II SA/Wa 497/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas (spr.), Sędzia WSA Danuta Kania, Sędzia WSA Andrzej Góraj, , po rozpoznaniu w trybie uproszczonym w dniu 4 lutego 2025 r. sprawy ze skargi J. O. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO, organ) decyzją z [...] lutego 2024 r. nr [...], na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2023 r. poz. 775; dalej "Kpa."), art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781), art. 13 ust. 1 i 2, art. 58 ust. 2 lit. d, art. 6 ust. 1 lit. c i art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021, str. 35; dalej "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana J. O. (dalej skarżący) na nieprawidłowości w procesie przetwarzania w okresie od [...] maja 2018 r. jego danych osobowych przez: - Wójta Gminy [...] z siedzibą w [...] (dalej Wójt), - Radę Gminy [...] z siedzibą w [...] (dalej Rada), - Zakład Wodociągów i Kanalizacji w [...] z siedzibą w [...] (dalej Zakład), polegające na przetwarzaniu danych osobowych skarżącego bez podstawy prawnej oraz niezrealizowaniu w stosunku do niego obowiązków informacyjnych: 1. nakazał Wójtowi spełnienie względem skarżącego obowiązku informacyjnego wynikającego z art. 13 ust. 1 i 2 RODO odnośnie do przetwarzania jego danych osobowych pozyskanych w okresie od [...] maja 2018 r. do [...] maja 2019 r., 2. nakazał Radzie spełnienie względem skarżącego obowiązku informacyjnego wynikającego z art. 13 ust. 1 i 2 RODO odnośnie do przetwarzania jego danych osobowych pozyskanych w okresie od [...] maja 2018 r. do [...] maja 2019 r., 3. umorzył postępowanie w zakresie dotyczącym nieprawidłowości w procesie przetwarzania danych osobowych skarżącego przez Zakład, 4. w pozostałym zakresie odmówił uwzględnienia wniosku. Wydaniu powyższej decyzji towarzyszył następujący stan sprawy. Skarżący [...] maja 2019 r. (data wpływu do organu) złożył do Urzędu Ochrony Danych Osobowych skargę na nieprawidłowości w procesie przetwarzania w okresie od [...] maja 2018 r. jego danych osobowych przez byłego i obecnego Wójta, Przewodniczącego Rady (dalej Przewodniczący) oraz Kierownika Zakładu. W skardze wskazał, cyt. "[w] dniu [...] 05 2019 r informowałem obecnego Wójta P. P. oraz Przewodniczącego Rady C. J. kierownika ZWiK w [...] o przetwarzaniu moich danych osobowych i do chwili obecnej nie otrzymałem od nich klauzuli informacyjnej. Nie wiadomo na jakich zasadach w/w organy działają jako administrator moich danych osobowych. Dotyczy to okresu od [...].05.2018 r. czyli przepisy RODO. Przy tym stanie prawnym uważam, że moja skarga jest celowa i zasadnie wręcz społecznie. Proszę, aby w trybie pilnym Urząd Ochrony Danych Osobowych, podjął działania w tej sprawie". Wniósł o nałożenie kary finansowej na powołane osoby oraz organ. W związku z nieuzupełnieniem przez skarżącego braków formalnych skargi, Prezes UODO pozostawił ją bez rozpoznania, o czym poinformował skarżącego pismem z [...] listopada 2019 r. Następnie skarżący skierował do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na bezczynność Prezesa UODO. Sąd wyrokiem z 25 maja 2021 r. o sygn. II SAB/Wa 113/20 zobowiązał Prezesa UODO do rozpatrzenia skargi skarżącego z [...] maja 2019 r. w terminie miesiąca od daty doręczenia prawomocnego wyroku wraz z aktami sprawy. Jak stwierdził Sąd, Prezes UODO zamiast podjąć niezwłocznie stosowne czynności wyjaśniające, dopiero w piśmie z [...] lipca 2019 r. wezwał skarżącego do uzupełnienia rzekomych braków formalnych skargi, w tym m.in. poprzez sprecyzowanie, jakich działań w przedmiotowej sprawie skarżący oczekuje od organu nadzorczego. Powyższe działanie Prezesa UODO nie znajduje uzasadnienia w obowiązujących przepisach prawa, albowiem intencja strony wnoszącej skargę była jasna i nie wymagała doprecyzowania. Ze wspomnianej skargi wynikało jednoznacznie, że skarżący oczekiwał od organu nadzorczego, aby ten skorzystał z właściwych uprawnień naprawczych, o których mowa w art. 58 ust. 2 RODO, w tym przede wszystkim poprzez zobowiązanie osób bezprawnie przetwarzających dane osobowe skarżącego, aby całkowicie zaprzestały przetwarzania tych danych osobowych oraz wywiązały się z obowiązku informacyjnego. Zdaniem Sądu związanie rygorami procedury administracyjnej oznacza, że Prezes UODO jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego Państwa (art. 8 § 1 Kpa.) i w tej sytuacji, Prezes UODO, uwzględniając powyższą zasadę, zobowiązany był dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń skarżącego, uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes skarżącego. Prezes UODO, rozpatrując skargę skarżącego, zobowiązany był dokonać bez zbędnej zwłoki oceny, czy w sprawie doszło w ogóle do przetwarzania danych osobowych i czy było ono zgodne z prawem, przy jednoczesnym uwzględnieniu okoliczności przetwarzania tych danych, jeśli miało ono miejsce, a także przy uwzględnieniu całokształtu zgromadzonego w sprawie materiału dowodowego oraz w kontekście odpowiednio zastosowanych przepisów prawa, w tym przede wszystkim przepisów RODO, dokonać oceny, czy zachodzi jakakolwiek podstawa prawna do nakazania podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów RODO i w konsekwencji do uwzględniania skargi poprzez zobowiązanie tego podmiotu do zaprzestania ich przetwarzania i/lub podjęcia innych stosownych czynności dotyczących danych wskazanej wyżej osoby fizycznej. W związku z oddaleniem przez Naczelny Sąd Administracyjny wyrokiem z 24 listopada 2023 r. o sygn. III OSK 6844/21 skargi kasacyjnej wniesionej przez Prezesa UODO od ww. wyroku Sądu, wyrok ten uprawomocnił się. W konsekwencji, Prezes UODO pismem z [...] grudnia 2023 r. zwrócił się do skarżącego o wskazanie m.in. jakich konkretnie informacji oczekuje w niniejszej sprawie od Wójta, Przewodniczącego i Zakładu oraz jakie konkretnie jego dane osobowe mięliby usunąć lub zaprzestać ich przetwarzania Wójt, Przewodniczący i Zakład. W odpowiedzi na powyższe pismo skarżący zwrócił się z prośbą o odpowiedź, dlaczego ww. działali z naruszeniem prawa. W kwestii wskazania, jakie konkretnie jego dane osobowe mięliby usunąć lub zaprzestać ich przetwarzania Wójt, Przewodniczący i Zakład, skarżący podniósł "Zaprzestanie przetwarzania danych osobowych bez kl informacyjnej! /adres, nazwisko i imię/". Jak ustalono, [...] maja 2019 r. w Urzędzie Gminy [...] odbyło się spotkanie ze skarżącym. Poruszane były sprawy nadpłaty podatku, odszkodowania za szkodę związaną z uszkodzeniem okna oraz wież telefonii komórkowej. Ze spotkania nie sporządzono protokół. W trakcie spotkania skarżący skierował do Wójta, Przewodniczącego i Kierownika Zakładu pytanie, dlaczego nie otrzymał od nich klauzuli informacyjnej. Wójt w okresie od [...] maja 2018 r. do [...] maja 2019 r. pozyskał dane osobowe skarżącego od niego samego w wyniku składania pism w Urzędzie Gminy [...] Te pisma to m.in.: - pismo z [...] sierpnia 2018 r. stanowiące skierowaną do Wójta skargę na działanie Kierownika Zakładu, - skarga z [...] października 2018 r. na niewycięcie trawy w rowie przy ul. [...] oraz na niewyczyszczenie studzienek przepustowych oraz otworów spustowych przy tej ulicy, - wniosek z [...] lutego 2019 r. o zwrot nadpłaty podatku od nieruchomości za lata 2014-2015, - pismo z [...] kwietnia 2019 r., stanowiące odpowiedź na pismo Wójta z [...] marca 2019 r., - pismo z [...] kwietnia 2019 r. zatytułowane "Wezwanie przedprocesowe", dotyczące niezałatwienia sprawy zwrotu nadpłaty podatku od nieruchomości za lata 2014-2015. Wójt dane osobowe skarżącego pozyskane w okresie od [...] maja 2018 r. do [...] maja 2019 r. przetwarzał w celu rozpatrzenia skargi lub wniosku złożonego przez skarżącego, na podstawie przepisów działu VIII Kpa. Aktualnie te dane osobowe są przetwarzane przez Wójta w celach archiwalnych. Pisma, które skarżący wnosił do Wójta, zostały zarejestrowane z symbolami klasyfikacyjnymi 1510 - kategoria archiwalna A, 1511 - kategoria archiwalna BE5, 3120 - kategoria archiwalna B10. Wójt wyjaśnił m.in., że wszystkie informacje dotyczące przetwarzania danych osobowych udostępniono skarżącemu w jasny, przejrzysty i zrozumiały sposób w trakcie składanych przez niego wniosków do urzędu gminy Rada w okresie od [...] maja 2018 r. do [...] maja 2019 r. pozyskała dane osobowe skarżącego zawarte w pismach i skargach złożonych przez skarżącego. Te pisma i skargi to m.in.: - skarga z [...] października 2018 r. na działania Wójta, - pismo z [...] grudnia 2018 r., stanowiące odpowiedź na pismo Przewodniczącego i zawierające informację, że skarżący popiera w całości swoją skargę w tej sprawie, - skarga z [...] lutego 2019 r. na działanie Rady, - skarga z [...] marca 2019 r. na działanie Wójta, - pismo z [...] marca 2019 r., zatytułowane "Wezwanie przedprocesowe", dotyczące tego, że Przewodniczący "nie wykazał (...), że były pomówienia i impertynencje dotyczące Kierownika Zakładu Wodociągów i Kanalizacji w [...]", - pismo z [...] marca 2019 r. dotyczące pisma Przewodniczącego z [...] marca 2019 r., zawierające prośbę o wyznaczenie nowego terminu w sprawie, - skarga z [...] kwietnia 2019 r. na działanie Przewodniczącego, - pismo z [...] kwietnia 2019 r. do Przewodniczącego, zawierające prośbę o obecność na spotkaniu ze skarżącym również m.in. Wójta i Sekretarza Urzędu. Aktualnie dane osobowe skarżącego pozyskane przez Radę w okresie od [...] maja 2018 r. do [...] maja 2019 r. są przetwarzane przez Wójta w celach archiwalnych. Pisma, które skarżący wnosił do Rady zarejestrowano z symbolami klasyfikacyjnymi 0004 i 1510, a akta spraw, w których znajdują się dane osobowe skarżącego posiadają kategorię archiwalną A. Przewodniczący wyjaśnił również, że "Pisma i skargi kierowane do Przewodniczącego Rady Gminy lub Rady Gminy [...] są rejestrowane w punkcie kancelaryjnym urzędu. Tam pracownik bezpośrednio po przyjęciu pisma informuje nadawcę o przetwarzaniu jego danych osobowych wskazując, że szczegółowe informacje zawarte są w klauzuli informacyjnej, która znajduje się m.in. w sekretariacie urzędu jak również na tablicy informacyjnej, z którą należy się z nią zapoznać."; Zakład w okresie od [...] maja 2018 r. do [...] maja 2019 r. nie pozyskał danych osobowych skarżącego. Aktualnie Zakład przetwarza dane osobowe skarżącego pozyskane przed dniem [...] maja 2018 r. na podstawie art. 6 ust. 1 ustawy o zbiorowym zaopatrzeniu w wodę i zbiorowym odprowadzaniu ścieków. Dane osobowe skarżącego pozyskane przed dniem v maja 2018 r. przetwarzane są przez Zakład w programach "Księgowość zobowiązań", "Rejestr VAT", "Woda" w celu rozliczania należności za zużycie wody. Dane osobowe skarżącego pozyskano z umowy o dostarczanie wody z wodociągu, zawartej [...] listopada 2012 r. pomiędzy skarżącym a Zakładem. Skarżący wyjaśnił, że nie otrzymał w trakcie składania od [...] maja 2018 r. wniosków do Urzędu Gminy informacji odnośnie do przetwarzania jego danych osobowych przez Wójta. Nie otrzymał w momencie składania od [...] maja 2018 r. wniosków lub skarg do Przewodniczącego lub Rady informacji odnośnie do przetwarzania jego danych osobowych przez Przewodniczącego lub Radę. Nie zapoznał się z treścią klauzuli informacyjnej znajdującej się na stronie internetowej Gminy w zakładce "Ochrona danych osobowych", w Biuletynie Informacji Publicznej Urzędu Gminy w zakładce "Ochrona danych osobowych", wyłożonej na stolikach dla interesantów w Urzędzie Gminy i w Biurze Rady oraz wywieszonej na tablicach ogłoszeń w Urzędzie Gminy. Nie zapoznał się z treścią klauzuli informacyjnej znajdującej się na stronie internetowej Zakładu w zakładce "Ochrona danych osobowych" oraz na tablicy informacyjnej Zakładu. Skarżący nie zwracał się do Wójta, Rady i Zakładu z wnioskami o: - usunięcie danych osobowych skarżącego lub zaprzestanie przetwarzania tych danych osobowych, - przekazanie skarżącemu informacji odnośnie do przetwarzania jego danych osobowych, - dostarczenie skarżącemu kopii jego danych osobowych podlegających przetwarzaniu. W uzasadnieniu powołanej na wstępie decyzji wyjaśniono m.in., że skarżący w treści skargi zarzuca Przewodniczącemu dopuszczenie się nieprawidłowości w procesie przetwarzania danych osobowych, niemniej to Rada, a nie Przewodniczący jest stroną niniejszego postępowania. Wynika to z faktu, że rada gminy a nie jej przewodniczący jest administratorem w rozumieniu art. 4 pkt 7 RODO. Dane osobowe w każdym przypadku muszą być przetwarzane przez administratora zgodnie z zasadami określonymi w art. 5 RODO, w tym m.in. z tzw. zasadą legalności (art. 5 ust. 1 lit. a RODO). Stanowi ona, że dane osobowe muszą być przetwarzane przez administratora zgodnie z prawem, tj. na podstawie przynajmniej jednej z przesłanek określonych w art. 6 ust. 1 RODO. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Wobec dopuszczalności przetwarzania przez Wójta danych osobowych skarżącego pozyskanych od 25 maja 2018 r. do dnia wystosowania przez niego skargi do Prezesa UODO, wskazano, że te dane osobowe to dane osobowe zawarte w pismach skarżącego składanych przez niego w Urzędzie Gminy. Przedmiotem tych pism były m.in. kwestie nieprawidłowości w działaniu Kierownika Zakładu, nienależytej dbałości o urządzenia melioracyjne oraz niezwrócenia nadpłaty podatku od nieruchomości za lata 2014-2015. Z wyjaśnień złożonych w sprawie przez Wójta wynika, że ww. pisma skarżącego były rozpatrywane na podstawie przepisów działu VIII Kpa. Dział VIII Kpa. normuje zaś postępowanie w sprawie skarg i wniosków przed organami państwowymi, organami jednostek samorządu terytorialnego oraz przed organami organizacji społecznych. Przetwarzanie przez ww. okresy danych osobowych skarżącego zawartych w jego pismach wnoszonych do Wójta w okresie, którego dotyczy niniejsze postępowanie – jako niezbędne dla wypełnienia obowiązku prawnego ciążącego na Wójcie – znajduje, w ocenie Prezesa UODO, oparcie w przytoczonym wcześniej art. 6 ust. 1 lit. c RODO. Do powyższej konkluzji organ doszedł po analizie art. 5 ust. 1 ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz.U. z 2020 r. poz. 164 ze zm.; dalej "ustawa o zasobie"). Brak jest wobec tego podstaw do stwierdzenia w danym zakresie przez Prezesa UODO naruszenia przez Wójta przepisów o ochronie danych osobowych. W związku z niestwierdzeniem takiego naruszenia brak jest zaś podstaw do skorzystania przez Prezesa UODO z uprawnień naprawczych, o których mowa w art. 58 ust. 2 RODO i wydania decyzji administracyjnej nakazującej przywrócenie stanu zgodnego z prawem w tym zakresie. W kwestii dopuszczalności przetwarzania przez Radę danych osobowych skarżącego pozyskanych od [...] maja 2018 r. do dnia wystosowania przez niego skargi do Prezesa UODO, wskazano w szczególności, że te dane osobowe są zawarte w skargach skarżącego na działania Wójta i Rady oraz pismach kierowanych przez skarżącego do Przewodniczącego. Zważywszy zaś na wynikający z przepisów art. 5 ust. 1 i art. 6 ust. 1 pkt 2 ustawy o zasobie oraz art. 254 Kpa. obowiązek przyjęcia, ewidencjonowania i przechowywania dokumentacji składanej do organów jednostek samorządu terytorialnego, a w szczególności skarg i wniosków, fakt, iż akta spraw, w których znajdują się ww. dane osobowe skarżącego posiadają kategorię archiwalną A, oznacza to konieczność przechowywania jej przez 25 lat, do czasu przekazania do archiwum państwowego. Przetwarzanie tych danych osobowych skarżącego jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, a zatem znajduje oparcie w przytoczonym wcześniej art. 6 ust. 1 lit. c RODO. Odnosząc się do kwestii dopuszczalności przetwarzania przez Zakład danych osobowych skarżącego pozyskanych pomiędzy [...] maja 2018 r. a dniem wystosowania przez niego skargi do Prezesa UODO, wskazano m.in., że Zakład wyjaśnił, iż dane osobowe skarżącego pozyskał przed [...] maja 2018 r. z umowy o dostarczanie wody, zawartej pomiędzy skarżącym a Zakładem, oraz że w okresie od [...] maja 2018 r. do [...] maja 2019 r. nie pozyskał danych osobowych skarżącego. Prezes UODO, jako organ administracji publicznej, przeprowadzając postępowanie w oparciu o przepisy Kpa. ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona. Dowodami w postępowaniu mogą być w szczególności dokumenty, zeznania świadków, opinie biegłych oraz oględziny (art. 75 § 1 Kpa.). Z kolei zgodnie z zasadą prawdy obiektywnej, wyrażoną w art. 7 Kpa., w toku postępowania organy administracji publicznej stoją na straży praworządności i podejmują wszelkie kroki niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. Zdaniem organu przeprowadzone w niniejszej sprawie postępowanie nie potwierdziło, aby doszło do kwestionowanego przez skarżącego przetwarzania przez Zakład jego danych osobowych pozyskanych od [...] maja 2018 r. do [...] maja 2019 r. Zakład wyjaśnił, że w podanym okresie nie pozyskał danych osobowych skarżącego. Skarżący zaś poza swymi zarzutami nie przedstawił żadnych dowodów potwierdzających, że doszło do takiego pozyskania jego danych osobowych przez Zakład. Podzielając powyższe rozważania oraz mając na względzie ustalone okoliczności sprawy, stwierdzono, że w sprawie brak jest dowodów, które potwierdzałyby zarzut skarżącego dotyczący kwestionowanego przez niego przetwarzania jego danych osobowych przez Zakład. Nie można tym samym stwierdzić, że proces ten zaistniał, wobec czego w tym zakresie niniejsze postępowanie jest bezprzedmiotowe i w związku z tym podlega umorzeniu na podstawie art. 105 § 1 Kpa.. Odnosząc się do kwestii niezrealizowania przez Wójta w stosunku do skarżącego obowiązków informacyjnych, wskazano m.in., że w tym zakresie nie będą miały zastosowania przepisy art. 14 RODO dotyczące informacji podawanych w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą. Zebrany w sprawie materiał dowodowy wskazuje bowiem, że Wójt pozyskał dane osobowe skarżącego bezpośrednio od niego. Ponadto, zastosowania w tej kwestii nie będą miały przepisy art. 15 RODO dotyczące informacji przekazywanych przez administratora na żądanie osoby, której dane dotyczą. Skarżący – co jednoznacznie wynika z wyjaśnień złożonych w sprawie przez Wójta i skarżącego – nie zwracał się bowiem do Wójta o przekazanie skarżącemu informacji odnośnie do przetwarzania jego danych osobowych lub o dostarczenie kopii jego danych osobowych podlegających przetwarzaniu. W niniejszej sprawie realizację przez Wójta w stosunku do skarżącego obowiązku informacyjnego należy zatem rozpatrywać przez pryzmat przepisów art. 13 RODO, dotyczących informacji podawanych w przypadku zbierania danych od osoby, której dane dotyczą. Jak bowiem już wcześniej wspomniano Wójt pozyskał dane osobowe skarżącego bezpośrednio od niego. Mając na uwadze, że Wójt przetwarzał dane osobowe skarżącego pozyskane w okresie objętym niniejszym postępowaniem pierwotnie w celu rozpatrzenia skargi lub wniosku składanego przez skarżącego, na podstawie przepisów działu VIII Kpa., Prezes UODO wskazał, że art. 226a Kpa. należy rozumieć jako przepis przenoszący co do zasady moment realizacji obowiązku informacyjnego określonego w art. 13 ust. 1 i 2 RODO z chwili pozyskania danych osobowych przez organ (czyli chwili złożenia przez osobę, której dane dotyczą, pisma w siedzibie organu albo chwili wpływu takiego pisma w inny sposób) na chwilę przesłania przez organ pierwszego pisma w sprawie do osoby, której dane dotyczą. Na takie znaczenie tego przepisu i pozostałych przepisów Kpa. regulujących moment wypełnienia obowiązku informacyjnego określonego w art. 13 ust. 1 i 2 Kpa. (np. art. 54 § 1a, art. 61 § 5, art. 65 § 1a, art. 122h § 2 i art. 231 § 2 Kpa.) wskazuje uzasadnienie do projektu ustawy, którą te przepisy zostały wprowadzone do Kpa., czyli ustawy z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania RODO. Z punktu widzenia realizacji obowiązku informacyjnego określonego w art. 13 ust. 1 i 2 RODO, skuteczne jest również przekazanie informacji określonych w danym przepisie wcześniej niż w momencie skierowania przez organ pierwszego pisma do osoby, której dane dotyczą, tj. np. na etapie pozyskiwania danych osobowych. W przypadku takiego wcześniejszego przekazania osobie, której dane dotyczą, informacji wymaganych przez art. 13 ust. 1 i 2 RODO, później obowiązek informacyjny wynikający z tych przepisów jest wyłączony na mocy art. 13 ust. 4 RODO, a zatem nie ma potrzeby ponownego przekazywania tych informacji w pierwszym piśmie w sprawie do osoby, której dane dotyczą. Jak wskazuje doktryna, "Podanie osobie, której dane dotyczą, określonych w art. 13 informacji jest obligatoryjne, jednak obowiązek ten nie ma charakteru bezwzględnego. Komentowany przepis w ust. 4 przewiduje zwolnienie z obowiązku przekazania informacji, gdy podmiot danych już nimi dysponuje. Do skutecznego powołania się na tę przesłankę nie jest wystarczające subiektywne przekonanie administratora czy nawet uprawdopodobnienie zaistnienia tej okoliczności. To, że podmiot danych dysponuje określonymi informacjami, musi stanowić fakt." (J. Łuczak [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, D. Lubasz, Warszawa 2018, art. 13). Mając na uwadze, że Wójt w złożonych w sprawie wyjaśnieniach powołuje się na to, iż na tablicy informacyjnej oraz w sekretariacie znajdują się w widocznym miejscu klauzule informacyjne, zdaniem Prezesa UODO, Kpa. jedynie w przypadku spraw załatwianych milcząco dopuszcza spełnienie obowiązku informacyjnego określonego w art. 13 ust. 1 i 2 RODO ograniczone do udostępnienia informacji, o których mowa w ww. przepisach, w Biuletynie Informacji Publicznej organu, na jego stronie internetowej i w widocznym miejscu w siedzibie organu (art. 122h § 1 Kpa.). Na potrzebę podejmowania przez administratora aktywnych działań w celu przekazania osobie, której dane dotyczą, informacji wymaganych w art. 13 RODO, wskazują również zatwierdzone przez Europejską Radę Ochrony Danych, a opracowane przez Grupę Roboczą Art. 29 "Wytyczne w sprawie przejrzystości na podstawie rozporządzenia 2016/679". W punkcie 33 tych wytycznych stwierdzono, że "Zarówno w art. 13, jak i w art. 14 przewidziano obowiązek, zgodnie z którym administrator danych "podaje jej [osobie, której dane dotyczą] wszystkie następujące informacje (...)". Słowo "podaje" ma tutaj kluczowe znaczenie. Oznacza ono, że administrator danych musi czynnie podjąć działania w celu udzielenia osobie, której dane dotyczą, przedmiotowych informacji lub czynnie skierować ją do miejsca, w którym znajdują się te informacje (np. podając bezpośredni link, zachęcając do skorzystania z kodu QR itd.). Osoba, której dane dotyczą, nie powinna być zmuszona do czynnego szukania informacji, o których mowa we wspomnianych artykułach, wśród innych informacji, takich jak regulamin korzystania ze strony internetowej lub z aplikacji.". W ocenie organu wyjaśnienia złożone przez Wójta sugerują, że w przypadku skarżącego miało następować czynne skierowanie go do miejsca, w którym znajdują się informacje określone w art. 13 ust. 1 i 2 RODO, a zatem że obowiązek informacyjny został spełniony w sposób uznany za prawidłowy w przytoczonych powyżej wytycznych Grupy Roboczej Art. 29. Wójt wskazał bowiem, że skarżący był informowany o klauzuli informacyjnej oraz o zmianie przepisów RODO podczas osobistego składania pism do urzędu, oraz że zaraz po wejściu w życie nowych przepisów skarżący odmówił podpisu, informując pracownika sekretariatu, że nie ma takiego obowiązku. Te wyjaśnienia Wójta zdają się znajdować potwierdzenie również w wyjaśnieniach Przewodniczącego, który odnośnie do składania pism w punkcie kancelaryjnym urzędu gminy obsługującym Wójta i Radę stwierdził, że "Tam pracownik bezpośrednio po przyjęciu pisma informuje nadawcę o przetwarzaniu jego danych osobowych wskazując, że szczegółowe informacje zawarte są w klauzuli informacyjnej, która znajduje się m.in. w sekretariacie urzędu jak również na tablicy informacyjnej, z którą należy się z nią zapoznać.". Jednakże w niniejszej sprawie skarżący zaprzeczył, aby otrzymał w trakcie składania od [...] maja 2018 r. wniosków do Urzędu Gminy informacje odnośnie do przetwarzania jego danych osobowych przez Wójta. Wójt zaś nie jest w stanie – pomimo obowiązku określonego w art. 5 ust. 2 RODO – wykazać, że skarżącemu podczas składania pism w urzędzie gminy w okresie, którego dotyczy niniejsze postępowanie, została wskazana właściwa klauzula informacyjna zawierająca informacje określone w art. 13 ust. 1 i 2 RODO, i – co również jest istotne – jaka była treść tej klauzuli. Wobec tego brak jest w niniejszej sprawie podstaw do przyjęcia, że Wójt w stosunku do skarżącego w momencie pozyskania danych osobowych pomiędzy [...] maja 2018 r. a dniem wystosowania przez skarżącego skargi do Prezesa UODO prawidłowo wypełnił obowiązek informacyjny określony w art. 13 ust. 1 i 2 RODO. Wobec powyższego brak jest również podstaw do przyjęcia, że w chwili kierowania przez Wójta do skarżącego pierwszych pism w sprawach, których dotyczyły pisma składane przez skarżącego do Wójta, Wójt był zwolniony, na mocy art. 13 ust. 4 RODO, z realizacji obowiązku informacyjnego określonego w art. 13 ust. 1 i 2 RODO. W konsekwencji zachodzi konieczność nakazania Wójtowi dopełnienia obowiązku podania skarżącemu informacji określonych w art. 13 ust. 1 i 2 odnośnie do przetwarzania jego danych osobowych pozyskanych przez Wójta w okresie, którego dotyczy niniejsze postępowanie. Wydanie takiego nakazu wynika z treści art. 58 ust. 2 lit. d RODO, przewidującego możliwość nakazania administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazania sposobu i terminu. Zgodnie z art. 58 ust. 2 lit. i RODO w zakresie uprawnień przysługujących Prezesowi UODO znajduje się nakładanie administracyjnych kar pieniężnych, jednakże organ nie podejmuje tego rodzaju działań na żądanie osoby składającej skargę. Celem korzystania przez Prezesa UODO z uprawnień naprawczych jest przywrócenie stanu zgodnego z prawem i zapewnienie egzekwowania przepisów o ochronie danych osobowych. Podkreślono, że przepisy RODO nie dają osobom, których dane dotyczą, prawa do żądania nałożenia administracyjnej kary pieniężnej. Odnosząc się zaś do zawartej w piśmie skarżącego z [...] grudnia 2023 r. informacji, że oczekuje on w niniejszej sprawie m.in. od Wójta wskazania dlaczego działał z naruszeniem prawa, podkreślono, że przepisy art. 58 ust. 2 RODO nie dają Prezesowi UODO uprawnienia do nakazania administratorowi wyjaśnienia osobie, której dane dotyczą, przyczyn uchybień w realizacji w stosunku do tej osoby obowiązku informacyjnego określonego w art. 13 ust. 1 i 2 RODO. Wobec kwestii niezrealizowania w stosunku do skarżącego obowiązków informacyjnych przez Radę, wskazano, że również w tym zakresie nie będą miały zastosowania przepisy art. 14 RODO dotyczące informacji podawanych w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą. Zebrany w sprawie materiał dowodowy wskazuje bowiem, że Rada pozyskała dane osobowe skarżącego bezpośrednio od niego. Ponadto, zastosowania w tej kwestii nie będą miały przepisy art. 15 RODO dotyczące informacji przekazywanych przez administratora na żądanie osoby, której dane dotyczą. Skarżący – co jednoznacznie wynika z wyjaśnień złożonych w sprawie przez Przewodniczącego i skarżącego – nie zwracał się bowiem do Rady o przekazanie mu informacji odnośnie do przetwarzania jego danych osobowych lub o dostarczenie kopii jego danych osobowych podlegających przetwarzaniu. Zatem również realizację w stosunku do skarżącego obowiązku informacyjnego przez Radę należy rozpatrywać przez pryzmat przepisów art. 13 RODO, dotyczących informacji podawanych w przypadku zbierania danych od osoby, której dane dotyczą. Jak bowiem już wcześniej wspomniano, Rada też pozyskała dane osobowe skarżącego bezpośrednio od niego. Odnośnie do kwestii niezrealizowania w stosunku do skarżącego obowiązków informacyjnych przez Zakład, wskazano, że zastosowania w tym zakresie nie będą miały przepisy art. 15 RODO, dotyczące informacji przekazywanych przez administratora na żądanie osoby, której dane dotyczą. Skarżący – co wynika z wyjaśnień złożonych w sprawie przez Zakład i skarżącego – nie zwracał się bowiem do Zakładu o przekazanie mu informacji odnośnie do przetwarzania jego danych osobowych lub o dostarczenie kopii jego danych osobowych podlegających przetwarzaniu. Co do realizacji przez Zakład w stosunku do skarżącego obowiązków informacyjnych określonych w art. 13 i art. 14 RODO, zauważono, że obowiązki informacyjne, o których mowa w tych przepisach, ciążą na administratorze w przypadku zbierania danych osobowych osoby, której dane dotyczą. Tym samym obowiązki te powstają dopiero wówczas, gdy dochodzi do przetwarzania danych osobowych, tj. ich zbierania, zaś w niniejszym postępowaniu materiał dowodowy nie potwierdził, by w okresie, którego dotyczy postępowanie, ww. proces przetwarzania zaistniał. Jak bowiem wskazano już wcześniej, Zakład wyjaśnił, że dane osobowe skarżącego pozyskał przed [...] maja 2018 r. z umowy o dostarczanie wody, zawartej pomiędzy skarżącym a Zakładem, oraz że w okresie od [...] maja 2018 r. do [...] maja 2019 r. nie pozyskał danych osobowych skarżącego. Powyższe powoduje, że niniejsze postępowanie również w zakresie obejmującym kwestię niezrealizowania przez Zakład w stosunku do skarżącego ww. obowiązków informacyjnych, podlega umorzeniu na podstawie art. 105 § 1 Kpa. jako bezprzedmiotowe. Przeprowadzone postępowanie nie wykazało bowiem, aby Zakład przetwarzał dane osobowe skarżącego pozyskane w okresie, którego dotyczy skarga wniesiona przez niego do Prezesa UODO, tym samym by powstały po stronie Zakładu obowiązki informacyjne, o których mowa w art. 13 i art. 14 RODO. Skarżący, w sporządzonej osobiście skardze, skierowanej do Wojewódzkiego Sądu Administracyjnego w Warszawie, podniósł: "Nie byłem informowany przez Wójta Gminy, Przewodniczącego Rady, oraz Kierownika Zakładu Wody: (zostały wymyślone na potrzeby tej sprawy. A na tablicy informacyjnej oraz w sekretariacie nie były w widocznym miejscu klauzule informacyjne. Nie mogłem się z tym zapoznać oraz o zmianie przepisów RODO - brak zdjęć Wójta oraz innych osób, że tak było! Od sekretarki niczego nie otrzymałem - brak sporządzenia na tę okoliczność notatki służbowej w obecności mojej osoby oraz innych np. Sekretarz Urzędu, i pod odpowiedzialnością karną. I dlatego to wszystko można wyjaśnić w sądzie z udziałem mojego adwokata oraz świadków. (...) Dalej!. Zbyt szybko organ wydał Decyzję - jak były rozbieżności. Ponadto są informacje w uzasadnieniu naruszają moje dobra np. dziecko itp. To organy mają mi służyć w moich sprawach. A tego nie ma. Narusza to i jest obrazą przepisów RODO i Konstytucji RP.". Skarżący wniósł o zmianę lub uchylenie zaskarżonej decyzji w całości. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie jako bezzasadnej. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz.U. z 2024 r. poz. 1267), sądy administracyjne kontrolują działalność administracji publicznej pod względem zgodności z prawem. Z tego też powodu w postępowaniu sądowym nie mogą być brane pod uwagę argumenty natury słusznościowej czy celowościowej. Badana jest wyłącznie legalność aktu administracyjnego, czyli prawidłowość zastosowania przepisów prawa do zaistniałego stanu faktycznego, trafność wykładni tych przepisów oraz prawidłowość zastosowania przyjętej procedury. Stosownie do art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2024 r. poz. 935 ze zm.; dalej p.p.s.a.), sąd rozstrzyga w granicach danej sprawy, nie będąc związany zarzutami i wnioskami skargi oraz wskazaną podstawą prawną, z zastrzeżeniem art. 57a. Na zasadzie art. 145 § 1 pkt 1 p.p.s.a., uwzględnienie skargi na decyzję następuje w przypadku naruszenia prawa materialnego, które miało wpływ na wynik sprawy (lit. a), naruszenia prawa dającego podstawę do wznowienia postępowania administracyjnego (lit. b) lub innego naruszenia przepisów postępowania, jeżeli mogło ono mieć istotny wpływ na wynik sprawy (lit. c). Przeprowadzona przez Sąd, w granicach tak określonej kognicji, kontrola legalności zaskarżonej decyzji w zakresie wskazanym w skardze, wykazała, że została ona wydana bez naruszenia przepisów prawa procesowego i materialnego. Na wstępie wskazać należy, że w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO) zostały zawarte przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych oraz przepisy o swobodnym przepływie danych osobowych. Celem rozporządzenia jest doprowadzenie do pełnej harmonizacji prawa w ramach UE i swobodnego przepływu danych osobowych. W założeniu ma to pozwolić mieszkańcom Unii Europejskiej na lepszą kontrolę ich danych osobowych. Rozporządzenie przyjęto 27 kwietnia 2016 r. W momencie wejścia w życie (od dnia [...] maja 2018 r.), po dwuletnim okresie przejściowym, zaczęło obowiązywać w krajach członkowskich Unii Europejskiej bezpośrednio, bez potrzeby wydawania aktów prawnych wdrażających je do porządku krajowego. Zgodnie z art. 4 pkt 1, 2, 7 i 8 RODO, "dane osobowe" oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"). Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. "Przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. "Administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. "Podmiot przetwarzający" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. Przepisem legalizującym przetwarzanie danych osób fizycznych przez administratora jest obecnie art. 6 RODO, który wypełnia podstawy prawne przetwarzania danych osobowych. Zgodnie z nim przetwarzanie danych osobowych jest zgodne z prawem, gdy spełniona jest co najmniej jedna z wymienionych przesłanek: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Przenosząc powyższe na grunt niniejszej sprawy należy uznać jako prawidłową ocenę organu, że zarówno w stosunku do Wójta, jak i Rady, istniała podstawa prawna legitymizująca przetwarzanie danych osobowych skarżącego w zakresie wskazanym w decyzji. Jak trafnie przyjął Prezes UODO przepisem uprawniającym Wójta do przetwarzania danych osobowych skarżącego – niezbędnego dla wypełnienia ciążącego na Wójcie obowiązku prawnego – jest art. 6 ust. 1 lit. c RODO. Analogicznie oceniono uprawnienie do przetwarzania danych osobowych skarżącego przez Radę (art. 6 ust. 1 lit. c RODO). Przywołano na tę okoliczność m.in. przepisy art. 5 ust. 1 i art. 6 ust. 1 pkt 2 ustawy o zasobie oraz art. 254 Kpa. i zwrócono uwagę na obowiązek przyjęcia, ewidencjonowania i przechowywania dokumentacji składanej do organów jednostek samorządu terytorialnego, w szczególności skarg i wniosków. Wskazano też na akta spraw, w których znajdują się dane osobowe skarżącego, posiadające określoną kategorię archiwalną, co oznacza konieczność przechowywania jej przez 25 lat, do czasu przekazania do archiwum państwowego. Z kolei wobec kwestionowanego przez skarżącego przetwarzania jego danych osobowych przez Zakład, wyjaśniono, że w sprawie brak jest dowodów, które potwierdzałyby zarzut w danym zakresie. Nie można było stwierdzić, że proces ten zaistniał, skoro w okresie od [...] maja 2018 r. do [...] maja 2019 r. Zakład nie pozyskał tych danych. Dane pozyskano przed dniem [...] maja 2018 r. i przetwarzano je w programach "Księgowość zobowiązań", "Rejestr VAT", "Woda", w celu rozliczania należności za zużycie wody. Pochodziły one z umowy o dostarczanie wody z wodociągu, zawartej [...] listopada 2012 r. pomiędzy skarżącym a Zakładem i pozyskano je od skarżącego. W konsekwencji Wójt i Rada zobowiązani byli do wypełnienia wobec skarżącego obowiązku informacyjnego wynikającego z art. 13 ust. 1 i 2 RODO, przy czym – jak wynika ze zgromadzonego w sprawie materiału dowodowego – nie byli w stanie wykazać by dopełnili tego obowiązku. Z tego powodu Prezes UODO zasadnie nakazał Wójtowi i Radzie spełnienie wobec skarżącego obowiązku informacyjnego przewidzianego powołanym przepisem. Należy mieć bowiem na uwadze, że art. 13 RODO formułuje na gruncie tego aktu prawnego tzw. obowiązek informacyjny, który aktualizuje się wobec administratora (Wójta i Rady) w przypadku pozyskiwania przez niego danych od podmiotu danych (skarżącego), co miało miejsce w rozpatrywanej sprawie i znalazło potwierdzenie w zgromadzonym materiale dowodowym. Powinność taką statuowały także postanowienia dyrektywy 95/46/WE (art. 10 i 11), jednak aktualnie obowiązujący przepis art. 13 RODO w istotny sposób zmodyfikował zakres informacji, które powinny zostać przekazane podmiotowi danych, znacząco go rozszerzając. Administrator zobowiązany jest w takiej sytuacji podać następujące informacje: swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela (art. 13 ust. 1 lit. a), gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych (art. 13 ust. 1 lit. b), cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania (art. 13 ust. 1 lit. c), jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią (art. 13 ust. 1 lit. d), informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją (art. 13 ust. 1 lit. e), gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii danych lub o miejscu udostępnienia danych (art. 13 ust. 1 lit. f). Co istotne, zarówno sposób pozyskiwania danych, jak i forma ich utrwalenia oraz dalszego przetwarzania pozostają bez wpływu na zakres informacji, które należy przekazać podmiotowi danych. (tak: RODO Ogólne rozporządzenie o ochronie danych Komentarz, redakcja naukowa E. Bielak-Jomaa, Dominik Lubasz, Wolters Kluwer, Warszawa 2018, str. 479). Dodatkowo, zgodnie z przepisem art. 13 ust. 2 RODO, poza informacjami, o których mowa w ust. 1, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania: okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu (art. 13 ust. 1 lit. a), informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych (art. 13 ust. 1 lit. b), jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem (art. 13 ust. 1 lit. c), informacje o prawie wniesienia skargi do organu nadzorczego (art. 13 ust. 1 lit. d), informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych (art. 13 ust. 1 lit. e), informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą (art. 13 ust. 1 lit. f). Prawo podmiotu danych do informacji stanowi jeden z filarów prawa ochrony danych osobowych. Uzyskanie przez osobę, której dane dotyczą, wszystkich określonych w art. 13 RODO informacji ma istotne znaczenia dla urzeczywistnienia idei autonomii informacyjnej jednostki. Należyta realizacja obowiązku informacyjnego warunkuje możliwość samodzielnego decydowania przez podmiot danych o udostępnieniu i zakresie udostępnienia dotyczących go informacji, a także pozwala na sprawowanie faktycznej kontroli nad tym, jakie informacje na jego temat posiadają inne podmioty. Przyznanie osobie, której dane dotyczą, podstawowych informacji o przyznanych jej na gruncie rozporządzenia prawach ma zapewnić skuteczne ich wykonywanie, a także umożliwić weryfikację, czy przetwarzanie odbywa się zgodnie z prawem. Realizacja wobec podmiotu danych obowiązku informacyjnego warunkuje zapewnienie rzetelności i przejrzystości przetwarzania. Z uwagi na powyższe osoba, której dane dotyczą, nie może się skutecznie zrzec czy ograniczyć ani przenieść na inną osobę w wyniku czynności prawnej przysługującego jej prawa do uzyskania informacji. Obowiązek informacyjny wiąże administratora niezależnie od tego, czy podmiot danych dostarcza informacji stanowiących jego dane osobowe z własnej inicjatywy, czy na skutek działań podjętych przez administratora (tak też M. Krzysztofek, Ochrona danych osobowych..., s. 137). Jego realizacja wymaga aktywnego działania po stronie administratora i osób, które go reprezentują, a żadna dodatkowa inicjatywa podmiotu danych nie jest tu konieczna. (vide RODO Ogólne rozporządzenie o ochronie danych Komentarz, redakcja naukowa Edyta Bielak-Jomaa, Dominik Lubasz, Wolters Kluwer, Warszawa 2018, str. 479-480). Sąd podziela pogląd organu, że w zakresie realizacji przez Wójta obowiązku informacyjnego w związku z pozyskiwaniem danych osobowych osób składających skargi i wnioski rozpatrywane w trybie działu VIII Kpa., zastosowanie mają również przepisy Kpa. Art. 2a § 1 Kpa. przewiduje bowiem, że Kpa. normuje sposób wykonywania obowiązku, o którym mowa w art. 13 ust. 1 i 2 RODO w postępowaniach wymienionych w art. 1 i 2. Art. 226a Kpa. stanowi zaś, że organy właściwe w sprawach skarg i wniosków przekazują informacje, o których mowa w art. 13 ust. 1 i 2 RORO, skarżącemu lub wnioskodawcy przy pierwszej czynności skierowanej do tych osób. Wprowadzone w Kpa. przepisy wskazujące na momenty, w których ma nastąpić spełnienie obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 i 2 RODO, uwzględniają specyfikę działań organów oraz styczność tych organów ze stronami postępowania przy okazji prowadzenia postępowania administracyjnego. Pozwoli to na zrealizowanie celów RODO, a jednocześnie nie będzie wiązało się z dodatkowymi obowiązkami dla organów. Pomimo wskazanego powyżej znaczenia art. 226a Kpa. zauważyć należy, że z punktu widzenia realizacji obowiązku informacyjnego określonego w art. 13 ust. 1 i 2 RODO skuteczne jest również przekazanie informacji określonych w tym przepisie wcześniej niż w momencie skierowania przez organ pierwszego pisma do osoby, której dane dotyczą, tj. np. na etapie pozyskiwania danych osobowych. W przypadku takiego wcześniejszego przekazania osobie, której dane dotyczą, informacji wymaganych przez art. 13 ust. 1 i 2 RODO, później obowiązek informacyjny wynikający z tych przepisów jest wyłączony na mocy art. 13 ust. 4 RODO, a zatem nie ma potrzeby ponownego przekazywania tych informacji w pierwszym piśmie w sprawie do osoby, której dane dotyczą. Jak wskazuje doktryna "Podanie osobie, której dane dotyczą, określonych w art. 13 informacji jest obligatoryjne, jednak obowiązek ten nie ma charakteru bezwzględnego. Komentowany przepis w ust. 4 przewiduje zwolnienie z obowiązku przekazania informacji, gdy podmiot danych już nimi dysponuje. Do skutecznego powołania się na tę przesłankę nie jest wystarczające subiektywne przekonanie administratora czy nawet uprawdopodobnienie zaistnienia tej okoliczności. To, że podmiot danych dysponuje określonymi informacjami, musi stanowić fakt." (tak: J. Łuczak [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, D. Lubasz, Warszawa 2018, art. 13). W rozpatrywanej sprawie tymczasem skarżący zaprzeczył, aby otrzymał w trakcie składnia od 25 maja 2018 r. wniosków do Urzędu Gminy, informacje dotyczące przetwarzania jego danych osobowych przez Wójta. Wójt zaś nie był w stanie – pomimo obowiązku określonego w art. 5 ust. 2 RODO – wykazać, że skarżącemu podczas składania pism w Urzędzie Gminy w spornym okresie, wskazano właściwą klauzulę informacyjną zawierającą informacje określone w art. 13 ust. 1 i 2 RODO i – co również istotne – jaka była treść tej klauzuli. Trudno wobec tego przyjąć, że Wójt był zwolniony na podstawie art. 13 ust. 4 RODO z realizacji obowiązku informacyjnego określonego w art. 13 ust. 1 i 2 RODO. Jak wynika z wyjaśnień Wójta, wprawdzie skarżący był informowany o klauzuli informacyjnej oraz o zmianie przepisów RODO podczas osobistego składania pism w Urzędzie Gminy, przy czym, "(...) odmówił podpisu, informując Panią sekretarkę, że nie ma takiego obowiązku". Podobnie, jak w przypadku Wójta, do Rady – w zakresie realizacji obowiązku informacyjnego – zastosowanie mają poczynione wcześniej rozważania. Skarżący i w tym zakresie zaprzeczył, jakoby otrzymał informacje dotyczące przetwarzania jego danych osobowych przez Przewodniczącego lub Radę. Rada zaś nie była w stanie wykazać, że w spornym okresie, skarżącego podczas składania pism kierowanych do Rady, zapoznano z właściwą klauzulą informacyjną zawierającą informacje z art. 13 ust. 1 i 2 RODO i jaka była jej treść. Co więcej, w klauzulach informacyjnych, mających służyć realizacji przez Radę obowiązku informacyjnego z art. 13 ust. 1 i 2 RODO – ich kopie dołączono do pisma Przewodniczącego z 19 stycznia 2024 r. i stanowią karty 150-152 akt sprawy – jako administratora danych osobowych wskazano Wójta. Wobec tego nie zawierają one informacji o przetwarzaniu danych osobowych przez Radę, będącą w ramach realizacji jej zadań – w szczególności rozpatrywania skarg na działalność Wójta – odrębnym od Wójta administratorem w rozumieniu art. 4 pkt 7 RODO. Zasadnie wobec tego stwierdzono, że Rada w stosunku do skarżącego nie wypełniła obowiązku informacyjnego określonego w art. 13 ust. 1 i 2 RODO, w związku pozyskaniem jego danych osobowych pomiędzy 25 maja 2018 r. a dniem wystosowania przez niego skargi do Prezesa UODO. W konsekwencji zasadnie nakazano Radzie – na podstawie art. 58 ust. 2 lit. d RODO – dopełnienie obowiązku podania skarżącemu informacji określonych w art. 13 ust. 1 i 2 RODO, pozyskanych przez Radę w powołanym okresie. Odnośnie zaś do wypełnienia przez Zakład wobec skarżącego obowiązków informacyjnych zakreślonych danym przepisem, wskazać należy, że obowiązki te ciążą na administratorze w przypadku zbierania danych osobowych osoby, której dane dotyczą. Powstają one dopiero wówczas, gdy dochodzi do przetwarzania danych osobowych, tj. ich zbierania, w niniejszym postępowaniu zaś materiał dowodowy nie potwierdził, by w powołanym okresie, proces przetwarzania zaistniał. Jak bowiem wskazano już wcześniej, Zakład wyjaśnił, że dane osobowe skarżącego pozyskał przed [...] maja 2018 r. z umowy o dostarczanie wody, zawartej pomiędzy skarżącym a Zakładem, oraz że w okresie od [...] maja 2018 r. do [...] maja 2019 r. nie pozyskał danych osobowych skarżącego. Powyższe powoduje, że postępowanie w zakresie obejmującym kwestię niezrealizowania przez Zakład w stosunku do skarżącego obowiązków informacyjnych podlega umorzeniu na podstawie art. 105 § 1 Kpa. jako bezprzedmiotowe. Przeprowadzone postępowanie nie wykazało bowiem, aby Zakład przetwarzał dane osobowe skarżącego pozyskane w okresie, którego dotyczy skarga wniesiona przez niego do Prezesa UODO, tym samym by powstały po stronie Zakładu obowiązki informacyjne, o których mowa w art. 13 i art. 14 RODO. Należy ponadto wyjaśnić, że zgodnie z art. 58 ust. 2 lit. i RODO w zakresie uprawnień przysługujących Prezesowi UODO znajduje się nakładanie administracyjnych kar pieniężnych, jednak organ nie podejmuje tego rodzaju działań na żądanie osoby składającej skargę. Nie mógł zatem odnieść zamierzonego przez skarżącego skutku wniosek o nałożenie kary finansowej na administratorów – Wójta i Radę – w związku ze stwierdzonymi przez nich naruszeniami regulacji obejmujących informowanie podmiotu danych o przetwarzaniu jego danych osobowych. Zdaniem Sądu wydanie zaskarżonej decyzji odbyło się z dochowaniem wymogów wynikających z przepisów art. 7, art. 10 § 1, art. 77 § 1 i art. 80 Kpa. Prezes UODO w niniejszej sprawie uwzględnił bowiem wszystkie dowody, które umożliwiły dowodzenie, a więc pozwoliły organowi na przekonanie się o istnieniu lub nieistnieniu oznaczonych faktów, a tym samym o prawdziwości, względnie nieprawdziwości twierdzeń o tych faktach. Prezes UODO na podstawie prawidłowo ustalonego stanu faktycznego wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy. Ponadto przed wydaniem decyzji administracyjnej umożliwił stronom postępowania, w tym skarżącemu, wypowiedzenie się co do zebranych dowodów i materiałów oraz zgłoszonych żądań. Skarżący o zgromadzeniu materiału dowodowego wystarczającego do wydania decyzji administracyjnej, uprawnieniach przysługujących stronie postępowania na podstawie art. 10 § 1 i art. 73 § 1 Kpa. oraz o siedmiodniowym terminie wyznaczonym na realizację tych uprawnień został poinformowany przez Prezesa UODO pismem z 30 stycznia 2024 r. W tym stanie rzeczy, Sąd na podstawie art. 151 p.p.s.a. orzekł o oddaleniu skargi. ----------------------- 4