II SA/Wa 1417/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Andrzej Kołodziej, Sędzia WSA Łukasz Krzycki (spr.), , Protokolant starszy sekretarz sądowy Marcin Rusinowicz-Borkowski, po rozpoznaniu na rozprawie w dniu 25 czerwca 2024 r. sprawy ze skargi K. N. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę. Zaskarżoną decyzją – przywołując art. 104 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775), zwanej dalej "K.p.a.", oraz art. 58 ust. 2 lit. b i g rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO", wobec skargi p. K. N., zwanego dalej "Wnioskodawcą", na nieprawidłowości w przetwarzaniu jego danych osobowych przez Naczelną Radę Adwokacką, zwana dalej "NRA" oraz Izbę Adwokacką w [...] zwaną dalej "Izbą", polegające na: przetwarzaniu ich bez podstawy prawnej, a także niespełnieniu obowiązku informacyjnego, realizowanego w przypadku pozyskiwania danych osobowych od osoby, której dane dotyczą (o którym mowa w art. 13 RODO), niespełnieniu obowiązku informacyjnego, realizowanego w przypadku pozyskiwania danych osobowych nie od osoby, której dane dotyczą (o którym mowa w art. 14 RODO), niezrealizowaniu wniosku o kopię danych osobowych, podlegających przetwarzaniu (obowiązku, o którym mowa w art. 15 ust. 3 RODO), oraz niezrealizowaniu żądania usunięcia danych osobowych – Prezes Urzędu Ochrony Danych Osobowych, zwany dalej "organem": 1. nakazał NRA usunięcie danych osobowych Wnioskodawcy w zakresie imienia, drugiego imienia, nazwiska, adresu korespondencyjnego i adresu e-mail – w związku z żądaniem ich usunięcia oraz brakiem innych podstaw prawnych do ich przetwarzania, 2. udzielił NRA upomnienia wobec naruszenia art. 15 ust. 3 RODO przez nieprawidłowe zrealizowanie żądania Wnioskodawcy z [...] maja 2022 r. - udostępnienie kategorii przetwarzanych danych, a nie bezpośrednio ich treści, 3. udzielił NRA upomnienia wobec naruszenia art. 13 ust. 1 i 2 RODO, przez niespełnienie obowiązku informacyjnego w momencie pozyskania danych osobowych Wnioskodawcy, 4. udzielił Izbie upomnienia wobec naruszenia art. 15 ust 3 RODO, przez niezrealizowanie żądania Wnioskodawcy z [...] maja 2022 r. o wydanie kopii przetwarzanych danych; 5. udzielił Izbie upomnienia za niespełnienie wobec Wnioskodawcy obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 i 2 RODO, 6. w pozostałym zakresie odmówił uwzględnienia wniosku. W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - wobec skargi Wnioskodawcy ustalono następujący stan faktyczny: - Wnioskodawca wskazał: "[m]oje dane osobowe zostały przekazane przeze mnie wieloma mailami do [NRA] i [Izby], W załączeniu tej elektronicznej korespondencji przesyłałem wszelkie dane osobowe dotyczące mojej osoby, w tym m.in. dane personalne, adresowe, numer telefonu PESEL, moje zdjęcia i mojego samochodu, dane medyczne, z prowadzonych spraw dyscyplinarnych z moim udziałem (pokrzywdzonego), dokumentację urzędową i pisma procesowe" (tak: skarga z [...] maja 2022 r.); - NRA pozyskała dane osobowe bezpośrednio od Wnioskodawcy - w związku ze składanymi przezeń skargami; zakres pozyskanych danych to: imię, drugie imię, nazwisko, adres korespondencyjny czy zamieszkania, adres e-mail, data urodzenia, numer PESEL i dane dotyczące zdrowia; NRA wyjaśniła, że przetwarza dane osobowe Wnioskodawcy na podstawie art. 6 ust. 1 lit. c i f RODO - przetwarzanie niezbędne jest do wypełnienia obowiązku ciążącego na administratorze danych na potrzeby prowadzenia korespondencji i kontaktu - w związku ze składanymi przez Wnioskodawcę skargami, wnioskami i żądaniami; korespondencję przechowuje się przez 3 lata lub do czasu wniesienia sprzeciwu - na potwierdzenie, że udzielono odpowiedzi na skierowane żądania – to uzasadniony interes administratora danych polegający na możliwości wykazania obowiązków nałożonych na administratora; NRA nie pozyskiwała danych osobowych Wnioskodawcy z innych źródeł niż on sam (tak: wyjaśnienia NRA z [...] sierpnia 2022 r.), - Izba pozyskała dane osobowe bezpośrednio od Wnioskodawcy - w związku ze składanymi przezeń skargami; nie pozyskiwała jego danych osobowych z innych źródeł niż on sam (tak: wyjaśnienia Izby z [...] sierpnia 2022 r.), - Wnioskodawca zarzucił NRA i Izbie niespełnienie obowiązku informacyjnego, o którym mowa w art. 13 RODO; na jego wezwanie z [...] maja 2022 r. Izba odpowiedziała pismem z [...] czerwca 2022 r.; wskazała, że nie spełniła obowiązku informacyjnego, gdyż obowiązek ten ciąży na podmiotach, które zbierają dane osobowe, nie zaś pozyskują je biernie (przesłane z własnej inicjatywy przez osobę fizyczną); w wyjaśnieniach Izba wskazała też, że obowiązek taki spełnia w sposób warstwowy; w stopce wiadomości e-mail umieszcza adnotację, że administratorem danych osobowych jest Izba oraz wskazuje link do strony internetowej pod adresem: [...]; znajduje się tam pełna informacja; ze względu na obszerność komunikatu nie jest on umieszczany każdorazowo w wiadomości e-mail; mogłoby to zaburzyć obieg korespondencji i jej czytelność; na wezwanie organu – pismem z [...] grudnia 2022 r. - Izba przedstawiła przykładowe wiadomości e-mail z 2022 roku; widnieje tam odnośnik do klauzuli informacyjnej; z wiadomości e-mail otrzymanych z domeny [...] z [...] lipca 2019 r., wbrew twierdzeniu Izby, nie widnieje jednak odnośnik do klauzuli informacyjnej; znajduje się ona na podstronie dotyczącej. adwokatów i aplikantów oraz w zakładce "Pliki do pobrania"; umieszczono tam dopiero pliki z klauzulą informacyjną (tak: wyjaśnienia Izby z [...] sierpnia i [...] grudnia 2022 r., pismo Wnioskodawcy z [...] lipca 2022 r.), - Wnioskodawca wskazał, że - pomimo kontaktu z NRA - nie spełniono wobec niego obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 i 2 RODO; pierwsza jego komunikacja z NRA – co wynika z materiału dowodowego - nastąpiła w 2019 roku; w piśmie z [...] czerwca 2022 r. NRA wskazała Wnioskodawcy: ,,[c]o do braku spełnienia wobec Pana obowiązku informacyjnego w korespondencji z czerwca/lipca 2019 informujemy, iż ze względu na liczne zbiory danych osobowych, których administratorem jest NRA, jak również szereg zmian organizacyjnych które były udziałem NRA w latach 2019/2020, w związku z prowadzeniem aktywności gospodarczej na wielu płaszczyznach, mogą się zdarzyć sytuacje, które mogą być postrzegane przez osoby bezpośrednio zainteresowane jako brak respektu dla obowiązujących norm w zakresie ochrony danych osobowych. (...) brak spełnienia wobec Pana obowiązku informacyjnego w tamtym czasie, mogłoby być uznane za tego typu incydent - również przez nas niepożądany" (tak: pismo NRA do Wnioskodawcy z [...] czerwca 2022 r. i skarga), - za pośrednictwem poczty elektronicznej Wnioskodawca zwrócił się [...] maja 2022 r. do NRA o wydanie kopii danych osobowych w zwrotnej odpowiedzi na e-mail oraz spełnienie wobec niego obowiązku informacyjnego; na powyższe wnioski NRA udzieliła odpowiedzi pismem z [...] czerwca 2022 r. (wysłano za pośrednictwem wiadomości e-mail z [...] czerwca 2022 r.); w szczególności udzielono wyjaśnień na temat przetwarzania danych osobowych Wnioskodawcy, załączono obowiązek informacyjny - realizowany w związku ze składanymi skargami, wnioskami i zażaleniami do NRA – oraz wyciąg kategorii jego przetwarzanych danych osobowych; Wnioskodawca wyraził niezadowolenie z realizacji prawa dostępu do danych przez NRA (uzyskania kopii danych) oraz braków w dopełnieniu obowiązku informacyjnego w zakresie informacji o prawie do uzyskania kopii danych, informacji o podmiotach, które uzyskały lub uzyskają dostęp do jego danych i inne (tak: skarga z [...] maja 2022 r. wraz z załącznikiem - e-mailem z [...] maja 2022 r., pismo Wnioskodawcy z [...] czerwca 2022 r. z załącznikami, wyjaśnienia NRA z [...] sierpnia 2022 r. z załącznikami, pismo z [...] czerwca 2022 r.), - za pośrednictwem poczty elektronicznej Wnioskodawca zwrócił się do Izby [...] maja 2022 r. o wydanie kopii danych osobowych w zwrotnej odpowiedzi na e-mail oraz spełnienie wobec niego obowiązku informacyjnego; Izba odpowiedziała pismem z [...] czerwca 2022 r., że nie zbierała danych osobowych Wnioskodawcy; nie była zobowiązana do spełnienia obowiązku informacyjnego, o którym mowa w art. 13 RODO; Izba nie odniosła się do wniosku o kopię danych (tak: pismo Wnioskodawcy z [...] lipca 2022 r. z załącznikami - pismem Izby z [...] czerwca 2022 r.), - pismem z [...] września 2022 r. Wnioskodawcy rozszerzył zakres pierwotnej skargi o niespełnienie żądania usunięcia swoich danych przez NRA i Izbę (tak: pismo z [...] września 2022 r.), - pismem z [...] września 2022 r. (e-mail) Wnioskodawca zwrócił się do NRA i Izby z żądaniem usunięcia wszystkich jego danych osobowych; NRA udzieliła odpowiedzi pismem z [...] października 2022 r.; tego samego dnia Wnioskodawca ponownie zwrócił się do Izby i NRA z wnioskiem: "[przed usunięciem moich danych osobowych żądam od NRA i Izby (...) spełnienia wobec mnie obowiązku informacyjnego zgodnego z RODO"; w piśmie poinformowano Wnioskodawcę o uwzględnieniu jego wniosku, co do usunięcia daty urodzenia, numeru PESEL i danych, dotyczących zdrowia ze wszystkich baz i systemów NRA (w ciągu 7 dni) oraz o zatrzymaniu danych w zakresie imienia, drugiego imienia, nazwiska, adresu korespondencyjnego czy zamieszkania, oraz adresu e-mail - ze względu na cel dowodowo roszczeniowy dla NRA; NRA sprecyzowała, że proces anonimizacji danych osobowych zakońono [...] listopada 2022 r.; Izba wyjaśniła, że – wobec żądania Wnioskodawcy - usunęła jego dane osobowe, o czym poinformowała go pismem z [...] września 2022 r. (tak: wyjaśnienia NRA z [...] października 2022 r., wyjaśnienia Izby z [...] października 2022 r., wyjaśnienia NRA z [...] listopada 2022 r., pismo Wnioskodawcy z [...] września 2022 r.), - przetwarzanie danych osobowych jest dopuszczalne, gdy administrator danych osobowych legitymuje się którąkolwiek z przesłanek, o których mowa w art. 6 ust. 1 RODO; każda z nich ma charakter autonomiczny i niezależny; oznacza to, że spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych; niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO), przetwarzanie danych osobowych jest dopuszczalne między innymi, gdy jest to niezbędne do wypełnienia ciążącego na administratorze obowiązku prawnego (art. 6 ust. 1 lit. c RODO) a także, gdy jest niezbędne do celów, wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią - z wyjątkiem sytuacji, gdy nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO), - niezależnie od tego - zgodnie z art. 9 ust. 1 RODO - zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby; zakaz nie ma zastosowania, jeżeli spełniono jeden z warunków, wskazanych w art. 9 ust. 2 RODO - w szczególności osoba, której dotyczą, wyraziła wyraźną zgodę na ich przetwarzanie w jednym lub kilku konkretnych celach (tak lit. a), - zgodnie z art. 4 pkt 2 RODO, "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie, - zgodnie z art. 4 pkt. 11 RODO, "zgoda" osoby, której dane dotyczą, oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych, - w motywie 32 RODO wskazano: "zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia. Może to polegać na zaznaczeniu okienka wyboru podczas przeglądania strony internetowej, na wyborze ustawień technicznych do korzystania z usług społeczeństwa informacyjnego lub też na innym oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych. (...) Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach.", - co wynika z zebranego materiału dowodowego, NRA i Izba pozyskały dane osobowe Wnioskodawcy bezpośrednio od niego - w związku z kierowanymi przez niego wnioskami i skargami, których rozpatrzenie pozostawało w gestii tych podmiotów - w związku z zadaniami i obowiązkami, wynikającymi z ustawy z dnia 26 maja 1982 r. - Prawo o adwokaturze (Dz. U. z 2022 r. poz. 1184) i innych - np. ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz.U. z 2022 r., poz. 902), - należy zauważyć, że to sam Wnioskodawca inicjował kontakt z tymi podmiotami - określając ich cel oraz zakres przekazywanych danych, w tym danych kwalifikowanych jako dane szczególnej kategorii (art. 9 ust. 1 RODO); wyraził tym samym zgodę na ich przetwarzanie - przez swoje wyraźne potwierdzające działanie; podsumowując - przetwarzanie danych osobowych przez oba podmioty znajdowało oparcie w art. 6 ust. 1 lit. c i art. 9 ust. 2 lit. a RODO, w związku z obowiązkami prawnymi, wynikającymi z rozpatrywaniem skarg i wniosków na podstawie ustawy - Prawo o adwokaturze, - wobec wyjaśnień Izby wskazano, że za przetwarzanie - w rozumieniu przepisów o ochronie danych osobowych - uznaje się również pozyskiwanie danych, nawet jeżeli ma ono charakter bierny - nie z inicjatywy administratora, lecz podmiotu danych, - dalej przywołano treść art. 13 ust. 1 i 2 RODO, - Wnioskodawca zarzucił NRA i Izbie niespełnienie obowiązku informacyjnego, o którym mowa w art. 13 RODO; na jego wezwanie z [...] maja 2022 r. Izba odpowiedziała, że nie spełniła obowiązku informacyjnego, gdyż ciąży on na podmiotach, które zbierają dane osobowe, a nie pozyskują je w sposób bierny - jak to miało miejsce w niniejszej sprawie - przez przesłanie z własnej inicjatywy przez osobę fizyczną, - jednocześnie Izba wskazała w wyjaśnieniach, że obowiązek taki spełnia w sposób warstwowy - mianowicie, w stopce wiadomości e-mail umieszcza adnotację, że administratorem danych osobowych jest Izba oraz wskazuje link do strony internetowej; jednocześnie w wiadomościach e-mail, otrzymanych przez Wnioskodawcę [...] lipca 2019 r., nie widnieje - wbrew twierdzeniu Izby - odnośnik do klauzuli informacyjnej; dostępność tej klauzuli informacyjnej pod odnośnikiem [...] nie spełnia też wymagania łatwej (art. 12 ust. 1 RODO); znajduje się on na podstronie dotyczącej adwokatów i aplikantów oraz w zakładce "Pliki do pobrania"; tam umieszczono dopiero pliki z klauzulą informacyjną, - tym samym Izba nie spełniła wobec Wnioskodawcy obowiązku informacyjnego, o którym mowa w art. 13 ust 1 i 2 RODO, w chwili pozyskania jego danych osobowych; sprzeczność przedstawionych dowodów może jedynie dowodzić, że odnośnik do klauzuli wprowadzono w późniejszym czasie, lub nie jest on ustawiony w stopce dla wszystkich adresów w domenie adresowej Izby, - co do kwestii spełnienia obowiązku informacyjnego przez NRA - jak wynika z materiału dowodowego - spełniono go po wezwaniu Wnioskodawcy z [...] maja 2022 r. - w piśmie NRA z [...] czerwca 2022 r., gdzie wyjaśniono zasady przetwarzania danych osobowych Wnioskodawcy oraz przedstawiono klauzulę informacyjną w związku ze składanymi skargami, wnioskami i zażaleniami, - przekazana Wnioskodawcy klauzula informacyjna spełnia wymogi art. 13 ust. 1 i 2 RODO; informacja o prawie do uzyskania kopii danych, wynikająca z art. 15 ust. 3 RODO nie musiała być wymieniona jako oddzielne prawo; wchodzi ono w zakres prawa dostępu do danych - regulowanego w art. 15 RODO; NRA poinformowała o nim Wnioskodawcę, - niemniej NRA powinna spełnić obowiązek informacyjny z art. 13 ust. 1 i 2 RODO, najpóźniej w chwili pozyskania danych osobowych Wnioskodawcy; pierwsza komunikacja Wnioskodawcy z NRA - co wynika z materiału dowodowego - nastąpiła tymczasem w 2019 roku; NRA wskazała, że w tym czasie była w trakcie zmian organizacyjnych, które mogły wpłynąć na poprawność realizacji niektórych obowiązków, - odnosząc się do zarzucanego przez Wnioskodawcę niespełnienia przez NRA i Izbę obowiązku informacyjnego, o którym mowa w art. 14 RODO, wskazano: przepis ten nie ma zastosowania w niniejszej sprawie; dotyczy wyłącznie sytuacji, gdy administrator pozyskuje dane osobowe w inny sposób niż od osoby, której dotyczą; w przedmiotowej sprawie NRA i Izba zaprzeczyły, jakoby miały pozyskiwać dane osobowe Wnioskodawcy inaczej niż od niego samego; z kolei Wnioskodawca ograniczył się tylko do sprecyzowania zarzutu niespełnienia wymagania z art. 14 ust. 1 i 2 RODO wobec tych podmiotów; nie wskazał przy tym powodów, dla których uważa, że taki obowiązek należy wobec niego spełnić; tym samym na NRA, ani na Izbie, nie ciążył obowiązek z art. 14 ust. 1 i 2 RODO; oba podmioty bowiem nie pozyskiwały danych osobowych Wnioskodawcy inaczej niż od niego samego, - w wiadomościach e-mail z [...] maja 2022 r. Wnioskodawca zwrócił się do NRA i Izby o wydanie mu kopii przetwarzanych przez te podmioty jego danych osobowych; w piśmie z [...] czerwca 2022 r. Izba ograniczyła się do udzielenia odpowiedzi, że nie przetwarza danych osobowych Wnioskodawcy, gdyż nie pozyskała ich w wyniku swojego działania; Izba nie odniosła się wprost do wniosku o przekazanie kopii danych osobowych Wnioskodawcy; z kolei NRA udzieliła mu odpowiedzi - w piśmie z [...] czerwca 2022 r.; wskazała kategorie przetwarzanych danych - bez przywołania ich treści, - zgodnie z art. 15 ust. 3 RODO, administrator dostarcza osobie, której dane dotyczą, kopię podlegających przetwarzaniu danych osobowych; za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości - wynikającej z kosztów administracyjnych; jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej, - prawo żądania dostępu do danych osobowych przez ich podmiot nie jest bezwarunkowe; jeśli żądanie podmiotu danych, wynikające z art. 15-22, jest nadmierne bądź ewidentnie nieuzasadnione administrator może m.in. odmówić jego realizacji (art. 12 ust. 5 RODO); ponadto prawo do uzyskania kopii nie może niekorzystnie wpływać na prawa i wolności innych (art. 15 ust. 4 RODO); ani NRA, ani Izba nie powołały się na te okoliczności, - udostępnienie kopii danych nie jest równoznaczne z obowiązkiem udostępnienia danych osobowych w takiej formie, w jakiej występuje u administratora (np. w formie konkretnych dokumentów); administrator nie ma obowiązku udostępniania osobie, której dane dotyczą, kopii nośnika, na którym przetwarzane są jej dane osobowe oraz danych, które nie stanowią danych osobowych w rozumieniu art. 4 pkt 1 RODO lub jej nie dotyczą; realizując dany obowiązek, administrator może poprzestać na wskazaniu treści danych, dotyczących osoby - z wyłączeniem pozostałych informacji, zawartych na nośniku; wykonanie prawa dostępu do danych może być zatem realizowane zarówno poprzez sporządzenie kopii lub odpisu dokumentu (nośnika) - zawierającego dane osobowe oraz inne informacje - jak i poprzez podanie uprawnionemu treści jego danych osobowych - z pominięciem znajdujących się w nośniku informacji, które nie są danymi osobowymi; nie ma zatem konieczności udostępniania każdego z posiadanych dokumentów, jeżeli zakres danych, który jest w nich zawarty jest taki sam; w przypadku zwrócenia się do administratora o kopię przetwarzanych danych osobowych, to administrator każdorazowo podejmuje decyzję, w jaki sposób zrealizuje dane uprawnienie; administrator może dokonać wyboru, czy udostępnia kopię dokumentów, czy też udostępnia kopię danych tam zawartych, - realizacja prawa dostępu do kopii danych powinna polegać na realnym dostępie do treści tych danych, a nie wskazaniu wyłącznie kategorii przetwarzanych danych osobowych; dostęp do danych stanowi emanację prawa podmiotu danych do kontroli przetwarzanych na jej temat danych osobowych - w tym ich prawidłowości; udzielenie informacji wyłącznie o kategorii przetwarzanych danych, uniemożliwia przeprowadzenie takiej kontroli, - wobec tego NRA i Izba nieprawidłowo zrealizowały wniosek Wnioskodawcy o kopię danych - naruszając art. 15 ust. 3 RODO - choć z różnych powodów; NRA ograniczyła się do wskazania wyłącznie kategorii przetwarzanych danych osobowych, nie zaś ich treści; Izba nie zrealizowała natomiast wniosku; co wynika z zebranego materiału, Izba upatruje brak obowiązku udostępnienia kopii przetwarzanych danych w tym, że czynnie nie zbierała danych osobowych od Wnioskodawcy; przez to nie dochodziło do ich zbierania, - w toku postępowania Wnioskodawca rozszerzył zakres skargi; wskazał, że pismami z [...] września 2022 r. wystąpił z żądaniem usunięcia jego danych osobowych; pismem z dnia [...] września 2022 r. Izba poinformowała Wnioskodawcę o usunięciu jego danych osobowych; NRA w piśmie z [...] października 2022 r. udzieliła natomiast odpowiedzi, że dane osobowe Wnioskodawcy - w zakresie daty urodzenia, numeru PESEL oraz dotyczących zdrowia - zostaną trwale usunięte ze wszystkich baz i systemów NRA w ciągu 7 dni; poinformowała jednocześnie o braku możliwości usunięcia imienia, drugiego imienia, nazwiska, adresu korespondencyjnego wskazywanego w dokumentach i adresu e-mail - z uwagi na cel dowodowo-roszczeniowy NRA; poinformowano Wnioskodawcę, że aktualnie jego dane osobowe są przetwarzane w związki z jego wnioskiem i żądaniem; NRA wyjaśniła, że dokonała anonimizacji danych Wnioskodawcy w wersji elektronicznej i papierowej danych w zakresie daty urodzenia, numeru PESEL i danych dotyczących zdrowia, - zgodnie z art. 17 ust 1 RODO, osoba, której dotyczą dane, ma prawo żądania od administratora niezwłocznego ich usunięcia, a administrator jest obowiązany - bez zbędnej zwłoki - usunąć dane osobowe, jeżeli zachodzi jedna z okoliczności wskazanych w tym przepisie; wedle RODO mogą to być w szczególności przypadki, w których: dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane (art. 17 ust. 1 lit. a); osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a, i nie ma innej podstawy prawnej przetwarzania (art. 17 ust. 1 lit. b) albo, gdy dane osobowe były przetwarzane niezgodnie z prawem (art. 17 ust. 1 lit. d), - w sprawie nie zachodzi żadna z przesłanek wskazanych w art. 17 ust. 3 RODO, która wyłączałaby ze stosowania prawo do usunięcia danych osobowych, - Izba usunęła dane osobowe Wnioskodawcy - spełniając ostatecznie jego żądanie; z kolei NRA przetwarza jego dane osobowe w zakresie imienia, drugiego imienia, nazwiska, adresu korespondencyjnego wskazywanego w dokumentach i adresu e-mail - z uwagi na cel dowodowo-roszczeniowy NRA oraz na podstawie art. 6 ust. 1 lit. c i f RODO, - przetwarzanie danych osobowych Wnioskodawcy przez NRA w celu: "dowodowo-roszczeniowym" nie znajduje prawnego uzasadnienia w przepisach RODO; zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, bowiem aby wystąpił on z jakimkolwiek roszczeniem wobec NRA – które uzasadniałoby dalsze przetwarzanie danych osobowych; nie wskazano też, aby - po usunięciu części danych – Wnioskodawca zwracał się on do NRA z nowymi skargami lub wnioskami; mogłoby to uzasadniać dalsze przetwarzanie jego danych osobowych - w związku z zainicjowanym przezeń kontaktem; realizując żądanie Wnioskodawcy NRA winna usunąć dane w całości; w przypadku złożenia nowych pism przez Wnioskodawcę, NRA może jednocześnie legitymować się podstawą do ich przetwarzania - w celu ich rozpatrzenia, - ocena dokonywana przez organ służy w każdym przypadku zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego dyspozycji art. 58 ust. 2 RODO - w celu przywrócenie w procesie przetwarzania danych stanu zgodnego z prawem, - w związku z tym zasadnym jest, działając na podstawie art. 58 ust. 2 lit. b RODO, udzielenie Izbie i NRA upomnienia w zakresie stwierdzonego naruszenia art. 15 ust. 3 RODO - poprzez: NRA nieprawidłowe zrealizowanie wniosku z [...] maja 2022 r. polegające na udostępnieniu kategorii przetwarzanych danych, a nie bezpośrednio ich treści, zaś w przypadku Izby wobec jego niezrealizowania, - na podstawie art. 58 ust. 2 lit. b RODO udzielono Izbie upomnienia za niespełnienie wobec Wnioskodawcy obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 i 2 danego aktu, - na podstawie art. 58 ust. 2 lit. b RODO udzielono NRA upomnienia za naruszenie art. 13 ust. 1 i 2 danego aktu; polegało ono na niespełnieniu go w momencie pozyskania danych osobowych, lecz po wezwaniu Wnioskodawcy; jak wskazano, obowiązek ten należało spełnić w momencie pozyskania danych osobowych - niezależnie od tego, czy administrator czynnie zbiera dane osobowe w (swoim własnym działaniem), czy też biernie (otrzymuje w wyniku inicjatywy podmiotu danych), - na podstawie art. 58 ust. 2 lit. g, w zw. z art. 6 ust. 1 i art. 17 ust. 1 lit. a RODO nakazano NRA usunięcie danych osobowych Wnioskodawcy w zakresie: imienia, drugiego imienia, nazwiska, wskazywanego w dokumentach adresu korespondencyjnego i adresu e-mail - w związku z żądaniem Wnioskodawcy ich usunięcia przez oraz brakiem innych podstaw prawnych do ich przetwarzania, - odmówiono jednocześnie uwzględnienia żądania Wnioskodawcy, aby nakazać Izbie usunięcia danych osobowych Wnioskodawcy; wniosek ten Izba zrealizowała - czyniąc ostatecznie zadość jego żądaniu, - wobec żądania Wnioskodawcy o dopełnienie wobec niego obowiązku przekazania kopii danych, o którym mowa w art. 15 ust. 3 RODO, wskazano: nie może on być dopełniony wobec danych osobowych, które usunięto (Izba) lub mają zostać usunięte (NRA); żądanie dotyczy danych, które nie będą istnieć w zasobach NRA; w tym kontekście stoi ono w sprzeczności z żądaniem ich usunięcia; usunięcie danych powoduje niemożliwość weryfikacji ewentualnego dopełnienia danego obowiązku przez organ nadzorczy; nie jest podobnie możliwe nakazanie Izbie spełnienie obowiązku informacyjnego, o którym mowa w art. 13 ust. 1 i 2 RODO, - nie uwzględniono też skargi Wnioskodawcy na niespełnienie przez NRA i Izbę obowiązku informacyjnego, o którym mowa w art. 14 RODO; żaden z tych podmiotów nie pozyskał danych osobowych Wnioskodawcy z innych źródeł niż on sam; na obu podmiotach nie ciążył zatem obowiązek jego wypełnienia. W skardze zarzucono wydanie decyzji z naruszeniem przepisów: - art. 14 RODO, poprzez błędne uznanie, że żaden z podmiotów (Izba i NRA) nie pozyskał danych osobowych Wnioskodawcy z innych źródeł niż on sam – na obu zatem podmiotach nie ciążył obowiązek jego wypełnienia; z materiału dowodowego (wyjaśnień Izby i NRA oraz korespondencji e-mail) wynika tymczasem, że: - oba podmioty wzajemnie przekazywały sobie dane osobowe (korespondencję) Wnioskodawcy; świadczy to o przetwarzaniu pomiędzy sobą; - Izba przyznała wprost, że dane osobowe Wnioskodawcy otrzymywała od Sądów wraz z wydawanymi postanowieniami o wyznaczaniu dla pełnomocników z urzędu, oraz w czasie kiedy Izba przesyłała dane osobowe Wnioskodawcy do Sądów i wyznaczonych pełnomocników - wraz z informacją o ich wyznaczeniu; w dalszej kolejności dowodzi to, że Izba w dalszym ciągu przetwarza dane osobowe Wnioskodawcy; nie mogła ich zniszczyć - jak twierdzi; - Izba pozyskiwała dane Wnioskodawcy np. od adwokata J. Z., z którym ten był w konflikcie; składał on dokumenty do spraw dyscyplinarnych, w których brał udział, - art. 15 ust. 3 RODO, poprzez: dowolną wykładnię i bezzasadne uznanie - wbrew intencji ustawodawcy – że "udostępnienie kopii danych nie jest równoznaczne z obowiązkiem udostępnienia danych osobowych w takiej formie, w jakiej występuje u administratora (np. w formie konkretnych dokumentów). Administrator nie ma obowiązku udostępniania osobie, której dane dotyczą, kopii nośnika, na którym przetwarzane są jej dane osobowe"; przepis ten jasno zaś stanowi: "Administrator dostarcza osobie, której dane dotyczą, kopie danych osobowych podlegających przetwarzaniu"; należy przez to również rozumieć obowiązek administratora (tu Izby i NRA) wydania kopii nośnika np. dokumentów papierowych, które to uzyskał od Wnioskodawcy - nie zaś tylko części danych z tych dokumentów według uznania administratora; ustawodawca nie upoważnił tu administratorów do arbitralnego decydowania o wydaniu tylko np. imienia i nazwiska, nr telefonu, PESEL; - celowe doprowadzenie przez Izbę i NRA do bezprawnego zniszczenia danych osobowych Wnioskodawcy - przed realizacją żądania wydania ich kopii; w konsekwencji organ nadzorczy zaaprobował to nielegalne zachowania się obu podmiotów; pozbawiono tym Wnioskodawcę prawa do uzyskania kopii danych, - art. 58 ust. 2 lit. b RODO, poprzez błędną wykładnie i niewłaściwe zastosowanie; udzielono tylko upomnień Izbie i NRA – "organom prawotwórczym i prawnie działającym w swojej profesji" - za wielokrotne rażące naruszenie w art. 13 ust. 1 i 2 oraz art. 15 ust. 3 RODO; organ zaniechał skorzystania w tej kwestii ze wskazówek z motywu 148 preambuły do RODO; upomnienia można udzielić, gdy kara pieniężna byłaby zbyt dotkliwa dla osoby fizycznej, za niewielkie naruszenie; w sprawie niniejszej przesłanki te nie zachodziły; organ tego nie wykazał i nie uzasadnił, - art. 83 RODO, poprzez jego niezastosowanie i zaniechania wymierzenia kar finansowych - Izbie i NRA - za tak długoletnie lekceważenie przepisów RODO, zaniechania ich stosowania, oraz ich wieloaspektowe naruszenie; powinno to skutkować wymierzeniem kar finansowych, - art. 8, w zw. z art. 7, 77 § 1 i art. 80 K.p.a., poprzez pobieżną i arbitralną ocenę materiału dowodowego; ocena ta podważa zaufanie do organu i praworządność jego działania; godzi to w interes społeczny i obywateli, - art. 107 § 3 K.p.a., poprzez zaniechanie odniesienia się w uzasadnieniu decyzji do faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej - w szczególności tych, złożonych przez Wnioskodawcę, podważających twierdzenia Izby i NRA. W szerszym uzasadnieniu skargi wskazano rozwinięto powyższe zarzuty. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. W piśmie procesowym (k. 57-64) NRA wniosła o oddalenie skargi, podzielając stanowisko organu. Wnioskodawca przesłał przy dodatkowym piśmie (k. 178) wyrok Naczelnego Sądu Administracyjnego na potwierdzenie swoich tez w kwestii sposobu realizacji obowiązku wydanie kopii danych, wedle art 15 ust. 3 RODO (sygn. akt III OSK 1127/22). Sąd zważył, co następuje. Skarga nie zasługuje na uwzględnienie, gdyż zaskarżona decyzja nie narusza prawa. Trafnie organ ustalił istotne uwarunkowania faktyczne sprawy a także przywołał jej ramy prawne w kwestii istnienia podstaw prawnych dla wydania decyzji, którą udzielono NRA I Izbie w stosownym zakresie upomnień, zaś na NRA nałożono obowiązek usunięcia w całości danych osobowych Wnioskodawcy. Wobec szczegółowego zreferowanie argumentacji organu jej powtarzanie byłoby bezzasadne. Sąd przyjmuje ją za własną z zastrzeżeniem uwagi dotyczącej sposobu realizacji obowiązku wydanie kopii danych - w dalszej części uzasadnienia. Wobec zarzutów skargi należy dodać jedynie co następuje. Wnioskodawca, zarzucając naruszenie przepisów prawa materialnego - art. 14 RODO - zakwestionował w istocie prawidłowość ustaleń faktycznych w kontekście konstatacji organu, że oba podmioty nie przetwarzały danych osobowych Wnioskodawcy pozyskanych z innych źródeł niż bezpośrednio od niego - wedle zaakceptowanych wyjaśnień NRA i Izby. Zarzutu tego - dotyczącego w rzeczywistości ewentualnego uchybienia przepisom postępowania, co do powinności właściwego wyjaśnienia sprawy - w istocie jednak nie uzasadnił w kontekście właściwych ram prawnych, wyznaczających zakres powinności przewidzianych danym przepisem. Co wynika z treści skargi, Wnioskodawca bezzasadnie identyfikuje pojęcie przetwarzania danych osobowych z pozyskaniem do swoich zasobów, bądź przesyłaniem jakiegokolwiek pisma, w którego treści dane takie występują. Tymczasem RODO, gdzie zakreślono ramy przetwarzania danych osobowych jak i kompetencje organu wyspecjalizowanego - w razie naruszenia stosownych zasad - odnosi się wyłącznie do operacji przetwarzania danych w ramach określonych uporządkowanych kryteriów - tak art. 1 ust. 1 w zw. z art. 4 pkt 6 RODO. Wobec tego uwarunkowania, samo dysponowanie w zasobach archiwalnych – dokumentacji papierowej bądź w formie plików elektronicznych - dokumentów czy innych pism pochodzących od osób trzecich, gdzie znajdują się jakiekolwiek dane osobowe Wnioskodawcy - np. jego imię i nazwisko, nie jest tożsame z pozyskaniem czy inną formą przetwarzania jego danych osobowych. Nie ma to miejsca, gdy informacje o nim - odpowiadające warunkom dla danych osobowych, wedle art. 4 pkt 1 RODO: - nie są stosownie zagregowane (uporządkowane, przypisane do zbiorów), aby można było z nich na bieżąco korzystać bądź - nie można tego uczynić w prosty sposób - np. przez wyszukiwanie w plikach elektronicznych. W tym kontekście organ nie miał podstaw podważać wiarygodności wyjaśnień NRA oraz Izby, że nie dysponowały one bądź odpowiednio nie dysponują w swoich zasobach dotyczącymi Wnioskodawcy informacjami, stanowiącymi jego dane osobowe - pozyskiwanymi od osób trzecich. Wedle tych wyjaśnień, cały zakres informacji, jaki w uporządkowany sposób gromadziły oba podmioty, był oparty na wiadomościach dostarczonych bezpośrednio przez Wnioskodawcę. Informacji o nim – stanowiących dane osobowe - nie gromadzono natomiast na podstawie wiadomości uzyskiwanych od osób trzecich. Nie jest to, jak wskazano, tożsame z negowaniem wpływu do obu podmiotów jakichkolwiek pism, gdzie dane osobowe Wnioskodawcy występowały. Wpływu dowolnego pisma, gdzie znajdują się dane osobowe konkretnej osoby, przetwarzane już przez dany podmiot, nie sposób utożsamiać z ich pozyskaniem w rozumieniu art. 14 RODO. W rozpatrywanej sprawie – wbrew stanowisku skargi – nie uchybiono też treści art. 15 ust. 3 RODO, wobec nakazania NRA usunięcia danych osobowych Wnioskodawcy – w istocie dotyczy to tych, pozostających w jej bazach, rejestrach oraz uporządkowanych zbiorach dokumentów. Wyklucza to realizację obowiązku wydania kopii danych z art. 15 ust. 3. Skoro Wnioskodawca równocześnie występował o przedstawienie informacji o przetwarzanych danych (wydania kopii) a także ich usunięcie, organ (co trafnie zauważa) nie mógł - w ramach swych kompetencji - nałożyć równocześnie obu tych obowiązków. Skuteczna egzekucja powinności udostępnienia danych (gdyby obowiązany uchylał się od tego) nie mogłaby bowiem nastąpić. Równocześnie nakazano bowiem ich usunięcie. Organ był uprawniony zastosować dalej idący - służący przywróceniu zgodności z prawem - środek wobec żądania Wnioskodawcy usunięcia danych, mając na uwadze cel samego obowiązku wydania kopii danych. Otóż środek ten służy generalnie uzyskaniu informacji, jakie dane są aktualnie przetwarzane przez określony podmiot, ich weryfikacji i zgodności ze stanem rzeczywistym, czy rozważeniu przez podmiot danych realizacji uprawnienia żądania ich usunięcia. Uczynienie tego ostatniego dezaktualizuje funkcję danej instytucji prawnej. Wobec usunięcia danych osobowych Wnioskodawcy przez Izbę zaś nakazu uczynienia tego w pełnym zakresie przez NRA, nie ma istotnego znaczenia dla wyniku sprawy sygnalizowana przez Wnioskodawcę kwestia, czy - w realiach rozpatrywanego przypadku - realizacja obowiązku wydania kopii danych z art. 15 ust. 3 RODO powinna nastąpić poprzez dostarczenie przez administratora wszelkich przetwarzanych danych osobowych Wnioskodawcy - jako katalogu informacji – czy też przekazanie mu wszelkich dokumentów, gdzie dane takie występują (nośniki danych). Zagadnienie ta nie ma znaczenia w danej sprawie. Decyzją nie nałożono bowiem obowiązku wydania kopii danych. Organ wprawdzie - w uzasadnieniu skarżonej decyzji - zajął stanowisko, jak rozumie zakres powinności udostępnienia danych, z czym polemizował Wnioskodawca w skardze - przedkładając też stosowne w jego ocenie orzeczenie sądowe w innej sprawie. Co jednak kluczowe w sprawie - wedle stanowiska wyrażonego przez organ - NRA obowiązek informacyjny zrealizowała w nazbyt wąsko. W uzasadnieniu wskazano, jak należało - zdaniem organu - zrealizować daną powinność. Z kolei - wedle Wnioskodawcy - obowiązek w tym zakresie jest jeszcze szerszy (powinność doręczenia nośników danych – dokumentów). Jednocześnie wobec drugiego z podmiotu - Izby - który bezspornie w ogóle nie zrealizował obowiązku wydania kopii danych (błędnie zakładając, że go nie dotyczy) organ zastosował sankcje upomnienia – tak samo jak w stosunku do NRA, gdzie powinności zdaniem organu prawidłowo nie zrealizowano. Uzasadnia to konstatację, że gdyby nawet obowiązek wydania kopii danych miał być szerszy wobec zakreślonego przez organ (jak wywodzi to Wnioskodawca), nie mogło to mieć wpływu na wynik niniejszej sprawy - zastosowanie sankcje nagany, jako środek dyscyplinujący. W tej sytuacji, zajmowanie przez Sąd w przedmiotowej sprawy stanowiska, jak prawidłowo należy realizować obowiązek wydania kopii danych wedle art. 15 ust. 3 RODO (kwestia sporna między organem i Wnioskodawcą), byłoby bezzasadne. Nie ma bowiem to żadnego znaczenia dla wyników danej sprawy. Chybione są wywody skargi, gdzie zarzucono naruszenie przepisów prawa materialnego, zakreślających kompetencje organu przy stosowaniu środków naprawczych bądź dyscyplinujących. Jak trafnie przyjęto w judykaturze, kwestia zastosowania przewidzianej w RODO sankcji - w postaci administracyjnej kary pieniężnej - pozostaje w sferze uznania organu. Środek ten stosowany jest bowiem z urzędu. Kontrola legalności stosowania danej sankcji przez sąd administracyjny dotyczyć może więc wyłącznie przypadku, gdy karę w określonej wysokości wymierzono. W kontekście decyzji administracyjnych Sąd nie bada bowiem legalności działania organu w zakresie gdzie, może on podejmować kompetencje władcze wyłącznie z urzędu. Rolą sądu administracyjnych nie jest bowiem generalnie kontrola racjonalności i celowości działania administracji publicznej, lecz legalność rozstrzygnięcia w sprawie indywidualnej, gdy ingeruje ono w sferę praw i obowiązków jednostki – służy to ochronie jej praw. Nie naruszono też wymienionych w skardze przepisów postępowania, co do powinności właściwego wyjaśnienia sprawy czy uzasadnienia decyzji. Żadne jej istotne okoliczności faktyczne nie budzą wątpliwości. Sąd nie dopatrzył się więc w zaskarżonym akcie - w świetle zarzutów skargi ani z urzędu - wad, które uzasadniałyby jego wyeliminowanie z obrotu prawnego. Z przytoczonych wyżej przyczyn - na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023 r., poz. 1634 ze zm.) - orzeczono jak w sentencji. ----------------------- 19