II SA/Wa 2266/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk (spr.), Sędzia WSA Karolina Kisielewicz-Sierakowska, Asesor WSA Dorota Kozub-Marciniak, po rozpoznaniu w trybie uproszczonym w dniu 14 sierpnia 2024 r. sprawy ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO) decyzją z [...] września 2023 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775, z późn. zm.); zwanej dalej K.p.a. w zw. z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz art. 5 ust. 1 lit. f, art. 6 ust. 1, art. 28 ust. 1 oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35); zwanego dalej RODO, udzielił upomnienia [...] S.A. z siedzibą w [...] przy ul. [...], za naruszenie art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO, polegające na udostępnieniu danych osobowych M. G., zam. [...] przy ul. [...], w zakresie imienia, nazwiska, adresu, numeru PESEL, numeru telefonu oraz danych dotyczących umowy takich jak numer umowy oraz numer punktu poboru, podmiotom i osobom do tego nieupoważnionym, podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum na rzecz [...] S.A. W toku postępowania organ ustalił następujący stan faktyczny. Do UODO wpłynęła skarga M. G.; zwanej dalej skarżącą lub uczestnikiem postępowania, na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. z siedzibą w [...]; zwaną dalej Spółką, polegające na naruszeniu ochrony jej danych osobowych poprzez ich udostępnienie podmiotom i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum na rzecz Spółki. Prezes UODO decyzją z [...] stycznia 2022 r. nr [...] udzielił Spółce upomnienia za naruszenie art. 6 ust. 1 RODO, polegające na przetwarzaniu danych osobowych skarżącej, w okresie od [...] kwietnia 2020 r. do [...] kwietnia 2020 r. bez podstawy prawnej, co skutkowało naruszeniem ochrony jej danych osobowych poprzez ich ujawnienie podmiotom i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum na rzecz Spółki. W dniu [...] marca 2022 r. do organu nadzorczego wpłynęła skarga Spółki na powyższą decyzję Prezesa UODO, którą Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 17 stycznia 2023 r. sygn. akt II SA/Wa 633/22 uchylił. Sąd wskazał, że przy wydawaniu zaskarżonej decyzji dopuszczono się naruszenia art. 7, art. 77 § 1, art. 80 K.p.a. w zw. z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, poprzez niedokonanie kluczowych w sprawie ustaleń faktycznych, a uzasadnienie decyzji nie odpowiada wymogom określonym w art. 107 § 3 K.p.a. Ponadto wskazał, że Prezes UODO nie zażądał od Spółki wyjaśnień dotyczących okresu obowiązywania umów zawartych ze skarżącą, a ustaleń dokonał wyłącznie na podstawie treści jej skargi skierowanej do organu. Stwierdził, że organ nadzorczy nie wyjaśnił w sposób wyczerpujący tego z jakim dniem umowy łączące skarżącą ze Spółką zostały rozwiązane. Prezes UODO, mając na względzie wytyczne zawarte w powyższym orzeczeniu Wojewódzkiego Sądu Administracyjnego w Warszawie, uzupełnił materiał dowodowy. Na podstawie wyjaśnień Spółki z [...] czerwca 2023 r. i [...] lipca 2023 r. ustalił, że skarżąca od [...] grudnia 2019 r. do [...] maja 2020 r. była klientką Spółki prowadzącej działalność w zakresie sprzedaży i dostawy energii elektrycznej oraz paliwa. Skarżąca podpisała ze Spółką [...] grudnia 2019 r. dwie umowy, tj. umowę kompleksową dla energii elektrycznej o numerze [...] oraz umowę kompleksową sprzedaży paliwa gazowego o numerze [...]. Do Spółki [...] kwietnia 2020 r. wpłynęło pismo M. G. z [...] kwietnia 2020 r., w którym oświadczyła, że rozwiązuje umowę zawartą ze Spółką. W dniu [...] kwietnia 2020 r. [...] S.A. z siedzibą w [...] skierowała do skarżącej pismo o znaku: [...], w którym poinformowała ją, że umowy zostaną rozwiązane ze skutkiem na dzień [...] maja 2020 r. Spółka wyjaśniła organowi, że skarżącą obowiązywał jednomiesięczny okres wypowiedzenia ze skutkiem na ostatni dzień miesiąca, co wynikało z otrzymanego przez Spółkę [...] kwietnia 2020 r. oświadczenia o wypowiedzeniu oraz z § 10 ust. 1 Ogólnych Warunków Umowy Kompleksowej dla Energii Elektrycznej. W dniu [...] maja 2018 r. Spółka zawarła umowę powierzenia przetwarzania danych z [...] Sp. z o.o., na podstawie której [...] Sp. z o.o. przetwarza w imieniu Spółki dane osobowe jej klientów w celu ich przechowywania (archiwum dokumentów) wraz z usługami towarzyszącymi archiwizacji cyfrowej dokumentów oraz skanowania dokumentacji wraz z indeksacją opisową na rzecz Spółki. W dniu [...] kwietnia 2020 r. Spółka powzięła informację o możliwym naruszeniu bezpieczeństwa danych osobowych i ustaliła, że do naruszenia poufności danych osobowych doszło w środowisku informatycznym podmiotu przetwarzającego, tj. [...] Sp. z o.o., i że naruszenie to obejmowało pomocniczą bazę archiwum cyfrowego zawierającą indeksy wyszukiwania. Jeden z portów ww. bazy znajdującej się w chmurze nie został zabezpieczony hasłem, co umożliwiało osobom nieupoważnionym dostęp do tej bazy w okresie od [...] kwietnia 2020 r. do [...] kwietnia 2020 r. Po stwierdzeniu naruszenia bezpieczeństwa danych osobowych dostęp do bazy został zablokowany poprzez wdrożenie zabezpieczeń przez [...] Sp. z o.o. W dniu [...] kwietnia 2020 r. Spółka zgłosiła ww. naruszenie do Prezesa UODO. Pismem z [...] kwietnia 2020 r. Spółka poinformowała skarżącą o ww. incydencie i ustaliła, że w jej przypadku doszło do naruszenia poufności danych osobowych w zakresie imienia, nazwiska, adresu, numeru PESEL, numeru telefonu oraz danych dotyczących umowy takich jak numer umowy oraz numer punktu poboru. W związku ze stwierdzonym wyciekiem danych Spółka zawiadomiła o możliwości popełnienia czynu zabronionego Prokuraturę Okręgową w [...] - Wydział [...] Dział do [...], Komendę Wojewódzką Policji w [...] - Wydział [...] oraz [...]. W prowadzonym przez Departament Kontroli i Naruszeń Urzędu Ochrony Danych Osobowych postępowaniu pod sygnaturą [...] ustalono, że w wyniku pozostawienia bazy danych klientów Spółki na niezabezpieczonym serwerze doszło do dwóch nieuprawnionych połączeń z bazą, których charakterystyka wskazywała na kopiowanie zawartości bazy danych. Pierwsze połączenie nastąpiło z adresu [...] [...] kwietnia 2020 r. pomiędzy godz. 19:22 a 20:58. Aktywność ta może wskazywać na skopiowanie danych o rozmiarze ok. 5 MB. Natomiast drugie połączenie trwało od [...] kwietnia 2020 r. godz. 23:00 do [...] kwietnia 2020 r. godz. 4:06 i nastąpiło za pośrednictwem komputera lub serwera zdefiniowanego numerem IP [...]. W jego wyniku mogło dojść do pobrania danych o wolumenie ok. 11 GB. Prezes UODO wskazał, że skarżąca była klientką Spółki w okresie od [...] grudnia 2019 r. do [...] maja 2020 r., wobec czego podstawę prawną uprawniającą Spółkę do przetwarzania jej danych osobowych stanowił art. 6 ust. 1 b RODO, zgodnie z którym przetwarzanie jest zgodne z prawem gdy jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie (art. 4 pkt 2 RODO). Spółka była uprawniona do przetwarzania danych osobowych skarżącej, ale nie w kwestionowanym zakresie, tj. do ich ujawnienia poprzez ich udostępnienie. Wyjaśnił, że proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się m.in. zasadę poufności (lit. f), która wymaga, aby proces przetwarzania danych osobowych odbywał się w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem danych osobowych oraz przypadkową ich utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. W motywie 39 RODO wyjaśniono, że dane osobowe powinny być przetwarzane w sposób zapewniający im odpowiednie bezpieczeństwo i odpowiednią poufność, w tym m.in. ochronę przed nieuprawnionym dostępem do nich. W przedmiotowej sprawie należało oczekiwać od Spółki określonego działania, tj. odpowiedniego zabezpieczenia danych, co zniwelowałoby ryzyko ich utraty. To jednak brak działania był przyczyną ujawnienia poprzez udostępnienie danych osobowych prowadząc do dwóch nieuprawnionych połączeń z bazą, których charakterystyka wskazywała na kopiowanie jej zawartości. W dniu [...] maja 2018 r. Spółka zawarła umowę powierzenia przetwarzania danych z [...] sp. z o.o., z którą łączy ją również wcześniej zawarta umowa o współpracy. Na podstawie ww. umowy [...] sp. z o.o. przetwarza w imieniu Spółki dane osobowe jej klientów w celu ich przechowywania (archiwum dokumentów) wraz z usługami towarzyszącymi, archiwizacji cyfrowej dokumentów oraz skanowania dokumentacji wraz z indeksacją opisową na rzecz Spółki. W relacji tej Spółka jest administratorem danych, a [...] sp. z o.o. podmiotem przetwarzającym. Zgodnie z art. 4 pkt 7 i 8 RODO "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Natomiast "podmiot przetwarzający" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. Przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora (art. 28 ust. 3 RODO). Jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą (art. 28 ust. 1 RODO). Organ zwrócił również uwagę na treść art. 32 RODO, zgodnie z którym uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w tym m.in. w stosownym przypadku: a) pseudonimizację i szyfrowanie danych osobowych, b) zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania, c) zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego, d) regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania (art. 32 ust. 1 RODO). Oceniając, czy stopień bezpieczeństwa jest odpowiedni, uwzględnia się, w szczególności ryzyko wiążące się z przetwarzaniem, w szczególności wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych (art. 32 ust.2 RODO). Ze zgromadzonego w niniejszej sprawie materiału dowodowego wynika, że w okresie od [...] kwietnia 2020 r. do [...] kwietnia 2020 r. doszło do naruszenia ochrony danych osobowych klientów Spółki, w tym danych osobowych skarżącej, tj. jej imienia, nazwiska, adresu, numeru PESEL, numeru telefonu oraz danych dotyczących umowy takich jak numer umowy oraz numer punktu poboru, poprzez ich udostępnienie podmiotom i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy, tj. [...] sp. z o.o., świadczącego usługi cyfrowego archiwum na rzecz Spółki. W wyniku niezabezpieczenia hasłem jednego z portów pomocniczej bazy indeksów znajdującej się w chmurze doszło do dwóch nieuprawnionych połączeń z bazą, których charakterystyka wskazywała na kopiowanie zawartości bazy danych. W przypadku drugiego połączenia mogło dojść do pobrania danych o wolumenie ok. 11 GB. Powyższy incydent doprowadził do naruszenia poufności danych osobowych skarżącej w zakresie imienia, nazwiska, adresu, numeru PESEL, numeru telefonu oraz danych dotyczących Umowy takich jak numer umowy oraz numer punktu poboru. Do naruszenia bezpieczeństwa danych osobowych doszło w środowisku informatycznym podmiotu [...] sp. z o.o., jednak w procesie przetwarzania danych osobowych działał on jako podmiot przetwarzający, a zatem w imieniu i na rzecz Spółki. W związku z tym, to Spółka ponosi odpowiedzialność za wskazane naruszenie. W ocenie Prezesa UODO udostępnienie danych osobowych skarżącej podmiotom i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum odbyło się z naruszeniem przez Spółkę, jako administratora danych, przepisów ochrony danych osobowych (art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO), a ponadto naruszono zasadę poufności poprzez przetwarzanie danych skarżącej w sposób niezapewniający im odpowiedniego bezpieczeństwa, gdyż port bazy danych, z której nastąpiło udostępnienie jej danych nie był w żaden sposób zabezpieczony, co stanowi bezsprzecznie o niezastosowaniu właściwego poziomu bezpieczeństwa, i stanowi o odpowiedzialności Spółki za udostępnienie (w tym przypadku przetworzenie) danych osobowych. W tej sytuacji zasadnym było udzielenie Spółce, określonego w art. 58 ust. 2 lit. b RODO, upomnienia. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie [...] S.A. z siedzibą w [...] ; zwana dalej stroną skarżącą lub Spółką zakwestionowała decyzję Prezesa UODO z [...] września 2023 r. nr [...] i wniosła o jej uchylenie oraz zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych. Zaskarżonemu rozstrzygnięciu zarzuciła naruszenie: 1. przepisów postępowania, mające istotny wpływ na wynik sprawy, tj.: a) art. 7, art. 8, art. 11 w zw. z art. 107 § 3 oraz art. 77 § 1 K.p.a. w zw. z art. 7 ust. 1 UODO, polegające na niezastosowaniu zasad ogólnych postępowania administracyjnego: prawdy obiektywnej, pogłębiania zaufania obywateli do organów administracji publicznej, wyjaśnienia zasadności przesłanek (zasady przekonywania) oraz obowiązku zebrania i rozpatrzenia całego materiału dowodowego w sposób wyczerpujący, co doprowadziło do wydania wadliwej i przedwczesnej decyzji, b) art. 80 K.p.a. w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych polegające na przekroczeniu granic swobodnej oceny dowodów i - w konsekwencji - błędnym przyjęciu, że przetwarzała dane osobowe uczestnika postępowania bez podstawy prawnej, podczas gdy istniała ona w postaci art. 6 ust. 1 lit b RODO, ewentualne naruszenie poufności danych osobowych uczestnika postępowania nie może zostać zakwalifikowane jako udostępnienie danych przez administratora, 2. przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 RODO, polegające na błędnej jego wykładni skutkującej przyjęciem, że przetwarzała dane osobowe uczestnika postępowania poprzez ich udostępnienie osobom nieupoważnionym, a zatem bez podstawy prawnej, podczas gdy w stanie faktycznym sprawy należało rozważyć jedynie możliwość naruszenia poufności danych osobowych, w rozumieniu art. 5 ust. 1 lit f RODO w zw. z 32 RODO. Strona skarżąca wskazała, że sentencja decyzji, w której podano, iż: "udziela upomnienia za naruszenie przepisów art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO polegające na udostępnieniu danych osobowych M. G. podmiotom i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum na rzecz [...]" nie odpowiada jej uzasadnieniu, w którym określono, że: "Spółka dopuściła się naruszenia przepisów RODO przez udostępnienie danych osobowych skarżącej podmiotom i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum". Z uzasadnienia wnioskować zatem można, że kara upomnienia została nałożona za naruszenie poufności danych (art. 5 ust. 1 lit. f RODO), ale już z samej sentencji wynika, że dotyczy ona przetwarzania bez podstawy prawnej (art. 6 ust. 1 RODO), polegającego na udostępnieniu danych osobom nieupoważnionym. Zaznaczyła, że szczególne znaczenie w realizacji zasady przekonywania należy przypisać uzasadnieniu decyzji, w którym powinno znaleźć przedstawienie treści czynności stosowania normy prawa materialnego do danego stanu faktycznego sprawy. Prezes UODO wskazał, że "w przedmiotowej sprawie należało oczekiwać od Spółki określonego działania, tj. odpowiedniego zabezpieczenia danych, co zniwelowałoby ryzyko ich utraty. To jednak brak działania był przyczyną udostępnienia danych osobowych prowadzących do dwóch nieuprawnionych połączeń z bazą, których charakterystyka wskazywała na kopiowanie jej zawartości" (str. 5 zaskarżonej decyzji). Stanowisko organu jest niekonsekwentne, bowiem z jednej strony wydaje się całkowicie pomijać stan faktyczny sprawy oraz działania, które zostały podjęte przez stronę skarżącą, a z drugiej strony sam przywołuje działania podjęte przez [...] (str. 3-4 zaskarżonej decyzji). Strona skarżąca podkreśliła, że decyzja wydana przez Prezesa UODO nr [...], której ustalenia faktyczne stanowiły podstawę wydania decyzji została uchylona przez Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 10 października 2022 r. sygn. akt. II SA/Wa 567/22 ze względu na istniejące nieprawidłowości po stronie organu w zakresie ustalenia stanu faktycznego. Ponadto, w jej ocenie, zastosowany przez Prezesa UODO środek prawny w postaci upomnienia jest nieadekwatny. Zgodnie ze stanowiskiem orzecznictwa słowo "upomnienie" oznacza czynność zwrócenia komuś uwagi - przypomnienia o obowiązkach. W uzasadnieniu zaskarżonej decyzji organ wskazał stan, który uznał za niepożądany, udzielając stronie skarżącej upomnienia (określił go błędnie jako brak uprawnienia Spółki do przetwarzania danych osobowych skarżącej w zakresie ujawnienia poprzez ich udostępnienie); nie wskazał jednak czy i w jakim zakresie strona skarżąca uchybiła swoim obowiązkom - poza "udostępnieniem danych", czego w istocie nie uczyniła. Jak wskazał organ "do naruszenia bezpieczeństwa danych osobowych doszło w środowisku informatycznym podmiotu [...] sp. z o.o." Nie można jednak zgodzić się z dalszą częścią uzasadnienia decyzji, wedle której "jednak w procesie przetwarzania danych osobowych działał on [...] sp. z o.o.] jako podmiot przetwarzający, a zatem w imieniu i na rzecz spółki [...] W związku z tym to Spółka [...] ponosi odpowiedzialność za wskazane naruszenie" (str. 6 zaskarżonej decyzji). Organ w płynny sposób przeszedł od "udostępnienia" danych do przypisania stronie skarżącej odpowiedzialności za "naruszenie bezpieczeństwa danych osobowych", nie dokonując w tym zakresie żadnych ustaleń faktycznych. Tymczasem kwestia naruszenia przez stronę skarżącą poufności danych jest przedmiotem oceny w odrębnym postępowaniu, w którym decyzja organu nr [...] została uchylona przez sąd administracyjny. Zdaniem strony skarżącej nie sposób przypisać prawodawcy intencji ustanowienia reguły odpowiedzialności administratora za utratę, czy też ujawnienie danych na zasadzie ryzyka. Powołując się na wyrok Wojewódzkiego Sądu Administracyjnego z 23 czerwca 2022 r. sygn. akt II SA/Wa 3752/21 wskazała, że względy wykładni systemowej i celowościowej przemawiają przeciw przyjętej przez organ koncepcji, jakoby zasadne było udzielenie administratorowi danych osobowych - na podstawie art. 58 ust. 2 lit. b RODO - upomnienia wobec indywidualnych skarg w następstwie incydentów utraty danych, niezależnie od okoliczności danego zdarzenia - przyczynienia administratora. Prowadzenie zaś setek postępowań - wobec kolejnych wniosków osób poszkodowanych incydentami, gdzie może dochodzić do jednorazowej utraty tysięcy danych - stanowi bezzasadne obciążenie nie tylko dla podmiotu, od którego dane bezprawnie pozyskano (w niektórych przypadkach pomimo stosowania najwyższej klasy zabezpieczeń - braku uchybienia wymaganiom art. 32 RODO), ale jest także poważnym uszczupleniem środków publicznych, z których utrzymywany jest wyspecjalizowany urząd. Prowadzenie takich postępowań administracyjnych nie służy jednocześnie eliminacji żadnych nieprawidłowości po stronie administratora. Strona skarżąca zaznaczyła, że w żadnym wypadku w rozpatrywanej sprawie nie doszło do przetwarzania danych osobowych bez podstawy prawnej poprzez ich udostępnienie podmiotom nieupoważnionym. Zgodnie z art. 4 ust. 2 RODO "ujawnianie poprzez przesyłanie, rozpowszechnianie lub innego rodzaju udostępnianie" jest rodzajem przetwarzania danych osobowych. Oznacza to, że przetwarzanie takich danych musi spełnić wymogi z art. 6 ust. 1 RODO, co m.in. wymaga posiadania podstawy prawnej dla przetwarzania danych zgodnie z prawem. Taką podstawę posiadała też strona skarżąca, w postaci umowy z M. G. (art. 6 ust. 1 lit. b RODO), co potwierdził również organ, wskazując, że od [...] grudnia 2019 r. do [...] maja 2020 r. była klientką Spółki. Wyjaśniła, że jak podkreśla się w orzecznictwie pojęcie "przetwarzania" opisuje czynność. Ze swej natury musi mieć ona swojego sprawcę. Oznacza to, że konkretna operacja musi być przypisana jednemu sprawcy, zaś kilku tylko gdy współdziałają. W tym kontekście w pełni zasadne jest stanowisko strony skarżącej, w którym podkreślano, że incydent - w postaci utraty danych - nie stanowi żadnej operacji na tych przeprowadzonej przez samego administratora. Przetworzenie danych - w postaci ich nielegalnego pozyskania - dokonał podmiot trzeci. Wyklucza to przyjęcie, jakoby doszło do przetworzenia danych przez stronę skarżącą jako administratora bez podstawy prawnej, jak kwalifikował to zdarzenie organ. Nie można zatem uznać za czynność administratora zdarzenia, polegającego na nielegalnym uzyskaniu danych z jego zasobów. Odrębną kwestią jest ciążący na administratorze obowiązek zapewnienia integralności danych - ich właściwego zabezpieczenia. Rozumie się przez to zastosowanie środków adekwatnych do przewidywalnych zagrożeń. Tymczasem w niniejszej sprawie celem przetwarzania danych uczestnika postępowania przez stronę skarżącą nie było udostępnienie jej danych. Osoby lub podmioty, które potencjalnie mogły uzyskać dostęp do danych osobowych uczestnika postępowania nie są w żadnym razie odrębnymi administratorami danych, na rzecz których udostępnienie nastąpiło. Tak więc w czasie naruszenia bezpieczeństwa danych osobowych uczestnika, tj. w okresie od [...] do [...] kwietnia 2020 r., strona skarżąca przetwarzała jej dane osobowe wyłącznie na podstawie art. 6 ust. 1 lit. b RODO i nie dokonywała ich udostępnienia innym administratorom. Dostęp do danych przez osoby nieupoważnione należałoby rozważać wyłącznie w kategoriach naruszenia art. 5 ust. 1 lit. f w zw. z art. 32 RODO, jednak w tym zakresie organ nie ustalił stanu faktycznego w zakresie pozwalającym na stwierdzenie, że wyżej wymienione przepisy mogą mieć zastosowanie. Kwestię ujawnienia (lub innego rodzaju udostępnienia) danych bez podstawy prawnej odróżnić należy od przypadków, gdy osoba trzecia uzyskuje dostęp do danych bez działania osoby je przetwarzającej. Jeżeli zatem osoba trzecia złamie zabezpieczenia techniczne chroniące dane osobowe przed dostępem do nich lub ukradnie dokumenty zawierające dane osobowe, to nie będzie to udostępnienie danych osobowych. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując argumentację wyrażoną w zaskarżonej decyzji. Pismem z [...] stycznia 2024 r. strona skarżąca poparła skargę i wniosła o dopuszczenie i przeprowadzenie dowodu z dokumentu, tj. postanowienia Prokuratury Okręgowej w [...] o umorzeniu dochodzenia z [...] kwietnia 2021 r. sygn. akt [...]. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: W świetle art. 1 § 1 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2024 r. poz. 1267), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym stosownie do § 2 art. 1 powołanej ustawy kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Rozpoznając sprawę w świetle powołanych powyżej kryteriów, należy stwierdzić, że skarga nie zasługuje na uwzględnienie. W pierwszej kolejności zwrócić należy uwagę, iż Prezes UODO, mając na względzie obowiązek wynikający z art. 153 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r. poz. 935); dalej jako P.p.s.a., zrealizował wytyczne Wojewódzkiego Sądu Administracyjnego w Warszawie z 17 stycznia 2023 r. sygn. akt II SA/Wa 633/22 zawarte w uzasadnieniu wyroku. Dokonał bowiem wymaganych ustaleń stanu faktycznego sprawy i określił w jakim terminie obowiązywały umowy zawarte pomiędzy Spółką a M. G.. W szczególności ustalił datę rozwiązania umów legalizujących przetwarzanie danych osobowych wymienionej na podstawie art. 6 ust. 1 b RODO. Oceniając prawidłowość zaskarżonej decyzji należy wyjść od tego, że Prezes UODO jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i jednocześnie organem nadzorczym, w rozumieniu RODO (art. 34 ust. 2 powołanej ustawy). Jak stanowi art. 57 ust. 1 lit. a i lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, a także rozpatruje skargi wniesione przez osobę, której dane dotyczą. W wyniku przeprowadzonej analizy stanowiska Prezesa UODO przedstawionego w uzasadnieniu zaskarżonej decyzji, Sąd stwierdził, że - wbrew zarzutom skargi – organ ochrony danych osobowych, rozstrzygając w decyzji o zastosowaniu uprawnienia naprawczego, nie dopuścił się - mogącego mieć wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 8 k.p.a. art. 11 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., czy art. 107 § 3 k.p.a., albowiem organ wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia niniejszej sprawy, w granicach prowadzonego postępowania, wyznaczonych skargą uczestniczki niniejszego postępowania. Prezes UODO dokonał także, zdaniem Sądu, właściwej oceny zebranego w sprawie materiału dowodowego, dokonując tej oceny w kontekście prawidłowo zastosowanych przepisów RODO. W działaniach Prezesa UODO w tej sprawie Sąd nie stwierdził jakichkolwiek istotnych nieprawidłowości, zarówno w zakresie dokonanych ustaleń stanu faktycznego, jak i zastosowania do jego oceny przepisów prawa materialnego. Uzasadnienie zaskarżonej decyzji odpowiada wymogom art. 107 § 3 k.p.a., Prezes UODO wyjaśnił motywy podjętego rozstrzygnięcia i powody, jakie legły u jego podstaw. Argumentacja organu jest w tym zakresie wyczerpująca i wyjaśnia dlaczego zapadło takie a nie inne rozstrzygnięcie. Podkreślenia wymaga, że celem postępowania administracyjnego jest rozstrzygnięcie sprawy administracyjnej dotyczącej konkretnej osoby (podmiotu danych). W wyniku postępowania wyjaśniającego organ administracji publicznej ma dojść do wskazanej w art. 7 k.p.a. prawdy obiektywnej, co czyni za pomocą środków dowodowych. W sprawie tej organ dokonał niezbędnych ustaleń faktycznych, opartych na oświadczeniach Spółki i własnych ustaleniach. W sprawie jest bezsporne, że uczestniczka postępowania była klientką strony skarżącej do [...] marca 2020 r. Spółka w dniu [...] kwietnia 2020 r. powzięła informację o możliwym naruszeniu bezpieczeństwa danych osobowych. Spółka ustaliła, że do naruszenia poufności danych osobowych doszło w środowisku informatycznym podmiotu przetwarzającego, tj. [...] sp. z o.o. oraz że naruszenie to obejmowało pomocniczą bazę archiwum cyfrowego zawierającą indeksy wyszukiwania. Jeden z portów ww. bazy znajdującej się w chmurze nie został zabezpieczony hasłem, co umożliwiało osobom nieupoważnionym dostęp do tej bazy w okresie od [...] kwietnia 2020 r. do [...] kwietnia 2020 r. Okoliczności te potwierdza również treść załączonego przez Spółkę do pisma procesowego z dnia [...] stycznia 2024 r. uzasadnienia postanowienia Prokuratury Okręgowej w [...] o umorzeniu dochodzenia z dnia [...] kwietnia 2021 r. w sprawie sygn. akt [...]. Spółka samodzielnie ustaliła, że w przypadku uczestniczki postępowania doszło do naruszenia poufności danych osobowych w zakresie imienia, nazwiska, numeru PESEL, numeru kontaktowego/adresu e-mail (jeśli podano), danych dotyczących Umowy (numer umowy) oraz numeru punktu poboru. Spółka nie kwestionuje też, że doszło do dwukrotnego nieuprawnionego połączenia z niezabezpieczonym serwerem, w wyniku których możliwe było skopiowanie danych o wolumenie ok. 5 MB i ok. 11 GB. Zgodnie z art. 4 pkt 1 RODO, dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Z motywu 26 RODO wynika, że zasady ochrony danych powinny mieć zastosowanie do wszelkich informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych. Pseudonimizowane dane osobowe, które przy użyciu dodatkowych informacji można przypisać osobie fizycznej, należy uznać za informacje o możliwej do zidentyfikowania osobie fizycznej. Aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny. Zasady ochrony danych nie powinny więc mieć zastosowania do informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować. [...] Rozporządzenie nie dotyczy więc przetwarzania takich anonimowych informacji, w tym przetwarzania do celów statystycznych lub naukowych. W sprawie nie ma zatem wątpliwości, że wymienione wyżej dane stanowią dane osobowe. Uczestniczka postępowania była klientem Spółki do [...] marca 2020 r., stąd też zasadnie organ wskazał, że przetwarzanie jej danych osobowych przez Spółkę znajdowało oparcie w art. 6 ust. 1 lit b RODO. Zgodnie z tym przepisem przetwarzanie jest zgodne z prawem, gdy jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Podkreślenia wymaga, że samo przetwarzanie danych osobowych uczestniczki w celu wykonania umów w badanym okresie nie było przez Prezesa UODO kwestionowane w decyzji. W niniejszej sprawie Prezes UODO udzielił bowiem Spółce upomnienia za naruszenie art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO, polegające na udostępnieniu danych osobowych uczestniczki postępowania, podmiotom i osobom do tego nieupoważnionym, podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum na rzecz Spółki. Istota sprawy sprowadzała się zatem do oceny legalności udostępnienia (ujawnienia) danych osobom nieuprawnionym. Z ustaleń organu, dokonanych m.in. w oparciu o wyjaśnienia Spółki, wynika, że w okresie od [...] kwietnia 2020 r. do [...] kwietnia 2020 r. doszło do naruszenia ochrony danych osobowych klientów Spółki, w tym danych osobowych uczestniczki postpowania, poprzez ich ujawnienie podmiotom i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy, tj. [...] sp. z o.o., świadczącego usługi cyfrowego archiwum na rzecz Spółki. W wyniku niezabezpieczenia hasłem jednego z portów pomocniczej bazy indeksów znajdującej się w chmurze doszło do dwóch nieuprawnionych połączeń z bazą, których charakterystyka wskazywała na kopiowanie zawartości bazy danych. Pierwsze połączenie nastąpiło z adresu IP [...] dnia [...].04.2020 r. pomiędzy godz. 19:22 a godz. 20:58. Aktywność ta może wskazywać na skopiowanie danych o rozmiarze ok. 5 MB. Natomiast drugie połączenie trwało od [...].04.2020 r. godz. 23:00 do [...].04.2020 r. godz. 04:06 i nastąpiło za pośrednictwem komputera lub serwera zdefiniowanego numerem IP [...] W jego wyniku mogło dojść do pobrania danych o wolumenie ok. 11 GB. W świetle powyższego nie budzi wątpliwości, że stwierdzone luki w zabezpieczeniach i aktywność podmiotu nieuprawnionego doprowadziły do naruszenia poufności danych osobowych uczestniczki postępowania we wskazanym już wyżej zakresie. Słusznie organ podnosi, iż choć do naruszenia bezpieczeństwa danych osobowych doszło w środowisku informatycznym podmiotu [...] sp. z o.o., to jednak w procesie przetwarzania danych osobowych działał on jako podmiot przetwarzający, a zatem w imieniu i na rzecz Spółki. W związku z tym, to Spółka ponosi odpowiedzialność za wskazane naruszenie. Zauważyć bowiem należy, że zgodnie z art. 28 ust. 1 RODO jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą. W niniejszej sprawie Spółka skorzystała z usług podmiotu, który nie zapewniał wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO. Trafnie Prezes UODO podniósł, że proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi zasadę poufności (lit. f). Wspomniana zasada wymaga, aby proces przetwarzania danych osobowych odbywał się w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem danych osobowych oraz przypadkową ich utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. W motywie 39 RODO wyjaśniono, że dane osobowe powinny być przetwarzane w sposób zapewniający im odpowiednie bezpieczeństwo i odpowiednią poufność, w tym między innymi ochronę przed nieuprawnionym dostępem do nich. Zdaniem Sądu prawidłowo Prezes UODO zakwalifikował ujawnienie danych osobowych uczestniczki postępowania podmiotom i osobom nieupoważnionym – podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum – jako udostępnienie danych osobowych. Stosownie do art. 4 pkt 2 RODO, przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Spółka podnosi w skardze, że nie dokonywała udostępnienia danych osobowych uczestniczki innym administratorom. Nieuprawnione udostępnienie (ujawnienie) nie odnosi się tylko do udostępnienia danych na rzecz konkretnego innego administratora, czy podmiotu przetwarzającego. Nieuprawnione udostępnienie (ujawnienie) danych dotyczy każdej sytuacji, gdy z danymi miała możliwość zapoznać się jakakolwiek osoba nieuprawniona, co w tej sprawie jest bezsporne (potwierdza to przedłożone przez skarżącą Spółkę postanowienie o umorzeniu dochodzenia). Podkreślenia wymaga, że istotą sprawy administracyjnej dotyczącej ochrony danych osobowych ze skargi uczestniczki postępowania nie jest ustalenie kwestii odpowiedzialności osoby trzeciej nieupoważnionej, nieuprawnionej do pozyskania danych (zapoznania się z nimi), ale kwestia odpowiedzialności administratora za zgodność z RODO przetwarzania danych osobowych. Okoliczność, że to nie Spółka skarżąca dokonała bezpośrednio udostępnienia danych uczestniczki postępowania a podmiot przetwarzający nie wyłącza odpowiedzialności Spółki w zakresie oceny zgodności z prawem tego przetwarzania – udostępnienia danych, zwłaszcza w sytuacji gdy do tego udostępnienia (ujawnienia danych) doszło w wyniku niezabezpieczenia hasłem jednego z portów pomocniczej bazy indeksów znajdującej się w chmurze. Zgodnie z art. 5 ust. 1 lit. f RODO dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). Poufność danych należy rozumieć w ten sposób, że nie będą one udostępniane osobom i podmiotom nieuprawnionym. Dane osobowe powinny być również odpowiednio chronione przed przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych (zasada integralności danych). Integralność chroni dane przed ich nieuprawnionym zniszczeniem lub uszkodzeniem. W celu wypełnienia zasady poufności i integralności danych administrator (a także podmiot przetwarzający) wdraża odpowiednie środki techniczne i organizacyjne. Wdrożenie środków technicznych i organizacyjnych nie może mieć charakteru jednorazowego. Środki te powinny podlegać okresowemu przeglądowi i ewentualnej aktualizacji. Art. 5 ust. 2 RODO stanowi, że administrator jest odpowiedzialny za przestrzeganie omówionych powyżej zasad i powinien być w stanie wykazać ich przestrzeganie, co zostało w rozporządzeniu nazwane "rozliczalnością". Powyższe przepisy nakładają zatem na administratora obowiązki w zakresie przestrzegania zasad i obarczają go odpowiedzialnością za ich naruszenie. Na gruncie RODO pojęcie rozliczalności oznacza odpowiedzialność za przestrzeganie przepisów rozporządzenia i możność wykazania ich przestrzegania. Stwierdzenie, że administrator powinien być w stanie wykazać przestrzeganie zasad, odczytywać można jako nałożenie na administratora ciężaru dowodowego w zakresie przestrzegania zasad przetwarzania danych. W razie sporu z osobą, której dane dotyczą, albo z organem nadzorczym, administrator powinien być w stanie przedstawić dowody na to, że przestrzega zasad. W przypadku naruszenia, do którego doszło (jak w niniejszej sprawie), to na administratorze spoczywał obowiązek wykazania, iż zasady określone w RODO były przestrzegane. Okolicznością niesporną w sprawie jest zaś to, że miało miejsce naruszenie ochrony danych osobowych uczestniczki postępowania, poprzez ich ujawnienie podmiotom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy, tj. [...] sp. z o.o., świadczącego usługi cyfrowego archiwum na rzecz Spółki. W wyniku niezabezpieczenia hasłem jednego z portów pomocniczej bazy indeksów znajdującej się w chmurze, co umożliwiło dostęp osobom nieupoważnionym. Tak wskazywała sama Spółka w toku postępowania przed Prezesem UODO. Poza sporem pozostaje fakt, że w wyniku niezabezpieczenia hasłem jednego z portów pomocniczej bazy indeksów znajdującej się w chmurze doszło do dwóch nieuprawnionych połączeń z bazą, których charakterystyka wskazywała na kopiowanie zawartości bazy danych. W świetle powyższego nie budzi wątpliwości poprawność konkluzji organu, że skarżąca Spółka jako administrator danych osobowych nie zastosowała właściwego poziomu bezpieczeństwa, co doprowadziło do nieuprawnionego udostępnienia danych osobowych uczestniczki postępowania i w sytuacji złożenia indywidualnej skargi, skutkuje odpowiedzialnością administratora na gruncie RODO. Podkreślenia wymaga, że w sprawie będącej przedmiotem rozpoznania przez Sąd nie chodziło o ustalenie stopnia wadliwości zabezpieczeń technicznych stosowanych przez [...] sp. z o.o. Zwrócić trzeba uwagę, że innym postępowaniem jest postępowanie w ramach którego dokonywana jest ocena prawidłowości stosowania przepisów sekcji 1 (Obowiązki ogólne) czy sekcji 2 (Bezpieczeństwo danych osobowych) rozdziału IV RODO, czego w tej sprawie organ nie dokonywał, a innym rozpatrywanie przez organ indywidualnej skargi wniesionej przez osobę, której dane dotyczą w zakresie zgodności przetwarzania jej danych z przepisami RODO. Zgodnie z art. 77 ust. 1 RODO, bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie. Uczestniczka postępowania miała zatem prawo wystąpić do Prezesa UODO z indywidualną skargą podnosząc kwestię niezgodnego z przepisami RODO przetwarzania (tj. ujawnienia) podmiotom nieuprawnionym jej danych osobowych przez administratora. Zasadnie zatem organ prowadził to postępowanie i rozstrzygnął je decyzją udzielając upomnienia Spółce za naruszenie RODO polegające na udostępnieniu bez podstawy prawnej danych osobowych uczestniczki postępowania podmiotom nieuprawnionym. Należy podzielić stanowisko Prezesa UODO, iż zgodnie z motywem 39 RODO, dane osobowe powinny być przetwarzane w sposób zapewniający im odpowiednie bezpieczeństwo i odpowiednią poufność, w tym między innymi ochronę przed nieuprawnionym dostępem do nich. Opisana wyżej okoliczność polegająca na niezabezpieczeniu hasłem jednego z portów pomocniczej bazy indeksów znajdującej się w chmurze spowodowała, że dane osobowe uczestniczki postępowania zostały ujawnione podmiotom do tego nieuprawnionym. Podkreślenia wymaga, iż w przedmiotowej sprawie nie doszło do złamania zabezpieczeń technicznych, lecz do ich niezastosowania polegającego na niezabezpieczeniu hasłem dostępu do bazy danych osobowych, tym samym zaś na umożliwieniu dostępu do nich i finalnie ich ujawnieniu, a więc przetworzeniu. Raz jeszcze wskazania wymaga, że niezasadne jest twierdzenie Spółki, iż w tym przypadku nie mamy do czynienia z przetwarzaniem (udostępnieniem) danych osobowych uczestniczki postępowania. Ujawnienie danych osobowych, o którym mowa w powołanym wyżej art. art. 4 pkt 2 RODO, nie musi być wynikiem zaplanowanej operacji i nie musi być równoznaczne z działaniem (aktywnością) takim jak zamierzone przesłanie, czy rozpowszechnienie (aktywne dzielenie się danymi). Może ono polegać także na innego rodzaju udostępnieniu poprzez umożliwienie dostępu do danych. Do takiej sytuacji niewątpliwie doszło w realiach rozpoznanej sprawy. Poprzez opisane wyżej ujawnienie danych osobowych uczestniczki postępowania doszło do ich przetworzenia i to ono było przedmiotem postępowania prowadzonego przez Prezesa UODO. Kluczowe dla oceny takiego przetwarzania było zaś znalezienie dającej do tego podstawy prawnej, której - zgodnie z ustaleniami PUODO - nie było. Umożliwienie dostępności danych, poprzez zaniechanie zastosowania odpowiednich zabezpieczeń, bez wątpienia jest sprzeczne z celami umów zawartych przez uczestniczkę postępowania i Spółkę, a zatem nie może być legitymizowane art. 6 ust. 1 b RODO. Sąd podziela stanowisko organu. Pamiętać należy, że ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z praw podstawowych. Przepis art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej oraz art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej stanowią, że każda osoba ma prawo do ochrony danych osobowych jej dotyczących. W świetle przepisów RODO przetwarzanie (a zatem także ujawnienie, udostępnienie) danych osobowych uważa się bowiem za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 RODO. Żadna z przesłanek wymienionych w tym przepisie nie została w niniejszej sprawie spełniona w odniesieniu do udostępnienia danych osobowych uczestniczki postępowania podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy. Prawidłowo zatem organ uznał, że Spółka dopuściła się naruszenia art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO poprzez ujawnienie danych osobowych uczestniczki postępowania podmiotom i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum. W związku z powyższym Prezes UODO korzystając z przysługującego mu uprawnienia określonego w art. 58 ust. 2 lit. b RODO udzielił Spółce upomnienia. Wskazać należy, że jest to jeden z najłagodniejszych środków stosowanych przez Prezesa UODO. Zdaniem Sądu zastosowany środek jest adekwatny do stwierdzonego w decyzji naruszenia RODO. Waga stwierdzonego naruszenia i jego charakter dawały podstawę do zastosowania upomnienia. Reasumując, zaskarżona decyzja Prezesa UODO nie narusza norm prawa materialnego czy procesowego, w stopniu który miałby wpływ na wynik sprawy. Organ prawidło ustalił stan faktyczny sprawy, w wystarczający sposób zebrał i ocenił materiał dowodowy, a następnie w przekonywujący sposób uzasadnił swoje rozstrzygnięcie. Postępowanie administracyjne zostało przeprowadzone zgodnie z zasadami ogólnymi k.p.a., a w szczególności art. 7, art. 8, art. 11 k.p.a., a także innymi normami, zwłaszcza art. 77 i art. 80 k.p.a., a zaskarżone rozstrzygnięcie zostało oparte na prawidłowej interpretacji norm prawa materialnego. Z tych względów, uznając że zaskarżona decyzja nie narusza prawa, zaś zarzuty podniesione w skardze nie zasługują na uwzględnienie, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 P.p.s.a w zw. z art. 119 pkt 2 i art. 120 P.p.s.a., orzekł jak w sentencji wyroku. ----------------------- 5