II SA/Wa 1606/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Fularski (spr.), Sędzia WSA Danuta Kania, Sędzia WSA Joanna Kruszewska – Grońska, po rozpoznaniu w trybie uproszczonym w dniu 20 maja 2021 r. sprawy ze skargi T. P. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2020 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku z dnia [...] sierpnia 2020 r. w sprawie przetwarzania danych osobowych - oddala skargę - Prezes Urzędu Ochrony Danych Osobowych (dalej: "organ", "Prezes UODO") decyzją z [...] czerwca 2020 r. nr [...], działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2020 r., poz. 256; dalej: "K.p.a.") w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781, dalej: "u.o.d.o." ) w zw. z art. 6 ust. 1 lit. c) i f), art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) Nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2; dalej jako "ogólne rozporządzenie o ochronie danych" lub "rozporządzenie Nr 2016/679"), po rozpatrzeniu sprawy ze skargi T. P. na przetwarzanie jego danych osobowych przez radcę prawnego W. P. z Kancelarii [...], ul. [...],[...], orzekł o odmowie uwzględnienia wniosku. Do wydania powyższej decyzji doszło w następującym stanie faktycznym i prawnym: Do Urzędu Ochrony Danych Osobowych wpłynęła skarga T. P. (dalej także jako : "skarżący", "strona") na przetwarzanie jego danych osobowych, tj. adresu zamieszkania, przez radcę prawnego W. P., prowadzącego Kancelarię [...] (dalej także jako "skarżony"). W treści skargi skarżący podniósł, że odebrał pismo procesowe, tj. pozew o ustalenie wraz z wnioskiem o udzielenie zabezpieczenia wytoczony przez M. F. reprezentowaną przez radcę prawnego W. P. z Kancelarii [...]. Skarżący stwierdził, że ustalenie jego adresu zamieszkania mogło zostać dokonane z naruszeniem przepisów o ochronie danych osobowych. Wyjaśnił, że pod wskazanym w ww. pozwie adresem prowadził kancelarię radcy prawnego. W związku z powołaniem go na urząd [...], zaprzestał prowadzenia wskazanej działalności. Jednocześnie skarżący podniósł, że nigdzie nie podawał publicznie swojego adresu zamieszkania. W toku przeprowadzonego postępowania administracyjnego, Prezes UODO ustalił, że dane osobowe skarżącego, m.in. jego adres zamieszkania zostały pozyskane przez skarżonego od klienta, w związku ze świadczeniem na jego rzecz pomocy prawnej. Wskazane dane osobowe zostały użyte w toku postępowania sądowego, w związku obowiązkiem wynikającym z art. 126 § 2 pkt 1 ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz. U. 2019 poz. 1460, t.j.; dalej jako "kpc") (dowód: pismo z dnia [...] października 2019 r.). Skarżony powołał się na konieczność przestrzegania przepisów o tajemnicy zawodowej (dowód: pismo z dnia [...] października 2019 r.). Dane osobowe skarżącego zostały udostępnione wyłącznie sądowi do którego został wniesiony pozew (dowód: pismo z dnia [...] października 2019 r.). Okres przechowywania danych osobowych skarżącego trwa maksymalnie 10 lat od końca roku, w którym zakończyło się postępowanie, w którym dane osobowe zostały zgromadzone (dowód: pismo z dnia [...] października 2019 r.). Skarżony wskazał, że adres zamieszkania skarżącego dostępny jest również w bazie Centralnej Ewidencji i Informacji o Działalności Gospodarczej (dowód: pismo z dnia [...] października 2019 r., wydruk z bazy Centralnej Ewidencji i Informacji o Działalności Gospodarczej zawierający dane osobowe skarżącego). Prezes UODO wskazaną na wstępie decyzją z [...] czerwca 2020 r. odmówił uwzględnienia wniosku skarżącego. W uzasadnieniu decyzji organ powołał się na art. 6 ust. 1 rozporządzenia Nr 2016/679 zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Zauważył, że katalog przesłanek wymienionych ww. art. 6 ust. 1 rozporządzenia 2016/679, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Proces przetwarzania danych będzie zgodny z rozporządzeniem Nr 2016/679 wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy jest to niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f rozporządzenia Nr 2016/679). Dalej organ odwołał się do przepisów ustawy z dnia 6 lipca 1982 r. o radcach prawnych (Dz. U. z 2020 r. poz. 75; dalej: "u.r.p." lub "ustawa o radcach prawnych") przytaczając treść art. 3 ust. 3 i ust. 4 oraz powołał się na uregulowania art. 15 ust. 1 i ust. 2 Kodeksu etyki radcy prawnego dotyczących obowiązku i terminu zachowania tajemnicy zawodowej. Wyjaśnił, że w świetle art. 64 u.o.d.o., w celu realizacji swoich zadań Prezes UODO ma prawo dostępu do informacji objętych tajemnicą prawnie chronioną, chyba że przepisy szczególne stanowią inaczej. Zauważył, że przepis ten nie może być jednak rozumiany jako uprawniający organ do dostępu do danych osobowych lub innych informacji objętych tajemnicą zawodową radcy prawnego lub adwokata, gdyż zgodnie z art. 5b u.r.p. , zgodnie z którym obowiązek zachowania tajemnicy, o której mowa w art. 3 ust. 4-6, nie ustaje, w przypadku gdy z żądaniem ujawnienia informacji uzyskanych przez radcę prawnego w związku z udzielaniem pomocy prawnej występuje Prezes UODO. Rozpoznając niniejszą sprawę organ wskazał m.in., że skarżony powołał się na przepisy o tajemnicy zawodowej. Nadto pozyskał on dane osobowe skarżącego od klienta, na rzecz którego świadczona była pomoc prawna. Wskazane dane osobowe skarżącego zostały użyte w toku postępowania sądowego, w związku z przygotowaniem przez skarżonego na rzecz jego klienta pozwu o ustalenie wraz z wnioskiem o udzielenie zabezpieczenia. W ocenie organu, powyższe udostępnienie nastąpiło w celu uzyskania profesjonalnej pomocy prawnej w związku postępowaniem sądowym i znajdowało oparcie w art. 6 ust. 1 lit. f rozporządzenia Nr 2016/679, jako niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Dane osobowe skarżącego zostały udostępnione wyłącznie sądowi właściwemu w sprawie, jako podmiotowi, do którego został wniesiony pozew. Jednocześnie organ zauważył, że dane osobowe skarżącego, m.in. w postaci jego adresu zamieszkania dostępne są w bazie Centralnej Ewidencji i Informacji o Działalności Gospodarczej oraz są one przechowywane przez skarżonego, zgodnie z art. 5c pkt 2 lit c u.r.p. Zdaniem Prezesa UODO, powołane wyżej przepisy realizują przesłankę przetwarzania danych osobowych, która jest wskazana w art. 6 ust. 1 lit. c rozporządzenia Nr 2016/679, gdyż obowiązek prawny ciążący na skarżonym polega na konieczności przetwarzania danych osobowych zgodnie z ustawą o radcach prawnych. Konkludując organ stwierdził, że brak jest podstaw do stwierdzenia, że w niniejszej sprawie dane osobowe skarżącego przetwarzane są niezgodnie z przepisami prawa, tj. niezgodnie z art. 6 ust. 1 lit. c i f rozporządzenia 2016/679. W skardze na powyższą decyzję skierowaną do Wojewódzkiego Sądu Administracyjnego w Warszawie (pismo z dnia [...] lipca 2020 r.) skarżący zarzucił naruszenie przepisów prawa tj.: - art. 6 ust. 1 lit c rozporządzenia Nr 2016/679 poprzez jego niewłaściwe zastosowanie bowiem przepis ten samodzielnie nie stanowi podstawy legalizacyjnej przetwarzania; - art. 6 ust. 1 lit f rozporządzenia Nr 2016/679 poprzez jego niewłaściwe zastosowanie w sytuacji, gdy w przedmiotowej sprawie nie zostały spełnione przesłanki wynikającego z brzmienia ww. przepisu; - art. 7, art. 77 § 1, art. 80 oraz art. 8 § 1 K.p.a. poprzez rozstrzygnięcie sprawy bez dokładnego wyjaśnienia stanu faktycznego i zbadania całości materiału dowodowego, co doprowadziło do nieprawidłowego przyjęcia, że niemożliwe jest odwołanie się w niniejszej sprawie do tajemnicy zawodowej - tajemnicy radcy prawnego, a także to, że dane zostały udostępnione jedynie sądowi właściwemu w sprawie; - art. 107 § 3 K.p.a. poprzez brak odpowiedniego uzasadnienia stanu prawnego i faktycznego, co uniemożliwiło ustalenie podstawy motywacyjnej wydanego rozstrzygnięcia i jego prawidłowości, w szczególności w zakresie dokonanej przez organ oceny zgromadzonego w sprawie materiału dowodowego. W związku z powyższym skarżący wniósł o uchylenie wydanej w sprawie decyzji Prezesa UODO z dnia [...] czerwca 2020 r. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując argumentację zawartą w zaskarżonej decyzji. Jednocześnie Prezes UODO szczegółowo odniósł się do zarzutów skargi uznając je za niezasadne. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2021 r., poz. 137) oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm.), dalej: "P.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. W myśl art. 134 § 1 P.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). Skarga T. P. oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie. Przedmiotem kontroli Sądu jest decyzja Prezesa UODO z [...] czerwca 2020 r. odmawiająca uwzględnienia wniosku w sprawie ze skargi skarżącego na przetwarzanie jego danych osobowych, tj. adresu zamieszkania przez radcę prawnego W. P. prowadzącego Kancelarię [...] z siedzibą w [...]. W ocenie Sądu, pozyskanie ww. danych osobowych skarżącego przez skarżonego radcę prawnego reprezentującego M. F., w związku z wniesieniem w jej imieniu pozwu o ustalenie wraz z wnioskiem o udzielenie zabezpieczenia, jak i ich późniejsze wykorzystywanie w toku postępowania sądowego przed sądem powszechnym miało swoje oparcie w przepisach prawa i było zgodne z zasadą legalności wyrażoną w art. 5 ust. 1 lit. a) ogólnego rozporządzenia o ochronie danych osobowych. Należy podnieść, że w myśl obowiązujących przepisów przetwarzanie danych osobowych jest zgodne z prawem, gdy administrator danych legitymuje się co najmniej jedną z określonych w art. 6 ust. 1 rozporządzenia Nr 2016/679 materialnych przesłanek przetwarzania zgodnie z prawem. Według ww. przepisu przetwarzanie danych osobowych jest zgodne z prawem wyłącznie, gdy zostanie spełniony jeden z wymienionych warunków, m. in. kiedy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (lit. c) oraz gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (lit. f). Analiza akt sprawy wskazuje, że radca prawny W. P. pozyskał dane osobowe skarżącego od klienta, na rzecz którego świadczona była pomoc prawna. Wskazane dane osobowe skarżącego zostały użyte w toku postępowania sądowego, w związku z przygotowaniem przez skarżonego na rzecz jego klienta pozwu o ustalenie wraz z wnioskiem o udzielenie zabezpieczenia. Zgodnie zaś z art. 187 ustawy z dnia 23 kwietnia 1964 r. Kodeks postępowania cywilnego (Dz.U. z 2019, poz. 1460) pozew powinien czynić zadość warunkom pisma procesowego oraz art. 126 § 1 i § 2 Kpc, na mocy, którego pismo procesowe powinno zawierać m.in. imię i nazwisko lub nazwę stron, a gdy pismo procesowe jest pierwszym pismem w sprawie, powinno ponadto zawierać m.in. oznaczenie przedmiotu sporu oraz oznaczenie miejsca oznaczenie miejsca zamieszkania lub siedziby i adresy stron albo, w przypadku gdy strona jest przedsiębiorcą wpisanym do Centralnej Ewidencji i Informacji o Działalności Gospodarczej - adres do korespondencji wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej. Uznać należy, że organ trafnie w kontrolowanej sprawie stwierdził, że przesłanką legalizującą przetwarzanie danych skarżącego przez skarżonego jest przytoczony powyżej art. 6 ust. 1 lit. f rozporządzenia Nr 2016/679. Wskazane udostępnienie danych osobowych nastąpiło bowiem w celu uzyskania profesjonalnej pomocy prawnej w związku postępowaniem sądowym. Dane osobowe skarżącego zostały udostępnione wyłącznie sądowi właściwemu w sprawie, jako podmiotowi, do którego został wniesiony pozew. Jednocześnie Sąd zauważa także, że sporne dane osobowe skarżącego m.in. w postaci jego adresu zamieszkania dostępne są w bazie Centralnej Ewidencji i Informacji o Działalności Gospodarczej. A zatem za niezasadny należy uznać zarzut nieuprawnionego wykorzystania danych osobowych skarżącego w postaci adresu zamieszkania i jego udostępnieniu przez radcę prawnego W. P. w postępowaniu sądowym. Skarżony przetwarza bowiem dane osobowe skarżącego w związku z prowadzonym postępowaniem sądowym, w którym stroną pozwaną jest skarżący, przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Jednocześnie należy podnieść, że sporne dane osobowe przechowywane są przez skarżonego, zgodnie z art. 5c pkt 2 lit c u.r.p. W świetle tego uregulowania radca prawny przechowuje dane osobowe zgromadzone w związku ze świadczeniem pomocy prawnej przez maksymalnie 10 lat od prawomocnego zakończenia sprawy. Przytoczone przepisy opierają się na przesłance legalizującej proces przetwarzania danych wymienionej w art. 6 ust. 1 lit. c) ogólnego rozporządzenia o ochronie danych osobowych, który stanowi, że przetwarzanie jest zgodne z prawem, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. W kontrolowanej sprawie taki obowiązek prawny ciąży na skarżonym i polega on na konieczności przetwarzania danych osobowych zgodnie z ustawą o radcach prawnych. Za bezpodstawne należy uznać zarzuty, jakoby zaskarżoną decyzję Prezesa UODO z [...] czerwca 2020 r. wydano z naruszeniem przepisów prawa procesowego – tj. art. 7, art. 8 § 1, art. 77 § 1 oraz art. 80 K.p.a., które mogło mieć istotny wpływ na wynik sprawy. Zdaniem Sądu, organ uzasadnieniu zaskarżonej decyzji przedstawił w sposób należyty stan faktyczny sprawy, podnosząc wszystkie fakty, które mogły mieć znaczenie w sprawie, jak również wyjaśnił przesłanki prawne, podając konkretne przepisy prawa, które przemawiały za odmową uwzględnienia wniosku strony. Uzasadnienie zaskarżonej decyzji spełnia także wszystkie wymogi art. 107 § 3 K.p.a. Sąd dodatkowo stwierdza, że materiał dowodowy znajdujący się w aktach sprawy potwierdza, że w toku postępowania organ administracyjny podjął wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. Tym samym doszło do należytego zastosowania przepisu art. 7 K.p.a. Konkludując prawidłowo organ uznał, że zasadnym było odmówienie uwzględnienia wniosku wobec stwierdzenia braku naruszenia w tym zakresie przepisów ogólnego rozporządzenia o ochronie danych osobowych, tj. m.in. art. 6 ust. 1 lit c i f rozporządzenia Nr 2016/679. Z opisanych przyczyn, Sąd orzekł jak w sentencji wyroku na podstawie art. 151 P.p.s.a.