II SA/Wa 3253/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra-Błaszczykowska (spr.), Sędzia WSA Karolina Kisielewicz, Sędzia WSA Joanna Kruszewska-Grońska, , Protokolant starszy referent Magdalena Frąckiewicz, po rozpoznaniu na rozprawie w dniu 29 marca 2022 r. sprawy ze skargi A.P.-W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2021 r. nr [...] w przedmiocie umorzenia postępowania oddala skargę Przedmiotem rozpoznania w niniejszej sprawie była skarga A. W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2021 r. znak [...] w przedmiocie umorzenia postępowania. Skarga została złożona w następującym stanie faktycznym sprawy: W dniu [...] listopada 2018 r. (data wpływu do organu) A. W. (zwana dalej: wnioskodawczyni, skarżąca), reprezentowana przez profesjonalnego pełnomocnika, wniosła do Prezesa Urzędu Ochrony Danych Osobowych (zwany dalej: PUODO, organ) skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] sp. z o.o. z siedzibą w W. przy ul. [...] (zwana dalej: [...], spółka), polegające na ich udostępnieniu osobom trzecim. W treści złożonej skargi wnioskodawczyni podniosła, że w jej imieniu nieustalona osoba złożyła z jej adresu e-mail wniosek do Państwowej Inspekcji Pracy (zwana dalej: PIP) o wszczęcie postępowania kontrolnego wobec spółki, wykorzystując jej dane osobowe przechowywane i przetwarzane przez spółkę, w związku z pozostawaniem przez skarżącą w stosunku pracy ze spółką oraz świadczeniem przez spółkę na jej rzecz świadczeń zdrowotnych. Wniosek do PIP zawierał dane osobowe skarżącej takie jak: imię i nazwisko oraz adres zamieszkania. W ocenie skarżącej doszło do naruszenia poufności jej danych osobowych, polegające na nieuprawnionym ujawnieniu jej danych osobowych osobie nieupoważnionej, co skutkowało kradzieżą jej tożsamości. Osoba nieupoważniona podszyła się pod skarżącą składając wniosek do PIP, co naraziło ją na utratę dobrego imienia w miejscu pracy. Wnioskodawczyni wniosła o nakazanie [...] usunięcia uchybień w procesie przetwarzania danych osobowych, poprzez ograniczenie przetwarzania jej danych do czasu wyjaśnienia okoliczności, w jakich doszło do naruszenia poufności i wdrożenia odpowiednich procedur, mających na celu zapobieganiu takim incydentom w przyszłości. Ponadto wniosła o nałożenie administracyjnej kary pieniężnej na administratora. Decyzją znak [...] z dnia [...] lipca 2021 r. organ orzekł o umorzeniu postępowania, działając na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735, zwana dalej: k.p.a.), w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych z dnia 10 maja 2018 r. (Dz. U. z 2019 r. poz. 1781, zwana dalej: u.o.d.o.) oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm., zwane dalej: rozporządzeniem 2016/679). W uzasadnieniu organ ustalił, że Skarżąca była pracownikiem spółki do [...] października 2018 r. oraz pacjentką korzystającą z usług medycznych [...]. Do Kancelarii Okręgowego Inspektora Pracy w W. wpłynęło za pośrednictwem poczty elektronicznej pismo (skarga) na [...], dotyczące rzekomych nieprawidłowości mających miejsce na Oddziale [...]. W ww. piśmie (skardze) podane były dane osobowe skarżącej w zakresie jej imienia, nazwiska oraz adresu zamieszkania. Spółka oświadczyła, że nie posiada wiedzy o żadnych zdarzeniach, które mogłyby skłonić ją do wniosku, że doszło do wycieku danych osobowych jej pracowników czy pacjentów, które następnie mogło doprowadzić do sytuacji, opisanej w skardze wnioskodawczyni. Spółka wdrożyła środki techniczne oraz organizacyjne w celu zapewnienia właściwego zabezpieczenia przetwarzanych danych osobowych, w tym danych skarżącej, w szczególności: każda osoba przed przystąpieniem do pracy przy przetwarzaniu danych osobowych przechodzi szkolenie z zakresu przepisów dotyczących ochrony danych osobowych, a osoby zatrudnione przy przetwarzaniu danych osobowych zostają pisemnie zobowiązane do zachowania ich w tajemnicy. Ponadto przetwarzanie danych osobowych dokonywane jest w warunkach zabezpieczających dane przed dostępem osób nieupoważnionych - w wydzielonych i przeznaczonych do tego pomieszczeniach i przez osoby posiadające właściwe upoważnienia, zgodnie z obowiązującą procedurą nadawania uprawnień. Pomieszczenia, w których przechowywane są dane osobowe, wyposażono w odpowiednie zabezpieczenia - szafy zamykane na klucz, dostęp na karty dostępu. Dostęp do danych elektronicznych mają wyłącznie pracownicy o nadanych uprawnieniach, zgodnie z przyznanym zakresem, zatwierdzonym przez Zarząd. Zalogowanie się do systemu informatycznego wymaga podania nazwy użytkownika i hasła; stosowane są mechanizmy wymuszające okresową zmianę haseł dostępu do systemu służącego do przetwarzania danych. Dostęp do danych osobowych skarżącej w zakresie jej imienia, nazwiska i adresu zamieszkania w zakresie dokumentacji pracowniczej mieli upoważnieni pracownicy (Zarząd, pracownicy Działu Zarządzania Zasobami Ludzkimi, pracownicy Sekcji Informatyki, Asystentka Zarządu), uprawnione organy kontrolne oraz podmioty uprawnione na podstawie umowy powierzenia danych (firmy obsługujące system informatyczny w zakresie objęcia nadzorem autorskim modułów oprogramowania aplikacyjnego [...]). Natomiast w zakresie dokumentacji medycznej: upoważnieni pracownicy (personel medyczny, personel Działu Dokumentacji i Statystyki Medycznej, pracownicy rejestracji Przychodni Specjalistycznej [...], pracownicy Sekcji Informatyki), podmioty uprawnione na podstawie umowy powierzenia danych (firmy obsługujące system informatyczny w zakresie objęcia nadzorem autorskim modułów oprogramowania aplikacyjnego [...]) oraz uprawnione organy kontrolne. Spółka nie wyklucza, że wnioskodawczyni pracując dłuższy czas w [...] (od [...] marca 2012 r. do [...] października 2018 r.) weszła w bliższe relacje ze współpracownikami, którzy poprzez to mogli być w posiadaniu jej danych. Złożenie e-skargi do Okręgowego Inspektoratu Pracy nie wymaga uwierzytelnienia podanych danych. Prokuratura Rejonowa [...] w W. prowadzi wszczęte w dniu [...] stycznia 2019 r. postępowanie przygotowawcze z zawiadomienia skarżącej w sprawie podszycia się pod nią w skardze przesłanej za pośrednictwem sieci internet w dniu [...] września 2018 r. do Okręgowej Inspekcji Pracy przy ul. [...] w W., na warunki pracy na Oddziale [...] w [...], w celu wyrządzenia ww. szkody osobistej i majątkowej, tj. o czyn z art. 190a § 2 k.k. Dotychczas nie ustalono sprawcy. Prokuratura nie dysponuje wiedzą w zakresie źródła pozyskania danych osobowych wnioskodawczyni. Organ, odnosząc się do zarzutu wniosku skarżącej, dotyczącego udostępnienia danych osobowych skarżącej osobie nieupoważnionej, skutkujące kradzieżą jej tożsamości stwierdził, że zgromadzony w przedmiotowej sprawie materiał dowodowy nie potwierdza jednoznacznie tej okoliczności. Skarżąca nie przedłożyła do akt postępowania materiału dowodowego na potwierdzenie stawianych spółce zarzutów. Spółka natomiast wskazała, że wdrożyła środki techniczne oraz organizacyjne w celu zapewnienia właściwego zabezpieczenia przetwarzanych danych osobowych, w tym danych skarżącej, w szczególności oświadczyła, że przetwarzanie danych osobowych w [...] dokonywane jest przez osoby, którym nadano właściwe upoważnienia do przetwarzania danych. Spółka zaprzeczyła, aby doszło do przedmiotowego udostępnienia danych osobowych skarżącej. W toku postępowania ustalono również, że Prokuratura Rejonowa [...] w W. prowadzi postępowanie przygotowawcze z zawiadomienia skarżącej w sprawie o czyn z art. 190a § 2 k.k. Jak wynika z pisma Prokuratury dotychczas nie ustalono sprawcy czynu, a więc nie ustalono czy źródłem pozyskania danych skarżącej była spółka. Zdaniem PUODO analiza zebranego w postępowaniu wyjaśniającym materiału dowodowego wskazuje, że w sprawie brak jest niebudzących wątpliwości dowodów, które potwierdzałyby zarzuty skarżącej, dotyczące udostępnienia jej danych osobowych przez spółkę osobom nieupoważnionym. Dlatego uznał, że kwestionowany przez skarżącą proces przetwarzania danych osobowych nie istnieje. Stwierdził dalej, iż ustalenie przez organ zaistnienia przesłanki bezprzedmiotowości postępowania, o której mowa w art. 105 § 1 k.p.a., zobowiązuje go do umorzenia postępowania, nie ma bowiem podstaw do rozstrzygnięcia sprawy co do istoty, a dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy. W skardze złożonej na powołane rozstrzygnięcie do sądu administracyjnego skarżąca, reprezentowana przez profesjonalnego pełnomocnika, wniosła o uchylenie zaskarżonej decyzji w całości oraz zasądzenie zwrotu kosztów postępowania. Zaskarżonej decyzji skarżąca zarzuciła naruszenie: 1. art. 107 § 1 i 3 k.p.a. poprzez pominięcie w uzasadnieniu decyzji PUODO argumentacji, uzasadniającej nieuwzględnienie zgłoszonego w terminie wniosku dowodowego (dowody z materiałów zgromadzonych w postępowaniu przygotowawczym nadzorowanym przez Prokuraturę Rejonową dla [...] w W.); 2. art. 7, art. 10, art. 77, art. 78, art. 80 w zw. z art. 107 k.p.a., poprzez nieuzasadnione w żaden sposób pominięcie zgłoszonych w terminie przez wnioskodawczynię wniosków dowodowych i wydania decyzji w oparciu o niekompletny materiał dowodowy; 3. art. 7 i art. 77 k.p.a. poprzez nie przeprowadzenie z urzędu niezbędnego postępowania dowodowego w sprawie; 4. art. 105 k.p.a., poprzez uchylenie się organu od merytorycznego rozstrzygnięcia w sytuacji, kiedy w sprawie nie zachodzi przesłanka "bezprzedmiotowości". Uzasadniając złożoną skargę skarżąca szczegółowo omówiła ww. zarzuty. W odpowiedzi na skargę organ wniósł o jej oddalenie, podnosząc argumentację tożsamą z zaprezentowaną w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie, zważył co następuje: Skarga podlegała oddaleniu. Stosownie do treści art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r., poz. 329, zwana dalej: p.p.s.a), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Oznacza to, iż sąd rozpoznając skargę ocenia, czy zaskarżona decyzja nie narusza przepisów prawa materialnego bądź przepisów postępowania administracyjnego. Zgodnie z art. 134 p.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną. Uwzględnienie skargi następuje w przypadku stwierdzenia naruszenia przez Sąd przepisów prawa, wskazanego w art. 145 § 1 pkt 1 p.p.s.a. Zgodnie z art. 135 p.p.s.a. orzekanie następuje w granicach sprawy, w której wydano zaskarżoną decyzję i odbywa się z uwzględnieniem wówczas obowiązujących przepisów prawa. Stosownie do treści art. 7 ust. 1 u.o.d.o., w sprawach uregulowanych w ustawie o ochronie danych osobowych, do postępowań prowadzonych przez PUODO stosuje się przepisy Kodeksu postępowania administracyjnego. Według zasad określonych w Kodeksie postępowania administracyjnego prowadzone jest też postępowanie dowodowe. Jednym ze stadiów postępowania administracyjnego jest stadium wyjaśniające - pozwalające ustalić dokładny stan faktyczny w danej sprawie. W wyniku postępowania wyjaśniającego organ administracji publicznej ma dojść do wskazanej w art. 7 k.p.a. prawdy obiektywnej, co czyni za pomocą środków dowodowych. Stan faktyczny sprawy sprowadzał się do tego, że z adresu e-mail skarżącej, z jej danymi osobowymi (imię i nazwisko oraz adres zamieszkania), został złożony wniosek do Państwowej Inspekcji Pracy o wszczęcie postępowania kontrolnego wobec spółki (wówczas pracodawcy skarżącej). Skarżąca zakwalifikowała tę sytuację jako kradzież jej tożsamości, polegającą na podszyciu się pod nią przez osobę nieupoważnioną. Uznała, że złożenie wniosku do PIP naraziło ją na utratę dobrego imienia w miejscu pracy. Nadto Skarżąca uznała, że za sytuację tę odpowiada [...] (a nie ona sama) i wniosła o nakazanie [...] usunięcia uchybień w procesie przetwarzania danych osobowych, poprzez ograniczenie przetwarzania danych do czasu wyjaśnienia okoliczności, w jakich doszło do naruszenia poufności i wdrożenia odpowiednich procedur, mających na celu zapobieganie takim incydentom w przyszłości. [...] natomiast twierdziło, że nie ponosi odpowiedzialności za wysłanie z konta skarżącej wiadomości, stanowiącej jej skargę, zawierającej dane identyfikujące nadawczynię wiadomości. Prokuratura Rejonowa [...] w W. prowadzi postępowanie przygotowawcze z zawiadomienia skarżącej w sprawie podszycia się pod nią w skardze przesłanej za pośrednictwem sieci Internet w dniu [...] września 2018 r. do Okręgowej Inspekcji Pracy przy ul. [...] w W., na warunki pracy na Oddziale [...] w Centrum Medycznym [...], w celu wyrządzenia szkody osobistej i majątkowej, tj. o czyn z art. 190a § 2 kk. Dotychczas nie ustalono sprawcy. Prokuratura nie dysponuje wiedzą w zakresie źródła pozyskania danych osobowych skarżącej. W ocenie Sądu stan faktyczny niniejszej sprawy ustalony został przez PUODO prawidłowo, w konsekwencji zaistniały przesłanki umorzenia postępowania, opisane w art. 105 § 1 k.p.a. W sprawie zaistniała bowiem bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 k.p.a. oznaczająca, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Ustalenie przez organ publiczny zaistnienia przesłanki, o której mowa w art. 105 § 1 k.p.a., zobowiązuje go do umorzenia postępowania, brak bowiem podstaw do rozstrzygnięcia sprawy co do istoty, a dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy. Mając na uwadze treść i przesłanki zastosowania art. 105 § 1 k.p.a. Sąd uznał, że prawidłowa jest zaskarżona decyzja organu, którą umorzył postępowanie jako bezprzedmiotowe. Sąd podziela konkluzję organu, że Skarżąca w żaden sposób nie uprawdopodobniła swoich twierdzeń, iż osoba nieuprawniona wysłała z jej adresu e-mail skargę do PIP, w szczególności, że można przypisac jakiekolwiek naruszenie w tym zakresie Spółce, lub że [...] udostępniła jej dane osobowe osobom nieupoważnionym. Skarżąca nie przedstawiła również żadnych dowodów ani materiałów, które dałyby podstawę do zakwestionowania oświadczenia Spółki, pozyskanego w toku postępowania administracyjnego. Wyjaśnienia [...] w sprawie były stanowcze i konsekwentne, a podejrzenia skarżącej- nie poparte żadnymi dowodami ani przekonującymi argumentami. Również w toczącym się postępowaniu karnym z zawiadomienia skarżącej nie wykryto nieuprawnionego dostępu do danych skarżącej, za który odpowiedzialność ponosiłaby Spółka. Sąd nie ma wątpliwości co do prawdziwości oraz prawidłowości zgromadzonego w sprawie materiału dowodowego, którego analiza oraz ocena nie potwierdziła stawianych przez Skarżącą zarzutów. W toku prowadzonego postępowania administracyjnego nie doszło do naruszenia powoływanych w skardze art. 7, art. 77 i art. 80 ani 107 k.p.a., poprzez niewyjaśnienie w sposób dokładny stanu faktycznego sprawy oraz wydanie decyzji w oparciu o niekompletny materiał dowodowy. Organ przeprowadził wymagane prawem postępowanie, wystarczające dla ustalenia okoliczności mających podstawowe znaczenie dla rozstrzygnięcia sprawy. Przypomnieć należy, że zgodnie z zasadą, wyrażoną w art. 80 k.p.a., organ prowadzący postępowanie według swojej wiedzy, doświadczenia oraz wewnętrznego przekonania ocenia wartość dowodową poszczególnych środków dowodowych, wpływ udowodnienia jednej okoliczności na inne okoliczności. Oceniając wyniki postępowania dowodowego (wiarygodność i moc dowodów), organ powinien uwzględnić treść wszystkich przeprowadzonych i rozpatrzonych dowodów, wskazując w uzasadnieniu decyzji fakty, które uznał za udowodnione, dowody, na których się oparł oraz przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Materiał dowodowy nie jest niekompletny, a zarzuty skargi nie są zasadne. Nie świadczy o wadliwości wydanej decyzji to, że skarżąca jej nie akceptuje i się z nią nie zgadza. Logiczne powiązanie ustalonych faktów i okoliczności sprawy doprowadziło organ do trafnego wniosku, że postępowanie w sprawie jest bezprzedmiotowe. W szczególności brak logicznych podstaw do obciążania Spółki odpowiedzialnością za wysłanie skargi do PIP z adresu e-mail skarżącej (z jej danymi osobowymi). Trudno sobie wyobrazić, dlaczego [...] miałoby wysyłać na siebie skargę do PIP z adresu skarżącej albo dlaczego miałoby udostępnić (umożliwić) komukolwiek poza skarżącą wysłanie takiego maila z jej adresu. W kontekście przedstawionych wyżej rozważań Sąd stwierdza, iż zaskarżona decyzja PUODO jest prawidłowa. Wbrew zarzutom skargi, organ zgromadził pełny materiał dowodowy sprawy, dokonał prawidłowej jego oceny oraz dokonał właściwej wykładni mających zastosowanie w sprawie przepisów prawa. Mając na uwadze powołane okoliczności, Sąd działając na podstawie art. 151 p.p.s.a, orzekł o oddaleniu skargi.