II SA/Wa 23/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska, Sędzia WSA Joanna Kube (spr.), Asesor WSA Anna Pośpiech-Kłak, po rozpoznaniu w trybie uproszczonym w dniu 26 lipca 2024 r. sprawy ze skargi P. B. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego P. B. kwotę 200 zł (słownie: dwieście złotych), tytułem zwrotu kosztów postępowania. Prezes Urzędu Ochrony Danych Osobowych, dalej: "Prezes UODO", decyzją z dnia [...] października 2023 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775 z późn. zm., dalej: "k.p.a.") w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych z dnia 10 maja 2018 r. (t.j. Dz. U. z 2019 r. poz. 1781), art. 6 ust. 1, art. 12 ust. 1 w zw. z art. 17 ust. 1 oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej: "RODO", po przeprowadzeniu postępowania administracyjnego w sprawie ze skargi E. K., dalej: "skarżąca", na nieprawidłowości w procesie przetwarzania jej danych osobowych przez P. B., prowadzącego działalność gospodarczą pod firmą Kancelaria Adwokacka Adw. P. B. z siedzibą w G., polegające na udostępnieniu danych osobowych osobie nieuprawnionej oraz braku odpowiedzi na żądanie dotyczące usunięcia danych osobowych z bazy danych, udzielił P. B., prowadzącemu działalność gospodarczą pod firmą Kancelaria Adwokacka Adw. P. B. z siedzibą w G., upomnienia za udostępnienie danych osobowych E. K. osobie nieuprawnionej, w zakresie imienia i nazwiska, za pośrednictwem wiadomości SMS z dnia [...] października 2022 r., bez podstawy prawnej; w pozostałym zakresie odmówił uwzględnienia wniosku. Do Urzędu Ochrony Danych Osobowych wpłynęła skarga E. K. z dnia [...] sierpnia 2022 r. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez P. B., prowadzącego działalność gospodarczą pod firmą Kancelaria Adwokacka Adw. P. B. z siedzibą w G., dalej: "adwokat", polegające na udostępnieniu danych osobowych skarżącej (klientki adwokata) osobie nieuprawnionej oraz braku odpowiedzi na jej żądanie dotyczące usunięcia danych osobowych z bazy danych prowadzonej przez adwokata. W związku z powyższym, skarżąca wniosła o nakazanie usunięcia jej danych osobowych. Wskazała także, że nie został wypełniony wobec niej obowiązek informacyjny. Adwokat pozyskał dane osobowe skarżącej od niej samej w ramach wykonywania zawodu adwokata, w celu udzielenia porady prawnej oraz podjęcia działań na żądanie osoby, której dane dotyczą przed zawarciem umowy. Adwokat zakończył współpracę ze skarżącą w październiku 2022 r. Prezes UODO uznał za zasadne udzielenie adwokatowi upomnienia w zakresie stwierdzonego naruszenia przepisu art. 6 ust. 1 RODO, za naruszenie polegające na udostępnieniu danych osobowych skarżącej w zakresie jej imienia i nazwiska w treści wiadomości tekstowej, skierowanej do osoby nieuprawnionej. Prezes UODO stwierdził, że adwokat przyznał się do omyłkowego udostępnienia danych skarżącej osobie nieuprawnionej w dniu [...] października 2022 r., poprzez wysłanie wiadomości tekstowej z imieniem i nazwiskiem skarżącej. Przy czym, adwokat poinformował o tym fakcie skarżącą oraz dokonał analizy naruszenia. Adwokat świadczył na rzecz skarżącej pomoc prawną w związku z toczącą się w sądzie sprawą. W ocenie organu, podstawą prawną przetwarzania przez adwokata danych osobowych skarżącej był art. 4 ust. 1 u.p.o.a. w zw. z art. 6 ust. 1 lit. f RODO. Przepisy art. 16c ust. 1 u.p.o.a. wskazują na okres przechowywania danych osobowych. Zgodnie z ww. przepisem okres przechowywania wynosi: 5 lat od końca roku, w którym zakończyło się postępowanie, w którym dane osobowe zostały zgromadzone - w przypadku danych osobowych przetwarzanych przez organy adwokatury oraz organy izb adwokackich w zakresie niezbędnym do prawidłowej realizacji zadań publicznych określonych w ustawie oraz danych osobowych przetwarzanych w ramach nadzoru nad adwokaturą; 10 lat od końca roku, w którym zakończyło się postępowanie, w którym dane osobowe zostały zgromadzone - w przypadku danych osobowych przetwarzanych: a) w toku prowadzonych przez organy adwokatury oraz organy izb adwokackich postępowań: administracyjnych, w zakresie skarg i wniosków, innych przewidzianych przez ustawę lub wydane na podstawie ustawy akty prawne organów samorządu adwokackiego dotyczących adwokatów, aplikantów adwokackich lub osób ubiegających się o wpis na listę adwokatów lub listę aplikantów adwokackich, a także osób przystępujących do egzaminu wstępnego na aplikację adwokacką i egzaminu adwokackiego, b) w ramach nadzoru nad postępowaniami, o których mowa w lit. a), c) przez adwokatów w ramach wykonywania zawodu; 15 lat od końca roku, w którym zakończyło się postępowanie, w którym dane osobowe zostały zgromadzone - w przypadku danych osobowych przetwarzanych w toku prowadzonych przez organy adwokatury oraz organy izb adwokackich postępowań dyscyplinarnych wobec adwokatów i aplikantów adwokackich oraz podczas wykonywania kompetencji nadzorczych nad postępowaniami dyscyplinarnymi w sprawach adwokatów i aplikantów adwokackich. Po upływie okresów, o których mowa w ust. 1, w przypadku danych osobowych przetwarzanych przez adwokatów w ramach wykonywania zawodu, dane osobowe ulegają usunięciu. Odnosząc się do kwestii braku odpowiedzi na żądanie skarżącej dotyczące usunięcia jej danych osobowych wskazał, że ze zgromadzonego materiału dowodowego wynika, że adwokat poinformował skarżącą, że jej dane osobowe będą przetwarzane przez okres 10 lat, mając na względzie przepisy art. 16c ust. 1 pkt 2 lit. c u.p.o.a. Adwokat ustosunkował się do żądania skarżącej w zakresie usunięcia jej danych osobowych ustnie, podczas wizyty skarżącej w Kancelarii, w dniu w którym taką prośbę do niego skierowała. Ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. W ocenie Prezesa UODO, nie ma podstaw do stwierdzenia, że w niniejszej sprawie takie nieprawidłowości mają miejsce - dane osobowe skarżącej przetwarzane są bowiem obecnie zgodnie z prawem, w związku z powyższym nie ma podstaw do nakazania ich usunięcia. Skarżąca w treści skargi podniosła także kwestię niespełnienia wobec niej obowiązku informacyjnego, lecz nie wniosła o nakazanie jego spełnienia. Organ, wskazując zgromadzony w niniejszej sprawie materiał dowodowy stwierdził, że obowiązek ten został przez adwokata spełniony, poprzez wywieszenie w siedzibie Kancelarii informacji wymaganych przepisami RODO. Reasumując, Prezes UODO, na podstawie art. 58 ust. 2 lit. b RODO udzielił adwokatowi upomnienia za naruszenie art. 6 ust. 1 RODO poprzez udostępnienie danych osobowych skarżącej (imienia, nazwiska), zawartych w treści wiadomości tekstowej, osobie nieuprawnionej (pkt 1 decyzji). W pozostałym zaś zakresie (tj. braku odpowiedzi na żądanie dotyczące usunięcia danych osobowych z bazy danych skarżącej) odmówił uwzględnienia wniosku (pkt 2 decyzji). Pismem z dnia 21 listopada 2023 r., P. B. skierował do Wojewódzkiego sądu Administracyjnego w Warszawie skargę na ww. decyzję w zakresie punktu pierwszego, wnosząc o jej uchylenie w tym zakresie i umorzenie postępowania. Adwokat zaskarżonemu rozstrzygnięciu zarzucił: naruszenie art. 77 § 1 k.p.a. poprzez nierozpoznanie i niezebranie w sposób wyczerpujący materiału dowodowego poprzez uznanie, iż skarżący dokonał udostępnienia danych osobowych E. K. osobie trzeciej, która nie była uprawniona do ich otrzymania, podczas gdy wiadomość ta została przesłana do Partnera Kancelarii, której to E. K. udzieliła pełnomocnictwa, który również brał udział w czynnościach i spotkaniach w prowadzonej przez Kancelarię adw. P. B. sprawie; naruszenie art. 77 § 1 k.p.a. poprzez nieprzeprowadzenie w sposób rzetelny postępowania dowodowego, tj. nieprzeprowadzenie dowodu z dokumentów akt sprawy toczącej się przed Sądem Okręgowym w Gdańsku sygn. akt II C 3385/19, z których to wynika, iż mógł udzielać dalszych pełnomocnictw adwokatom, aplikantom, pominięcie iż pełnomocnictwa udzielono na papierze firmowym oraz fakt, iż właśnie wobec przesłania wiadomości partnerowi umocowanemu w sprawie, raport był niski; naruszenie art. 77 § 1 k.p.a. poprzez uznanie, iż przesłanie wiadomości w dniu [...] października 2022 r. nastąpiło bez podstawy prawnej, albowiem z akt jasno wynika, iż osoba której udostępniono dane - adw. P. C. brał udział w czynnościach prowadzonej przez niego sprawy cywilnej; art. 80 k.p.a. poprzez błędną ocenę materiału dowodowego, że okoliczność udostępnienia danych osobowych nastąpiła na rzecz nieuprawnionej osoby trzeciej, podczas gdy z zebranego materiału wynika, iż udostępnienie danych nastąpiło wobec Partnera Kancelarii adw. P. C., którego również obowiązuje tajemnica adwokacka, a tym samym braku rozważenia materiału dowodowego, tj. pełnomocnictwa do prowadzenia sprawy, z którego to jasno wynikało, iż adw. P. B. może udzielać dalszych substytucji, adwokatom, radcom prawnym oraz aplikantom adwokackim, co też uczynił, wobec powyższego nie doszło do udostępnienia danych osobie trzeciej. Adwokat wniósł również o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych. W odpowiedzi na powyższą skargę, Prezes UODO podtrzymał stanowisko wyrażone w zaskarżonej decyzji. Prezes UODO zwrócił uwagę, że adwokat dopiero w skardze na decyzję podniósł, że nie dokonał udostępnienia danych osobowych skarżącej osobie nieuprawnionej. W uzasadnieniu skargi do Sądu, adwokat wskazał: "Z przedmiotową decyzją nie sposób się zgodzić, albowiem skarżący jasno wykazał, iż przedmiotowe naruszenie nastąpiło poprzez przesłanie przedmiotowej wiadomości do adwokata – P. C., który to pozostaje partnerem Kancelarii, [...]". Natomiast z wyjaśnień adwokata z dnia 19 grudnia 2022 r. i załączonego do tych wyjaśnień raportu naruszenia oraz wyjaśnień z dnia 22 sierpnia 2023 r. nie wynika komu adwokat udostępnił dane osobowe skarżącej, a tym bardziej, że osoba ta była już w ich posiadaniu. Tymczasem adwokat w złożonych wyjaśnieniach z dnia 19 grudnia 2022 r. wskazał, że po omyłkowym wysłaniu wiadomości tekstowej z danymi osobowymi skarżącej dokonał analizy naruszenia. Co więcej wskazał też, że o owym, jak sam przyznaje - naruszeniu, poinformował skarżącą. Zdaniem organu, nie było zasadne przeprowadzanie dodatkowych dowodów w sprawie, w tym z dokumentów akt sprawy toczącej się przed Sądem Okręgowym w Gdańsku sygn. akt II C 3385/19, skoro obie strony postępowania zgodnie oświadczały, że do naruszenia danych osobowych skarżącej doszło. Z zebranego materiału dowodowego w przedmiotowej sprawie nie wynika, że dane osobowe skarżącej zostały udostępnione osobie posiadającej pełnomocnictwo. Adwokat nie poinformował Prezesa UODO o tym, czy udzielił pełnomocnictwa innemu adwokatowi, a wprost przeciwnie przyznał, że do naruszenia danych osobowych skarżącej doprowadził. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (t.j. Dz.U. z 2022 r. poz. 2492 z późn. zm.) oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2024 r., poz. 935), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych wyżej przepisów ustaw, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § p.p.s.a.). Skarga zasługuje na uwzględnienie, albowiem zaskarżona w zakresie pkt 1 decyzja z dnia 26 października 2023 r. została wydana z naruszeniem przepisów k.p.a., w stopniu mogącym mieć istotny wpływ na wynik spraw, w szczególności organ nie rozważył w sprawie wszystkich istotnych okoliczności faktycznych i nie wyjaśnił w sposób niebudzący wątpliwości, czy w istocie po stronie adwokata zaistniały nieprawidłowości w przetwarzaniu danych osobowych skarżącej. Prezes UODO, na podstawie art. 58 ust. 2 lit. b RODO, udzielił adwokatowi upomnienia za naruszenie przepisu art. 6 ust. 1 RODO, polegające na udostępnieniu danych osobowych skarżącej w zakresie jej imienia i nazwiska w treści wiadomości tekstowej, skierowanej do osoby nieuprawnionej, mając na uwadze, że adwokat przyznał się do omyłkowego udostępnienia danych skarżącej, o czym ją poinformował i dokonał analizy naruszenia, które wykazało niskie ryzyko naruszenia praw i wolności skarżącej. Zdaniem Sądu, nie została jednak dostatecznie wyjaśniona kwestia udostępnienia przez adwokata danych osobowych skarżącej osobie nieuprawnionej w zakresie imienia i nazwiska, za pośrednictwem wiadomości SMS z dnia [...] października 2022 r., ponieważ z ustaleń dokonanych w sprawie wynika jedynie fakt, że adwokat pomyłkowo wysłał do skarżącej SMS, w treści którego zamieścił otrzymany wcześniej od niej SMS, opatrzony własnym komentarzem. SMS, który otrzymała skarżąca zapewne nie miał być, w zamyśle wysyłającego, skierowany do skarżącej lecz do innej bliżej nieokreślonej osoby. Z ustaleń w sprawie nie wynika jednoznacznie, czy zamysł adwokata skierowania tego SMS-a do innej osoby (nieuprawnionej) został zrealizowany, a jeśli tak to do kogo został wysłany. Organ w tej kwestii nie poczynił żadnych ustaleń, ani też nie poddał pod tym kątem ocenie złożonych przez strony wyjaśnień. Zgodnie z regułami postępowania administracyjnego, organ jest zobligowany do dokładnego wyjaśnienia stanu faktycznego sprawy. Ustalenie okoliczności faktycznych jest bowiem zawsze zagadnieniem kluczowym i pierwszoplanowym, a także niezbędnym elementem zastosowania normy prawa materialnego. Prowadząc postępowanie administracyjne organ winien zatem realizować zasadę dochodzenia do prawdy obiektywnej (art. 7 k.p.a.), a w związku z tym winien wyczerpująco zebrać, rozpatrzyć i ocenić cały zgromadzony w sprawie materiał dowodowy (art. 77 § 1 k.p.a. i art. 80 k.p.a.) oraz należycie uzasadnić podjęte rozstrzygnięcie zgodnie z wymaganiami określonymi w art. 107 § 3 k.p.a. Przepis art. 107 § 3 k.p.a. stanowi, iż uzasadnienie faktyczne decyzji powinno zawierać w szczególności wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne - wyjaśnienie podstawy prawnej decyzji z przytoczeniem przepisów prawa. W orzecznictwie podkreśla się, że uzasadnienie stanowi integralną część decyzji i jego zadaniem jest wyjaśnienie rozstrzygnięcia, stanowiącego dyspozytywną jej część. Z tego względu motywy decyzji powinny być tak ujęte, aby strona mogła zrozumieć i w miarę możliwości zaakceptować zasadność przesłanek faktycznych i prawnych, którymi kierował się organ przy załatwianiu sprawy wydaną decyzją. Niewyjaśnienie wszystkich okoliczności mających istotne znaczenie w sprawie oraz nieuzasadnienie decyzji w sposób właściwy narusza podstawowe zasady podstępowania administracyjnego i stanowi podstawę do uchylenia przez sąd administracyjny zaskarżonej decyzji (por. wyroki Naczelnego Sądu Administracyjnego: z dnia 16 marca 1998 r. sygn. akt II SA 96/98; z dnia 10 grudnia 2019 r. sygn. akt I OSK 3285/18; z dnia 11 września 2019 r. sygn. akt II OSK 2322/17; dostępne w bazie orzeczeń pod adresem: www.orzeczenia.nsa.gov.pl). W ocenie Sądu, zaskarżone rozstrzygnięcie nie spełnia przedstawionych wyżej wymagań. Prezes UODO, nie wyjaśnił w sposób przekonujący, z jakich powodów uznał, że skarga E. K. w zakresie udostępnienia jej danych osobowych przez adwokata zasługuje na uwzględnienie (pkt 1 decyzji). Organ nie zebrał i nie rozważył w sposób wyczerpujący, zgodny z zasadami logiki i doświadczenia życiowego, materiału dowodowego, lecz oparł się wyłącznie na twierdzeniach stron, czego nie mógł zrobić, gdyż samo przekonanie stron o nieuprawnionym przetwarzaniu danych osobowych było niewystarczające zwłaszcza, że ich twierdzenia nie mają oparcia w zgromadzonym materiale dowodowym i stoją w sprzeczności z dowodami przedstawionymi przez stronę skarżącą. Z treści SMS, który otrzymała skarżąca nie wynika bowiem, że dotarł on także do osoby, do której miał być skierowany. Konkludując Sąd stwierdza, że zaskarżona decyzja podlegała uchyleniu, bowiem w sprawie doszło do naruszenia przez organ art. 77 § 1, art. 75 § 1, art. 80 i art. 107 § 1 i § 3 k.p.a. w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, w stopniu mogącym mieć istotny wpływ na wynik sprawy. Organ nie wyjaśnił sprawy w sposób wymagany ww. przepisami przedwcześnie uznając, że zaistniały nieprawidłowości w zakresie przetwarzania (udostępnienia) danych osobowych skarżącej osobie nieuprawnionej. Rozpoznając ponownie sprawę, organ będzie zobowiązany ustalić stan faktyczny sprawy w sposób jednoznaczny. W tym celu rozważy uzupełnienie materiału dowodowego, a następnie dokona oceny zgromadzonego materiału dowodowego w taki sposób, aby ocena ta była swobodna, lecz nie dowolna. Organ jest oczywiście uprawniony do zakwestionowania przedłożonych przez stronę dowodów i twierdzeń, lecz musi wykazać, jakie były przyczyny takiej decyzji. Wyczerpujące rozpatrzenie materiału dowodowego polega bowiem na takim ustosunkowaniu się do każdego ze zgromadzonych w sprawie dowodów, z uwzględnieniem wzajemnych powiązań między nimi, aby uzyskać jednoznaczność ustaleń faktycznych. Dopiero pełne ustalenie stanu faktycznego daje podstawę do przyjęcia, że wynikająca z art. 80 k.p.a. zasada swobodnej oceny dowodów nie została przekroczona. Podjęte rozstrzygnięcie organ przekonująco uzasadni, stosownie do wymogów określonych w art. 107 § 3 k.p.a. Mając na względzie wszystko powyższe Wojewódzki Sad Administracyjny w Warszawie, działając na podstawie art. 145 § 1 pkt 1 lit. c p.p.s.a., orzekł jak w pkt 1 wyroku. O kosztach orzeczono, na podstawie art. 200 i art. 205 § 1 p.p.s.a. w pkt 2 wyroku. Do kosztów postępowania niezbędnych do dochodzenia praw Sąd zaliczył uiszczony przez stronę skarżącą wpis sądowy. ----------------------- 1 #