II SA/Wa 1308/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra – Błaszczykowska, Sędzia WSA Sławomir Fularski (spr.), Sędzia WSA Joanna Kube, , Marcin Rusinowicz-Borkowski, Protokolant sekretarz sądowy, po rozpoznaniu na rozprawie w dniu 21 listopada 2019 r. sprawy ze skargi H. R. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2019 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku w sprawie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych (dalej też jako "Prezes UODO"), działając na podstawie art. 138 § 1 pkt 1 w zw. z art. 127 § 3 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.; dalej: "k.p.a.") oraz art. 12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.; dalej: "u.o.d.o. z 1997 r.") w zw. z art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. 2018 r. poz. 1000 ze zm.), art. 57 ust. 1 lit. a) i f), art. 5 ust 1 lit a) i c) oraz art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2; dalej: "rozporządzenie RODO"), po przeprowadzeniu postępowania administracyjnego wobec złożonego przez H. R. wniosku o ponowne rozpoznanie sprawy zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych (dalej też jako "GIODO") z [...] września 2017 r. znak: [...], wydaną po rozpatrzeniu skargi na udostępnienie jego danych osobowych przez Spółdzielnię Mieszkaniową "[...]" – utrzymał w mocy zaskarżoną decyzję. Decyzja zapadła na tle następującego stanu faktycznego i prawnego: Do Urzędu Ochrony Danych Osobowych (dawniej Biuro Generalnego Inspektora Ochrony Danych Osobowych) wpłynęła skarga H.R. (dalej: "strona", "skarżący") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółdzielnię Mieszkaniową "[...]" z siedzibą w [...] (dalej: "Spółdzielnia"), polegające na udostępnieniu jego danych osobowych w zakresie imienia i nazwiska oraz informacji o toczącym się sporze sądowym w treści ogłoszenia wywieszonego w budynku Spółdzielni. Pismem z [...] kwietnia 2017 r., GIODO zwrócił się do Spółdzielni o ustosunkowanie się do zarzutów podniesionych w skardze oraz złożenie w sprawie pisemnych wyjaśnień i potwierdzających je dowodów, które wpłynęły do Biura GIODO [...] kwietnia 2017 r. oraz [...] czerwca 2017 r. Na podstawie powyższych wyjaśnień organ ustalił, że pomiędzy skarżącym, a Spółdzielnią w 2014 r. toczył się spór przed Sądem Rejonowym [...]. Spółdzielnia umieściła ww. ogłoszenie w przeszklonej gablocie znajdującej się w pobliżu wejścia do budynku, w którym znajduje się siedziba Spółdzielni. Zamieszczone ogłoszenie miało następującą treść: "W dniu [...] listopada 2014 r. (czwartek) biuro Spółdzielni nie będzie obsługiwać interesantów z powodu obowiązku stawienia się Zarządu w Sądzie Rejonowym [...] na rozprawie z wniosku [...]. W pilnych sprawach prosimy o kontakt telefoniczny do godz. 13.00.". Spółdzielnia w złożonych wyjaśnieniach wskazała, że ww. ogłoszenie zostało umieszczone w ww. gablocie [...] listopada 2014 r. około godziny 8.00 oraz zostało usunięte około godziny 14.00 tego samego dnia. Spółdzielnia wskazała ponadto, że obecnie podobne informacje są przekazywane Członkom Spółdzielni w innej formie, a o rozlicznych działaniach [...] wobec Spółdzielni Członkowie SM "[...]" na wszelki wypadek nie są informowani w żadnej formie. Decyzją z [...] września 2017 r. GIODO, działając na podstawie art. 104 § 1 k.p.a. oraz art. 12 pkt 2, art. 22, art. 26 ust. 1 pkt 3 u.o.d.o. z 1997 r., odmówił uwzględnienia wniosku skarżącego. Pismem z [...] września 2017 r. skarżący złożył wniosek o ponowne rozpatrzenie sprawy zakończonej decyzją z [...] września 2017 r., z uwagi na oczywiste naruszenie przepisów będących podstawą jej wydania. Wniósł o wydanie decyzji, na podstawie art. 18 ust. 1 pkt 1 u.o.d.o. z 1997 r., zobowiązującej Spółdzielnię do powstrzymania się od naruszenia przepisów o ochronie danych osobowych w przyszłości oraz o sformułowanie wystąpienia, o którym mowa w art. 19 a u.o.d.o. z 1997 r. Organ w uzasadnieniu wskazanej na wstępie decyzji z [...] kwietnia 2019 r. wyjaśnił, że z dniem 25 maja 2018 r., wraz z wejściem w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 ze zm.), Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez GIODO, wszczęte i niezakończone przed [...] maja 2018 r. prowadzone są przez Prezesa Urzędu, na podstawie ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zgodnie z zasadami określonymi w k.p.a. Wszelkie czynności podjęte przez GIODO przed [...] maja 2018 r. pozostają skuteczne. W świetle powyższego, do spraw rozstrzyganych przez Prezesa UODO w zakresie prawa materialnego zastosowanie mają przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm.), a w zakresie proceduralnym przepisy u.o.d.o. z 1997 r. Prezes UODO wskazał na regulacje art. 18 ust. 1 u.o.d.o. z 1997 r. oraz art. 5 ust. 1 lit. a) i ust. 2, art. 6 rozporządzenia RODO. Podniósł, że wskazanie danych osobowych skarżącego w treści ogłoszenia w celu poinformowania członków Spółdzielni o zmianach organizacyjnych w pracy Spółdzielni w dniu [...] listopada 2014 r., z uwagi na konieczność uczestnictwa w postępowaniu sądowym nie miało uzasadnienia w żadnej z przesłanek przetwarzania danych osobowych wskazanych w art. 6 RODO. Uznał również, że wskazanie danych osobowych skarżącego nie było konieczne do poinformowania członków Spółdzielni, o zmianach godzin przyjmowania interesantów. Ponadto organ zauważył, że do budynku, w którym mieści się siedziba Spółdzielni, mają dostęp również inne osoby, niebędące jej członkami. Działania Spółdzielni uznał zatem za niezgodne z art. 23 ust. 1 oraz art. 26 ust. 1 u.o.d.o. z 1997 r. Powyższe oznacza, że Spółdzielnia udostępniając dane osobowe skarżącego podmiotom nieuprawnionym naruszyła swoim działaniem zasady dotyczące przetwarzania danych osobowych określone w art. 5 ust. 1 lit. a) i c) RODO. Prezes UODO zauważył, że pomimo naruszenia przez Spółdzielnię przepisów ustawy o ochronie danych osobowych, ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 18 ust. 1 u.o.d.o. z 1997 r. służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych. Jest więc ona uzasadniona i potrzebna tylko o tyle, o ile proces przetwarzania danych osobowych trwa. W niniejszej sprawie naruszenie miało charakter jednorazowy i incydentalny oraz krótkotrwały, bowiem ogłoszenie było umieszczone w gablocie w okresie jednego dnia. W związku z tym organ nie może wydać decyzji nakazującej usunięcie uchybień, ponieważ kwestionowany przez skarżącego sposób przetwarzania danych osobowych przez Spółdzielnię już się ziścił, natomiast Spółdzielnia nie przetwarza obecnie danych osobowych skarżącego w kwestionowany przez niego sposób. Konkludując Prezes UODO stwierdził, że rozstrzygnięcie zawarte w zaskarżonej decyzji administracyjnej z [...] września 2017 r. jest prawidłowe i nie ma podstaw prawnych do jej uchylenia. Pismem z 15 maja 2019 r. skarżący wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyżej określoną decyzję, zarzucając naruszenie art. 47 i art. 51 Konstytucji RP, art. 8 Europejskiej Konwencji Praw Człowieka, art. 6 ust. 1 rozporządzenia RODO, art. 19 w związku z art. 51 i art. 19a u.o.d.o. z 1997 r. oraz art. 7, art. 8 i art. 12 k.p.a. W ocenie skarżącego, autor ogłoszenia wypełnił swoim zachowaniem znamiona przestępstwa z art. 51 u.o.d.o. z 1997 r. Rozstrzygnięcie, które odmawia ochrony mimo poważnego naruszenia norm dotyczących przetwarzania danych osobowych jest sprzeczne z powołanymi na wstępie przepisami Konstytucji RP i Europejskiej Konwencji Praw Człowieka i Podstawowych Wolności. Zdaniem skarżącego, wprowadzanie jakichś dodatkowych kryteriów, takich jak trwałość, czy jednorazowość naruszenia prawa wykracza poza możliwą do przyjęcia wykładnię tych kluczowych aktów prawnych. Ponadto organ administracyjny był zobowiązany wystosować zawiadomienie, o którym mowa w art. 19 u.o.d.o. z 1997 r., jak również uzasadnione było wystąpienie o którym mowa w art. 19a tejże ustawy. W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie, podtrzymując stanowisko przedstawione w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie podlegała uwzględnieniu. Przedmiotem sporu w kontrolowanej sprawie jest zarzut nieprawidłowości w procesie przetwarzania przez Spółdzielnię danych osobowych skarżącego polegających na udostępnieniu jego danych osobowych w zakresie nazwiska oraz informacji o toczącym się między skarżącym, a Spółdzielnią sporze sądowym w treści ogłoszenia wywieszonego w budynku Spółdzielni. Zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych, jak i poprzedzająca ją decyzja Generalnego Inspektora Ochrony Danych Osobowych nie naruszają przepisów prawa materialnego, jak również nie naruszają przepisów prawa procesowego w stopniu, który miałby wpływ na wynik sprawy. Zarzuty skargi Sąd uznał za nieuzasadnione. Na wstępie należy wskazać, że zgodnie z art. 23 ust. 1 u.o.d.o. z 1997 r., przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych; 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa; 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą; 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego; 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Powyżej przytoczony przepis w ust. 1 określa materialne przesłanki przetwarzania danych osobowych i mają one charakter generalny, gdyż odnoszą się do wszelkich form przetwarzania danych osobowych i co do zasady są równoprawne. Zgodnie zaś z art. 18 ust. 1 pkt 1 u.o.d.o. z 1997 r., w przypadku naruszenia przepisów o ochronie danych osobowych GIODO z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności m.in. usunięcie uchybień. Przesłanką wydania przez Prezesa Urzędu Ochrony Danych Osobowych nakazu jest stwierdzenie naruszenia przepisów o ochronie danych osobowych, tj. z zebranego w postępowaniu materiału dowodowego musi wynikać, że swoim działaniem lub zaniechaniem administrator naruszył przepisy prawa. Stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji. Przewidziana zaś w art. 18 ust. 1 pkt 1 u.o.d.o. z 1997 r. sankcja w postaci usunięcia uchybień obejmuje czynności przywracające stan zgodny z prawem, inne niż wymienione w pozostałych punktach tego przepisu. Przenosząc powyższe rozważania natury ogólnej na grunt rozpoznawanej sprawy, uznać należy, że organy orzekające, wydając decyzję merytoryczną odmawiającą uwzględnienia wniosku skarżącego działały prawidłowo. GIODO zasadnie przyjął, że wskazanie danych osobowych skarżącego w treści ogłoszenia w celu poinformowania członków Spółdzielni o zmianach organizacyjnych w pracy Spółdzielni w dniu [...] listopada 2014 r., z uwagi na konieczność uczestnictwa w postępowaniu sądowym nie miało uzasadnienia w żadnej z ww. przesłanek przetwarzania danych osobowych. Działania Spółdzielni należało zatem uznać za niezgodne z art. 23 ust. 1 oraz art. 26 ust. 1 u.o.d.o. z 1997 r. Powyższe oznacza, że Spółdzielnia udostępniając dane osobowe skarżącego podmiotom nieuprawnionym naruszyła także swoim działaniem zasady dotyczące przetwarzania danych osobowych określone w art. 5 ust. 1 lit. a) i c) rozporządzenia RODO, zgodnie z którymi dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość") oraz adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"). Jednocześnie Sąd zgadza się ze stanowiskiem organów orzekających, że jakkolwiek stan naruszenia przepisów ustawy o ochronie danych osobowych miał miejsce w chwili udostępnienia danych skarżącego, to w momencie wydawania decyzji przez GIODO już nie zachodził i w konsekwencji brak było podstaw do sformułowania nakazu, o którym mowa w art. 18 ust. 1 u.o.d.o. z 1997 r. Organ ochrony danych osobowych nie dokonuje bowiem oceny zdarzeń przeszłych, nie kontynuowanych w chwili orzekania. Decyzja tego organu służy bowiem przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych realizowanym w chwili wydania decyzji. Dane osobowe skarżącego były przetwarzane przez Spółdzielnię z naruszeniem przepisów ustawy o ochronie danych osobowych, jednakże działania te mają charakter nieodwracalny. Istotnym dla rozstrzygnięcia w niniejszej sprawie jest zaś, że kwestionowany sposób przetwarzania danych osobowych skarżącego został zaprzestany przez Spółdzielnię. W tej sytuacji oczywistym jest pozostawienie poza obszarem zainteresowania GIODO zdarzeń przeszłych dotyczących przetwarzania danych osobowych. Dlatego też za prawidłowe należy uznać, że wyeliminowanie przez Spółdzielnię nieprawidłowości w procesie przetwarzania danych osobowych skarżącego oraz skala naruszenia przepisów prawa o ochronie danych osobowych uzasadniały niepodejmowanie przez Prezesa UODO działań przewidzianych w art. 19 i 19a u.o.d.o. z 1997 r. Odnosząc się do zarzutów podniesionych w skardze, Sąd uznał je za niezasadne, gdyż organy orzekające wydając zaskarżone decyzje nie naruszyły przepisów postępowania w niej określonych. Wszystkie czynności podjęte przez organ ochrony danych osobowych były niezbędne do prawidłowego przeprowadzania postępowania administracyjnego i wydania decyzji administracyjnej w przedmiotowej sprawie, która została zasadnie utrzymana w mocy przez Prezesa UODO. Mając powyższe ustalenia na uwadze, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przez sądami administracyjnymi (Dz.U. z 2018 r. poz. 1302 ze zm.) Sąd orzekł jak w sentencji.