II SA/Wa 2048/22

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube, Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Łukasz Krzycki (spr.), , Protokolant referent Edyta Brzezicka, , po rozpoznaniu na rozprawie w dniu 21 czerwca 2023 r. sprawy ze skargi Burmistrza Miasta [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Zaskarżoną decyzją – przywołując art. 104 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2021 r., poz. 735 ze zm.), zwanej dalej "K.p.a.", oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO", wobec skargi p. M. B., zwanego dalej "Wnioskodawcą", na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Burmistrza Miast O., zwanego dalej "Burmistrzem" - udzielono Burmistrzowi upomnienia za naruszenie art 6 ust 1 RODO, poprzez udostępnienie - bez podstawy prawnej - danych osobowych Wnioskodawcy, w zakresie: imienia i nazwiska, adresu zamieszkania, adresu e-mail oraz numeru telefonu, zawartych w jego wniosku o udostępnienie informacji publicznej z [...] maja 2021 r., osobie trzeciej za pomocą komunikatora internetowego Messenger, zwanego dalej "Komunikatorem". W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - wobec skargi Wnioskodawcy ustalono następujący stan faktyczny: - [...] maja 2021 r. Wnioskodawca skierował do Urzędu Miasta O., zwanego dalej "Urzędem" - za pomocą poczty elektronicznej - żądanie udostępnienia informacji publicznej w sprawie żłobka; zawierało ono jego dane osobowe w zakresie imienia i nazwiska, adresu e-mail, adresu zamieszkania, numeru telefonu (tak: skarga, wyjaśnienia Burmistrza z [...] stycznia 2022 r., kopie żądań Wnioskodawcy do Burmistrza z [...] maja 2021 r.),  - Burmistrz wyjaśnił, że [...] maja 2021 r. Wnioskodawca zwrócił się doń - za pomocą poczty elektronicznej - o wskazanie m.in., na jakiej podstawie przesłano za pomocą Komunikatora do osoby trzeciej (niebędącej stroną w sprawie) zdjęcie wniosku o udostępnienie informacji publicznej, który Wnioskodawca wysłał [...] maja 2021 r. do Urzędu drogą elektroniczną; na skutek tego Burmistrz sprawdził Komunikator i stwierdził, że mogło dojść do naruszenia ochrony danych; poinformował o tym Wnioskodawcę; wskazał jednocześnie, że wszczęto odpowiednią procedurę w tej sprawie (tak: wyjaśnienia Burmistrza z [...] stycznia 2022 r., wydruk e-maila z [...] maja 2021 r.), - jak wyjaśnił Burmistrz - po przeprowadzeniu postępowania wyjaśniającego - ustalono, że do przekazania treści pytania Wnioskodawcy osobie nieuprawnionej doszło wskutek pomyłki (błędu) ze strony Burmistrza; skan zapytania Wnioskodawcy niezwłocznie usunięto z konwersacji Komunikatora; naruszenie to opisano w prowadzonym w Urzędzie rejestrze naruszeń (tak: wyjaśnienia Burmistrza z [...] lutego 2022 r., kopia rejestru naruszeń zasad ochrony danych osobowych prowadzonego w Urzędzie Miasta O., kopia notatki służbowej z [...] maja 2021 r.), - Burmistrz - pismem z [...] maja 2021 r. - zawiadomił Prezesa Urzędu Ochrony Danych Osobowych, zwanego dalej "organem", o naruszeniu danych osobowych Wnioskodawcy, poprzez przesłanie jego żądania z [...] maja 2021 r. za pomocą Komunikatora do osoby nieuprawnionej, - w związku z zaistniałym naruszeniem w Urzędzie podjęto działania, w celu zapobieżenie wystąpieniu podobnych sytuacji w przyszłości; ponownie zapoznano Burmistrza, Sekretarza Miasta, personel sekretariatu oraz pozostałych pracowników Urzędu z dokumentacją, dotyczącą bezpieczeństwa informacji; udzielono ponadto instruktarzy na temat ochrony danych osobowych - zwłaszcza w kontekście zakazu używania dla celów służbowych innych niż służbowe elektronicznych środków przekazywania informacji; udział w opisanych czynnościach pracownicy Urzędu potwierdzili własnoręcznymi podpisami (tak wyjaśnienia Burmistrza z [...] lutego 2022 r., kopia pisma z [...] czerwca 2021 r.), - na administratorze danych osobowych, którym w rozumieniu art. 4 pkt 7 RODO, jest w niniejszej sprawie Burmistrz, ciąży obowiązek przetwarzania danych osobowych zgodnie z obowiązującymi przepisami - w szczególności zapewnienia, by odbywało się to na podstawie co najmniej jednej z enumeratywnie wymienionych przesłanek z art. 6 ust. 1 RODO; katalog przesłanek ten jest zamknięty; każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny; w myśl tego przepisu przetwarzanie danych jest zgodne z prawem gdy - osoba, której dane dotyczą wyraziła zgodę na to przetwarzanie (art. 6 ust. 1 lit. a), jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b), jest niezbędne do wypełnienia ciążącego na administratorze obowiązku prawnego (art. 6 ust. 1 lit. c), jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej (art. 6 ust. 1 lit. d), jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e) oraz jest niezbędne do celów, wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f), - z okoliczności faktycznych niniejszej sprawy wynika, że Wnioskodawca złożył [...] maja 2021 r. do Urzędu - za pomocą poczty elektronicznej - wniosek udostępnienie informacji publicznej; zawierał on dane osobowe Wnioskodawcy w zakresie imienia i nazwiska, adresu zamieszkania, adresu e-mail oraz numeru telefonu; Burmistrz wyjaśnił, że przez pomyłkę przesłał skan tego wniosku osobie nieuprawnionej - za pomocą Komunikatora; skan wniosku niezwłocznie usunięto z konwersacji Komunikatora, - w postępowaniu wyjaśniającym wykazano zatem, że doszło do udostępnienia przez Burmistrza danych osobowych Wnioskodawcy w zakresie imienia i nazwiska, adresu zamieszkania, adresu e-mail oraz numeru telefonu - zawartych w żądaniu udostępnienia informacji publicznej z [...] maja 2021 r. - na rzecz osoby trzeciej; nie była ona uprawniona do dostępu do tych danych; przedmiotowe udostępnienie danych osobowych Wnioskodawcy nastąpiło w wyniku pomyłki i nie znajdowało oparcia w żadnej spośród przesłanek, określonych w art. 6 ust. 1 RODO - stanowiących o legalności przetwarzania danych osobowych; nastąpiło zatem bez podstawy prawnej, - opisane naruszenie miało charakter jednorazowy i nie jest obecnie kontynuowane; udostępnienie danych jest procesem nieodwracalnym, dlatego - mimo stwierdzenia, że udostępnienie nastąpiło bez podstawy prawnej - nie jest możliwe przywrócenie w tej sprawie stanu zgodnego z prawem sprzed tego udostępnienia, - w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych organ może skorzystać z uprawnień naprawczych, przyznanych na podstawie art. 58 ust. 2 RODO; w niniejszej sprawie, jakkolwiek stwierdzono naruszenie przepisów o ochronie danych osobowych, nie ma możliwości przywrócenia stanu zgodnego z prawem; stwierdzone naruszenie przepisów o ochronie danych osobowych ma bowiem charakter przeszły i nieodwracalny - nie sposób cofnąć jego skutków, polegających na udostępnieniu danych osobowych w zakresie imienia i nazwiska, adresu zamieszkania, adresu e-mail oraz numeru telefonu - zawartych we wniosku o udostępnienie informacji publicznej z [..] maja 2021 r., - mając na uwadze powyższe - uwzględniając wagę i charakter stwierdzonego naruszenia oraz jego nieodwracalność - uznano za zasadne skorzystanie w niniejszej sprawie z instrumentu o charakterze naprawczym przewidzianego w art. 58 ust. 2 lit. b RODO - skierowano do Burmistrza upomnienia w związku ze stwierdzonymi nieprawidłowościami w procesie przetwarzania danych osobowych Wnioskodawcy. W skardze zarzucono wydanie decyzji z naruszeniem przepisów prawa materialnego: - - art. 4 pkt 2 RODO, poprzez bezzasadne uznanie, że ustalone w toku postępowania przesłanie za pośrednictwem Komunikatora imienia i nazwiska, adresu zamieszkania, adresu e-mail oraz numeru telefonu Wnioskodawcy, zawartych w jego wniosku o udostępnienie informacji publicznej z [...] maja 2021 r., stanowiło "udostępnienie danych osobowych"; a w konsekwencji ich przetwarzanie, w rozumieniu powołanego przepisu; dane te były tymczasem znane uprzednio osobie, której je przesłano; wyłącza to możliwość uznania, że doszło do udostępnieniem enumeratywnie wskazanych danych osobowych; udostępnianie danych bowiem - jako postać ich "ujawniania" - dotyczy wyłącznie sytuacji, w których dostęp do danych osobowych uzyskuje osoba nie znająca ich wcześniej, - art. 6 ust. 1 RODO, poprzez bezzasadne przyjęcie, że Burmistrz udostępnił bez podstawy prawnej dane osobowe Wnioskodawcy; tymczasem - w związku z treścią uprzedniego zarzutu - czynność przesłania imienia i nazwiska, adresu zamieszkania, adresu e-mail oraz numeru telefonu Wnioskodawcy, zawartych w żądaniu udostępnienia informacji publicznej z [...] maja 2021 r., nie stanowiło udostępniania tych danych osobowych. W uzasadnieniu skargi rozwinięto powyższe zarzuty wywodząc, że - skoro stosowne dane osobowe Wnioskodawcy były znane osobie, której je omyłkowo przesłano przez Komunikator - nie doszło do udostępnienia danych, w rozumieniu RODO. Udzielenie upomnienia nie jest w związku z uzasadnione. Wniesiono o przeprowadzenie dowodu z dokumentów, sporządzonych w toku postępowania przygotowawczego, prowadzonego przez Prokuraturę Rejonową w S. - protokołu przesłuchania świadka z [...] czerwca 2021 r. oraz [...] stycznia 2022 r. na okoliczność wykazania, że dane osobowe Wnioskodawcy - zawarte w żądaniu o udostępnienie informacji publicznej z [...] maja 2021 r. i przesłane za pomocą Komunikatora - były uprzednio znane osobie, do której nastąpiło ich przesłanie. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. Wskazano, że nawet gdyby uznać, że dane Wnioskodawcy zawarte w żądaniu z [...] maja 2021 r. było znane sobie trzeciej, ich przetworzenie przez przesłanie nie znajduje podstaw i pozostaje w sprzeczności z art. 6 ust. 1 oraz regułą minimalizacji przetwarzania danych w rozumieniu art. 5 ust. 1 lit. c RODO. W dodatkowym piśmie procesowym z [...] czerwca 2023 r. Burmistrzów podtrzymał stanowisko i sformułował wniosek o przeprowadzenie dowodów z kolejnych dokumentów - na okoliczność, że dane Wnioskodawcy były znane osobie trzeciej przed ich przesłaniem za pośrednictwem Komunikatora. W trakcie rozprawy [...] czerwca 2023 r. Sąd odmówił przeprowadzenia dowodów wnioskowanych w skardze jak i w piśmie z [...] czerwca 2023 r. Sąd zważył, co następuje. Skarga nie zasługuje na uwzględnienie, gdyż zaskarżona decyzja nie narusza prawa, w zakresie uzasadniającym jej wyeliminowanie z obrotu prawnego. Trafnie organ ustalił istotne uwarunkowania faktyczne sprawy a także przywołał jej ramy prawne w kwestii istnienia podstaw prawnych dla wydania decyzji, którą udzielono Burmistrzowi upomnienia wobec naruszenia reguł przetwarzania danych osobowych Wnioskodawcy, choć nie w pełni precyzyjnie opisano ujawnione naruszenie w treści decyzji. Wobec szczegółowego zreferowanie stanowiska organu, powtarzanie jego argumentacji byłoby bezzasadne. Sąd przyjmuje ją za własną, z poniższym zastrzeżeniem. W sprawie bezsporne są kluczowe fakty - przesłanie osobie trzeciej w wyniku oczywistego błędu pisma Wnioskodawcy, zawierającego jego dane osobowe - za pośrednictwem Komunikatora. Działanie to organ w osnowie skarżonej decyzji określił mianem "ujawnienie" danych osobowych, wskazując ich zakres - imię i nazwisko, adres zamieszkania, adres e-mail oraz numer telefonu. Po pierwsze wypada wskazać, że katalog zawartych w piśmie z [...] maja 2021 r. danych osobowych mylnie ograniczono. Zawartymi w żądaniu danymi, były bowiem nie tylko informacje o osobie wnioskującej – jej imię i nazwisko, adres zamieszkania, adres e-mail oraz numer telefonu - lecz także właśnie - w myśl, zdefiniowania pojęcia "danych osobowych" wedle art. 4 pkt 1 RODO - sama wiadomość o skierowaniu przez Wnioskodawcę do Urzędu określonego pytania - w zakresie udostępnienia informacji publicznej. Dane osobowe, które wymienił w decyzji organ, umożliwiają w istocie precyzyjne zidentyfikowanie osoby, zadającej pytanie (okoliczność bezsporna). Istotne było jednak także przekazanie wiadomości o skierowaniu do Urzędu konkretnego pytania, przez zidentyfikowaną danymi osobę. Kwestie wyczerpującego opisania przez organ przetworzonych danych, nie ma jednak kluczowego znaczenia w danej sprawie. Nawet gdyby bowiem uznać, że osoba trzecia, do której trafiła wiadomość, dysponowała wszystkimi informacjami o Wnioskodawcy - włącznie z faktem skierowania przezeń do Urzędu konkretnego pytania (czego w skardze nie wywodzono), niewątpliwie przetworzenie danych osobowych Wnioskodawcy - przez przesłanie ich osobie trzeciej za pośrednictwem Komunikatora - nie uzasadniała żadna z przesłanek legalizujących obrót danymi spośród wskazanych w art. 6 ust. 1 1 RODO - nie znajdowało to oczywiście żadnego racjonalnego uzasadnienia w kontekście potrzeb Urzędu. Zresztą tego nie kwestionowano. Przeciwnie, zdarzenie odnotowano w rejestrze naruszeń zaś po incydencie dodatkowo przeszkolono pracowników Urzędu. Przesyłając Komunikatorem – w wyniku omyłki - treść żądania Wnioskodawcy o udostępnienie informacji publicznej, uchybiono równocześnie wymaganiu minimalizacji przetwarzania danych, w rozumieniu art. 5 ust. 1 lit. c RODO. Równocześnie nie budzi wątpliwości, że samo wysłanie osobie trzeciej Komunikatorem skanu żądania informacji publicznej - skierowanego przez Wnioskodawcę do Urzędu - stanowiło jedną z możliwych form "przetwarzania" danych osobowych, w rozumieniu art. 4 pkt 2 RODO. Za przetworzenie uznano tam bowiem każdą operację lub zestaw operacji "na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie". W rozumieniu RODO każde więc "udostępnienie danych", także nie stanowiące ich "ujawnienia", stanowi "przetwarzanie danych osobowych". Wobec wskazanych wyżej uwarunkowań prawnych i faktycznych przedmiotowej sprawy, bezspornie doszło do "przetworzenia danych osobowych" Wnioskodawcy przez Burmistrza bez podstawy prawnej. Istniały więc przesłanki udzielenia upomnienia - w myśl art. 58 ust. 2 lit. b RODO. W uzasadnieniu decyzji opisano z kolei precyzyjnie zdarzenie, którego następstwem było udzielenie upomnienia, określając je także poprawnie ogólnym pojęciem "przetworzenia danych". Pomimo więc pewnych uchybień, co do właściwego uzasadnienia, decyzja odpowiada prawu. Dostrzeżone bowiem naruszenie przepisów postępowania - w zakresie obowiązku precyzyjnego uzasadnienia decyzji (tak: art. 107 § 3 w zw. z art. 8 § 1 i art. 11 K.p.a.) - nie mogło mieć wpływu na wynik sprawy. Stwierdzona nieprawidłowość w danym zakresie nie mogła więc stanowić podstawy uchylenia przez Sąd skarżonego aktu. Wynika to przy rozumowaniu a contrario z art. 145 § 1 pkt 1 lit. c ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023 r., poz. 259 ze zm.). Wobec powyższych uwarunkowań sprawy - braku istotnego znaczenia, czy przetworzone bez podstawy prawnej dane Wnioskodawcy, w istocie "ujawniono osobie trzeciej" - nie uwzględniono wniosków dowodowych Burmistrza. Przeprowadzanie dowodu nie było bowiem "niezbędne dla wyjaśnienia istotnych wątpliwości", w rozumieniu art. 106 § 3 ustawy - Prawo o postępowaniu przed sądem i administracyjnymi. Wobec powyższych uwag - wydając skarżoną decyzję - nie uchybiono wskazanym w skardze przypisom prawa materialnego, określającym ramy przetwarzania danych osobowych ani też zakreślającym kompetencje, wyspecjalizowanego w sprawach ochrony danych osobowych, organu - w razie stwierdzenia nieprawidłowości w danym zakresie. Sąd nie dopatrzył się więc w zaskarżonym akcie - w świetle zarzutów skargi ani z urzędu - wad, które uzasadniałyby jego wyeliminowanie z obrotu prawnego. Z przytoczonych wyżej przyczyn, na podstawie art. 151 ustawy. - Prawo o postępowaniu przed sądami administracyjnymi - orzeczono jak w sentencji. ----------------------- 19