III OSK 6061/21

III OSK 6061/21 - Wyrok NSA
Data orzeczenia
2025-01-28
orzeczenie prawomocne
Data wpływu
2021-08-13
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Maciej Kobak
Rafał Stasikowski
Zbigniew Ślusarczyk /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 1679/20 - Wyrok WSA w Warszawie z 2021-03-31
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U.UE.L 2016 nr 119 poz 1 art. 5 ust. 1 it. b i c, ust. 2, art. 6 ust. 4, art. 12, art. 13 oraz art. 29
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Dz.U. 2024 poz 935
art. 184
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Zbigniew Ślusarczyk (spr.) Sędziowie: sędzia NSA Rafał Stasikowski sędzia del. WSA Maciej Kobak Protokolant: starszy asystent sędziego Wojciech Wiktorowski po rozpoznaniu w dniu 28 stycznia 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej B. P. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 31 marca 2021 r. sygn. akt II SA/Wa 1679/20 w sprawie ze skargi B. P. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 2 lipca 2020 r. nr ZSOŚS.440.85.2019.ZS.BJ w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną 2. zasądza od B. P. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 31 marca
2021 r., sygn. akt II SA/Wa 1679/20, wydanym po rozpoznaniu sprawy ze skargi B. P. (dalej jako: "skarżący") na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 2 lipca 2020 r. nr ZSOŚS.440.85.2019.ZS.BJ. w przedmiocie przetwarzania danych osobowych, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze), dalej "p.p.s.a, oddalił skargę.
Wyrok wydano w poniższym stanie faktycznym i prawnym.
W piśmie z 21 maja 2019 r. do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła skarga B. P. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Prezesa Sądu Rejonowego w [...], polegające na niespełnieniu obowiązku informacyjnego oraz przetwarzaniu danych osobowych przez osobę nieupoważnioną. W uzasadnieniu skargi skarżący wskazał, że w piśmie z 21 sierpnia 2018 r. wystosował do Prezesa Sądu Rejonowego w [...] wniosek o udostępnienie informacji publicznej, w którym wskazał swoje dane osobowe w zakresie imienia, nazwiska, adresu e-mail oraz numeru telefonu. Skarżący podniósł, że pismem z 29 sierpnia 2018 r. Prezes Sądu Rejonowego w [...] udostępnił mu wnioskowaną informację publiczną, jednakże korespondencja ta nie zawierała klauzuli informacyjnej. Skarżący wskazał jednocześnie, że zamieszczona na stronie internetowej Sądu klauzula informacyjna nie obejmowała informacji wymaganych przez art. 13 ust. 1 i 2 RODO. Zauważył, że z rejestru zmian wynika, iż klauzula informacyjna uzyskała aktualną treść dopiero 13 maja 2019 r. W tej sytuacji, zarzucił Prezesowi Sądu Rejonowego w [...], że ten - realizując jego wniosek o udostepnienie informacji publicznej i udzielając odpowiedzi - nie dopełnił wobec niego obowiązku informacyjnego, o którym mowa w art. 13 ust. 1, ust. 2 i ust. 3 RODO. Tymczasem, w ocenie skarżącego, wspomniany obowiązek informacyjny powinien zostać zrealizowany w odniesieniu do faktu pozyskania danych osobowych (po złożeniu przez skarżącego wniosku) oraz rozpoczęcia przetwarzania danych osobowych w celu innym niż cel, w którym dane osobowe zostały zebrane (użycia tych danych w celach prywatnych przez pracownika sądu - B. G.). Skarżący podniósł bowiem, że Prezes Sądu Rejonowego w [...] nie udzielił pracownikowi sporządzającemu odpowiedź w trybie dostępu do informacji publicznej (B. G.) upoważnienia do przetwarzania jego danych osobowych, co oznacza, że jego dane były przetwarzane przez osobę nieupoważnioną i z naruszeniem art. 29 RODO.
Decyzją z 2 lipca 2020 r., nr ZSOŚS.440.85.2019.ZS.BJ., Prezes Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO" lub "organ nadzorczy"), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2020 r., poz. 256 ze zm. - dalej także: "k.p.a.") oraz art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2019 r., poz. 1781 - dalej także: "u.o.d.o."), w związku z art. 6 ust. 1 lit. c., art. 13 ust. 1-3 oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (Dz. Urz. EU L 119 z dnia 4 maja 2016 r., str. 1 oraz Dz. Urz. UE L 127 z dnia 23 maja 2018, str. 2 ze zm. dalej także: "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie zainicjowanej ww. skargą na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Prezesa Sądu Rejonowego w [...] (dalej także: "Prezes Sądu") polegające na niespełnieniu obowiązku informacyjnego oraz przetwarzaniu danych osobowych przez osobę nieupoważnioną - odmówił uwzględnienia wniosku.
Skarżący wniósł skargę na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie. Wniósł o jej uchylenie w całości.
W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, skarga nie zasługiwała na uwzględnienie. Sąd I instancji wyjaśnił, że Prezes Sądu Rejonowego w [...] jest m.in. administratorem danych osobowych osób, które składają do niego wnioski o udostępnienie informacji publicznej, a dane te przetwarza w celu realizacji obowiązku udzielania informacji publicznej, o którym mowa w art. 4 ust. 1 pkt 1 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej. W tej zaś sytuacji, uznał, że Prezes Sądu, zbierając dane osób zwracających się z wnioskami o udostępnienie informacji publicznej legitymował się przesłanką określoną w art. 6 ust. 1 lit. c RODO w związku z art. 4 ust. 1 pkt 1 u.d.i.p. Odnosząc się do zarzutów skarżącego związanych z brakiem spełnienia przez Prezesa Sądu Rejonowego w [...] obowiązku informacyjnego wynikającego z art. 13 ust. 1 i 2 RODO przez brak przesłania odpowiedniej klauzuli w korespondencji zwrotnej, Sąd stwierdził, że nie zasługują one na uwzględnienie, albowiem obowiązek ten został spełniony jeszcze przed wniesieniem skargi z 21 maja 2019 r. przez zamieszczenie klauzuli informacyjnej na tablicy ogłoszeń w budynku Sądu Rejonowego w [...] oraz na stronie internetowej tego Sądu w zakładce "obowiązek informacyjny". Według WSA w Warszawie, przepisy RODO dotyczące obowiązku informacyjnego nie narzucają administratorowi konkretnego sposobu jego realizacji, istotne jest jedynie to, aby właściwa informacja dotarła do podmiotu danych i aby administrator był w stanie wykazać zrealizowanie tego obowiązku wobec konkretnego podmiotu danych. Z wyjaśnień przesłanych przez samego skarżącego wynika, iż przed wniesieniem skargi do organu nadzorczego, a więc przed formalnym wszczęciem postępowania administracyjnego, skarżący zapoznał się z aktualną klauzulą informacyjną zamieszczoną na stronie internetowej Sądu. Również z wyjaśnień administratora danych wynika, że na dzień 21 sierpnia 2018 r., tj. na dzień złożenia przez skarżącego wniosku o udzielenie informacji publicznej, na stronie internetowej Sądu zamieszczona była klauzula informacyjna zgodna z art. 13 ust. 1 i 2 RODO, zaś 13 maja 2019 r. nastąpiło jedynie jej doprecyzowanie polegające na wskazaniu dokładnych okresów przechowywania danych osobowych oraz nastąpiło uszczegółowienie praw osób, których dane dotyczą poprzez wskazanie sposobu ich realizacji. Z powyższego Sąd wyprowadził wniosek, że skoro skarżącemu znana była pełna treść klauzuli informacyjnej, z którą zapoznał się na stronie internetowej Sądu Rejonowego, to w chwili wniesienia skargi nie istniał stan niezgodny z prawem, a więc organ nadzorczy nie mógł zastosować żadnego środka mającego na celu przywrócenie stanu zgodnego z prawem.
Jeśli chodzi zaś o zarzuty skarżącego związane z przetwarzaniem danych osobowych przez pracownika Sądu Rejonowego w [...] – B. G., Sąd wyjaśnił, że nie zasługują one na uwzględnienie, ponieważ Prezes Sądu, jako administrator danych, przekazał do załatwienia wniosek o udzielenie informacji publicznej temu pracownikowi sądu, wydając mu tym samym polecenie służbowe zebrania niezbędnych danych oraz przygotowania projektu odpowiedzi dla skarżącego. W konsekwencji, pracownik ten działał z polecenia administratora i był on upoważniony do przetwarzania danych osobowych. Dodatkowo Sąd wyjaśnił, że przepis art. 29 RODO nie przewiduje formalnego obowiązku dopuszczenia do przetwarzania jedynie osób posiadających upoważnienie administratora.
Rozpoznając natomiast zarzut skarżącego odnoszący się do okoliczności udokumentowania przez B. G. faktu wykonania polecenia służbowego przez wykonanie kopii udzielonej odpowiedzi wraz z dokumentami stanowiącymi podstawę jej udzielenia, w tym kopii wniosku skarżącego o udzielenie informacji publicznej, Sąd I instancji uznał, że w toku postępowania wyjaśniającego organ nadzorczy ustalił, iż wspomniane skopiowanie przez pracownika pisma skarżącego zostało dokonane w ramach czynności czysto technicznych i związanych z organizacją własnej pracy (dla zapewnienia rozliczalności wykonywania obowiązków służbowych). Trudno przez wskazane powyżej działanie pracownika stwierdzić naruszenie prawa do ochrony danych osobowych skarżącego. Wszelkie bowiem czynności techniczne wykonywane w związku z przetwarzaniem jego danych osobowych mieściły się w zakresie celu tego przetwarzania. Ponadto podjęte przez pracownika czynności wykonane zostały w obszarze działania tego samego administratora, zaś dane osobowe skarżącego nie były udostępniane przez tego pracownika na zewnątrz, a jedynie przekazane do wiadomości Prezesa Sądu Rejonowego, a więc administratora tych danych.
Z kolei, jeśli chodzi o zachowanie pracownika, do jakiego doszło po upływie 5 miesięcy od udzielenia skarżącemu odpowiedzi, to dołączenie kopii wniosku skarżącego do pisma z 10 stycznia 2019 r. skierowanego przez tego pracownika do Prezesa Sądu Rejonowego w [...] wynikało, według Sądu I instancji,
z potrzeby zwrócenia przez tą osobę uwagi Prezesa Sądu na prawidłowość podejmowanych przez pracownika czynności w sprawach z zakresu referatu tego pracownika, w których to sprawach skarżący występując jako radca prawny - pełnomocnik procesowy wnioskodawców, miał zastrzeżenia do pracy tej osoby.
W tej sytuacji Sąd I instancji stwierdził, że nie sposób uznać, iż Prezes Sądu Rejonowego w [...], jako administrator, naruszył zasadę ograniczenia celu wyrażoną w art. 5 ust. 1 lit. b w zw. z art. 6 ust. 4 RODO oraz, że wyszedł również poza pierwotny cel przetwarzania danych osobowych skarżącego pozyskanych w związku z jego wnioskiem o udostępnienie informacji publicznej.
Skargę kasacyjną od powyższego wyroku złożył skarżący, reprezentowany przez radcę prawnego, wniósł o uchylenie zaskarżonego wyroku w całości, ewentualnie – o jego zmianę w całości przez uchylenie decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia 2 lipca 2020 r. Wystąpił także o zasądzenie kosztów postępowania według norm przepisanych oraz o rozpoznanie sprawy na rozprawie.
Zaskarżonemu wyrokowi zarzucił:
1. naruszenie prawa materialnego, tj. art. 5 ust. 2 RODO przez jego niezastosowanie i przyjęcie, że naruszenia praw wynikających z RODO powinny być udowodnione przez osobę, której dotyczą dane, podczas gdy to administrator danych osobowych jest odpowiedzialny za przestrzeganie przepisów o ochronie danych osobowych i musi być w stanie wykazać ich przestrzeganie, przy czym wyjaśnienia administratora danych osobowych nie mogą być uznane za wystarczające;
2. naruszenie prawa materialnego, tj. art. 12 ust. 1 RODO oraz art. 13 ust. 1, 2 i 3 RODO przez błędną ich wykładnię i przyjęcie, że dla wypełnienia obowiązku informacyjnego wystarczające jest zamieszczenie jakichkolwiek, chociażby częściowych, informacji na tablicy ogłoszeń w budynku sądu oraz na stronie internetowej bez zastosowania tzw. "informacji warstwowej" oraz że obowiązek informacyjny nie musi być zrealizowany w momencie zbierania danych osobowych (najpóźniej w chwili ich zebrania) albo bezpośrednio przed ich zebraniem, ale może być zrealizowany bezpośrednio przed złożeniem skargi (po wielu miesiącach od momentu zbierania danych osobowych) i po ich naruszeniu przez samodzielne zapoznanie się przez osobę, której dane dotyczą, z treścią klauzuli informacyjnej (niekompletnej) zamieszczonej na stronie internetowej;
3. naruszenie prawa materialnego, tj. art. 29 RODO w zw. z art. 5 ust. 2 RODO przez błędną jego wykładnię i przyjęcie, że administrator danych osobowych szczególnego rodzaju, jakim jest prezes sądu powszechnego (instytucji publicznej), nie ma obowiązku udokumentowania udzielenia i zakresu upoważnienia do przetwarzania danych osobowych oraz może upoważnić ustnie w drodze polecenia służbowego pracownika do przetwarzania danych osobowych, w tym do zachowania danych osobowych do "swojej służbowej wiadomości " (w celu archiwalnym);
4. naruszenie prawa materialnego, tj. art. 5 ust. 1 lit. c RODO przez jego niezastosowanie i przyjęcie, że dane osobowe w postaci imienia i nazwiska, numeru telefonu i adresu e-mail wnioskodawcy są konieczne do przygotowania przez pracownika administratora danych osobowych projektu odpowiedzi na wniosek o udostępnienie informacji publicznej obejmującej dane statystyczne na potrzeby pracy naukowej w sytuacji, gdy wniosek o udostępnienie informacji publicznej może być złożony anonimowo;
5. naruszenie prawa materialnego, tj. art. 5 ust. 1 lit. b i c oraz art. 6 ust. 4 RODO przez błędną jego wykładnię i przyjęcie, że przetwarzanie danych osobowych w innym celu (tworzenie własnych kopii akt spraw przez pracownika i ich wykorzystanie prywatne) jest zgodne z celem, w którym dane osobowe zostały pierwotnie zebrane (załatwienie wniosku o udostępnienie informacji publicznej) przy uwzględnieniu wszelkich związków między celami, w których zebrano dane osobowe, a celami zamierzonego dalszego przetwarzania; kontekstu, w którym zebrano dane osobowe, w szczególności relacji między osobami, których dane dotyczą, a administratorem, charakteru danych osobowych, w szczególności czy przetwarzane są szczególne kategorie danych osobowych zgodnie z art. 9 RODO lub dane osobowe dotyczące wyroków skazujących i czynów zabronionych zgodnie z art. 10 RODO, ewentualnych konsekwencji zamierzonego dalszego przetwarzania dla osób, których dane dotyczą oraz istnienie odpowiednich zabezpieczeń, w tym ewentualnie szyfrowania lub pseudonimizacji, w szczególności przyjęcie, że pracownik administratora danych osobowych przetwarza dane osobowe w celu archiwalnym i dla "zapewnienia rozliczalności wykonywania obowiązków służbowych" może tworzyć i przechowywać kopie nie tylko projektu odpowiedzi na wniosek o udostępnienie danych osobowych, ale całości akt sprawy o udostępnianie informacji publicznej, w tym wniosku obejmującego dane osobowe;
6. naruszenie prawa materialnego, tj. art. 33 ust. 1 RODO przez jego niewłaściwe zastosowanie i przyjęcie, że administrator danych osobowych nie był obowiązany zawiadomić organu nadzorczego o naruszeniu ochrony danych osobowych;
7. naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. art. 106 § 3 i 5 p.p.s.a. w zw. z art. 232 zdanie drugie k.p.c. oraz art. 7 k.p.a., art. 77 § 1 k.p.a. i art. 80 k.p.a. w zw. z art. 5 ust. 2 RODO, polegające na zaniechaniu przeprowadzenia dowodów uzupełniających z dokumentów oraz przyjęciu za wyczerpujące i obiektywne postępowania dowodowego przeprowadzonego przez organ, w szczególności oparcia ustaleń wyłącznie na piśmie administratora danych osobowych - Prezesa Sądu Rejonowego w [...] z 16 sierpnia 2020 r., mimo, że wyjaśnienia te zawierają informacje niezgodne z rzeczywistością i wzajemnie sprzeczne, a zgodnie z zasadą rozliczalności, ciężar udowodnienia przestrzegania przepisów z zakresu ochrony danych osobowych spoczywa na administratorze danych osobowych, a nie osobie, które dane dotyczą.
W odpowiedzi na skargę kasacyjną, organ wniósł o jej oddalenie. Podtrzymał swoje dotychczasowe stanowisko w sprawie.
Naczelny Sąd Administracyjny zważył, co następuje:
Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r., poz. 935) zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych.
Skargę kasacyjną można oprzeć na następujących podstawach:
1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie (art. 174 pkt 1 p.p.s.a.),
2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 pkt 2 p.p.s.a.).
Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy.
W skardze kasacyjnej zarzucono naruszenie prawa materialnego, jak
i naruszenie przepisów postępowania. Przy czym w uzasadnieniu skargi kasacyjnej nie przypisano zawartej tam argumentacji do poszczególnych zarzutów, co skutkowało częściową niemożliwością do ich rzeczowego odniesienia się. W sytuacji, gdy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania (por. wyrok NSA z 27 czerwca 2012 r., II GSK 819/11, LEX nr 1217424; wyrok NSA z 26 marca 2010 r., II FSK 1842/08, LEX nr 596025; wyrok NSA z 4 czerwca 2014 r., II GSK 402/13, LEX nr 1488113; wyrok NSA z 17 lutego 2023 r., II GSK 1458/19; wyrok NSA z 1 marca 2023 r., I FSK 375/20). Dopiero bowiem po przesądzeniu, że stan faktyczny przyjęty przez sąd w zaskarżonym wyroku jest prawidłowy, albo nie został dostatecznie podważony, można przejść do skontrolowania procesu subsumcji danego stanu faktycznego pod zastosowany przez sąd pierwszej instancji przepis prawa materialnego. Dla uznania za usprawiedliwioną podstawę kasacyjną z art. 174 pkt 2 p.p.s.a. nie wystarcza samo wskazanie naruszenia przepisów postępowania, ale nadto wymagane jest, aby skarżący kasacyjnie wykazał, że następstwa stwierdzonych wadliwości postępowania były tego rodzaju lub skali, iż kształtowały one lub współkształtowały treść kwestionowanego w sprawie orzeczenia (por. wyrok NSA z 5 maja 2004 r., FSK 6/04, LEX nr 129933; wyrok NSA z 26 lutego 2014 r., II GSK 1868/12, LEX nr 1495116; wyrok NSA z 29 listopada 2022 r., I OSK 931/22).
W ramach drugiej podstawy kasacyjnej skarżący zarzucił naruszenie art. 106 § 3 i 5 p.p.s.a. w zw. z art. 232 zdanie drugie k.p.c. oraz art. 7, art. 77 § 1 i art. 80 k.p.a. w zw. z art. 5 ust. 2 RODO. Zarzut ten okazał się niezasadny. Należy wyjaśnić, że uprawnienia sądu administracyjnego sprowadzają się bowiem wyłącznie do sprawowania wymiaru sprawiedliwości przez kontrolę działalności administracyjnej pod względem zgodności z prawem aktów administracyjnych. Ocena ta co do zasady jest dokonywana na podstawie akt sprawy istniejących w dniu wydania zaskarżonego aktu. W związku z tym sąd nie prowadzi własnego postępowania dowodowego, nie gromadzi dokumentów, nie przesłuchuje świadków. Uzupełniające postępowanie dowodowe, ograniczone tylko do dowodu z dokumentu, może być przeprowadzone przez sąd jedynie wówczas, gdy powstanie konieczność wyjaśnienia istotnych wątpliwości, a ich wyjaśnienie nie spowoduje nadmiernego przedłużenia postępowania w sprawie. Zarzut naruszenia przepisów art. 106 § 3 i 5 p.p.s.a., mógłby być uznany za skuteczny w przypadku wykazania, że zaniechanie przeprowadzenia przez wojewódzki sąd administracyjny z urzędu lub na wniosek dowodu z dokumentu, mimo ziszczenia się ku temu przesłanek określonych przywołanym przepisem, miało istotny wpływ na wynik sprawy, a więc na rezultat sądowoadministracyjnej kontroli legalności zaskarżonej decyzji. Dopuszczalność przeprowadzenia przez sąd administracyjny dowodów uzupełniających z dokumentów ma charakter wyjątkowy. Sąd nie ma bowiem obowiązku przeprowadzenia uzupełniającego postępowania dowodowego, a może to uczynić wówczas, gdy poweźmie istotne wątpliwości co do ustaleń poczynionych przez organy oraz o ile postępowanie takie nie naruszy przewidzianej w art. 7 p.p.s.a. zasady szybkości postępowania sądowego. Dopuszczalny jest jedynie dowód z dokumentu, pełniący rolę uzupełniającą. Celem omawianego postępowania nie jest ponowne ustalenie stanu faktycznego sprawy administracyjnej, lecz ocena, czy organy właściwe w sprawie ustaliły ten stan zgodnie z regułami obowiązującymi w procedurze administracyjnej, a następnie, czy do poczynionych ustaleń prawidłowo zastosowały przepisy prawa materialnego. Powołany przepis, nie stanowi instrumentu służącego podważaniu ustaleń faktycznych, z którymi strona skarżąca się nie zgadza (por. wyrok NSA z 20 stycznia 2010 r. sygn. akt II FSK 1306/08). Naczelny Sąd Administracyjny uznał, że w tym przypadku Wojewódzki Sąd Administracyjny w Warszawie prawidłowo przyjął, że w sprawie nie zachodziła konieczność wyjaśnienia istotnych wątpliwości przez przeprowadzenie z urzędu jakichkolwiek dowodów z dokumentów. Zauważyć należy, iż sąd administracyjny nie powinien przeprowadzać środków dowodowych i dokonywać ustaleń, które miałyby służyć merytorycznemu rozstrzygnięciu sprawy załatwianej decyzją administracyjną a do tego zdaje się dąży skarżący podnosząc omawiany zarzut.
Odnosząc się z kolei do sugestii zawartych w skardze kasacyjnej o konieczności przeprowadzenia przez Sąd I instancji dowodów z dokumentów, wyjaśnić należy, że w niniejszej sprawie całokształt okoliczności został należycie rozpatrzony przez organ oraz Sąd I instancji, zaś próba kontynuacji postępowania dowodowego na etapie skargi kasacyjnej okazała się całkowicie chybiona. W sprawie sądowej, na etapie odwoławczym, nie zachodziły żadne tego rodzaju wątpliwości, które stanowiłyby przeszkodę dla rozpoznania sprawy w instancji odwoławczej przez Naczelny Sąd Administracyjny. Trzeba tu powtórzyć, że celem postępowania dowodowego, o którym stanowi art. 106 § 3 i 5 p.p.s.a., nie jest ponowne ustalenie stanu faktycznego sprawy administracyjnej, lecz ocena, czy właściwe w sprawie organy ustaliły ten stan zgodnie z regułami obowiązującymi w procedurze administracyjnej. Tymczasem skarżący kasacyjnie zmierza do podważenia ustaleń faktycznych zaakceptowanych przez Sąd I instancji. Skarżący w postępowaniu administracyjnym ani w postępowaniu przed Sądem I instancji nie składał wniosków dowodowych zmierzających do podważenia ustaleń organu nadzorczego zaakceptowanych następnie przez Sąd I instancji.
Ponadto, nie sposób zgodzić się z twierdzeniem skarżącego, że organ swoje ustalenia oparł wyłącznie na piśmie administratora danych osobowych. W obszernych aktach administracyjnych znajduje się duża liczba dokumentów, które organ wziął pod uwagę, w tym wyjaśnienia stron postępowania, które stosownie do treści art. 75 § 1 k.p.a. również stanowią dowody w sprawie. Inną kwestą jest ocena tych dowodów pod kątem ich wiarygodności, której dokonał organ. Zdaniem Naczelnego Sądu Administracyjnego w skardze kasacyjnej nie przedstawiono rzeczowych argumentów, które obaliłyby ustalenia organu i dokonaną przez niego ocenę tych okoliczności. Administrator danych stosownie do treści art. 5 ust. 2 RODO wykazał okoliczności, z których wynika, że przestrzegał wymogi wynikające z zasad zawartych w art. 5 ust. 1 RODO. Zatem nie naruszył zasady rozliczalności. Co prawda Prezes Sądu Rejonowego w [...] w sposób niezgodny z rzeczywistością wyjaśnił kwestię zajmowanego przez B. G. stanowiska oraz powołał się na nieobowiązujące w chwili rozpoznania wniosku przepisy rozporządzenia Ministra Sprawiedliwości), jednak są to okoliczności, które nie mają żadnego znaczenia dla rozstrzygnięcia sprawy. Ponadto, inne dowody zgromadzone w sprawie wskazują na to, że był to wynik niefortunnego sformułowania wyjaśnień przez administratora (zajmowane stanowisko) i oczywistej omyłki (niewłaściwy przepis). B. G. rzeczywiście nie była formalnym zastępcą przewodniczącego wydziału, ale w dniu rozpoznania wniosku o udostępnienie informacji publicznej zastępowała nieobecną Przewodniczącą Wydziału. Wbrew twierdzeniom skarżącego Sąd I instancji nie przyjął, że ciężar udowodnienia przestrzegania przepisów z zakresu danych osobowych ciąży na osobie, której dane dotyczą. Sąd ten stwierdził, że "[w] tej sytuacji, mając na względzie powyższą definicję przetwarzania, Prezes Urzędu Ochrony Danych Osobowych, jako organ nadzorczy, zobowiązany był, analizując wniesioną 21 maja 2019 r. skargę, przeprowadzić stosowne postępowanie wyjaśniające i na podstawie całokształtu zgromadzonego materiału dowodowego ustalić, czy powoływane przez skarżącego naruszenia praw wynikających z RODO zostały udowodnione." Takie stanowisko nie potwierdza tezy skarżącego, że to skarżący miał wykazać, iż administrator nie przestrzegał zasad wynikających z art. 5 ust. 1 RODO.
Trzeba również wyjaśnić, że o ile postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, którego dotyczy rozdział 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, jest postępowaniem administracyjnym, do którego - na podstawie art. 7 ust. 1 u.o.d.o. - znajdują zastosowanie przepisy Kodeksu postępowania administracyjnego i w ramach którego to postępowania prowadzący je organ jest związany kodeksowymi standardami prowadzenia postępowania wyjaśniającego, o tyle Prezes UODO, jako organ nadzorczy, może ponadto skorzystać z możliwości posłużenia się w procesie gromadzenia dowodów takim instrumentem, jakim jest przeprowadzenie kontroli przestrzegania przepisów, o której mowa w art. 68 ust. 1 u.o.d.o. Zgodnie z art. 68 ust. 1 u.o.d.o., jeżeli w toku postępowania zajdzie konieczność uzupełnienia dowodów, Prezes Urzędu może przeprowadzić postępowanie kontrolne. Przepis art. 68 ust. 1 u.o.d.o. pozwala organowi nadzorczemu dopuścić, jako dowód, materiały uzyskane w rezultacie przeprowadzonej kontroli. W ramach tego postępowania, kontrolujący ustala stan faktyczny na podstawie dowodów zabranych w postępowaniu kontrolnym, a w szczególności dokumentów, przedmiotów, oględzin oraz ustnych lub pisemnych wyjaśnień i oświadczeń (art. 87 u.o.d.o.).
Odnosząc się do zarzucanego nieprzeprowadzenia dowodów na okoliczność upoważnienia B. G.przez Prezesa Sądu do przetwarzania danych osobowych skarżącego, należy przypomnieć, że Sąd zaakceptował stanowisko organu, że upoważnienie te może być w formie ustnej a takiego udzielił administrator swojej pracownicy. Jest to typowa praktyka obowiązująca w sądach i organach administracji publicznej. Również w niniejszej sprawie Prezes Sądu polecił pracownicy sądu przygotowanie żądanej informacji publicznej i co jest oczywiste upoważnił ją do przetwarzania danych osobowych wnioskodawcy. Irrelewantną okolicznością dla tej kwestii jest to, czy pracownica sądu ma pisemne upoważnienie do przetwarzania danych osobowych, na które dodatkowo powoływał się Prezes Sądu. Ponadto wbrew stanowisku skarżącego, trudno sobie wyobrazić, polecenie przygotowania żądanej informacji publicznej i ewentualnego projektu odpowiedzi na wniosek, bez przekazania pracownicy danych wnioskodawcy zawartych we wniosku. Zbędne było też wyjaśnianie dokładnej treści klauzuli informacyjnej, skoro skarżący nie podważał prawidłowości jej treści lecz sam fakt jej zamieszczenia na tablicy ogłoszeń a w postępowaniu administracyjnym, w tym w skardze do organu nadzorczego przyznał, że klauzula informacyjna została zamieszczona na stronie internetowej Sądu. Trudno natomiast przyjąć aby jakiekolwiek znaczenie dla rozstrzygnięcia miało ustalenie treści wniosku z 21 sierpnia 2018 r. o udostępnienie informacji publicznej. Przy czym należy zauważyć, że treść tego wniosku została opisana w piśmie B. G. do Prezesa Sądu z 10 stycznia 2019 r. znajdującym się w aktach sprawy.
Przechodząc do oceny zarzutów naruszenia prawa materialnego, trzeba wyjaśnić, że w sytuacji niepodważenia w skardze kasacyjnej ustaleń organu nadzorczego, Naczelny Sąd Administracyjny dokonując oceny zarzutów naruszenia prawa materialnego opiera się na tych ustaleniach. Tymczasem większość zarzutów z pierwszej podstawy kasacyjnej została oparta na stanie faktycznym, wskazanym przez skarżącego (niewynikających z ustaleń organu) lub zmierza do podważenia ustaleń organu przyjętych przez Sąd I instancji. Co do zasadny nie mogło to skutkować uwzględnieniem zarzutów naruszenia prawa materialnego, ponieważ takimi zarzutami nie można skutecznie podważać stanu faktycznego przyjętego przez Sąd I instancji za podstawę orzekania.
Oczywiście chybiony jest zarzut naruszenia art. 5 ust. 2 RODO, którego skarżący upatruje w przyjęciu, że naruszenia praw wynikających z RODO powinny być udowodnione przez osobę, której dane te dotyczą. Analiza uzasadnienia zaskarżonego wyroku nie pozwala na stwierdzenie, że Sąd I instancji zajął takie stanowisko. Jak już wyżej wykazano Sąd I instancji stwierdził, że "[w] tej sytuacji, mając na względzie powyższą definicję przetwarzania, Prezes Urzędu Ochrony Danych Osobowych, jako organ nadzorczy, zobowiązany był, analizując wniesioną 21 maja 2019 r. skargę, przeprowadzić stosowne postępowanie wyjaśniające i na podstawie całokształtu zgromadzonego materiału dowodowego ustalić, czy powoływane przez skarżącego naruszenia praw wynikających z RODO zostały udowodnione." Takie stanowisko nie potwierdza tezy skarżącego, że to skarżący nie wykazał, iż administrator nie przestrzegał zasad z art. 5 ust. 1 RODO.
Niezasadny jest też zarzut naruszenia art. 12 ust. 1 RODO oraz art. 13 ust. 1, 2 i 3 RODO. Zdaniem Naczelnego Sądu Administracyjnego Sąd I instancji prawidłowo przyjął, że administrator danych nie naruszył przepisów RODO w zakresie realizacji obowiązku informacyjnego, o którym mowa w art. 12 ust. 1 RODO i w art. 13 ust. 1, 2 i 3 RODO. Jak to wyjaśnił Sąd i instancji, wymóg przetwarzania danych osobowych w sposób przejrzysty dla osoby, której dane dotyczą, wiąże się z obowiązkami informacyjnymi nałożonymi na administratora danych osobowych. Nie ulega bowiem wątpliwości, że tylko wtedy można mówić o przejrzystości (transparentności) procesów przetwarzania danych, jeżeli osoba, której dane dotyczą, została należycie poinformowana o istotnych dla niej aspektach tego przetwarzania. Na gruncie RODO wymóg przejrzystości przetwarzania danych został skonkretyzowany w obowiązkach wynikających z art. 12 RODO. Z kolei, jeśli chodzi o art. 13 RODO, należy zauważyć, że przepis ten nakłada na administratora obowiązek informowania osoby, której dane dotyczą, w przypadku gdy dane są pozyskiwane od tej osoby. W przepisie tym określony został zakres obowiązku informacyjnego, termin jego realizacji oraz przewidziane zostało zwolnienie z tego obowiązku. Nałożone na administratora obowiązki informacyjne i odpowiadające im po stronie podmiotu danych uprawnienia informacyjne stanowią przejaw realizacji zasady przejrzystości przetwarzania dla osoby, której dane dotyczą, określonej w art. 5 ust. 1 lit. a RODO. Prawo podmiotu danych do informacji stanowi jeden z filarów prawa ochrony danych osobowych. Uzyskanie przez osobę, której dane dotyczą, wszystkich określonych w art. 13 RODO informacji ma istotne znaczenie dla urzeczywistnienia idei autonomii informacyjnej jednostki. Należyta realizacja obowiązku informacyjnego warunkuje możliwość samodzielnego decydowania przez podmiot danych o udostępnieniu i zakresie udostępnienia dotyczących go informacji, a także pozwala na sprawowanie faktycznej kontroli nad tym, jakie informacje na jego temat posiadają inne podmioty. Przekazanie osobie, której dane dotyczą, podstawowych informacji o przyznanych jej na gruncie rozporządzenia prawach ma zapewnić skuteczne ich wykonywanie, a także umożliwić weryfikację, czy przetwarzanie odbywa się zgodnie z prawem. Realizacja wobec podmiotu danych obowiązku informacyjnego warunkuje zapewnienie rzetelności i przejrzystości przetwarzania (por. J. Łuczak /w:/ RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, pod red. E. Bielak-Jomaa i D. Lubasza, WKP 2018, teza 3 komentarza do art. 13 RODO). Przepisy dotyczące obowiązku informacyjnego nie narzucają administratorowi konkretnego sposobu jego realizacji. Istotne jest by właściwa informacja dotarła do podmiotu danych i aby administrator był w stanie wykazać zrealizowanie tego obowiązku wobec konkretnego podmiotu danych.
Nie można zgodzić się ze skarżącym, że Prezes Sądu Rejonowego w [...] nie wypełnił obowiązku informacyjnego wynikającego z art. 13 ust. 1 i 2 RODO, przez brak przesłania odpowiedniej klauzuli w korespondencji zwrotnej. Jak to prawidłowo uznał Sąd I instancji obowiązek ten został spełniony jeszcze przed wniesieniem skargi do organu nadzorczego z 21 maja 2019 r. przez zamieszczenie klauzuli informacyjnej na tablicy ogłoszeń w budynku Sądu Rejonowego w [...] oraz na stronie internetowej tego Sądu w zakładce "obowiązek informacyjny". Skoro przepisy RODO dotyczące obowiązku informacyjnego nie narzucają administratorowi konkretnego sposobu jego realizacji, istotne jest jedynie to, aby właściwa informacja dotarła do podmiotu danych i aby administrator był w stanie wykazać zrealizowanie tego obowiązku wobec konkretnego podmiotu danych. Z wyjaśnień przesłanych przez samego skarżącego wynika, iż przed wniesieniem skargi do organu nadzorczego, a nawet w czasie składnia wniosku o udostępnienie informacji publicznej a więc przed formalnym wszczęciem postępowania administracyjnego, skarżący zapoznał się z aktualną klauzulą informacyjną zamieszczoną na stronie internetowej Sądu. Również z wyjaśnień administratora danych wynika, że na dzień 21 sierpnia 2018 r., tj. na dzień złożenia przez skarżącego wniosku o udzielenie informacji publicznej, na stronie internetowej Sądu zamieszczona była klauzula informacyjna zgodna z art. 13 ust. 1 i 2 RODO. Zaś 13 maja 2019 r. nastąpiło jedynie jej doprecyzowanie polegające na wskazaniu dokładnych okresów przechowywania danych osobowych oraz nastąpiło uszczegółowienie praw osób, których dane dotyczą przez wskazanie sposobu ich realizacji. W rezultacie Sąd I instancji prawidłowo przyjął, że skoro skarżącemu znana była pełna treść klauzuli informacyjnej, z którą zapoznał się na stronie internetowej Sądu, to w chwili wniesienia skargi nie istniał stan niezgodny z prawem, a więc organ nadzorczy nie mógł zastosować żadnego środka mającego na celu przywrócenie stanu zgodnego z prawem na podstawie art. 58 ust. 2 RODO. Ustalone okoliczności wskazują też na brak przesłanek z art. 83 ust. 5 lit. b RODO do zastosowania wobec administratora danych osobowych, fakultatywnego środka w postaci wymierzenia kary pieniężnej.
Za nieuzasadniony należy uznać zarzut naruszenia art. 29 RODO w zw. z art. 5 ust. 2 RODO. Stosownie do treści art. 29 RODO "[p]odmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego". Z ustaleń organu wynika, że Prezes Sądu, jako administrator danych, przekazał do załatwienia wniosek o udostepnienie informacji publicznej pracownicy sądu, wydając jej tym samym polecenie służbowe zebrania niezbędnych danych oraz przygotowania projektu odpowiedzi dla skarżącego. W tej sytuacji, słusznie przyjął Sąd I instancji, że nie ulega wątpliwości, iż pracownica ta działała z polecenia administratora i - jak wyjaśnił Prezes Sądu Rejonowego - była ona upoważniona do przetwarzania danych osobowych.
Zgodzić należy się z Sądem I instancji, że przepis art. 29 RODO nie przewiduje formalnego obowiązku dopuszczenia do przetwarzania jedynie osób posiadających upoważnienie administratora. Owszem, taki obowiązek wyraźnie przewidywał przepis art. 37 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2016 r., poz. 922 ze zm. - dalej także: "u.o.d.o.1997"), niemniej w doktrynie przyjmuje się, iż istotą przepisu art. 29 RODO jest polecenie administratora, a nie upoważnienie do przetwarzania, w rozumieniu art. 37 u.o.d.o. z 1997 r. Samo umocowanie do przetwarzania - upoważnienie sensu largo - wypływać musi odpowiednio od administratora lub podmiotu przetwarzającego, natomiast - co ważne - niezależnie od źródła tego umocowania, osoba upoważniona tak przez administratora, jak i podmiot przetwarzający, oraz sam podmiot przetwarzający mogą działać wyłącznie na podstawie i w granicach polecenia wydawanego jedynie przez administratora. Ponadto, wskazuje się, że bezpośrednimi adresatami normy zawartej w art. 29 RODO są: osoba upoważniona oraz podmiot przetwarzający, nie administrator. W konsekwencji, jak wskazuje się w doktrynie, art. 29 RODO ustanawia obowiązek właśnie po stronie osoby upoważnionej lub podmiotu przetwarzającego, by przetwarzanie przez nich danych odbywało się jedynie na podstawie polecenia wydanego przez administratora. W tej sytuacji, przyjmuje się, że z przepisu tego nie wynika, iż na administratorze lub podmiocie przetwarzającym ciąży obowiązek nadawania upoważnień do przetwarzania danych (por. K. Witkowska-Nowakowska /w:/ RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, pod red. E. Bielak-Jomaa i D. Lubasza, WKP 2018, teza 10 komentarza do art. 29 RODO). Z tego stanowiska wypływa wniosek, że wystarczające jest polecenie, z którego wynika uprawnienie do przetwarzania danych osobowych.
Odnośnie do zarzutu skarżącego związanego z okolicznościami udokumentowania przez pracownicę sądu faktu wykonania polecenia służbowego przez wykonanie kopii udzielonej odpowiedzi wraz z dokumentami stanowiącymi podstawę jej udzielenia, w tym kopi wniosku skarżącego o udzielenie informacji publicznej i dołączenia go do pisma do Prezesa Sądu z 10 stycznia 2019 r., to w toku postępowania wyjaśniającego organ nadzorczy ustalił, iż wspomniane skopiowanie przez pracownika wniosku skarżącego zostało dokonane w ramach czynności czysto technicznych i związanych z organizacją własnej pracy (dla zapewnienia rozliczalności wykonywania obowiązków służbowych). Jak to zatem stwierdził Sąd I instancji, trudno w tej sytuacji uznać, aby przez wskazane powyżej działanie pracownicy naruszone zostało prawo do ochrony danych osobowych skarżącego, gdyż wszelkie czynności techniczne wykonywane w związku z przetwarzaniem jego danych osobowych mieściły się w zakresie tego samego celu przetwarzania. Podjęte przez pracownicę sądu czynności wykonane zostały w obszarze działania tego samego administratora, zaś dane osobowe skarżącego nie były udostępniane przez nią na zewnątrz instytucji, a jedynie przekazane do wiadomości Prezesa Sądu, a więc administratora danych osobowych.
Wyjaśnić ponadto trzeba, że zasada ograniczenia celu przetwarzania danych osobowych wyraża się - oprócz nakazu, by przetwarzanie danych odbywało się w konkretnych, wyraźnych i prawnie uzasadnionych celach - także w zakazie przetwarzania danych w celach niezgodnych z pierwotnym celem przetwarzania danych. Przyjmuje się, iż zasada ta nie może być rozumiana jako zakaz przetwarzania danych osobowych w innym celu niż cel, dla którego zostały zebrane, lecz jako zakaz przetwarzania danych w celu niezgodnym z pierwotnie określonym. Nie można bowiem, po pierwsze, mówić o zasadzie niezmienności celu przetwarzania danych, jako że RODO nie zabrania przetwarzania danych w celu innym niż cel, w którym dane zostały zebrane. Zakaz dotyczy bowiem przetwarzania danych w celu niezgodnym z celem zebrania danych. Po drugie, nieuprawnione wydaje się przyjęcie, że administrator danych może przetwarzać dane osobowe jedynie w celu, dla którego zostały zgromadzone, albowiem ogólnie RODO nie formułuje zakazu przetwarzania danych w celach "innych", lecz jedynie zakaz przetwarzania danych w celach "niezgodnych" z pierwotnym celem przetwarzania (por. m.in. P. Fajgielski, Komentarz do rozporządzenia nr 2016/679 w sprawie ... /w:/ Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, WKP 2018, teza 10 komentarza do art. 5 RODO).
Odnośnie do zachowania pracownicy, do jakiego doszło po upływie 5 miesięcy od udzielenia skarżącemu odpowiedzi (tj. załączenie przez pracownicę wykonanej kopii wniosku skarżącego, do pisma z 10 stycznia 2019 r. skierowanego przez tę pracownicę do Prezesa Sądu Rejonowego w [...]) wskazać trzeba, iż wynikało ono z potrzeby zwrócenia przez tą osobę uwagi Prezesa Sądu na prawidłowość podejmowanych przez tę pracownicę czynności w sprawach z zakresu referatu tej pracownicy, w których to sprawach skarżący występując jako radca prawny - pełnomocnik procesowy wnioskodawców, miał zastrzeżenia do pracy tej osoby. Przepis art. 6 ust. 4 RODO precyzuje, kiedy istnieje możliwość zmiany celu przetwarzania danych osobowych względem celu, w którym zostały one pierwotnie zebrane. Jeżeli zmiana celu przetwarzania danych osobowych względem celu pierwotnego nie następuje na podstawie zgody podmiotu danych lub przepisu prawa unijnego lub krajowego, wówczas konieczne jest zbadanie, czy istnieje zgodność między pierwotnym a nowym celem przetwarzania danych. Przepis art. 6 ust. 4 RODO wskazuje kryteria, które należy uwzględnić przy dokonywaniu takiej oceny (por. D. Lubasz i W. Chomiczewski /w:/ RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, pod red. E. Bielak-Jomaa i D. Lubasza, WKP 2018, teza 4 komentarza do art. 6 ust. 4 RODO).
W art. 6 ust. 4 RODO wskazane zostały następujące kryteria, które należy uwzględnić w procesie badania zgodności między celami, tj.: - wszelkie związki między celami, w których zebrano dane osobowe, a celami zamierzonego dalszego przetwarzania, - kontekst, w którym zebrano dane osobowe, w szczególności relację między osobami, których dane dotyczą, a administratorem, - charakter danych osobowych, w szczególności czy przetwarzane są szczególne kategorie danych osobowych zgodnie z art. 9 lub dane osobowe dotyczące wyroków skazujących i naruszeń prawa zgodnie z art. 10, - ewentualne konsekwencje zamierzonego dalszego przetwarzania dla osób, których dane dotyczą, a także - istnienie odpowiednich zabezpieczeń, w tym ewentualnie szyfrowania lub pseudonimizacji. Jak Słusznie stwierdził Sąd I instancji, Prezes Sądu Rejonowego w [...], jako administrator, nie wyszedł poza pierwotny cel przetwarzania danych osobowych skarżącego pozyskanych w związku z jego wnioskiem o udostępnienie informacji publicznej. Zgodzić się należy z ustaleniami organu nadzorczego, iż w chwili skierowania przez pracownicę pisma z 10 stycznia 2019 r., administrator danych przetwarzał dane osobowe skarżącego zawarte w jego wniosku w celach archiwalnych i to właśnie ze względu na konieczność potwierdzenia pewnego archiwalnego stanu faktycznego, jakim było wniesienie tego wniosku. Wspomniana pracownica załączyła go do w/w pisma, broniąc się jedynie przed zarzutami ze strony skarżącego. W tej sytuacji, nie sposób uznać, iż Prezes Sądu Rejonowego w [...], jako administrator, naruszył zasadę ograniczenia celu wyrażoną w art. 5 ust. 1 lit. b w zw. z art. 6 ust. 4 RODO. Ponadto wobec okoliczności, że pierwotny cel przetwarzania przez Prezesa Sądu danych osobowych skarżącego nie zmienił się, po stronie administratora nie powstał obowiązek informacyjny z art. 13 ust. 3 RODO.
Niezasadny jest też zarzut naruszenia art. 5 ust. 1 lit. c RODO. Zdaniem Naczelnego Sądu Administracyjnego względy praktyczne i zasady obowiązujące w praktyce urzędniczej wskazują na to, że dane w postaci imienia i nazwiska, numeru telefonu i adresu e-mail, które znajdowały się we wniosku skarżącego z 21 sierpnia 2018 r. o udostępnienie informacji publicznej, były niezbędne do wykonania polecenia wydanego pracownicy przez Prezesa Sądu, polegającego na przygotowaniu żądanych przez skarżącego danych i przygotowania projektu odpowiedzi na wniosek. Należy podkreślić, że rozpoznanie wniosku następowało w ramach jednej instytucji, tylko przez jego piastuna i upoważnioną pracownicę. Trudno sobie wyobrazić aby piastun wydawał pracownicy polecenie przygotowania odpowiedzi na wniosek, przekazując go jej po uprzednim zanonimizowaniu przez siebie lub inną dodatkową osobę a po wykonaniu polecenia, samodzielnie uzupełniał przygotowaną odpowiedź na wniosek o dane w postaci imienia i nazwiska oraz adresu wnioskodawcy. Zatem dane skarżącego zawarte we wniosku o dostępnienie mu informacji publicznej były niezbędne pracownicy do celu, w którym były przetwarzane. W rezultacie dochowana została zasada minimalizacji danych, o której mowa w art. 5 ust. 1 lit. c RODO.
Ponadto, jak trafnie wskazuje organ w odpowiedzi na skargę kasacyjną, rozpoznając skargę na przetwarzanie danych osobowych przez osobę nieupoważnioną, zbadał tą okoliczność przez odniesienie się do procesu przetwarzania jago danych osobowych jako całości, a nie poszczególnych czynności podejmowanych w jego toku. Organ nie ma obowiązku wnikania i ingerencji w organizację pracy administratora, o ile dany proces przetwarzania nie wykracza poza jego cel. Tym samym, w świetle przesłanek legalizacyjnych przetwarzania, nie jest istotne czy dany proces składa się z pomniejszych czynności takich jak przesłanie lub przekazanie danych osobowych konkretnemu pracownikowi, opracowywanie odpowiedzi, przenoszenie nośników pomiędzy poszczególnymi pomieszczeniami, drukowanie lub kserowanie, podpisywanie, wysyłanie lub jakakolwiek inna czynność, która zmierza do realizacji celu tego przetworzenia. To jak administrator zorganizuje swoją pracę na danych osobowych i czy dopuszcza pozostawienie przez pracowników do służbowej wiadomości efektów tej pracy, w postaci np. kopii wykonanych czynności, jest okolicznością wtórną i nie jest przedmiotem postępowania administracyjnego, o ile poszczególne czynności nie wpłynęły na prawo do ochrony danych osobowych danego podmiotu danych, tj. o ile nie powstał w związku z tym jakiś incydent bezpieczeństwa, naruszenie danych osobowych i pod warunkiem, że administrator przestrzega zasady ograniczenia przechowywania danych osobowych. Działanie pracownicy Sądu nie naruszyło prawa do ochrony danych osobowych skarżącego. Przytoczone w piśmie załączonym przez pracownika do pisma skierowanego do Prezesa Sądu, dane osobowe skarżącego i fakt, że złożył on niegdyś wniosek o udostępnienie informacji publicznej, w dalszym ciągu dotyczy tego samego celu przetwarzania danych jakim była obsługa jego wniosku przez Prezesa Sądu zgodnie z art. 6 ust. 1 lit. c RODO. Tej oceny nie zmieniają w żaden sposób wyjaśnienia Prezesa Sądu, w których wskazał, że nakazał pracownicy zwrócenie i usunięcie kopii danych skarżącego z zasobu tej pracownicy, ponieważ jak wskazano wyżej administrator ma prawo samemu decydować o organizacji pracy własnej i doskonalić proces przetwarzania danych ale i przestrzegać zasadę ograniczenia przechowywania danych osobowych.
Nie można również zgodzić się z zarzutem naruszenia art. 33 ust. 1 RODO. Skarżący upatruje tego naruszenia w błędnym przyjęciu przez Sąd, że administrator danych osobowych nie był obowiązany zawiadomić organu nadzorczego o naruszeniu ochrony danych osobowych. Skarżący swoje stanowisko opiera na gołosłownym nieudowodnionym fakcie, że jego dane osobowe zostały wykorzystane przez pracownicę sądu do pomówienia skarżącego. Przepis art. 33 ust. 1 RODO stanowi, że "[w] przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki - w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia - zgłasza je organowi nadzorczemu właściwemu zgodnie z art. 55, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia."
Naczelny Sąd Administracyjny nie podziela stanowiska skarżącego, że administrator miał obowiązek zawiadomić organ nadzorczy o naruszeniu danych osobowych skarżącego. Jak to trafnie zauważył Sąd I instancji, przepis art. 33 ust. 1 RODO przewiduje wyjątek od obowiązku zgłoszenia, wskazując, że pomimo zaistnienia naruszenia ochrony danych osobowych, administrator nie musi dokonywać zgłoszenia, jeżeli jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych. Niewątpliwie, uznać należy, że oceny, czy występuje ryzyko naruszenia praw lub wolności człowieka, musi dokonać administrator. Ocena ta powinna być oparta na obiektywnych kryteriach (takich jak dotychczasowe doświadczenie związane z podobnymi sprawami i wiedza z zakresu bezpieczeństwa informacji) oraz na uwzględnieniu okoliczności samego naruszenia ochrony danych osobowych. Ponadto, dla braku konieczności zgłoszenia naruszenia do organu nadzorczego niezbędne jest wystąpienie małego prawdopodobieństwa, ale nie samego naruszenia praw lub wolności osób fizycznych, lecz ryzyka takiego naruszenia.
Zdaniem Naczelnego Sądu Administracyjnego, z materiału dowodowego zgromadzonego w toku postępowania wyjaśniającego wynika, że Prezes Sądu Rejonowego w [...] zasadnie uznał, że nie doszło przede wszystkim do naruszenia ochrony danych osobowych skarżącego oraz miał on podstawy do tego, by - jako administrator danych - uznać, że nie doszło do wystąpienia skutku w postaci ryzyka naruszenia praw i wolności osoby skarżącego. Ponadto z akt sprawy wynika, że pracownica sądu, dawna koleżanka z pracy skarżącego, z którą do niedawna utrzymywał poprawne kontakty koleżeńskie, na marginesie dysponująca już wcześniej nr telefonu i adresem e-mailowym skarżącego, załączyła do pisma do Prezesa Sądu Rejonowego w [...] z 10 stycznia 2019 r. kopię wniosku o udostępnienie informacji publicznej z danymi skarżącego w postaci jego imienia, nazwiska, nr telefonu i adresu e-mail, w celu odpowiedzi na zarzuty stawiane przez skarżącego pod jej adresem i uzasadnienia prawidłowości wykonywania przez nią swoich obowiązków. W tych okolicznościach, nie zachodziły przesłanki z art. 33 ust. 1 RODO do zawiadomienia przez administratora danych Prezesa Urzędu Ochrony Danych Osobowych.
Mając na uwadze powyższe wywody, Naczelny Sąd Administracyjny uznał, że skarga kasacyjna nie zawiera usprawiedliwionych podstaw, dlatego na mocy
art. 184 p.p.s.a. ją oddalił.
O kosztach postępowania orzeczono na podstawie art. 204 pkt 1 p.p.s.a.