II SA/Wa 2333/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Danuta Kania, Asesor WSA Mateusz Rogala (spr.), po rozpoznaniu w trybie uproszczonym w dniu 25 lipca 2024 r. sprawy ze skargi J. S. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Zaskarżoną do Wojewódzkiego Sądu Administracyjnego w Warszawie decyzją z dnia [...] października 2023 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych, działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2023 r., poz. 775 ze zm., powoływanej dalej jako k.p.a.) w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) oraz art. 5 ust. 1 lit. a), 6 ust. 1 oraz art. 58 ust. 2 lit. b) rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE ogólne rozporządzenie o ochronie danych (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1 ze zm., powoływanego dalej jako rozporządzenie nr 2016/679), po przeprowadzeniu postępowania w sprawie skargi J. S. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez[...] Izbę Rolniczą z siedzibą w [...], w pkt 1 udzielił [...] Izbie Rolniczej upomnienia za naruszenie art. 6 ust. 1 oraz art. 5 ust. 1 lit. a) rozporządzenia nr 2016/679 polegające na udostępnieniu bez podstawy prawnej na rzecz innego pracownika Izby danych osobowych J. S., w zakresie adresu zamieszkania oraz informacji o przyczynie zwolnienia ze stanowiska Dyrektora Biura Izby poprzez zamieszczenie w systemie elektronicznego obiegu dokumentów ELDOK uzasadnienia uchwały o jej odwołaniu; zaś w pkt 2 decyzji organ umorzył postępowanie w pozostałym zakresie. W uzasadnieniu decyzji organ podniósł, że w toku postępowania ustalono, iż w dniu [...] lipca 2021 r. Izba w systemie elektronicznego obiegu dokumentów ELDOK udostępniła na rzecz pracowników Izby uzasadnienie uchwały o odwołaniu skarżącej ze stanowiska Dyrektora Biura Izby, w którym wskazana była przyczyna zwolnienia oraz dane adresowe skarżącej. Izba wyjaśniła organowi, że dane skarżącej zawarte w uzasadnieniu uchwały były tylko teoretycznie dostępne przez bardzo krótki czas w systemie ELDOK dla innych pracowników Izby. Zgodnie z poczynionymi przez Izbę ustaleniami w ramach kontroli Administratora Systemów Informatycznych i Inspektora Ochrony Danych wyznaczonych w Izbie, żaden pracownik Izby, poza Członkami Zarządu Izby i jednym pracownikiem, tj. L. J., działającym na prośbę samej skarżącej, nie skorzystał w tym czasie z dostępu do tego dokumentu i danych osobowych skarżącej w nim zawartych. Ponadto Izba wskazała, że L. J. nie mógł początkowo odnaleźć uzasadnienia uchwały w systemie ELDOK, odnalazł ją i wysłał do skarżącej screen dopiero po otrzymaniu dokładnej instrukcji miejsca znajdowania się tego dokumentu od samej skarżącej. Izba oświadczyła, że uchwała o odwołaniu skarżącej została usunięta z systemu ELDOK i obecnie Izba nie przetwarza ani nie udostępnia danych osobowych skarżącej zawartych w uzasadnieniu uchwały ani w systemie ELDOK ani w żadnym innym systemie elektronicznym Izby. Wyjaśniła również, że dokonała zmiany systemu elektronicznego obiegu dokumentów i obecnie nie korzysta już z programu ELDOK. W nowym systemie nie znajdują się natomiast żadne dane osobowe skarżącej. Ponadto Izba podała, że informacja o incydencie dotyczącym chwilowego udostępnienia w systemie ELDOK uzasadnienia uchwały została wpisana do Rejestru incydentów prowadzonego przez Izbę oraz że przeprowadzona analiza ryzyka wskazała, że nie jest konieczne zawiadomienie Prezesa Urzędu Ochrony Danych Osobowych oraz osoby, której dane dotyczyły o tym incydencie w związku z niewielkim ryzykiem dostępu osób trzecich do danych osobowych zawartych w powołanym dokumencie ze względu na krótki okres udostępnienia tego dokumentu w wewnętrznym systemie informatycznym Izby. W dalszej części uzasadnienia swojego rozstrzygnięcia organ stwierdził, że z zebranego w sprawie materiału dowodowego wynika, iż doszło do naruszenia przez Izbę ochrony danych osobowych skarżącej, polegającego na udostępnieniu danych osobowych w zakresie przyczyny odwołania ze stanowiska oraz danych adresowych zawartych w uzasadnieniu uchwały o odwołaniu skarżącej ze stanowiska Dyrektora Biura Izby, która to uchwała została udostępniona w elektronicznym systemie obiegu dokumentów ELDOK, do którego dostęp mieli pracownicy Izby nieposiadający upoważnienia do przetwarzania ww. danych skarżącej. Izba umożliwiła zatem dostęp do danych osobowych skarżącej w kwestionowanym zakresie nieupoważnionym do przetwarzania tych danych pracownikom Izby, czego konsekwencją było uzyskanie dostępu do danych osobowych skarżącej przez L. J. W konsekwencji organ uznał, że Izba, przetwarzając dane osobowe skarżącej naruszyła art. 6 ust. 1 rozporządzenia nr 2016/679, bowiem nie legitymowała się żadną przesłanką uprawniającą do udostępnienia tych danych na rzecz osoby nieuprawnionej, tj. innego pracownika Izby. Zdarzenie to naruszyło również art. 5 ust. 1 lit. a) rozporządzenia nr 2016/679, który nakazuje, by dane były przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Odnosząc się do żądania skarżącej nakazania Izbie usunięcia jej danych w kwestionowanym zakresie z systemu elektronicznego Izby, organ wskazał, że zgodnie z oświadczeniem Izby uchwała o odwołaniu skarżącej została usunięta z systemu ELDOK i obecnie Izba nie przetwarza ani nie udostępnia danych osobowych skarżącej zawartych w uzasadnieniu tej uchwały ani w systemie ELDOK ani w żadnym innym systemie elektronicznym Izby, a zatem organ nie może nakazać Izbie ich usunięcia, wobec czego postępowanie w tym zakresie stało się bezprzedmiotowe, co zobowiązywało organ do umorzenia postępowania w tym zakresie. W związku zaś z żądaniem skarżącej nałożenia administracyjnej kary pieniężnej na administratora organ wyjaśnił, że przysługujące mu na mocy art. 58 ust. 2 rozporządzenia nr 2016/679 uprawnienia naprawcze, w tym dotyczące nakładania administracyjnych kar pieniężnych, należą do autonomicznych kompetencji Prezesa Urzędu. Okoliczność ta sprawia, że organ może zastosować określone przepisami art. 58 ust. 2 rozporządzenia działania naprawcze, lecz dokonuje tego typu działań w zależności od oceny okoliczności konkretnej sprawy, analizując ustalony stan faktyczny i prawny indywidualnie, co sprawia, iż nie podejmuje rozstrzygnięć wskazanych w art. 58 ust. 2 na wniosek osoby składającej skargę. Organ stwierdził, że w realiach niniejszej sprawy, biorąc pod uwagę charakter naruszenia oraz to, że Izba usunęła dane osobowe skarżącej, a także podjęte przez Izbę działania mające na celu zapobieżenie podobnym naruszeniom w przyszłości, wystarczające było zastosowanie wobec Izby przewidzianego w art. 58 ust. 2 lit. b rozporządzenia nr 2016/679 upomnienia za naruszenie przepisów o ochronie danych osobowych, tj. art. 6 ust. 1 oraz art. 5 ust. 1 lit. a) rozporządzenia nr 2016/679. J. S. złożyła na powyższą decyzję skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, zaskarżając ją w całości i wnosząc o jej uchylenie w całości, o wskazanie sposobu załatwienia sprawy, zobowiązanie organu do wydania decyzji, a także o zasądzenie kosztów postępowania. Skarżąca zarzuciła organowi naruszenie prawa materialnego mające wpływ na wynik sprawy, tj. art. 83 ust. 1 i 2 w zw. z art. 58 ust. 2 rozporządzenia nr 2016/679, poprzez jego błędne zastosowanie polegające na ustaleniu braku podstaw nałożenia kary pieniężnej na podmiot naruszający przepisy rozporządzenia z pominięciem wytycznych ustawowych tj. charakteru, wagi i czasu trwania naruszenia, umyślnego charakteru naruszenia, braku działań podjętych przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą, sposobu, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie, co skutkowało oceną naruszenia w sposób dowolny i nałożeniem kary nieskutecznej, nieproporcjonalnie niskiej i nieodstraszającej. Skarżąca postawiła również zarzuty naruszenia prawa procesowego mającego istotny wpływ na wynik sprawy tj.: a. art. 7, art. 77 § 1 i art. 80 k.p.a. poprzez uchybienie obowiązkowi uzupełnienia zebranych dowodów i rozpatrzenia w sposób wyczerpujący całego materiału dowodowego koniecznego do rozstrzygnięcia sprawy oraz niepodjęcie wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy, co skutkowało przyjęciem za prawidłowe błędnych ustaleń w zakresie: - udostępnienia danych skarżącej przez bardzo krótki czas w systemie ELDOK w sytuacji gdy ze zgromadzonego materiału dowodowego wynika, iż dane udostępniane były od [...] lipca 2021 r. do marca 2023 r. czyli prawie 3 lata; - uzyskania dostępu do danych skarżącej wyłącznie przez L. J. w sytuacji gdy wyjaśnienia A. W. (pracownika [...]IR) wskazują, iż również miała do tych danych dostęp; - prawidłowego umieszczenia informacji o incydencie chwilowego (prawie trzyletniego) udostępniania danych skarżącej w Rejestrze incydentów prowadzonego przez [...] Izbę Rolniczą, w sytuacji gdy do rejestru informacja trafiła dopiero po wszczęciu postępowania przez Prezesa UODO; - uznania za okoliczność łagodzącą podjętych przez [...]IR działań zaradczych i naprawczych w związku z udostępnianiem danych osobowych skarżącej, podczas gdy kroki naprawcze podjęte zostały pod wpływem wszczęcia przez Prezesa UODO postępowania ze skargi J. S.; - uzyskania dostępu do danych przez L. J. poprzez przyjęcie wyjaśnienia, że uzyskał on dostęp do danych skarżącej tylko dzięki jej bezpośrednim wskazówkom, podczas gdy skarżąca nie mogła wiedzieć że jej dane zostały udostępnione w sposób nieprawidłowy nie uzyskując wcześniej informacji o tym fakcie, a nie będąc już pracownikiem [...]IR; - celowego umieszczenia danych w systemie ELDOK, tj. na polecenie prezesa [...]IR; powyższe skutkowało błędnym ustaleniem, że udostępnienie danych miało charakter incydentalnego zdarzenia mniejszej wagi, wobec którego wystarczające jest udzielenie upomnienia; b. art. 77 § 1 k.p.a., poprzez zaniechanie przeprowadzenia postępowania dowodowego, a oparcie się na wyjaśnieniach [...] Izby Rolniczej; c. art. 107 § 3 k.p.a., poprzez zaniechanie uzasadnienia przyczyn, dla których organ uznał oświadczenia [...]IR za zgodne ze stanem faktycznym w sytuacji, gdy skarżąca wskazała, iż toczyło się w przedmiotowej sprawie postępowanie karne, jak również wskazała w swojej skardze fakty, którym przeczą oświadczeniu [...]IR, zaniechania wskazania w uzasadnieniu dowodów, na których oparł się organ, ustalając stan faktyczny. W uzasadnieniu skargi skarżąca podała, że nie sposób zgodzić się z rozstrzygnięciem organu w zakresie, w jakim ograniczył się do upomnienia [...] Izby Rolniczej jako sprawcy naruszenia. Skarżąca podkreśliła, że organ wszystkie swoje ustalenia oparł na jednym piśmie Izby z dnia 31 marca 2023 r. (oraz częściowo na skardze z dnia 23 lutego 2023 r.). Oznacza to, że przeprowadzenie przez organ postępowania ograniczyło się do otrzymania pisma [...]IR z wyjaśnieniami, którym dał wiarę (pomimo sprzeczności tych ustaleń z przesłaną skargą) i nie dokonał dalszych ustaleń w tej kwestii, pomimo iż skarżąca wskazała że toczyło się w przedmiotowej sprawie postępowanie karne, a pracownicy [...]IR złożyli w tej sprawie wyjaśnienia. Ciężko jest więc przyjąć, że prawidłowo przeprowadzone postępowanie administracyjne może sprowadzać się do otrzymania skargi a następnie odpowiedzi na tę skargę. Skarżąca wskazała, że wezwała Izbę do usunięcia danych w dniu 16 stycznia 2023 r., zaś w odpowiedzi Izba odmówiła usunięcia danych. Dopiero 31 marca 2023 r. [...]IR oświadczyła, że uchwała została usunięta z systemu ELDOK, tj. prawie 3 lata od udostępnienia danych osobowych skarżącej. Okres od lipca 2021 r. do marca 2023 r. ciężko uznać z "bardzo krótki czas". Jeśli zaś dane skarżącej zostały usunięte wcześniej, to organ nie poczynił ustaleń w zakresie tego, kiedy zostały usunięte, a co za tym idzie nie mógł stwierdzić, jak długo te dane były udostępniane, zaś obowiązek ustalenia czasu trwania naruszenia nakłada na organ art. 83 ust. 2 lit. a) rozporządzenia nr 2016/679. Zdaniem skarżącej, organ nie wyjaśnił również, w jaki sposób skarżąca mogła poinstruować L. J. o sposobie uzyskania dostępu do jej danych osobowych, skoro skarżąca nie pracowała już wtedy dla [...]IR, nie miała dostępu do systemu ELDOK i nie mogła się dowiedzieć o tym, że jej dane zostały udostępnione od innej osoby niż sam L. J. (co potwierdza Izba w swoich wyjaśnieniach, wskazując, iż dostęp do danych uzyskał wyłącznie jeden, wspomniany wyżej pracownik). Wyjaśnienie skarżącej, że jej dane były łatwo dostępne w systemie ELDOK a informacja o tym udostępnianiu pochodzi od pracownika, który do tych danych uzyskał dostęp bez niczyjej pomocy nie została przez organ nawet rozważona. W odpowiedzi na skargę organ wniósł o jej oddalenie oraz o rozpoznanie sprawy w trybie uproszczonym. Wyjaśnił, że ze zgromadzonego materiału dowodowego nie wynika, by dane osobowe skarżącej były udostępnione od [...] lipca 2021 r. do marca 2023 r. Treść pisma Izby z dnia 23 stycznia 2023 r. nie wskazuje, aby Izba nadal przetwarzała dane osobowe skarżącej w kwestionowany sposób. Odnosząc się do zarzutu, że organ błędnie ustalił, iż z uzasadnieniem uchwały zapoznała się również A. W., organ wskazał, że z załączonej do skargi notatki urzędowej z rozpytania przez funkcjonariusza Policji z dnia 28 grudnia 2021 r. nie wynika, że treść uchwały była znana A. W. na skutek udostępnienia jej przez Izbę w systemie ELDOK. A. W. zeznała, że uczestniczy w spotkaniach Zarządu Izby, na których podejmowane są uchwały oraz że była osoba odpowiedzialną za wprowadzenie tych uchwał do systemu ELDOK. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie zasługuje na uwzględnienie. Postępowanie administracyjne w tej sprawie zostało wszczęte wnioskiem J. S. z dnia 28 lutego 2023 r., w którym zwróciła się ona do Prezesa Urzędu Ochrony Danych Osobowych ze skargą na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] Izbę Rolniczą polegające na udostępnieniu bez podstawy prawnej na rzecz innego pracownika Izby jej danych osobowych, w zakresie adresu zamieszkania oraz informacji o przyczynie zwolnienia ze stanowiska Dyrektora Biura Izby poprzez zamieszczenie w systemie elektronicznego obiegu dokumentów ELDOK uzasadnienia uchwały o jej odwołaniu. W ocenie Sądu, organ prawidłowo zgromadził materiał dowodowy niezbędny do rozpatrzenia niniejszej sprawy, a następnie na jego podstawie właściwie ustalił stan faktyczny sprawy, co z kolei skutkowało prawidłowym zastosowaniem przepisów prawa materialnego. Postawione w skardze zarzuty naruszenia zarówno przepisów postępowania, jak i przepisów prawa materialnego nie zasługiwały zatem na uwzględnienie. Stawiając zarzuty naruszenia prawa procesowego, skarżąca zarzuca organowi oparcie zaskarżonego rozstrzygnięcia wyłącznie na wyjaśnieniach [...] Izby Rolniczej, co skutkowało błędnymi – zdaniem skarżącej – ustaleniami co do czasu trwania naruszenia, jego skali i stopnia zawinienia administratora danych. Odnosząc się do tak postawionych zarzutów, należy zauważyć, że organ prowadził postępowanie dowodowe, opierając się zarówno na stanowisku przedstawionym przez skarżącą we wszczynającej postępowanie skardze oraz na załącznikach do skargi, jak również na wyjaśnieniach administratora danych. Organ istotnie uznał te wyjaśnienia za wiarygodne, jednak co wymaga podkreślenia, skarżąca w toku postępowania nie zakwestionowała skutecznie okoliczności podnoszonych przez Izbę zarówno co do czasu trwania naruszenia, jak i jego skali. Z dokumentów przedstawianych przez skarżącą w toku postępowania, nie wynika, jak twierdzi skarżąca, by jej dane osobowe były udostępnione w systemie ELDOK prawie 3 lata. W szczególności dowodem na tę okoliczność nie jest pismo Izby z dnia 23 stycznia 2023 r., w którym Izba w żaden sposób nie twierdziła, by nie usunęła uprzednio danych osobowych skarżącej. Izba oświadczyła, że "nie uznaje roszczenia" skarżącej co do zasady i co do wysokości. Jednak takie stwierdzenie nie jest tożsame z odmową usunięcia danych – jak zdaje się twierdzić skarżąca. W istocie natomiast w omawianym piśmie Izba wyjaśniła, że w obecnym systemie przetwarzania dokumentów nie znajdują się żadne dane osobowe skarżącej (k. 12 akt administracyjnych). Zawarte w skardze twierdzenie, jakoby dane osobowe skarżącej były dostępne w systemie ELDOK przez prawie 3 lata nie znajduje zatem jakiegokolwiek poparcie w zgromadzonym materiale dowodowym (w tym również w dokumentach przedstawianych przez skarżącą). Ustalenia organu co do czasu trwania naruszenia należy więc uznać za prawidłowe. Jak wynika również z akt administracyjnych, a co także nie zostało skutecznie podważone przez skarżącą, A. W. zapoznała się z treścią uzasadnienia uchwały o odwołaniu skarżącej ze stanowiska, gdyż była pracownikiem Izby uczestniczącym w spotkaniach Zarządu i odpowiedzialnym za umieszczenie uchwał w systemie elektronicznym (notatka urzędowa z dnia 28 grudnia 2021 r. – k. 7 akt administracyjnych). Powyższe nie potwierdza zatem tezy skarżącej, by inne osoby – poza L. J. faktycznie zapoznały się z treścią uzasadnienia przedmiotowej uchwały. Jak wynika natomiast z oświadczenia L. J. złożonego przed funkcjonariuszem Policji (notatka urzędowa z dnia 2 września 2022 r. - k. 8 akt administracyjnych), sprawdził on, czy uchwała o odwołaniu skarżącej znajduje się w systemie ELDOK, działając na wyraźną prośbę skarżącej, a gdyby skarżąca nie zadzwoniła do niego z tą informacją, to L. J. nie posiadałby wiedzy w tym zakresie. Treść powyższego dokumentu – załączonego przez skarżącą do skierowanej do organu skargi – potwierdza zatem w istocie wyjaśnienia Izby co do rozmiaru i charakteru naruszenia. W konsekwencji Sąd uznał, że organ nie naruszył wskazywanych w skardze przepisów postępowania, w szczególności dotyczących zgromadzenia i oceny materiału dowodowego, w stopniu mogącym mieć wpływ na wynik sprawy. Odnosząc się natomiast do postawionego w skardze zarzutu naruszenia prawa materialnego, należy szczególnie podkreślić, że po przeprowadzeniu w tej sprawie postępowania administracyjnego, organ stwierdził, iż doszło do naruszenia przepisów o ochronie danych osobowych, tj. art. 6 ust. 1 oraz art. 5 ust. 1 lit. a) rozporządzenia nr 2016/679. Organ uznał zatem, że miało miejsce opisane przez skarżącą w skardze zdarzenie polegające na udostępnieniu bez podstawy prawnej na rzecz innego pracownika Izby danych osobowych J. S., w zakresie adresu zamieszkania oraz informacji o przyczynie zwolnienia ze stanowiska Dyrektora Biura Izby poprzez zamieszczenie w systemie elektronicznego obiegu dokumentów ELDOK uzasadnienia uchwały o jej odwołaniu. W tym zakresie organ uwzględnił zatem skargę i udzielił administratorowi danych upomnienia. Skarżąca kwestionuje jednak niezastosowanie przez organ środka wymienionego w art. 58 ust. 2 lit. i) rozporządzenia nr 2016/679, tj. administracyjnej kary pieniężnej. Jak już wielokrotnie podkreślano w orzecznictwie sądów administracyjnych, korzystanie z uprawnień naprawczych jest autonomiczną decyzją organu. Dotyczy to również uprawnienia do nałożenia administracyjnej kary pieniężnej. Kara ta nie jest nakładana na wniosek strony skarżącej, bowiem przepisy rozporządzenia nr 2016/679 nie dają osobom, których dane dotyczą, prawa do żądania dokonania takiej czynności (tak m.in. Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 24 kwietnia 2024 r. sygn. akt II SA/Wa 1885/23, dostępny w internetowej bazie orzeczeń sądów administracyjnych). To stanowisko Sąd w składzie rozpoznającym niniejszą skargę w całości podziela. Wobec powyższego należy stwierdzić, że, organ, stosując w niniejszej sprawie instrument o charakterze naprawczym przewidziany w art. 58 ust. 2 lit. b) rozporządzenia nr 2016/679, nie naruszył również przepisów prawa materialnego. Sąd podziela stanowisko organu, że udzielenie upomnienia było adekwatne do wagi stwierdzonych naruszeń ochrony danych osobowych. Biorąc pod uwagę powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 1634 ze zm.), orzekł jak w sentencji.