II SA/Wa 2949/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska (spr.), Sędzia WSA Danuta Kania, Asesor WSA Michał Sułkowski, , Protokolant referent stażysta Katarzyna Jaszczołt, po rozpoznaniu na rozprawie w dniu 24 maja 2022 r. sprawy ze skargi Banku [...] S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego Banku [...] S.A. z siedzibą w W. kwotę 217 zł (słownie: dwieście siedemnaście złotych), tytułem zwrotu kosztów postępowania. Prezes Urzędu Ochrony Danych Osobowych wydał w dniu [...] czerwca 2021 r. decyzję nr [...], którą udzielił upomnienia Bankowi [...] S.A. z siedzibą w W. w związku z naruszeniem art. 5 ust. 1 lit. f oraz art. 24 ust. 1 i art. 32 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 74 z 4 marca 2021 r.) polegającym na niewłaściwym zabezpieczeniem przesyłek zawierających dane osobowe A. M.  W uzasadnieniu przedmiotowej decyzji organ nadmienił, iż do Urzędu Ochrony Danych Osobowych wpłynęła skarga A. M. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank [...] S.A. Skarżący wskazał, że do naruszenia ochrony jego danych osobowych doszło dwukrotnie. Pierwsze naruszenie nastąpiło dnia [...] grudnia 2018 r., po około tygodniu od wskazanej daty Skarżący otrzymał telefon z Banku, że doszło do kolejnego wycieku danych zawartych w dokumentach, gdyż do Centrali Banku ponownie zostały dostarczone dokumenty w uszkodzonej, otwartej kopercie. Skarżący podniósł, że niezrozumiałym i niedopuszczalnym jest, że po pierwszym incydencie Bank nie zapobiegł wystąpieniu kolejnemu. Skarżący wskazał na treść art. 34 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679. Informacja Banku o naruszeniu była spóźniona i nie zawierała danych kontaktowych inspektora ochrony danych, nie wskazywała możliwych konsekwencji naruszenia ochrony danych osobowych, ani nie opisywała środków zastosowanych przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych. Skarżący wyjaśnił, że koperta z jego danymi osobowymi dotarła do Centrali Banku otwarta, a Bank winą za sytuację obarcza podmiot świadczący usługi kurierskie – jako odpowiedzialnego za naruszenie. Skarżący podkreślił, że to Bank jako administrator danych jest odpowiedzialny za winę w wyborze podmiotu świadczącego usługi kurierskie. Bank umożliwił skarżącemu korzystanie z usługi BIK Alert celem obserwowania konta bankowego. Jednak - zdaniem strony - zaoferowany środek ochrony jest nieefektywny i spóźniony. Skarżący podkreślił, że żyje w strachu, że padnie ofiarą oszustw, zdając sobie sprawę, że utracił kontrolę nad jego danymi i nie ma wpływu na to, kto, kiedy i jak może je wykorzystać. Po opisanych wydarzeniach otrzymuje zwiększoną ilość kontaktów telefonicznych i tekstowych sms od nieznanych mu firm marketingowych. W toku przeprowadzonego postępowania wyjaśniającego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny: Pismem z [...] sierpnia 2019 r. Bank wyjaśnił, że zgodnie z przepisami rozporządzenia 2016/679 Bank każdorazowo oceniania ryzyko naruszenia praw i wolności osób, których dane dotyczą dla poszczególnych zdarzeń naruszenia danych osobowych. Bank wyjaśnił następnie, że zdarzenia, w ramach których dokumenty skarżącego z oddziału Banku do Centrali Banku zostały dostarczone w uszkodzonych kopertach, Bank ocenił, zgodnie z metodyką opartą na europejskiej metodologii ENISA, jako zdarzenia mogące powodować średnie ryzyko naruszenia praw i wolności skarżącego, dlatego też Bank nie zgłosił ww. incydentów do Prezesa Urzędu Ochrony Danych Osobowych. Pomimo jednak, że zgodnie z przyjętą metodyką przez Bank ww. naruszenia ochrony danych osobowych zostały ocenione jako zdarzenia mogące powodować średnie ryzyko naruszenie praw i wolności, Bank postanowił skontaktować się ze skarżącym w celu zawiadomienia go o zaistniałych okolicznościach oraz poinformować w ramach rekompensaty o ofercie Alert BIK. Bank wskazał, że w przypadku zdarzenia, o którym powziął informację [...] grudnia 2018 r. – z uwagi na nieskuteczny kontakt telefoniczny ze skarżącym, skierował do niego pismo informujące o naruszeniu danych osobowych wraz z informacją o możliwości skorzystania z oferty Alert BIK pocztą tradycyjną (wzór informacji wysyłanej Klientom Banku w przypadkach, w których zdarzenie nie może powodować wysokiego naruszenia praw lub wolności Bank przesłał w załączeniu). Z kolei w przypadku zdarzenia, o którym Bank powziął informację [...] lutego 2019 r. – telefonicznie poinformował skarżącego o naruszeniu danych osobowych oraz poinformował o możliwości skorzystania z oferty Alert BIK. Bank oświadczył, że w związku z ww. naruszeniami podjął następujące działania mające na celu niedopuszczenie do zaistnienia w przyszłości naruszeń o podobnym charakterze: a) Departament Wspomagania Sieci skierował do pracowników oddziałów komunikat przypominający o konieczności oraz sposobach prawidłowego zaklejania kopert, b) Bank skierował prośby do operatora pocztowego ([...] sp. z o.o.) odnośnie sprawdzania paczek przez kurierów przy ich odbiorze, c) po naruszeniu, o którym Bank powziął informację [...] grudnia 2018 r., Bank doprecyzował sposób prowadzenia ewidencji dokumentów przesyłanych pomiędzy oddziałami a centralą Banku poprzez dodatkowe zbieranie informacji, jakie raporty PDM (raporty wygenerowane w aplikacji wykorzystywanej przez Bank m.in. do rejestracji dokumentów przesyłanych z placówki do centrali) znajdowały się w danej przesyłce kurierskiej (skany listów przewozowych wraz z raportami PDM są przechowywane na zasobie sieciowym); dzięki temu możliwa jest szybsza weryfikacja zawartości paczek w przypadku problemów umożliwiająca niezwłoczne podjęcie działań ograniczających ewentualne ryzyko dla podmiotów danych, d) Bank zobowiązał pracowników oddziałów do pakowania dokumentów przygotowanych do wysyłki w dwie koperty. Pismem z [...] listopada 2019 r. Bank wyjaśnił, że przetwarza dane osobowe, które zostały pozyskane bezpośrednio od skarżącego w dniu [...] listopada 2017 r., tj. w dniu zawarcia umowy rachunków bankowych, karty kredytowej oraz dostępu do usług przez kanały bankowości elektronicznej (dalej jako: "umowa"): imię i nazwisko, PESEL, imię ojca, imię matki, nazwisko rodowe matki, dane widniejące na dokumencie tożsamości, numer telefonu komórkowego, forma zatrudnienia, data urodzenia, stan cywilny, podstawowe obywatelstwo, status rezydencji, miejsce urodzenia, kraj urodzenia, adres zamieszkania, adres korespondencyjny. Bank wyjaśnił następnie, że dane osobowe skarżącego zostały pozyskane w celu przygotowania umowy, jak również w związku z jej realizacją. Podstawą przetwarzania danych osobowych skarżącego dla realizacji ww. celów był art. 23 ust. 1 pkt 3 ustawy z dnia 29 sierpnia był 1997 r. o ochronie danych osobowych, dalej jako: "uodo", zaś od 25 maja 2018 r. jest nią art. 6 ust. 1 lit. b) rozporządzenia 2016/679. Bank wyjaśnił następnie, że do dnia sporządzenia niniejszej odpowiedzi, skarżący nie złożył oświadczenia woli o rozwiązaniu umowy. Bank wyjaśnił, że aktualnie przetwarza dane osobowe skarżącego, wymienione powyżej, jak również dane dotyczące posiadanych produktów Banku, w tym numer rachunku oraz nazwę i numer karty, numer CIF (numer identyfikacyjny nadawany klientom Banku), dane zawarte w prowadzonej ze skarżącym korespondencji w związku ze złożonymi reklamacjami m.in. na podstawie art. 6 ust. 1 lit b) rozporządzenia 2016/679, tj. w celu wykonania umowy, a także art. 6 ust. 1 lit. f) rozporządzenia 2016/679, tj. w celu rozpatrywania reklamacji oraz przedmiotowej skargi. Bank wskazał, że będzie przetwarzał dane osobowe skarżącego do realizacji poszczególnych celów wskazanych w informacjach dotyczących przetwarzania danych osobowych w Banku [...] S.A. przez okres podany w tych informacjach. Bank wyjaśnił, że w przypadku zdarzenia, o którym powziął informację [...] grudnia 2018 r., przesyłka (foliopak), w której znajdowały się dokumenty, na których widniały dane osobowe skarżącego została uszkodzona w trakcie transportu realizowanego za pośrednictwem spółki [...] sp. z o.o. z siedzibą w W. i zabezpieczona przez ww. Spółkę taśmą w trakcie transportu przesyłki, przed doręczeniem jej do Banku. Co ważne, wszystkie dokumenty dotarły do Centrali Banku. Bank przeanalizował to zdarzenie zgodnie z przyjętą metodologią. W odniesieniu do zdarzenia, o którym Bank powziął informację w dniu [...] lutego 2019 r., wyjaśnił, że przesyłka (foliopak), w której znajdowały się dokumenty, na których widniały dane skarżącego: imię i nazwisko, PESEL, seria, numer i nazwa dokumentu tożsamości, CIF, została prawdopodobnie nieprawidłowo zabezpieczona taśmą przez pracownika Banku. Dokumenty, o których mowa powyżej dotarły do Centrali Banku, niemniej z uwagi na uszkodzenie przesyłki Bank przeanalizował zdarzenie zgodnie z przyjętą metodologią. Bank oświadczył, że w celu przygotowania przesyłki należy zapakować dokumenty do kopert wielokrotnego adresowania, a następnie umieścić ją w foliopaku dostarczonym przez firmę realizującą transport danej przesyłki. Transport dokumentów, na których widniały dane osobowe skarżącego, realizowany był przez [...] sp. z o.o. w W., z którą ma zawartą umowę na świadczenie tego typu usług, w której m.in. znajdują się zapisy dotyczące zachowania poufności oraz zobowiązanie do należytego zabezpieczenia danych przez niepowołanym dostępem. Bank stwierdził, że mało prawdopodobnym jest, aby ww. naruszenia skutkowały naruszeniem praw i wolności osób, których dane dotyczą. Zaistniałe zdarzenia Bank ocenił, zgodnie z metodyką opartą na europejskiej metodologii ENISA, jako zdarzenia mogące powodować średnie ryzyko naruszenia praw i wolności, dlatego też nie zgłosił ww. incydentów do Prezesa Urzędu Ochrony Danych. Kalkulator z analizą ryzyka dotyczący zdarzeń z [...] grudnia 2018 r. oraz z [...] lutego 2019 r. nie uwzględnia faktu, iż transport przesyłek był realizowany przez [...] sp. z o.o., który dodatkowo zabezpieczył taśmą ww. przesyłki. Kolejno Bank wyjaśnił, że pomimo faktu, iż transport dokumentów, na których widniały dane osobowe skarżącego został zrealizowany przez ww. Spółkę, z uwagi na uszkodzenie kopert, które zostały dodatkowo zabezpieczone taśmą przez ww. Spółkę, a także fakt, iż zgodnie z przyjętą metodyką przez Bank ww. naruszenia ochrony danych osobowych zostały ocenione jako zdarzenia mogące powodować średnie ryzyko naruszenia praw i wolności, a zatem Bank nie był zobowiązany do przekazania skarżącemu informacji wskazanych w art. 34 rozporządzenia 2016/679. Bank postanowił zawiadomić skarżącego o zaistniałych okolicznościach oraz, mając na względzie interesy skarżącego, w ramach rekompensaty, zaoferować mu możliwość bezpłatnego skorzystania z oferty Alert BIK. Skarżący mógł korzystać z usługi Alert BIK od momentu aktywacji usługi przez 12 miesięcy. Jeżeli skarżący zdecydowałby się na skorzystanie z ww. usługi, to przez 12 miesięcy od jej uruchomienia otrzymywałby powiadomienia w formie SMS i e-mail o tym, że dana instytucja finansowa odpytała BIK o dane skarżącego, co mogłoby być związane z próbą wyłudzenia przy wykorzystaniu danych. Bank wyjaśnił, iż podjął środki zaradcze: a) w przypadku zdarzenia, o którym Bank powziął informację w dniu [...] grudnia 2018 r. – z uwagi na nieskuteczny kontakt ze skarżącym, skierował do niego pismo informujące o naruszeniu ochrony danych osobowych wraz z informacją o możliwości skorzystania z oferty Alerty BIK pocztą tradycyjną; b) w przypadku zdarzenia, o którym Bank powziął informację w dniu [...] lutego 2019 r. – telefonicznie poinformował skarżącego o naruszeniu ochrony danych osobowych oraz poinformował o możliwości skorzystania z oferty Alerty BIK. W związku z ww. naruszeniami Bank podjął następujące działania mające na celu niedopuszczenie do zaistnienia w przyszłości naruszeń o podobny charakterze: a) Departament Wspomagania Sieci skierował do pracowników oddziałów komunikat przypominający o konieczności oraz sposobach prawidłowego zaklejania kopert, b) po naruszeniu, o którym Bank powziął informację w dniu [...] grudnia 2018 r., Bank doprecyzował sposób prowadzenia ewidencji dokumentów przesyłanych pomiędzy oddziałami a Centralą Banku, poprzez dodatkowe zbieranie informacji jakie raporty PDM (raporty wygenerowane w aplikacji wykorzystywanej przez Bank m.in. do rejestracji dokumentów przesyłanych z placówki do centrali) znajdowały się w danej przesyłce kurierskiej (skany listów przewozowych wraz z raportami PDM są przechowywane na zasobie sieciowym). W ocenie Banku dzięki temu możliwa jest szybsza weryfikacja zawartości paczek w przypadku problemów, umożliwiająca niezwłoczne podjęcie działań ograniczających ewentualne ryzyko dla podmiotów danych. Dodatkowo, Departament Wspomagania Sieci skierował do pracowników oddziałów w dniu [...] sierpnia 2019 r. komunikat wprowadzający obowiązek pakowania dokumentów przygotowanych do wysyłki w dwie koperty. Prezes Urzędu Ochrony Danych Osobowych w uzasadnieniu decyzji z dnia [...] czerwca 2021 r. stwierdził, że w świetle przepisów art. 24 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679, określenie poziomu bezpieczeństwa przetwarzania następuje przez podmioty zobowiązane (administratorów i podmioty przetwarzające) na podstawie, ujętej w ramy prawne rozporządzenia 2016/679, oceny, które środki organizacyjne i techniczne uznać należy za adekwatne i proporcjonalne, analizując to przez pryzmat elementów wskazanych w art. 32 ust. 1 i 2 oraz w motywach 75, 76 i 83 rozporządzenia 2016/679. Celem ww. regulacji jest wdrożenie rozwiązań technicznych i organizacyjnych, odpowiednich i proporcjonalnych, przy uwzględnieniu oceny ryzyka. Naruszenie bezpieczeństwa danych wskutek niewłaściwego zabezpieczenia pociąga za sobą obowiązki określone w przepisach art. 33 i 34 rozporządzenia 2016/679, dotyczące zgłaszania naruszeń organowi nadzorczemu, prowadzenia rejestru naruszeń oraz zawiadamiania osób, których dane dotyczą, o naruszeniu ochrony danych. Obowiązkiem administratora jest zadbanie o to, by korzystać z usług tylko takiego podmiotu przetwarzającego, który zapewnia wystarczające gwarancje – w szczególności jeśli chodzi o wiedzę fachową, wiarygodność i zasoby – wdrożenia środków technicznych i organizacyjnych, które odpowiadają wymogom rozporządzenia 2016/679, w tym wymogom bezpieczeństwa przetwarzania i chronią prawa osób, których dotyczą (art. 28 ust. 1 rozporządzenia 2016/679 i motyw 81). Administrator musi więc szczególnie starannie zweryfikować, czy podmiot, któremu zamierza on powierzyć przetwarzanie danych osobowych, dysponuje koniecznymi w tym celu środkami i daje odpowiednie gwarancje przestrzegania obowiązujących przepisów prawa. Administrator powinien mieć możliwość sprawdzenia, komu powierza dane osobowe oraz w jaki sposób będą one przetwarzane. Prawo dostępu do takich informacji oraz przeprowadzania audytów przysługuje administratorowi również w trakcie realizacji umowy powierzenia. W tym celu w art. 28 ust. 3 lit. h rozporządzenia 2016/679 na podmiot przetwarzający zostały nałożone obowiązki udostępniania administratorowi wszelkich informacji potwierdzających spełnienie wymogów rozporządzenia 2016/679, a także umożliwienia administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczyniania się do nich. Administrator jest bowiem zobowiązany do stałej kontroli, czy podmiot przetwarzający przetwarza dane zgodnie z prawem. Kontrole te mogą być przeprowadzane również doraźnie np. w przypadku wystąpienia naruszenia ochrony powierzonych danych osobowych. Z ustaleń dokonanych przez Prezesa UODO w toku postępowania przeprowadzonego w niniejszej sprawie wynika, że przesyłki z [...] grudnia 2018 r. oraz z [...] lutego 2019 r., w których znajdował się szereg dokumentów zawierających dane osobowe skarżącego, niewłaściwie zabezpieczone przez Bank do transportu z oddziału do Centrali Banku, dotarły do miejsca docelowego uszkodzone. W związku z powyższym w procesie przetwarzania danych osobowych przez Bank niewątpliwie doszło do uchybień polegających na niewłaściwym zabezpieczeniu przesyłek zawierających dane osobowe. Nie została zapewniona odpowiednia ochrona przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową ich utratą danych. Z uwagi na podjęte przez Bank działania naprawcze, tj. uzupełnienie procedury obiegu korespondencji oraz uwzględniając wagę i charakter stwierdzonego naruszenia, a zarazem potrzebę egzekwowania przepisów rozporządzenia 2016/679 (por. motyw 148), Prezes UODO uznał za zasadne skorzystanie w niniejszej sprawie z instrumentu o charakterze naprawczym przewidzianego w art. 58 ust. 2 lit. b rozporządzenia 2016/679 i udzielił Bankowi upomnienia w zakresie stwierdzonego naruszenia przepisu art. 5 ust. 1 lit. f oraz art. 24 ust. 1 i art. 32 ust. 1 i 2 rozporządzenia 2016/679, polegającego na niewłaściwym zabezpieczeniu przesyłek zawierających dane osobowe skarżącego. Bank [...] S.A. z siedzibą w W. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2021 r. nr [...]. Zaskarżonej decyzji zarzucił naruszenie przepisów prawa materialnego: 1) art. 5 ust. 1 lit. f oraz art. 24 ust. 1 i art. 32 ust. 1 i 2 RODO, polegające na ich niewłaściwym zastosowaniu i przyjęciu, że Bank naruszył wskazane przepisy, podczas gdy wykazuje on wypełnianie obowiązków wskazanych w tych przepisach; 2) art. 58 ust. 2 lit. b RODO poprzez jego błędne zastosowanie, w wyniku czego udzielono stronie skarżącej upomnienia, zastosowano wobec Banku środek nieodpowiedni, zbędny i nieproporcjonalny, 3) art. 28 ust. 3 lit. c i 32 ust. 1 RODO poprzez odpowiednio ich niezastosowanie i błędną wykładnię, co doprowadziło do przyjęcia, że Bank jest wyłącznie zobowiązany do wdrożenia odpowiednich środków technicznych i organizacyjnych celem zapewnienia odpowiedniego stopnia bezpieczeństwa odpowiadającego ryzyku przetwarzania, mimo że zobowiązania te powinny zostać skierowane do innego podmiotu – [...] sp. z o. o., tj. podmiotu przetwarzającego w rozumieniu art. 4 pkt 8 RODO, powodując tym samym nieważność decyzji na mocy art. 156 § 1 pkt 4 ustawy – Kodeksu postępowania administracyjnego. Bank [...] zarzucił również naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, to jest: 1) art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. i art. 80 k.p.a. polegające na niewyczerpującym zebraniu i rozpatrzeniu materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy oraz na dowolnej ocenie materiału dowodowego przejawiającej się w uznaniu, że niewłaściwie zabezpieczył przesyłki zawierające dane osobowe, co doprowadziło do uznania, że Bank dopuścił się naruszenia przepisów art. 5 ust. 1 lit. f oraz art. 24 ust. 1 i art. 32 ust. 1 i 2 RODO i w konsekwencji udzielenia upomnienia w oparciu o art. 58 ust. 2 lit. b RODO; 2) art. 11 k.p.a. w zw. z art. 107 § 3 k.p.a. poprzez nieprzedstawienie w uzasadnieniu decyzji jasnych argumentów, które przemawiałby za uznaniem, że Bank naruszył art. 5 ust. 1 lit. f oraz art. 24 ust. 1 i art. 32 ust. 1 i 2 RODO. Wobec powyższych zarzutów Bank [...] wniósł o stwierdzenie nieważności decyzji w całości, ewentualnie o uchylenie zaskarżonej decyzji w całości oraz zasądzenie kosztów postępowania. W odpowiedzi na skargę organ wniósł o jej oddalenie oraz podtrzymał twierdzenia zawarte w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: W świetle art. 107 § 1 pkt 6 k.p.a. obowiązkowy element decyzji administracyjnej stanowi jej uzasadnienie faktyczne i prawne. Stosownie zaś do treści art. 107 3 k.p.a., uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne – wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa. Rolą uzasadnienia wynikającą z art. 107 3 k.p.a. jest objaśnienie toku myślenia, który doprowadził organ administracji do zastosowania lub niezastosowania przepisu prawa w konkretnej sprawie (zob. J. Borkowski [w:] "Kodeks postępowania administracyjnego. Komentarz.", B. Adamiak, J. Borkowski, Warszawa 2008 r., str. 530). W sferze faktów (uzasadnienia faktycznego) chodzi tu o wyjaśnienie okoliczności wskazujących na potrzebę lub konieczność wydania decyzji w danej sprawie i wobec określonych podmiotów oraz wpływu tych okoliczności na treść rozstrzygnięcia. W sferze prawa (uzasadnienia prawnego) chodzi zaś o wskazanie obowiązującej normy i jej znaczenia ustalonego w drodze wykładni (zob. J. Zimmermann. Motywy decyzji administracyjnej i jej uzasadnienie, Warszawa 1981 r., str. 118-122). Jak przyjmuje się w orzecznictwie Naczelnego Sądu Administracyjnego (zob. np. wyroki z 6 października 2020 r., sygn. akt I OSK 3235/18, z 24 kwietnia 2018 r., sygn. akt I OSK 1351/16 – niepublikowane; dostępne: https://orzeczenia.nsa.gov.pl), do naruszenia art. 107 § 3 k.p.a. dochodzi wtedy, gdy uzasadnienie decyzji nie zawiera wszystkich elementów wymienionych w tym przepisie albo gdy mimo formalnej poprawności jego treść nie pozwala na skontrolowanie poprawności rozstrzygnięcia sprawy, a tym samym czyni w stopniu istotnym wątpliwym poprawność przeprowadzenia postępowania wyjaśniającego w sprawie. W analizowanej sprawie Prezes UODO udzielił upomnienia Bankowi [...] S.A. z siedzibą w W., w związku z naruszeniem art. 5 ust. 1 lit. 1, art. 24 ust. 1 i art. 32 ust. 1 i 2 RODO, polegającym na niewłaściwym zabezpieczeniu przesyłek zawierających dane osobowe A. M. Uzasadniając swe rozstrzygnięcie, organ nie wyjaśnił jednak, na czym polegało owe niewłaściwe zabezpieczenie przez Bank przesyłek, wskazując jedynie, że dotarły one do miejsca docelowego uszkodzone (str. 9 decyzji). Prezes UODO dodał nadto, iż "(...) w procesie przetwarzania danych osobowych skarżącego przez Bank niewątpliwie doszło do uchybień polegających na niewłaściwym zabezpieczeniu przesyłek zawierających dane osobowe skarżącego. W wyniku powyższego działania Banku danym osobowym skarżącego, które zawierały przesyłki, nie została zapewniona odpowiednia ochrona przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową ich utratę" (str. 10 decyzji). Z powyżej przedstawionego lakonicznego wywodu organu nie wynika, na czym polegało naruszenie przez Bank wskazanych przepisów RODO. W badanej przez organ sprawie niewątpliwie doszło do uszkodzenia dwóch przesyłek Banku, w dniach [...] grudnia 2018 r. i [...] lutego 2019 r. i dostarczenia dokumentów skarżącego z oddziału Banku do Centrali Banku w uszkodzonych kopertach. Organ nie wyjaśnił jednak, na czym polegało, stanowiące podstawę do udzielenia Bankowi upomnienia, niewłaściwe zabezpieczenie przez Bank tychże przesyłek. W odpowiedzi na skargę Prezes UODO podjął próbę wyjaśnienia motywów swego rozstrzygnięcia, wskazując, iż "(...) Bank w sposób niewystarczający dokonał oceny skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania danych osobowych znajdujących się w dokumentach dostarczanych klientom Banku za pośrednictwem podmiotu świadczącego usługi kurierskie, co stanowi naruszenie art. 24 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679" (str. 11 odpowiedzi na skargę). W dalszej części tego pisma procesowego organ wskazał, że "(...) Bank, jako administrator danych, pomimo zawartej umowy z podmiotem świadczącym usługi kurierskie nie sprawował w pełni należytego nadzoru w tym obszarze, co w konsekwencji doprowadziło do dwukrotnego naruszenia zabezpieczenia przesyłek zawierających dane osobowe Skarżącego" (str. 12 odpowiedzi na skargę). Przytoczone uwagi organu wydają się zatem wskazywać na inny, aniżeli w zaskarżonej decyzji, sposób naruszenia przez Bank wskazanych przepisów RODO. W odpowiedzi na skargę jest bowiem mowa o braku sprawowania przez Bank należytego nadzoru nad sposobem wykonywania usług kurierskich przez podmiot wykonujący te usługi. Nie wiadomo zatem i nie wynika to z treści zaskrażonej decyzji, czy w sprawie doszło do naruszenia przepisów RODO na skutek braku należytego nadzoru ze strony Banku, czy też wskutek innych działań Banku polegających na niewłaściwym zabezpieczeniu przez Bank przedmiotowych przesyłek. Wskazane wady argumentacji organu nie pozwalają na skontrolowanie poprawności rozstrzygnięcia w sprawie, nie wiadomo bowiem, jakie konkretne okoliczności faktyczne przemawiają za koniecznością zastosowania środka naprawczego w postaci upomnienia. Przy ponownym rozpatrzeniu sprawy organ winien sformułować treść uzasadnienia swego rozstrzygnięcia zgodnie z wymogami art. 107 § 3 k.pa. Odnosząc się do zarzutu zawartego w piśmie procesowym z dnia 16 maja 2022 r. wskazać należy, iż właściwość Prezesa UODO do rozpatrzenia skargi A. M. nie budzi żadnych wątpliwości. Prezes UODO jest bowiem organem w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i organem nadzorczym w rozumieniu rozporządzenia 2016/679. Sąd nie znalazł podstaw do uwzględnienia tego zarzutu. Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. c P.p.s.a. orzekł, jak w sentencji. O kosztach postępowania Sąd orzekł na podstawie art. 200 i art. 205 § 2 P.p.s.a.