II SA/Wa 324/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania, Sędzia WSA Ewa Marcinkowska (spr.), Sędzia WSA Andrzej Wieczorek, , Marcin Kwiatkowski, Protokolant specjalista, po rozpoznaniu na rozprawie w dniu 20 listopada 2019 r. sprawy ze skargi K. H. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2018 r. nr: [...] w przedmiocie odmowy uwzględnienia skargi na przetwarzanie danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] listopada 2018 r. nr [...], działając na podstawie art. 138 § 1 pkt 1 K.p.a., art. 22 oraz art. 23 ust. 1 pkt 2 i pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.) w związku z art. 160 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm.), po ponownym rozpatrzeniu sprawy, utrzymał w mocy decyzję Generalnego Inspektora Ochrony Danych Osobowych z [...] maja 2016 r. w sprawie skargi na przetwarzanie danych osobowych K. H. przez Sąd Okręgowy w W. Do wydania powyższych decyzji doszło w następującym stanie faktycznym i prawnym: Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga K. H. na przetwarzanie jej danych osobowych zawartych w dowodzie osobistym przez Sąd Okręgowy w W. W treści skargi skarżąca podniosła, że aby móc wejść do gmachu Sądu Okręgowego w W., policja sądowa – na mocy zarządzenia Nr [...] Prezesa tamtejszego sądu – pobiera dowody osobiste od osób wchodzących do budynku, a następnie umieszcza je w urządzeniu, które odczytuje ich dane tj. imię i nazwisko, datę urodzenia, numer dowodu osobistego oraz zdjęcie osoby wchodzącej. Jednocześnie skarżąca wskazała, że w jej przekonaniu postanowienia ww. zarządzenia Prezesa Sądu Okręgowego w W. nie znajdują oparcia w przepisach obowiązującego prawa. Wniosła o zweryfikowanie przez Generalnego Inspektora Ochrony Danych Osobowych prawidłowości opisanego postępowania przez Prezesa Sądu Okręgowego w W. wobec osób wchodzących do budynku sądu. Nadto podniosła, że zasadnym byłoby sprawdzenie, czy Prezes tego sądu prowadzi odpowiedni zbiór danych i czy poinformował on Generalnego Inspektora ochrony Danych Osobowych o gromadzeniu i przetwarzaniu danych osobowych oraz wizerunku osób wchodzących do obiektu. W uzupełnieniu skargi doprecyzowała, że skarga dotyczy procesu przetwarzania jej danych osobowych zamieszczonych w dowodzie tożsamości przez Sąd Okręgowy w W., żądając przy tym ich usunięcia wraz z wizerunkiem, jak również wniosła o zobowiązanie Prezesa Sądu Okręgowego do zaniechania skanowania dowodów osobistych oraz fotografowania osób wchodzących do sądu, jak również podjęcia wobec Prezesa stosownych czynności. W toku przeprowadzonego postępowania administracyjnego Prezes Sądu Okręgowego w W. w złożonych wyjaśnieniach podał, że w Sądzie Okręgowym w W. ochroną budynku użyteczności publicznej zajmuje się policja sądowa. Podstawą prawną jej funkcjonowania jest art. 4 ust. 2 ustawy z dnia 6 kwietnia 1990 r. o Policji (Dz. U. z 2015 r., poz. 355 ze zm.) oraz rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 16 sierpnia 2007 r. w sprawie szczegółowego zakresu zadań i zasad organizacji policji sądowej (Dz. U. Nr 155, poz. 1093). Informacja o legitymowaniu osób wchodzących do sądu i podstawie prawnej takiego działania umieszczona jest przy wejściu do budynku Sądu. Wideomonitoring prowadzony na terenie Sądu stanowi element systemu zabezpieczenia budynków i pomieszczeń oraz kontroli ruchu osobowego przy punkcie obsługi interesanta, w ciągach komunikacyjnych, serwerowni, czy też sekretariatach wydziałów i oddziałów, przy gabinetach sędziowskich. Wyjaśniono także, że sąd nie przetwarza trwale wizerunku osób, a dane z monitoringu po upływie trzech tygodni są "nadpisywane". W sądzie nie dokonuje się czynności skanowania dowodów osobistych, a policja sądowa, zgodnie z posiadanymi uprawnieniami i w celu realizacji zadań do jakich ją powołano dokonuje jedynie czynności legitymowania oraz badania autentyczności dokumentów, tj. dowodów osobistych, a działania te podejmowane są ze względu na konieczność zachowania bezpieczeństwa publicznego. W sądzie prowadzona jest elektroniczna księga wejść, a dane o osobach przebywających w obiekcie usuwane są z systemu elektronicznego po 7 dniach. W chwili obecnej dane skarżącej, znajdujące się w jej dowodzie osobistym, nie są przetwarzane w systemie elektronicznym księgi wejść w związku z przebywaniem skarżącej w budynku sądu. Dane te natomiast są przetwarzane w zakresie wynikającym z charakteru uczestniczenia skarżącej w toczących się postępowaniach sądowych. W wyniku przeprowadzonego postępowania wyjaśniającego, Generalny Inspektor Ochrony danych Osobowych decyzją z dnia [...] maja 2016 r. wydaną na podstawie art. 12 pkt 2, art. 22 oraz art. 23 ust. 1 pkt 2 i pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych odmówił uwzględnienia wniosku K. H. W uzasadnieniu decyzji organ stwierdził, iż przetwarzanie danych osobowych skarżącej w elektronicznej księdze wejść Sądu jest zgodne z ustawą o ochronie danych osobowych, zarówno ze względu na przesłankę z art. 23 ust. 1 pkt 2, jak i w oparciu o usprawiedliwiony cel administratora danych z art. 23 ust. 1 pkt 5 tej ustawy, jakim jest dokonywanie czynności administracyjno-porządkowych służących zapewnieniu bezpieczeństwa w budynku Sądu. W złożonym wniosku o ponowne rozpatrzenie sprawy K. H. zarzuciła, że w zaskarżonej decyzji brak informacji o tym, czy Prezes Sądu Okręgowego w W. zarejestrowała zbiory: 1. dane z monitoringu zarejestrowane w komputerach i przechowywane przez okres trzech tygodni; 2. elektroniczna księga wejść – dane o osobach przebywających w obiekcie przechowywane w systemach elektronicznych przez okres 7 dni. Ponadto brak informacji o tym, że organ sprawdził sposób zabezpieczenia danych przetwarzanych przez Sąd Okręgowy w W. oraz zatrudnienie administratorów zgodnie z obowiązującymi przepisami a także to, czy faktycznie są usuwane dane oraz w jaki sposób i w jakiej formie oraz kto dokonuje tych czynności. Podniosła też, że powołane w decyzji rozporządzenie MSWiA z dnia 16 sierpnia 2007 r. nie odnosi się i nie uprawnia Prezesa Sądu do wydawania zarządzenia, a Policji do legitymowania z dokumentów tożsamości osób wchodzących do Sądu, a tym bardziej do używania czytników, które równocześnie pełnią funkcję skanera. Z kolei rozporządzenie Rady Ministrów z 29 września 2015 r. obwiązuje dopiero od dnia 8 października 2015 r. W związku z powyższym nie ma znaczenia dla zdarzeń powstałych przed tym dniem. Ponadto, zgodnie z ustawą o Policji, legitymowanie i przetwarzanie w systemach elektronicznych sądu nie mieści się w przepisach żadnej ustawy, a Prezes Sądu nie może wydać zarządzenia i nakazać Policji sądowej sczytywnia danych personalnych z dokumentów tożsamości. Również wkładanie dowodu osobistego do czytnika i zapisywanie w komputerze sądu jest niedopuszczalne w świetle art. 54 § 2 w zw. z § 1 ustawy Prawo o ustroju sądów powszechnych. W związku z powyższym wniosła o uwzględnienie wniosku i nakazanie Prezes Sądu Okręgowego w W. zaniechania naruszeń oraz ukaranie za niezgodne z prawem postępowanie. Prezes Urzędu Ochrony Danych Osobowych, w wyniku ponownego rozpatrzenia sprawy, decyzją z dnia [...] listopada 2018 r., działając na podstawie na podstawie art. 138 § 1 pkt 1 K.p.a., art. 22 oraz art. 23 ust. 1 pkt 2 i pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych w związku z art. 160 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm.), utrzymał w mocy decyzję Generalnego Inspektora Ochrony Danych Osobowych z [...] maja 2016 r. W uzasadnieniu decyzji organ na wstępie wskazał, iż z dniem wejścia w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych tj. 25 maja 2018 r. Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.) zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego. Wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. pozostają skuteczne. Po ponownej analizie zebranego w sprawie materiału dowodowego Prezes Urzędu Ochrony Danych Osobowych podtrzymał stanowisko wyrażone w zaskarżonym rozstrzygnięciu. Odnosząc się do wniosku o ponowne rozpatrzenie sprawy wskazał, że skarżąca nie przedstawiła żadnych okoliczności, które mogłyby stanowić podstawę do jego zmiany, zaś argumenty podniesione we wniosku sprowadzają się jedynie do polemiki z prawidłowymi ustaleniami poczynionymi w toku postępowania administracyjnego przeprowadzonego w niniejszej sprawie. Organ podkreślił, że w stanie faktycznym niniejszej sprawy przepisami prawa, które regulują przetwarzanie danych osobowych jest ustawa o ochronie danych osobowych z dnia 29 sierpnia 1997 r., która stwarza podstawy prawne stosowania ochrony państwowej w sytuacjach nielegalnego przetwarzania danych osobowych obywateli przez zarówno podmioty prawa publicznego, jak i podmioty prawa prywatnego. W celu jej realizacji organ ochrony danych osobowych został wyposażony w kompetencje władcze, umożliwiające sankcjonowanie stwierdzanych nieprawidłowości w procesie przetwarzania danych osobowych. Oznacza to, iż organ ochrony danych osobowych, oceniając stan sprawy i dokonując subsumpcji, stwierdza, czy kwestionowane przetwarzanie danych osobowych znajduje oparcie choćby w jednej z przesłanek legalizujących przetwarzanie danych osobowych, wskazanej w art. 23 ust. 1 ww. ustawy o ochronie danych osobowych i w zależności od występujących w sprawie ustaleń - albo wydaje nakaz lub zakaz, albo odmawia uwzględnienia wniosku, ewentualnie umarza postępowanie. Wydanie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych następuje wówczas, gdy organ ochrony danych osobowych stwierdza naruszenie norm prawnych w zakresie przetwarzania danych osobowych. Zgodnie z treścią art. 1 cytowanej ustawy, każdy ma prawo do ochrony dotyczących go danych osobowych, a przetwarzanie tych danych, w znaczeniu, o którym mowa w art. 7 pkt 2 tej ustawy, dopuszczalne jest tylko ze względu na określone dobra, tj. dobro publiczne, dobro osoby, której dane dotyczą lub dobro osoby trzeciej i tylko w zakresie oraz trybie określonym ustawą. Przenosząc powyższe na grunt niniejszej sprawy organ wskazał, iż ustalił w toku postępowania wyjaśniającego, że legitymowanie osób wchodzących do budynku Sądu Okręgowego w W. jest dokonywane przez wyodrębnioną w strukturze organizacyjnej Policji jednostkę tzw. policję sądową. Podstawą prawną jej funkcjonowania jest art. 4 ust. 2 ustawy o Policji, zaś sposób działania określa rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 16 kwietnia 2007 r. w sprawie szczegółowego zakresu zadań i zasad organizacji policji sądowej (Dz. U. Nr 155, poz. 1093). W § 3 tego rozporządzenia enumeratywnie wymieniono zakres zadań formacji, do których należy: 1 ) ochrona bezpieczeństwa i porządku publicznego w budynkach sądów oraz prokuratur; 2) ochrona życia i zdrowia sędziów, prokuratorów oraz innych osób, w związku z wykonywaniem przez nich czynności wynikających z realizacji zadań wymiaru sprawiedliwości; 3) wykonywanie czynności procesowych zlecanych przez sąd lub prokuratora; 4) wykonywanie zarządzeń porządkowych sądu, wydawanych w celu uniemożliwienia zachowania zakłócającego porządek rozprawy lub godzącego w powagę sądu; 5) konwojowanie i doprowadzanie osób na polecenie sądu, prokuratora i właściwego komendanta Policji; 6) ochrona pomieszczeń dla osób konwojowanych lub doprowadzonych do czynności procesowych, usytuowanych w sądach i prokuraturach, w celu uniemożliwienia samowolnego oddalenia się osób tam umieszczonych, bezprawnego wtargnięcia osób postronnych oraz zapobieżenia innym zdarzeniom niebezpiecznym w skutkach dla bezpieczeństwa i porządku publicznego albo zagrażającym uszkodzeniem lub utratą chronionego mienia. Nadto organ powołał się również na przepis art. 1 ust. 1 ustawy o Policji, który statuuje zasadę, że formacja ta ogólnie rzecz ujmując pełni funkcję służebną wobec ogółu społeczeństwa zapewniając ochronę bezpieczeństwa ludzi oraz utrzymywania bezpieczeństwa i porządku publicznego. Dopełnieniem tej zasady jest art. 14 ust. 1 pkt 1 ustawy o Policji, z którego wynika, że Policja w granicach swych zadań wykonuje m.in. czynności administracyjno-porządkowe w celu rozpoznawania, zapobiegania i wykrywania przestępstw i wykroczeń. Z kolei art. 15 ust. 1 pkt 1 ustawy o Policji, wprost wyraża normę, że funkcjonariusze Policji - w tym także policji sądowej - wykonując ww. czynności uprawnieni są do legitymowania osób w celu ustalenia ich tożsamości, na podstawie m. in. dowodu osobistego (§ 4 pkt 1 rozporządzenia Rady Ministrów z dnia 29 września 2015 r. w sprawie postępowania przy wykonywaniu niektórych uprawnień policjantów (Dz. U. z 2015 r. poz. 1565). Organ zaznaczył, że w realiach przedmiotowej sprawy, szczegółowe zasady bezpieczeństwa w Sądzie Okręgowym w W. określa zarządzenie Nr [...] Prezesa tego sądu z dnia [...] maja 2014 r. w sprawie wprowadzenia zasad bezpieczeństwa i porządku w Sądzie Okręgowym w W. wydane na podstawie art. 54 § 2 ustawy z dnia 27 lipca 2001 r. Prawo o ustroju sądów powszechnych (Dz. U. z 2018 r. poz. 23). Zgodnie z powołanym przepisem prezes sądu może zarządzić stosowanie środków zapewniających bezpieczeństwo w budynkach sądowych oraz zapobiegających naruszaniu zakazu, o którym mowa w § 1, czyli zakazu wnoszenia do budynku sądu broni i amunicji, materiałów wybuchowych i innych środków niebezpiecznych. W § 4 zarządzenia Prezesa jednoznacznie wskazano na obowiązek poddania się czynnościom kontrolnym przez każdego wchodzącego do budynku sądu, który polega na wylegitymowaniu się dowodem osobistym, paszportem lub innym dokumentem ze zdjęciem potwierdzającym tożsamość oraz zeskanowaniu kodu MRZ w specjalnie zainstalowanym do tego celu czytniku. Nadto przepis ten normuję kwestię osób uprawnionych do przeprowadzania wskazanych czynności kontrolnych, którymi są funkcjonariusze Policji. Zgodnie z § 16 zarządzenia Nr [...] bezpośrednią ochroną Sądu w godzinach jego urzędowania zajmuje się policja sądowa działająca w oparciu o ww. akty prawne. W świetle powyższych rozważań organ stwierdził, iż działania podjęte przez Prezesa Sądu Okręgowego w W. w celu zapewnienia bezpieczeństwa i porządku w budynku sądu znajdują pełne oparcie w przepisach obowiązującego prawa. Tym samym organ nie zgodził się z twierdzeniami skarżącej, że wzmiankowane zarządzenie wydane zostało bez podstawy prawnej uregulowanej w ustawie. Powołując się na wyjaśnienia Prezes Sądu zaznaczył, że dane o osobach wchodzących do gmachu sądu oraz przebywających w nim, są zapisywane w elektronicznej księdze wejść, które są następnie usuwane z systemu po upływie siedmiu dni. Samo "przeciągnięcie" dowodu osobistego osoby wchodzącej do obiektu przez czytnik kodów nie stanowi natomiast czynności skanowania dokumentu tożsamości. Reasumując, w ocenie Prezesa Urzędu Ochrony Danych Osobowych brak jest podstaw do uchylenia decyzji z dnia [...] maja 2016 r. i wydania decyzji administracyjnej nakazującej przywrócenie stanu zgodnego z prawem poprzez nakazanie Prezesowi Sądu Okręgowego w W. zaniechania naruszeń opisanych w skardze. W skardze na powyższą decyzję skierowanej do Wojewódzkiego Sądu Administracyjnego w Warszawie K. H. zarzuciła, że organ nie ustalił stanu faktycznego sprawy, przyjmując za prawdzie wyjaśnienia Prezes Sądu Okręgowego w W. Organ nie ustalił, czy Prezes Sądu zarejestrowała zbiory w związku z wydanym zarządzeniem upoważniającym Policję do dokonywania wskazanych czynność oraz czy są zarejestrowane na dzień wydania decyzji z dnia [...] listopada 2018 r., czy dowody osobiste z pewnością nie są skanowane, czy są prawidłowo zabezpieczone przez okres przechowywania, w tym uprawnienia osób posiadających dostęp do danych oraz czy są faktycznie usuwane oraz w jaki sposób, formie i zakresie, jak również przez kogo są usuwane. Nie ustalił też, czy jej dane zostały usunięte ze wskazanych zbiorów. Nie wyjaśnił kwestii skanowania kodu MRZ w czytniku oraz prawidłowości działania samego czytnika. Nie rozważył przesłanki niezbędności przetwarzania danych W związku z powyższymi zarzutami skarżąca wniosła o uchylenie zaskarżonej decyzji oraz zwrot kosztów postępowania (koszty papieru, druku, przejazdu do i z W., opłaty pocztowe) według norm przepisanych w wysokości wynagrodzenia jednego pełnomocnika. Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując argumentację zawartą w zaskarżonej decyzji. Zdaniem organu skarżąca oparła swoją skargę jedynie na przypuszczeniach, nie przedstawiając przy tym żadnych nowych dowodów na potwierdzenie stawianych zarzutów. Analiza materiału dowodowego zgromadzonego w sprawie nie potwierdziła natomiast, aby doszło do kwestionowanego przez skarżącą nieuprawnionego przetwarzania danych osobowych przez Prezesa Sądu Okręgowego w W. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Sąd administracyjny wykonuje wymiar sprawiedliwości, poddając kontroli decyzje wydawane przez organy administracji publicznej pod względem ich zgodności z prawem, badając czy właściwie zastosowano przepisy prawa materialnego i przestrzegano przepisów proceduralnych w postępowaniu administracyjnym. Sąd jest władny wzruszyć zaskarżoną decyzję jedynie w przypadku stwierdzenia naruszenia prawa. Art. 145 ustawy Prawo o postępowaniu przed sądami administracyjnymi (dalej jako P.p.s.a.) określa w jakich sytuacjach decyzje lub postanowienia podlegają uchyleniu. Oceniając zaskarżoną decyzję w świetle powyższych kryteriów Sąd stwierdził, iż skarga nie zasługuje na uwzględnienie. Na wstępie wskazać należy, iż zadaniem ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm., dalej u.o.d.o.), której przepisy mają zastosowanie w niniejszej sprawie, nie jest jedynie stanie na straży interesów tych, których przetwarzane dane osobowe dotyczą. Naczelną zasadą ustawy nie jest też zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. W art. 1 u.o.d.o. stwierdza się bowiem, że przetwarzanie danych osobowych może mieć miejsce, jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą lub dobru osób trzecich. Ochrona danych osobowych, na podstawie przepisów powołanej ustawy, nie powinna być oderwana od przepisów służących ochronie innych wartości. Stosownie do treści art. 7 pkt 2 u.o.d.o., przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Z kolei w art. 23 § 1 u.o.d.o. zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z treścią tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: (1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, (2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, (3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, (4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, (5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Cytowany powyżej przepis ustawy określa ogólne materialne przesłanki przetwarzania danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one co do zasady równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza to także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych, (por. J. Barta, P. Fajgielski, R. Markiewicz "Ochrona danych osobowych. Komentarz.", publ. System Informacji Prawnej LEX 2017). Analiza powyższych przesłanek dopuszczających przetwarzanie danych osobowych prowadzi do wniosku, iż zgoda osoby, której dane dotyczą, będzie zawsze legalizowała przetwarzanie jej danych osobowych przez podmiot, który taką zgodę uzyskał. Natomiast zgoda osoby, której dane dotyczą, na przetwarzanie jej danych osobowych nie jest wymagana wówczas, gdy administrator danych potrafi wskazać przepis prawa legalizujący dokonywanie czynności, o których mowa w art. 7 ust. 2 ustawy. W stanie faktycznym niniejszej sprawy czynność legitymowania osób wchodzących do budynku Sądu Okręgowego w W. oraz badanie autentyczności dokumentów tożsamości, którymi się te osoby posługują ma oparcie w zarządzeniu Nr [...] Prezesa Sądu Okręgowego w W. z dnia [...] maja 2014 r. w sprawie wprowadzenia zasad bezpieczeństwa i porządku w Sądzie Okręgowym w W. Zarządzenie to wydane zostało na podstawie art. 54 § 2 ustawy z dnia 27 lipca 2001 r. Prawo o ustroju sądów powszechnych (Dz. U. z 2018 r. poz. 23). Zgodnie z powołanym przepisem prezes sądu może zarządzić stosowanie środków zapewniających bezpieczeństwo w budynkach sądowych oraz zapobiegających naruszaniu zakazu, o którym mowa w § 1, czyli zakazu wnoszenia do budynku sądu broni, amunicji, materiałów wybuchowych i innych środków niebezpiecznych. W § 4 tego zarządzenia jednoznacznie wskazano na obowiązek poddania się czynnościom kontrolnym przez każdego wchodzącego do budynku sądu, który polega na wylegitymowaniu się dowodem osobistym, paszportem lub innym dokumentem ze zdjęciem potwierdzającym tożsamość oraz zeskanowaniu kodu MRZ w specjalnie zainstalowanym do tego celu czytniku. Nadto przepis ten normuję kwestię osób uprawnionych do przeprowadzania wskazanych czynności kontrolnych, którymi są funkcjonariusze Policji. Zgodnie z § 16 zarządzenia Nr [...] bezpośrednią ochroną Sądu w godzinach jego urzędowania zajmuje się policja sądowa. Podstawą prawną funkcjonowania policji sądowej jest art. 4 ust. 2 ustawy z dnia 6 kwietnia 1990 r. o Policji (Dz.U. z 2015 r. poz. 355 ze zm.), zaś szczegółowy zakres zadań i zasady organizacji policji sądowej określa rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 16 kwietnia 2007 r. w sprawie szczegółowego zakresu zadań i zasad organizacji policji sądowej (Dz. U. Nr 155, poz. 1093). W § 3 tego rozporządzenia enumeratywnie wymieniono zakres zadań policji sądowej, do których należy m. in. ochrona bezpieczeństwa i porządku publicznego w budynkach sądów oraz prokuratur. Przepis art. 15 ust. 1 pkt 1 ustawy o Policji oraz wydane na postawie ust. 8 tego artykułu kolejne rozporządzenia wykonawcze Rady Ministrów (poprzednio obowiązujące z dnia 8 lutego 2005 r. oraz obecnie obowiązujące z dnia 29 września 2015 r.) upoważniają natomiast wprost policjantów do legitymowania osób w celu ustalenia ich tożsamości. Wbrew zatem zarzutom skargi, czynności legitymowania osób wchodzących do budynku Sądu Okręgowego w W. znajdują oparcie w obowiązujących przepisach prawa, a ich celem jest zapewnienie bezpieczeństwa i porządku publicznego w budynku tego Sądu. Odnosząc się do zarzutów skargi kwestionujących prawidłowość przeprowadzonego postępowania administracyjnego wskazać należy, że postępowanie przeprowadzone zostało zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego, w tym również zgodnie z zasadą z art. 7 K.p.a. Wskazać ponadto należy, że podniesiony przez skarżącą zarzut zaniechania ustalenia stanu faktycznego sprawy, uznać należy za bezzasadny. Przedmiot postępowania został rzetelnie oceniony przez organ przez pryzmat przepisów ustawy o ochronie danych osobowych, z uwzględnieniem zakresu skargi złożonej przez skarżącą oraz po dokonaniu kompleksowej analizy całości zgromadzonego materiału dowodowego, który organ uznał za wystarczający do wydania merytorycznej decyzji administracyjnej w zakresie podlegającym jego kompetencjom. Organ nie miał podstaw by nie dać wiary wyjaśnieniom nadesłanym w toku postępowania przez Prezesa Sądu Okręgowego w W., z których wynika, że w stosunku do osób wchodzących do budynku Sądu nie dokonuje się czynności skanowania dowodów osobistych, a policja sądowa, zgodnie z posiadanymi uprawnieniami i w celu realizacji zadań do jakich ją powołano, dokonuje jedynie czynności legitymowania tych osób oraz badania autentyczności dokumentów tożsamości, a dane o osobach zapisane w elektronicznej księdze wejść są usuwane automatycznie z systemu elektronicznego po 7 dniach. Z wyjaśnień Prezesa Sądu Okręgowego w W. wynika ponadto, że Sąd nie przetwarza także trwale wizerunku osób wchodzących do budynku sądu, gdyż dane z monitoringu po upływie trzech tygodni są "nadpisywane". Z uwagi na taki sposób funkcjonowania elektronicznej księgi wejść oraz monitoringu sądowego Prezes Sądu Okręgowego w W. nie miał obowiązku rejestrowania zbiorów danych. Odwołując się do regulacji art. 18 ust. 1 u.d.i.p. należy zaznaczyć, iż GIODO w przypadku naruszenia przepisów o ochronie danych osobowych nakazuje z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. W rozpatrywanej sprawie jednak stanu niezgodności z prawem w dacie wydania decyzji nie stwierdzono. Reasumując stwierdzić należy, iż organ prawidłowo ustalił, że w niniejszej sprawie wystąpiły przesłanki legalizujące przetwarzanie danych osobowych skarżącej w związku z jej wejściem do budynku Sądu Okręgowego w W. określone w art. 23 ust. 1 pkt 2 oraz pkt 5 u.o.d.o. Brak jednocześnie podstaw by przyjąć, że proces przetwarzania danych osobowych K. H. w związku z jej wejściem do budynku Sądu Okręgowego w W. wiązał się z naruszeniem jakichkolwiek praw, czy wolności skarżącej. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi orzekł, jak w sentencji wyroku.