II SA/Wa 221/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj, Sędzia WSA Joanna Kube (spr.), Sędzia WSA Danuta Kania, , po rozpoznaniu na posiedzeniu niejawnym w dniu 19 listopada 2020 r. sprawy ze skargi Prezydenta Miasta [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2019 r. nr [...] w przedmiocie umorzenia postępowania w sprawie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych, dalej: "Prezes Urzędu", "organ nadzoru", "organ" decyzją z dnia [...] listopada 2019 r. nr [...], na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096, z późn. zm.), dalej: "k.p.a.", art. 7 ust. 1, art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), dalej: "u.o.d.o." oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2), dalej: "RODO", "rozporządzenie 2016/679", "rozporządzenie", po przeprowadzeniu postępowania administracyjnego, umorzył postępowanie w sprawie nieprawidłowości w procesie przetwarzania danych osobowych przez Prezydenta Miasta [...] (Urząd Miasta [...], PI. [...], [...]), dotyczących udostępnienia danych osobowych pokrzywdzonego dziecka, zawartych w odpisie wyroku, poprzez przesłanie treści tego dokumentu do kilkuset szkół. Prezes Urzędu w związku z pozyskaniem informacji o możliwości naruszenia przepisów o ochronie danych osobowych przez Prezydenta Miasta [...] w związku z udostępnieniem danych osobowych przeprowadził postępowanie administracyjne z urzędu, w ramach którego, działając na podstawie art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679, uzyskał od Prezydenta Miasta [...] pisemne wyjaśnienia odnośnie okoliczności sprawy i stosowne dowody na ich potwierdzenie. W oparciu o tak zgromadzony materiał dowodowy Prezes UODO ustalił, co następuje: 1. Dnia [...] lutego 2018 r. do Wydziału Edukacji Urzędu Miasta [...] wpłynęło pismo Sądu Rejonowego dla [...], Wydział Karny [...], w którym Sąd poinformował o orzeczeniu wobec oskarżonego zakazu zajmowania wszelkich stanowisk, wykonywania wszelkich zawodów i prowadzenia wszelkich działalności, związanych z wychowaniem, edukacją i opieką nad małoletnimi na okres pięciu lat. Do ww. pisma załączono odpis prawomocnego wyroku z dnia [...] maja 2017 r. w sprawie o sygnaturze [...] (dowód: zanonimizowane kopie pisma Sąduwraz z wyrokiem k. 27, 28 i 30). 2. Zgodnie z treścią ww. wyroku, Sąd orzekł wobec oskarżonego środki karne w postaci zakazu wszelkiego kontaktowania się z pokrzywdzonym i zakazu zbliżania się do pokrzywdzonego na odległość mniejszą niż 100 metrów na okres 5 lat (punkt IV sentencji wyroku) oraz zakazu zajmowania wszelkich stanowisk, wykonywania wszelkich zawodów i prowadzenia wszelkiej działalności, związanych z wychowaniem, edukacją i opieką nad małoletnimi na okres 5 lat (punkt V sentencji wyroku). 3. Sąd, przesyłając odpis wyroku, nie dokonał anonimizacji danych osobowych pokrzywdzonego. Poznanie personaliów pokrzywdzonego było - w ocenie Prezydenta Miasta [...] - niezbędne do wykonania wyroku przez Prezydenta Miasta [...] [...], tj. zapewnienia bezpieczeństwa małoletniemu i zapobieżenia zbliżaniu się do niego skazanego. Jak wyjaśniono, jednym z wielu zadań dyrektorów szkół i placówek oświatowych jest zapewnienie bezpieczeństwa uczniom i nauczycielom w czasie zajęć organizowanych przez szkołę lub placówkę. Obowiązek taki wynika wprost z art. 7 ust. 2 pkt 6 ustawy z 26 stycznia 1982 r. Karta Nauczyciela oraz z art. 68 ust. 1 pkt 6 ustawy z 14 grudnia 2016 r. Prawo oświatowe. 4. Wydział Edukacji Urzędu Miasta [...] [...] lutego 2018 r. "w ramach wykonywania czynności służbowych" przekazał wyrok sądu do dyrektorów [...] szkół i placówek samorządowych do wiadomości i stosowania. Ponadto o fakcie przekazania wyroku dyrektorom [...] szkół i placówek samorządowych, na podstawie art. 185 ustawy z dnia 6 czerwca 1997 r. Kodeks karny wykonawczy (Dz. U. z 2018 r. poz. 652 z późn. zm., dalej "k.k.w.") Wydział Edukacji UM[...] pismem z [...] marca 2018 r. zawiadomił Sąd Rejonowy dla [...], Sekcję Wykonania Orzeczeń (dowód: kopia pisma skierowanego do Sądu k. 31). 5. Jak wskazał Prezydent Miasta [...], Sąd po otrzymaniu informacji o udostępnieniu przez Prezydenta Miasta [...] kopii wyroku dyrektorom [...] szkół i placówek samorządowych nie skorzystał z uprawnienia wynikającego z art. 185 k.k.w. i nie nakazał usunięcia nieprawidłowości. 6. Prezydent Miasta [...] oświadczył, że sytuacja przekazania, w ramach wykonywania czynności służbowych przez Urząd Miasta [...], danych osobowych pokrzywdzonego małoletniego zawartych w odpisie wyroku sądu jest przypadkiem jednostkowym. Ponadto wyjaśniono, że Urząd Miasta [...] nie występuje do żadnych podmiotów o udostępnienie danych osobowych małoletnich pokrzywdzonych zawartych w wyrokach sądowych. Sądy na podstawie art. 181a § 1 k.k.w. przesyłają odpisy wyroków jednostkom Policji, a także odpowiednim organom administracji rządowej lub samorządu terytorialnego, właściwym dla miejsca pobytu skazanego w razie orzeczenia obowiązku powstrzymania się od przebywania w określonych środowiskach lub miejscach, zakazu kontaktowania się z określonymi osobami lub zakazu opuszczania określonego miejsca pobytu bez zgody sądu. W pierwszej kolejności Prezes Urzędu podkreślił, że przedmiotem niniejszego postępowania było udostępnienie przez Prezydenta Miasta [...] danych osobowych pokrzywdzonego dziecka zawartych w odpisie wyroku Sądu Rejonowego dla [...] w [...] Wydział [...] Karny z dnia [...] maja 2017 r. w sprawie o sygnaturze [...] na rzecz [...] szkół i placówek samorządowych. Organ ochrony danych osobowych nie oceniał w niniejszym postępowaniu działań Sądu ani dalszego przetwarzania danych osobowych pokrzywdzonego dziecka przez dyrektorów szkół i placówek w następstwie przesłania im kopii ww. wyroku. Stosownie do treści art. 6 ust. 1 rozporządzenia 2016/679, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Prezes Urzędu zwrócił uwagę, że kwestionowane udostępnienie nastąpiło w dniu [...] lutego 2018 r., a zatem w czasie obowiązywania ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 z późn. zm.). Z przepisów ww. ustawy wynikało, że przetwarzanie danych osobowych było dopuszczalne przy zaistnieniu co najmniej jednej z przesłanek określonych w art. 23 ust. 1 ustawy, które co do zasady były równoprawne, tj. m.in. gdy osoba, której dane dotyczyły, wyraziła na to zgodę, chyba że chodziło o usunięcie dotyczących jej danych (pkt 1), jak też gdy było to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2), było to konieczne do realizacji umowy, gdy osoba, której dane dotyczyły, była jej stroną lub gdy było to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczyły (pkt 3), było niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4), było to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie naruszało praw i wolności osoby, której dane dotyczyły (pkt 5). Zgodnie natomiast z art. 180 k.k.w., w razie orzeczenia zakazu zajmowania określonego stanowiska lub wykonywania określonego zawodu, sąd przesyła odpis wyroku właściwemu organowi administracji rządowej lub samorządu terytorialnego oraz pracodawcy albo instytucji, w której skazany zajmuje objęte zakazem stanowisko lub wykonuje objęty zakazem zawód. Jeżeli skazany zajmuje stanowisko kierownicze lub inne odpowiedzialne stanowisko, sąd przesyła odpis wyroku również właściwej jednostce nadrzędnej. W odpisie wyroku nie ujawnia się danych pokrzywdzonego. W razie orzeczenia zakazu prowadzenia określonej działalności gospodarczej, sąd przesyła odpis wyroku odpowiedniemu organowi administracji rządowej lub samorządu terytorialnego, właściwemu dla miejsca zamieszkania skazanego lub dla miejsca prowadzenia działalności gospodarczej objętej zakazem (art. 181 k.k.w.). Zgodnie z § 388 rozporządzenia Ministra Sprawiedliwości z dnia 23 grudnia 2015 r. Regulamin urzędowania sądów powszechnych (Dz. U. z 2015 r. poz. 2316 z późn. zm.), przesyłając odpis wyroku, którym orzeczono zakazy wymienione w art. 180 i art. 181 k.k.w., poucza się o treści art. 185 k.k.w. Zgodnie zaś z art. 185 k.k.w., pracodawcy lub instytucje wymienione w art. 180 i 181 podejmują stosowne decyzje i bezzwłocznie zawiadamiają o tym sąd, który w razie stwierdzenia nieprawidłowości nakazuje je usunąć. Jak ustalono w przedmiotowej sprawie, Sąd Rejonowy dla [...] w [...] Wydział [...] Karny Sekcja Wykonania Orzeczeń, pismem z dnia [...] stycznia 2018 r. przesłał Prezydentowi Miasta [...] odpis prawomocnego wyroku z dnia [...] maja 2017 r. w sprawie o sygnaturze [...]. W piśmie tym Sąd wskazał na orzeczenie wobec skazanego środka karnego w postaci zakazu zajmowania wszelkich stanowisk, wykonywania wszelkich zawodów i prowadzenia wszelkich działalności, związanych z wychowaniem, edukacją i opieką nad małoletnim na okres pięciu lat wskazanego w ww. wyroku w punkcie V. Co istotne, kierując do Prezydenta Miasta [...] orzeczenie do wykonania, Sąd nie wskazał na drugi z orzeczonych środków karnych w postaci zakazu wszelkiego kontaktowania się z pokrzywdzonym i zakazu zbliżania się na odległość mniejszą niż 100 metrów na okres 5 lat. Prezydent Miasta [...] otrzymując ww. wyrok stał się administratorem danych osobowych zawartych w treści tego orzeczenia. Podejmując zatem dalsze działania powinien mieć na uwadze przestrzeganie przepisów dotyczących ochrony danych osobowych. Prezes Urzędu podkreślił, że organy władzy publicznej obowiązane są działać jedynie na podstawie i w granicach prawa w oparciu o zasadę legalizmu. Zasada legalności przetwarzania danych osobowych została uregulowana w art. 5 lit. a RODO, który stanowi, że dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Na gruncie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, zasada legalności określona była w art. 26 ust. 1 pkt 1, zgodnie z którym administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności był obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem. Zaakcentowano także, że czynności związane ze skierowaniem do wykonania Wyroku, zawierającego orzeczenie o środku karnym, obciążają sąd, na co wskazują zwroty "sąd przesyła". Obowiązek przesłania kopii wyroku innym podmiotom w żaden sposób nie dotyczył organu administracji publicznej, w tym przypadku Prezydenta Miasta [...]. Jak podkreśla się w literaturze, "Orzeczenie zakazu zajmowania określonego stanowiska lub wykonywania określonego zawodu rodzi bowiem możliwość rozwiązania umowy o pracę bez wypowiedzenia z winy pracownika w trybie art. 52 § 1 pkt 2 lub 3 k.p. (np. w stosunku do urzędnika państwowego mianowanego, kuratora sądowego zawodowego, eksperta Urzędu Patentowego Rzeczypospolitej Polskiej, mianowanego pracownika naukowego, mianowanego nauczyciela akademickiego, nauczyciela), powoduje też np. zwolnienie ze służby żołnierza zawodowego, skreślenie z listy osób wykonujących dany zawód np. doradcy podatkowego, rzecznika patentowego. Z uwagi na powyższe zachodzi zatem konieczność powiadomienia właściwego organu. (...) Wyrok skazujący, zawierający orzeczenie w przedmiocie środka karnego, jakim jest zakaz wykonywania zawodu, odnosi bezpośredni skutek jedynie w stosunku do osoby skazanej. Z art. 180 k.k.w. wynika niezbicie, że orzeczenie zakazujące zajmowania określonego stanowiska lub wykonywania określonego zawodu sąd przesyła właściwemu organowi administracji rządowej lub samorządowej celem odzwierciedlenia orzeczonego zakazu w prowadzonych rejestrach działalności gospodarczej czy działalności regulowanej. To organy prowadzące właściwe rejestry działalności gospodarczej, działalności regulowanej mają obowiązek dokonania stosownych wpisów o zakazie wykonywania określonego zawodu na podstawie ustaw szczególnych" (zob. Dąbkiewicz Krzysztof. Art. 180. W: Kodeks karny wykonawczy. Komentarz, wyd. IV. Wolters Kluwer Polska, 2018). Wobec powyższego organ nadzoru stwierdził, że udostępnienie w dniu [...] lutego 2018 r. danych osobowych pokrzywdzonego dziecka, zawartych w treści ww. wyroku, na rzecz [...] szkół i placówek samorządowych przez Prezydenta Miasta [...] nie znajdowało uzasadnienia w obowiązujących przepisach prawa. Tym samym doszło do naruszenia prawa do ochrony danych osobowych pokrzywdzonego dziecka wymienionych w treści ww. wyroku. Postępowanie administracyjne prowadzone przez Prezesa Urzędu w oparciu o przepisy RODO służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej przywracającej stan zgodny z prawem na podstawie art. 58 ust. 2 tego rozporządzenia. Zdaniem organu, w przedmiotowym postępowaniu wszczętym i prowadzonym w trybie ww. rozporządzenia, nie jest możliwe zastosowanie środków naprawczych, o których mowa w art. 52 ust. 2 rozporządzenia, do zdarzeń przeszłych i zakończonych przed rozpoczęciem stosowania rozporządzenia. Organ przyjął, że kwestionowane udostępnienie danych osobowych było zdarzeniem jednorazowym, zakończonym, nie ma charakteru ciągłego, co potwierdza oświadczenie Prezydenta Miasta [...], z którego wynika, że przekazanie przez Urząd Miasta [...] danych osobowych pokrzywdzonego małoletniego, zawartych w odpisie wyroku sądu, jest przypadkiem jednostkowym. Prezes Urzędu, biorąc pod uwagę powyższe stwierdził, że skoro organ administracji publicznej załatwia sprawę przez wydanie decyzji, która rozstrzyga sprawę co do jej istoty, według stanu prawnego i faktycznego na dzień wydania decyzji, to z uwagi na zaistnienie przesłanki bezprzedmiotowości należało umorzyć postępowanie na podstawie art. 105 § 1 k.p.a. Organ nadzoru, korzystając z uprawnień przewidzianych w art. 52 ust. 1 u.o.d.o., wystosował do Prezydenta Miasta [...] wystąpienie, w którym zwrócił się o podjęcie stosownych działań mających na celu wyeliminowanie podobnych nieprawidłowości w przyszłości. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 23 grudnia 2019 r. Prezydent Miasta [...] zaskarżył w całości decyzję Prezesa Urzędu Ochrony Danych Osobowych nr [...] z dnia [...] listopada 2019 r. Zaskarżonemu rozstrzygnięciu zarzucił: 1. naruszenie przepisu art. 6 ust. 1 lit. c) RODO i odpowiednio obowiązującego wcześniej art. 23 ust. 1 pkt 2 ustawy z dnia 27 sierpnia 1997 r. o ochronie danych osobowych, poprzez przyjęcie, że przekazanie przez Prezydenta Miasta [...] danych osobowych dziecka otrzymanych z sądu do podległych mu jednostek samorządowych (szkół i placówek) nie miało umocowania w przepisach prawa, 2. niewłaściwą interpretację przepisów art. 180 oraz 181 k.k.w., poprzez przyjęcie, że skoro sąd nie zanonimizował danych ofiary pedofila w swoim orzeczeniu, to Prezydent Miasta [...] miał obowiązek to zrobić przed przekazaniem tych danych podległym jednostkom oraz nieuznanie, że aby zrealizować obowiązek z art. 181 k.k.w. (zakaz zbliżania się skazanego do ofiary) Prezydent Miasta [...] musiał przesłać do samorządowych jednostek organizacyjnych dane osobowe ucznia (ofiary). W związku z powyższym wniesiono o: 1. uchylenie zaskarżonej decyzji Prezesa Urzędu i przekazanie sprawy organowi do ponownego rozpatrzenia, 5) zasądzenie od strony przeciwnej na rzecz skarżącego kosztów postępowania, w tym kosztów zastępstwa procesowego według norm prawem przewidzianych. W ocenie skarżącego, nie sposób zgodzić się z taką wykładnią i interpretacją w tym konkretnym przypadku, kiedy dane osobowe niezanomizowane zostały przesłane przez Sąd Rejonowy dla [...] w [...] Wydział [...] Karny Sekcja Wykonania Orzeczeń pismem z dnia [...] stycznia 2018 r. do Urzędu Miasta [...] Wydział [...], nie zaś bezpośrednio do skarżącego. Już w tym momencie nieograniczona liczba osób - pracowników sekretariatu i Wydziału Edukacji UM[...] mogła zapoznać się z treścią przesłanego orzeczenia, w tym z danymi osobowymi ucznia. Jeśli więc dane te zostały ujawnione pracownikom Urzędu Miasta [...] podległym Prezydentowi, to tak samo w tej samej formie mogły zostać przesłane do podległych jednostek, tj. sekretariatów i dyrektorów szkół i placówek. To jednostki organizacyjne Gminy powinny być bezpośrednimi adresatami wysłanego z sądu wyroku z dnia [...] maja 2017 r., gdyż to tych pracodawców dotyczy zakaz zatrudniania, zajmowania stanowisk i prowadzenia działalności związanej z wychowaniem, opieką i edukacją nad małoletnimi, a nie Urzędu Miasta [...] i Prezydenta. Administratorem bowiem danych osobowych w każdej szkolei placówce jest jej dyrektor. Nie można więc zgodzić się z zarzutem, że otrzymawszy informacje dotyczące danych osobowych, zawarte w orzeczeniu sądu i stając się ich administratorem, Prezydent, nie przestrzegając przepisów o ochronie danych osobowych, przetworzył je i udostępnił nieuprawnionym podmiotom. Dane te w takiej formie, w jakiej zostały przesłane do Urzędu Miasta [...] - Wydziału [...], zostały przekazane dalej w obiegu wewnętrznym do dyrektorów szkół i placówek, które są jednostkami organizacyjnymi Gminy, a dyrektorzy podlegają służbowo Prezydentowi Miasta [...]. W ocenie skarżącego, nie doszło więc do nieuprawnionego wyjawienia danych małoletniego na zewnątrz ani do osób trzecich, a jedynie dane te zostały przekazane do innych pracowników w tej samej złożonej strukturze Gminy Miejskiej [...], w dodatku osobom zobowiązanym do przestrzegania tajemnicy służbowej. To na innym etapie, a mianowicie ujawnienia danych ucznia przez jednego z dyrektorów szkół redaktorowi gazety, doszło do naruszenia rozporządzenia 2016/679 i to ta osoba, która poza Urząd i miejskie jednostki przekazała dane, powinna jako jedyna ponosić odpowiedzialność. W tym więc zakresie zarzuty Prezesa Urzędu, zawarte w uzasadnieniu zaskarżonej decyzji, nie są zasadne. Prezydent Miasta [...], niezależnie od stanowiska, że dane osobowe zawarte w orzeczeniu sądu nie zostały ujawnione obcym podmiotom wskazał także, że przepisy zarówno RODO, jak i obowiązującej w trakcie zdarzenia ustawy o ochronie danych osobowych, przewidują wyjątki od zakazu przetwarzania danych, co przedstawione zostało w uzasadnieniu decyzji. Zdaniem Prezydenta Miasta [...], udostępnienie danych, jeśli w ogóle o takim można mówić, dyrektorom szkół i placówek miało miejsce w wykonaniu obowiązku prawnego ciążącego na administratorze danych (art. 6 ust.1 lit. c RODO oraz art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych z 1997 r.), wynikającego z realizacji przepisów art 180 oraz 181 k.k.w. Nieprawidłowo organ nadzoru w uzasadnieniu zaskarżonej decyzji konkluduje, iż przesyłając wyrok, sąd karny ograniczył się tylko do realizacji przez Prezydenta Miasta [...] środka karnego w postaci zakazu zajmowania stanowisk, wykonywania zawodu i prowadzenia działalności związanych z wychowaniem, edukacją i opieką nad małoletnimi na okres pięciu lat, pomijając i negując obowiązek Prezydenta Miasta [...] w zakresie środka karnego, o którym mowa w art. 181 k.k.w. i w orzeczonym w pkt IV wyroku z dnia [...] maja 2017 r., a polegającego na zakazie wszelkiego kontaktowania się z pokrzywdzonym (...) na odległość mniejszą niż 100 metrów na okres 5 lat. Sąd przesyłając do skarżącego wyrok niewątpliwie działał w wykonaniu art. 180 oraz 181a § 1 k.k.w. Logicznym następstwem otrzymania przez Wydział Edukacji Urzędu Miasta [...] wyroku z dnia [...] maja 2017 r. było rozesłanie go do właściwych adresatów, a mianowicie wszystkich szkół i placówek, gdzie potencjalnie mógłby próbować znaleźć zatrudnienie skazany, jak również celem ochrony przez te jednostki ich nauczycieli i dyrektora ucznia-ofiary przestępstwa przed ewentualnymi próbami kontaktowania się lub zbliżania do niego skazanego. Zdaniem skarżącego, zasadne było przesłanie orzeczenia nie tylko do szkoły, w której pobierał naukę uczeń, ale również do innych szkół i placówek. Uczeń ten oraz jego opiekunowie mogli bowiem chcieć zmienić w związku z zaistniałą sytuacją szkołę, poza tym mógł on być uczestnikiem zajęć w różnych placówkach Gminy jak młodzieżowe domy kultury lub korzystać z pomocy samorządowych specjalistycznych i rejonowych poradni psychologiczno-pedagogicznych. W odpowiedzi na skargę Prezes Urzędu wniósł o jej oddalenie, podtrzymując swoje dotychczasowe argumenty faktyczne i prawne. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie zasługuje na uwzględnienie, ponieważ Sąd, przeprowadzając kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej, stosownie do art. 1 § 1 i § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r., poz. 2325 z późn. zm.), nie stwierdził, aby Prezes Urzędu, wydając decyzję z dnia [...] listopada 2019 r., naruszył przepisy prawa materialnego w stopniu mającym wpływ na wynik sprawy, czy też przepisy postępowania administracyjnego w stopniu mogącym mieć istotny wpływ na wynik sprawy. Rozporządzenie 2016/679 obliguje podmioty przetwarzające dane osobowe, do przestrzegania zasad wyrażonych w przepisach tego aktu prawnego na każdym etapie przetwarzania tych danych, w tym na etapie ich pozyskiwania, utrwalania, przechowywania i udostępniania. Na podstawie art. 5 ust. 1 ww. rozporządzenia, dane osobowe muszą być przetwarzane m.in. zgodnie z prawem (lit. a); zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami (lit. b); adekwatne, stosowne oraz ograniczone do tego, co niezbędne, do celów, w których są przetwarzane (lit. c) oraz przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem za pomocą odpowiednich środków technicznych lub organizacyjnych (lit. f). Na podstawie art. 5 ust. 2 rozporządzenia, administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie. Rozwinięciem ww. zasady z art. 5 ust. 1 lit. f (tj. bezpieczeństwa danych osobowych) są przepisy art. 24 i art. 32 rozporządzenia, stanowiące o obowiązkach administratorów danych. Zgodnie z art. 24 ust. 1 rozporządzenia, administrator - uwzględniając charakter, zakres, kontekst i cele przetwarzania danych oraz ryzyko naruszenia praw lub wolności osób fizycznych, wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie danych odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Z kolei na podstawie art. 32 ust. 1 rozporządzenia, administrator danych wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w tym między innymi w stosownym przypadku: a) pseudonimizację i szyfrowanie danych osobowych; b) zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania. Właściwe zabezpieczanie danych osobowych ma prowadzić do braku naruszeń (lub ich minimalizacji) w kontekście m.in. nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych (art. 4 pkt 12 rozporządzenia). Zgodnie z art. 4 pkt 2 rozporządzenia, przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Zwrócić uwagę należy, że na administratorze danych przetwarzającym dane osobowe, stosownie do przepisów regulujących zasady przetwarzania danych osobowych, ciążą określone obowiązki warunkujące legalność ich przetwarzania. W szczególności jest to obowiązek legitymowania się jedną z przesłanek legalizujących proces ich przetwarzania, które w odniesieniu do danych osobowych tzw. zwykłych, określone zostały w art. 6 ust. 1 rozporządzenia, a w odniesieniu do danych szczególnie chronionych - w art. 9 ust. 2 rozporządzenia. Podkreślić należy, że kwestionowane udostępnienie nastąpiło w dniu [...] lutego 2018 r., a zatem w czasie obowiązywania ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 z późn. zm.). Z przepisów ww. ustawy wynikało, że przetwarzanie danych osobowych, było dopuszczalne przy zaistnieniu co najmniej jednej z przesłanek określonych w art. 23 ust. 1 ustawy, które co do zasady były równoprawne, tj. m.in. gdy osoba, której dane dotyczyły, wyraziła na to zgodę, chyba że chodziło o usunięcie dotyczących jej danych (pkt 1), jak też gdy było to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2), było to konieczne do realizacji umowy, gdy osoba, której dane dotyczyły, była jej stroną lub gdy było to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczyły (pkt 3), było niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4), było to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie naruszało praw i wolności osoby, której dane dotyczyły (pkt 5). Jak ustalono w przedmiotowej sprawie, Sąd Rejonowy dla [...] w v Wydział [...] Karny Sekcja Wykonania Orzeczeń, pismem z dnia [...] stycznia 2018 r. przesłał Prezydentowi Miasta [...] odpis prawomocnego wyroku z dnia [...] maja 2017 r. w sprawie o sygnaturze [...]. W piśmie tym sąd wskazał na orzeczenie wobec skazanego środka karnego w postaci zakazu zajmowania wszelkich stanowisk, wykonywania wszelkich zawodów i prowadzenia wszelkich działalności, związanych z wychowaniem, edukacją i opieką nad małoletnim na okres pięciu lat, wskazanego w ww. wyroku w punkcie V. Co istotne, kierując do Prezydenta Miasta [...] orzeczenie do wykonania, Sąd nie wskazał na drugi z orzeczonych środków karnych w postaci zakazu wszelkiego kontaktowania się z pokrzywdzonym i zakazu zbliżania się na odległość mniejszą niż 100 metrów na okres 5 lat. Prezydent Miasta [...] otrzymując ww. wyrok stał się administratorem danych osobowych zawartych w treści tego orzeczenia. Podejmując zatem dalsze działania powinien mieć na uwadze przestrzeganie przepisów dotyczących ochrony danych osobowych. Zaakcentować także należy, że czynności związane ze skierowaniem do wykonania wyroku zawierającego orzeczenie o środku karnym obciążają sąd, na co wskazują zwroty "sąd przesyła". Obowiązek przesłania kopii wyroku innym podmiotom w żaden sposób nie dotyczył organu administracji publicznej, w tym przypadku Prezydenta Miasta [...]. Sąd, przesyłając wyrok do Urzędu Miasta w [...] Wydziału [...], wyraźnie ograniczył się do wskazania jednego z orzeczonych środków karnych, z przytoczeniem jego treści i wskazaniem punktu wyroku, w którym został on zawarty. Również Prezydent Miasta [...] w korespondencji skierowanej do Sądu oraz do Dyrektorów Szkół i Placówek w [...] z dnia [...] lutego 2018 r. powoływał się jedynie na orzeczenie wobec skazanego wyłącznie zakazu zajmowania wszelkich stanowisk, wykonywania wszelkich zawodów i prowadzenia wszelkich działalności, związanych z wychowywaniem, edukacją i opieką nad małoletnimi na okres pięciu lat. Powyższe nie oznacza zatem, że w związku z obowiązkiem ciążącym na Prezydencie Miasta [...], był on uprawniony do przekazania odpisu wyroku wraz z danymi osobowymi pokrzywdzonego dziecka podległym mu dyrektorom szkół i placówek oświatowych. Podkreślenia wymaga, że każde udostępnienie danych osobowych przez Prezydenta Miasta [...] na rzecz szkół i placówek oświatowych powinno mieć oparcie w przepisach prawa, bowiem jest ono dokonywane pomiędzy odrębnymi administratorami danych, której to podstawy Prezydent Miasta [...] nie wykazał. Prawidłowo zatem organ w zaskarżonej decyzji stwierdził, że udostępnienie w dniu [...] lutego 2018 r. przez Prezydenta Miasta [...] danych osobowych pokrzywdzonego dziecka, zawartych w odpisie wyroku Sądu Rejonowego dla [...] w [...]Wydział [...] z dnia [...] maja 2017 r. w sprawie o sygnaturze [...] [...] na rzecz [...] szkół i placówek samorządowych, nie znajdowało uzasadnienia w obowiązujących przepisach prawa. Tym samym doszło do naruszenia prawa do ochrony danych osobowych pokrzywdzonego dziecka wymienionych w treści ww. wyroku. Niezależnie od tego należy stwierdzić, że w postępowaniu wszczętym i prowadzonym na podstawie rozporządzenia 2016/679 z dnia 27 kwietnia 2016 r., zastosowanie środków naprawczych, o których mowa w art. 58 ust. 2 ww. rozporządzenia nie odnosi się do zdarzeń przeszłych i zakończonych przed rozpoczęciem stosowania rozporządzenia. Zdaniem Sądu, Prezes UODO prawidłowo, z uwagi na zaistnienie przesłanki, o której mowa w art. 105 § 1 k.p.a., umorzył przedmiotowe postępowania. Organ nadzoru nie miał bowiem podstaw do rozstrzygnięcia sprawy co do istoty, z uwagi na brak możliwości wydania decyzji administracyjnej przywracającej stan zgodny z prawem na podstawie art. 58 ust. 2 rozporządzenia 2016/679, a dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy. Biorąc powyższe pod uwagę, Wojewódzki Sąd Administracyjny w Warszawie - działając na podstawie art. 151 p.p.s.a. - orzekł, jak w sentencji wyroku.