II SA/Wa 738/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Andrzej Góraj (spr.), Sędzia WSA Arkadiusz Koziarski, Protokolant starszy sekretarz sądowy Marcin Rusinowicz-Borkowski po rozpoznaniu na rozprawie w dniu 13 listopada 2025 r. sprawy ze skargi J. W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2025 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Do Prezesa Urzędu Ochrony Danych Osobowych (zwanego dalej również Prezesem UODO) wpłynęła skarga Pani J. W. (zwanej dalej Skarżącą), na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Dyrektora Izby Administracji Skarbowej w W. (zwanego dalej Dyrektorem [...]), polegające na pozyskaniu przez pracowników Izby Administracji Skarbowej w W. (w tym Panią M. W.) z systemu [...] w celach pozasłużbowych danych osobowych Skarżącej w zakresie imienia, nazwiska, numeru PESEL, numeru NIP, numeru REGON, daty urodzenia, adresu zamieszkania, numeru telefonu oraz adresu e-mail. Decyzją z dnia [...] marca 2025r. Prezes Urzędu Ochrony Danych Osobowych udzielił Dyrektorowi Izby Administracji Skarbowej we W. upomnienia za naruszenie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), polegające na udostępnieniu w 2021 r. danych osobowych Pani J. W. w zakresie imienia, nazwiska, numeru PESEL, numeru NIP, daty urodzenia, adresu zamieszkania, numeru telefonu oraz adresu e-mail pracownikowi Izby Administracji Skarbowej we W. , który pozyskał ww. dane z systemu [...] w celach pozasłużbowych bez podstawy prawnej zaś w pozostałym zakresie umarzył postępowanie. Organ ustalił, że Dyrektor [...] przetwarzał w 2021 roku w systemie [...] dane osobowe Skarżącej w zakresie m.in. imienia, nazwiska, numeru PESEL, numeru NIP, daty urodzenia, adresu zamieszkania, numeru telefonu oraz adresu e-mail na podstawie art. 14 ustawy z dnia [...] października 1995 roku o zasadach ewidencji i identyfikacji podatników i płatników (Dz. U. z 2024, poz. 375 ze zm.) (zwanej dalej ustawą o zasadach ewidencji). Dane osobowe przetwarzane były również w celu realizacji obowiązku prawnego ciążącego na administratorze, co wynika z art. 6 ust. 1 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE . Organ ustalił też, iż z inicjatywy Pani M. W. inny pracownik Izby Administracji Skarbowej we W. , który posiadał uprawnienia dostępu do systemu [...], przeglądał w celach pozasłużbowych w tym systemie dane osobowe Skarżącej w zakresie m.in. imienia, nazwiska, numeru PESEL, numeru NIP, daty urodzenia, adresu zamieszkania, numeru telefonu oraz adresu e-mail (...) przeglądanie danych Skarżącej przez innego pracownika odbyło się [...] stycznia 2021 roku w godzinach od 06:12 do 06:16, bez podstawy prawnej, bez wiedzy i zgody przełożonego, i nie było związane z wykonywaniem zadań służbowych zaś nieuprawniony dostęp do danych Pani J. Z. (obecnie W.) polegał wyłącznie na ich przeglądzie, a dane te nie zostały skopiowane, nie zostały wydrukowane ani w żaden inny sposób utrwalone na jakimkolwiek nośniku. Ponadto ustalono, że z danych osobowych Pani J. Z. (obecnie W. Pani M. W. nie uczyniła innego użytku niż tylko powzięła wiedzę o osobie, będącej z nią w konflikcie w obszarze małżeńskim" (wyjaśnienia Dyrektora [...] - data wpływu do UODO w dniu [...] października 2024 r. oraz wyjaśnienia z dnia [...] stycznia 2025 r.). Ustalono również, iż M. W. poinformowała Dyrektora [...] o swojej trudnej sytuacji rodzinnej a cała sprawa dotycząca dostępu do danych skarżącej została załatwiona w bezpośredniej relacji Dyrektor- pracownik. Dyrektor wyjaśnił Pani M. W. zasady dotyczące przetwarzania danych osobowych oraz konieczność ich przestrzegania, niezależnie od okoliczności zewnętrznych. Pani M. W. sama przyznała się do błędu, okazała skruchę. Zważywszy na fakt, że Pani M. W. była pracownica z ponad dwudziestoletnim stażem w Izbie Administracji Skarbowej we W. , zajmowała wysokie stanowisko starszego eksperta skarbowego, miała dobrą opinię u przełożonych, sprawa zakończyła się rozmową dyscyplinującą. W Izbie Administracji Skarbowej we W. zostały uruchomione stosowne procedury reagowania na zgłoszenie naruszenia. Zgłoszenie Skarżącej zostało odnotowane w systemie zgłoszeń incydentów i naruszeń Resortu Finansów (CSD). Zgłoszenie przeanalizował zespół do spraw obsługi zgłoszeń incydentów i naruszeń działający w Ministerstwie Finansów. Zespół ten skierował sprawę do dalszego wyjaśnienia przez Zespół Reagowania na Incydenty Bezpieczeństwa Izby Administracji Skarbowej we W. , który prowadził postępowanie wyjaśniające w tej sprawie, m.in. zbierał dowody i wyjaśnienia. Wyjaśniając rozbieżności w zakresie dostępu do nr REGON wskazano, że w ramach postępowania po zgłoszeniu Skarżącej z 26 kwietnia 2024 r., podjęto czynności w ramach systemu [...] zmierzające do ustalenia okoliczności pobrania danych Skarżącej. System dane te ujawnił na moment weryfikacji, tj. 2024 r., w którym to czasie nr REGON Skarżącej znajdował się już w bazie. Natomiast w 2021 r. z oczywistych przyczyn, tj. braku prowadzenia przez Skarżącą działalności gospodarczej, nr REGON nie znajdował się w bazie, dlatego nieuprawniony wówczas dostęp do danych osobowych Skarżącej nie obejmował nr REGON. Organ ustalił też, iż w 2024 r. pracownicy Izby Administracji Skarbowej we W. , w tym Pani M. W. nie pozyskali danych osobowych Skarżącej z systemu [...] w celach pozasłużbowych (wyjaśnienia Dyrektora [...] z dnia 3 grudnia 2024 r.) a M. W. posiadała w tym czasie upoważnienia do przetwarzania danych osobowych nadane przez Dyrektora Izby Administracji Skarbowej we W. w dniach 26 maja 2017 r. oraz 25 maja 2018 r. Pracownik, który przeglądał dane Skarżącej w systemie [...] również posiadał upoważnienie do przetwarzania danych osobowych nadane w dniu 1 lutego 2019 r. przez Dyrektora Izby Administracji Skarbowej we W. . W świetle powyższego w ocenie organu tylko w 2021r. doszło do nieuprawnionego przetwarzania danych osobowych skarżącej i z uwagi na to, organ zastosował sankcję wobec administratora spornych danych w postaci upomnienia. Biorąc pod uwagę fakt, że w 2021r. nie doszło do przetwarzania nr. REGON skarżącej (skarżąca nie prowadziła wtedy działalności gospodarczej) jak też uwzględniając okoliczność przetwarzania danych skarżącej w 2024r. w ramach obowiązków służbowych przez pracowników administratora danych, organ umorzył w tym zakresie postępowanie. Od powyższej decyzji skargę do tut. Sądu wywiodła J. W. zarzucając organowi : 1- Naruszenie przepisów postępowania w postaci niedopełnienia obowiązku wysłuchania stron art.77§l Kodeksu Postępowania Administracyjnego, 2- .Naruszenie przepisów prawa materialnego w postaci niewłaściwego ustalenia stanu faktycznego art 7 Kodeksu Postępowania Administracyjnego, 3- Ustalenie stanu faktycznego na podstawie niewłaściwych dowodów w tym niedbale przeprowadzone postępowanie dowodowe oraz pominięcie istotnych dla rozstrzygnięcia . dowodów w sprawie.- art. 80 Kodeksu Postępowania Administracyjnego 4- Naruszęnie zasad współżycia społecznego zarzucając decyzji rażące naruszenie sprawiedliwości społecznej art.58 §2 Kodeksu Cywilnego. W oparciu o powyższe wniosła o uchylenie skarżonego rozstrzygnięcia podkreślając w uzasadnieniu skargi, że organ nie wyjaśnił tego, w jakim celu zostały pozyskane jej dane jak i zbyt niską sankcję nałożoną na administratora danych. W odpowiedzi na skargę organ wniósł o jej oddalenie. Taki sam wniosek wyartykułował uczestnik na rozprawie w dniu 13 listopada 2025r. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: zgodnie z treścią przepisu art.1 par. 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr.153, poz.1269 z późn. zm.) Sąd Administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów uznać należało, iż nie narusza ona prawa. Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy organ procedując ją, poruszał się w granicach prawa. W ocenie tut. Sądu na w/postawione pytanie należało udzielić pozytywnej odpowiedzi. Wyjaśniając motywy rozstrzygnięcia skupić należało się na problematyce obowiązków ciążących na administratorze danych osobowych. Przetwarzanie danych osobowych przez administratora musi odbywać się zgodnie z zasadami, których katalog określa art. 5 ust. 1 RODO. Zgodnie z zasadą ograniczenia celu, uregulowaną w art. 5 ust. 1 lit b RODO, administrator zobowiązany jest do zapewnienia, by dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami. Natomiast art. 5 ust. 1 lit. f RODO nakłada na administratora danych obowiązek przetwarzania danych osobowych zgodnie z zasadą integralności i poufności. Oznacza to, że administrator powinien zapewnić odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. Zgodnie z art. 4 pkt 2 RODO przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Stąd to administrator stosując odpowiednie środki organizacyjne i techniczne odpowiada za takie zorganizowanie procesu przetwarzania danych, by odbywał się on zgodnie z prawem, a także z zapewnieniem przestrzegania zasady ograniczenia celu i zasady poufności danych. Powyższe oznacza, że administrator zobowiązany jest sprawować należytą kontrolę nad prowadzonym procesem przetwarzania danych osobowych, w tym poprzez zabezpieczenie ich przed nieuprawnionym dostępem do nich. W świetle powyższego na organie rozpoznającym skargę która zainicjowała przedmiotowe postępowanie ciążył wymóg ustalenia tego, czy administrator sprostał w/w obowiązkom. Całokształt materiału dowodowego zgromadzonego w sprawie świadczy w ocenie tut. Sądu o tym, że poprawne są konkluzje organu co do stwierdzonych nieprawidłowości w ochronie przez administratora posiadanych przez niego danych. Okolicznością ustaloną w toku postępowania było przecież to, że z inicjatywy Pani M. W. inny pracownik Izby Administracji Skarbowej we W., który posiadał uprawnienia dostępu do systemu [...], przeglądał w celach pozasłużbowych w tym systemie dane osobowe Skarżącej w zakresie m.in. imienia, nazwiska, numeru PESEL, numeru NIP, daty urodzenia, adresu zamieszkania, numeru telefonu oraz adresu e-mail a owo przeglądanie danych Skarżącej przez innego pracownika odbyło się 19 stycznia 2021 roku w godzinach od 06:12 do 06:16, bez podstawy prawnej, bez wiedzy i zgody przełożonego, i nie było związane z wykonywaniem zadań służbowych, zaś nieuprawniony dostęp do danych Pani J. Z. (obecnie W.) polegał wyłącznie na ich przeglądzie gdyż dane te nie zostały skopiowane, nie zostały wydrukowane ani w żaden inny sposób utrwalone na jakimkolwiek nośniku. Jako trafne jawią się więc wnioski organu, że dostęp do danych osobowych Skarżącej 2021r. w systemie administratora, nie nastąpił z jego upoważnienia, ani na jego polecenie wydane w związku z wykonywaniem obowiązków służbowych i że w niniejszej sprawie doszło do udostępnienia danych osobowych Skarżącej w zakresie imienia, nazwiska, numeru PESEL, numeru NIP, daty urodzenia, adresu zamieszkania, numeru telefonu oraz adresu e-mail przechowywanych w systemie [...] Izby Administracji Skarbowej we W bez podstawy prawnej. Dyrektor [...] nie wykazał bowiem, aby wgląd w dane osobowe Skarżącej przetwarzane w systemie [...] Izby Administracji Skarbowej we W. w dniu 19 stycznia 2021 r., w którym z inicjatywy Pani M. W. inny pracownik [...] we W. pozyskał ww. dane osobowe Skarżącej z systemu [...], znajdował oparcie w którejkolwiek z przesłanek wymienionych w art. 6 ust. 1 RODO. To natomiast przesądza o tym, że zaszła przesłanka do udzielenia administratorowi upomnienia. W realiach faktycznych sprawy jako poprawne jawią się też wnioski organu dotyczące braku możliwości przetwarzania w 2021r. danej osobowej skarżącej w postaci Nr. REGON. Poza sporem pozostaje przecież okoliczność rozpoczęcia działalności gospodarczej przez skarżącą dopiero w 2023r. Oczywistym jest, ze nie prowadząc takiej działalności w 2021r. nie posiadała nr. REGON a więc nie mogło dojść do przetwarzania nieistniejącej wówczas danej osobowej. W sposób uprawniony skonstatował też organ fakt, że w 2024r. wgląd w dane osobowe skarżącej został dokonany przez określonych pracowników IAS we W. w ramach ich obowiązków służbowych. Skoro organ dał wiarę wyjaśnieniom administratora dotyczącym owej kwestii, zasadnie nie dopatrzył się bezprawnego przetwarzania danych w 2024r. Wobec powyższego organ miał nie tylko możliwość ale i obowiązek, aby w powyższym zakresie potraktować postępowanie jako bezprzedmiotowe i z tego tytułu umorzyć w tej części postępowanie. Odnosząc się dodatkowo do zarzutów skargi wyjaśnić należało, iż Prezes UODO ma swobodę w doborze środków naprawczych których używa w odniesieniu do administratorów danych. Stosując w niniejszej sprawie wyłącznie sankcję upomnienia przywołał okoliczność, że w Izbie Administracji Skarbowej we W – po stwierdzonym naruszeniu - zostały uruchomione stosowne procedury reagowania na zgłoszenie naruszenia. Samo zgłoszenie Skarżącej zostało odnotowane w systemie zgłoszeń incydentów i naruszeń Resortu Finansów (CSD). Nadto owo zgłoszenie przeanalizował zespół do spraw obsługi zgłoszeń incydentów i naruszeń działający w Ministerstwie Finansów. Zespół ten skierował sprawę do dalszego wyjaśnienia przez Zespół Reagowania na Incydenty Bezpieczeństwa Izby Administracji Skarbowej we W. , który prowadził postępowanie wyjaśniające w tej sprawie, m.in. zbierał dowody i wyjaśnienia. Organ w sposób logiczny i wyczerpujący uzasadnił więc dobór środka zaradczego. Niezależnie od powyższego należało wyjaśnić skarżącej, że osoba wywodząca skargę do organu nie posiada uprawnienia do kreowania sposobu działania organu a zwłaszcza do narzucania organowi sposobu rozstrzygnięcia sprawy (z doborem rodzaju sankcji włącznie). Nie sposób abstrahować też od tego, że działania kontrolne Prezes UODO przeprowadza z urzędu a nie na wniosek. Skarga stanowi wyłącznie asumpt do ewentualnego wszczęcia postępowania przez organ. Stąd inicjator postępowania nie ma możliwości wpływania na działania organu w przedmiocie kroków procesowych podejmowanych w ramach postępowania toczącego się z urzędu. Brak jest również możliwości uwzględnienia zarzutu dotyczącego niewyjaśnienia przez organ celów działania M. W. , gdyż skarga inicjująca postępowanie dotyczyła nieprawidłowości w działaniu administratora danych tj. Dyrektora IAS we W. a nie jakiejś z jego pracownic. Nie mógł się także ostać zarzut naruszenia zasad przewidzianych w Kodeksie cywilnym, gdyż postępowanie administracyjne nie toczy się w oparciu o owe regulacje. Stąd więc przepisy te nie mogły zostać naruszone. W tym stanie sprawy, nie podzielając argumentów zawartych w złożonej skardze, oraz uznając iż organ w sposób prawidłowy zebrał i ocenił materiał dowodowy, oraz iż przy wykonywaniu tych czynności nie naruszył przepisów prawa, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w sentencji wyroku na podstawie art.151 ustawy z dnia 30 sierpnia 2002r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024r. poz.935).