III OSK 8/22

III OSK 8/22 - Wyrok NSA
Data orzeczenia
2025-03-13
orzeczenie prawomocne
Data wpływu
2022-01-03
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Hanna Knysiak - Sudyka
Mirosław Wincenciak /przewodniczący/
Rafał Stasikowski /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 103/21 - Wyrok WSA w Warszawie z 2021-09-29
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżony wyrok i oddalono skargę
Powołane przepisy
Dz.U. 2020 poz 2176
art. 5 ust. 2
Ustawa z dnia  6 września 2001 r. o dostępie do informacji publicznej - t.j.
Dz.U.UE.L 2016 nr 119 poz 1 art. 5 ust. 1, art. 6 ust. 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Mirosław Wincenciak Sędziowie: sędzia NSA Rafał Stasikowski (spr.) sędzia del. WSA Hanna Knysiak-Sudyka Protokolant starszy asystent sędziego Łukasz Mazur po rozpoznaniu w dniu 13 marca 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 29 września 2021 r. sygn. akt II SA/Wa 103/21 w sprawie ze skargi Prezydenta Miasta Nowego Sącza na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 12 listopada 2020 r. nr ZSPU.440.1214.2019.KO.PA.98845.98880 w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i oddala skargę; 2. zasądza od Prezydenta Miasta Nowego Sącza na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 480 (czterysta osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
Wyrokiem z 29 września 2021 r., II SA/Wa 103/21, Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu skargi Prezydenta Miasta Nowego Sącza na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 12 listopada 2020 r., nr ZSPU.440.1214.2019.KO.PA.98845.98880, w przedmiocie przetwarzania danych osobowych: 1. uchylił zaskarżoną decyzję; 2. zasadził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz Prezydenta Miasta Nowego Sącza kwotę 680 zł tytułem zwrotu kosztów postępowania.
Wyrok zapadł w następujących okolicznościach faktycznych i prawnych.
Decyzją z 12 listopada 2020 r. Prezes Urzędu Ochrony Danych Osobowych udzielił Prezydentowi Miasta Nowego Sącza upomnienia za udostępnienie bez podstawy prawnej danych osobowych J. G. (dalej także "wnioskodawca") podczas obrad XIX Sesji Rady Miasta Nowego Sącza, która odbyła się 10 września 2019 r. W podstawie prawnej powołał się na art. 104 § 1 Kodeksu postępowania administracyjnego (Dz.U. z 2020 r., poz. 256 ze zm.; dalej: "k.p.a.") w związku z art. 7 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019r., poz. 1781; dalej: "u.o.d.o."), art. 57 ust. 1 lit. a) i f), art. 58 ust. 2 lit. b) w zw. z art. 5 ust. 1 lit. a) i c) oraz art. 9 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm.; dalej: "RODO").
Prezes UODO ustalił, że wnioskodawca złożył 12 września 2019 r. skargę na nieprawidłowości w procesie przetwarzania danych osobowych przez Prezydenta Miasta w trakcie ww. sesji Rady Miasta, a także bezprawną i trwająca do chwili obecnej publikację tych danych w nagraniu przebiegu ww. sesji na stronie internetowej [...]. Zdaniem wnioskodawcy ujawnienie jego danych osobowych (informacji dotyczących przeszłej pracy w Urzędzie Miasta Nowego Sącza, realizacji uprawnień pracowniczych i uzyskanych w związku z tym świadczeń ze wskazaniem ich wysokości) było nieuprawnione. Prezes UODO w związku z tym zwrócił się pismem z 4 listopada 2019r. do Prezydenta Miasta o ustosunkowanie się do ww. zarzutów. W odpowiedzi z 12 listopada 2019 r. Prezydent Miasta stwierdził, że w trakcie ww. sesji Rady Miasta nie ujawniono danych osobowych wnioskodawcy, ale informacje, że wnioskodawca był urzędnikiem pełniącym funkcję zastępcy Prezydenta Miasta, uzyskał z tytułu pełnionej funkcji określone świadczenia pieniężne, w tym zasiłek chorobowy za [...] miesięcy, nie wykorzystał [...] dni urlopu wypoczynkowego na skutek pobierania zasiłku chorobowego, w związku z czym wypłacono mu ekwiwalent za urlop, przeszedł na emeryturę, jego stosunek pracy wygasł [...]. Zdaniem skarżącego nie jest możliwe powiązanie tych danych z wnioskodawcą bez nadmiernego wysiłku i kosztów, gdyż wnioskodawca nie był jedyną osobą, która w przeszłości pełniła funkcję Zastępcy Prezydenta Miasta. Same kwoty świadczeń pieniężnych i data wygaśnięcia stosunku same w sobie nie wskazują na wnioskodawcę. Prezydent Miasta nie użył danych indywidualizujących, takich jak np. imię i nazwisko, więc bez podjęcia dodatkowych działań - w razie braku dostępu do dokumentów Rady i Urzędu Miasta, opierając się wyłącznie na danych ujawnionych w trakcie sesji, przeciętny odbiorca nie jest w stanie powiązać tych danych z wnioskodawcą. Prezydent Miasta w związku z tym nie zgodził się, że w trakcie ww. sesji ujawniono dane osobowe wnioskodawcy, który opiera taką tezę głównie na artykułach prasowych, opublikowanych po sesji, w których autorzy dokonali powiązania danych ujawnionych na sesji z wnioskodawcą. Wnioskodawca powinien kierować zarzuty i żądania do odpowiedniego administratora danych - wydawcy danego medium. Skarżący podał, że dane osobowe wnioskodawcy są przetwarzane przez Miasto w zakresie dokumentacji pracowniczej, w związku z wygasłym stosunkiem pracy, na podstawie art. 6 ust. 1 pkt c) RODO w związku z 94 pkt 9b Kodeksu Pracy, natomiast w zakresie oświadczeń majątkowych na mocy art. 6 ust. 1 pkt c) RODO w związku z art. 24i ust. 3 ustawy z 8 marca 1990r. o samorządzie gminnym (Dz.U. z 2019r., poz. 506 ze zm.; dalej "u.s.g.").
Zdaniem Prezydenta Miasta nieprawdziwe jest twierdzenie wnioskodawcy, że od [...] był on osobą prywatną, gdyż do końca zatrudnienia w Urzędzie Miasta ([...]) był osobą pełniącą funkcję publiczne - urzędnikiem zatrudnionym na stanowisku Zastępcy Prezydenta Miasta, pobierającym pełne wynagrodzenie, w tym dodatek funkcyjny. Wnioskodawca po otrzymaniu oświadczenia o odwołaniu przebywał na zwolnieniu przez [...] okres uprawniający do zasiłku chorobowego – [...] miesięcy i pobierał należne wynagrodzenie do końca okresu wypowiedzenia. W tym czasie znajdował się już w okresie ochronnym (art. 39 Kodeksu pracy). Wnioskodawcy wielokrotnie proponowano pracę na innych stanowiskach podobnego szczebla, ale jej nie przyjął, więc zgodnie z art. 72 § 2 i 3 Kodeksu pracy stosunek pracy był kontynuowany na dotychczasowych zasadach (w szczególności z tożsamym zakresem obowiązków) i wygasł z upływem okresu wypowiedzenia - [...], czyli do [...]. Zdaniem skarżącego wnioskodawca do dnia rozwiązania stosunku pracy z Miastem był osobą pełniącą funkcje publiczne w rozumieniu przepisów prawa powszechnie obowiązującego, w tym art. 5 ust. 2 ustawy z 6 września 2001 r. o dostępie do informacji publicznej (Dz.U. z 2020 r., poz. 2176; dalej "u.d.i.p."). Tym samym wszystkie informacje opisane w skardze, które ujawnił w trakcie ww. sesji Rady Miasta, stanowią informację publiczną, bo dotyczą pełnienia przez skarżącego funkcji publicznych i jako takie podlegają upublicznieniu bez ograniczeń, na mocy art. 1 ust. 1 i art. 5 ust. 2 u.d.i.p., bowiem dotyczą okresu ich pełnienia. Zdaniem skarżącego nawet, gdyby założyć, że ww. informacje w dniu ich udostępnienia miały status danych osobowych wnioskodawcy, podstawę prawną ich ujawnienia stanowił art. 6 ust. 1 lit c i e RODO w związku z art. 1 ust. 1 i art. 5 ust. 2 u.d.i.p.
Odnosząc się do celu i niezbędności ujawnienia ww. informacji, Prezydent Miasta wyjaśnił, że ich ujawnienie było niezbędne w celu odniesienia się do zarzutów wnioskodawcy o naruszeniu jego praw pracowniczych w zakresie wysokości i terminu wypłaty świadczeń związanych ze stosunkiem pracy łączącym skarżącego z Miastem. Zarzuty były stawiane bezpośrednio wobec radnych, a następnie w oficjalnej skardze wniesione przed ww. sesją 10 września 2019 r. Wszystkie ww. dane miały związek z ww. zarzutami. Podanie informacji o pobraniu przez wnioskodawcę zasiłku chorobowego za maksymalny okres służyło wyjaśnieniu powodu, z którego wypłacono wnioskodawcy ekwiwalent za urlop wypoczynkowy aż za [...] dni w trakcie okresu wypowiedzenia. Skarżący, nie udzielając pracownikowi samorządowemu urlopu i wypłacając zamiast tego ekwiwalent, narażał się na zarzut naruszenia dyscypliny finansów publicznych przez marnotrawienie środków publicznych. Z tego względu zobowiązany był podać, jaka była przyczyna nieudzielenia urlopu i wypłaty ekwiwalentu, a tą przyczyną była właśnie nieobecność skarżącego i wypłata z tego tytułu zasiłku chorobowego. Skarżący nie podawał szczegółów dotyczących choroby wnioskodawcy, a jedynie informację niezbędną: o okresie pobierania zasiłku chorobowego, co skutkowało niemożnością udzielenia urlopu i koniecznością wypłaty ekwiwalentu. Skarżący wskazał, że nagrania związane z obradami ww. sesji Rady Miasta są publikowane w celu wypełnienia obowiązku wynikającego z art. 20 ust. 1b u.s.g., co jest zgodne z art. 6 ust. 1 pkt c RODO. Na czas trwania sporu z wnioskodawcą skarżący podjął działania zmierzające do anonimizacji transmisji Sesji Rady Miasta w części obejmującej wypowiedź Prezydenta Miasta odnoszącą się do kwestii związanej z informacjami na temat wnioskodawcy. Zastrzegł, że działania te mają wymiar ostrożnościowy, bo transmisja nie zawiera danych osobowych, a nawet jeżeli teoretycznie przyjąć, że zawiera - są to dane stanowiące informację publiczną. Wnioskodawca nie zwracał się do Prezydenta Miasta o zaprzestanie publikacji jego danych. Wnioskodawca w przeszłości pełnił też funkcje posła, Prezydenta Miasta i Zastępcy Prezydenta Miasta i był kontrkandydatem skarżącego w wyborach na Prezydenta Miasta, które przegrał. Obecnie wnioskodawca również jest osobą publiczną, aktywnym politykiem, pełniącym funkcję Prezesa Zarządu Stowarzyszenia "[...]" (KRS:[...]). W związku z tym nie jest osobą prywatną, przeciętnym mieszkańcem.
Wskazaną na wstępie decyzją Prezes UODO udzielił Prezydentowi Miasta upomnienia za udostępnienie bez podstawy prawnej danych osobowych wnioskodawcy. W uzasadnieniu wskazał, że informacje o wnioskodawcy, udostępnione przez Prezydenta Miasta podczas ww. sesji Rady Miasta, stanowią dane osobowe, w rozumieniu art. 4 pkt 1 RODO, bowiem Prezydent Miasta wskazał m.in. do kiedy wnioskodawca był zatrudniony na stanowisku Zastępcy Prezydenta i, że przeszedł na emeryturę. Takie informacje pozwalają - w szczególności mieszkańcom Miasta - w prosty sposób pośrednio zidentyfikować wnioskodawcę bez nadmiernego wysiłku i kosztów. Prezes UODO zauważył, że w sprawie udostępniono nie tylko tzw. dane zwykłe, ale również dane dotyczące zdrowia wnioskodawcy, które w świetle przepisów RODO kwalifikowane są jako dane szczególnej kategorii, podlegające szczególnej ochronie prawnej. Wskazał, że z materiału dowodowego sprawy wynika, że wnioskodawca był zatrudniony w Urzędzie Miasta do [...]. Obecnie Urząd Miasta (w imieniu którego czynności z zakresu prawa pracy wykonuje Prezydent Miasta) jest zobowiązany na podstawie ww. przepisów Kodeksu pracy i ustawy o emeryturach i rentach z FUS do przetwarzania danych osobowych wnioskodawcy w związku z przechowywaniem dokumentacji dotyczącej jego zatrudnienia w Urzędzie Miasta. Tym samym Urząd Miasta (w imieniu którego czynności z zakresu prawa pracy wykonuje Prezydent Miasta) w zakresie przetwarzania danych osobowych Wnioskodawcy w ww. celu spełnia przesłankę legalności przetwarzania danych osobowych, o której mowa w art. 6 ust. 1 lit. c RODO.
Odnosząc się do kwestii udostępnienia przez Prezydenta Miasta danych osobowych wnioskodawcy podczas obrad ww. sesji Rady Miasta, dotyczących m.in. wypłaty ekwiwalentu za niewykorzystany urlop wypoczynkowy ze wskazaniem jego kwoty, wypłaty odprawy emerytalnej ze wskazaniem jej kwoty oraz informacji o przebywaniu na zwolnieniu chorobowym, przytoczył art. 229 pkt 3 k.p.a., art. 18b u.s.g. i art. 11a ust. 3 u.s.g. Zdaniem Prezesa UODO udostępnienie przez Prezydenta Miasta danych osobowych wnioskodawcy podczas obrad ww. sesji we wskazanym zakresie nastąpiło bez podstawy prawnej - nie miało oparcia w przesłankach przetwarzania danych osobowych określonych w art. 6 ust. 1 lit. a) - f) i w art. 9 ust. 2 RODO (w zakresie danych dotyczących zdrowia wnioskodawcy). Skargę wnioskodawcy na działalność Prezydenta Miasta, stosownie do ww. przepisów u.s.g. i postanowień Statutu Miasta, powinna rozpatrzeć Komisja Skarg, Wniosków i Petycji, a nie Rada Miasta podczas obrad sesji, a ponadto wnioskodawca powinien mieć możliwość ustosunkowania się do zarzutów, co mogłoby wiązać się z udostępnieniem określonych danych osobowych wnioskodawcy dotyczących jego zatrudnienia. Wynikający ze Statutu Miasta obowiązek Prezydenta Miasta przekazania podczas obrad sesji Rady Miasta informacji z jego działalności w okresie międzysesyjnym - na co wskazywał Prezydent Miasta w toku postępowania - nie uzasadnia udostępnienia danych osobowych wnioskodawcy dotyczących zatrudnienia, podczas obrad sesji Rady Miasta, gdyż rozpatrzenie skargi wnioskodawcy nie było przedmiotem tych obrad.
Prezes UODO nie zgodził się z opinią Prezydenta Miasta, że zaskarżony proces przetwarzania danych osobowych miał oparcie w przepisach u.d.i.p. Prezydent Miasta, udostępniając dane osobowe wnioskodawcy w zakwestionowany sposób, naruszył też zasadę minimalizacji danych, o której mowa w art. 5 ust. 1 lit. c RODO. Jakkolwiek uzasadnionym mogłoby być poinformowanie przez Prezydenta Miasta - w ramach realizacji jego obowiązku przekazania informacji z działalności w okresie międzysesyjnym - o wpłynięciu skargi wnioskodawcy, to nie można znaleźć uzasadnienia w udostępnieniu danych osobowych wnioskodawcy w tak szerokim zakresie w ramach sesji Rady Miasta, a nie na posiedzeniu Komisji Skarg, Wniosków i Petycji. Udostępnienie danych osobowych wnioskodawcy w zakwestionowany sposób nie było zatem adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, w których dane osobowe Wnioskodawcy były przetwarzane.
Odnosząc się do wniosku o usunięcie danych osobowych wnioskodawcy z nagrania z obrad sesji Rady Miasta, wskazał, że przepisy RODO przyznają osobie, której dane dotyczą, szereg uprawnień związanych z przetwarzaniem jej danych osobowych przez administratora. Jednym z nich jest prawo do żądania usunięcia danych osobowych. Prawo to może zostać skutecznie zrealizowane jedynie w przypadku, gdy zostaną spełnione przesłanki wprost wskazane w art. 17 ust. 1 lit. a) - f) RODO. Wnioskodawca nie zwracał się do Prezydenta Miasta o usunięcie (lub zanonimizowania) jego danych osobowych z nagrania obrad sesji Rady Miasta, więc Prezes UODO nie ma możliwości skorzystania z uprawnienia o charakterze naprawczym, o którym mowa w art. 58 ust. 2 lit. g RODO, w jakimkolwiek zakresie. Dodatkowo z wyjaśnień Prezydenta Miasta wynika, że zanonimizował on wszystkie dane osobowe ujawnione w nagraniu.
Prezes UODO, mając na względzie całokształt okoliczności faktycznych i prawnych sprawy, w tym przede wszystkim wagę stwierdzonego naruszenia, jego charakter, fakt, że zdarzenie to było jednorazowe, a Prezydent Miasta w toku postępowania dokonał anonimizacji danych osobowych wnioskodawcy na nagraniu z obrad sesji Rady Miasta, wyjaśnił, że skorzystał z instrumentu o charakterze naprawczym, o którym mowa w art. 58 ust. 2 lit. b) RODO - udzielił skarżącemu upomnienia w związku z zaistniałą sytuacją. Z materiału dowodowego wynika, że Prezydent Miasta - przetwarzając dane osobowe wnioskodawcy w ww. celu - naruszył zasady legalności (art. 5 ust. 1 lit. a RODO) i minimalizacji danych (art. 5 ust. 1 lit. c RODO), a także zasadę rozliczalności, o której mowa w art. 5 ust. 2 RODO. Zastosowanie upomnienia jest adekwatne do stwierdzonego naruszenia i może zminimalizować ryzyko dopuszczenia się w przyszłości przez Prezydenta Miasta podobnych naruszeń w zakresie ochrony danych osobowych wnioskodawcy.
Skargę na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie wniósł Prezydent Miasta.
W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie oraz podtrzymał dotychczasowe stanowisko.
Uwzględniając skargę, sąd I instancji wskazał, że Prezes UODO nie rozważył wszystkich istotnych w sprawie okoliczności, a przede wszystkim pominął tę najistotniejszą, podnoszoną konsekwentnie przez skarżącego, że wnioskodawca pełnił
i pełni funkcje publiczne, a ujawnione dane miały związek z wykonywaniem sprawowanych przez byłego Zastępcę Prezydenta Miasta funkcji publicznych. Skoro wnioskodawca był osobą pełniącą funkcję publiczną, należało zastanowić się, w jakim zakresie ujawnione na ww. sesji Rady Miejskiej ww. dane osobowe wnioskodawcy podlegały ochronie przysługującej osobie prywatnej, która nie piastuje już funkcji publicznych, w szczególności, gdy dane te wiązały się ściśle z pełnioną poprzednio przez wnioskodawcę funkcją publiczną i czy w takim przypadku można mówić o prawie do prywatności. Zdaniem sądu okoliczności te mogły mieć istotne znaczenie w sprawie, tym samym możliwe było przyjęcie, że w sprawie doszło do naruszenia przede wszystkim art. 77 § 1 k.p.a. oraz art. 107 § 3 k.p.a. w związku z art. 11 k.p.a. przez brak rozważenia wszystkich istotnych w sprawie okoliczności faktycznych. Zgodnie bowiem z utrwalonym stanowiskiem judykatury, osoba będąca pracownikiem zatrudnionym w jednostce samorządu terytorialnego, o ile nie wykonuje wyłącznie czynności usługowych na rzecz tej jednostki, przy uwzględnieniu zakresu obowiązków tej osoby, może być uznana za funkcjonariusza publicznego, a przez to za osobę pełniącą funkcję publiczną. Pełnienie funkcji w ramach szeroko rozumianej służby publicznej wiąże się z większą jawnością niż w sektorze prywatnym. Informacje, który w sektorze prywatnym nie mogłyby być udostępnione ze względu na ochronę prywatności, w sektorze publicznej podlegają udostępnieniu, ponieważ ustawodawca w tym przypadku uznaje, że dobro publiczne przeważa nad prywatnym.
Sąd I instancji podkreślił również, że dane wnioskodawcy ujawnione podczas sesji Rady Miejskiej w zakresie dokumentacji pracowniczej były ściśle związane z pełnioną przez wnioskodawcę funkcją publiczną, choć stosunek pracy wygasł. Ponadto z okoliczności faktycznych sprawy wynikało, że ich ujawnienie związane było z wykorzystaniem finansów publicznych. Zdaniem sąd skarżący prawidłowo zwrócił uwagę, że oświadczenia majątkowe, w których ujawnia się wynagrodzenie związane ze stosunkiem pracy, są publikowane w związku z art. 24i ust. 3 u.s.g.
Z przepisu tego wynika, że jawne informacje zawarte w oświadczeniach majątkowych są udostępniane w Biuletynie Informacji Publicznej, o którym mowa w ustawie z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2020 r. poz. 2176).
Sąd przyznał rację skarżącemu, że Komisja Skarg, Wniosków i Petycji jest powoływana przez Radę Miasta, stosownie do art. 18b u.s.g., pełniąc rolę pomocniczą wobec Rady Miasta, która zgodnie z art. 18b u.s.g. rozpatruje skargi na działania wójta i gminnych jednostek organizacyjnych; wnioski oraz petycje składane przez obywateli. W tym celu właśnie Rada Gminy powołuje komisję skarg, wniosków i petycji. W skład komisji skarg, wniosków i petycji wchodzą radni, w tym przedstawiciele wszystkich klubów, z wyjątkiem radnych pełniących funkcje, o których mowa w art. 19 ust. 1 u.s.g. (art. 18b ust. 3 u.s.g.). Organ w związku z tym powinien zastanowić się nad tym czy Rada Miasta mogła na sesji Rady Miasta, podczas której są obecni wszyscy radni, rozpoznać ww. sprawę, która dotyczyła przecież byłego Zastępcy Prezydenta Miasta. Zdaniem sądu Prezes UODO nie wyjaśnił też skarżącemu dlaczego sprawowanie funkcji przez osobę, której dane ujawniono na ww. sesji Rady Miejskiej, nie jest istotne z punktu widzenia przepisów RODO. Powyższe wskazuje na nienależyte ustalenie przez Prezesa UODO stanu faktycznego sprawy i nie wzięcie pod rozwagę wszystkich okoliczności, które zdaniem skarżącego miały znaczenie w sprawie i powinny być rozpatrzone. Wadliwości z tego zakresu sąd ocenił jako naruszenie art. 7, art. 11, art. 8 § 1, art. 77 § 1 i art. 107 § 3 k.p.a. w związku z art. 6 ust. 1 pkt c) RODO i to w stopniu mogącym mieć istotny wpływ na wynik sprawy.
Zdaniem sądu I instancji w sprawie istotne ustalenia faktyczne zawarte w uzasadnieniu zaskarżonej decyzji były niepełne w związku z brakiem uwzględnienia argumentacji skarżącego podnoszonej w postępowaniu. Prezes UODO nie odniósł się również do kwestii, że wnioskodawca był i jest osobą publiczną oraz nie ocenił tej okoliczności z punktu widzenia adekwatności przetwarzania danych osobowych tej osoby podczas ww. sesji Rady Miasta. Tym samym Prezes UODO nie rozważył w sposób dostateczny podnoszonych przez skarżącego zarzutów i należało uznać, że organ administracyjny, wydając zaskarżoną decyzję, naruszył w stopniu istotnym i mogącym mieć istotny wpływ na wynik sprawy art. 77 § 1 i art. 107 § 3 k.p.a. w związku z art. 11 k.p.a. w związku z art. 6 ust. 1 pkt c) RODO.
Sąd nakazał organowi, aby przy ponownym rozpatrzeniu sprawy uwzględnił ocenę prawną i wskazania wyrażone w uzasadnieniu wyroku oraz ocenił wszystkie okoliczności faktyczne wynikające z akt sprawy z punktu widzenia art. 6 ust. 1 lit. c), e) i art. 5 ust. 1 lit. a) RODO w związku z art. 5 ust. 2 u.d.i.p. Sąd ten uchylił zaskarżoną decyzję na podstawie mocy art. 145 § 1 pkt 1 li. c) ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm.; dalej "p.p.s.a."). O kosztach postępowania orzekł na podstawie art. 200, art. 205 § 2 i art. 209 p.p.s.a.
Skargę kasacyjną od powyższego wyroku wywiódł Prezes UODO, zaskarżając wyrok w całości. Wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania sądowi I instancji, a w przypadku uznania, że istota sprawy jest dostatecznie wyjaśniona, o oddalenie skargi na decyzję, jako bezzasadnej. Nadto wniósł o rozpoznanie sprawy na rozprawie i zasądzenie zwrotu kosztów postępowania. Zaskarżonemu wyrokowi zarzucił:
1) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.:
a) art. 145 § 1 pkt 1 lit. c) p.p.s.a. w zw. z art. 7 k.p.a., 77 § 1 k.p.a. i art. 107 § 3 k.p.a. w zw. z art. 11 k.p.a. przez uchylenie zaskarżonej decyzji i przyjęcie, że organ nadzorczy nienależycie ustalił stan faktyczny sprawy i nie wziął pod uwagę wszystkich okoliczności, które miały znaczenie w sprawie, w tym w zakresie braku możliwości rozpatrzenia skargi na Prezydenta Miasta Nowego Sącza podczas obrad Rady Miasta Nowego Sącza, podczas gdy organ nadzorczy podjął wszelkie
czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz właściwego załatwienia niniejszej sprawy, a następnie w sposób wyczerpujący zebrał i rozpatrzył materiał dowodowy w tym w kontekście braku możliwości rozpatrzenia skargi na Prezydenta Miasta Nowego Sącza podczas obrad Rady Miasta Nowego Sącza;
b) art. 145 § 1 pkt 1 lit. c) p.p.s.a. w zw. z art. 8 § 1 k.p.a. przez uchylenie zaskarżonej decyzji i przyjęcie, że organ nadzorczy naruszył art. 8 k.p.a., podczas gdy organ nadzorczy prowadził postępowanie w sposób budzący zaufanie jego uczestników do władzy publicznej, a toku postępowania kierował się zasadami proporcjonalności, bezstronności i równego traktowania.
2) naruszenie prawa materialnego, tj.:
a) art. 24i ust. 3 u.s.g. w zw. z art. 6 ust. 1 lit c) RODO i art. 9 ust. 2 RODO poprzez ich niewłaściwe zastosowanie i przyjęcie, że dane osobowe, które zostały
udostępnione przez Prezydenta Miasta Nowego Sącza podczas obrad Rady Miasta Nowego Sącza, stanowią dane ujawnione w oświadczeniach majątkowych i są udostępnione w Biuletynie Informacji Publicznych, podczas gdy postępowanie organu nadzorczego nie dotyczyło kwestii udostępniania danych osobowych w Biuletynie Informacji Publicznej, zaś Prezydent Miasta Nowego Sącza udostępnił podczas obrad Rady Miasta Nowego Sącza dane osobowe wykraczające poza zakres, jaki jest ujawniony w oświadczeniu majątkowym udostępnionym w Biuletynie Informacji Publicznej, w tym również dane szczególnej kategorii, co nie miało oparcia we wskazanych przepisach prawa, a konsekwentnie nastąpiło bez podstawy prawnej w rozumieniu art. 9 ust. 2 RODO;
b) naruszenie art. 9 ust. 1 i 2 lit. a)-j) RODO poprzez jego niezastosowanie do ustalonego w sprawie stanu faktycznego, podczas gdy przepis te miał kluczowe znaczenie dla prawidłowego rozpatrzenia niniejszej sprawy;
c) naruszenie art. 5 ust. 1 lit. c RODO poprzez jego niezastosowanie do ustalonego w sprawie stanu faktycznego, podczas gdy ze stanu faktycznego sprawy wynika jednoznacznie, że Prezydent Miasta Nowego Sącza udostępnił dane osobowe z naruszeniem - wynikającej z tego przepisu – zasady minimalizacji danych;
d) naruszenie art. 5 ust. 2 u.d.i.p. poprzez jego błędną wykładnię polegającą na przyjęciu, że udostępnione dane osobowe szczególnej kategorii, tj. o stanie zdrowia, miały związek z pełnieniem funkcji publicznej, a w konsekwencji zastosowanie tego przepisu do ustalonego w sprawie stanu faktycznego.
W odpowiedzi na skargę kasacyjną Prezydent Miasta wniósł o jej oddalenie
i zasądzenie zwrotu kosztów postępowania.
Naczelny Sąd Administracyjny zważył, co następuje.
Stosownie do treści art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, z urzędu biorąc pod uwagę jedynie nieważność postępowania. Granice te determinują kierunek postępowania Naczelnego Sądu Administracyjnego. Wobec niestwierdzenia przesłanek nieważności postępowania, Naczelny Sąd Administracyjny dokonał oceny podstaw i zarzutów kasacyjnych.
Skarga kasacyjna jest uzasadniona.
W pierwszym rzędzie rozpoznane zostaną zarzuty naruszenia przepisów prawa procesowego, gdyż ocena zasadności zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie ustalonego przez organ administracyjny w sprawie stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za nieprawidłowy (por. wyrok NSA z 13 sierpnia 2013 r., II GSK 717/12; wyrok NSA z 4 lipca 2013 r., I GSK 934/12 – publik. CBOSA).
Zarzuty naruszenia prawa procesowego zostaną rozpoznane łącznie. Oba zarzuty są uzasadnione. Istota rozumowania sądu I instancji sprowadza się do zarzucenia organowi nadzoru nieuwzględnienia w toku postępowania wyjaśniającego okoliczności, że osoba, której dane osobowe zostały ujawnione na sesji Rady Miasta Nowego Sącz w dniu 10 września 2019 r. przez Prezydenta Miasta, pełniła funkcję publiczną, a ujawnione dane osobowe miały związek z wykonywaniem funkcji publicznej Zastępcy Prezydenta Nowego Sącza w poprzedniej kadencji organów samorządu terytorialnego. W konsekwencji organ winien zastanowić się w jakim zakresie dane te podlegały ochronie przysługującej osobie prywatnej (pkt II.3 trzeci akapit uzasadnienia). W dalszej części uzasadnienia (czwarty akapit) sąd I instancji stwierdza wyraźnie, iż dane ujawnione podczas sesji Rady Miejskiej w zakresie dokumentacji pracowniczej były ściśle związane z pełnioną funkcją publiczną, choć stosunek pracy wygasł, a ich ujawnienie związane było z wykorzystaniem finansów publicznych. Z kolei organ nadzoru w uzasadnieniu zaskarżonej decyzji wskazuje na szereg argumentów, m.in. na ten, iż Prezydent Miast mógł wykonać swój obowiązek przekazania informacji ze swojej działalności międzysesyjnej względem Rady Miasta bez udostępniania danych osobowych skarżącego – byłego Zastępcy Prezydenta Miasta.
Zdaniem Naczelnego Sądu Administracyjnego organ nadzoru przeprowadził wyczerpujące postępowanie wyjaśniające, zarówno w zakresie wyjaśnienia wszystkich aspektów obowiązującego stanu prawnego istotnego z punktu widzenia przedmiotowej sprawy, jak i w zakresie wszystkich okoliczności faktycznych prawnie relewantnych. Zgromadzony materiał dowodowy wskazuje jednoznacznie, iż w toku sesji Rady Miasta Nowy Sącz w dniu 10 września 2019 r. ówczesny Prezydent Miasta, przy okazji referowania swojej działalności międzysesyjnej, ujawnił fakt przebywania przez skarżącego na długotrwałym zwolnieniu lekarskim oraz wysokość należnych mu świadczeń pracowniczych w postaci ekwiwalentu za niewykorzystany urlop wypoczynkowy oraz odprawy emerytalnej. Organ nadzoru przeprowadził prawidłową ocenę tego zdarzenia i słusznie uznał, iż mimo niepodania imienia i nazwiska, sposób określenia osoby, o którą chodzi (przez oznaczenie pełniącej funkcji i okresu jej sprawowania, przejście na emeryturę), umożliwiał prostą identyfikację skarżącego. Organ poprawnie ustalił również, iż realizacja obowiązku prawnego w postaci składania sprawozdania Radzie Miasta ze swojej działalności w okresach między sesjami nie uprawniała i nie wymagała udostępniania danych osobowych skarżącego, gdyż na posiedzeniu Rady nie była rozpatrywana skarga, jaką złożył on na Prezydenta Miasta. Przekazywanie informacji o finansach publicznych nie wymagało zaś ujawniania danych osobowych uprawnionego. Dane te mogły zostać również zminimalizowane, a tym samym nie musiały być podawane w tak szerokim zakresie.
Należy podzielić w pełni ocenę organu nadzoru, iż możliwe było przedstawienie określonych zagadnień związanych z kwestiami finansowymi Miasta bez podawania informacji umożliwiających identyfikację skarżącego oraz bez podawania danych osobowych związanych ze stanem zdrowia oraz odnoszących się do wysokości należnych mu świadczeń z poszczególnych tytułów prawnych. Słusznie zatem organ uznał, iż ujawnienie danych nastąpiło bez podstawy prawnej, gdyż działanie podjęte w takich okolicznościach nie miało oparcia w żadnej z przesłanek legalnego przetwarzania danych osobowych określonych w art. 6 ust. 1 lit a-f RODO. W tym kontekście należy także oceniać okoliczność, że skarżący w okresie pełnienia funkcji Zastępcy Prezydenta Miasta był osobą pełniącą funkcję publiczną. Osoba taka z mocy normy art. 5 ust. 2 u.d.i.p. nie korzysta z ochrony ze względu na prawo do prywatności. Ograniczenie to nie dotyczy informacji o osobach pełniących funkcję publiczne, mających związek z pełnieniem funkcji, w tym o warunkach powierzania i wykonywania funkcji. Organ nadzoru prawidłowo ocenił, że w tych warunkach w których doszło do ujawnienia danych osobowych skarżącego, proces przetwarzania danych osobowych miał oparcie w u.d.i.p.
W sytuacji, gdy do rozpatrzenia skargi, jaką złożył J. G. na Prezydenta Miasta, właściwa była wyspecjalizowana komisja Rady Miasta, nie było potrzeby informowania Rady Miasta o wysokości świadczeń pieniężnych, jakie obowiązany był wypłacić Urząd Miasta skarżącemu, jaki i o okolicznościach korzystania przez niego ze zwolnienia lekarskiego. Istnieją sposoby na przekazanie tego rodzaju informacji, tj. informacji o wydatkach, bez konieczności ujawniania danych osoby, której dotyczy obowiązek zapłaty, bez konieczności podawania tytułów prawnych, jak i informowania o korzystaniu ze zwolnienia lekarskiego. Dopełnienie obowiązku prawnego minimalizacji wykluczyłoby w pełni możliwość identyfikacji osoby, której dotyczyły ujawnione dane.
W ten sposób dochowanie przepisowi art. 5 ust. 1 RODO niwelowałoby potrzebę rozpatrywania sprawy przez pryzmat przepisów art. 6 ust. 1 lit. a-f RODO, czy przepisów u.d.i.p.
Naczelny Sąd Administracyjny wskazuje, że w procesach przetwarzania danych osobowych należy uwzględniać intencję osoby, która przetwarza dane osobowe osób pełniących funkcję publiczną. Można ją ustalić analizując obowiązujący przepisy prawa i stan faktyczny danej sprawy. Nie jest dopuszczalne użycie przepisu prawa wyłączającego ochronę prawa prywatności (np. art. 5 ust. 2 u.d.i.p.) dla ujawnienia danych osobowych, jeśli na gruncie ustawy o samorządzie gminnym lub innej ustawy nie obowiązuje norma prawna, która nakazuje organowi ujawnienie takich danych w określonych przypadkach. Z punktu widzenia obowiązku informacyjnego organu wykonawczego w stosunku do organu stanowiąco-kontrolnego nie było konieczne przekazanie tych danych. Ujawnienie danych osobowych w takich przypadkach jest więc dokonane bez podstawy prawnej, o której mowa w art. 6 ust. 1 lit. a-f RODO.
Zachodzi zatem możliwość, iż dojść mogło do zamierzonego ujawnienia danych osobowych osoby pełniącej funkcję publiczną, oraz celowego wykorzystania procesu przetwarzania danych osobowych i obowiązku informacyjnego prezydenta miasta względem rady miejskiej dla realizacji innych celów niż transparentność życia publicznego. W takich przypadkach dochodzi do nadużycia przepisów prawa do realizacji innych celów niż przepisy te służą. W ocenie Naczelnego Sądu Administracyjnego organ nadzoru prawidłowo ustalił stan faktyczny sprawy i dokonał słusznej oceny ujawnionych okoliczności przez pryzmat obowiązujących przepisów prawa. W konsekwencji tego nie zachodziła potrzeba ustalania dalszych okoliczności faktycznych w sprawie, gdyż z obowiązujących przepisów prawa nie wynikał obowiązek ujawnienia danych personalnych skarżącego, ani ujawniania danych o jego chorobie oraz wysokości należnych świadczeń z tytułu ustania zatrudnienia w Urzędzie Miasta. Istotne jest także to, że uzasadnienie decyzji pozwala na pełne ustalenie podstaw prawnych i faktycznych rozstrzygnięcia oraz na prześledzenie toku rozumowania, które doprowadziło do niego. Takie działanie nie mogło także prowadzić na naruszenia zasady zaufania wyrażonej w art. 8 k.p.a. Z tych przyczyn należało uznać, iż sąd I instancji bezpodstawnie dopatrzył się naruszenia przepisów szczegółów wskazanych w obu zarzutach naruszenia prawa procesowego.
W powyższym kontekście uznać należy również za uzasadniony zarzut 2.a. Zakres ujawnionych danych osobowych w trakcie sesji Rady Miasta w dniu 10 września 2019 r. nie stanowi prostego powtórzenia danych zawartych w oświadczeniach majątkowych udostępnianych na BIP. Nie zawierają one również informacji o korzystaniu z L-4.
Powyższe rozważania uwzględnić należy przy rozpatrywaniu zarzutów 2.b-c. Zgodnie z prezentowanym w orzecznictwie Naczelnego Sądu Administracyjnego poglądem nie jest dopuszczalne w świetle brzmienia art. 174 p.p.s.a. formułowanie zarzutu skargi kasacyjnej jako naruszenie przepisu prawa "poprzez jego niezastosowanie" czy "pominięcie" (por. wyrok NSA z 1 czerwca 2004 r., OSK 284/04, niepubl., wyrok NSA z 3 grudnia 2008 r., I OSK 1807/07; wyrok NSA z 14 maja 2007 r., I OSK 1247/06; wyrok NSA z 28 marca 2007 r., I OSK 31/07; postanowienie NSA z 2 marca 2012r., I OSK 294/12; wyrok NSA z 25 kwietnia 2012 r., II OSK 329/12; wyrok NSA z 6 grudnia 2013 r., I OSK 2255/12; wyrok NSA z 8 września 2017 r., I OSK 3080/15 – publik. CBOSA). Zarzut taki mógłby okazać się skuteczny jedynie wówczas, gdyby autor skargi kasacyjnej, zarzucając niezastosowanie określonego przepisu, jednocześnie wskazał przepis, który w jego przekonaniu został wadliwie zastosowany zamiast przepisu przez niego wskazywanego - wraz z podaniem uzasadnienia tego stanowiska. Wymóg ten skarga kasacyjna spełnia, gdyż z jej treści wynika, jakie przepisy zostały błędnie zastosowane w miejsce przepisów wskazanych w zarzutach 2.b-c. Zagadnienia te zostały omówione we wcześniejszych rozważaniach i uprawniają do uznania zarzutów za uzasadnione.
Odnosząc się do zarzutu 2.d., wrócić należy do wcześniejszych rozważań, z których wynika, iż rozważanie sprawy przez sąd I instancji przez pryzmat art. 5 ust. 2 u.d.i.p. było nieuprawnione, gdyż Prezydent Miasta nie miał obowiązku prawnego informowania rady Miasta podczas jej obrad o wysokości świadczeń pieniężnych należnych skarżącemu oraz o jego stanie zdrowia przez podawania informacji, iż korzystał ze zwolnienia lekarskiego przed przejściem na emeryturę i czynić to w sposób, który umożliwiał identyfikację skarżącego. Informacja o wydatkach publicznych mogła być przekazana bez podawania danych osobowych. Przekazanie w taki właśnie sposób tych informacji było wystarczające dla wykonania obowiązku informacyjnego organu wykonawczego względem Rady Miasta z działalności podjętej w okresie międzysesyjnym. Oznacza to, że niedopuszczalne jest nadużywanie przepisu prawa wyłączającego ochronę prawa prywatności (np. art. 5 ust. 2 u.d.i.p.) dla ujawnienia danych osobowych, jeśli nie obowiązuje norma prawna, która nakazuje organowi ujawnienie takich danych w określonych sytuacjach i trybie. Ujawnienie danych osobowych w takich przypadkach jest dokonane bez podstawy prawnej, o której mowa w art. 6 ust. 1 lit. a-f RODO. W tym znaczeniu doszło również do naruszenia przepisu art. 5 ust. 2 u.d.i.p.
Naczelny Sąd Administracyjny, działając na podstawie art. 188 p.p.s.a., biorąc pod uwagę, iż zarzuty skargi kasacyjnej były uzasadnione, uchylił zaskarżony wyrok jako naruszający przepisy wymienione w skardze kasacyjnej. Biorąc pod uwagę powyższe, jednocześnie uznać należało, że skarga nie zasługiwała na uwzględnienie, gdyż poddana kontroli decyzja nie naruszała przepisów prawa formalnego i materialnego i z mocy art. 151 p.p.s.a. zasługiwała na oddalenie.
O kosztach postępowania kasacyjnego orzeczono na podstawie art. 203 pkt 2 w zw. art. 205 § 2 p.p.s.a.