II SA/Wa 858/24

II SA/Wa 858/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-10-23
orzeczenie prawomocne
Data wpływu
2024-06-05
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Arkadiusz Koziarski
Łukasz Krzycki /sprawozdawca/
Sławomir Fularski /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 1997 nr 78 poz 483
art. 10
Konstytucja Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. uchwalona przez Zgromadzenie  Narodowe w dniu 2 kwietnia 1997 r., przyjęta przez Naród w referendum konstytucyjnym w dniu  25 maja 1997 r., podpisana przez Prezydenta Rzeczypospolitej Polskiej w dniu 16 lipca 1997 r.
Dz.U.UE.L 2016 nr 119 poz 1 art. 58 ust. 2 lit. d
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Fularski, Sędzia WSA Łukasz Krzycki (spr.), Asesor WSA Arkadiusz Koziarski, po rozpoznaniu w trybie uproszczonym w dniu 23 października 2024 r. sprawy ze skargi W. P. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Zaskarżoną decyzją – działając na podstawie art. 104 § 1 ustawy
z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego
(Dz.U. z 2023 r. poz. 775 ze zm.), zwanej dalej "K.p.a." w zw. z art. 6 ust. 1 oraz 58 ust. 2 lit. d rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127
z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej "RODO", po przeprowadzeniu postępowania w sprawie skargi W. P., zwanego dalej "skarżącym", na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Wójta Gminy S., zwanego dalej "Wójtem", polegające na upublicznieniu danych osobowych skarżącego w postaci adresu zamieszkania, zawartych w złożonym przez niego oświadczeniu majątkowym, udostępnionym pod danym adresem internetowym – nakazano Wójtowi wyeliminowanie nieprawidłowości w procesie przetwarzania danych osobowych skarżącego, poprzez usunięcie jego danych osobowych w postaci adresu zamieszkania z treści oświadczenia majątkowego.
Uzasadniając decyzję przywołano następujące okoliczności faktyczne oraz prawne uwarunkowania sprawy:
- do Urzędu Ochrony Danych Osobowych wpłynęła skarga na nieprawidłowości w procesie przetwarzania przez Wójta danych osobowych skarżącego, polegające na upublicznieniu jego danych w postaci adresu zamieszkania, zawartych w złożonym przez niego oświadczeniu majątkowym na stronie internetowej,
- Wójt wyjaśnił, że:
- przetwarza adres zamieszkania skarżącego m.in. w związku
z przechowywaniem jego oświadczeń majątkowych w związku z art. 24i oraz art. 24h ust. 6 ustawy z dnia 8 marca 1990 r. o samorządzie gminnym
(Dz.U. z 2023 r. poz. 40 ze zm.), zwanej dalej "ustawą o samorządzie",
na podstawie art. 6 ust. 1 lit. c RODO,
- zgodnie z art. 24i oraz art. 24h ust. 1 ustawy o samorządzie informacje zawarte w oświadczeniach majątkowych m.in. kierowników jednostek organizacyjnych gminy są jawne, z wyłączeniem informacji o adresie zamieszkania osoby składającej oświadczenie oraz o miejscu położenia nieruchomości; w myśl art. 24h ust 6 danej ustawy, oświadczenie majątkowe przechowuje się przez 6 lat; przepisy te stanowią o legalności przetwarzania, w zakresie zarówno gromadzenia, jak i publikowania danych osobowych zawartych w oświadczeniach majątkowych,
- w związku z pełnioną przez skarżącego funkcją dyrektora szkoły,
na podstawie art. 24i ust. 3 ustawy o samorządzie, 17 maja 2022 r. opublikowano oświadczenie majątkowe skarżącego za rok 2021 na stronie internetowej Biuletynu Informacji Publicznej Gminy S., zwanej dalej "stroną BIP", w którym udostępniono dane osobowe skarżącego w postaci adresu zamieszkania; publikacja adresu zamieszkania skarżącego nastąpiła
w związku z przeoczeniem pracownika dokonującego anonimizacji tego oświadczenia majątkowego; Wójt nie był świadomy popełnionego błędu, ponieważ po dokonaniu publikacji nie zgłaszano jakichkolwiek uwag, odnoszących się do treści danego oświadczenia; skarżący w kolei nigdy nie zgłosił Wójtowi tego faktu,
- adres skarżącego nie jest już udostępniany na stronie BIP; po zapoznaniu się z pismem Prezesa Urzędu Ochrony Danych Osobowych, zwanego dalej "Prezesem UODO", niezwłocznie usunięto – niewystarczająco zanonimizowany – plik oświadczenia, zastępując go prawidłowo zanonimizowanym oświadczeniem skarżącego; o fakcie zaistnienia uchybienia Wójt dowiedział się z analizy treści skargi na etapie dekretacji pisma (piątek, 15 września 2023, godz. 13.55), a zamiany pliku dokonano w kilka minut później (godz. 14.04); pracownika merytorycznego pouczono
o konieczności prawidłowej anonimizacji podlegających publikacji danych
(tak: pismo Wójta z 21 września 2023 r.),
- dane osobowe muszą być przetwarzane przez administratora zgodnie
z prawem, co oznacza, że administrator przetwarzając dane osobowe musi legitymować się przynajmniej jedną z przesłanek określonych w art. 6 ust. 1 RODO; jest on uprawniony do przetwarzania danych osobowych m.in.,
gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO); w świetle art. 5 ust. 1 lit. a RODO dane osobowe muszą być przetwarzane zgodnie
z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą,
- zgodnie z art. 24i ustawy o samorządzie informacje zawarte w oświadczeniu majątkowym są jawne, z wyłączeniem informacji o adresie zamieszkania składającego oświadczenie oraz o miejscu położenia nieruchomości (ust. 1), Wojewoda i przewodniczący rady gminy przekazują wójtowi kopie oświadczeń majątkowych, które im złożono (ust. 2), jawne informacje zawarte
w oświadczeniach majątkowych są udostępniane w BIP, o którym mowa
w ustawie z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz.U. z 2022 r. poz. 902),
- z przeprowadzonego postępowania dowodowego wynika, że Wójt realizując obowiązek wynikający z danego przepisu opublikował oświadczenie majątkowe skarżącego za rok 2021 w związku z pełnioną przez niego funkcją dyrektora szkoły m.in. na stronie BIP; w opublikowanym oświadczeniu ujawniono adres zamieszkania skarżącego; Wójt wyjaśnił, że pracownik zamieszczający plik ze skanem oświadczenia majątkowego skarżącego, podczas obróbki anonimizującej przeoczył adres; nie miał świadomości popełnionej omyłki,
- udostępnienie danych osobowych skarżącego w powyższy sposób było sprzeczne z art. 24i ustawy o samorządzie, zgodnie z którym dane osobowe
w postaci adresu zamieszkania składającego oświadczenie zawarte
w oświadczeniu majątkowym nie podlegają udostępnieniu,
- po sprawdzeniu przez Prezesa UODO treści dostępnych pod danym adresem strony internetowej, który został wskazany w skardze do Prezesa UODO, adres zamieszkania skarżącego nadal jest widoczny w oświadczeniu majątkowym skarżącego opublikowanym na stronie BIP; udostępnienie adresu zamieszkania nastąpiło zatem bez podstawy prawnej i narusza tym samym art. 6 ust. 1 RODO,
- za zasadne uznano wobec powyższego nakazanie Wójtowi – na podstawie art. 58 ust. 2 lit. d RODO – wyeliminowania nieprawidłowości w procesie przetwarzania danych osobowych – poprzez usunięcie danych osobowych skarżącego w postaci jego adresu zamieszkania z oświadczenia udostępnionego na stronie BIP.
W skardze podniesiono w szczególności, że organ swoją decyzją nie penalizuje naruszenia przepisów RODO przez Wójta, wskazuje jedynie winnemu tego naruszenia obowiązek usunięcia pliku ze strony BIP i zamiany go bez danych skarżącego. Po interwencji Wójt dostał polecenie usunięcia stwierdzonego naruszenia RODO, nie dopilnował jednak tego obowiązku, wobec czego konieczna była ponowna interwencja. Po wielu miesiącach Wójt zamieścił na stronie BIP plik oświadczenia majątkowego skarżącego pozbawiony jego danych adresowych. Naruszono prawo w zakresie rzetelności i sprawności procesu egzekwowania zgłoszonego naruszenia przepisów RODO. Wydano decyzję praktycznie bez żadnych konsekwencji i penalizacji wobec Wójta za lekceważący stosunek odnośnie do obowiązków realizacji przepisów RODO.
W odpowiedzi na skargę organ administracji wniósł o jej oddalenie.
W piśmie procesowym z [...] lipca 2024 r. skarżący podtrzymał stanowisko zaprezentowane w skardze. Zwrócił uwagę na "pobłażliwe" podejście Prezesa UODO wobec skrajnej nieodpowiedzialności Wójta. Wójt – w trakcie długiego czasu – nie wykonywał należycie obowiązku kontrolnego wobec swoich pracowników, zamieszczających na stronach internetowych dane osobowe.
Skargę rozpoznano w trybie uproszczonym, wobec treści art. 119 pkt 2 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r. poz. 935).
Sąd zważył, co następuje:
Skarga nie zasługuje na uwzględnienie, gdyż zaskarżona decyzja
nie narusza prawa.
Trafna jest argumentacja organu administracji. Z uwagi na uprzednie pełne przytoczenie, ponowne jej powtarzanie byłoby bezzasadne. Sąd przyjmuje ją
za własną. Organ właściwie skonstatował, że – wobec udostępnienia adresu zamieszkania skarżącego na stronie BIP – zachodzi konieczność wyeliminowania nieprawidłowości w procesie przetwarzania danych osobowych – poprzez usunięcie tych danych z oświadczenia udostępnionego pod danym adresem. Dał temu wyraz w nakazie stanowiącym treść zaskarżonej decyzji.
W uzasadnieniu skarżonego aktu opisano wszystkie istotne uwarunkowania formalne i okoliczności faktyczne sprawy, stanowiące o zasadności powyższego poglądu.
Główny zarzut skargi koncentruje się wokół zastosowanej przez Prezesa UODO wobec Wójta sankcji w postaci nakazu usunięcia danych osobowych skarżącego w postaci jego adresu zamieszkania z oświadczenia udostępnionego
na stronie BIP. Działanie organu określono jako pobłażliwe i pozbawione "penalizacji".
Odnosząc się do powołanego zarzutu w zakresie skorzystania przez Prezesa UODO z uprawnienia naprawczego – nakazu – wskazać należy, że organ,
na podstawie art. 58 ust. 2 RODO, wyposażono w uprawnienia naprawcze
o charakterze władczym, kierowane do administratora lub podmiotu przetwarzającego. Należy do nich m.in. udzielanie upomnień; nakazanie spełnienia żądania osoby, której dane dotyczą; nakazanie dostosowania operacji przetwarzania do przepisów rozporządzenia; wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania danych, w tym zakazu przetwarzania; nakazanie sprostowania lub usunięcia danych; zastosowanie oprócz lub zamiast środków, o których mowa w ust. 2, administracyjnej kary pieniężnej na mocy art. 83, zależnie od okoliczności sprawy.
Celem korzystania przez Prezesa UODO z powołanych uprawnień
naprawczych jest przywrócenie stanu zgodnego z prawem i zapewnienie
egzekwowania przepisów o ochronie danych osobowych. Każdy z przewidzianych prawem środków powinien być odpowiedni, niezbędny i proporcjonalny, aby
zapewnić przestrzeganie RODO. Niemniej, zastosowany w określonej sprawie
środek naprawczy pozostaje w gestii uznania organu, który jest zobowiązany
uzasadnić podjęte w tym zakresie rozstrzygnięcie. Strona, wobec której zastosowano konkretny środek naprawczy może wprawdzie kwestionować zasadność określonej sankcji, w tym wystąpienie podstaw wymierzenia kary pieniężnej bądź właściwego jej
miarkowania. Dotyczy to jednak wyłącznie podmiotów ukaranych, w kontekście
niewykraczania przez organ administracji poza granice uznania administracyjnego. Inaczej ma się jednak rzecz, gdy chodzi o stronę inicjującą postępowanie – osobę występującą ze skargą do organu. Zastosowanie sankcji administracyjnej – w postaci wymierzenia kary – służy osiągnięciu skutku publicznego – skutecznego
egzekwowania przestrzegania prawa w zakresie ochrony danych osobowych. Nie dotyczy zaś realizacji interesu innych stron postępowania. Ewentualne roszczenia, pozostające w związku z naruszeniem ochrony danych osobowych, realizuje się
w ramach stosownych postępowań - inicjowanych przez zainteresowane osoby przed sądami powszechnymi.
Co podkreśla się jednolicie w judykaturze, kontrola działań, które organy administracji mogą podejmować wyłącznie z urzędu, pozostaje poza kompetencjami sądów administracyjnych. Są one właściwe wyłącznie, co do oceny w sprawach indywidualnych - czy ingerencja w prawa bądź nałożenie obowiązków mieści się
w granicach prawa, w tym podjęto działania, do których organ był zobligowany wobec wniosku. Skoro w sprawie nie wymierzono administracyjnej kary pieniężnej, co organ czyni wyłącznie z urzędu – nie będąc w danym zakresie związany żądaniem wnoszącego skargę - kwestia zasadności zastosowania tej sankcji musi pozostawać poza oceną Sądu.
W konsekwencji jest poza jego oceną, czy samo wydanie – wobec Wójta – nakazu usunięcia danych osobowych skarżącego - w postaci jego adresu zamieszkania z treści oświadczenia majątkowego, udostępnionego na stronie BIP -było niewspółmierne, czy jak określono "pobłażliwe", wobec stopnia stwierdzonego naruszenia. Z uzasadnienia skarżonego aktu wynika wprost, że Prezes UODO formułując nakaz, miał na uwadze okoliczność pozostawania – wbrew oświadczeniu Wójta, zawartemu w piśmie z [...] września 2023 r. – adresu zamieszkania skarżącego w jego oświadczeniu majątkowym, zamieszczonym na stronie BIP. Przyjmując dany środek – będący alternatywnym wobec upomnienia, które udziela się gdy naruszenie występowało, lecz na dzień orzekania ustało – uznał, że cel w postaci należytego przestrzegania przepisów RODO zostanie osiągnięty, gdy powołane dane po ich usunięciu ze strony BIP – wobec wydanego rozstrzygnięcia – nie będą już się na niej znajdowały.
Sąd podziela więc stanowisko organu – zawarte w odpowiedzi na skargę – zgodnie z którym korzystanie z uprawnień naprawczych jest autonomiczną decyzją organu. Skoro uznano, w kontekście realiów niniejszej sprawy, że zasadny jest nakaz usunięcia wspomnianych danych – jako wystarczający dla przywrócenia stanu zgodnego z prawem w zakresie przetwarzania danych osobowych – Sąd nie jest uprawniony do wyrażania stanowiska w tym względzie. Formułowanie ocen w kwestii stosowanej polityki wymierzania kar, jako pozostającej w domenie organu władzy wykonawczej, prowadziłoby wprost do naruszenia konstytucyjnej reguły trójpodziału władzy - tak art. 10 Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz.U. Nr 78 poz. 483 ze zm.). Ingerencja sądu administracyjnego w działania organów administracji jest dopuszczalna tylko w przypadkach przewidzianych ustawą – gdy orzeczeniem indywidualnym wkroczono w prawo i obowiązki określonych podmiotów lub organ uchylił się od powinności realizacji wniosków, gdy dla strony przewidziano wprost prawo żądania podjęcia określonych działań.
W konsekwencji Prezes UODO, stosując w niniejszej sprawie instrument
o charakterze naprawczym – przewidziany w art. 58 ust. 2 lit. d RODO – nie naruszył prawa. Zastosowanie go – w postaci nakazu usunięcia powołanych danych skarżącego ze strony BIP, mającego na celu dostosowanie operacji przetwarzania tych danych do przepisów RODO – było zasadne (czego zresztą w skardze nie kwestionowano), a więc skarżoną decyzją prawa nie naruszono.
W tej sytuacji, wobec zarzutów skargi ani też z urzędu, Sąd nie dopatrzył się wadliwości skarżonej decyzji, która uzasadniałaby jej wyeliminowanie z obrotu prawnego.
Z przytoczonych wyżej przyczyn, na podstawie art. 151 ustawy – Prawo
o postępowaniu przed sądami administracyjnymi, orzeczono jak w sentencji wyroku.