnodostępnych i w BIP Urzędu nie znajduje podstawy prawnej. Strony postępowania mogły zapoznać się z aktami w godzinach pracy Urzędu, w tym tą drogą mogły uzyskać informację o osobie, która złożyła odwołanie. Skoro tylko strony mogą zapoznać się z aktami sprawy, to tylko strony były uprawnione do uzyskania informacji o osobie składającej odwołanie. Działanie skarżącego polegające na udostępnieniu danych osobowych odwołującej się doprowadziło zaś do ujawnienia jej danych osobowych wobec nieograniczonego kręgu podmiotów, do czego nie było podstaw prawnych, co zasadnie stwierdził Prezes UODO.
Trzeba podkreślić, że zgodnie z art. 5 ust. 1 RODO, dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu"); c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"); d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ("prawidłowość"); e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania"); f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). Ujawnienie danych osobowych uczestniczki przez Burmistrza miało zdecydowanie charakter nadmiarowy, nie było adekwatne i stosowne do celów, jakie administrator chciał osiągnąć (art. 5 ust. 1 lit. c RODO), czyli zawiadomić o wydaniu decyzji kończącej postępowanie.
Celem RODO, tak, jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z podstawowych praw (art. 8 ust. 1 Karty praw podstawowych UE), a RODO zapewnia osobom fizycznym egzekwowanie tego prawa, m.in. w drodze skargi do Prezesa UODO w sprawie prawidłowości stosowania uregulowań rozporządzenia. Zgodnie z art. 77 ust. 1 RODO, bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie. Uczestniczka postępowania miała prawo wystąpić do Prezesa UODO z indywidualną skargą podnosząc kwestię niezgodnego z przepisami RODO przetwarzania (tj. udostępnienia, ujawnienia) jej danych osobowych przez Burmistrza w miejscach ogólnodostępnych na terenie miasta i gminy [...]. W świetle motywu 39 RODO wszelkie przetwarzanie danych osobowych powinno być zgodne z prawem i rzetelne. Dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami. Dane osobowe powinny być przetwarzane w sposób zapewniający im odpowiednie bezpieczeństwo i odpowiednią poufność, w tym ochronę przed nieuprawnionym dostępem do nich (...). W sprawie niniejszej powyższego zabrakło, a przetwarzanie przez Burmistrza danych osobowych uczestniczki, które zostało przez nią zakwestionowane, nie było niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej.
Zgodnie z art. 58 ust. 2 lit.b RODO, organowi nadzorczemu przysługuje uprawnienie naprawcze w postaci udzielania upomnienia administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania. Środek naprawczy w postaci upomnienia zastosowany wobec Burmistrza jako administratora w punkcie 2 decyzji uwzględnia wagę i charakter stwierdzonego naruszenia oraz okres przez jaki dane – bez podstawy prawnej – były udostępnione publicznie.
Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie,
na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2023 r., poz. 1634), orzekł jak w wyroku.