II SA/Wa 134/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Joanna Kube, Sędzia WSA Łukasz Krzycki (spr.), po rozpoznaniu na posiedzeniu niejawnym w dniu 30 czerwca 2021 r. sprawy ze skargi M. W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2020 r. nr [...] w przedmiocie umorzenia postępowania w sprawie przetwarzania danych osobowych oddala skargę. Zaskarżoną decyzją umorzono - przywołując art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2020 r. poz. 256), zwanej dalej "K.p.a." - postępowanie wszczęte wobec skargi p. M. W., zwanego dalej "Wnioskodawcą", na nieprawidłowości w procesie przetwarzania jego danych osobowych, poprzez ujawnienie bez podstawy prawnej danych stanowiących tajemnicę bankową, przez [...], zwany dalej "Bankiem". W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - wobec wpływu skargi Wnioskodawcy - w toku prowadzonego postępowania - ustalono następujący stan faktyczny: - w skardze wskazano: Wnioskodawca "(...) w trakcie rozmowy telefonicznej wykonanej przez pracownicę Hotelu [...] w P. dowiedział się, że jego dokumenty związane z wnioskiem o kredyt w Banku [...] "walają się po lobby hotelowym". Poszkodowany poprosił o zabezpieczenie tych dokumentów. (...) W kolejnej rozmowie poszkodowany ustalił, że dokumenty te zostały odnalezione przez kelnera w ogólnodostępnej restauracji Hotelowej. Jak się następnie okazało dokumenty kredytowe z pewnością stanowiły egzemplarze Banku, albowiem znajdowały się na nich adnotacje pracownika Banku – K. B. (...)"; w związku z powyższym Wnioskodawca zażądał podjęcie przez organ działań - w ramach kompetencji nadzorczych (dowód: pismo Wnioskodawcy z 18 lipca 2019 r.); - dane osobowe Bank pozyskał od prowadzącego działalność gospodarczą Wnioskodawcy podczas zawarcia umowy Pakietu "[...]" z [...] lipca 2008 r. (dowód: pismo Banku z 11 października 2019 r. wraz z załącznikiem w postaci kopii umowy); - Bank wskazał: "(...) [...] marca 2019 r. do Banku wpłynęła reklamacja Klienta dotyczą ujawnienia Jego danych osobowych oraz tajemnicy bankowej. (...) Bank przeprowadził postępowanie sprawdzające celem wyjaśnienia zaistniałego incydentu bezpieczeństwa. Z uzyskanych informacji, przedstawionego opisu sprawy i udostępnionych dokumentów nie wynika, aby do ujawnienia danych osobowych i tajemnicy bankowej doszło po stronie Banku. Według najlepszej wiedzy Banku żaden z pracowników Oddziału w B., który miał dostęp do dokumentacji Klienta nie przebywał w omawianym okresie w P. (miejscowości położonej niemal [...] km od B.). Na tym etapie sprawy nie byliśmy w stanie stwierdzić żadnego związku przyczynowo - skutkowego pomiędzy funkcjonowaniem Banku a ujawnieniem treści dokumentów objętych tajemnicą bankową i zawierających dane osobowe" (dowód: pismo Banku z 11 października 2019 r.); - Komisariat Policji w P. przesłał do akt niniejszego postępowania kopie dokumentów znalezionych [...] lipca 2018 r. w Hotelu [...] w P., zwanym dalej "Hotelem" (tak: pismo Komisariatu Policji w P. z 1 września 2020 r. wraz z załącznikami); - Prokuratura Rejonowa w K. wskazała: prowadzone na podstawie zawiadomienia Wnioskodawcy postępowanie umorzono - postanowieniem Prokuratora Rejonowego w K. z [...] lutego 2020 r. - z powodu niewykrycia sprawcy przestępstwa (dowód: pismo Prokuratury Rejonowej w K. z [...] lutego 2020 r.), - przywołano wyrok Naczelnego Sądu Administracyjny z 7 maja 2008 r. (sygn. akt I OSK 761/07), gdzie stwierdzono: "badając [...] legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem", - organ - prowadząc postępowanie w oparciu o przepisy K.p.a. - na podstawie całokształtu materiału dowodowego ocenia, czy dana okoliczność została udowodniona; dowodami w postępowaniu mogą być w szczególności dokumenty, zeznania świadków, opinie biegłych oraz oględziny (art. 75 § 1 K.p.a.), - organ administracji publicznej może uznać stan faktyczny rozstrzyganej sprawy za ustalony jedynie na podstawie niebudzących wątpliwości dowodów; nie może poprzestać w tym zakresie na uprawdopodobnieniu - chyba, że przepisy K.p.a. stanowią inaczej; jak stwierdził Naczelny Sąd Administracyjny w wyroku z 9 lipca 1999 r. (III SA 5417/98): "organ prowadzący postępowanie musi dążyć do ustalenia prawdy materialnej i według swej wiedzy, doświadczenia oraz wewnętrznego przekonania ocenić wartość dowodową poszczególnych środków dowodowych, wpływ udowodnienia jednej okoliczności na inne okoliczności"; w tym samym wyroku Sąd wskazał też, że w postępowaniu administracyjnym obowiązuje zasada, że ciężar dowodu spoczywa na tym, kto z określonego faktu wyprowadza skutki prawne, - w niniejszej sprawie analiza materiału dowodowego nie wykazała jednoznacznie i bezspornie, aby doszło do kwestionowanego przez Wnioskodawcę naruszenia ochrony jego danych osobowych stanowiących tajemnicę bankową, poprzez ujawnienie ich przez Bank bez podstawy prawnej; Bank kategorycznie zaprzeczył, jakoby takie zdarzenie miało miejsce, a Wnioskodawca - poza swoim zgłoszeniem - nie przedstawił żadnych, niebudzących wątpliwości dowodów na potwierdzenie, że do przedmiotowego zdarzenia istotnie doszło; załączona przez Skarżącego oraz Komisariat Policji w P. do akt postępowania kopia dokumentacji - znalezionej [...] lipca 2018 r. w Hotelu, pomimo zamieszczenia tam ręcznych adnotacji, nie wskazuje bezspornie i jednoznacznie, że dokumenty te zostały pozostawione bez zabezpieczenia przez pracownika Banku; wskazano również na okoliczność, że prowadzone przez Prokuraturę Rejonową w K. postępowanie - o czyn z art. 266 § 1 ustawy z dnia 6 czerwca 1997 r. - Kodeks karny (Dz.U. z 2019 r., poz. 1950), zwanej dalej "K.k.", i art. 171 ust. 5 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz. U. z 2019 r., poz. 2357), w zw. z art. 11 § 2 K.k. - umorzono postanowieniem Prokuratora Rejonowego w K. z [...] lutego 2020 r., z powodu niewykrycia sprawcy przestępstwa; organ dysponuje zatem w niniejszym postępowaniu jedynie sprzecznymi oświadczeniami stron; nie można wobec powyższego uznać, że kwestionowany przez Wnioskodawcę proces przetwarzania danych osobowych, polegający na ich udostępnieniu, miał miejsce, - powołano prezentowany w doktrynie pogląd: "bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 Kpa, oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym." (B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, C.H.Beck, Warszawa 2006, str. 489); ustalenie przez organ zaistnienia przesłanki, o której mowa w art. 105 § 1 K.p.a., zobowiązuje go - co podkreśla doktryna - do umorzenia postępowania; nie ma bowiem w sytuacji zaistnienia tej przesłanki podstaw do rozstrzygnięcia sprawy, co do istoty; dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy; bezprzedmiotowość postępowania może być także wynikiem zmiany stanu faktycznego sprawy; zgodnie, bowiem z brzmieniem art. 105 § 1 K.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o jego umorzeniu odpowiednio w całości albo w części, - w niniejszej sprawie zaistniała przesłanka bezprzedmiotowości postępowania i umorzenia postępowania w oparciu o art. 105 § 1 K.p.a., co do udostępnienia danych osobowych Wnioskodawcy podmiotom nieuprawnionym; zgromadzony materiał dowodowy nie potwierdził prawdziwości podnoszonych przezeń zarzutów odnośnie wskazanego procesu; ponownie wskazano, że nie można uznać, jakoby kwestionowany proces przetwarzania danych osobowych - w zakresie dotyczącym udostępnienia przez Bank danych osobowych Wnioskodawcy podmiotom nieuprawnionym - zaistniał; wobec tego postępowanie w tym zakresie stało się bezprzedmiotowe. W skardze zarzucono naruszenie przepisów: - postępowania: - art. 7 w zw. z art. 77 § 1 K.p.a., poprzez zaniechanie wyczerpującego zebranie i rozpatrzenia dowodów w sprawie a także błędną ocenę zebranego w ograniczonym zakresie materiału dowodowego; zaważyło to na niedostatecznym wyjaśnieniu stanu faktycznego sprawy; - art. 8 § 1 K.p.a., poprzez przeprowadzenie postępowania z naruszeniem zasady prawdy obiektywnej – istotnej dla wyjaśnienia stanu faktycznego sprawy, - art. 80 K.p.a., poprzez oparcie ustaleń faktycznych na niedostatecznych podstawach dowodowych; - art. 104 § 1 K.p.a., poprzez przedwczesne wydanie rozstrzygnięcia, co do istoty sprawy, gdy nie wyjaśniono wszystkich okoliczności stanu faktycznego, - art. 34 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE ((Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO", poprzez dowolne przyjęcie, że działanie Banku nie mieści się w hipotezie powołanej normy prawnej. W uzasadnieniu skargi podniesiono: - Wnioskodawca jest przedsiębiorcą; zamierzał uzyskać kredyt - w ramach prowadzonej działalności gospodarczej; złożył wniosek o przyznanie kredytu w Banku, gdzie ma konto firmowe; dopełniając wszelkich formalności, dołączył komplet dokumentów, niezbędnych do potwierdzenia jego zdolności kredytowej; z nieznanych mu przyczyn, negocjacje w zakresie udzielenia kredytu przedłużały się; zajmowały się tym coraz to nowe osoby; Wnioskodawca prowadził negocjacje z trzema osobami - w pierwszej kolejności z p. K. B., kolejno dyrektorem placówki Banku, a na samym końcu z p. W. B.; dostrzegając brak profesjonalizmu, rotację pracowników oraz ciągłą zmianę osób, które zajmowały się negocjacjami przy negocjowaniu kredytu, zrezygnował z oferty Banku i uzyskał kredyt u innego podmiotu, - zgodnie z art. 77 ust. 1 RODO, każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, jeżeli przetwarzanie danych osobowych naruszyło przepisy tego rozporządzenia; uchybieniem takim jest też naruszenie bezpieczeństwa, prowadzącego do przypadkowego tudzież nieuprawnionego ujawnienia danych osobowych; naruszenie ochrony danych osobowych można też zakwalifikować jako naruszenie dotyczące poufności danych; miało to miejsce w tym przypadku - w rezultacie doszło do nieuprawnionego ujawnienia danych osobowych, - Wnioskodawcę poinformowano telefonicznie z Hotelu, że jego dotyczące wniosku o kredyt w Banku dokumenty znajdują się w lobby hotelowym i praktycznie każdy ma możliwość do nich wglądu - pozostawiono je bez jakiejkolwiek kontroli; na prośbę Wnioskodawcy zabezpieczono je w hotelowym sejfie; nie budzi wątpliwości, że stanowiły one egzemplarz Banku; znajdowały się na nich bowiem adnotacje p. K. B., która prowadziła negocjacje, dotyczące udzielenia kredytu; już na tym etapie doszło ze strony Banku do naruszenia art. 34 RODO; nie dopełnił on obowiązku informacyjnego - nie zawiadomił Wnioskodawcy, którego dane dotyczą o naruszeniu; Bank nie poinformował ponadto, jakie podjął działania w celu wyeliminowania naruszenia, - Wnioskodawca otrzymał też później zajęcie wynagrodzenia za pracę z [...] grudnia 2018 r. skierowane przez Komornika Sądowego przy Sądzie Rejonowym w Z. do poszkodowanego jako dłużnika zajętej wierzytelności; co istotne nigdy nie zatrudniał on dłużnika, wskazanego w tym piśmie; wyjaśniając tą sytuację zadzwonił do Komornika Sądowego; z rozmowy telefonicznej dowiedział się, że wskazał go jako pracodawcę wierzyciel - Santander C. S.A.; stanowiące tajemnicę bankową dane Wnioskodawcy wykorzystano więc w celu wyłudzenia kredytu, który był egzekwowany przez Komornika Sądowego, - w myśl art. 7 K.p.a., na organie administracji spoczywa obowiązek dokładnego wyjaśnienia sprawy oraz podjęcia niezbędnych działań, zmierzających do prawidłowego ustalenia stanu faktycznego; z zasady tej wynika obowiązek wyczerpującego zbadania wszystkich okoliczności faktycznych, związanych z określoną sprawą, aby w ten sposób stworzyć jej rzeczywisty obraz i uzyskać podstawę do trafnego zastosowania przepisu prawa; wynikają z niej również obowiązki: po pierwsze, określenie z urzędu, jakie dowody są niezbędne dla ustalenia stanu faktycznego; kierując się normą prawa materialnego, organ ocenia, jakie fakty mają istotne znaczenia dla sprawy, czy wymagają one udowodnienia i jakie dowody dla udowodnienia tych faktów są potrzebne; drugim obowiązkiem organu jest przeprowadzenie dowodów; organ wskazał, że analiza materiału dowodowego nie wykazała jednoznacznie i bezspornie, aby doszło do naruszenia ochrony danych osobowych Wnioskodawcy, poprzez ujawnienie przez Bank, bez podstawy prawnej, danych osobowych stanowiących tajemnicę bankową; stwierdzenia tego nie uzasadniono; nie wskazano, na jakich dowodach się oparto wydając decyzję; kategoryczne zaprzeczenie Banku, jakoby miało mieć miejsce zdarzenie prowadzące do naruszenia ochrony danych osobowych Wnioskodawcy, nie było poparte dowodem; nie może więc stanowić podstawy rozstrzygnięcia; organ, – mimo, że miał wgląd w kopię dokumentacji znalezionej w Hotelu, na której widnieją ręczne adnotacje – uznał jakoby nie wskazywało to bezspornie i jednoznacznie, że pozostawił je bez zabezpieczenia pracownik Banku; organ dopuścił się zaniedbania, przez brak głębszej analizy przedmiotowego dowodu; był on kluczowy dla stwierdzenia, że doszło do naruszenia ochrony danych osobowych Wnioskodawcy; nie budzi wątpliwości, że to organ obowiązany jest z urzędu przeprowadzić dowody, służące ustaleniu stanu faktycznego - winien podjąć on ciąg czynności procesowych, w celu zebranie całego materiału jak również w całości go rozpatrzyć, - w przedmiotowej sprawie organ ograniczył się do materiału dostarczonego przez poszkodowanego – Wnioskodawcę; nie podjął jakichkolwiek dodatkowych czynności dla wyjaśnienia sprawy; nie jest tymczasem wiadome, skąd w Hotelu znalazły się dokumenty z odręcznymi adnotacjami, wobec których istnieje wysokie prawdopodobieństwo, że stanowią egzemplarz Banku z adnotacjami p. K. B. - pracownika Banku, która prowadziła z Wnioskodawcą negocjacje, - przedwcześnie wydano więc decyzję; skoro w przedmiotowej sprawie pozostaje wiele wątpliwości - niewyjaśnionych kwestii, dotyczących naruszenia ochrony danych osobowych Wnioskodawcy przez Bank - nie można uznać, że materiał dowodowy nie potwierdził prawdziwości podnoszonych w skardze zarzutów; nie zagłębiono się w analizę materiału dowodowego, wydając w konsekwencji przedwczesną decyzję; pozostawienie dotyczących skarżącego dokumentów bankowych w ogólnodostępnej restauracji spowodowało rozpowszechnienie ich treści nieograniczonej liczbie osób; zgodnie z RODO oraz ustawą z dni 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781), zwana dalej "ustawą o danych", wyżej opisane zachowanie stanowi bezprawne przetwarzanie danych; ani Bank, jako administrator danych, ani jakikolwiek pracownik, nie byli upoważnieni do przetwarzania danych w miejscu gdzie je odnaleziono; celem postępowania administracyjnego jest załatwienie sprawy przez wydanie decyzji rozstrzygającej, co do istoty; służyć temu powinna działalność orzecznicza administracji publicznej, zmierzająca do konkretyzacji praw i obowiązków; umorzenie postępowania traktowane jest przy tym, jako środek ostateczny - niweczący dotychczasowe wyniki postępowania; w przedmiotowej sprawie powstaje wątpliwość, co do słuszności umorzenia postępowania. W odpowiedzi na skargę organ administracji wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. Sąd rozpoznał skargę na posiedzeniu niejawnym wobec treści § 1 rozporządzenia Rady Ministrów z dnia 9 października 2020 r. w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii (Dz.U. poz. 1758, ze zm.), § 4 zarządzenia nr 21 Prezesa Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 16 października 2020 r. w sprawie wdrożenia w Wojewódzkim Sądzie Administracyjnym w Warszawie działań profilaktycznych służących przeciwdziałaniu potencjalnemu zagrożeniu zakażeniem wirusem SARS-CoV-2 ustalonych w zarządzeniu nr 39 Prezesa Naczelnego Sądu Administracyjnego z dnia 16 października 2020 r. oraz § 1 pkt 2 i § 3 zarządzenia nr 39 Prezesa Naczelnego Sądu Administracyjnego z dnia 16 października 2020 r. w sprawie odwołania rozpraw oraz wdrożenia w Naczelnym Sądzie Administracyjnym działań profilaktycznych służących przeciwdziałaniu potencjalnemu zagrożeniu zakażenia wirusem SARS-CoV-2 w związku z objęciem Miasta Stołecznego Warszawy obszarem czerwonym – tak zarządzenie k. 38 akt sądowych. Sąd zważył, co następuje. Skargę oddalono. Nie zasługuje ona na uwzględnienie, albowiem zaskarżone rozstrzygnięcie nie narusza prawa, choć w istocie – trafnie go nie uzasadniono. Prawidłowo skonstatował organ brak przesłanek do dalszego prowadzenia postępowania, które wszczęto wobec skargi Wnioskodawcy, podnoszącego – niezgodne z prawem jego zdaniem – przetworzenie jego danych osobowych, wobec odnalezienia dokumentów, dotyczących udzielania mu przez Bank kredytu (faza procedowania nad wnioskiem). Na wstępie należy wskazać, że w sprawie są bezsporne jej istotne okoliczności faktyczne – organ nie kwestionuje, że dane osobowe Wnioskodawcy mogły zostać upublicznione w terminie, w sposób i w zakresie wskazanym w skardze (na terenie Hotelu). Wskazano przy tym, że inne, prowadzące postępowanie w danym przedmiocie, organy nie zdołały ustalić, kto pozostawił dokumenty, gdzie znajdowały się dane osobowe Wnioskodawcy. Trafnie organ przywołał uwarunkowania prawne sprawy - w kontekście przytoczenia stosownych regulacji. Wobec zreferowania stanowiska organu w danym zakresie, ponowne ich przytaczanie byłoby bezzasadne. Organ mylnie jednak skonstatował, że przesłanką umorzenia postępowania może być nieustalenie, przez inne organy, kto był sprawcą czynu – pozostawienia dokumentów, dotyczących procedowanej umowy kredytu dla Wnioskodawcy w Hotelu. O ile zdarzenie to postawałoby w istocie w związku z przetwarzaniem danych osobowych w zakresie kompetencji danego organu, byłby on obowiązany realizować dalsze czynności dla stosownego wyjaśnienia okoliczności danego incydentu. Rozpoznając sprawę organ winien był mieć na uwadze jej następujące uwarunkowania formalnoprawne. W myśl art. 1 ust. 1 ustawy o danych, jej przepisy stosuje się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w zakresie określonym w art. 2 i 3 RODO, zaś - wobec art. 1 ust. 2 pkt 4 i 5 tej ustawy - określa ona m.in.: organ właściwy w sprawie ochrony danych osobowych i same reguły postępowania w sprawie naruszenia przepisów o ochronie danych osobowych. Uzasadnia to wniosek, że materialnoprawne ramy, co do właściwości danego, wyspecjalizowanego organu - jest nim wedle art. 60 ustawy o danych Prezes Urzędu Ochrony Danych Osobowych - zakreślają wyczerpująco postanowienia RODO. Już z treści preambuły do tego aktu wynika, że generalnie celem jego ustanowienia, jest przyczynienie się do "tworzenia przestrzeni wolności, bezpieczeństwa i sprawiedliwości oraz unii gospodarczej, do postępu społeczno-gospodarczego, do wzmacniania i konwergencji gospodarek na rynku wewnętrznym, a także do pomyślności ludzi." (tak motyw 2 zd. 2). Z kolei, w motywie 3 preambuły - posłużono się tam jeszcze nomenklaturą, zaczerpniętą z dyrektywy zastępowanej przez RODO – wskazano, że celem regulacji jest "zharmonizowanie ochrony podstawowych praw i wolności osób fizycznych w związku z czynnościami przetwarzania oraz zapewnienie swobodnego przepływu danych osobowych między państwami członkowskimi". W motywie 6 przywołano natomiast wprost następujące przesłanki przyjęcia regulacji: "Szybki postęp techniczny i globalizacja przyniosły nowe wyzwania w dziedzinie ochrony danych osobowych. Skala zbierania i wymiany danych osobowych znacząco wzrosła. Dzięki technologii zarówno przedsiębiorstwa prywatne, jak i organy publiczne mogą na niespotykaną dotąd skalę wykorzystywać dane osobowe w swojej działalności. Osoby fizyczne coraz częściej udostępniają informacje osobowe publicznie i globalnie. Technologia zmieniła gospodarkę i życie społeczne i powinna nadal ułatwiać swobodny przepływ danych osobowych w Unii oraz ich przekazywanie do państw trzecich i organizacji międzynarodowych, równocześnie zaś powinna zapewniać wysoki stopień ochrony danych osobowych.". Same sformułowane przez prawodawcę cele ustanowienia danej regulacji uzasadniają wprawdzie konkluzję, że generalnie RODO ma się przyczynić do lepszej ochrony danych osobowych obywateli państw członkowskich Unii Europejskiej. Rozporządzenie to nie stanowi jednakże aktu, służącego pełnemu, ramowemu uregulowaniu ochrony praw w danym zakresie. Dotyczy jedynie komponentu danych, które podlegają automatycznemu przetworzeniu bądź mogą podlegać takiemu przetworzeniu, jako baza informacji o osobach. Konkluzję taką potwierdza wprost treść normatywna przepisów wstępnych RODO. W myśl art. 2 ust. 1, akt ten znajduje zastosowanie wyłącznie "do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych". Z kolei - wobec art. 4 pkt 6 RODO - zbiór danych to "uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie". Oznacza to, że przepisy RODO nie znajdują zastosowania do wszelkich przypadków przetwarzania danych osobowych (formą przetwarzania jest ich ujawnianie – tak art. 4 pkt 3 RODO), lecz tylko gdy chodzi o te, objęte zakresem danej regulacji. Dotyczy to danych przetwarzanych w sposób całkowicie lub częściowo zautomatyzowany, zaś pozostałych tylko, gdy stanowią zbiór lub mogą stanowić część zbioru danych. Z kolei potencjalny zbiór danych to jedynie ich zestaw dostępny według określonych kryteriów. Oceny takiej nie zmienia to, że przetwarzanie (w tym ujawnienie) może - w myśl art. 4 pkt 3 RODO - nastąpić automatycznie lub także w inny sposób. Brzmienie danej definicji nie prowadzi do poszerzenia zakresu danych podlegających regułom RODO wedle treści art. 2 ust. 1. Mianowicie - gdy chodzi o dane przetwarzane w sposób inny niż zautomatyzowany – dotyczy ono tylko tych, które stanowią część zbioru danych lub mogą stanowić część zbioru danych, w rozumieniu art. 4 pkt 6 RODO. Odmienne rozumienie przepisów RODO prowadziłoby do trudnych do przypisanie racjonalnemu prawodawcy wniosków - jakoby danym rozporządzeniem uregulowano w sposób szczególny wszelkie zasady ochrony danych osobowych, w zakresie, gdzie może to prowadzić m.in. do naruszenia dóbr osobistych (prawa do prywatności), czy tajemnicy bankowej (jak w tym przypadku). Wobec przyznania w RODO kompetencji rozstrzygania spraw na tym gruncie wyspecjalizowanym organom administracji państw członkowskich (tak art. 58 ust. 2 RODO i odpowiednio art. 34 ust. 2 oraz art. 60 ustawy o danych), oznaczałoby to ukształtowanie alternatywnej drogi ochrony praw przez wszystkie osoby, których prawa naruszono – np. ujawniając tajemnicę bankową, czy inaczej ingerując w prawo do prywatności. Wobec przywołanych uwarunkowań, uzasadniony jest wniosek, że - wobec wyartykułowanych celów przyjęcia RODO i treści jego regulacji wstępnych - akt ten dotyczy zdarzeń związanych z przetwarzaniem informacji (gromadzenie, transfer itp.) gdzie możliwe jest mechaniczne odnajdywanie informacji o osobach - ich danych osobowych – w szczególności w ramach systemów teleinformatycznych. Nie dotyczy ono zaś zdarzeń pozostających w związku z ujawnieniem (w następstwie wykorzystywania) danych osobowych w innych sytuacjach - np. możliwości zapoznania się przez osoby trzecie z treścią wydrukowanych dokumentów, dotyczących pozyskiwania kredytu poza siedzibą banku. nawet gdy znajduje się ono równocześnie w określonym zbiorze informacji Banku - bazie danych czy systemie teleinformatycznym. Inna ocena dotyczyć mogłaby wprawdzie przypadku, gdy określone informacje upowszechniane byłyby w takiej postaci, że możliwe byłoby ich niekontrolowane gromadzenie przez osoby nieuprawnione - bez wiedzy zainteresowanych. Sytuacja taka - co bezsporne - nie miała jednak w rozpatrywanej sprawie miejsca. Opisany przypadek dotyczył niewątpliwie incydentalnego pozostawienia określonej dokumentacji poza siedzibą Banku, przy czym nie ustalono, kto był tego sprawcą a nawet, czy była to dokumentacja z zasobów Banku - choć tak wywodzi Wnioskodawca, przywołując argumentację na uprawdopodobnienie swojej tezy. Z wyjaśnień Banku wynika, że pozostawienie dokumentacji kredytowej w odległości około 300 km od jego siedziby nie było związane wykonywaniem zwykłych czynności przez jego pracowników. Brak podstaw, aby wyjaśnieniom tym nie dać wiary - zasadniczo takim twierdzeniem nie zaprzeczono też w skardze. Trafnie zauważono w niej wprawdzie, że nie ustalono, w jaki sposób dokumenty znalazły się w Hotelu. Nie było to jednak zadaniem danego organu, skoro zdarzenie to nie było efektem zorganizowanego procesu przetwarzania danych przez Bank (zakres właściwości organu). O ile doszło natomiast do naruszenia reguł ochrony tajemnicy bankowej, wobec braku właściwego zabezpieczenia dokumentów przez Bank, nie jest właściwym w danym przedmiocie organ wyspecjalizowany w zakresie ochrony danych osobowych. Przy przyjęciu odmiennego rozumienia regulacji RODO, także np. delikty w postaci kradzieży z wszelkich instytucji pojedynczych dokumentów, gdzie zamieszczone są jakiekolwiek dane osobowe, stanowiłoby przypadek podlegający rozpoznawaniu przez wyspecjalizowane organy administracji - w ramach procedur, przewidzianych RODO. Nie sposób racjonalnemu prawodawcy przypisać intencji przeniesienia tego typu spraw do rozstrzygania na drodze administracyjnej. Prowadzi to do konkluzji, że generalnie w RODO uregulowano tylko zagadnienia pozostające w bezpośrednim związku z pozyskiwaniem informacji z konkretnych zbiorów danych bądź tworzeniem zbiorów, umożliwiających uzyskanie określonych informacji o osobach. Nie jest zaś kwestią kluczową (przesądzającą), czy sprawa dotyczy danych osobowych. RODO ingeruje bowiem w tą problematykę wyłącznie w kontekście określonych form przetwarzanie danych osobowych. Nie jest więc wystarczającym dla ustalenia właściwości wyspecjalizowanego organu ustalenie, że sprawa dotyczyła wykorzystania danych osobowych Wnioskodawcy. Nie można tego utożsamiać z ich przetworzeniem, w rozumieniu RODO. W rozpoznawanej sprawie są poza sporem jej istotne okoliczności, w tym zakresie, że w skardze do wyspecjalizowanego organu przywołano zdarzenie, które nie dotyczyło ujawnienia określonego zbioru danych osobowych (za taki można by uznać pozyskanie danych potencjalnego kredytobiorcy ze stosownej bazy danych Banku), lecz znajdowanie się danych osobowych Wnioskodawcy w znalezionej w miejscu publicznym (Hotelu) dokumentacji. Wyspecjalizowany w zakresie ochrony danych osobowych organ nie był właściwy da oceny legalności tego zdarzenia. Uzasadnione jest bowiem stwierdzenie, że nie pozostawało w żadnym związku z procesem mechanicznego przetwarzania danych bądź posługiwanie się danymi mogącymi, stanowić wyodrębnioną bazę, jako zespół informacji, uporządkowanych wedle pewnych kryteriów w dniu zdarzenia. Jeżeli, wedle twierdzeń Wnioskodawcy – wobec braku stosownego zabezpieczenia dokumentów przez Bank - doszło do naruszenia jego praw jako klienta a pozyskane dane wykorzystano, co prowadziło po stronie Wnioskodawcy do określonej szkody (w tym naruszenia prawa do prywatności) sprawa taka może być rozpatrywana w stosownym trybie przed sądami powszechnymi (w razie jej zainicjowania przez Wnioskodawcę). Niepodobna uznać, aby - z woli prawodawcy - w takim postępowaniu oceniano, czy zachowano reguły tajemnicy bankowej (dokumenty zawierające także dane osobowe były stosownie zabezpieczone) niezbędne było stanowisko organu wyspecjalizowanego w sprawach ochrony danych osobowych. Nie do zaakceptowania w państwie prawnym byłaby koncepcja, jakoby określoną kwestię – ewentualne uchybienie w kwestii zabezpieczenia dokumentów w banku - można byłoby oceniać równolegle w dwóch trybach - w postępowaniach prowadzonych przez wyspecjalizowany organ administracji i sąd powszechny, czy także organ wyspecjalizowany w sprawie nadzoru bankowego. Umożliwiałoby to sformułowanie w ostatecznych orzeczeniach – znajdujących się równocześnie w obiegu prawnym - odmiennych ocen, w kontekście legalności działania Banku. Wobec tego, hipotetyczna koncepcja przyznania organowi wyspecjalizowanemu w sprawie danych osobowych prawa oceny w rozpatrywanym przypadku, czy doszło do naruszenia tajemnicy bankowej bądź naruszenia prawa do prywatności - wobec pozostawienia w miejscu publicznym dokumentów przez pracownika Banku - musiałoby równocześnie wyłączyć w danym zakresie kompetencję sądu powszechnego. Rozszerzająca wykładnia przepisów RODO, zakreślających w istocie kompetencje wyspecjalizowanego organu administracji, nie jest wobec tego dopuszczalna. Zasadna jest zaś wykładnia wąska. W sprawach cywilnych istnieje bowiem domniemanie właściwości sądów powszechnych. W tej sytuacji - wobec bezsporności faktów, istotnych w kontekście oceny, czy organ administracji jest kompetentny do zastosowania środków, przewidzianych w RODO, w świetle reguł ustawy o danych – nie było podstaw do orzekania w sprawie, co do meritum. Powyższe konstatacje prowadzą do wniosku, że w sprawie występowały przesłanki umorzenia postępowania, jako bezprzedmiotowego. Organ nie był bowiem kompetentny do ewentualnego zastosowania przyznanych mu w RODO uprawnień w zakresie zastosowania środków dyscyplinujących – zdarzenie opisane w skardze nie dotyczyło przetwarzania danych osobowych w rozumieniu RODO. Wobec powyższego Sąd nie dostrzegł – w świetle argumentacji skargi ani z urzędu – wad w zaskarżonym akcie, które przemawiałyby za jego wyeliminowaniem z obrotu prawnego. W sprawie nie znajduje zastosowania wskazany w skardze przepis prawa materialnego – art. 34 RODO (nie chodziło bowiem o przetwarzanie danych osobowych w rozumieniu danego rozporządzenia) zaś żadne jej istotne okoliczności faktyczne nie są wątpliwe. Zaskarżonego orzeczenia prawidłowo wprawdzie nie uzasadniono (tu zarzut skargi jest trafny, lecz inaczej uzasadniony), co nie mogło mieć jednak istotnego wpływu na wynik sprawy. Kwestionowana decyzja odpowiada bowiem prawu. Z przytoczonych wyżej przyczyn, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2019 r., poz. 2325 ze zm.), orzeczono jak w sentencji. ----------------------- 8