II SA/Wa 2005/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki (spr.), Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Tomasz Szmydt, po rozpoznaniu w trybie uproszczonym w dniu 17 czerwca 2021 r. sprawy ze skargi P.M. na postanowienie Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2020 r., nr [...] w przedmiocie odmowy wszczęcia postępowania administracyjnego 1. uchyla zaskarżone postanowienie; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego P. M. kwotę 100 (słownie: sto) złotych, tytułem zwrotu kosztów postępowania. Zaskarżonym postanowieniem odmówiono - przywołując art. 61a § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2020 r. poz. 256 ze zam.), zwanej dalej "K.p.a." – wszczęcia postępowanie wobec skargi p. P. M., zwanego dalej "Wnioskodawcą", na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Zastępcę Komendanta Wojewódzkiego Policji w S., zwanego dalej "Komendantem Wojewódzkim". W uzasadnieniu postanowienia przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - przedmiotem skargi były działania Komendanta Wojewódzkiego, polegające na udostępnieniu Komendantowi Służby Ochrony Państwa (dalej jako "Komendant SOP"), skargi Wnioskodawcy z [...] października 2019 r., skierowanej do Komendanta Głównego Policji; w inicjującej dane postępowanie skardze Wnioskodawca wskazał, że - , z związku z naruszeniem art. 225 § 1 i 2 K.p.a. oraz art. 266 ustawy - Kodeks Karny - wnosi o nakazanie usunięcia z akt Służby Ochrony Państwa jego skargi - przesłanej bezprawnie przez Komendanta Wojewódzkiego oraz spowodowanie usunięcia z jego akt osobowych notatki instruktażowej z rozmowy, o której mowa w jego piśmie z 5 lutego 2020 r.; żądanie to Wnioskodawca ponowił w piśmie z 7 sierpnia 2020 r., konkretyzując je tym samym do kwestii dysponowania dokumentacją przez skarżony podmiot, - podstawą właściwego zrozumienia zakresu kompetencji i zadań Prezesa Urzędu Ochrony Danych Osobowych są - przyjęte przez prawodawcę unijnego w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 str. 1, ze zm.), zwanego dalej: "RODO" - definicje "danych osobowych" oraz "przetwarzania danych"; zgodnie z zawartą w art. 4 pkt 1 RODO definicją, dane osobowe to: "wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą")"; natomiast pod pojęciem "przetwarzania", należy rozumieć "operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie" (art. 4 pkt 2 RODO). - do przysługujących organowi uprawnień naprawczych należy m.in. nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy rozporządzenia (art. 58 ust. 2 lit. c RODO) i wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania (art. 58 ust. 2 lit f RODO); żaden przepis RODO ani ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2019 r. poz. 1781) nie uprawnia organu do wydawania nakazów usunięcia dokumentów - jest on uprawniony do oceny legalności dysponowania danymi osobowymi, nie zaś nośników, na których je utrwalono (np. dokumentów), - żądanie Wnioskodawcy jest oczywiście niezasadne; zwrócił się on o nakazania usunięcia dokumentów, a nie bezpośrednio danych osobowych; organ zaś - zgodnie z przyznanymi mu kompetencjami - jest właściwym do kontroli zgodności przetwarzania danych osobowych z przepisami RODO; nie jest jednak uprawniony do wydania nakazu usunięcia dokumentów, zawierających m.in. dane osobowe, - zgodnie z art. 61 § 1 K.p.a., postępowanie administracyjne wszczyna się na żądanie strony lub z urzędu; w myśl natomiast art. 61a § 1 K.p.a., gdy żądanie wniesie osoba niebędąca stroną lub z innych uzasadnionych przyczyn postępowanie nie może być wszczęte, wydaje się postanowienie o odmowie wszczęcia postępowania. W uzasadnieniu skargi podniesiono: - Komendant Wojewódzki przekazał Komendantowi SOP (aktualnemu przełożonemu Wnioskodawcy) skargą z [...] października 2019 r., kierowaną przez Wnioskodawcę do Komendanta Głównego Policji, - Wnioskodawca zwrócił się do Komendanta SOP o udostępnienie mu dokumentacji wraz z załączoną do niej skargą, - po jej uzyskaniu – [...] grudnia 2019 r. - Wnioskodawca skierował skargę do Prezesa Urzędu Danych Osobowych; opisując zaistniałą sytuację; podniósł, że - przesyłając skargę, kierowaną przez Wnioskodawcę do Komendanta Głównego Policji Komendantowi SOP, który nie był jej adresatem – Komendant Wojewódzki dopuścił się czynu z art. 266 ustawy - Kodeks karny i art. 107 ustawy o ochronie danych osobowych; nie zanonimizował bowiem danych osobowych Wnioskodawcy - w tym imienia i nazwiska, wraz z adresem zamieszkania i do korespondencji oraz prywatnego numeru telefonu komórkowego, - następnie - [...] grudnia 2019 r. - w ślad za poprzednią, Wnioskodawca przesłał kolejną skargę; wskazał tam, że kopię skargi, która wpłynęła do Komendanta SOP 28 października 2019 r., przesłano uprzednio faxem - od adresata Komendanta Głównego Policji do Komendy Wojewódzkiej Policji w S.; osoba przesyłająca faxem tą skargę ujawniła jej treść oraz dane osobowe Wnioskodawcy - wraz z adresem zamieszkania i do korespondencji oraz prywatnym numerem telefonu komórkowego - osobom, do których skarga nie była kierowana, - 28 stycznia 2020 r. Wnioskodawca otrzymał pismo z Urzędu Ochrony Danych Osobowych, w którym wezwano go do uzupełnienia braków formalnych poprzez wskazanie żądania - jakiej czynności od organu oczekuje Wnioskodawca, - pismem z [...] lutego 2020 r., Wnioskodawca wniósł o usunięcie z akt Służby Ochrony Państwa bezprawnie przesłanej tam jego skargi oraz notatki instruktażowej (z jego akt osobowych), - 3 sierpnia 2020 r. Wnioskodawca otrzymał kolejne pismo z Urzędu Ochrony Danych Osobowych, w którym ponownie wezwano go do usunięcia braków formalnych skargi poprzez jednoznaczne wskazanie: "A. Czy żąda Pan od Prezesa Urzędu Ochrony Danych Osobowych nakazania usunięcia Pana danych osobowych przetwarzanych przez Służbę Ochrony Państwa w skardze przesłanej przez Zastępcę Komendanta Wojewódzkiego Policji w S., a kierowanej do Komendanta Głównego Policji oraz notatce instruktażowej - jeżeli tak, to zwracam się o wskazanie tych danych. B. Czy może żąda Pan nakazania usunięcia dokumentów, tj. skargi przesłanej do Służby Ochrony Państwa przez Zastępcę Komendanta Wojewódzkiego Policji w S., a kierowanej do Komendanta Głównego Policji oraz notatki instruktażowej, o której mowa w Pana piśmie z [...] lutego 2020 r." - [...] sierpnia 2020 r. Wnioskodawcy udzielił odpowiedzi na to wezwanie wskazując: "1. Żądam nakazania usunięcia dokumentów, tj. skargi przesłanej do Służby Ochrony Państwa przez Zastępcę Komendanta Wojewódzkiego Policji w S., a kierowanej do Komendanta Głównego Policji oraz notatki instruktażowej'; o której mowa w Pana piśmie z [...] lutego 2020 r." oraz "2. W przypadku stwierdzenia naruszenia przepisów Ustawy z dnia 10 maja 2018 roku o Ochronie danych osobowych i innych przepisów o ochronie danych osobowych, żądam ustalenia osób za to odpowiedzialnych i podjęcia wobec nich stosownych przewidzianych przywołanymi przepisami działań.", - w uzasadnieniu odmowy wszczęcia postanowienia oparto się jedynie na stwierdzeniu, że żaden przepis RODO i ustawy o ochronie danych osobowych nie uprawnia organu do wydawania nakazów usunięcia dokumentów, - wnosząc do organu skargi, Wnioskodawcy nie znał pełnego zakresu działania, a także jego możliwości i kompetencji; w ocenie Wnioskodawcy, przekazanie skargi kierowanej do Komendanta Głównego Policji za pośrednictwem faxu do Komendanta Wojewódzkiego, a następnie przesłanie jej, do wiadomości obecnego przełożonego Wnioskodawcy - Komendanta SOP, stanowiło naruszenie przepisów i pozostaje w kompetencji danego organu; tymczasem skupił się on jedynie na kwestii możliwości usunięcia danych, czy też nośników je zawierających ze zbiorów SOP; kwestię ewentualnego naruszenia przepisów ustawy o ochronie danych osobowych kompletnie zaś pominięto; organ nie rozstrzygnął czy prawidłowym było przekazywanie skargi pomiędzy wskazywanymi organami, bez zawiadamiania o tym fakcie Wnioskodawcy - osoby, której dane przetwarzano; przekazanie skargi było zaś przetwarzaniem danych osobowych, - w piśmie z 3 sierpnia 2020 r., zasugerowano Wnioskodawcy tylko dwie odpowiedzi, każąc wskazać, czego się domaga; zgodnie z poleceniem to uczynił; nie jest zrozumiałe, że organ - "czuwający" z urzędu nad prawidłowością przetwarzania danych osobowych - sugeruje odpowiedzi, gdzie brak jest możliwości jego działania, - w piśmie z [...] sierpnia 2020 r. Wnioskodawca wskazał, że - w razie stwierdzenia naruszenia przepisów o ochronie danych osobowych - żąda ustalenia osób za to odpowiedzialnych i podjęcia wobec nich. stosownych, przewidzianych przepisami działań; pominięto to w skarżonym postanowieniu, - w powyższym zakresie organ nie wykonał żadnych czynności w celu ustalenia, czy doszło do naruszenia przepisów dotyczących ochrony danych osobowych, co było i nadal pozostaje meritum wnoszonych doń przez Wnioskodawcę skarg, - jak wynika z uzasadniania postanowienia, organ zajął się ustaleniem, że żaden przepis nie upoważnia go do usunięcia dokumentów z zasobów SOP; Wnioskodawca wnosił tym czasem skargi w celu rozstrzygnięcia, czy przesłanie jego pisma, adresowanego do Komendanta Głównego Policji, do Komendanta Wojewódzkiego, a następnie do Komendanta SOP, bez powiadomienia Wnioskodawcy i bez zanonimizowania jego danych było zgodne z przepisami RODO oraz, czy nie naruszono innych przepisów o ochronie danych osobowych, a - w przypadku naruszenia - podjęcia przewidzianych prawem działań wobec osób odpowiedzialnych, - w uzasadnieniu postanowienia wskazano, że zakres kompetencji i zadań organu określił prawodawca unijny w RODO) definicją "danych osobowych" oraz "przetwarzania danych"; zgodnie z definicją zawartą w art. 4 pkt 1 RODO dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); ewidentnie ujawniono dane osobowe Wnioskodawcy, dając możliwość zidentyfikowania jego osoby po imieniu i nazwisku, udostępniono jego adres zamieszkania i korespondencyjny, oraz prywatny numer telefonu komórkowego; nie powiadano go dodatkowo o przetwarzaniu jego danych osobowych; odpowiedzialni za to dopuścili się wykorzystania, ujawniania poprzez przesłanie i rozpowszechniani danych osobowych, umożliwiając zapoznanie się osobom postronnym z treścią skargi Wnioskodawcy. W odpowiedzi na skargę organ administracji wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. Skargę rozpoznano w trybie uproszczonym, wobec treści art. 119 pkt 3 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r., poz. 2325 ze zm.). Sąd zważył, co następuje. Skarga jest zasadna. Kwestionowane postanowienie wydano z naruszeniem przepisów postępowania, w zakresie obowiązków właściwego wyjaśnienia sprawy z uwzględnieniem poszanowania słusznego interesu żądającej wszczęcia postępowania osoby a także informowania uczestników postępowania o istotnych uwarunkowaniach sprawy - wedle art. 7 i 8 § 1 oraz art. 9 K.p.a. Na wstępie wypada odnotować, że stan faktyczny sprawy opisano szczegółowe w uzasadnienie skargi. Wobec wcześniejszego przytoczenia, jego powtarzanie byłoby zasadne. Na gruncie rozpoznawanej sprawy należy stwierdzić, co następuje. Trafnie organ zauważył, że jego kompetencje w zakresie prowadzenia spraw, związanych z ewentualnym naruszeniem przepisów dotyczących ochrony danych osobowych, zakreślają bezpośrednio regulację RODO. W myśl tego rozporządzenia - wobec wnoszenia konkretnych skarg, w rozumieniu art. 57 ust. 1 lit. f tego aktu – organ ten nie jest właściwy do prowadzenia postępowania służącego wyłącznie - in abstracto - ocenię działanie podmiotów, w tym organów administracji, w kontekście przestrzegania przez nie reguł ochrony danych osobowych. Celem postępowania nie jest bowiem ostatecznie sformułowanie określonych ocen lecz - wobec ich dokonania - ewentualne zastosowanie środków przypisanych organowi przez pracodawcę unijnego a służących egzekwowania przestrzeganie prawa. Wśród nich wydzielić można te o charakterze stricte naprawczym – np. nakaz podjęcia określonych czynności (tak art. 58 ust. 2 lit. c, d, f oraz g RODO), oraz niejako prewencyjne – np. udzielenie upomnienia, nałożenie kary pieniężnej (tak art. 58 ust.1 lit. a, b oraz lit. i RODO). W rozpoznawanej sprawie, w skierowanych do organu dwu kolejnych skargach Wnioskodawcy (datowane [...] i [...] grudnia 2019 r.), opisywano domniemane nieprawidłowości w kontekście przetwarzania danych osobowych, nie precyzując wobec wyspecjalizowanego organu jednoznacznie żądania. W takiej sytuacji uprawniony było skierowanie do Wnioskodawcy wezwania do sprecyzowania żądań - w myśl art. 64 § 2 wobec art. 63 § 3 K.p.a.. Zwraca jednak uwaga, że - w skierowanym doń piśmie - wymieniono wprawdzie przykładowo pewne kompetencje organu lecz jedynie te, określone wcześniej mianem naprawczych. Następnie - wobec odpowiedzi Wnioskodawcy - zwrócono się doń ponownie o sprecyzowanie żądań, przedstawiając jednak alternatywnie tylko dwie możliwości, przy czym jedna z nich opisywała żądanie, którego realizacja nie pozostawała w kompetencjach organu administracji. Nie poinformowano o tym jednocześnie wnoszącego podanie. Tego rodzaju praktyka narusza zarówno obowiązek należytego i wyczerpującego informowania uczestników postępowania o okolicznościach prawnych, które mogą mieć wpływ na ustalenie ich praw i obowiązków oraz czuwania, aby osoby takie nie poniosły szkody w związku z nieznajomością prawa oraz udzielania im niezbędnych wyjaśnień i wskazówek (tak art. art. 9 K.p.a.), jak i prowadzenia postępowania w sposób budzący zaufanie jego uczestników do władzy publicznej ( art. 8 § 1 in principio K.p.a.). Prowadziło to w przypadku Wnioskodawcy - który powołuje się na nieznajomość prawa w danym zakresie - do sprecyzowania żądania tak, że wykraczało ono oczywiście poza kompetencje organu. Równocześnie Wnioskodawca wskazywał w swoich pismach, że domaga się podjęcia wszelkich czynności, pozostających w kompetencja danego wyspecjalizowanego organu, aby skutkowało to wyeliminowaniem domniemanych nieprawidłowości w praktyce działania wskazanych w skargach instytucji. W danym zakresie treść wystąpień Wnioskodawcy w istocie pominięto. Wobec powyższych uwarunkowań, uzasadniona jest konstatacja, że procedując w sprawie naruszono również art. 7 K.p.a., którym nakazano organom administracji podejmowania z urzędu lub na wniosek stron wszelkich czynności, niezbędnych to dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy. W danym przypadku tej powinności nie sprostano. Wskazane uchybienie przepisom postępowania mogą mieć wpływ na wynik sprawy, gdyż organ nie odniósł się w ogóle do jej meritum w kontekście sygnalizowanych w skardze domniemanych naruszeń przepisów, dotyczących przetwarzania danych osobowych. Rolą organu będzie przy tym na wstępie ocena, czy opisywany w skardze zdarzenie - w postaci przesłania kopii skargi Wnioskodawcy, zawierającej pewne dane osobowe do innych osób, nie będących bezspornie adresatami pisma - stanowi o "przetwarzaniu" danych osobowych, w rozumieniu RODO – gdzie właściwym do podjęcia stosownych czynności jest dany, wyspecjalizowane organ administracji. Organ będzie miał także na względzie, że w kierowanych doń dwu kolejnych skargach Wnioskodawca wytykał nie tylko domniemaną nieprawidłowość, upatrywaną w przesłaniu jego pisma do Komendanta SOP, lecz także przykazanie tegoż pisma przez Komendanta Głównego Policji Komendantowi Wojewódzkiemu. Nie odnotowano tego w uzasadnieniu zaskarżonego aktu. Z przytoczonych wyżej przyczyn, na podstawie art. 145 §. 1 pkt 1 lit. c ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzeczono jak w pkt 1 sentencji. W przedmiocie zwrotu kosztów postępowania orzeczono w pkt 2 w myśl art. 200 wskazanej ustawy. Zasądzona kwota to uiszczony wpis od skargi. Rozpatrując ponownie sprawę organ administracji uwzględni ocenę prawną, sformułowaną w niniejszym uzasadnieniu. ----------------------- 5