II SAB/Go 100/21

Wojewódzki Sąd Administracyjny w Gorzowie Wielkopolskim w składzie następującym: Przewodniczący Sędzia WSA Jacek Jaśkiewicz (spr.) Sędziowie Sędzia WSA Grażyna Staniszewska Asesor WSA Jarosław Piątek po rozpoznaniu na posiedzeniu niejawnym w trybie uproszczonym w dniu 16 czerwca 2021 r. sprawy ze skargi Organizacji [...] na bezczynność Marszałka Województwa w przedmiocie udostępnienia informacji publicznej I. zobowiązuje Marszałka Województwa do załatwienia wniosku Organizacji [...] z dnia [...] r. w terminie 14 dni od dnia otrzymania odpisu prawomocnego wyroku wraz z aktami sprawy, II. stwierdza, że Marszałek Województwa dopuścił się bezczynności, która nie miała miejsca z rażącym naruszeniem prawa, III. zasądza od Marszałka Województwa na rzecz strony skarżącej Organizacji [...] kwotę 100 (sto) złotych tytułem zwrotu kosztów postępowania sądowego. 1. Wnioskiem z dnia [...] marca 2021 r., złożonym za pośrednictwem platformy internetowej ePUAP, Organizacja Międzyzakładowa [...] , zwróciła się do Sekretarza Urzędu Marszałkowskiego Województwa o udostępnienie informacji publicznej – danych dotyczących "incydentów naruszenia bezpieczeństwa informacji, które wystąpiły w Urzędzie Marszałkowskim Województwa w roku 2020" wskazanych w poniższych tabelach: | | |Liczba | |1 |Liczba zgłoszonych stwierdzeń lub podejrzeń naruszenia bezpieczeństwa informacji, o których mowa w punkcie 4.3 a) | | | |procedury Pi 4 systemu zarządzania bezpieczeństwem informacji - zarządzanie zdarzeniami /incydentami obowiązującej | | | |w 2020 r. | | | |W tym: | | | |Liczba zgłoszeń, które zostały uznane za zasadne | | | |Liczba zgłoszeń, które zostały uznane za niezasadne | | | |Liczba zdarzeń | | | |Liczba incydentów | | | |Liczba zdarzeń/incydentów, które spowodowały naruszenie przepisów prawa | | |2 |Wyszczególnienie jakimi sposobami zostały zgłoszone stwierdzenia lub podejrzenia naruszenia bezpieczeństwa | | | |informacji, o których mowa w punkcie 1: | | | |Telefonicznie | | | |Pocztą elektroniczną | | | |Osobiście | | | |Pisemnie | | | |Inne | | |8 |Liczba wszczętych postępowań dyscyplinarnych, o których mowa w punkcie 4.8 procedury Pi 4 systemu zarządzania | | | |bezpieczeństwem informacji - zarządzanie zdarzeniami /incydentami obowiązującej w 2020 r. | | |9 |Kopię rejestru zgłoszonych zdarzeń / incydentów, o której mowa w punkcie 4.9 b) procedury Pi 4 systemu zarządzania | | | |bezpieczeństwem informacji - zarządzanie zdarzeniami / incydentami obowiązującej w 2020 r. | | |10 |Ostatnią analizę wystąpienia zdarzeń i incydentów, o której mowa w punkcie 4.9 c) procedury PI 4 systemu | | | |zarządzania bezpieczeństwem informacji - zarządzanie zdarzeniami /incydentami obowiązującej w 2020 r. | | |11 |Ostatnią analizę, o której mowa w punkcie 4.9 d) procedury PI 4 systemu zarządzania bezpieczeństwem informacji - | | | |zarządzanie zdarzeniami / incydentami obowiązującej w 2020 r. | | 2. Dnia [...] marca 2021 r. za pośrednictwem skrzynki ePUAP, działający w imieniu Marszałka Województwa – pełnomocnik ds. Ochrony Informacji Niejawnych udzielił wnioskującej organizacji związkowej odpowiedzi na wniosek, w której wskazał, że przedmiot zapytania nie stanowi informacji publicznej. W piśmie tym powołał się na art. 5 ust. 1 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (tekst jedn. Dz. U. z 2019 r. poz. 1429 ze zm.; dalej u.d.i.p.) podkreślając, że ujawnienie informacji może mieć negatywny wpływ na poziom bezpieczeństwa danych, a dokumentacja dotycząca obsługi incydentów jest "dokumentem o charakterze wewnętrznym. Na potwierdzenie tego stanowiska powołano dwa orzeczenia sądów administracyjnych. 3. Pismem z dnia [...] kwietnia 20201 r. wnioskująca organizacja związkowa złożyła skargę na bezczynność "Urzędu Marszałkowskiego Województwa [...]" w zakresie rozpatrzenia wniosku o udostępnienie informacji publicznej zarzucając organowi: - naruszenie prawa do informacji publicznej określone w art. 61 Konstytucji R.P. oraz art. 2 ust. 1 u.d.i.p. przez nieuzasadnione nieudostępnienie informacji publicznej, - art. 4 ust. 1 pkt 1 u.d.i.p. przez nieudostępnienie informacji publicznej przez organ do tego zobowiązany; - art. 16 ust. 1 u.d.i.p., gdyż wbrew wymogom określonym w tym przepisie organ nie wydał decyzji, co narusza równocześnie art. 8, 11 oraz 107 k.p.a. (ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego, tekst jedn. Dz. U. z 2020 r., poz. 256 ze zm.). W oparciu o te zarzuty wniesiono o zobowiązanie organu do rozpatrzenia w terminie 14 dni wniosku o udzielenie informacji publicznej przez jej udzielenie, albo wydanie decyzji w sprawie. W ocenie skarżącego wnioskowana informacja ma charakter informacji publicznej. Dotyczy ona bowiem danych statystycznych dotyczących incydentów naruszenia bezpieczeństwa informacji, które wystąpiły w Urzędzie Marszałkowskim Województwa w roku 2020. W skardze podkreślono, że organ jest niekonsekwentny w swojej odpowiedzi, gdyż z jednej strony twierdzi, że wnioskowana informacja nie stanowi informacji publicznej, z drugiej zaś strony powołuje się na art. 5 ust. 1 u.d.i.p. Przepis ten, jak podkreślono, można stosować wyłącznie do informacji, które stanowią informację publiczną, ale która nie może zostać udostępniona z uwagi na ochronę tajemnic ustawowo chronionych lub ochronę informacji niejawnych. Nadto, zdaniem skarżącej organ błędnie powołuje się na orzecznictwo sądów administracyjnych dotyczące wewnętrznych dokumentów (procedur/polityk) dotyczących ochrony danych osobowych. Dokumenty te mają zupełnie odmienny charakter od wnioskowanej informacji. Przytoczony przez organ wyrok sądu dotyczy udostępnienia "polityki bezpieczeństwa" natomiast skarżąca wystąpił do organu z wnioskiem o udostępnienie danych statystycznych dotyczących incydentów naruszenia bezpieczeństwa informacji. Wnioskowana informacja obejmująca dane statystyczne na temat korzystania z wykonywania ustawowych obowiązków m.in. prowadzenia wewnętrznej ewidencji naruszeń ochrony danych osobowych, mieści się w pojęciu informacji publicznej. Związana jest bowiem z realizacją ustawowych zadań organu. Tego rodzaju działalność można odnieść do zasad funkcjonowania oraz trybu działania władzy publicznej (art. 6 ust. 1 pkt 3 lit. a u.d.i.p.), zaś informacje o charakterze statystycznym można pozyskać w oparciu o prowadzone ewidencje, rejestry i archiwa (art. 6 ust. 1 pkt 3 lit. f u.d.i.p.). Dlatego zdaniem skarżącej organ powinien rozpoznać wniosek i udostępnić informację publiczną, albo odmówić jej udostępnienia w drodze decyzji administracyjnej. Skoro organ nie dokonał żadnej z tych czynności, to pozostaje on w bezczynności. 4. W odpowiedzi na skargę organ wniósł o jej oddalenie. W pierwszej kolejności podkreślił, że Urząd Marszałkowski Województwa wskazany przez skarżącą organizację jako organ, który "rzekomo dopuścił się bezczynności", w związku z treścią art. 4 u.d.i.p. nie jest podmiotem zobowiązanym do udostępnienia informacji publicznej. Urząd Marszałkowski Województwa jest wyłącznie aparatem pomocniczym Zarządu Województwa, o czym stanowi art. 45 ust. 1 ustawy z dnia 5 czerwca 1998 r. o samorządzie województwa (tekst jedn. Dz. U. z 2020 r. poz. 1668 ze zm.). Odnosząc się do zarzutów skargi w ocenie organu nie doszło do bezczynności, ponieważ organ ten udzielił skarżącej pismem z dnia [...] marca 2021 r. odpowiedzi na złożony wniosek. Zdaniem organu dane dotyczące wnioskowanych incydentów nie stanowią informacji publicznej. Nie stanowią one też wyłącznie danych statystycznych, bo o ile skarżąca wnioskowała o podanie liczby zgłoszonych stwierdzeń lub podejrzeń naruszenia bezpieczeństwa i liczby wszczętych postępowań dyscyplinarnych (pkt 1 i 8 wniosku o udostępnienie informacji), to wniosła również o wskazanie sposobów, jakimi dokonano zgłoszeń lub podejrzeń naruszeń bezpieczeństwa informacji oraz o kopię rejestru zgłoszonych zdarzeń/incydentów o której mowa w pkt 4.9 b) procedury PI 4 systemu zarządzania bezpieczeństwem informacji - zarządzanie zdarzeniami/incydentami a także o analizy wystąpienia zdarzeń/incydentów (pkt 2, 9-11 wniosku o udostępnienie informacji). Organ podkreślił, że rejestr zdarzeń, o którego kopię wnioskowała skarżąca (pkt 9 wniosku o udostępnienie informacji) zawiera min. opis zdarzenia, podjęte działania oraz wymagane działania korygujące, co oznacza że w rejestrze zawarte są istotne wewnętrzne informacje dotyczące bezpieczeństwa teleinformatycznego organu. Z kolei wnioskowane analizy wystąpienia zdarzeń/incydentów dokonywane są podczas przeglądu systemu zarządzania bezpieczeństwem informacji, który to dokonywany jest raz w roku przez Zespół ds. Bezpieczeństwa Informacji, a dokument z przeglądu jest dokumentem wewnętrznym, dotyczącym istotnych elementów systemu zarządzania bezpieczeństwem informacji (pkt 10 wniosku o udostępnienie informacji). To samo dotyczy analizy, o której mowa w pkt 11 wniosku o udostępnienie informacji, sporządzanej po każdorazowym wystąpieniu zdarzenia/incydentu. W ocenie organu dane statystyczne zaś, o które wnioskowano w pkt 1 i 8 wniosku oraz dane dotyczące kanałów zgłaszania stwierdzenia lub podejrzenia naruszenia bezpieczeństwa informacji, o których mowa w pkt 2 wniosku, nie stanowią nośnika jakichkolwiek informacji publicznych i mają znaczenie wyłącznie dla spraw związanych z bezpieczeństwem teleinformatycznym organu, a zatem jego spraw wewnętrznych. Tym samym, żadna z wyżej wymienionych informacji nie podlega udostępnieniu zgodnie z ustawą o udostępnieniu informacji publicznych, ponieważ żaden z tych dokumentów nie stanowi nośnika informacji publicznej. Informacje ujęte w tych dokumentach mają bowiem charakter wyłącznie wewnętrzny i nie sposób przypisać im jakiegokolwiek waloru oficjalności. Zdanie organu informacje i dokumenty, których dotyczy wniosek nie mogą być nawet uznane za stanowiące etap czy też stadium do wytworzenia informacji publicznej, bowiem w żaden sposób nie prowadzą do wytworzenia finalnej informacji, która mogłaby stanowić informację publiczną. Celem wytworzenia dokumentacji dotyczącej zarządzania zdarzeniami/incydentami jest zapewnienie właściwego sposobu zgłaszania oraz reagowania na zaistniałe lub możliwe do zaistnienia słabości, zdarzenia lub incydenty bezpieczeństwa. Dokumentacja dotycząca zdarzeń/incydentów jest analizowana przez Zespół ds. Bezpieczeństwa i na tej podstawie podejmowane są działania mające na celu odpowiednią ochronę zasobów informacji przetwarzanych przez organ. Wojewódzki Sąd Administracyjny zważył, co następuje: 5. Zgodnie z art. 1 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (tekst jedn. Dz. U. z 2021 r., poz. 137 ze zm.) kontrola sądowa zaskarżonych decyzji, postanowień bądź innych aktów lub czynności wymienionych w art. 3 § 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2019 r., poz. 2325 ze zm.; dalej p.p.s.a.), sprawowana jest w oparciu o kryterium zgodności z prawem. Zgodnie art. 149 § 1 p.p.s.a. sąd, uwzględniając skargę na bezczynność lub przewlekłe prowadzenie postępowania przez organy w sprawach określonych w art. 3 § 2 pkt 1-4 albo na przewlekłe prowadzenie postępowania w sprawach określonych w art. 3 § 2 pkt 4a p.p.s.a.: 1) zobowiązuje organ do wydania w określonym terminie aktu, interpretacji albo do dokonania czynności; 2) zobowiązuje organ do stwierdzenia albo uznania uprawnienia lub obowiązku wynikających z przepisów prawa; 3) stwierdza, że organ dopuścił się bezczynności lub przewlekłego prowadzenia postępowania. Z kolei zgodnie z art. 149 § 1a p.p.s.a. orzekając, że organ dopuścił się bezczynności sąd jednocześnie stwierdza, czy bezczynność organu lub przewlekłe prowadzenie postępowania miały miejsce z rażącym naruszeniem prawa. Z kolei § 1b tego przepisu stanowi, że sąd, w przypadku, o którym mowa w § 1 pkt 1 i 2, może ponadto orzec o istnieniu lub nieistnieniu uprawnienia lub obowiązku, jeżeli pozwala na to charakter sprawy oraz niebudzące uzasadnionych wątpliwości okoliczności jej stanu faktycznego i prawnego. Na podstawie art. 149 § 2 sąd, w przypadku, o którym mowa w § 1, może ponadto orzec z urzędu albo na wniosek strony o wymierzeniu organowi grzywny w wysokości określonej w art. 154 § 6 lub przyznać od organu na rzecz skarżącego sumę pieniężną do wysokości połowy kwoty określonej w art. 154 § 6. 6. Sprawę rozpatrzono na posiedzeniu niejawnym w trybie uproszczonym w oparciu o przepis art. 119 pkt 4 p.p.s.a. 7. W sprawach dostępu do informacji publicznej zakres przedmiotowy wyznacza pojęcie informacji publicznej (art. 1 ust. 1 u.d.i.p.), zaś zakres podmiotowy - wykonywanie zadań publicznych przez adresata wniosku (art. 4 ust. 1 tej ustawy). Zgodnie z art. 4 ust. 1 pkt 5 u.d.i.p. obowiązane do udostępniania informacji publicznej są władze publiczne oraz inne podmioty wykonujące zadania publiczne, w szczególności m.in. podmioty reprezentujące inne osoby lub jednostki organizacyjne, które wykonują zadania publiczne lub dysponują majątkiem publicznym, oraz osoby prawne, w których Skarb Państwa, jednostki samorządu terytorialnego lub samorządu gospodarczego. W rozumieniu powyższego przepisu podmiotem tym jest Marszałek Województwa jako organ reprezentujący podmiot wykonujący zadania publiczne w zakresie polityki bezpieczeństwa i zarazem organ kierujący urzędem marszałkowskim. W tym zakresie zgodzić się należy oczywiście z odpowiedzią na skargę, że organem nie może być "urząd" jako aparat pomocniczy, jednakże w tym przypadku nie jest nim Zarząd Województwa, jak twierdzi się odpowiedzi na skargę, lecz marszałek, który to jest kierownikiem urzędu marszałkowskiego i zarazem organem wydającym również decyzje administracyjne w indywidualnych sprawach z zakresu administracji publicznej, a więc także w sprawach z zakresu dostępu do informacji publicznej, zgodnie z art. 45 ust. 3, art. 46 ust. 1 ustawy z dnia 5 czerwca 1998 r. o samorządzie województwa (por. wyrok NSA z dnia 1 marca 2019 r., I OSK 708/17, CBOSA). Wewnętrzna organizacja i struktura urzędu - Biura Ochrony Informacji i Bezpieczeństwa Publicznego Urzędu Marszałkowskiego Województwa oraz umocowanie Dyrektora tego biura jako pełnomocnika marszałka potwierdza, że jest Marszałek Województwa organem zobowiązanym do udzielenia informacji publicznej w przedmiotowej sprawie. W tym też zakresie sąd dookreślił oznaczenie organu, do czego ma kompetencję (art. 134 § 1 p.p.s.a.). 8. Jeśli chodzi o pojęcie informacji publicznej ma ono szeroki charakter i odnosi się do wszelkich spraw publicznych również wówczas, gdy wiadomość ta nie została wytworzona przez podmioty publiczne, a jedynie odnosi się do nich. Zgodnie z art. 1 ust. 1 u.d.i.p. każda informacja o sprawach publicznych stanowi informację publiczną. Tę definicję doprecyzowuje art. 6 ust. 1 u.d.i.p., który wymienia rodzaje spraw, jakich mogą dotyczyć informacje o charakterze informacji publicznych, czyniąc to w sposób otwarty, czemu służy zwrot "w szczególności". Doktryna oraz orzecznictwo sądowe, w oparciu o ogólną formułę u.d.i.p., a także konstytucyjną konstrukcję prawa do informacji zawartą w art. 61 ust. 1 i 2 Konstytucji RP, przyjmuje szerokie rozumienie pojęcia "informacja publiczna". Za taką uznaje się wszelkie informacje wytworzone przez władze publiczne oraz osoby pełniące funkcje publiczne, a także inne podmioty, które wykonują funkcje publiczne lub gospodarują mieniem publicznym, jak również informacje odnoszące się do wspomnianych władz, osób i innych podmiotów, niezależnie od tego, przez kogo zostały wytworzone. Za informację publiczną uznaje się zatem każdą wiadomość wytworzoną lub odnoszoną do władz publicznych, a także wytworzoną lub odnoszoną do innych podmiotów wykonujących funkcje publiczne w zakresie wykonywania przez nie zadań władzy publicznej i gospodarowania mieniem komunalnym lub mieniem Skarbu Państwa. 9. Oceniając stanowisko organu wskazać należy, że w skardze trafnie zwraca się uwagę na jego niekonsekwencję. Choć z treści odpowiedzi na skargę wynika, że organ "procedował" w trybie nieadministracyjnym, uznając, iż wszystkie żądane we wniosku informacje nie mają charakteru informacji publicznej, gdyż stanowią tzw. dokumenty wewnętrzne top jednak w piśmie odmawiającym udostępnienia powołuje się na art. 5 ust. 1 u.d.i.p., który z istoty dotyczy przecież informacji publicznej wskazując na ustawowe przesłanki ograniczenia do niej dostępu. Orzecznictwo powołane w tym piśmie dotyczy właśnie takich przypadków to jest informacji publicznych – przetwarzanych przez organ informacji o bezpieczeństwie danych osobowych, objętych z tego powodu tajemnicą służbową. Jak wiadomo o tym również stronom sporu procedowanie w tym trybie wymaga wydania decyzji administracyjnej (art. 16 ust. 1 w zw. z art. 5 ust. 1 u.d.i.p.). Zatem ten zakres argumentacji i powodów odmowy udzielenia wnioskowanej informacji nie mógł zatem znaleźć się w piśmie z dnia [...] marca 2021 r. i załatwienie w tym zakresie wniosku w tej formie nie jest dopuszczalne. 10. Jeśli chodzi o kwestię relacji danych/informacji żądanych we wniosku a pojęcia tzw. dokumentów wewnętrznych pismo organu (jak i odpowiedź na skargę) nie jest przekonywujące. Zdaniem sądu takie dane jak liczba zgłoszeń/incydentów, wszczętych postępowań, rejestry i analizy nie są danymi technicznymi, tylko danymi polityki bezpieczeństwa stosowanej w podmiocie publicznym, finansowanym ze środków publicznych, stanowiącymi zatem informację publiczną. W orzecznictwie przyjmuje się bowiem, że dokumenty tzw. polityki bezpieczeństwa, w tym systemów stosowanych przez organy władzy publicznej są informacjami publicznymi (por. wyroki NSA z dnia 23 lipca 2014 r., I OSK 2769/13 oraz 24 stycznia 2018 r., I OSK 323/16; CBOSA). Wskazuje się wprawdzie, że dokumentacja o charakterze wewnętrznym bądź technicznym może nie być nośnikiem informacji publicznej (waloru takiej informacji nie mają np. informacje techniczne, dotyczące np. sposobu funkcjonowania danego narzędzia użytkowanego przez organ, informacje techniczne wskazujące na częstotliwość logowania się do danego narzędzia, czy przedstawiających okresy aktywności lub zmniejszonej aktywności w systemie teleinformatycznym organu), podkreśla, że granica oceny tego co jest dokumentem wewnętrznym, a co informacją publiczną, chronioną jednak przez przepisy ustawy jest bardzo płynna. (por. wyrok NSA z 10 stycznia 2014 r. I OSK 2254/13, CBOSA). 11. Z odpowiedzi na wniosek i odpowiedzi na skargę nie wynika, że liczba zgłoszeń, incydentów i dotyczące ich raporty i analizy są informacjami technicznymi. Zdaniem sądu są to informacje (dane) merytoryczne lub statystyczne związane z "incydentami naruszenia bezpieczeństwa informacji" w danej jednostce publicznej, a zatem informacje publicznie związane z wykonywaniem przez organ władzy publicznej i objętą zakresem zastosowania ustawy o dostępie do informacji publicznej. To natomiast, czy ujawnienie tych danych jest dopuszczalne lub może doznawać, choćby w części ograniczeń ze względu na ochronę informacji niejawnych albo inne względy, o których mowa w art. 4 ust. 1 lub 5 ust. 1 u.d.i.p., to już zupełnie inna kwestia, bowiem w tym przypadku odmowa udostępnienia informacji (w całości albo części) wymaga wydania decyzji administracyjnej. 12. W sytuacji, gdy wniosek o udostępnienie informacji publicznej został skierowany do podmiotu obowiązanego do uczynienia zadość temu obowiązkowi, zaś objęta żądaniem informacja stanowi informację publiczną, wniosek skarżącego powinien zostać załatwiony w trybie uregulowanym przepisami ustawy o dostępie do informacji publicznej, co do zasady poprzez udzielenie żądanej informacji, chyba że zachodzą przesłanki przesądzające o ograniczeniu prawa dostępu do wnioskowanej informacji publicznej. Zgodnie z przepisami cytowanej ustawy udostępnienie informacji publicznej na wniosek następuje bez zbędnej zwłoki i nie później niż w terminie 14 dni (art. 13 ust. 1 u.d.i.p.). W sprawie udzielenia wnioskowanej informacji nie nastąpiło, a ewentualne ograniczenie dostępu do całości lub części nie było procedowane we właściwym, decyzyjnym trybie. Tym samym skarga zasługiwała na uwzględnienie poprzez zobowiązanie organu do załatwienia wniosku skarżącego z [...] czerwca 2020 r. w terminie określonym w art. 13 ust. 1 u.d.i.p., o czym orzeczono w punkcie I wyroku, w oparciu o art. 149 § 1 pkt 1 p.p.s.a. 13. Zgodnie z art. 149 § 1 pkt 3 p.p.s.a obowiązkiem sądu, realizowanym z urzędu, było stwierdzenie bezczynności organu oraz, na podstawie art. 149 § 1a p.p.s.a., ocenienie czy bezczynność ta miała miejsce z rażącym naruszeniem prawa. W sprawie takiej kwalifikowanej cechy się sąd nie doszukał uznając, że zaniechanie wynikało z odmiennej oceny prawnej wniosku, a nie złej woli. Sąd uwzględnił również to, że takiej kwalifikacji nie domagał się skarżący (pkt II sentencji wyroku). O kosztach orzeczono w punkcie III sentencji wyroku, a rozstrzygnięcie w tym zakresie Sąd oparł na podstawie art. 200, art. 205 § 2 i 209 p.p.s.a.