II SA/Wa 167/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Piotr Borowiecki (spr.), Asesor WSA Michał Sułkowski, Protokolant specjalista Monika Gieroń po rozpoznaniu na rozprawie w dniu 10 marca 2022 r. sprawy ze skargi D. R. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę. Zaskarżoną decyzją z dnia [...] listopada 2020 r., nr [...], Prezes Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO" lub "organ nadzorczy"), działając na podstawie art. 105 § 1 i art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2020 r., poz. 256 ze zm. - dalej: "k.p.a.") oraz art. 7 ust. 1 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2019 r., poz. 1781 - dalej także: "u.o.d.o.") oraz art. 58 ust. 2 lit. b w zw. z art. 5 ust 1 lit. f oraz art. 9 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s. 1 - dalej także: "RODO"), po przeprowadzeniu postępowania administracyjnego zainicjowanego skargą D.R. (dalej także: "skarżący" lub "strona skarżąca") dotyczącą nieprawidłowości w procesie przetwarzania jego danych osobowych przez Komendanta Miejskiego Policji w B. oraz Komendanta Wojewódzkiego Policji w [...]: 1. umorzył postępowanie wszczęte wobec Komendanta Miejskiego Policji w B. (pkt 1 zaskarżonej decyzji); 2. udzielił upomnienia Komendantowi Wojewódzkiemu Policji w [...] za naruszenie przepisów RODO, polegające na udostępnieniu danych osobowych skarżącego D.R. dotyczących stanu jego zdrowia poprzez ujawnienie specjalizacji lekarzy wystawiających mu zwolnienia lekarskie od służby w Policji, z naruszeniem zasady poufności danych (pkt 2 zaskarżonej decyzji). Zaskarżona decyzja Prezesa UODO została wydana w następującym stanie faktycznym. W dniu [...] maja 2019 r. do Urzędu Ochrony Danych Osobowych wpłynęła skarga D.R. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Komendanta Wojewódzkiego Policji w [...] oraz Komendanta Miejskiego Policji w B.. W treści przedmiotowej skargi strona skarżąca wskazała, iż - w jej ocenie - doszło do nieuprawnionego udostępnienia przez Komendanta Wojewódzkiego Policji w [...] oraz Komendanta Miejskiego Policji w B. informacji prasie zawierających jego dane osobowe dotyczące zwolnień lekarskich, na których przebywał, ich liczby oraz specjalizacji lekarzy je wystawiających. Skarżący stwierdził w treści skargi, że z materiału prasowego wynikało, iż ww. dane redakcja pozyskała od Komendanta Wojewódzkiego Policji w [...] oraz Komendanta Miejskiego Policji w B.. W konsekwencji, skarżący wniósł o nakazanie zaprzestania przetwarzania danych przez oba wskazane wyżej podmioty, a także o nałożenie na te podmioty administracyjnej kary pieniężnej. W związku z wniesioną skargą, Prezes Urzędu Ochrony Danych Osobowych przeprowadził postępowanie wyjaśniające, w celu zgromadzenia odpowiedniego materiału dowodowego i ustalenia stanu faktycznego koniecznego do wydania stosownego rozstrzygnięcia nadzorczego. Pismami z dnia [...] października 2019 r. Prezes UODO poinformował zarówno skarżącego, jak i Komendanta Wojewódzkiego Policji w [...] oraz Komendanta Miejskiego Policji w B. o wszczęciu postępowania wyjaśniającego w sprawie oraz zwrócił się do ww. podmiotów o ustosunkowanie się do treści skargi oraz złożenie pisemnych wyjaśnień. W wyjaśnieniach złożonych organowi nadzorczemu Komendant Miejski Policji w B., ustosunkowując się do treści skargi - wskazał, iż dane osobowe skarżącego przetwarza począwszy od dnia [...] lutego 2013 r. na podstawie zgody samego skarżącego oraz przepisów ogólnego rozporządzenia o ochronie danych osobowych w trzech obszarach. Jeśli chodzi o pierwszy obszar, Komendant Miejski Policji w B. zauważył, iż przetwarza dane osobowe skarżącego w zakresie dotyczącym stosunku służby w celu realizacji polityki kadrowej oraz zadań określonych w ustawie z dnia 6 kwietnia 1990 r. o Policji oraz rozporządzeń wykonawczych, w tym prowadzenie postępowań dyscyplinarnych i czynności wyjaśniających wobec funkcjonariusza, prowadzenie postępowań administracyjnych w oparciu o przepisy k.p.a. związanych ze sprawami wynikającymi ze stosunku służbowego. Jeśli chodzi o drugi obszar przetwarzania danych skarżącego, Komendant Miejski Policji w B. wskazał, że jest on związany z realizacją obowiązków i uprawnień wynikających ze stosunku służbowego w celu oceny stanu majątkowego skarżącego na podstawie oświadczenia majątkowego składanego w oparciu o art. 62 ustawy z dnia 6 kwietnia 1990 r. o Policji oraz rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 17 lipca 2007 r. w sprawie postępowania w sprawach oświadczeń o stanie majątkowym policjantów oraz trybu publikowania oświadczeń o stanie majątkowym osób pełniących funkcje organów Policji. Komendant Miejski Policji w B. zauważył jednocześnie, że w tym zakresie przetwarzanie danych obejmowało m.in. informacje o źródłach i wysokości uzyskiwanych przychodów, posiadanych zasobach pieniężnych, nieruchomościach, udziałach i akcjach w spółkach prawa handlowego, prowadzenia działalności gospodarczej, pełnienia funkcji w spółkach prawa handlowego oraz podejmowania dodatkowego zajęcia zarobkowego poza służbą a także w zakresie udzielenia dopłat do wypoczynku policjantowi i członkom jego rodziny, w tym przyznanie pomocy finansowej w uzyskaniu lokalu mieszkalnego. Z kolei, jeśli chodzi o trzeci obszar przetwarzania danych osobowych skarżącego, Komendant Miejski Policji w B. wskazał, że dotyczył on przetwarzania danych w ramach postępowania sprawdzającego w związku z dostępem do informacji niejawnych oparciu o ustawę z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (tekst jednolity Dz. U. z 2019 r., poz. 742). Komendant Miejski Policji w B. zaznaczył jednocześnie, że celem przetwarzania danych skarżącego w powyższym zakresie była ocena, czy jako funkcjonariusz dawałby rękojmię zachowania tajemnicy w celu wydania mu poświadczenia bezpieczeństwa uprawniającego do dostępu do informacji niejawnych. Dodatkowo Komendant Miejski Policji w B. wyjaśnił, iż proces przetwarzania danych skarżącego związany jest z prowadzoną korespondencją, wstępem do obiektów Komendy oraz w systemach w ramach czynności służbowych realizowanych przez skarżącego. Komendant Miejski Policji w B. zaprzeczył ponadto, jakoby udostępnił jakiekolwiek dane osobowe skarżącego zewnętrznemu podmiotowi, w tym prasie. Natomiast, jeśli chodzi o Komendanta Wojewódzkiego Policji w [...], to skierowanym do organu nadzorczego piśmie z dnia [...] listopada 2019 r. wyjaśnił on, iż dane osobowe skarżącego przetwarza od dnia [...] lutego 2007 r., tj. od dnia wcielenia skarżącego do służby w Policji m.in. w zakresie: obsługi kadrowej, prowadzenia polityki dyscyplinarnej w jednostkach organizacyjnych Policji, wydania legitymacji służbowej skarżącemu, naliczenia oraz sporządzenia list uposażeń, prowadzenia ewidencji podatkowej, prowadzenia ewidencji sprzętu uzbrojenia będącego na indywidualnym wyposażeniu funkcjonariusza, udzielenia świadczeń mundurowych przysługujących funkcjonariuszom Policji, udzielenia dopłat do wypoczynku oraz członkom jego rodziny, przyznania pomocy finansowej na uzyskanie lokalu mieszkalnego, przeprowadzenia postępowania skargowego, wyjaśnienia kwestii poruszanych przez skarżącego w korespondencji kierowanej do Komendanta Wojewódzkiego Policji w [...] i mediach, udostępnienia lub odmowy udostępnienia informacji publicznej na złożony wniosek przez zainteresowanego. Ponadto, Komendant Wojewódzki Policji w [...] wskazał, że rozkazem personalnym z dnia [...] września 2019 r., nr [...] dokonano zwolnienia skarżącego ze służby w Policji, na podstawie art. 41 ust. 2 pkt 5 ustawy z dnia 6 kwietnia 1990 r. o Policji, z uwagi na ważny interes służby. Odnosząc się do zarzutów skargi dotyczących udostępnienia mediom danych osobowych skarżącego w zakresie stanu zdrowia oraz ilości dni zwolnienia lekarskiego, Komendant Wojewódzki Policji w [...] podniósł, iż w związku z powyższym przeprowadzone zostało postępowanie wyjaśniające w kierunku naruszenia przepisów o ochronie danych osobowych. Komendant Wojewódzki Policji w [...] wyjaśnił, iż po stwierdzeniu powyższego naruszenia, działając zgodnie z art. 33 RODO, w dniu [...] października 2019 r. organ ten dokonał stosownego zgłoszenia organowi nadzorczemu. Ponadto, Komendant Wojewódzki Policji w [...] wskazał, że pismem z dnia [...] października 2019 r. poinformował skarżącego o stwierdzonym naruszeniu polegającym na nieprawidłowym przetwarzaniu jego danych osobowych. Jednocześnie, Komendant Wojewódzki Policji w [...] wyjaśnił, że udostępnienie informacji zawierającej "ilość dni zwolnienia lekarskiego, na którym przebywał skarżący" pozostaje w adekwatnym związku z przepisami ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (tekst jednolity Dz. U. z 2019 r., poz. 1429 ze zm. - dalej także: "u.d.i.p."), albowiem we wskazanym czasookresie skarżący był osobą pełniącą funkcję publiczną. Komendant Wojewódzki Policji w [...] - powołując się na motyw 154 oraz art. 86 RODO - podniósł, iż publiczny dostęp do dokumentów urzędowych mieści się granicach interesu publicznego. Ponadto, Komendant Wojewódzki Policji w [...] - uzasadniając swoje stanowisko w przedmiotowej sprawie - wskazał, iż pojęcie "informacji publicznej" odnosi się do "każdej wiadomości wytworzonej przez szeroko rozumiane władze publiczne i osoby pełniące funkcje publiczne lub odnoszą się do władz publicznych, a także wytworzoną lub odnoszącą się do innych podmiotów wykonujących funkcje publiczne w zakresie wykonywania przez nie zadań władzy publicznej i gospodarowania mieniem publicznym". Tym samym, jak wyjaśnił Komendant Wojewódzki Policji w [...], biorąc pod uwagę okoliczność, że skarżący był funkcjonariuszem publicznym, w rozumieniu art. 115 § 13 pkt 7 ustawy z dnia 6 czerwca 1997 r. - Kodeks karny uznać należy, że w takiej sytuacji miała zastosowanie ustawa z dnia 6 września 2001 r. o dostępie do informacji publicznej, a co za tym idzie uzasadnione było ujawnienie ilości dni jego zwolnienia lekarskiego. Ponadto, Komendant Wojewódzki Policji w [...] uznał, że informacje o absencji w pracy z powodu choroby są informacjami publicznymi, które nie podlegają ograniczeniom w sytuacji, gdy widomości te mają związek z pełnieniem funkcji przez policjanta, jako osoby posiadającej status funkcjonariusza publicznego. Jednocześnie, Komendant Wojewódzki Policji w [...] podniósł w swoich pisemnych wyjaśnieniach, iż współpraca z mediami należy, na mocy przepisów ustawy z dnia 26 stycznia 1984 r. - Prawo prasowe, do zadań informacyjnych Policji poprzez udzielanie środkom masowego przekazu informacji o problemach i zagadnieniach dotyczących funkcjonariuszy i pracowników Policji, a także udzielania odpowiedzi na zgłaszane pytania, czy też krytykę prasową wyrażaną wobec Policji. W wyniku analizy zgromadzonego materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych, działając na podstawie art. 105 § 1 i art. 104 § 1 k.p.a. w związku z art. 7 ust. 1 i art. 60 u.o.d.o. oraz art. 58 ust. 2 lit. b w związku z art. 5 ust 1 lit. f oraz art. 9 ust. 1 RODO, wydał w dniu 23 listopada 2020 r. decyzję nr ZSOŚS.440.154.2019,EPUAP, 100314, 100316, na mocy której: 1. umorzył postępowanie wszczęte wobec Komendanta Miejskiego Policji w B.; 2. udzielił upomnienia Komendantowi Wojewódzkiemu Policji w [...] za naruszenie przepisów RODO, polegające na udostępnieniu danych osobowych skarżącego D.R. dotyczących stanu jego zdrowia poprzez ujawnienie specjalizacji lekarzy wystawiających mu zwolnienia lekarskie od służby w Policji, z naruszeniem zasady poufności danych. W uzasadnieniu decyzji Prezes UODO zauważył na wstępie, że wydając decyzję administracyjną, obowiązany jest rozstrzygać w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji (por. m.in. wyrok Naczelnego Sądu Administracyjnego z dnia 7 maja 2008 r., sygn. akt I OSK 761/07). Prezes UODO wskazał, że regulacja dotycząca ochrony danych osobowych zagwarantowana jest co do zasady w art. 51 ustawy z dnia 2 kwietnia 1997 r. Konstytucja Rzeczpospolitej Polskiej (Dz. U. Nr 78, poz. 483 ze zm.), jednakże zakres konstytucyjnego unormowania nie rozciąga się na wszelkie przejawy przetwarzania danych osobowych. Organ nadzorczy zauważył bowiem, że stosownie do art. 51 ust. 1 i ust. 3 Konstytucji RP, nikt nie może być obowiązany inaczej, niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby, a ponadto każdy ma prawo dostępu do dotyczących go urzędowych dokumentów i zbiorów danych. Jednocześnie, jak podniósł organ nadzorczy, ograniczenie tego prawa może określić ustawa, która winna określać zasady i tryb gromadzenia oraz udostępniania informacji. Przechodząc do oceny zgromadzonego materiału dowodowego, Prezes UODO podkreślił w pierwszej kolejności, iż - w jego ocenie - zgromadzony materiał dowodowy nie potwierdził formułowanych zarzutów wobec Komendanta Miejskiego Policji w B.. Zdaniem organu nadzorczego, organ ten nie dopuścił się uchybień w procesie przetwarzania danych osobowych skarżącego, w szczególności nie wykazano, aby ów podmiot miał udostępnić dane o stanie jego zdrowia mediom. Prezes UODO stwierdził, iż przetwarzanie przez Komendanta Miejskiego Policji w B. danych osobowych skarżącego, jako funkcjonariusza Policji, zachodziło w oparciu o przepisy rozdziału piątego ustawy z dnia 6 kwietnia 1990 r. o Policji. Prezes UODO wskazał, że art. 46b ust. 1 ustawy o Policji stanowi, iż "Policja jest uprawniona do przetwarzania informacji, w tym danych osobowych, w zakresie niezbędnym do prowadzenia postępowań kwalifikacyjnych do służby w Policji, przenoszenia do służby w Policji oraz w zakresie wynikającym z przebiegu stosunku służbowego policjantów, także po jego ustaniu, w tym ma prawo przetwarzać dane osobowe, o których mowa w art. 9 i art. 10 rozporządzenia (UE) 2016/679, z wyłączeniem danych dotyczących kodu genetycznego oraz danych daktyloskopijnych". Prezes UODO zauważył, że Komendant Miejski Policji w B. w złożonych w toku postępowania wyjaśnieniach wskazał zakres i cele przetwarzania danych osobowych skarżącego, które odpowiadają przesłankom wnikającym z art. 5 i 6 RODO. Ponadto, Prezes UODO wskazał, że poczynione w przedmiotowej sprawie ustalenia dowiodły, iż Komendant Miejski Policji w B. swoim działaniem nie udostępnił zewnętrznemu podmiotowi informacji dotyczących stanu zdrowia skarżącego poprzez ujawnienie specjalizacji lekarzy wystawiających mu zwolnienia lekarskie od służby w Policji. Mając powyższe na względzie, Prezes UODO uznał, że postępowanie w tym zakresie stało się bezprzedmiotowe i w związku z tym należało je umorzyć na podstawie art. 105 § 1 k.p.a., co znalazło swoje odzwierciedlenie w punkcie pierwszym wydanej decyzji. Niemniej jednak Prezes UODO stwierdził, że ustalony w niniejszej sprawie stan faktyczny dowiódł, iż Komendant Wojewódzki Policji w [...] ujawnił prasie informacje dotyczące ilości dni zwolnienia lekarskiego, na którym przebywał skarżący a także specjalizacji lekarzy, którzy udzielili mu absencji w pracy. Jednakże, Prezes UODO zauważył, że pogłębiona analiza zebranego w sprawie materiału dowodowego prowadzi do konstatacji, iż nie wszystkie zarzuty skargi są zasadne, przemawiając za tym, iż wskazany wyżej podmiot dopuścił się naruszenia przepisów ochrony danych osobowych. Przede wszystkim, Prezes UODO wskazał, że Komendant Wojewódzki Policji w [...] przetwarzał dane osobowe skarżącego w związku z realizacją czynności służbowych podejmowanych przez funkcjonariusza Policji na podstawie m.in. ustawy z dnia 6 kwietnia 1990 r. o Policji, ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej, ustawy z dnia 26 lipca 1991 r. o podatku dochodowym od osób fizycznych, ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych oraz rozporządzeń wykonawczych. Organ nadzorczy uznał, iż wskazane przez Komendanta Wojewódzkiego Policji w [...] cele i zakres przetwarzania danych były adekwatne do potrzeb i zadań Policji. Ponadto, organ nadzorczy podniósł, że przeprowadzone postępowanie administracyjne dowiodło, iż twierdzenia skarżącego podniesione w skardze w zakresie udostępnienia zewnętrznemu podmiotowi, tj. prasie, danych dotyczących ilości dni zwolnienia lekarskiego oraz specjalizacji lekarzy, którzy wystawiali owe zwolnienia znajduje potwierdzenie chociażby w wyjaśnieniach Komendanta Wojewódzkiego Policji w [...] oraz dołączonych dokumentach. Tym niemniej, Prezesa UODO stwierdził, że należy zgodzić się z wyjaśnieniami Komendanta Wojewódzkiego Policji w [...] w tej części, w jakiej organ ten stwierdził, iż podana zewnętrznemu podmiotowi informacja dotycząca "ilości dni zwolnienia lekarskiego" mieściła się w ramach pojęcia "informacji publicznej" oraz że podlegała udostępnieniu na mocy u.d.i.p., bowiem dotyczyła ona osoby pełniącej funkcję publiczną. Prezes UODO uznał, że bezspornym było to, iż skarżący w czasie udostępnienia powyższych danych zewnętrznemu podmiotowi był funkcjonariuszem publicznym, w rozumieniu art. 115 § 13 pkt 7 Kodeksu karnego, gdyż pełnił służbę w organie powołanym do ochrony bezpieczeństwa publicznego (Policja). Ponadto, Prezes UODO wskazał, że niekwestionowane było i to, że powyższe dane zostały wytworzone przez uprawniony podmiot oraz przechowywane zgodnie z celami przetwarzania danych. W tej sytuacji, organ nadzorczy uznał, że dane dotyczące "ilości dni" zwolnienia lekarskiego posiadają przymiot danych, do których możliwy jest publiczny dostęp, gdyż przemawia za tym interes publiczny, o czym świadczy treść motywu 154 RODO. Jednocześnie, powołując się na art. 5 ust. 2 u.d.i.p. w związku z art. 86 RODO, organ nadzorczy stwierdził, że Komendant Wojewódzki Policji w [...] był uprawniony do ujawnienia ww. danych, albowiem zachodziły ku temu przesłanki określone zarówno przez prawo unijne, jak i prawo krajowe. Prezes UODO uznał za słuszne twierdzenie skarżącego zawarte w skardze odnośnie ujawnienia przez Komendanta Wojewódzkiego Policji w [...] danych dotyczących stanu jego zdrowia poprzez ujawnienie specjalizacji lekarzy, którzy wystawiali zwolnienia od służby w Policji. Niemniej, organ nadzorczy zauważył, że podmiot ten w złożonych wyjaśnieniach nie negował faktu ujawnienia powyższych danych, a także - jak wynika z materiału dowodowego - podjął środki zaradcze, informacyjne oraz zgłosił naruszenie prawa do organu nadzorczego. Prezesa UODO stwierdził, że oczywistym jest to, iż Komendant Wojewódzki Policji w [...], jako organ publiczny realizujący zadania w interesie publicznym oraz porządkowym, dokonując przetwarzania danych osobowych, musi kierować się szczególną dbałością i pietyzmem, tak, aby zachować przejrzystość oraz poufność danych osobowych, szczególnie tych dotyczących funkcjonariuszy Policji bez względu na to, czy są oni czynni, czy też nie w służbie w Policji. Organ nadzorczy uznał, że Komendant Wojewódzki Policji w [...] słusznie wskazał, iż jednym z zadań Policji jest współpraca z mediami, w tym również informowanie środków masowego przekazu m.in. o czynnościach podejmowanych wobec policjantów oraz ich służby. Jednakże, jak zauważył organ nadzorczy, Komendant Wojewódzki Policji w [...] obowiązany jest przy tym do poszanowania prywatności funkcjonariuszy, a także do dołożenia najwyższych standardów w procesie przetwarzania danych osobowych. Prezes UODO zauważył, że w realiach analizowanej sprawy nie ulega wątpliwości, iż wskutek nieskutecznej anonimizacji doszło do ujawnienia danych w zakresie specjalizacji lekarzy, przez których wystawiane były zwolnienia lekarskie skarżącemu. Organ nadzorczy wskazał, że zgodnie z art. 9 ust. 1 RODO, "zabrania się przetwarzania danych osobowych ujawniających (...) danych dotyczących zdrowia (...) tej osoby". Prezes UODO dodał jednocześnie, że za dane dotyczące zdrowia prawodawca unijny uznał dane o zdrowiu fizycznym lub psychicznym osoby fizycznej - w tym korzystaniu z usług opieki zdrowotnej - ujawniające informacje o stanie zdrowia (vide: art. 4 pkt 15 RODO). W związku z powyższym, Prezes UODO stwierdził, że Komendant Wojewódzki Policji w [...] nie dokonał właściwej analizy oraz nie zastosował niezbędnych środków zaradczych, skutkiem czego było nieuprawnione ujawnienie ww. danych skarżącego mediom. Powołując się na brzmienie przepisu art. 5 RODO, Prezes UODO uznał, że w analizowanym postępowaniu prowadzonym przez Policję, Komendant Wojewódzki Policji w [...] wykazał się brakiem staranności przy anonimizacji danych, które następnie przekazał mediom w związku ze zgłoszonym pytaniem redakcji. W ocenie Prezesa UODO, zakres i charakter ujawnionych danych osobowych o stanie zdrowia, tj. o charakterze sensytywnym (dane wrażliwe) odnoszących się wprost do osoby skarżącego, prowadzi do wnioski, że Komendant Wojewódzki Policji w [...] naruszył zasadę poufności (art. 5 ust. 1 lit. f RODO). W tym miejscu, organ nadzorczy zauważył, że zasada poufności nakłada na administratora danych obowiązek zabezpieczenia przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem. Prezes UODO dodał ponadto, że skutkiem - jak w niniejszej sprawie - niewłaściwego zabezpieczenia może być naruszenie bezpieczeństwa danych, które pociąga za sobą obowiązki określone w przepisach art. 33 i 34 RODO, dotyczące zgłaszania naruszeń organowi nadzorczemu, prowadzeniu rejestru naruszeń oraz zawiadamiania osób, których dane dotyczą, o naruszeniu ochrony danych. Prezes UODO wskazał, iż Komendant Wojewódzki Policji w [...] w wyniku autoweryfikacji, po stwierdzeniu uchybień, wykonał nakazane powyższymi przepisami RODO obowiązki w celu o zminimalizowania ujemnych skutków dla prywatności skarżącego. Niemniej jednak, organ nadzorczy uznał, że działania Komendanta Wojewódzkiego Policji w [...], tudzież nieodpowiednie zabezpieczenia o charakterze technicznym i organizacyjnym doprowadziły do nieskutecznej ochrony danych wrażliwych skarżącego. W związku z powyższym, Prezes UODO - powołując się na przepis art. 58 ust. 2 lit. b RODO - uznał za uzasadnione udzielenie Komendantowi Wojewódzkiemu Policji w [...] upomnienia w zakresie stwierdzonego naruszenia przepisu art. 9 ust. 1 w związku z art. 5 ust. 1 lit. f RODO. Ponadto, Prezes UODO zauważył, iż motyw 148 RODO stanowi, że aby egzekwowanie przepisów rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne - oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. W tej sytuacji, organ nadzorczy stwierdził, że jeżeli naruszenie jest niewielkie, karę pieniężną można zastąpić upomnieniem. Jednakże, Prezes UODO stwierdził, że powinno się zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, a także na to, czy naruszenie nie było umyślne, jak również na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące. Prezes UODO wskazał, że określenie charakteru naruszenia polega na ustaleniu, który przepis ogólnego rozporządzenia ochrony danych został naruszony i zakwalifikowaniu naruszenia do właściwej kategorii naruszonych przepisów, tj. wskazanych w art. 83 ust. 4 lub w art. 83 ust. 5 i 6 RODO. Organ nadzorczy zauważył ponadto, że na ocenę wagi naruszenia (np. niską, średnią lub znaczną), wskazują charakter naruszenia, jak również zakres, cel danego przetwarzania, liczba poszkodowanych osób, których dane dotyczą, oraz rozmiar poniesionej przez nie szkody. Prezes UODO stwierdził, że z celem przetwarzania danych osobowych wiąże się określenie, w jakim stopniu przetwarzanie spełnia dwa kluczowe elementy zasady "ograniczonego celu", tj. określenie celu i zgodnego zastosowania przez administratora lub podmiot przetwarzający. Organ nadzorczy podkreślił, że przy wyborze środka naprawczego uwzględnić należy, czy szkoda została lub może zostać poniesiona z powodu naruszenia RODO, chociaż sam organ nadzorczy nie jest właściwy do przyznania szczególnego odszkodowania za poniesioną szkodę. Prezes UODO stwierdził, że zostało ono niezwłocznie usunięte, jak długo trwało, co w konsekwencji pozwala na ocenę np. celowości czy też skuteczności działań administratora lub podmiotu przetwarzającego. Mając powyższe na względzie, Prezes UODO uznał, że w ustalonych okolicznościach niniejszej sprawy wystarczającym środkiem jest udzielenie Komendantowi Wojewódzkiemu Policji w [...] upomnienia. Organ nadzorczy stwierdził, że okolicznością łagodzącą, która przemawia za nałożeniem kary upomnienia, było to, iż ww. naruszenie miało charakter incydentalny. Prezes UODO wskazał, że Komendant Wojewódzki Policji w [...] niezwłocznie podjął działania naprawcze takie, jak: zgłoszenie organowi nadzorczemu naruszenia przepisów o ochronie danych, a także zgłoszenie autorowi tekstu opublikowanego w prasie zastrzeżenia w zakresie publikacji danych skarżącego na podstawie art. 14 ust. 5 ustawy z dnia 26 stycznia 1984 r. - Prawo prasowe. Ponadto, organ nadzorczy zauważył, że przeprowadzono czynności wyjaśniające, zorganizowano szkolenia dla pracowników Komendy w celu podniesienia ich świadomości w zakresie kwestii ochrony danych osobowych. Ponadto, Prezes UODO zauważył, że nie otrzymał także innych sygnałów, aby ze strony Komendanta Wojewódzkiego Policji w [...] miały miejsce podobne zachowania skutkujące naruszeniami. Organ nadzorczy uznał więc, że sporne zdarzenie dotyczy jednorazowego incydentu, nie zaś systematycznego działania lub zaniechania, które stanowiłoby poważne zagrożenie dla praw osób, których dane osobowe są przetwarzane przez ww. podmiot. Powyższe okoliczności, w ocenie Prezesa UODO, uzasadniają udzielenie Komendantowi Wojewódzkiemu Policji w [...] upomnienia za stwierdzone naruszenie, mając na względzie możliwość uniknięcia podobnych zdarzeń w przyszłości. Prezes UODO zauważył jednocześnie, że w przypadku zaistnienia podobnego zdarzenia w przyszłości, każde upomnienie wydane przez organ nadzorczy wobec Komendanta Wojewódzkiego Policji w [...] będzie brane pod uwagę przy ocenie przesłanek [pic]ewentualnego wymierzenia kary administracyjnej, zgodnie z zasadami określonymi w art. 83 ust. 2 RODO. W piśmie z dnia [...] grudnia 2020 r. skarżący, działając za pośrednictwem organu nadzorczego, wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2020 r., zaskarżając ją w części dotyczącej nałożenia na Komendanta Wojewódzkiego Policji kary upomnienia. Wnosząc w petitum skargi o uchylenie decyzji Prezesa UODO z dnia [...] listopada 2020 r. w zaskarżonej części, a także o zasądzenie od organu nadzorczego na rzecz strony skarżącej zwrotu kosztów postępowania skarżący zarzucił: - rażącą obrazę art. 51 Konstytucji RP - poprzez ujawnienie danych wrażliwych skarżącego oraz dwóch innych osób: W.F. i N.K., - rażącą obrazę art. 86 RODO (skarżący wadliwie wskazał "u.o.d.o.") - poprzez błędne przyznanie Komendantowi Wojewódzkiemu Policji w [...] prawa do ujawniania danych wrażliwych dotyczących skarżącego i innych pokrzywdzonych podmiotom trzecim, - rażącą obrazę motywu 148 RODO - poprzez umniejszenie wagi naruszenia przepisów o ochronie danych osobowych, a co za tym idzie nałożenie zbyt niskiej kara na Komendanta Wojewódzkiego Policji w [...], bez uwzględnienia przy jej wymierzaniu tego, iż organ nadzorczy o wspomnianym wyżej naruszeniu dowiedział się w pierwszej kolejności od skarżącego, a dopiero po upływie pół roku od organu Policji, który dopuścił się naruszenia tych przepisów, - rażącą obrazę przepisów ustawy o dostępie do informacji publicznej - poprzez uznanie, iż funkcjonariusz publiczny jest osobą publiczną pełniącą funkcję publiczną, gdy tymczasem tak nie jest, a także poprzez uznanie, iż dane wrażliwe skarżącego oraz dwóch innych pokrzywdzonych dotyczące stanu ich zdrowia, ilości dni zwolnień i rodzaju specjalistów, u jakich się leczą, stanowią informacje publiczną, gdy tymczasem ujawnianie tych danych nie mieści się w zakresie interesu publicznego, zwłaszcza że Komendant Wojewódzki Policji w [...] w licznej korespondencji prowadzonej ze skarżącym dotyczącej jego wniosków o udostepnienie informacji publicznej stwierdzał, że policjant nie jest osobą publiczną, ani pełniącą funkcję publiczną, gdyż takimi osobami są tylko co najmniej komendanci miejscy, komendanci powiatowi, komendanci wojewódzcy, komendant stołeczny Policji oraz Komendant Główny Policji, a także funkcjonariusze Policji posiadający status organów, - naruszenie art. 115 § 13 pkt 7 k.k. w związku z ustawą o dostępie do informacji niejawnej - poprzez założenie, że pojęcie funkcjonariusza publicznego i osoby pełniącej funkcję publiczną są tożsame, równoważne, - naruszenie art. 107 k.p.a. - poprzez niewłaściwe uzasadnienie zaskarżonej decyzji, w tym poprzez pominięcie w jej treści faktu naruszenia przez organ nadzorczy przepisów o ochronie danych osobowych na szkodę W.F. i N.K., - naruszenie art. 8, art. 12, art. 35 § 1 i art. 36 § 1 k.p.a. - przez rażące przekroczenie terminów załatwienia sprawy i wytwarzanie pism wymijających, - naruszenie art. 8 i art. 11 k.p.a. - poprzez brak ustosunkowania się do twierdzeń uważanych przez skarżącego za istotne i mające wpływ na sposób załatwienia sprawy, a także poprzez pominięcie naruszenia przez organ nadzorczy u.d.i.p. na szkodę W.F. i N.K., którzy są również pokrzywdzonymi w tej sprawie obok osoby skarżącego, co było przez niego wielokrotnie podnoszone w wielu pismach kierowanych do organu nadzorczego, - naruszenie art. 77 § 1 i art. 80 k.p.a. - poprzez niedostateczne zebranie materiału dowodowego, niewyjaśnienie sprawy w sposób wszechstronny i wyczerpujący, nieprzeprowadzenie istotnych dowodów, a także przeprowadzenie dowodów niewiarygodnych, i w konsekwencji umniejszanie stopnia naruszenia przepisów prawa poprzez pominięcie wspomnianych wyżej dwóch innych pokrzywdzonych, zatajenie ich, a także mataczenie organu nadzorczego w sprawie, - naruszenie art. 81a § 1 i art. 7a k.p.a. - poprzez rozstrzygnięcie sprawy na niekorzyść skarżącego, podczas gdy występowały w sprawie niedające się usunąć wątpliwości co do stanu faktycznego, - naruszenie art. 61 § 1 i 4 k.p.a. w zw. z art. 10 § 1 k.p.a. - poprzez jego błędne zastosowanie, przejawiające się dokonanemu szeregu czynności, w których skarżący nie miał możliwości uczestniczyć ze względu na pandemię COVID, - naruszenie art. 75 § 1 k.p.a. w zw. z art. 77 § 1 k.p.a. w zw. z art. 78 § 1 i 2 k.p.a. - poprzez odmowę uwzględnienia zgłoszonych przez skarżącego wniosków dowodowych, w tym m.in. dowodu z przesłuchania N.K. i W.F., - naruszenie art. 8 i art. 11 k.p.a. - poprzez nieustosunkowanie się do twierdzeń uważanych przez skarżącego za istotne, mające wpływ na sposób załatwienia sprawy, - naruszenie art. 77 § 1 i art. 80 k.p.a. - poprzez niedostateczne zebranie materiału dowodowego, niewyjaśnienie sprawy w sposób wszechstronny i wyczerpujący, - naruszenie art. 78 k.p.a. - poprzez nieuwzględnienie wniosków dowodowych skarżącego złożonych w toku postępowania, - naruszenie art. 81 k.p.a. - poprzez nieumożliwienie skarżącemu wypowiedzenia się na temat zebranych przez organ nadzorczy dowodów, - naruszenie art. 107 § 3 k.p.a. - polegające na uzasadnieniu niezgodnym ze stanem faktycznym, - naruszenie art. 8 Europejskiej Konwencji Praw Człowieka - poprzez naruszenie prawa do poszanowania życia rodzinnego, - naruszenie art. 47 Konstytucji RP - poprzez naruszenie zasady ochrony życia prywatnego polegające na uznaniu, iż dane dotyczące zdrowia policjanta należą do kategorii informacji publicznej, podczas gdy nie są informacją publiczną w rozumieniu ustawy, - naruszenie Europejskiej Dyrektywy o ochronie osób zgłaszających przypadki naruszenia prawa Unii - poprzez wyjątkowo długie i nieudolne prowadzenie postepowania i celowe jego przedłużanie. W uzasadnieniu skargi strona skarżąca zauważyła na wstępie, że w dniu [...] maja 2019 r. złożyła skargę do Prezesa Urzędu Ochrony Danych Osobowych dotyczącą naruszenia przepisów RODO przez Komendanta Wojewódzkiego Policji w [...] poprzez bezprawne przetwarzanie danych osobowych skarżącego oraz dwóch innych osób – W.F. i N.K., które polegać miało na ujawnieniu ich danych wrażliwych dziennikarzowi z G.. Następnie, jak wskazał skarżący, z uwagi na brak reakcji ze strony organu nadzorczego, w dniu [...] października 2019 r. wniósł on do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na bezczynność i opieszałe prowadzenie postępowania przez Prezesa UODO. Skarżący stwierdził, że dopiero po złożeniu przez niego wskazanej wyżej skargi do Sądu, a więc dopiero po pół roku od ujawnienia naruszenia przepisów RODO przez administratora danych, organ nadzorczy oraz Komendant Wojewódzki Policji w [...] podjęli działania pozorne, mające na celu umniejszenie ich wcześniejszego rażącego naruszenia przepisów prawa. Skarżący zarzucił, że tłumaczenie ujawnienia danych nieskuteczną anonimizacją są nietrafione, ponieważ Rzecznik Prasowy Komendy Wojewódzkiej Policji w [...] celowo i z premedytacją ujawnił dane wrażliwe dziennikarzowi z G., która sprzyja partii rządzącej, przeciwko której ministrowi skarżący wraz z dwoma innymi funkcjonariuszami Policji zgłaszał nieprawidłowości. Zdaniem skarżącego, o premedytacji i pełnej świadomości świadczy dowód w postaci korespondencji wspomnianego rzecznika prasowego z dziennikarzem G., z której to korespondencji jasno i w sposób oczywisty wynika, iż nie podjęto tam nawet próby jakiejkolwiek anonimizacji naszych danych wrażliwych. Skarżący stwierdził, że fakt wszczęcia przez organ nadzorczy postępowania w sprawie złamania przepisów o ochronie danych osobowych dopiero w dniu [...] października 2019 r., a więc pół roku po jego skardze wniesionej do Prezes UODO jest kuriozalne, gdyż do skargi załączony został materiał dowodowy wystarczający do potwierdzenia winy i ukarania Komendanta Wojewódzkiego Policji w [...]. Tymczasem, jak wskazał skarżący, Prezes Urzędu Ochrony Danych Osobowych dopiero w dniu [...] listopada 2020 r. wydał decyzję uznającą, że Komendant Wojewódzki Policji w [...] jest winny naruszenia przepisów RODO oraz udzielającą mu karę upomnienia. W tej sytuacji skarżący uznał, że przy niskim skomplikowaniu sprawy i braku konieczności gromadzenia obszernego materiału dowodowego, sprawa winna być załatwiona w przeciągu 1 miesiąca, ale trwała niestety 18 miesięcy. W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2021 r., poz. 137), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2022 r., poz. 329 ze zm. - dalej także: "P.p.s.a."). Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej. Należy zauważyć, że w tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych, zobowiązany był - co do zasady - zbadać jej zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami zawartymi w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - zwane także: "RODO"). W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga D.R. nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2020 r., nr [...] - nie narusza obowiązujących przepisów prawa. Sąd uznał, że Prezes UODO, wydając sporną decyzję administracyjną z dnia [...] listopada 2020 r., nie dopuścił się w zaskarżonej części naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem wspomnianej wyżej decyzji. Przede wszystkim, przyjąć należy, iż organ nadzorczy zasadnie udzielił Komendantowi Wojewódzkiemu Policji w [...], jako administratorowi danych, upomnienia za naruszenie przepisów RODO, które polegało na udostępnieniu danych osobowych skarżącego D.R. dotyczących stanu jego zdrowia poprzez ujawnienie specjalizacji lekarzy wystawiających mu zwolnienia lekarskie od służby w Policji, z naruszeniem zasady poufności danych. Sąd uznał, że stosując w analizowanej sprawie powyższe uprawnienie naprawcze, Prezes UODO działał zgodnie z art. 58 ust. 2 lit. b RODO, słusznie przyjmując, iż zastosowanie upomnienia będzie w tej sprawie wystarczające przy uwzględnieniu charakteru, wagi oraz czasu trwania naruszenia, a także innych istotnych okoliczności związanych z zachowaniem administratora danych. Ponadto, w wyniku przeprowadzenia analizy stanowiska organu nadzorczego zaprezentowanego w uzasadnieniu zaskarżonej decyzji, Sąd stwierdził, że - wbrew zarzutom skargi - Prezes UODO, wydając w dniu [...] listopada 2020 r. sporne rozstrzygnięcie, nie dopuścił się - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, albowiem wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia sprawy, a także dokonał właściwej oceny zebranego w sprawie materiału dowodowego, przeprowadzając jednocześnie ową ocenę w kontekście właściwie zastosowanych przepisów prawa materialnego. W działaniu Prezesa UODO, jako organu administracji publicznej wydającego sporną decyzję, Sąd nie dopatrzył się jakichkolwiek istotnych nieprawidłowości, zarówno, gdy idzie o ustalenie stanu faktycznego sprawy, jak i o zastosowanie do jego oceny przepisów prawa materialnego. Ponadto, Sąd uznał, że w uzasadnieniu zaskarżonej decyzji Prezesa UODO z dnia [...] listopada 2020 r. wyjaśnione zostały w sposób dostatecznie jasny i przekonywujący motywy jej podjęcia, zaś przytoczona w tym zakresie argumentacja jest wyczerpująca i w pełni odnosząca się do stanowiska strony skarżącej podniesionego w toku postępowania wyjaśniającego. W konsekwencji, zdaniem Sądu, stwierdzić należy, iż Prezes UODO, wydając zaskarżoną decyzję administracyjną - nie dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP. W ocenie Sądu, uznać należy, iż - wbrew zarzutom strony skarżącej - dokonując powyższych ustaleń, organ nadzorczy nie dopuścił się jakiegokolwiek istotnego naruszenia prawa, które mogło mieć wpływ na końcowe rozstrzygnięcie sprawy. Sąd nie zgodził się przede wszystkim z postawionym przez stronę skarżącą zarzutem zaniechania przez organ nadzorczy dokonania należytego wyjaśnienia stanu faktycznego sprawy i jednocześnie pobieżnego przeprowadzenia postępowania dowodowego w sprawie i tym samym zgromadzenia niepełnego materiału dowodowego i przeprowadzenia jego dowolnej i subiektywnej oceny. Otóż, należy zauważyć, iż nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych jest jednym z postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych. O takim jego charakterze rozstrzyga art. 7 ust. 1 ustawy o ochronie danych osobowych, który postępowanie z rozdziału 7 kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tego postępowania Kodeksu postępowania administracyjnego. Warto przy tym zauważyć, że ustawodawca w art. 7 ust. 1 cyt. ustawy nie przewiduje stosowania odpowiedniego, oznacza to zatem stosowanie przepisów ogólnej procedury administracyjnej wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych. Użyte w art. 60 u.o.d.o. określenie "naruszenie przepisów o ochronie danych osobowych" ma zakres szeroki i obejmuje naruszenia wszystkich przepisów o ochronie danych, zarówno zawartych w unijnym rozporządzeniu, jak i w przepisach krajowych, które uzupełniają lub modyfikują regulacje unijne. Zgodnie z art. 7 ust. 1 u.o.d.o., w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych, o których mowa w rozdziale 4-7 i 11 (a więc również w rozdziale 7 dotyczącym postępowania w sprawie naruszenia przepisów o ochronie danych osobowych), stosuje się przepisy Kodeksu postępowania administracyjnego. Zdaniem Sądu, nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, iż Prezes UODO jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego państwa (art. 8 § 1 k.p.a.). W tej sytuacji, organ nadzorczy, uwzględniając powyższą zasadę, zobowiązany jest przede wszystkim dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony skarżącej. Organ nadzorczy jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a. Mając na względzie powyższe, Sąd uznał, że zebrany w sprawie materiał dowodowy jest wyczerpujący i został poddany przez organ nadzorczy wszechstronnemu i wnikliwemu rozpatrzeniu, w wyniku czego doszło do prawidłowego ustalenia stanu faktycznego sprawy. Prezes Urzędu Ochrony Danych Osobowych, przeprowadzając wspomniane postępowanie sprawdzające, dokonał wszelkich niezbędnych ocen, przy uwzględnieniu całokształtu zgromadzonego w sprawie materiału dowodowego oraz w kontekście odpowiednio zastosowanych przepisów prawa, w tym przede wszystkim przepisów RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Warto jednocześnie zauważyć, że Prezes UODO, przeprowadzając sporne postępowanie wyjaśniające wykorzystał wszelkie niezbędne instrumenty prawne, jakie dawała mu ustawa o ochronie danych osobowych i uzasadniając swoje stanowisko w decyzji z dnia [...] listopada 2020 r., w sposób klarowny przedstawił argumentację dotyczącą zasadności zastosowania wobec Komendanta Wojewódzkiego Policji w [...], jako administratora danych, uprawnienia naprawczego w postaci upomnienia. Sąd uznał w tej sytuacji, że całkowicie niezrozumiały jest zarzut strony skarżącej, jakoby organ nadzorczy nie podjął wszelkich możliwych czynności niezbędnych do wyjaśnienia stanu faktycznego, pomimo, że - jak sugeruje skarżący - organ nadzorczy posiadał wszelkie dane umożliwiające z urzędu podjęcie takich czynności. Nie ulega wątpliwości, że przedmiotem sporu jest przede wszystkim ocena zasadności zastosowania przez organ nadzorczy uprawniania naprawczego w postaci udzielenia upomnienia, jako środka zbyt łagodnego - zdaniem strony skarżącej - w stosunku do charakteru i wagi naruszenia, którego dopuścił się administrator danych. Otóż, należy zauważyć, że w niniejszej sprawie Prezes UODO, udzielając upomnienia Komendantowi Wojewódzkiemu Policji w [...] - stwierdził, iż w trakcie prowadzonego postępowania wyjaśniającego ustalono, że podmiot ten, będąc administratorem danych skarżącego, dopuścił do ewidentnego naruszenia zasady poufności danych, o której mowa w art. 5 ust. 1 lit. f RODO, z uwagi na bezprawne udostępnienie danych osobowych dotyczących stanu zdrowia skarżącego poprzez ujawnienie specjalizacji lekarzy wystawiających stronie skarżącej zwolnień lekarskich od służby w Policji. Nie ulega wątpliwości, że zgodnie z zasadą integralności i poufności, o której mowa w art. 5 ust. 1 lit. f RODO, dane powinny być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. Powszechnie przyjmuje się, że poufność danych to właściwość zapewniająca, że dane nie są udostępniane nieupoważnionym podmiotom. Jednocześnie, warto zauważyć, że zgodnie z art. 32 ust. 1 RODO, administrator danych zobowiązany jest, uwzględniając m.in. charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, wdrażał odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku. Ponadto, co istotne, administrator danych zobowiązany jest uwzględnić w swoim działaniu fakt, iż w świetle art. 9 ust. 1 RODO ustanowiono generalny zakaz przetwarzania danych osobowych, które mogą być uznane za dane wrażliwe, w tym m.in. danych dotyczących zdrowia, a więc danych osobowych o zdrowiu fizycznym lub psychicznym osoby fizycznej - w tym o korzystaniu z usług opieki zdrowotnej - ujawniające informacje o stanie jej zdrowia. Tymczasem, z jednoznacznych ustaleń dokonanych w niniejszej sprawie przez organ nadzorczy wynika, że Komendant Wojewódzki Policji w [...], naruszając powyższe przepisy RODO, ujawnił prasie informacje dotyczące stanu zdrowia skarżącego poprzez nieuprawnione ujawnienie specjalizacji lekarzy, którzy udzielili mu zwolnień lekarskich, tym samym dopuszczając się naruszenia przepisów o ochronie danych osobowych. W tej sytuacji, uznać należy, że zaszły wszelkie podstawy do skorzystania przez organ nadzorczy z uprawnień naprawczych, o których mowa w art. 58 ust. 2 RODO. W tym miejscu warto zauważyć, że uprawnienia naprawcze organu nadzorczego wskazane w art. 58 ust. 2 RODO mają charakter władczy i przybierają postać: ostrzeżeń, upomnień, nakazów, zakazów i kar. Ich realizacja stanowi istotę oddziaływania nadzorczego, które nie ogranicza się jedynie do sprawowania kontroli, ale obejmuje również władcze oddziaływanie organu nadzorczego na podmioty, wobec których sprawuje on nadzór. Wskazać należy, że środki przysługujące organowi w ramach uprawnień naprawczych określonych w art. 58 ust. 2 RODO są zróżnicowanie w zależności od tego, czy mamy do czynienia z przetwarzaniem danych przez administratora lub podmiot przetwarzający, czy też jest ono dopiero na etapie planowanych operacji przetwarzania. W tym pierwszym przypadku organ nadzorczy może wydać ostrzeżenie dotyczące możliwości naruszenia przepisów rozporządzenia. W sytuacji kiedy mamy do czynienia z operacjami przetwarzania danych organowi przysługuje szereg środków naprawczych, w tym udzielenie upomnienia, wydawanie nakazów, wprowadzenie ograniczenia albo zakazu przetwarzania. Ponadto, w odniesieniu do procedury certyfikacyjnej, organ nadzorczy posiada uprawnienia do cofnięcia certyfikacji, z uwzględnieniem krajowych uregulowań w tym zakresie. Szczególną kompetencją organu nadzorczego jest prawo do nakładania administracyjnych kar pieniężnych, zgodnie z art. 83 RODO, oprócz lub zamiast pozostałych kompetencji naprawczych przyznanych w komentowanym przepisie. Jednym ze środków naprawczych przewidzianych w przepisie art. 58 ust. 2 jest upomnienie, które udzielane jest w przypadku naruszenia przepisów RODO przez operacje przetwarzania danych. Zasadnicza wątpliwość, związana z korzystaniem z instytucji upomnienia, wiąże się z tym, kiedy organ nadzorczy powinien udzielić upomnienia, a kiedy skorzystać z możliwości nakazania lub zakazania określonego zachowania, czy też nałożenia administracyjnej kary pieniężnej. Pewnych wskazówek udziela tutaj motyw 148 preambuły do RODO, zgodnie z którym "jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące". W tej sytuacji, przyjmuje się więc, że z jednej strony nie powinno budzić wątpliwości, że skorzystanie z możliwości udzielenia upomnienia pozostawione zostało do uznania organu nadzorczego, z drugiej jednak pewną wskazówką, kiedy udzielenie upomnienia jest preferowaną formą załatwienia sprawy, jest wskazanie w przywołanym motywie preambuły dwóch sytuacji: gdy naruszenie zostało uznane za "niewielkie" lub gdy "grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie" (por. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Komentarz /w:/ Ogólne rozporządzenie o ochronie danych osobowych. Ustawa o ochronie danych osobowych. Wybrane przepisy sektorowe. Komentarz, pod red. dr Pawła Litwińskiego, Wydawnictwo C.H. Beck, Warszawa 2021, t. 12 komentarza do art. 58 RODO). Warto zauważyć, że swoje wytyczne w tym zakresie wydała również Grupa Robocza Art. 29, które zostały potwierdzone przez Europejską Radę Ochrony Danych. Zgodnie z ich treścią "ocena kryteriów określonych w art. 83 ust. 2 RODO może jednak skłonić organ nadzorczy do uznania, że w konkretnych okolicznościach danego przypadku dane naruszenie na przykład nie stanowi poważnego zagrożenia dla praw osób, których dane dotyczą, oraz nie wpływa na istotę danego obowiązku. W takich przypadkach karę pieniężną można (choć nie zawsze) zastąpić upomnieniem" (vide: Wytyczne Grupy Roboczej Art. 29 w sprawie stosowania i ustalania administracyjnych kar pieniężnych do celów rozporządzenia Nr 2016/679 (WP 253), https://uodo.gov.pl/pl/10/13, dostęp: 17.2.2021 r., s. 9). Mając powyższe na względzie, uznać należy, ze punktem wyjścia podjęcia przez organ nadzorczy decyzji o udzieleniu upomnienia powinna być więc ocena, że doszło do niewielkiego naruszenia, które nie ingeruje w istotę praw i obowiązków wynikających z RODO. Zdaniem Sądu, stwierdzić należy, że - wbrew zarzutom strony skarżącej - Prezes UODO, wydając sporną decyzję z dnia [...] listopada 2020 r., uzasadnił w sposób klarowny, dlaczego przyjął, że wystarczające będzie udzielenie administratorowi danych upomnienia. Warto zauważyć, że Prezes UODO zasadnie przyjął, że wskazane przez Komendanta Wojewódzkiego Policji w [...] cele i zakres przetwarzania danych osobowych skarżącego były adekwatne do potrzeb i zadań Policji. Ponadto, organ nadzorczy prawidłowo wykazał w toku przeprowadzonego postępowania wyjaśniającego, iż sporne dane zostały wytworzone przez uprawniony podmiot oraz przechowywane zgodnie z celami przetwarzania danych. Organ nadzorczy zauważył także, że ujawniając w sposób nieuprawniony dane dotyczące stanu zdrowia skarżącego poprzez ujawnienie specjalizacji lekarzy, którzy wystawiali mu zwolnienia lekarskie, Komendant Wojewódzki Policji w [...] podjął jednak środki zaradcze, informacyjne oraz zgłosił naruszenie prawa do organu nadzorczego. Jednocześnie, wskazać warto, że Prezesa UODO zasadnie wytknął Komendantowi Wojewódzkiemu Policji w [...], iż jako organ publiczny realizujący zadania w interesie publicznym oraz porządkowym, dokonując przetwarzania danych osobowych, winien kierować się szczególną dbałością o to, aby zachować poufność danych osobowych dotyczących funkcjonariuszy Policji bez względu na to, czy są oni czynni, czy też nie w służbie w Policji. Niemniej jednak, organ nadzorczy zasadnie uznał jednocześnie, że jednym z zadań Policji jest współpraca z mediami, w tym również informowanie środków masowego przekazu m.in. o czynnościach podejmowanych wobec policjantów oraz ich służby. Zdaniem Sądu, Prezes UODO słusznie przyjął, że w realiach analizowanej sprawy nie ulega wątpliwości, iż wskutek nieskutecznej anonimizacji doszło do ujawnienia danych w zakresie specjalizacji lekarzy, przez których wystawiane były zwolnienia lekarskie skarżącemu, co świadczy o tym, iż Komendant Wojewódzki Policji w [...] nie dołożył najwyższych standardów w procesie przetwarzania danych osobowych, co wynikało m.in. z faktu, iż nie dokonał właściwej analizy oraz nie zastosował niezbędnych środków zaradczych, skutkiem czego było nieuprawnione ujawnienie ww. danych skarżącego mediom. W konsekwencji, organ nadzorczy zasadnie przyjął, że w sytuacji braku staranności przy anonimizacji danych, które następnie przekazano mediom w związku ze zgłoszonym pytaniem redakcji jednej z gazet, uznać należy, że zakres i charakter ujawnionych danych osobowych o stanie zdrowia, a więc danych o charakterze wrażliwym odnoszącym się wprost do osoby skarżącego, świadczy o naruszeniu przez Komendanta Wojewódzkiego Policji w [...] zasady poufności, o której mowa w art. 5 ust. 1 lit. f RODO. Mając powyższe na względzie, Prezes UODO - powołując się na przepis art. 58 ust. 2 lit. b RODO - uznał za uzasadnione udzielenie Komendantowi Wojewódzkiemu Policji w [...] upomnienia w zakresie stwierdzonego naruszenia przepisu art. 9 ust. 1 w związku z art. 5 ust. 1 lit. f RODO. Zdaniem Sądu, Prezes UODO wyjaśniając zastosowany rodzaj uprawniania naprawczego, zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, a także na to, czy naruszenie nie było umyślne, jak również na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące. Według Sądu, organ nadzorczy zasadnie zauważył, że na ocenę wagi naruszenia wskazują charakter naruszenia, jak również zakres, cel danego przetwarzania, liczba poszkodowanych osób, których dane dotyczą, oraz rozmiar poniesionej przez nie szkody. Ponadto, Prezes UODO słusznie wskazał, że z celem przetwarzania danych osobowych wiąże się określenie, w jakim stopniu przetwarzanie spełnia dwa kluczowe elementy zasady "ograniczonego celu", tj. określenie celu i zgodnego zastosowania przez administratora lub podmiot przetwarzający. Ponadto, w ocenie Sądu, organ nadzorczy zasadnie podkreślił, że przy wyborze środka naprawczego uwzględnić należy, czy szkoda została lub może zostać poniesiona z powodu naruszenia RODO. Dokonując analizy zachowania administratora danych, Prezes UODO stwierdził, że naruszenie nie miało charakteru działania celowego. Ponadto, jako okoliczność łagodzącą, która przemawia za zastosowaniem upomnienia, organ nadzorczy uznał fakt, iż stwierdzone naruszenie miało charakter incydentalny. Prezes UODO wskazał jednocześnie, że Komendant Wojewódzki Policji w [...] niezwłocznie podjął działania naprawcze takie, jak: zgłoszenie organowi nadzorczemu naruszenia przepisów o ochronie danych, a także zgłoszenie autorowi tekstu opublikowanego w prasie zastrzeżenia w zakresie publikacji danych skarżącego na podstawie art. 14 ust. 5 ustawy z dnia 26 stycznia 1984 r. - Prawo prasowe. Ponadto, organ nadzorczy zauważył, że administrator danych przeprowadził czynności wyjaśniające, zorganizował szkolenia dla pracowników Komendy Wojewódzkiej Policji w [...] w celu podniesienia ich świadomości w zakresie kwestii ochrony danych osobowych. Ponadto, Prezes UODO podniósł także, że nie otrzymał jakichkolwiek innych sygnałów, aby ze strony Komendanta Wojewódzkiego Policji w [...] miały miejsce podobne zachowania skutkujące naruszeniami. Organ nadzorczy uznał więc, że sporne zdarzenie dotyczy jednorazowego incydentu, nie zaś systematycznego działania lub zaniechania, które stanowiłoby poważne zagrożenie dla praw osób, których dane osobowe są przetwarzane przez ten podmiot. Uzasadniając udzielenie Komendantowi Wojewódzkiemu Policji w [...] upomnienia za stwierdzone naruszenie, Prezes UODO wskazał także, że zastosowanie tego uprawnienia naprawczego umożliwi uniknięcie podobnych zdarzeń w przyszłości. Jednakże, organ nadzorczy zauważył jednocześnie, że w przypadku zaistnienia podobnego zdarzenia w przyszłości, zastosowane wobec administratora danych upomnienie będzie brane pod uwagę przy ocenie przesłanek [pic]ewentualnego wymierzenia temu podmiotowi kary administracyjnej, zgodnie z zasadami określonymi w art. 83 ust. 2 RODO. Mając powyższe na względzie, Wojewódzki Sąd Administracyjny w Warszawie uznał, że w ustalonych okolicznościach niniejszej sprawy stwierdzić należy, iż - wbrew zarzutom strony skarżącej - organ nadzorczy zastosował wystarczające uprawnienie naprawcze polegające na udzieleniu administratorowi danych upomnienia, o którym mowa w art. 58 ust. 2 lit. b RODO, precyzyjnie wskazując przy tym w uzasadnieniu zaskarżonej decyzji, jakie konkretne okoliczności wpłynęły na rodzaj zastosowanego uprawnienia naprawczego. Biorąc powyższe pod uwagę, Wojewódzki Sad Administracyjny w Warszawie - działając na podstawie art. 151 P.p.s.a. - orzekł, jak w sentencji wyroku.[pic][pic]