II SA/Wa 1634/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj, Sędziowie WSA Iwona Dąbrowska, Adam Lipiński (spr.), Protokolant specjalista Wiesława Jesiotr, po rozpoznaniu na rozprawie w dniu 17 października 2018 r. sprawy ze skargi W. C. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] września 2017 r. utrzymał w mocy poprzedzającą decyzję z dnia [...] lipca 2016 r. o odmowie uwzględnienia wniosku K. i W. C. dotyczącego nieprawidłowości w procesie przetwarzaniu ich danych osobowych. W podstawie prawnej decyzji z dnia [...] września 2017 r. organ przywołał art. 138 § l pkt 1 Kodeksu postępowania administracyjnego oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2, art. 27 ust. 2 pkt 10, art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922). W uzasadnieniu decyzji Generalny Inspektor wskazał, co następuje. We wniosku inicjującym sprawę, K. i W. C. zarzucili firmie [...] - administratorowi budynku Wspólnoty Mieszkaniowej, w którym wnioskodawcy mieszkają - rażące naruszenie ustawy o ochronie danych osobowych (w szczególności art. 27, art. 51 i art. 52), poprzez rozniesienie w dniach [...] maja i [...] czerwca 2015 r., przez obcą osobę, do skrzynek podawczych tego budynku, zamieszkiwanego w większości przez osoby wynajmujące lokale, otwartych korespondencji, zawierających poufne i wrażliwe dane na temat wnioskodawców. Na powyższe dane składały się w szczególności szczegółowe informacje na temat toczącego się przeciwko wnioskodawcom postępowania egzekucyjnego. Do przedmiotowej korespondencji dołączono nadto zaświadczenie komornika o stanie sprawy egzekucyjnej oraz sporządzone przez pełnomocnika wnioskodawców wezwanie Wspólnoty do zawarcia ugody, które zawierało poufne i szczególnie chronione dane wrażliwe wnioskodawców. Zainteresowani podnieśli, iż działanie takie było nieuprawnione, albowiem nie wyrażali na nie zgody i nie wynikało ono również z umowy o administrowanie budynkiem. W toku postępowania przeprowadzonego w niniejszej sprawie GIODO ustalił następujący stan faktyczny: Administratorem danych osobowych, będących przedmiotem skargi, jest Wspólnota Mieszkaniowa nieruchomości położonej w [...] przy ul. [...], zw. dalej Wspólnotą Mieszkaniową. Spółka [...] przetwarza dane osobowe skarżących na podstawie umowy o zarządzanie nieruchomością wspólną położoną w [...] przy ul. [...], zawartej [...] września 2008 r. w [...], pomiędzy Wspólnotą Mieszkaniową reprezentowaną przez Zarząd Wspólnoty, a Spółką. Umowa została aneksem nr [...] z [...] czerwca 2010 r. przedłużona na czas nieokreślony. Umowa stanowi jednocześnie umowę powierzenia przetwarzania danych osobowych, o której mowa w art. 31 ustawy o ochronie danych osobowych (umowa w aktach sprawy). Spółka na podstawie umowy wykonuje czynności administrowania nieruchomością wspólną, które obejmują m.in.: ustalanie aktualnego stanu prawnego i faktycznego nieruchomości, prowadzenie wykazu lokali, właścicieli lokali (§ 3 pkt 1), prowadzenie imiennej ewidencji opłat wnoszonych przez właścicieli lokali na fundusz remontowy, pokrycie kosztów zarządu oraz usług, o których mowa w pkt 6 (§ 3 pkt 2), rozliczanie z właścicielami opłat z tytułu kosztów zarządu nieruchomością wspólną - pobieranych w ciągu roku w formie miesięcznych zaliczek określonych uchwałą właścicieli lokali i opłat za tzw. świadczenia obejmujące dostawy do lokali właścicieli: centralnego ogrzewania (c.o.), ciepłej wody (c.w.) i zimnej wody (z.w.), wywozu śmieci, odprowadzenie ścieków z lokali i inne dostawy zgodnie z dostarczonymi przez właścicieli dokumentami (§ 3 pkt 9). Zgodnie z § 7 umowy właściciele nieruchomości wspólnej zobowiązują się do wnoszenia ustalonych w trybie uchwały Wspólnoty miesięcznych opłat zaliczkowych na pokrycie kosztów utrzymania nieruchomości wspólnej oraz pozostałych świadczeń i usług przeznaczonych dla lokali z góry nie później niż do 10 dnia każdego miesiąca. Zgodnie z § 10 pkt 2 umowy do obowiązków Wspólnoty Mieszkaniowej należy składanie do Spółki listy osób zamieszkałych w poszczególnych lokalach oraz kopii aktów notarialnych sprzedaży lokali. Przeciwko skarżącym toczy się postępowanie egzekucyjne o sygn.: [...] prowadzone przez Komornika Sądowego przy Sadzie Rejonowym [...] w [...] A. K. z tytułu zadłużenia wobec Wspólnoty Mieszkaniowej. Spółka wyjaśniła, że korespondencja będąca przedmiotem skargi: "dotyczyła bieżącej uchwały Wspólnoty Mieszkaniowej, której projekt został zaproponowany przez Zarząd Wspólnoty, w związku z wpłynięciem na adres [...] Sp. z o.o. «Przedsądowego wezwania do zawarcia ugody» z dnia [...] maja 2015 r. Korespondencja została wysłana do wszystkich właścicieli Wspólnoty Mieszkaniowej na zadeklarowane przez nich adresy korespondencyjne. Nieprawdą jest twierdzenie skarżących, jakoby korespondencja została kierowana drogą otwartą do wszystkich mieszkańców nieruchomości w tym osób postronnych. Korespondencję do skrzynek pocztowych dostarczyła osoba upoważniona przez [...] Sp. z o.o. Dokumenty zostały umieszczone jedynie w skrzynkach pocztowych tych właścicieli, którzy zadeklarowali wolę otrzymywania korespondencji na swój domowy adres przy ul. [...]. Skrzynki odbiorcze są zamykane na klucz, który otrzymał tylko właściciel, pomimo tego, że stanowią własność Wspólnoty Mieszkaniowej. Nie mamy natomiast wpływu na to komu właściciele powierzają dostęp do swojej skrzynki pocztowej i czy chronią jej poufność". Spółka wyjaśniła ponadto iż: "W korespondencji współwłaściciele zostali poinformowani o wpływie «Przedsądowego wezwania do zapłaty» z dn. [...] maja 2015r.. o stanie zadłużenia skarżących wobec Wspólnoty Mieszkaniowej oraz otrzymali treść uchwały związanej ze sprawą nr [...] z dn. [...] maja 2015 r. wraz z kartą do glosowania. Korespondencja pomiędzy członkami Wspólnoty a Wspólnotą Mieszkaniową jest jawna dla każdego ze współwłaścicieli, co można wywieść m.in. z treści art. 27 ustawy o własności lokali, szczególnie w zakresie niezbędnych informacji do podjęcia odpowiedniej decyzji. Aby wspólnota mogła korzystać z prawa do windykacji zobowiązań, jej członkowie powinni znać pewne dane właściciela o wysokość jego zadłużenia wobec Wspólnoty. Z art. 200 dział IV Kodeksu Cywilnego wynika, że współwłaściciele dla prawidłowego zarządzania współwłasnością muszą znać niektóre dane osobowe pozostałych współwłaścicieli, ponieważ każdy ze współwłaścicieli jest obowiązany do współdziałania w zarządzie rzeczą wspólną. Ustawa o własności lokali w art. 29 ust. 3 stanowi, że prawo kontroli danych posiadanych przez Wspólnotę Mieszkaniową służy każdemu właścicielowi lokalu. Każdemu współwłaścicielowi przysługuje uprawnienie dostępu do dokumentacji związanej z zarządzaniem nieruchomością. Zakres przekazanych danych osobowych związanych ze sprawą zadłużenia skarżących wobec Wspólnoty Mieszkaniowej prowadzonej z tego tytułu egzekucji komorniczej, otrzymanego od skarżących przedsądowego wezwania oraz konieczności podjęcia przez współwłaścicieli decyzji w postaci uchwały Wspólnoty Mieszkaniowej, był ściśle związany z treścią podejmowanej uchwały nr [...] z dnia [...] maja 2015 r., zgodny z prawem i celem jej udostępnienia". Radca prawny K. B. w ww. postępowaniu egzekucyjnym przeciwko skarżącym reprezentuje interesy Wspólnoty Mieszkaniowej. W tym stanie faktycznym Generalny Inspektor Ochrony Danych Osobowych wydał decyzję, z dnia [...] lipca 2015 r., mocą której odmówił uwzględnienia wniosku skarżących. W wyniku rozpatrzenia wniosku K. i W. C. o ponowne rozpatrzenie spawy, Generalny Inspektor nie znalazł podstaw do jego uwzględnienia i decyzją z dnia [...] września 2017 r. utrzymał w mocy swoje poprzedzające rozstrzygniecie. Organ wskazał i omówił art. 23 ust. 1 i ust. 2 oraz art. 27 ust. 1 i ust. 2 ustawy o ochronie danych osobowych oraz stwierdził, iż w ustalonym wyżej stanie faktycznym i prawnym Wspólnota Mieszkaniowa będąca administratorem danych osobowych w rozumieniu art. 7 pkt 4 ustawy, została upoważniona do przetwarzania danych osobowych każdego z właścicieli lokali mieszkalnych (w tym również danych osobowych Skarżących), na podstawie przepisów ustawy z dnia 24 czerwca 1994 r. o własności lokali (Dz. U. z 2015 r., poz. 1892 ze zm.), a w zakresie w nich nieuregulowanym, na podstawie przepisów ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. 2017 r., poz. 459). Zgodnie z treścią powołanych powyżej aktów prawnych Wspólnota Mieszkaniowa uprawniona jest do przetwarzania danych osobowych swoich członków (a zatem i skarżących), również w związku z istniejącymi zaległościami w opłatach ponoszonych na rzecz utrzymania nieruchomości wspólnej. Zgodnie z art. 6 ustawy o własności lokali, ogół właścicieli, których lokale wchodzą w skład określonej nieruchomości, tworzy wspólnotę mieszkaniową. Stosownie zaś do art. 13 omawianej ustawy, właściciel ponosi wydatki związane z utrzymaniem jego lokalu, jest obowiązany utrzymywać swój lokal w należytym stanie, przestrzegać porządku domowego, uczestniczyć w kosztach zarządu związanych z utrzymaniem nieruchomości wspólnej, korzystać z niej w sposób nieutrudniający korzystania przez innych współwłaścicieli oraz współdziałać z nimi w ochronie wspólnego dobra. Zgodnie z treścią art. 18 ust. 1 ustawy o własności lokali, właściciele lokali mogą w umowie o ustanowieniu odrębnej własności lokali albo w umowie zawartej później w formie aktu notarialnego określić sposób zarządu nieruchomością wspólną, a w szczególności mogą powierzyć zarząd osobie fizycznej albo prawnej. W niniejszej sprawie zarządcą powołanym przez Wspólnotę na podstawie ww. przepisów ustawy jest Spółka. W związku z tym Spółka ta posiada wynikający z art. 29 ustawy o własności lokali, prawny obowiązek prowadzenia dla każdej nieruchomości wspólnej, określonej przez Wspólnotę Mieszkaniową, ewidencji pozaksięgowej kosztów zarządu nieruchomością wspólną oraz zaliczek uiszczanych na pokrycie tych kosztów, a także rozliczeń z innych tytułów na rzecz nieruchomości wspólnej. Spółka ma również obowiązek sporządzenia protokołu przejęcia nieruchomości i jej dokumentacji technicznej (budowlanej, powykonawczej i książki obiektu budowlanego) w imieniu wspólnoty mieszkaniowej, przechowywania dokumentacji technicznej budynku oraz prowadzenia i aktualizowania spisu właścicieli lokali i przypadających im udziałów w nieruchomości wspólnej (art. 29 ust. 1b ustawy o własności lokali). Szczegółowe obowiązki zarządcy określa umowa o zarządzanie nieruchomością wspólną położoną w [...] przy ul. [...] (kopia umowy w aktach sprawy). Przeprowadzone w sprawie postępowanie dowodowe dostarczyło wystarczających podstaw dla uznania przez organ ochrony danych osobowych, iż w celu umożliwienia Spółce prawidłowego wykonywania obowiązków zarządcy nieruchomości wspólnej Wspólnota zawarła z nią umowę o przetwarzanie danych osobowych na podstawie art. 31 ustawy o ochronie danych osobowych (umowa). Art. 31 ustawy zezwala bowiem administratorowi danych (w niniejszej sprawie - Wspólnocie) na powierzenie danych innemu podmiotowi, jednakże wymaga zawarcia w tym celu pisemnej umowy, która powinno zawierać takie elementy jak: określenie zakresu powierzonych danych i celu, dla którego dane te będą przetwarzane (art. 31 ust. 1 i ust. 2 ustawy). Jednocześnie podmiot, któremu dane powierzono może je przetwarzać wyłącznie w zakresie i celu określonym w umowie (art. 31 ust. 2 ustawy), istota powierzenia przetwarzania danych polega przy tym na udzieleniu przez administratora danych (Wspólnota Mieszkaniowa) na rzecz innego podmiotu (Spółka) upoważnienia do przetwarzania danych, dla realizacji określonych celów, O celach i środkach przetwarzania powierzonych danych nadal decyduje ich administrator - pozostając odpowiedzialnym za zgodność procesu przetwarzania powierzonych danych z ustawą o ochronie danych osobowych. Podmiot, któremu dane powierzono odpowiada natomiast za ich przetwarzanie niezgodne z umową (art. 31 ust. 4 ustawy o ochronie danych osobowych). Dodać także należy, że podmiot, któremu powierzono dane osobowe jest obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych, o których mowa w art. 36-39, oraz spełnić wymagania określone w przepisach, o których mowa w art. 39a. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych (art. 31 ust. 3 ustawy). W przypadkach, o których mowa w ust. 1-3 ww. art., odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową (ust. 4). Do kontroli zgodności przetwarzania danych przez podmiot, o którym mowa w ust. 1, z przepisami o ochronie danych osobowych stosuje się odpowiednio przepisy art. 14-19 tejże ustawy (ust. 5). Podkreślenia wymaga, że na powierzenie przetwarzania danych osobowych w drodze ww. umowy nie jest wymagana zgoda osoby, której dane tym powierzeniem są objęte. Odnosząc się do zarzutów skarżących przedstawionych we wniosku o ponowne rozpatrzenie sprawy - dotyczących błędnego w ich ocenie uznania przez Generalnego Inspektora, iż omawiana powyżej umowa sianowi nie tylko umowę, na podstawie której Spółka podjęła się zarządzania nieruchomością, lecz jest jednocześnie umowę powierzenia danych - wskazać należy, że z zarządzaniem nieruchomością nierozerwalnie związane jest przetwarzanie danych osobowych jej właścicieli. Nie można uznać, że skoro w ww. umowie zawartej pomiędzy Spółką, a Wspólnotą Mieszkaniową nie został użyły zwrot "powierzenia danych osobowych w celu i zakresie", nie oznacza to, że taki cel i zakres z tej umowy nie wynika. Każda z tych czynności zarządu wymaga przetwarzania danych osobowych właścicieli zarządzanej nieruchomości. Ponadto z treści ww. umowy wynika, że Spółka reprezentuje Wspólnotę Mieszkaniową także przed urzędami, organami administracji samorządowej, sądem, urzędem skarbowym, czy statystycznym. Zakres zaś danych jaki jest przetwarzany przez Spółkę wynika z zakresu danych jakie Wspólnota jej przekazuje do wykonywania przez nią zadań wynikających z Umowy. Łącząca Wspólnotę i Spółkę ww. umowa o zarządzanie nieruchomością stanowi w istocie (w ocenie organu) również umowę powierzenia przetwarzania danych osobowych. Oznacza to, że Spółka reprezentując Wspólnotę Mieszkaniową, działa w jej imieniu nie tylko w zakresie zarządzania nieruchomością wspólna, ale także w stosunkach zewnętrznych. Skoro skarżący są właścicielami mieszkania należącego do Wspólnoty Mieszkaniowej (znajdującego się we Wspólnocie) to ich dane osobowe, jako członków tej Wspólnoty, mogą i są przetwarzane dla celów związanych z zarządem nieruchomością wspólną (w tym dla celów związanych z rozliczeniami) na podstawie ww. przepisów prawa, w tym ustawy o ochronie danych osobowych, tj. jej art. 23 ust. 1 pkt 2 (w odniesieniu do danych zwykłych) oraz art. 27 ust. 1 pkt 10 (w odniesieniu do danych wrażliwych). W tej sytuacji zgoda skarżących na przetwarzanie ich danych osobowych przez Wspólnotę nie stanowi niezbędnej przesłanki warunkującej zgodność z prawem przetwarzania danych, a wręcz jest ona zbędna. We wniosku o ponowne rozpatrzenie sprawy skarżący podnieśli również zarzut udostępnienia przez Spółkę ich danych osobowych osobom nieupoważnionym, tj. najemcom lokali poprzez pozostawienie skierowanej do członków Wspólnoty korespondencji zawierającej poufne i wrażliwe dane w skrzynkach pocztowych nieruchomości należącej do Wspólnoty, który przedstawili również w treści skargi. W ocenie organu, administrator danych - oprócz legitymowania się przynajmniej jedną z przesłanek wymienionych w art. 23 ust. 1 ustawy lub w art. 27 ust. 2 - ma ponadto stosownie do art. 36 ustawy obowiązek zastosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych, a w szczególności zabezpieczenia danych przed ich udostępnieniem osobom nieupoważnionym. Wybór środków gwarantujących przetwarzanym danym optymalny stopień zabezpieczenia pozostawiono do uznania administratorowi danych. Generalny Inspektor, po dokonaniu ponownej analizy materiału dowodowego zebranego w sprawie, nie stwierdził okoliczności uzasadniających twierdzenie, aby dane osobowe skarżących pozbawione zostały należytej ochrony i udostępnione zostały osobom nieupoważnionym na skutek rozniesienia w dniach [...] maja i [...] czerwca 2015 r., do skrzynek podawczych budynku Wspólnoty Mieszkaniowej ww. korespondencji. W tym miejscu podkreślenia wymaga, że każdy ze współwłaścicieli lokalu usytuowanego na terenie Wspólnoty Mieszkaniowej (i do niej należącego) jest jej równoprawnym członkiem, tj. posiada równe prawa i obowiązki wobec całej Wspólnoty. Także i skarżący powinni mieć zatem świadomość tego, że przynależąc do Wspólnoty ciążą na nich pewne obowiązki, wynikające z przepisów ustawy o własności lokali i ustawy Kodeks cywilny. Skarżący powinni mieć zwłaszcza świadomość tego, że kierując pisma do Wspólnoty reprezentowanej przez Spółkę, każdy ze Współwłaścicieli (członków Wspólnoty) będzie posiadał prawdo się zapoznać z treścią takiego pisma, w szczególności jeśli skutki takiego pisma będą miały wpływ na całą Wspólnotę. Niewątpliwie takim pismem jest przedsądowe wezwanie do zawarcia ugody skierowane przez pełnomocnika skarżących do Wspólnoty. Skarżący w piśmie tym wskazali, że zamierzają wystąpić przeciwko Wspólnocie z pozwem o zapłatę 28 tysięcy złotych. W piśmie tym pełnomocnik skarżących wskazuje propozycję zawarcia ugody polegającej na zwolnieniu Wspólnoty "z obowiązku zapłaty długu" - 28 tysięcy złotych (z tytułu naruszenia ich dóbr osobistych) w zamian za to, że Wspólnota zapłaci skarżącym kwotę 7 tysięcy złotych oraz zwolni skarżących z długów jakie Wspólnota dochodzi wobec skarżących w postępowaniu egzekucyjnym. W ocenie Generalnego Inspektora udostępnienie tego pisma przez (prowadzącą obsługę Wspólnoty) Spółkę, wszystkim członkom Wspólnoty było działaniem właściwym, bowiem Wspólnotę tworzą wszyscy jej członkowie. Odnosząc się natomiast do zarzutu skarżących - dotyczącego nieprawidłowego udostępnienia pism zawierających ich dane osobowe polegającego na umieszczeniu ich w skrzynkach pocztowych - wskazać należy, iż prawdziwe jest twierdzenie, że Wspólnota (jak i działająca w jej imieniu Spółka) ma obowiązek dostarczenia korespondencji w taki sposób, aby nie doszło do udostępnienia danych osobom nieupoważnionym. W zakresie przedmiotowej sprawy, postępowanie wyjaśniające nie dostarczyło dowodów na to, iż z danymi osobowymi skarżących zapoznane zostały osoby nieupoważnione. W wyroku z dnia 2 lipca 2008 r. sygn. II SA/Wa 2007/07 WSA w Warszawie orzekł, iż: "kwestia odbioru korespondencji przez upoważnioną osobę (...) nie podlega ocenie na gruncie ustawy o ochronie danych osobowych". Przesłanie dokumentów zawierających dane osobowe w formie przesyłki listowej stanowi wystarczający środek zabezpieczenia danych. Nadawca nie ma wpływu kto faktycznie, poza właściwym adresatem, mógł zapoznać się z jej zawartością po doręczeniu (por. wyrok WSA w Warszawie z dnia 17 czerwca 2004 r. - sygn. akt II SA/Wa 753/04). W ocenie Generalnego Inspektora nie można czynić Spółki, jako nadawcy korespondencji kierowanej do członków Wspólnoty, odpowiedzialnej za to, czy, a jeżeli tak, to komu konkretni właściciele lokali udostępniają zawarte w tej korespondencji dane osobowe lub umożliwiają do nich dostęp (np. najemcom ich lokali, odbierającym korespondencję adresowaną do członków Wspólnoty, pozostawianą w skrzynkach pocztowych). Korespondencja adresowana do oznaczonych członków Wspólnoty została umieszczona w należących do nich zamkniętych indywidualnych skrzynkach pocztowych, więc nie można zarzucić Spółce niedopełnienia należytego zabezpieczenia przetwarzanych danych przed udostępnieniem osobom nieupoważnionym. Podkreślić w tym miejscu należy, iż organ administracji publicznej może uznać stan faktyczny rozpatrywanej sprawy za ustalony jedynie na podstawie nie budzących wątpliwości dowodów i nie może poprzestać w tym zakresie na uprawdopodobnieniu - chyba, że przepisy ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2017 r., poz. 1257) stanowią inaczej (np. art. 24 § 3 Kpa). Jak stwierdził Naczelny Sąd Administracyjny w wyroku z dnia 9 lipca 1999 r. (sygn. III SA 5417/98) "organ prowadzący postępowanie musi. W niniejszej sprawie analiza materiału dowodowego nie wykazała, aby kwestionowany przez skarżących proces przetwarzania ich danych osobowych, polegający na udostępnieniu ich danych osobowych w zakresie danych zawartych w omawianej korespondencji na rzecz osób lub podmiotów nieuprawnionych miał miejsce. Odnosząc się zaś do kwestii udostępnienia adresu mailowego skarżącego przez Spółkę na rzecz radcy prawnego K. B., wskazać należy, że skarżący nie zakwestionowali przetwarzania adresu mailowego skarżącego przez Wspólnotę, ani też przez Spółkę. Ze zgromadzonego materiału dowodowego wynika, że radca prawny K. B. działa na rzecz Wspólnoty w postępowaniu egzekucyjnym prowadzonym przeciw skarżącym, zatem nie może być uznany za osobę nieuprawnioną. Postępowanie administracyjne prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych służy weryfikacji legalności kwestionowanych działań skarżonego podmiotu w zakresie przetwarzania przez niego danych osobowych, w kontekście możliwości skierowania pod jego adresem nakazu służącego przywróceniu sprawie stanu zgodnego z prawem - na podstawię art. 18 ust. 1 ustawy o ochronie danych osobowych. Odwołując się do powyższej regulacji należy zaznaczyć, iż brak jest w przedmiotowej sprawie podstaw: do wydania decyzji nakazującej przywrócenie stanu zgodności z prawem, albowiem Generalny Inspektor nie stwierdził naruszenia ustawy o ochronie danych osobowych. K. i W. C. wnieśli do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę, w której wyżej opisanej decyzji Generalnego Inspektora Ochrony Danych Osobowych zarzucili: 1. Ponowne oparcie decyzji o niepoparte żadnymi dowodami, gołosłowne oświadczenia Spółki, której skarga dotyczy oraz nietrafne i nieuzasadnione argumenty GIODO. 2. Ponowny brak obiektywizmu i tendencyjność w ocenie sprawy. 3. W związku z punktami poprzedzającymi, niewłaściwą kontrolę nad postępowaniem administracyjnym, wskutek błędnego przyjęcia, że przetwarzania danych spełniało usprawiedliwiony cel, o którym mowa w art. 23 ust. 1 pkt. 5, ustawy o ochronie danych osobowych, jak również art. 27 ust. 2 ww. ustawy. 4. Ponowne naruszenie szeregu przepisów postępowania administracyjnego i innych ustawy o ochronie danych osobowych itp., 5. Dodatkowo, trwającą ponad 2 lata bezczynność i przewlekle prowadzenie postępowania z naszej skargi, skutkujące przyzwalaniem na dalsze łamanie prawa przez Spółkę [...] z [...] i Zarząd Wspólnoty Mieszkaniowej, których dotyczyła skarga, z pokrzywdzeniem naszej rodziny. W konkluzji skargi K. i W. C. wnieśli o: 1. Uwzględnienie skargi, poprzez uchylenie w całości zaskarżonej decyzji, jako nieuzasadnionej i niezgodnej z prawem, 2. Przekazanie sprawy do ponownego rozpatrzenia, 3. W razie uznania naszych zarzutów w niniejszej skardze za słuszne, nakazanie również organowi przeprowadzenia kontroli, o której mowa w art . 14-19 ustawy o ochronie danych osobowych, 4. Z uwagi na przewlekłość postępowania, zobowiązanie organu administracyjnego do ścisłego przestrzegania zasad postępowania i terminów wynikających z Kpa. W uzasadnieniu skargi skarżący podtrzymali swoje twierdzenia wyrażone we wniosku (skardze) inicjującym postępowanie przez GIODO oraz wyrażone we wniosku o ponowne rozpatrzenie sprawy. Podnosili, iż nigdy nie wyrażali zgody na przetwarzanie danych osobowych przez Wspólnotę Mieszkaniową oraz Spółkę [...], tym bardziej na przetwarzanie danych wrażliwych albo poufnych, dotyczących stanu zdrowia, czy spraw majątkowych, rodzinnych albo postepowań egzekucyjnych. GIODO nieprawidłowo uznał istnienie takich uprawnień ze strony Wspólnoty oraz Spółki [...], wbrew treści umowy o zarząd, zawartej pomiędzy tymi podmiotami. Nadto umowa ta nie daje Spółce prawa do reprezentowania Wspólnoty na zewnątrz. Zawsze kwestionowali praktykę wkładania otwartej korespondencji (listy otwarte, bez koperty) do skrzynek w budynku, w którym zamieszkują. Poza naruszeniem ustawy o ochronie danych osobowych jest to także naruszenie tajemnicy korespondencji. Wskazywali, iż skierowane z ich strony wezwanie Wspólnoty do ugody w ramach przedsądowego wezwania do zapłaty, nie ma nic wspólnego z rozliczeniem się z tytułu opłat związanych z zajmowanym mieszkaniem, dotyczy bowiem odszkodowania należnego skarżącym od Wspólnoty z tytułu naruszania praw osobistych skarżących. Z tych względów wezwanie to wraz z załączonymi dokumentami nie powinno stanowić korespondencji pomiędzy Wspólnota a pozostałymi współwłaścicielami, tym bardziej korespondencji otwartej. Adres e-mailowy skarżącego został udostępniony jedynie i wyłącznie Spółce [...] i dlatego brak było upoważnienia do dalszego udostępnienia go radcy prawnemu reprezentującemu Wspólnotę. W tym miejscu wskazać należy, iż skarga została opłacona jedynie przez skarżącego – W. C. W związku z brakiem opłacenia skargi przez K. C., Wojewódzki Sąd Administracyjny w Warszawie postanowieniem z dnia 6 lipca 2018 r. skargę jej odrzucił. Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie, argumentując jak w uzasadnieniu zaskarżonej decyzji. K. C. – jako uczestnik postępowania, pomimo powiadomienia o rozprawie, nie zajęła w sprawie żadnego stanowiska. Wojewódzki Sąd Administracyjny w Warszawie zważył co następuje: Skarga nie jest zasadna. Generalny Inspektor Ochrony Danych Osobowych prawidłowo ustalił stan faktyczny sprawy i prawidłowo zastosował wskazane w zaskarżonej decyzji przepisy prawa, zwłaszcza przepisy ustawy o ochronie danych osobowych, obowiązujące w dacie orzekania. Aby przetwarzanie danych osobowych przez administratora tych danych było zgodne z prawem przetwarzanie to musi być dokonywane na podstawie przesłanek określonych w art. 23 ust. 1 pkt 1 - 5 (w przypadku tzw. danych zwykłych) lub w oparciu o art. 27 ust, 2 pkt 1-10 ustawy (w przypadku tzw. danych szczególnie chronionych) ustawy o ochronie danych osobowych. Zgodnie z art. 23 ust. 1 ustawy, przetwarzanie danych osobowych jest dopuszczalne, gdy: osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (pkt 1), jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2), jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą (pkt 3), jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4), jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów- realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5). Szczególnie podkreślić natomiast należy, iż ww. przesłanki odnoszą się do wszelkich form przetwarzania danych wymienionych w art. 7 pkt 2 ustawy, w tym w szczególności do ich udostępnienia są także względem siebie równoprawne, co oznacza, że dla legalności procesu przetwarzania danych wystarczające jest spełnienie jednej z nich. Przez co zgoda na przetwarzanie danych, o której mowa w art. 23 ust. 1 pkt 1 ustawy, nie jest jedyną przesłanką legalizującą proces przetwarzania danych osobowych. Z kolei mocą art. 27 ust. 1 ustawy zabrania się przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. Ustawa zezwala jednak na przetwarzanie ww. danych osobowych w szczególnych przypadkach, które określa art. 27 ust. 2 ustawy, zgodnie z treścią którego to przepisu, przetwarzanie danych, o których mowa w ust. 1, jest jednak dopuszczalne, jeżeli: osoba, której dane dotyczą, wyrazi na to zgodę na piśmie, chyba że chodzi o usunięcie dotyczących jej danych (pkt 1); przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony (pkt 2); przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, gdy osoba, której dane dotyczą, nie jest fizycznie lub prawnie zdolna do wyrażenia zgody, do czasu ustanowienia opiekuna prawnego lub kuratora (pkt 3); jest to niezbędne do wykonania statutowych zadań kościołów i innych związków wyznaniowych, stowarzyszeń, fundacji łub innych niezarobkowych organizacji lub instytucji o celach politycznych, naukowych, religijnych, filozoficznych lub związkowych, pod warunkiem, że przetwarzanie danych dotyczy wyłącznie członków tych organizacji lub instytucji albo osób utrzymujących z nimi stale kontakty w związku z ich działalnością i zapewnione są pełne gwarancje ochrony przetwarzanych danych (pkt 4); przetwarzanie dotyczy danych, które są niezbędne do dochodzenia praw przed sądem (pkt 5): przetwarzanie jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób. a zakres przetwarzanych danych jest określony w ustawie (pkt 6); przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych (pkt 7); przetwarzanie dotyczy danych, które zostały podane do wiadomości publicznej przez osobę, której dane dotyczą (pkt 8): jest to niezbędne do prowadzenia badań naukowych, w tym do przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego; publikowanie wyników badań naukowych nie może następować w sposób umożliwiający identyfikację osób, których dane zostały przetworzone (pkt 9); przetwarzanie danych jest prowadzone przez stronę w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym (pkt 10). GIODO prawidłowo ustalił, iż Wspólnota Mieszkaniowa jak i Spółka [...] były administratorami danych osobowych skarżącego i miała prawo do przetwarzania tych danych. Ustalenia te wynikając z treści umowy z dnia [...] września 2008 r., zawartej pomiędzy Wspólnotą i Spółką w zakresie zarządu nieruchomością i przedłużonej stosownym aneksem na czas nieokreślony (umowa w aktach administracyjnych sprawy), przepisów art. 7 pkt. 4, art. 18 ust. 1, art. 29, art. 31 oraz art. 36-39 ustawy z dnia 24 czerwca 1994 r. o własności lokali oraz okoliczności faktycznych: - toczenia się przeciwko K. i W. C. postępowania egzekucyjnego na rzecz Wspólnoty prowadzonego przez Komornika Sądowego przy Sądzie Rejonowym [...] w [...], z tytułu zadłużenia wobec Wspólnoty; - złożenia przez K. i W. C. wobec Wspólnoty przedsądowego wezwania do zapłaty z dnia [...] maja 2015 r. i propozycji ugody; - uchwały podjętej przez Wspólnotę z dnia [...] maja 2015 r., w odpowiedzi na powyższe wezwanie z [...] maja 2015 r. Organ wskazał, iż Wspólnota Mieszkaniowa musiała ustosunkować się do wezwania (pismo z [...] maja 2015 r.) ze strony K. i W. C. i w tym zakresie była zobowiązana powiadomić o całej sprawie wszystkich członków Wspólnoty. Aby podjąć uchwałę, czy zając jakikolwiek stanowisko w tej sprawie, członkowie Wspólnoty powinni być zaznajomieni z całością sprawy, w tym zarówno z argumentacją przedstawioną przez skarżących w wezwaniu z [...] maja 2015 r. i załączonymi przez nich dokumentami, jak i z danymi o toczącym się postępowaniu egzekucyjnym. Z tych przyczyn organ trafnie wskazał na usprawiedliwione powyższymi celami i zgodnych z art. 23 i art. 27 ustawy o ochronie danych osobowych, przetwarzanie danych osobowych skarżących zarówno przez Spółkę [...], jak i Wspólnotę Mieszkaniową oraz jej członków (współwłaścicieli). Także z tych przyczyn organ trafnie wskazał na usprawiedliwione powyższymi celami przekazanie radcy prawnemu Wspólnoty przez Spółkę [...] adresu e-mailowego skarżącego. W brew twierdzeniom skargi, materiał sprawy nie potwierdził, aby korespondencja kierowana do członków Wspólnoty, była wkładana do skrytek dla korespondencji przez Spółkę [...] (zarządcę) jako "listy otwarte". Skrytki te były zabezpieczone, poprzez zamki, do których klucze posiadali jedynie członkowie Wspólnoty. Korespondencja pomiędzy Wspólnotą a jej członkami (dotyczącą K. i W. C. w zakresie ich zadłużenia oraz sporządzonego przez nich wezwania z [...] maja 2015 r. jak i w zakresie ich danych osobowych dotyczących tego zadłużenia oraz tego wezwania) była przez Spółkę [...] rozsyłana przy zapewnieniu wymaganych form bezpieczeństwa tajemnicy korespondencji a zatem także zostały zachowane wymogi bezpieczeństwa, aby dane osobowe skarżących dotarły jedynie do członków zainteresowanej Wspólnoty Mieszkaniowej. Z tych przyczyn zarzuty skargi (pkt. 1-4) są nie zasadne. Pozostają one w sprzeczności z materiałem sprawy, abstrahują od celu, któremu służyło przetwarzanie danych osobowych. Rozpatrując sprawę w zakresie ewentualnego zastosowania art. 18 ustawy, Generalny Inspektor Ochrony Danych Osobowych nie naruszył ani prawa procesowego ani materialnego. Natomiast dodatkowy zarzut, wskazany w pkt.5 skargi, powinien zostać zgłoszony w skardze o bezczynność albo przewlekłość. Sądy administracyjne nie mają możliwości w jednym postępowaniu dokonywać kontroli ostatecznej decyzji administracyjnej (przedmiot niniejszej skargi) i jednocześnie oceniać terminowość podejmowanych przez organ czynności w danej sprawie. Wojewódzki Sąd Administracyjny w Warszawie nie dopatrzył się naruszenia prawa, które mogłyby stanowić o uchyleniu czy stwierdzeniu nieważności podjętych w tej sprawie decyzji. Dlatego na podstawie art. 151 w związku z art. 132 ustawy - Prawo o postępowaniu przed sądami administracyjnymi orzekł jak w sentencji wyroku.