II SA/Wa 814/13

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Pisula-Dąbrowska (spr.) Sędziowie WSA Stanisław Marek Pietras Andrzej Góraj Protokolant starszy sekretarz sądowy Dorota Kwiatkowska po rozpoznaniu na rozprawie w dniu 12 grudnia 2013 r. sprawy ze skargi I. D. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2013 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku na nieprawidłowości w procesie przetwarzania danych osobowych 1) uchyla zaskarżoną decyzję oraz decyzję ją poprzedzającą; 2) stwierdza, że zaskarżona decyzja nie podlega wykonaniu w całości. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] stycznia 2013 r. nr [...], na podstawie art. 138 § 1 pkt 1 K.p.a., utrzymał w mocy własną decyzję z dnia [...] sierpnia 2012 r. w przedmiocie odmowy uwzględnienia skargi I. D. na przetwarzanie jego danych osobowych przez Burmistrza [...]. W motywach uzasadnienia organ wyjaśnił, że I. D. zakwestionował legalność przetwarzania jego danych osobowych przez nieuprawnionego pracownika Urzędu Miasta w [...]. Skarżący wskazał, że w celu odebrania nowego dowodu osobistego udał się do Urzędu i został obsłużony przez osobę nieuprawnioną do przetwarzania jego danych osobowych – E. K., która nie jest pracownikiem Urzędu Stanu Cywilnego w [...]. Po przeprowadzeniu postępowania wyjaśniającego, GIODO, opierając się na wyjaśnieniach Burmistrza [...] i przedłożonym przez niego upoważnieniu dla E. K. uznał, że przetwarzanie danych osobowych I. D., przez tego pracownika, znajduje przesłankę legalizującą w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. GIODO uznał bowiem, że E. K. posiadała prawidłowe, nadane przez administratora danych, tj. Burmistrza [...], w dniu [...] września 2010 r., upoważnienie do przetwarzania danych osobowych. Powyższa decyzja stała się przedmiotem skargi I. D. do tutejszego Sądu. Wnosząc o uchylenie zaskarżonych decyzji, skarżący zakwestionował prawidłowość wydanych przez GIODO decyzji. Twierdził, że wydane zostały bez poszanowania prawa. W odpowiedzi na skargę GIODO wniósł o oddalenie skargi, podkreślając, iż E. K. posiadała nadane przez administratora danych, tj. Burmistrza, upoważnienie do przetwarzania danych osobowych skarżącego. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga zasługuje na uwzględnienie. Oczywistym jest, że każdy Burmistrz, w tym [...], przetwarzając dane osobowe mieszkańców, w prawnie usprawiedliwionym celu, legitymuje się przesłaną legalizującą, określoną w art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Istota sprawy nie sprowadza się do tego, czy Burmistrz [...] działał w oparciu o obowiązujące przepisy prawa, lecz czy podległy mu pracownik Urzędu – E. K. była uprawniona, na podstawie upoważnienia Burmistrza, do przetwarzania danych osobowych skarżącego. Sedno sporu sprowadzało się więc do oceny, czy administrator danych – Burmistrz [...], który w postępowaniu o wydanie nowego dowodu osobistego był niewątpliwie administratorem danych osobowych skarżącego, przetwarzał je legalnie, działając przez osobę trzecią, tj. swojego pracownika. W ocenie Sądu, organ nieprawidłowo, uznał, iż E. K. posiadała stosowne upoważnienie Burmistrza [...] do przetwarzania danych osobowych skarżącego, zważywszy, iż zakresu upoważnienia nie można domniemywać. Z treści przedłożonego przez Burmistrza [...] pełnomocnictwa (k-10) wynika jedynie to, że E. K. została upoważniona "do czynności faktycznej, jaką jest fizyczne wydanie dowodu osobistego osobie zgłaszającej się po odbiór". Analiza treści tak sformułowanego upoważnienia prowadzi do wniosku, iż E. K. nie posiadała prawidłowego upoważnienia do przetwarzania danych osobowych skarżącego. Wykładnia językowa tak zakreślonego upoważnienia daje podstawę do twierdzenia, że E. K. uprawniona została jedynie do czynności pomocniczych, tj. fizycznego podania dokumentu petentowi, po zweryfikowaniu jego tożsamości i odszukaniu dokumentu przez osobę trzecią, która posiada pełne uprawnienia do przetwarzania danych osobowych, tj. do wglądu w dokumenty i ich treść. Powyższa ocena Sądu wynika też z analizy treści wyjaśnień Burmistrza [...] z dnia [...] czerwca 2012 r. (k-9), który wskazał, że E. K. tylko w sytuacji, kiedy w pracy są obecni Kierownik USC lub jego zastępca, posiadający klucze do metalowej kasety, ma prawo doraźnie (w sytuacji wynikającej z potrzeby chwili), np. w sytuacji, kiedy w pracy jest jedna osoba, właściwa do dowodów, ale obsługuje innego interesanta, podać żądany dokument. Skoro zatem w przedmiotowej sprawie, E. K. upoważniona była jedynie do "czynności faktycznej, jaką jest fizyczne podanie dowodu osobistego", sprzecznym zarówno z treścią dokumentu (upoważnienia), jak i z wyjaśnieniami Burmistrza, była dokonana przez GIODO ocena, że E. K. posiadała prawidłowe upoważnienie do przetwarzania danych osobowych interesantów, w tym skarżącego. Zauważyć należy, iż prowadząc postępowanie wyjaśniające, organ zaniechał ustalenia i wyjaśnienia, czy w dniu [...] grudnia 2011 r., kiedy to skarżący w siedzibie Urzędu wyraził wolę odebrania dowodu osobistego, E. K. pracowała w obecności osób trzecich, które posiadały stosowne upoważnienie Burmistrza do przetwarzania danych osobowych skarżącego, czy też, przekraczając zakres upoważnienia Burmistrza, czynności wykonywała samodzielnie. Stwierdzić też należy, iż GIODO, pomimo zgłaszanych przez I. D., w toku postępowania, wniosków dowodowych w tym zakresie (k-15, k-20, k-24 tiret ostatni), nie podjął żadnych czynności. Rozstrzygając przedmiotową sprawę, organ nie wziął też pod uwagę wyjaśnień Burmistrza, z których wynika wprost, że zakres upoważnienia E. K. jest ograniczony do czynności pomocniczych. Organ pominął również okoliczność, że zakresu upoważnienia nie można domniemywać, oraz że brak precyzyjnie wyznaczonego zakresu upoważnienia - art. 37 u.o.d.o. - należy kwalifikować, jako niezgodny z prawem. Wskazać również trzeba, iż w ramach ogólnego obowiązku zabezpieczenia danych osobowych (art. 36 ust. 1), w celu ochrony interesów osób, których dane dotyczą (art. 26 ust. 1), zakres upoważniania powinien być ustalany tak, by zapewnić realizację obowiązku, wynikającego z art. 38 u.o.d.o. Zgodnie z art. 38 tej ustawy, administrator danych (Burmistrz) jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane, przez kogo przetwarzane. Stosownie zaś do art. 36 u.o.d.o oraz rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji, przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024), Burmistrz winien był wprowadzić "Politykę bezpieczeństwa" przetwarzania danych osobowych w Urzędzie Miasta [...]. Administrator danych jest też zobowiązany do prowadzenia dokumentacji, opisującej sposób przetwarzania danych oraz środki techniczne i organizacyjne, zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych, objętych ochroną (art. 36 ust. 2 ustawy). Rozpoznając przedmiotową sprawę, organ zaniechał ustalenia, czy i jakie zarządzenia zostały w tym zakresie przez Burmistrza [...] wydane. Generalny Inspektor nie ustalił też, według jakiego systemu chronione są dane osobowe w Urzędzie [...] w postępowaniu o wydanie dowodów osobistych, kto prowadzi ewidencję osób upoważnionych do przetwarzania danych, czy osoby te przeszły stosowne szkolenie, czy złożyły zapewnienie zachowania tajemnicy itd. Za przedwczesną i błędną uznać zatem należało ocenę organu, dokonaną bez przeprowadzenia postępowania dowodowego, na okoliczność przyjętych przez urząd procedur, o których mowa wyżej oraz na okoliczność, czy w dniu zdarzenia – [...] grudnia 2011 r. – E. K. działała samodzielne, czy też przy udziale osób, posiadających pełne uprawnienia do przetwarzania danych osobowych skarżącego. Reasumując, w ocenie Sądu, nie można było, tylko w oparciu o treść dokumentu – upoważnienia Burmistrza dla E. K. – uznać, iż posiadała ona samodzielne prawo do przetwarzania danych osobowych skarżącego. Tym samym nie można było uznać, że - zgodnie z art. 26 ust. 1 pkt 1 ustawy o ochronie danych osobowych, administrator danych – Burmistrz, prawidłowo wykonał swój obowiązek, jakim jest dołożenie szczególnej staranności, w celu ochrony interesów osób, których dane dotyczą. W konsekwencji za przedwczesną uznać należało ocenę organu, iż w przedmiotowej sprawie zaistniała przesłanka legalizująca przetwarzanie danych osobowych, określona w art. 23 ust. 1 pkt 2 u.o.d.o. Ponownie rozpoznając sprawę, organ uzupełni i przeprowadzi postępowanie wyjaśniające na okoliczności wyżej wskazane, nadto ustali, czy w dniu zdarzenia, [...] grudnia 2011 r., E. K., w oparciu o upoważnienie Burmistrza z dnia [...] września 2010 r. działała samodzielnie, obsługując interesantów, w tym skarżącego, czy też wypełniała czynności pomocnicze w obecności osoby w pełni uprawnionej do przetwarzania danych osobowych. Dokonując tych ustaleń, organ, stosownie do art. 39 ustawy, zażąda od Burmistrza, będącego administratorem danych, ewidencji osób upoważnionych do przetwarzania danych osobowych i listy ich obecności w pracy w dniu zdarzenia, tj. w dniu [...] grudnia 2011 r. Na marginesie wskazać należy, iż z wyjaśnień skarżącego wynika, że do konfliktu, w trakcie odbioru dowodu osobistego, pomiędzy E. K. a skarżącym, doszło w związku z tym, że zażądała ona od skarżącego oddania starego dowodu osobistego, celem zdeponowania go w urzędzie. Wskazać należy, iż stosownie do § 22 rozporządzenia Rady Ministrów z dnia 6 lutego 2009 r. w sprawie wzoru dowodu osobistego oraz trybu postępowania w sprawach wydania dowodów osobistych, ich unieważniania, wymiany, zwrotu lub utraty (Dz. U. Nr 47, poz. 384 ze zm.), przy odbiorze nowego dowodu osobistego okazuje się stary dokument. Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 ust. 1 lit. a i c ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), orzekł, jak w sentencji.