II SA/Wa 2374/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Piotr Borowiecki, Sędzia WSA Ewa Radziszewska-Krupa, Asesor WSA Anna Pośpiech-Kłak (spr.), po rozpoznaniu w trybie uproszczonym w dniu 21 czerwca 2024 r. sprawy ze skargi R. I. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla punkt 2 zaskarżonej decyzji; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego R. I. kwotę 200 (słownie: dwieście) złotych, tytułem zwrotu kosztów postępowania. Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] listopada 2023 r. znak [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775 ze zm.) w zw. z art. 5 ust. 1 pkt 6, art. 8 ust. 2 pkt 5 oraz art. 12, art. 13 ust. 1 i art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2023 r. poz. 1206), w sprawie ze skargi R. I. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Dyrektora Generalnego Służby Więziennej polegające na przetwarzaniu jego danych w Centralnej Bazie Danych Osób Pozbawionych Wolności, w pkt 1) nakazał Dyrektorowi Generalnemu Służby Więziennej przywrócenie stanu zgodnego z prawem poprzez usunięcie z Centralnej Bazy Danych Osób Pozbawionych Wolności danych osobowych R. I. w zakresie IDO (identyfikatora danych osobowych) oraz płci; w pkt 2) w pozostałym zakresie odmówił uwzględnienia wniosku. Prezes UODO wskazał, że w dniu [...] grudnia 2019 r. wpłynęła skarga R. I. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Dyrektora Generalnego Służby Więziennej poprzez przetwarzanie tych danych w Centralnej Bazie Danych Osób Pozbawionych Wolności. W skardze tej zarzucono naruszenie: art. 24 ust. 2 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2023 r. poz. 1206), zwanej "ustawą z dnia 14 grudnia 2018 r.", poprzez nieusunięcie danych osobowych skarżącego znajdujących się w Centralnej Bazie; art. 24 ust. 1 i 4 pkt 1, art. 25a ust. 2 ustawy z dnia 9 kwietnia 2010 r. o Służbie Więziennej (Dz. U. z 2023 r. poz. 1683 ze zm.) oraz art. 13 ust. 1,2 i 4 ustawy z dnia 14 grudnia 2018 r. w związku z art. 4 ust. 1 lit. e dyrektywy Parlamentu Europejskiego i Rady (UE) nr 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW (Dz.U.UE.L.2016.119.89) poprzez przechowywanie danych osobowych w formie umożliwiającej identyfikację skarżącego przez okres dłuższy niż jest to niezbędne do celów ich przetwarzania, uznanie iż jego dane osobowe są niezbędne do realizacji ustawowych zadań wykonywanych przez Służbę Więzienną, uznanie iż można przetwarzać jego dane osobowe, a także poprzez ich przetwarzanie bez odpowiedniego zabezpieczenia jego praw i wolności; art. 25b ust. 2 pkt 1 ustawy z dnia 9 kwietnia 2010 r. o Służbie Więziennej poprzez przetwarzanie jego danych osobowych pomimo upływu okresu, w którym były one niezbędne do realizacji ustawowych zadań Służby Więziennej; art. 51 ust. 2 Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz. U. Nr 78, poz. 483 ze zm.) poprzez gromadzenie i udostępnianie jego danych osobowych w Centralnej Bazie zbędnych w demokratycznym państwie prawnym. Wskazując na te uchybienia skarżący wniósł do Prezesa UODO żądanie nakazania Dyrektorowi usunięcia albo pseudonimizacji danych osobowych Skarżącego znajdujących się w Centralnej Bazie. W dniu [...] lipca 2020 r. Prezes UODO wydał w sprawie decyzję administracyjną odmawiającą uwzględnienia wniosku z dnia [...] grudnia 2019 r. W dniu 20 maja 2021 r. WSA w Warszawie wydał wyrok (sygn. akt II SA/Wa 1821/20), w którym wskazał, że ,, w zaskarżonej decyzji nie ma żadnych ustaleń faktycznych organu ochrony danych osobowych tak co do dalszego przetwarzania danych osobowych skarżącego przez SW w Centralnej Bazie w tak określonym celu, tj. "archiwizacyjnym", jak i rozważań Prezesa UODO co do zgodności z prawem dalszego przetwarzania danych osobowych skarżącego w Centralnej Bazie w takim celu" zawarł, że ponownie rozpoznając sprawę Prezes UODO winien: zwrócić uwagę na wyjaśnienia Dyrektora, czy dane osobowe skarżącego będą nadal przetwarzane w celu archiwizacyjnym i ocenić - po uzyskaniu od Dyrektora dodatkowych wyjaśnień - dopuszczalność dalszego przetwarzania danych osobowych skarżącego w tak określonym przez ten podmiot celu, biorąc pod uwagę art. 25b ust. 2 pkt 1 i 2 ustawy z dnia 9 kwietnia 2010 r. o Służbie Więziennej, jak i treść art. 25b ust. 2 pkt 3 ustawy z dnia 9 kwietnia 2010 r. o Służbie Więziennej; rozważyć, czy możliwe jest utożsamianie dalszego przetwarzania danych osobowych w celu archiwizacyjnym z postanowieniem przez ustawodawcę, że informacje w Centralnej Bazie stanowią materiały archiwalne; ustalić w jakiej dacie dane osobowe skarżącego stały się zbędne do realizacji ustawowych zadań wykonywanych przez Służbę Więzienną; zgodność z prawem pozyskania i dalszego przetwarzania danych osobowych skarżącego przez organ Służby Więziennej Prezes UODO powinien poszukiwać w ustawie o Służbie Więziennej; wziąć pod uwagę art. 23a ustawy o Służbie Więziennej i rozważyć, czy stanowił on przesłankę przetwarzania danych osobowych skarżącego na dzień pozyskania jego danych przez Służbę Więzienną w związku z tymczasowym aresztowaniem. Ponownie rozpoznając sprawę Prezes UODO ustalił, że skarżący w dniach [...]-[...] października 1998 r. przebywał w Zakładzie Karnym w [...] jako tymczasowo aresztowany. W związku z tym Dyrektor przetwarzał dane osobowe skarżącego w Centralnej Bazie. Dyrektor, i jako podstawę prawną do pozyskania ww. danych wskazał art. 23a ustawy o Służbie Więziennej. Pismem z dnia [...] października 2019 r. skarżący zwrócił się do Dyrektora z wnioskiem o usunięcie danych osobowych skarżącego z Centralnej Bazy. W odpowiedzi z dnia [...] października 2019 r. Dyrektor odmówił realizacji wniosku skarżącego, wskazując m.in., że informacje i dane osobowe dotyczące osoby skarżącego, przetwarzane w Centralnej Bazie, na chwilę obecną zostały uznane za niezbędne dla realizacji ustawowych zadań wykonywanych przez Służbę Więzienną. Pismem z dnia [...] grudnia 2019 r. skarżący wniósł do Dyrektora o ponowne rozpatrzenie wniosku jego wniosku z dnia [...] października 2019 r. W odpowiedzi z dnia [...] grudnia 2019 r. Dyrektor poinformował skarżącego o pozostawieniu bez rozpoznania tego wniosku. W lutym 2020 r. Dyrektor przeprowadził weryfikację przydatności informacji i danych osobowych skarżącego w Centralnej Bazie. Weryfikacji tej dokonano mając na względzie krótki okres pobytu skarżącego w warunkach izolacji, upływ ponad 22 lat od zwolnienia z jednostki penitencjarnej oraz fakt, iż skarżący przebywał w areszcie śledczym jako tymczasowo aresztowany. Weryfikacja ta zakończyła się uznaniem danych osobowych skarżącego za zbędne do realizacji ustawowych zadań wykonywanych przez Służbę Więzienną i przekształceniem danych osobowych skarżącego przetwarzanych w Centralnej Bazie - dotyczące IDO o nr [...] pole o nazwie "Pesel" jest puste, w polach o nazwach "Nazwisko", "Nazwisko rodowe", "Imię", "Imię ojca", "Imię matki", "Miejsce urodzenia" znajduje się informacja o treści "ARCHIWUM", w polu o nazwie "Data urodzenia" znajduje się informacja o treści "NN", w polu o nazwie "Płeć" znajduje się informacja o treści "MĘŻCZYZNA". Po ww. przekształceniu brak jest możliwości wyszukania w Centralnej Bazie dotyczących skarżącego informacji przy użyciu jego imienia i nazwiska. Prezes UODO nadmienił, że IDO (identyfikator danych osobowych) to niepowtarzalny numer nadawany automatycznie przez Centralną Bazę, jednoznacznie identyfikujący w Centralnej Bazie m.in. osobę pozbawioną wolności w jednostce penitencjarnej (§ 2 pkt 19 zarządzenia Dyrektora nr [...] z dnia [...] lipca 2015 r. w sprawie transportowania skazanych, § 2 pkt 11 lit. a instrukcji nr [...] Dyrektora z dnia [...] marca 2017 r. w sprawie szczegółowych zasad gromadzenia informacji i danych osobowych w systemie Centralna Baza Danych Osób Pozbawionych Wolności [...] w zakresie właściwości merytorycznej Biura Informacji i Statystyki Centralnego Zarządu Służby Więziennej - wydruki stanowią karty 110 verte i 128 verte akt sprawy). Dotyczący skarżącego IDO (identyfikator danych osobowych) w Centralnej Bazie to [...]. Pismem z dnia [...] lutego 2020 r. Dyrektor poinformował Prezesa UODO, że w wyniku weryfikacji potrzeby dalszego przetwarzania danych osobowych skarżącego ustalono, iż jego dane osobowe zgromadzone w Centralnej Bazie nie są już niezbędne do realizacji ustawowych zadań Służby Więziennej, oraz iż jako dane uznane za zbędne zostały przekształcone w sposób wskazany w art. 25b ust. 2 pkt 2 zdanie drugie ustawy o Służbie Więziennej, to jest w sposób uniemożliwiający przyporządkowanie poszczególnych danych do określonej lub możliwej do zidentyfikowania osoby fizycznej. Dyrektor w złożonych w sprawie wyjaśnieniach, odnosząc się do wezwania Prezesa UODO o wskazanie w jakiej dacie dane osobowe skarżącego stały się zbędne dla realizacji ustawowych zadań wykonywanych przez Służbę Więzienną, poinformował że "weryfikacja przydatności informacji i danych osobowych Skarżącego w Centralnej Bazie została przeprowadzona w pierwszych dniach lutego 2020 r. Weryfikacja ta zakończyła się w dniu [...] lutego 2020 r. przekształceniem danych osobowych Skarżącego — przetwarzanych w Centralnej Bazie — w taki sposób, aby nie było możliwe przyporządkowanie poszczególnych danych do określonej lub możliwej do zidentyfikowania osoby fizycznej". Dyrektor w złożonych w sprawie wyjaśnieniach nadmienił również, że aktualnie w Centralnej Bazie nie są przetwarzane dane osobowe Skarżącego. Podstawę prawną przetwarzania danych osobowych skarżącego w Centralnej Bazie do dnia ich uznania za zbędne stanowił art. 24 ust. 1 pkt 2, ust. 3 i ust. 4 pkt 1 oraz art. 25a ust. 2 pkt 1 lit. a, lit. f tiret pierwsze i lit. g ustawy o Służbie Więziennej. Aktualnie dane osobowe skarżącego uprzednio przetwarzane w Centralnej Bazie przetwarzane są jedynie w celu archiwizacyjnym poprzez ich przechowywanie poza Centralną Bazą w postaci dokumentów papierowych przez komórkę organizacyjną Centralnego Zarządu Służby Więziennej odpowiedzialną za prowadzenie archiwum zakładowego. Na wydrukach dokonanych z aplikacji Centralnej Bazy bezpośrednio przed przekształceniem danych skarżącego i aktualnie przechowywanych przez Dyrektora w celu archiwizacyjnym poza Centralną Bazą oprócz m.in. imienia, nazwiska, daty urodzenia lub nr PESEL skarżącego widoczny jest jego IDO (identyfikator danych osobowych). W świetle powyższych ustaleń Prezes UODO wskazał, że dla rozstrzygnięcia niniejszej sprawy zastosowanie znajdują przepisy ustawy z dnia 14 grudnia 2018 r. Powołana ustawa stwarza prawne podstawy stosowania ochrony państwowej w sytuacjach niezgodnego z prawem przetwarzania danych osobowych obywateli, poprzez określenie zasad i warunków ochrony danych przetwarzanych przez właściwe organy, które dokonują przetwarzania danych osobowych w celu określonym w art. 1 pkt 1 ustawy z dnia 14 grudnia 2018 r., tj. w celu rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych, w tym zagrożeń dla bezpieczeństwa i porządku publicznego, a także wykonywania tymczasowego aresztowania, kar, kar porządkowych i środków przymusu skutkujących pozbawieniem wolności. Prezes wskazał również, że zgodnie z art. 4 pkt 5 ustawy z dnia 14 grudnia 2018 r. przewiduje, że ilekroć w ustawie jest mowa o danych osobowych - rozumie się przez to dane osobowe, o których mowa w art. 4 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm.), zw. dalej "RODO". Z kolei art. 4 pkt 1 RODO stanowi, że "dane osobowe" oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Przepis art. 13 ust. 1 ustawy z dnia 14 grudnia 2018 r. stanowi, że właściwe organy przetwarzają dane osobowe wyłącznie w zakresie niezbędnym dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Art. 13 ust. 4 ustawy z dnia 14 grudnia 2018 r. stanowi, że dopuszcza się wykorzystanie przetwarzania danych osobowych zebranych do celów, o których mowa w art. 1 pkt 1, w zakresie niezbędnym do ich archiwizacji w interesie publicznym oraz do celów naukowych, statystycznych lub historycznych, o ile podlega ono odpowiednim zabezpieczeniom praw i wolności osób, których dane dotyczą. Art. 24 ust. 1 pkt 2 ustawy z dnia 14 grudnia 2018 r. przewiduje, że osoba, której dane dotyczą, może wystąpić z wnioskiem do administratora o niezwłoczne usunięcie danych osobowych - w przypadku gdy dane te zostały zebrane lub są przetwarzane z naruszeniem przepisów niniejszej ustawy. Art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r. stanowi, że administrator zapewnia, aby dane osobowe były przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów ich przetwarzania. Zgodnie z art. 16 ustawy z dnia 14 grudnia 2018 r. administrator dokonuje weryfikacji danych osobowych w terminach określonych przez przepisy szczególne, regulujące działania właściwego organu, a jeżeli przepisy te nie określają terminu - nie rzadziej niż co 10 lat od dnia zebrania, uzyskania, pobrania lub aktualizacji danych (ust. 1). Weryfikacja dokonywana jest w celu ustalenia, czy istnieją dane, których dalsze przechowywanie jest zbędne. Zbędne dane usuwa się, z zastrzeżeniem art. 17 (ust. 2). Art. 17 ustawy z dnia 14 grudnia 2018 r. stanowi, że dane osobowe uznane za zbędne można przekształcić w sposób uniemożliwiający przyporządkowanie poszczególnych informacji osobistych lub rzeczowych do określonej lub możliwej do zidentyfikowania osoby fizycznej albo w taki sposób, że przyporządkowanie takie wymagałoby niewspółmiernych kosztów, czasu lub działań. Z kolei art. 24 ust. 4 ustawy z dnia 9 kwietnia 2010 r. o Służbie Więziennej, stanowi, że Służba Więzienna może przetwarzać informacje i dane osobowe o następujących osobach: (pkt 1) obecnie lub uprzednio pozbawionych wolności w zakładach karnych i aresztach śledczych - w zakresie związanym z pozbawieniem wolności w tych zakładach i aresztach, w tym w zakresie niezbędnym do: (lit. a) wykonania orzeczenia, zgodnie z zasadami określonymi w ustawie z dnia 6 czerwca 1997 r. - Kodeks karny wykonawczy, (lit. b) zapewnienia porządku i bezpieczeństwa w zakładach karnych i aresztach śledczych, (lit. c) ochrony społeczeństwa przed przestępczością, (lit. d) wykonania zadań wynikających z odrębnych ustaw. W myśl art. 2 ust. 2 pkt 7a ustawy z dnia 9 kwietnia 2010 r. o Służbie Więziennej do podstawowych zadań Służby Więziennej należy prowadzenie Centralnej Bazy. Art. 25a ust. 1 ustawy z dnia 9 kwietnia 2010 r. o Służbie Więziennej przewiduje, że Centralna Baza jest zbiorem informacji i danych osobowych użytkowanym przez jednostki organizacyjne i prowadzonym w systemie teleinformatycznym. Zgodnie z art. 25a ust. 2 ustawy z dnia 9 kwietnia 2010 r. o Służbie Więziennej w Centralnej Bazie przetwarza się informacje niezbędne do realizacji ustawowych zadań wykonywanych przez Służbę Więzienną, dotyczące: (pkt 1) osób, o których mowa w art. 24 ust. 4 pkt 1, obejmujące: (lit. a) dane osobowe, takie jak: imiona, nazwisko, poprzednio używane imiona i nazwiska, pseudonimy, imiona i nazwiska rodziców, nazwisko rodowe matki, datę i miejsce urodzenia, numer Powszechnego Elektronicznego Systemu Ewidencji Ludności (PESEL), aktualne i poprzednie adresy zameldowania, zamieszkania lub pobytu, także czasowego, obywatelstwo, (lit. f) informacje związane z pobytem osoby pozbawionej wolności w zakładzie karnym lub areszcie śledczym, w szczególności: - informacje o wprowadzonych do wykonania orzeczeniach oraz okresach wykonywania pozbawienia wolności, w tym także poza zakładem karnym lub aresztem śledczym, oraz inne informacje mające wpływ na ustalenie terminu końca kary lub środka przymusu, - informacje niezbędne do dokonania prawidłowej klasyfikacji, rozmieszczenia wewnątrz zakładu karnego lub aresztu śledczego oraz indywidualnego postępowania zmierzającego do realizacji celów, jakim ma służyć wykonanie kar pozbawienia wolności, środków przymusu skutkujących pozbawieniem wolności oraz tymczasowego aresztowania, (lit. g) informacje związane ze zwolnieniem osoby pozbawionej wolności z zakładu karnego lub aresztu śledczego, w tym dotyczące zwolnienia skazanego lub ukaranego na przerwę w wykonaniu kary, (lit. h) inne informacje, jeżeli wynika to z przepisów szczególnych. W myśl art. 25b ust. 1 ustawy z dnia 9 kwietnia 2010 r. o Służbie Więziennej Dyrektor (pkt 2) jest administratorem informacji, w tym danych osobowych, przetwarzanych w Centralnej Bazie, (pkt 3) dokonuje weryfikacji przydatności informacji w Centralnej Bazie, mając na względzie ich niezbędność do realizacji ustawowych zadań wynikających z rodzaju informacji oraz upływu czasu. Art. 25b ust. 2 ustawy z dnia 9 kwietnia 2010 r. o Służbie Więziennej stanowi, że informacje w Centralnej Bazie: (pkt 1) przetwarza się przez okres, w którym są niezbędne do realizacji ustawowych zadań wykonywanych przez Służbę Więzienną. Dyrektor Generalny dokonuje, nie rzadziej niż co 5 lat, weryfikacji potrzeby dalszego przetwarzania tych informacji, ustalając informacje zbędne; (pkt 2) uznane za zbędne, mogą być przetwarzane tylko w celu realizacji obowiązku, o którym mowa w pkt 3. Jeżeli przemawia za tym prawidłowość informacji przetwarzanych w Centralnej Bazie, informacje uznane za zbędne mogą być przekształcone w sposób uniemożliwiający przyporządkowanie poszczególnych danych do określonej lub możliwej do zidentyfikowania osoby fizycznej albo w taki sposób, że przyporządkowanie takie wymagałoby niewspółmiernych kosztów, czasu lub działań; (pkt 3) stanowią materiały archiwalne w rozumieniu art. 1 ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2020 r. poz. 164). W myśl art. 1 ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach materiały archiwalne wchodzą do narodowego zasobu archiwalnego. Art. 3 ww. ustawy stanowi zaś, że materiały archiwalne stanowiące narodowy zasób archiwalny przechowuje się wieczyście. Prezes UODO wskazał, że obowiązujący w momencie pozyskania danych osobowych skarżącego przez Służbę Więzienną w związku z tymczasowym aresztowaniem art. 23a ustawy z dnia 26 kwietnia 1996 r. o Służbie Więziennej (Dz. U. z 1996 r. Nr 61, poz. 283 ze zm.) stanowił, iż Służba Więzienna może gromadzić i przetwarzać informacje i dane osobowe, w tym także bez zgody osób, których dotyczą, niezbędne do realizacji zadań, o których mowa w art. 1 ust. 3 ustawy. Art. 1 ust. 3 pkt 2 ustawy z dnia 26 kwietnia 1996 r. o Służbie Więziennej stanowił, że do podstawowych zadań Służby Więziennej należy wykonywanie tymczasowego aresztowania w sposób zabezpieczający prawidłowy tok postępowania karnego. Art. 23 ust. 1 pkt 2 obowiązującej wówczas ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 1997 r. Nr 133, poz. 883) stanowił, że przetwarzanie danych jest dopuszczalne tylko wtedy, gdy zezwalają na to przepisy prawa. Przytoczony wcześniej art. 23a ustawy z dnia 26 kwietnia 1996 r. o Służbie Więziennej w momencie tymczasowego aresztowania skarżącego zezwalał zaś na przetwarzanie danych osobowych niezbędnych do wykonywania tymczasowego aresztowania. Wobec tego na dzień pozyskania przez Służbę Więzienną danych osobowych skarżącego istniała określona w art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych przesłanka legalizująca przetwarzanie, w tym pozyskanie jego danych osobowych. Ustawa z dnia 26 kwietnia 1996 r. o Służbie Więziennej została uchylona z dniem 13 sierpnia 2010 r. przez art. 273 ustawy z dnia 9 kwietnia 2010 r. o Służbie Więziennej. Jednakże przepis legalizujący przetwarzanie danych osobowych tymczasowo aresztowanych został zawarty w art. 24 ust. 1 ustawy z dnia 9 kwietnia 2010 r. o Służbie Więziennej, który w momencie wejścia w życie tej ustawy stanowił, że Służba Więzienna może przetwarzać informacje i dane osobowe, w tym także bez zgody i wiedzy osób, których dotyczą, niezbędne do realizacji zadań, o których mowa w art. 2. Zatem nadal istniała podstawa prawna do przetwarzania przez Służbę Więzienną danych osobowych skarżącego. W ocenie Prezesa UODO istotny jest fakt, że dane osobowe skarżącego stały się zbędne do realizacji ustawowych zadań wykonywanych przez Służbę Więzienną, co też nadmienił Dyrektor w skierowanym do Prezesa UODO piśmie z dnia [...] lutego 2020 r. Mając na uwadze, że WSA wydanym w niniejszej sprawie wyroku zobowiązał Prezesa UODO do ustalenia w jakiej dacie dane osobowe skarżącego stały się zbędne do realizacji ustawowych zadań wykonywanych przez Służbę Więzienną, Prezes UODO wskazał, że z zebranego w sprawie materiału dowodowego wynika, że Dyrektor pismem z dnia [...] października 2019 r. poinformował skarżącego, że dotyczące go informacje i dane osobowe, przetwarzane w Centralnej Bazie, na chwilę obecną zostały uznane za niezbędne dla realizacji ustawowych zadań wykonywanych przez Służbę Więzienną, natomiast po przeprowadzeniu kolejnej weryfikacji tych danych Dyrektor w dniu [...] lutego 2020 r. uznał dane osobowe skarżącego przetwarzane w Centralnej Bazie za zbędne do realizacji ustawowych zadań wykonywanych przez Służbę Więzienną. Tym czasem Prezes UODO nie może kwestionować dokonanej przez Dyrektora oceny niezbędności danych osobowych skarżącego do realizacji ustawowych zadań wykonywanych przez Służbę Więzienną gdyż to organy dokonujące określonej przepisami prawa weryfikacji oceniają przydatność zebranych informacji zawierających dane osobowe, które są przetwarzane w związku z realizacją zadań ustawowych tych organów. Prezes UODO nie może oceniać przydatności danych zebranych przez te organy. Wobec tego dopuszczalne było przetwarzanie w Centralnej Bazie danych osobowych skarżącego do czasu dokonania przez Dyrektora weryfikacji, która wykazała, że te dane osobowe są zbędne, gdyż proces przetwarzania tych danych osobowych, jako niezbędny dla zrealizowania uprawnienia Służby Więziennej wynikającego z przytoczonego art. 24 ust. 4 pkt 1 oraz art. 25a ust. 2 pkt 1 ustawy z dnia 9 kwietnia 2010 r. o Służbie Więziennej, wypełniał przesłankę wynikającą z art. 13 ust. 1 ustawy z dnia 14 grudnia 2018 r. Dyrektor w złożonych w sprawie wyjaśnieniach wskazał, że dane osobowe skarżącego w Centralnej Bazie, jako uznane za zbędne, zostały przekształcone w sposób wskazany w art. 25b ust. 2 pkt 2 zdanie drugie ustawy o Służbie Więziennej, to jest w sposób uniemożliwiający przyporządkowanie poszczególnych danych do określonej lub możliwej do zidentyfikowania osoby fizycznej, oraz że aktualnie w Centralnej Bazie nie są przetwarzane dane osobowe skarżącego. Tym samym przekształcenie danych osobowych w sposób uniemożliwiający przyporządkowanie poszczególnych danych do określonej lub możliwej do zidentyfikowania osoby fizycznej, skutkowało tym, że dane te przestają być danymi osobowymi w rozumieniu art. 4 pkt 5 ustawy z dnia 14 grudnia 2018 r. Art. 4 pkt 1 RODO - do którego odsyła ww. przepis ustawy z dnia 14 grudnia 2018 r. - przewiduje bowiem, że "dane osobowe" oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Zatem informacje (dane), których nie można powiązać z zidentyfikowaną (określoną) lub możliwą do zidentyfikowania osobą fizyczną nie stanowią danych osobowych. Jednakże, w ocenie Prezesa UODO, przekształcenie danych osobowych skarżącego w Centralnej Bazie nie nastąpiło w sposób powodujący, że informacje pozostałe w Centralnej Bazie po przekształceniu nie stanowią już danych osobowych skarżącego. Z wydruku zrzutu ekranowego przedstawiającego dane przetwarzane w Centralnej Bazie po dokonaniu przekształcenia danych osobowych skarżącego wynika, że w Centralnej Bazie pozostawiony został IDO Skarżącego. IDO (identyfikator danych osobowych) to niepowtarzalny numer nadawany automatycznie przez Centralną Bazę, jednoznacznie identyfikujący w Centralnej Bazie m.in. osobę pozbawioną wolności w jednostce penitencjarnej. Wskazuje na to § 2 pkt 19 zarządzenia Dyrektora nr [...] z dnia [...] lipca 2015 r. w sprawie transportowania skazanych, stanowiący, że przez użyte w zarządzeniu określenia lub skróty należy rozumieć - IDO - Identyfikator Danych Osobowych; numer jednoznacznie identyfikujący skazanego, tymczasowo aresztowanego i ukaranego w systemie Centralna Baza Danych Osób Pozbawionych Wolności [...]. Znajduje to również potwierdzenie w § 2 pkt 11 lit. a instrukcji nr [...] Dyrektora z dnia [...] marca 2017 r. w sprawie szczegółowych zasad gromadzenia informacji i danych osobowych w systemie Centralna Baza Danych Osób Pozbawionych Wolności [...] w zakresie właściwości merytorycznej Biura Informacji i Statystyki Centralnego Zarządu Służby Więziennej, zgodnie z którym IDO - identyfikator danych osobowych to niepowtarzalny numer nadawany automatycznie przez [...], tj. system Centralna Baza Danych Osób Pozbawionych Wolności [...], każdej osobie pozbawionej wolności w jednostce penitencjarnej. Z kolei w myśl art. 4 pkt 1 RODO możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak m.in. numer identyfikacyjny. W ocenie Prezesa UODO Dyrektor na podstawie IDO skarżącego przetwarzanego w Centralnej Bazie jest w stanie zidentyfikować skarżącego. Z ustaleń postępowania wynika bowiem, że Dyrektor przechowuje w celach archiwalnych wydruki z Centralnej Bazy zawierające IDO skarżącego w powiązaniu z m.in. imieniem, nazwiskiem, datą urodzenia lub nr PESEL skarżącego. Taka identyfikacja skarżącego nie wymaga niewspółmiernych kosztów, czasu lub działań. W związku z tym nie zaistniał w niniejszej sprawie drugi, alternatywny, sposób przekształcenia danych osobowych dopuszczony przez art. 25b ust. 2 pkt 2 zdanie drugie ustawy o Służbie Więziennej. Ponadto, Dyrektor na podstawie IDO skarżącego zawartego w wydrukach z Centralnej Bazy może powiązać ze skarżącym dane, które pozostały w Centralnej Bazie po przekształceniu danych osobowych skarżącego. W świetle ustalonych okoliczności Prezes UODO uznał, że przetwarzany przez Dyrektora w Centralnej Bazie IDO skarżącego oraz informacja o płci skarżącego stanowią dane osobowe skarżącego, a ich przetwarzanie w Centralnej Bazie aktualnie odbywa się z naruszeniem art. 13 ust. 1 oraz art. 31 ust. 1 pkt 5 ustawy z dnia 14 grudnia 2018 r., bowiem nie jest niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Wobec tego niezbędne było nakazanie przywrócenia stanu zgodnego z prawem w tym zakresie. Dlatego też Prezes UODO, działając na podstawie art. 8 ust. 2 pkt 5 ustawy z dnia 14 grudnia 2018 r., nakazał Dyrektorowi przywrócenie stanu zgodnego z prawem poprzez usunięcie ww. informacji z Centralnej Bazy. Odnośnie do kwestii przetwarzania przez Dyrektora danych osobowych skarżącego w celu archiwizacyjnym wskazano, że dane osobowe skarżącego są przetwarzane przez Dyrektora w tym celu poza Centralną Bazą. Wobec tego brak jest podstaw do rozstrzygania w niniejszej decyzji o dopuszczalności przetwarzania przez Dyrektora danych osobowych Skarżącego w tym celu. Przedmiotem niniejszego postępowania - określonym w złożonej przez Skarżącego skardze - jest bowiem wyłącznie przetwarzanie danych osobowych skarżącego w Centralnej Bazie. Uprawnienie do określenia przedmiotu postępowania prowadzonego przez Prezesa UODO na wniosek osoby, której dane dotyczą, posiada zaś tylko strona inicjująca to postępowanie. Skargę na punkt 2 decyzji Prezesa UODO z dnia [...] listopada 2023 r. wniósł R. I.. W zaskarżonej części decyzji zarzucono naruszenie przepisów postępowania które miało istotny wpływ na wynik sprawy, tj.: naruszenie art. 7 w zw. z art. 77 § 1 w zw. z art. 107 § 3 k.p.a. poprzez niepodjęcie wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego, w tym w szczególności brak uwzględnienia wniosków skarżącego dotyczących zbadania zgodności z prawem przetwarzania przez Dyrektora Generalnego Służby Więziennej danych skarżącego w celach archiwizacyjnych, a nadto wytycznych Wojewódzkiego Sądu Administracyjnego w Warszawie w tym zakresie oraz art. 8 k.p.a. poprzez naruszanie zasady bezstronności i równego traktowania stron postępowania. Wobec podniesionych zarzutów wniesiono o uchylenie punktu 2 zaskarżonej decyzji oraz zasądzenie zwrotu kosztów postępowania według norm przepisanych. W odpowiedzi na skargę Prezes UODO, podtrzymując dotychczasową argumentację, wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Na wstępie rozważań wskazać należy, że zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. z 2022 r., poz. 2492) sądy administracyjne sprawują wymiar sprawiedliwości poprzez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W zakresie swej kognicji sąd bada, czy przy wydaniu zaskarżonego aktu nie doszło do naruszenia prawa materialnego i przepisów postępowania. W wyniku takiej kontroli decyzja może zostać uchylona w razie stwierdzenia, że naruszono przepisy prawa materialnego w stopniu mającym wpływ na wynik sprawy lub doszło do takiego naruszenia przepisów prawa procesowego, które mogłoby w istotny sposób wpłynąć na wynik sprawy, ewentualnie w razie wystąpienia okoliczności mogących być podstawą wznowienia postępowania (art. 145 § 1 pkt 1 lit. a, b i c p.p.s.a.). Dokonując kontroli Sąd nie jest związany zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną, powinien jednak rozstrzygać w granicach danej sprawy, co wynika wprost z treści art. 134 § 1 p.p.s.a. Wykładnia powołanego wyżej przepisu wskazuje, że Sąd ma prawo ale i obowiązek dokonania oceny zgodności z prawem zaskarżonego aktu administracyjnego, nawet wówczas, gdy dany zarzut nie został w skardze podniesiony. Na podstawie art. 135 p.p.s.a. Sąd stosuje także środki w celu usunięcia naruszenia prawa w stosunku do aktów lub czynności wydanych lub podjętych we wszystkich postępowaniach prowadzonych w granicach sprawy, której dotyczy skarga, jeżeli jest to niezbędne dla końcowego jej załatwienia. Badając rozpoznawaną sprawę w tak zakreślonej kognicji, Sąd stwierdził naruszenie prawa, które skutkowało koniecznością wyeliminowania z obrotu decyzji w zaskarżonej części. Dokonując sądowej kontroli zaskarżonego rozstrzygnięcia należy zaznaczyć, że Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 20 maja 2021 r., sygn. akt II SA/Wa 1821/20 uchylił decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych R. I.. W związku z powyższym orzekanie w niniejszej sprawie odbywa się w warunkach związania oceną prawną, o których mowa w art. 153 p.p.s.a. Należy podkreślić, że zgodnie z treścią art. 153 p.p.s.a. ocena prawna i wskazania co do dalszego postępowania wyrażone w orzeczeniu sądu wiążą w sprawie organy, których działanie, bezczynność lub przewlekłe prowadzenie postępowania było przedmiotem zaskarżenia, a także sądy, chyba że przepisy prawa uległy zmianie. Z powyższego wynika, że ocena prawna wyrażona w prawomocnym wyroku sądu administracyjnego I instancji, uchylającym zaskarżony akt (decyzję), wiąże nie tylko organ, lecz także sąd, albowiem ustanowiona w art. 153 p.p.s.a. zasada związania tą oceną powoduje, że skutki wyroku sądu administracyjnego dotyczą każdego nowego postępowania prowadzonego w zakresie danej sprawy i obejmują zarówno postępowanie sądowoadministracyjne, w którym orzeczenie zostało wydane, postępowanie administracyjne, w którym zapadło zaskarżone rozstrzygnięcie administracyjne, jak i wszystkie przyszłe postępowania administracyjne i sądowoadministracyjne dotyczące danej sprawy administracyjnej. Związanie sądu administracyjnego oceną prawną w warunkach określonych przepisem art. 153 p.p.s.a. oznacza więc, że nie może on ponownie orzekając w tej samej sprawie, formułować nowych ocen prawnych, które są sprzeczne z wyrażonym wcześniej poglądem prawnym, lecz jest zobowiązany pogląd ten uwzględnić w pełnym zakresie. W tym – co oczywiste – w zakresie odnoszącym się do zgodności z nim ponownie zaskarżonego działania organu administracji, albowiem w równym i takim samym stopniu – jeżeli nie przede wszystkim – adresatem ocen prawnych oraz wskazań co do dalszego postępowania zawartych w uzasadnieniu pierwotnie wydanego prawomocnego wyroku, jest również organ. Co przy tym nie mniej istotne, związanie oceną prawną traci moc wiążącą w przypadku zmiany stanu prawnego powodującej zdezaktualizowanie się (pierwotnie) wyrażonego poglądu prawnego – co może nastąpić również w związku z tzw. derogacją trybunalską – a ponadto, podjęcia w innej sprawie, w trybie art. 269 p.p.s.a., uchwały zawierającej odmienną wykładnię prawa niż wynikająca z wydanego wyroku (por. uchwała NSA z dnia 30 czerwca 2008 r., sygn. akt I FPS 1/08), jak również w przypadku zmiany istotnych okoliczności faktycznych zaistniałych po wydaniu orzeczenia sądowego. Ocena prawna, o której mowa w art. 153 p.p.s.a., może dotyczyć wykładni przepisów prawa materialnego i procesowego, jak i – co mniej istotne – stanu faktycznego sprawy. W tej mierze odwołać się należy do ocen prawnych oraz stanowiących ich konsekwencję wskazań co do dalszego postępowania, które zostały zawarte w uzasadnieniu wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 20 maja 2021 r., sygn. akt II SA/Wa 1821/20, którym Sąd ten uchylił pierwotnie wydane w sprawie rozstrzygnięcie Prezesa UODO z dnia [...] lipca 2020 r. Wobec istoty spornej w sprawie kwestii przypomnienia wymaga więc, że z przywołanego uzasadnienia wyroku wynika, że "Ponownie rozpatrując sprawę Prezes UODO winien zwrócić uwagę na te wyjaśnienia Dyrektora Generalnego SW i ocenić - po uzyskaniu od Dyrektora Generalnego SW dodatkowych wyjaśnień - dopuszczalność dalszego przetwarzania danych osobowych skarżącego w tak określonym przez ten podmiot celu, biorąc pod uwagę treść tak art. 25b ust. 2 pkt 1 i 2 ustawy o Służbie Więziennej, jak i treść art. 25b ust. 2 pkt 3 ustawy o Służbie Więziennej. Organ winien w szczególności rozważyć, czy możliwe jest utożsamianie dalszego przetwarzania danych osobowych (w celu archiwizacyjnym, jak to określił Dyrektor Generalny SW), z postanowieniem przez ustawodawcę, że informacje w Centralnej Bazie stanowią materiały archiwalne. Sposób postępowania przez organy państwowe z materiałami archiwalnymi i obowiązki stąd wynikające określa m.in. ustawa z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2020 r., poz. 164). Pamiętać przy tym należy, że organ na tym etapie postępowania stwierdził już, że dane osobowe skarżącego przetwarzane w Centralnej Bazie są zbędne dla realizacji ustawowych zadań wykonywanych przez Służbę Więzienną." Uwzględniając powyższe należy stwierdzić, że ponownie orzekając w sprawie organ administracji publicznej – nie uwzględnił znaczenia konsekwencji wynikających z ocen prawnych oraz wskazań co do dalszego postępowania zawartych w uzasadnieniu przywołanego wyroku. O naruszeniu przepisu art. 153 p.p.s.a. trzeba bowiem wnioskować na podstawie analizy treści uzasadnienia zaskarżonej decyzji w zestawieniu z treścią przywołanych ocen prawnych oraz wskazać co do dalszego postępowania. Podkreślając na wstępie, że w rozpatrywanej sprawie nie zaktualizowały się przywołane powyżej przesłanki uzasadniające odstąpienie od oceny prawnej wyrażonej w pierwotnie wydanym w sprawie wyroku z dnia 20 maja 2021 r. sygn. akt II SA/Wa 1821/20, w relacji do powodów uchylenia pierwotnie wydanej w sprawie decyzji Prezesa UODO, istota rzeczy – wobec pierwotnie stwierdzonych deficytów postępowania – wyrażała się również w potrzebie odniesienia się do kwestii przetwarzania przez Dyrektora Generalnego Służby Więziennej danych osobowych skarżącego w celu archiwizacyjnym. Konfrontując powyższe ze stanowiskiem prezentowanym w uzasadnieniu aktualnie kontrolowanej decyzji należy przede wszystkim stwierdzić, że nie może być ono uznane za prawidłowe przede wszystkim z tego powodu, że nie koresponduje ono z przywołaną ocenę prawną. Jest to, aż nadto oczywiste, w sytuacji gdy Prezes UODO stwierdza, że "Odnośnie do kwestii przetwarzania przez Dyrektora danych osobowych Skarżącego w celu archiwizacyjnym wskazać należy, że dane osobowe Skarżącego są przetwarzane przez Dyrektora w tym celu poza Centralną Bazą (wydruki dokonane z aplikacji Centralnej Bazy bezpośrednio przed przekształceniem danych Skarżącego są przechowywane przez komórkę organizacyjną Centralnego Zarządu Służby Więziennej odpowiedzialną za prowadzenie archiwum zakładowego). Wobec tego brak jest podstaw do rozstrzygania w niniejszej decyzji o dopuszczalności przetwarzania przez Dyrektora danych osobowych Skarżącego w tym celu. Przedmiotem mniejszego postępowania - określonym w złożonej przez Skarżącego skardze - jest bowiem wyłącznie przetwarzanie danych osobowych Skarżącego w Centralnej Bazie. Uprawnienie do określenia przedmiotu postępowania prowadzonego przez Prezesa UODO na wniosek osoby, której dane dotyczą, posiada zaś tylko strona inicjująca to postępowanie. " Powyższa konkluzja Prezesa UODO bez wątpienia sprzeciwia się normie wyrażonej w art. 153 p.p.s.a. Tym samym nie sposób uznać, że Prezes UODO zrealizował adresowane do niego wskazania co do dalszego postępowania. Mianowicie, że w ponownie prowadzonym postępowaniu zostały usunięte pierwotnie stwierdzone deficyty tego postępowania. Sąd dostrzega, że Prezes UODO poczynił w tym zakresie pewne ustalenia (pismo z dnia [...] kwietnia 2022 r (k-63 akt administracyjnych) i z dnia [...] kwietnia 2022 r. (k-68 akt administracyjnych)) jednak nie miały one przełożenia na treść decyzji. Odnosząc się do stwierdzenia Prezesa UODO, że "Przedmiotem mniejszego postępowania - określonym w złożonej przez Skarżącego skardze - jest bowiem wyłącznie przetwarzanie danych osobowych Skarżącego w Centralnej Bazie." należy wskazać, że na tym etapie postępowania, kiedy tak organ jak i sąd - z mocy art. 153 p.p.s.a. - związany jest prawomocnym rozstrzygnięciem, jest ono niesłuszne. Mogło by ono mieć istotny wpływ na wynik sprawy, o ile byłoby skutecznie podniesione w zarzucie skargi kasacyjnej od wyroku WSA w Warszawie z dnia 20 maja 2021 r. W świetle przedstawionych argumentów zbędnym jest odnoszenie się do pozostałych zarzutów skargi, albowiem wydanie zaskarżonej decyzji z naruszeniem przywołanych przepisów prawa stanowi dostateczną podstawę jej uchylenia, jako niezgodnej z prawem. Z powyższych względów, Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że zaskarżona decyzja w punkcie 2) nie odpowiada prawu i podlega uchyleniu – na podstawie art. 145 § 1 pkt 1 lit. c p.p.s.a. O kosztach postępowania orzeczono na podstawie art. 200 w zw. z art. 205 § 1 i art. 209 p.p.s.a. Sprawę rozpoznano na posiedzeniu niejawnym w trybie uproszczonym, zgodnie z art. 119 pkt 2 i art. 120 p.p.s.a.