II SA/Wa 1682/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube (spr.), Sędziowie WSA Danuta Kania, Stanisław Marek Pietras, Protokolant specjalista Elwira Sipak, po rozpoznaniu na rozprawie w dniu 30 stycznia 2018 r. sprawy ze skargi K. B. na decyzję Dyrektora Centralnego Ośrodka Informatyki z dnia [...] sierpnia 2017 r. nr [...] w przedmiocie odmowy udostępnienia informacji publicznej oddala skargę Dyrektor Centralnego Ośrodka Informatyki decyzją z dnia [...] sierpnia 2017 r. nr [...], na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (t.j. Dz. U. z 2017 r. poz. 1257, z późn. zm.) oraz art. 16 w zw. z art. 17 ust. 2, art. 4 ust. 1 pkt 5 oraz art. 5 ust. 2 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (t.j. Dz. U. z 2016 r. poz. 1764, z późn. zm.); zwanej dalej u.d.i.p., po rozpatrzeniu wniosku o ponowne rozpatrzenie sprawy, utrzymał w mocy własne rozstrzygnięcie z dnia [...] lipca 2017 r. nr [...] o odmowie udostępnienia K.B. informacji publicznej w zakresie: 1) imion i nazwisk osób fizycznych wymienionych na stronie 67 Raportu z audytu wybranych obszarów zarządzania systemami i zasobami IT w zakresie ePUAP realizowanych w ramach projektu Budowa elektronicznej Platformy Usług Administracji Publicznej – ePUAP2, przygotowanego na podstawie umowy nr [...] zawartej w dniu [...] grudnia 2015 r. pomiędzy Ministrem Cyfryzacji a Centralnym Ośrodkiem Informatyki, 2) danych technicznych systemu ePUAP objętych anonimizacją znajdujących się na stronach 23,34,35,49,50,56,67,70,71,74,75,76,77,78,79,80,107,108,109,110,111 powyższego Raportu. W uzasadnieniu rozstrzygnięcia organ wskazał, że odmowa udzielenia informacji publicznej dotyczy jedynie części informacji, do której strona żądała dostępu wnioskiem z dnia [...] maja 2016 r. i nastąpiła ze względu na prywatność osoby fizycznej i tajemnicę przedsiębiorstwa Centralnego Ośrodka Informatyki (art. 5 ust. 2 u.d.i.p.). Stwierdził, że w zakresie żądania wnioskodawcy, co do danych osób biorących udział w wizji lokalnej przeprowadzonej w Centrum Cyfrowej Administracji w [...] przy ul. [...] w dniu [...] grudnia 2015 r. zachodzi konieczność ograniczenia prawa do informacji publicznej, poprzez nieudostępnienie imion i nazwisk osób fizycznych wymienionych na stronie 67 powyższego Raportu. Dane te nie podlegają wyłączeniu z zakresu ochrony, tj. nie dotyczą osób pełniących funkcje publiczne, nie mają związku z pełnieniem tych funkcji, w tym o warunkach powierzenia i wykonywania funkcji i osoby, których dane dotyczą, nie zrezygnowały z przysługującego im prawa do ochrony danych osobowych. Odnosząc się zaś do danych technicznych systemu ePUAP objętych anonimizacją powyższego Raportu wskazał, że zachodzi podstawa do ograniczenia prawa do informacji publicznej z uwagi na tajemnicę przedsiębiorstwa. W ocenie organu została spełniona przesłanka formalna odmowy udostępnienia informacji publicznej znajdujących się na stronach 23,34,35,49,50,56,67,70,71,74,75,76,77,78,79,80,107,108,109,110,111 Raportu, bowiem Centralny Ośrodek Informatyki podjął niezbędne działania w celu zachowania poufności tych informacji, manifestując w ten sposób wolę ich utajnienia. W celu realizacji zobowiązań wynikających z umowy na przeprowadzenie badań ePUAP i sporządzenie Raportu oraz fakt, że informacje na wskazanych powyżej stronach stanowią informacje, których ujawnienie mogłoby zagrozić realizacji przez organ zobowiązania do świadczenia na rzecz Ministra Cyfryzacji usług zapewniających poprawne i nieprzerwane funkcjonowanie systemu ePUAP, zaciągniętego na podstawie "Umowy na utrzymanie ePUAP" nr [...] z dnia [...] marca 2016 r., uznano te informacje za tajemnicę przedsiębiorstwa. Została także spełniona przesłanka materialna do odmowy udzielenia informacji publicznej. Informacje zamieszczone na tych stronach Raportu są danymi technicznymi związanymi z opisem architektury systemu ePUAP, analizą kodu źródłowego dotyczącą bezpieczeństwa systemu, opisem sposobu zapewnienia bezpieczeństwa i jego oceną, w tym wskazaniem podatności, które generują ryzyko naruszenia integralności systemu ePUAP. Informacje te posiadają wartość gospodarczą dla Centralnego Ośrodka Informatyki. Ich ujawnienie, bowiem naraziłoby organ na odpowiedzialność z tytułu kary zastrzeżonej w umowie na przeprowadzenie badań ePUAP i sporządzenie Raportu, a ponadto pozyskanie zastrzeżonych informacji technicznych zwiększa możliwość skutecznego ataku na system, za którego utrzymanie odpowiada Centralny Ośrodek Informatyki na podstawie powyższej umowy. Dodatkowo podał, że utrzymanie przez Centralny Ośrodek Informatyki systemu ePUAP jest realizacją zadania publicznego i naruszenie jego integralności mogłoby doprowadzić nie tylko do konsekwencji finansowych, ale przede wszystkim spowodować, że osoby nieupoważnione uzyskałyby dostęp do informacji chronionych ustawowo, w tym do danych osobowych użytkowników systemu ePUAP oraz do zakłócenia dostępu do usług publicznych. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie K.B. zakwestionował powyższą decyzję wnosząc o jej uchylenie oraz decyzji ją poprzedzającej, a także zasądzenie kosztów postępowania, według norm przepisanych. Zaskarżonemu rozstrzygnięciu zarzucił naruszenie: - art. 61 ust. 1 i 2 Konstytucji RP, poprzez niezasadną odmowę udostępnienia informacji publicznej, - art. 61 ust. 3 w zw. z art. 31 ust. 3 Konstytucji RP, poprzez nieprawidłowe ich zastosowanie wskutek czego dokonano nieproporcjonalnego ograniczenia prawa do informacji, - art. 5 ust. 2 u.d.i.p., poprzez nieprawidłowe ograniczenie prawa do informacji ze względu na ochronę prywatności osoby fizycznej, podczas gdy ujawnienie żądanych informacji nie prowadzi do naruszenia informacji ingerujących w prywatność osób fizycznych, a przez to nieuzasadnioną ocenę, czy określone osoby pełnią funkcje publiczne, - art. 5 ust. 2 u.d.i.p., poprzez nieprawidłowe ograniczenie prawa do informacji publicznej ze względu na tajemnicę przedsiębiorcy, polegające na błędnym przyjęciu, że udostępnienie informacji publicznej będącej przedmiotem wniosku mogłoby naruszyć tajemnicę przedsiębiorcy, - art. 11 ust. 4 ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz. U. z 2003 r. Nr 153 poz. 1503, z późn. zm.), poprzez błędne przyjęcie, że informacje, których udostępnienia odmówiono, przejawiają jakąkolwiek wartość gospodarczą, - art. 7 K.p.a., poprzez brak wyczerpującego wyjaśnienia stanu faktycznego sprawy, - art. 8 K.p.a. i art. 11 K.p.a., poprzez podjęcie rozstrzygnięcia bez dokładnego wyjaśnienia motywów i przesłanek oraz brak wyczerpującej oceny stanu prawnego. Skarżący wskazał, że błędne jest stanowisko organu, że udostępnienie informacji o tym, kto uczestniczył ze strony Centrum Cyfrowej Administracji w wizji lokalnej, która dotyczyła zagadnień bezpośrednio związanych z utrzymaniem systemu ePUAP nie jest możliwe ze względu na ochronę prywatności osób fizycznych. W jego ocenie Centrum Cyfrowej Administracji jest podmiotem publicznym, a imiona i nazwiska osób, które uczestniczyły w wizji lokalnej dotyczą występowania ich w sferze publicznej w związku z działalnością zawodową. Nie są one związane z ujawnieniem jakiejkolwiek informacji wchodzącej w zakres prywatności osoby fizycznej. Ponadto organ nieprawidłowo odmówił udostępnienia danych technicznych systemu ePUAP objętych anonimizacją na stronach 23,34,35,49,50, 56,67,70,71,74,75,76,77,78,79,80,107,108,109,110,111 Raportu ze względu na tajemnicę przedsiębiorstwa Centralnego Ośrodka Informatyki. Zaznaczył, że przy zastosowaniu tego rodzaju podstawy do odmowy udostępnienia informacji publicznej nie jest wystarczające uznanie, że określony podmiot wyraził wolę zachowania jej w poufności. Można się zgodzić ze stwierdzeniem, że są to informacje techniczne jednakże organ nie wykazał, że informacje te przejawiają jakąkolwiek wartość gospodarczą, co dopiero uzasadnia ocenę tych informacji z punktu widzenia zakresu tajemnicy przedsiębiorcy. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując swoje dotychczasowe argumenty faktyczne i prawne. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2016 r. poz. 1066, z późn. zm.), sądy administracyjne sprawują wymiar sprawiedliwości m.in. przez kontrolę działalności administracji publicznej, a kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Skarga nie zasługuje na uwzględnienie. W sprawie bezsporne jest, że Dyrektor Centralnego Ośrodka Informatyki jest adresatem obowiązku udostępnienia informacji publicznej w rozumieniu art. 4 ust. 1 u.d.i.p. Z kolei wnioskowana informacja dotycząca Raportu z audytu wybranych obszarów zarządzania systemami i zasobami IT w zakresie ePUAP realizowanych w ramach projektu Budowa elektronicznej Platformy Usług Administracji Publicznej – ePUAP2, przygotowanego na podstawie umowy nr [...] zawartej w dniu [...] grudnia 2015 r. pomiędzy Ministrem Cyfryzacji a Centralnym Ośrodkiem Informatyki, stanowi informację publiczną. Jak wynika z akt sprawy Raport został udostępniony wnioskodawcy w formie zaanonimizowanej, z wyłączeniem imion i nazwisk osób fizycznych wymienionych na stronie 67 Raportu oraz danych technicznych systemu ePUAP znajdujących się na stronach 23,34,35,49,50,56,67,70,71,74,75,76,77,78,79,80,107,108,109,110,111 tego Raportu. Przedmiotem niniejszego postępowania sądowoadministracyjnego jest zatem kwestia zasadności odmowy K.B. udostępnienia informacji publicznej w powyższym zakresie. Organ wydając decyzję odmowną uznał, że żądane informacje dotyczą prywatności osoby fizycznej oraz tajemnicy przedsiębiorstwa Centralnego Ośrodka Informatyki, do których ma zastosowanie art. 5 ust. 2 u.d.i.p. Zgodnie z treścią ww. przepisu prawo do informacji publicznej podlega ograniczeniu ze względu na prywatność osoby fizycznej lub tajemnicę przedsiębiorcy. Ograniczenie to nie dotyczy informacji o osobach pełniących funkcje publiczne, mających związek z pełnieniem tych funkcji, w tym o warunkach powierzenia i wykonywania funkcji, oraz przypadku, gdy osoba fizyczna lub przedsiębiorca rezygnują z przysługującego im prawa. W ocenie Sądu zgodzić się należy ze stanowiskiem organu, że informacje dotyczące Raportu w zakresie imion i nazwisk osób fizycznych wymienionych na stronie 67 Raportu, tj. osób biorących udział w wizji lokalnej z dnia [...] grudnia 2015 r. przeprowadzonej w siedzibie Centrum Cyfrowym Administracji w [...] nie podlegają udostępnieniu w trybie u.d.i.p. Prawidłowo organ uznał, że nieujawnione informacje obejmują dane osobowe, które podlegają ochronie i wykluczeniu z obowiązku ich ujawnienia. Wykonywane, bowiem przez te osoby czynności w ramach omawianego Raportu miały charakter usługowy, co nie daje podstaw do kwalifikowania ich, jako osób pełniących funkcje publiczne w rozumieniu art. 5 ust. 2 u.d.i.p. Podkreślić należy, że z katalogu osób pełniących funkcje publiczne wykluczone są podmioty, które zajmują stanowiska o charakterze usługowym i technicznym, podejmowane nawet w ramach instytucji publicznych (por. wyrok Trybunału Konstytucyjnego z dnia 20 marca 2006 r. sygn. akt K 17/05, OTK 2006, seria A Nr 3, poz. 30). Fakt, że osoby których imiona i nazwiska zostały zamieszczone na stronie 67 Raportu występowały w ścisłym związku z wykonywaniem przez siebie obowiązków zawodowych, jak zostało to podniesione przez skarżącego, nie oznacza, że osoby te wykonują funkcje publiczne, których sprawowanie jest równoznaczne z podejmowaniem działań wpływających bezpośrednio na sytuację prawną innych osób lub łączy się z przygotowywaniem rozstrzygnięć dotyczących innych podmiotów. Osobom biorącym udział w wizji lokalnej w Centrum Cyfrowej Administracji w [...] w dniu [...] grudnia 2015 r. nie przysługiwał jakikolwiek zakres kompetencji decyzyjnej w sferze publicznej, a czynności dokonywane podczas wizji nie miały bezpośredniego wpływu na sytuację prawną innych osób. Zadaniem osób uczestniczących w wizji lokalnej było zaprezentowanie struktury utrzymania systemu ePUAP, jego zasad, pracowników i stanowisk pracy poszczególnych komórek organizacyjnych związanych z utrzymaniem ePUAP oraz przyjęcie informacji i uwag do oceny wdrożenia i eksploatacji systemu. Zdaniem Sądu organ prawidłowo także uznał, że udostępnienie danych technicznych systemu ePUAP omawianego Raportu podlega ograniczeniu ze względu na tajemnicę przedsiębiorstwa Centralnego Ośrodka Informatyki. W u.d.i.p. nie zostało zdefiniowane pojęcie "tajemnicy przedsiębiorcy". W orzecznictwie sądów administracyjnych, na które powołuje się również organ, zostało wyrażone stanowisko, zgodnie z którym tajemnicę przedsiębiorcy wyprowadza się z tajemnicy przedsiębiorstwa, o której mowa w art. 11 ust. 4 ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji, a pojęcia te pokrywają się zakresowo, przy jednoczesnym wskazaniu, że tajemnica przedsiębiorcy w niektórych sytuacjach może być rozumiana szerzej. Stosownie do treści art. 11 ust. 4 ustawy o zwalczaniu nieuczciwej konkurencji, przez tajemnicę przedsiębiorstwa rozumie się nieujawnione do wiadomości publicznej informacje techniczne, technologiczne, organizacyjne przedsiębiorstwa lub inne informacje posiadające wartość gospodarczą, co do których przedsiębiorca podjął niezbędne działania w celu zachowania ich poufności. Przy odmowie udostępnienia danej informacji publicznej ze względu na tajemnicę przedsiębiorcy spełnione muszą być przesłanki formalne i materialne (por. wyrok Naczelnego Sądu Administracyjnego z dnia 29 kwietnia 2016 r., sygn. akt I OSK 2490/14, dostępny na stronie internetowej pod adresem: https://cbois.nsa.gov.pl). Przesłanka formalna wyraża się w zamanifestowaniu woli konkretnego przedsiębiorcy utajnienia danych informacji. Z informacją poufną mamy do czynienia wówczas, gdy przedsiębiorca ma wolę, by pozostała ona tajemnicą dla pewnych kół odbiorców, konkurentów, zaś wola ta dla innych osób musi być rozpoznawalna. Ustawodawca nie przesądził, jakie mają to być działania. Natomiast przesłanka materialna polega na tym, że informacje objęte tajemnicą przedsiębiorcy powinny stanowić informacje, których ujawnienie mogłoby mieć wpływ na jego sytuację ekonomiczną, jakkolwiek nie muszą mieć same w sobie wartości gospodarczej, aby dana informacja podlegała ochronie muszą być spełnione obie te przesłanki łącznie (por. wyrok Naczelnego Sądu Administracyjnego z dnia 17 stycznia 2017 r., sygn. akt I OSK 1993/16, dostępny na stronie internetowej pod adresem: https://cbois.nsa.gov.pl). Odnośnie przesłanki materialnej wskazać należy, że za informację organizacyjną uznaje się całokształt doświadczeń i wiadomości przydatnych do prowadzenia przedsiębiorstwa. Ponadto istotne jest, aby określone dane w sposób obiektywny obrazowały szczegóły prowadzonej działalności gospodarczej i przekładały się na istnienie interesu przedsiębiorcy w ich utajnieniu. Podkreślenia wymaga, że ograniczenie dostępności do informacji publicznej ze względu na tajemnicę ustawowo chronioną ma charakter wyjątku od zasady jawności publicznej, zatem wskazanie konkretnej podstawy i zakresu utajnienia danej informacji jest konieczne ze względu na specyficzny charakter objęcia ochroną tajemnicy przedsiębiorcy. Zdaniem Sądu organ prawidłowo zwrócił uwagę na fakt, że Centralny Ośrodek Informatyki podjął działania mające na celu zachowanie poufności Raportu. Na każdej stronie przedmiotowego dokumentu zawarta została klauzula dotycząca zachowania w poufności informacji o treści: "Wykonawca oświadcza, że informacje zawarte w dokumencie stanowią tajemnicę przedsiębiorstwa w rozumieniu art. 11 ust. 4 ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (tekst jednolity: Dz. U. 2003 r. Nr 153 poz. 1503 ze zm.). Dokument obejmuje nieujawnione do wiadomości publicznej informacje techniczne, technologiczne, organizacyjne przedsiębiorstwa oraz inne informacje posiadające wartość gospodarczą, które Wykonawca zastrzega jako informacje poufne" nie podlegające ujawnieniu. Ponadto § 8 umowy z dnia [...] grudnia 2015 r. zawartej pomiędzy Skarbem Państwa - Ministrem Cyfryzacji a Centralnym Ośrodkiem Informatyki, na przeprowadzenie specjalistycznych badań wybranych obszarów zarządzania systemami i zasobami IT w zakresie ePUAP realizowanych w ramach projektu Budowa elektronicznej Platformy Usług Administracji Publicznej – ePUAP2 oraz opracowanie Raportu na przeprowadzenie badań ePUAP i sporządzenie Raportu zobowiązuje wykonawcę (Centralny Ośrodek Informatyki) do nieujawnienia w trakcie obowiązywania umowy, jak i po jej wygaśnięciu, osobom trzecim jakichkolwiek informacji oznaczonych jako poufne. Za właściwe należy uznać stanowisko organu, że informacje znajdujące się na stronach 23,34,35,49,50,56,67,70,71,74,75,76,77,78,79,80,107,108,109,110,111 Raportu mają dla Centralnego Ośrodka Informatyki wartość gospodarczą, w rozumieniu art. 11 ust. 4 ustawy o zwalczaniu nieuczciwej konkurencji, gdyż stanowią informacje, których ujawnienie mogłoby zagrozić realizacji przez Centralny Ośrodek Informatyki zobowiązania do świadczenia na rzecz Skarbu Państwa – Ministra Cyfryzacji usług zapewniających poprawne i nieprzerwane funkcjonowanie sytemu ePUAP. Treścią tych informacji jest bowiem opis architektury systemu ePUAP, analiza kodu źródłowego z punktu widzenia bezpieczeństwa systemu, opis sposobu zapewnienia bezpieczeństwa i jego ocena, w tym wskazanie podatności, które generują ryzyko naruszenia integralności systemu ePUAP. Niewątpliwie informacje te mają ogromny wpływ na bezpieczeństwo ePUAP, a ich ujawnienie naraziłoby Centralny Ośrodek Informatyki na odpowiedzialność z tytułu kary zastrzeżonej w umowie z dnia [...] grudnia 2015 r., a także udostępnienie poufnych informacji technicznych, czego konsekwencją mógłby stanowić atak nieuprawnionych podmiotów. W świetle powyższego za trafne należy uznać stanowisko organu, które zdaniem Sądu zostało wykazane i prawidłowo uzasadnione, że żądane w niniejszym postępowaniu dane, objęte decyzją odmowną podlegają ograniczeniu ze względu na prywatność osoby fizycznej, tajemnicę przedsiębiorcy oraz ochronę poufności zawartej w umowie z dnia [...] grudnia 2015 r. nr [...] pomiędzy Ministrem Cyfryzacji a Centralnym Ośrodkiem Informatyki, o których mowa w art. 5 ust. 2 u.d.i.p. Za niezasadny zatem należy uznać zarzut naruszenia wskazanego powyżej przepisu prawa materialnego, jak i przepisów postępowania. Z tych względów Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2017 r. poz. 1369, z późn. zm.), orzekł jak w sentencji wyroku. Sąd nie uwzględnił wniosku o zasądzenie kosztów postępowania, ponieważ zwrot kosztów niezbędnych do celowego dochodzenia praw przysługuje skarżącemu od organu w wypadku uwzględnienia skargi, co w przedmiotowej sprawie nie miało miejsca.