II SA/Wa 2303/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska, Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Tomasz Szmydt (spr.), po rozpoznaniu w trybie uproszczonym w dniu 17 stycznia 2020 r. sprawy ze skargi F. P. B. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Fundacja Promocji Bezpieczeństwa złożyła skargę na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2019 r. nr [...] odmawiające wszczęcia postępowania w sprawie nieprawidłowości w procesie przetwarzania danych osobowych przez Burmistrza M.T.. Do Urzędu Ochrony Danych Osobowych wpłynęła skarga Fundacji Promocji Bezpieczeństwa z siedzibą w [...], zwanej dalej Fundacją, dotycząca nieprawidłowości w procesie przetwarzania danych osobowych przez Burmistrza Miasta [...] z siedzibą w [...] przy ul. [...]. W treści ww. skargi Fundacja wraz z reprezentowanymi przez nią osobami fizycznymi prowadzącymi działalność gospodarczą, wskazała na trudności w realizacji obowiązków administratora danych poprzez brak dostępu do Internetu oraz zasobów sieciowych, a także: "(...) nieprawidłowości w zakresie realizacji obowiązków administratora danych oraz podmiotu przetwarzającego, który odmówił współpracy z administratorem danych w zakresie realizacji obowiązków określonych w art. 32-36 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, Dz.U.UE.L.2016.119.1 i Dz.U.UE.L.2018.127.2), zwanego dalej RODO (...)". Do ww. nieprawidłowości miało dojść w szczególności na skutek braku dostępu do Internetu oraz zasobów sieciowych w przedziale od dnia [...] maja 2019 r. godz. 17:00 do dnia [...] maja 2019 r. godz.10:00. W wyniku tego Fundacja zażądała od Prezesa Urzędu Ochrony Danych Osobowych przywrócenia stanu zgodnego z prawem zgodnie z art. 58. ust 2 RODO poprzez nakazanie Burmistrzowi prawidłowej realizacji obowiązków: 1. podmiotu przetwarzającego, wynikających z: art. 30 ust. 2 RODO; art. 33 ust 2 RODO, § 4 ust. 3 i 5 Umowy Powierzenia; art. 32 ust. 1 RODO, § 4 ust 1. Umowy Powierzenia, 2. administratora danych wynikających z art. 24, 32 i 33 ust. 2 i 5 RODO. Prezes Urzędu Ochrony Danych Osobowych wskazał, że stosownie do brzmienia art. 61 a § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.), zwanej dalej k.p.a., gdy żądanie, o którym mowa w art. 61 k.p.a., zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania. Stosownie do brzmienia art. 31 § 1 k.p.a. organizacja społeczna może w sprawie dotyczącej innej osoby występować z żądaniem wszczęcia postępowania, jeżeli jest to uzasadnione celami statutowymi tej organizacji i gdy przemawia za tym interes społeczny. Zgodnie ze Statutem Fundacji Promocji Bezpieczeństwa celami Fundacji są cele: naukowo- techniczne, oświatowe, kulturalne, w zakresie kultury fizycznej i sportu, wspierania inicjatyw lokalnych, w tym również inicjatyw na rzecz budowy sieci telekomunikacyjnej na wsi, dobroczynności, ochrony zdrowia i pomocy społecznej. Celem statutowym Fundacji nie jest natomiast działalność związana z ochroną danych osobowych. Zgodnie z art. 1 ust. 1 i 2 RODO w niniejszym rozporządzeniu ustanowione zostają przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych oraz przepisy o swobodnym przepływie danych osobowych (ust. 1). Niniejsze rozporządzenie chroni podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych (ust. 2). Stosownie natomiast do art. 57 ust. 1 RODO bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym (lit. f). Natomiast w świetle art. 28 k.p.a. stroną jest każdy, czyjego interesu prawnego lub obowiązku dotyczy postępowanie albo, kto żąda czynności organu ze względu na swój interes prawny lub obowiązek. Organ wskazał, iż ze skargi wynika ponadto w sposób niebudzący wątpliwości, iż jej przedmiotem jest niedotrzymanie § 4 ust. 1, 3, 4 umowy powierzenia nr [...] z dnia [...] lutego 2019 r., zawartej pomiędzy m. in.: Polguard Spółka z o.o., a Gminą Miejską [...] z siedzibą w [...] przy ul. [...], stanowiąca załącznik nr [...] skargi. Zatem istotą skargi jest naruszenie związane z nienależytym realizowaniem umowy powierzenia, a nie naruszenie ochrony danych osobowych. Tym samym brak w sprawie interesu prawnego Fundacji do zainicjowania postępowania. Fundacja Promocji Bezpieczeństwa złożyła skargę na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2019 r. nr [...]odmawiające wszczęcia postępowania w sprawie nieprawidłowości w procesie przetwarzania danych osobowych przez Burmistrza Miasta [...]. Zaskarżonemu postanowieniu Fundacja zarzucała naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy tj. naruszenie: 1) art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. kodeks postępowania administracyjnego (t. j. Dz. U. z 2018 r., poz. 2096 ze zm., dalej "k.p.a.") w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm.) poprzez jego błędne zastosowanie i odmówienie wszczęcia postępowania w sytuacji, w której skarżąca posiada cele statutowe ściśle związane z ochroną danych osobowych. 2) art. 28 k.p.a. w związku z art. 31 § 1 k.p.a. poprzez ich błędne zastosowanie i uznanie, że skarżąca nie może zainicjować postępowania w sprawie, mimo że posiada ona przymiot strony, skutkiem czego doszło do wydania błędnego postanowienia o odmowie wszczęcia postępowania. Skarżąca wyjaśniała, że w dniu [...] grudnia 2017 r. nastąpiła zmiana treści statutu Fundacji. Od tego dnia zgodnie z jego aktualnym brzmieniem celami statutowym skarżącej są cele: "naukowo-techniczne, oświatowe, kulturalne, w zakresie kultury fizycznej i sportu, wspierania inicjatyw lokalnych, w tym również inicjatyw na rzecz budowy sieci telekomunikacyjnej na wsi, dobroczynności, ochrony zdrowia i pomocy społecznej, a także zachowanie interesu publicznego, w szczególności w zakresie przestrzegania ochrony danych osobowych a w szczególności wspierania osób, których dane dotyczą w realizacji praw i uprawnień związanych z ochrona danych osobowych". Zdaniem skarżącego, myli się także organ wskazując, że złożona skarga dotyczy nieprawidłowego realizowania umowy powierzenia, a nie naruszenia ochrony danych osobowych. Organ nie wziął bowiem w ogóle pod uwagę regulacji wynikającej z treści art. 33 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U.UE.L.2016.119.1) zwanego dalej "RODO". Przywołany przepis nakazuje bowiem, aby: "podmiot przetwarzający (tutaj podmiot którego nieprawidłowego działania dotyczy skarga) po stwierdzeniu naruszenia ochrony danych osobowych bez zbędnej zwłoki zgłosił je administratorowi". Bez zbędnej zwłoki oznacza przy tym najszybciej jak to możliwe i taki termin wywiązywania się z tego obowiązku powinien być nałożony na podmioty przetwarzające w umowach powierzenia. Dodatkowo przepis art. 33 ust. 2 RODO jest przepisem obligatoryjnym, na co wskazuje użycie w nim zwrotu "zgłosił je administratorowi". Jeżeli podmiot przetwarzający świadczy usługi na rzecz wielu administratorów, a dany incydent wywiera wpływ na wszystkich z nich, podmiot przetwarzający będzie zobowiązany do zgłoszenia naruszenia bez zbędnej zwłoki każdemu z tych administratorów. Pamiętać przy tym należy, że brak odpowiedniego działania po stronie podmiotu przetwarzającego w sytuacji naruszenia ochrony danych osobowych może skutkować zastosowaniem przez organ wobec podmiotu przetwarzającego uprawnień określonych w art. 58 RODO. Powyższa skarga dotyczy zatem ściśle faktu naruszenia przepisów dotyczących ochrony danych osobowych, gdyż obowiązek zawarcia umowy powierzenie wypływa właśnie z przepisów RODO i jest wykonaniem obowiązków w tym rozporządzeniu zawartych. W związku z tym, zdaniem skarżącego organ błędnie wydał postanowienie o odmowie wszczęcia postępowania, które jako wadliwe winno zostać wyeliminowane z obrotu prawnego. Prezes Urzędu Ochrony Danych Osobowych wnosił o oddalenie skargi. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t. j. Dz. U. z 2014 r., poz. 1647 ze zm., dalej "p.p.s.a."), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Innymi słowy, sąd administracyjny nie orzeka co do istoty sprawy w zakresie danego przypadku, lecz jedynie kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Skarga Fundacji Promocji Bezpieczeństwa nie zasługiwała na uwzględnienie. Na wstępie należy podzielić argumentację skarżącego, iż z uwagi na zmianę treści statutu Fundacji w dniu [...] grudnia 2017r., nie można uznać, iż w niniejszym postępowaniu skarżąca nie posiadała przymiotu strony. Zgodnie aktualnym brzmieniem celami statutowym skarżącej są m.in. cele: "...naukowo-techniczne, oświatowe, kulturalne, w zakresie kultury fizycznej i sportu, wspierania inicjatyw lokalnych, w tym również inicjatyw na rzecz budowy sieci telekomunikacyjnej na wsi, dobroczynności, ochrony zdrowia i pomocy społecznej, a także zachowanie interesu publicznego, w szczególności w zakresie przestrzegania ochrony danych osobowych a w szczególności wspierania osób, których dane dotyczą w realizacji praw i uprawnień związanych z ochrona danych osobowych". (odpis KRS skarżącej, Dział 3 Rubryka 3). Niezależnie od powyższego skargę należało oddalić w całości. Zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) [...] z dnia [...] kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) w niniejszym rozporządzeniu ustanowione zostają przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych oraz przepisy o swobodnym przepływie danych osobowych (ust. 1). Niniejsze rozporządzenie chroni podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych (ust. 2). Artykuł 4 zawiera definicje, zgodnie z którymi, na użytek niniejszego rozporządzenia: 1) "dane osobowe" oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej; 2) "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie; Z punktu widzenia prawnych form działania przetwarzanie należy uznać za czynność faktyczną; w prawie administracyjnym nazywaną czynnością materialno-techniczną, a w prawie cywilnym określaną mianem czynności realnej, w odróżnieniu od czynności prawnych. Nie oznacza to jednak, że przetwarzanie danych nie pociąga za sobą skutków prawnych, gdyż skutki takie mogą być następstwem przetwarzania danych (Fajgielski Paweł, Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz WKP 2018, LEX Wolters Kluwer). Czynność taka musi stanowić operację lub zestaw operacji. Zgodnie z wykładnią literalną pojęcie operacji oznacza działanie zmierzające do wykonania określonego celu. Zestawem operacji będzie natomiast połączenie dwóch lub więcej takich działań. Operacja lub zestaw operacji muszą być wykonywane na danych osobowych lub ich zestawach. Wymienione w przepisie art. 4 pkt 2 przykłady czynności pełnią podwójną rolę. Ich podstawowym zadaniem jest ułatwienie stosowania w praktyce ogólnej definicji przetwarzania. Dodatkowo jednak zakreślają ramy czasowe, w których może mieć miejsce przetwarzanie. Kolejność wymienienia tych czynności nie jest bowiem przypadkowa. Rozpoczyna się od "zbierania", a kończy się na "usuwaniu" oraz "niszczeniu". Z przetwarzaniem możemy mieć zatem do czynienia dopiero od zebrania danych osobowych aż po ich usunięcie lub zniszczenie. Aktualny pozostaje w tym zakresie wyrok NSA z 28.06.2011 r., I OSK 1264/10, LEX nr 1082607, w którym zwrócono uwagę, że wszelkie czynności faktyczne poprzedzające moment zebrania danych, np. prośba o ich podanie, nie mieszczą się w pojęciu przetwarzania danych w rozumieniu art. 7 pkt 2 u.o.d.o.1997. Podobnie czynności faktyczne, które będą następowały po usunięciu lub zniszczeniu danych osobowych, nie będą stanowiły przetwarzania danych osobowych, np. przekazanie protokołu potwierdzającego usunięcie danych przez wyspecjalizowany w tym podmiot, naturalnie przy założeniu, że taki protokół nie będzie wymieniał usuniętych danych osobowych (Bielak-Jomaa Edyta (red.), Lubasz Dominik (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz WKP 2018 - komentarz, LEX Wolters Kluwer). W postanowieniu z dnia [...] sierpnia 2019 r. Prezes Urzędu Ochrony Danych Osobowych wskazał wprost, że w przedmiotowej sprawie w sposób niebudzący wątpliwości wynika, iż jej przedmiotem jest niedotrzymanie § 4 ust. 1, 3, 4 umowy powierzenia nr [...] z dnia [...] lutego 2019 r., zawartej pomiędzy m. in.: [...] Spółka z o.o., a Gminą Miejską [...] z siedzibą w [...] przy ul. [...], stanowiąca załącznik nr [...] skargi. Zatem istotą skargi jest naruszenie związane z nienależytym realizowaniem umowy powierzenia, a nie naruszenie ochrony danych osobowych. Skarga dotyczyła nieprawidłowości do jakich miało dojść na skutek braku dostępu do Internetu oraz zasobów sieciowych Z treści skargi nie wynika aby żadne dane osobowe osób fizycznych zostały w jakikolwiek sposób naruszone. Podstawą wydania zaskarżonego postanowienia była m.in. ta okoliczność, że Fundacja inicjując niniejsze postępowanie przed organem, kwestionowała wyłącznie nienależyte realizowanie umowy powierzenia, a nie naruszenie ochrony danych osobowych. Organ prawidłowo zatem przyjął, że nie ma podstaw do wszczęcia postępowania administracyjnego w trybie przepisów RODO bowiem poprzez czasowy brak dostępu do Internetu (oraz danych zasobów sieciowych) nie doszło do "przetwarzania" danych osobowych w rozumieniu cytowanego rozporządzenia. W tym, potencjalnie nieuprawnionego przetwarzania. Kwestia niedotrzymania warunków umowy w zakresie dostępu do sieci oraz danych zasobów sieciowych pozostaje poza uprawnieniniami kontrolnymi Prezesa Urzędu Ochrony Danych Osobowych. Art. 61a § 1 k.p.a. stanowi, że: "Gdy żądanie, o którym mowa w art. 61, zostało wniesione przez osobę niebędącą stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, organ administracji publicznej wydaje postanowienie o odmowie wszczęcia postępowania." Cecha "oczywistości" przeszkody w prowadzeniu postępowania może być pojmowana jako sytuacja, w której przeszkoda wynika z niezgodności prowadzenia postępowania z podstawowymi zasadami prawa administracyjnego albo jako jawność, wyrazistość, całkowita dostępność poznawcza jej istnienia. Mogą być to zatem przykładowo takie sytuacje, gdy w tej samej sprawie postępowanie administracyjne już się toczy lub zapadło już rozstrzygnięcie albo gdy sprawa w ogóle nie podlega załatwieniu przez organ w drodze decyzji administracyjnej. Oczywistość poznawcza przeszkody, związana z możliwością zaniechania wszczęcia postępowania wyjaśniającego sensu stricto w sprawie musi być tego rodzaju, że nie może wymagać zbierania dowodów, informacji lub wyjaśnień w rozumieniu art. 12 § 2 k.p.a., a sam proces poznawczy powinien opierać się na "możliwie najprostszych środkach". Trzeba zatem stwierdzić, że oczywistość istnienia przeszkody w aspekcie poznawczym występuje wówczas, gdy wynika ona z treści samego wniosku o wszczęcie postępowania, faktów powszechnie znanych lub znanych organowi z urzędu (art. 77 § 4 k.p.a.), bądź z dokumentów urzędowych, którymi dysponuje organ. W tym ostatnim wypadku można mówić jedynie o oczywistości istnienia przeszkody wynikającej z tego dokumentu tylko w zakresie, w jakim korzystają one z domniemania z art. 76 § 1 k.p.a. Bezprzedmiotowość postępowania administracyjnego oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty (zob. B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, Wydawnictwo C.H. Beck, Warszawa 2016 r., str. 491). Przesłanka bezprzedmiotowości występuje, gdy brak jest podstaw prawnych do merytorycznego rozstrzygnięcia danej sprawy w ogóle, bądź nie było podstaw do jej rozpoznania w drodze postępowania administracyjnego (zob. wyrok NSA z dnia 24 kwietnia 2003 r., sygn. III SA 2225/01, wszystkie powołane orzeczenia są dostępne w Centralnej Bazie Orzeczeń Sądów Administracyjnych pod adresem orzeczenia.nsa.gov.pl). Przy czym bezprzedmiotowość postępowania może wynikać z istnienia przesłanki podmiotowej bądź też przesłanki przedmiotowej. Stan faktyczny sprawy wskazuje, że Prezes Urzędu Ochrony Danych Osobowych nie miał możliwości rozpoznania merytorycznego wniosku, gdyż jego treść wykraczała poza zakres regulacji Rozporządzenia Parlamentu Europejskiego i Rady (UE) [...] z dnia [...] kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE. Mając powyższe na względzie Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 p.p.s.a. oddalił skargę.