II SA/Wa 873/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Wilczewska-Rzepecka, Sędzia WSA Sławomir Antoniuk, Sędzia WSA Iwona Maciejuk (spr.), , , po rozpoznaniu w trybie uproszczonym w dniu 21 stycznia 2026 r. sprawy ze skargi K. Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2025 r. nr [...] w przedmiocie udostępnienia danych osobowych 1. uchyla zaskarżoną decyzję, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącej K. Z. kwotę 200 (słownie: dwieście) złotych, tytułem zwrotu kosztów postępowania. Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] kwietnia 2025 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572) zwanej dalej k.p.a., w zw. z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. 2019 r. poz. 1781 ze zm.) oraz art. 6 ust. 1 i art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwane dalej RODO, po przeprowadzeniu postępowania administracyjnego w sprawie skargi K. Z., na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Generalnego Dyrektora Dróg Krajowych i Autostrad, polegające na udostępnieniu na stronie Biuletynu Informacji Publicznej Generalnej Dyrekcji Dróg Krajowych i Autostrad w [...] pod adresem [...], danych osobowych K. Z. w zakresie imienia, nazwiska, adresu zamieszkania oraz numeru PESEL, w związku ze złożoną przez nią petycją z dnia [...] kwietnia 2024 r. w sprawie ustawienia ekranów akustycznych wzdłuż drogi krajowej [...] w [...], Prezes Ochrony Danych Osobowych, udzielił upomnienia Generalnemu Dyrektorowi Dróg Krajowych i Autostrad za naruszenie art. 6 ust. 1 RODO polegające na udostępnieniu w okresie od dnia [...] kwietnia 2024 r. do [...] kwietnia 2024 r. bez podstawy prawnej na stronie Biuletynu Informacji Publicznej Generalnej Dyrekcji Dróg Krajowych i Autostrad w [...] pod adresem [...] danych osobowych K. Z. w zakresie imienia, nazwiska, adresu zamieszkania oraz numeru PESEL, w związku ze złożoną przez nią petycją z dnia [...] kwietnia 2024 r. w sprawie ustawienia ekranów akustycznych wzdłuż drogi krajowej [...] w [...]. Organ w uzasadnieniu wskazał, że wpłynęła do niego skarga K. Z. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez GDDKiA polegające na udostępnieniu na stronie Biuletynu Informacji Publicznej GDDKiA pod wskazanym wyżej adresem danych osobowych skarżącej w zakresie imienia, nazwiska, adresu zamieszkania oraz numeru PESEL w związku ze złożoną przez nią petycją z dnia [...] kwietnia 2024 r. w sprawie ustawienia ekranów akustycznych wzdłuż drogi krajowej [...] w [...]. W treści skargi Skarżąca podniosła, że w dniu [...] kwietnia 2024 r. przesłała do GDDKiA, petycję w sprawie ustawienia ekranów akustycznych wzdłuż drogi krajowej [...] w [...]. Skarżąca wskazała, że petycja została opublikowana na stronie internetowej Generalnej Dyrekcji pod podanym już wyżej adresem. Ponadto Skarżąca podniosła, że "Petycja została opublikowana z moimi danymi osobowymi - imieniem, nazwiskiem, adresem zamieszkania oraz numerem PESEL zapisanym w podpisie zaufanym (PESEL jest widoczny w każdej publicznej aplikacji do weryfikacji podpisu elektronicznego). Petycja nie zawierała zgody na ujawnienie na stronie internetowej podmiotu rozpatrującego petycję danych osobowych podmiotu wnoszącego petycję". Uzupełniając skargę pismem z dnia [...] maja 2024 r. Skarżąca wskazała cyt. "Przed wysłaniem skargi do UODO, w dniu [...].04.2024 za pośrednictwa poczty elektronicznej zwróciłam się do GDDKiA z prośbą o usunięcie i nieujawnianie moich danych osobowych na stronie internetowej. Ponieważ nie wiedziałam czy lub kiedy GDDKiA podejmie jakieś działania w tej sprawie, skierowałam dodatkowo skargę do Urzędu Ochrony Danych Osobowych (UODO). Tego samego dnia, tj. [...].04.2024, zostałam poinformowana przez GDDKiA o usunięciu ze strony internetowej petycji z moimi danymi osobowymi. (...) Pismem z dnia [...].04.2024 zostałam dodatkowo poinformowana przez GDDKiA o zdarzeniu, podjętych działaniach, możliwych konsekwencjach oraz o krokach, jakie mogę podjąć, aby zminimalizować ryzyko negatywnych konsekwencji tego zdarzenia". Uzupełniając skargę pismem z dnia [...] sierpnia 2024 r. Skarżąca wskazała, że cyt. (...) w dalszym ciągu dochodzi do udostępnienia moich danych osobowych na stronie internetowej Generalnej Dyrekcji Dróg Krajowych i Autostrad (GDDKiA). Po wpisaniu w wyszukiwarkę internetową haseł "hałas [...] petycja" pod linkiem [...] wyświetlają się moje dane osobowe (imię, nazwisko, adres zamieszkania), a po kliknięciu w dokument PDF otwiera się dokument z petycją i moimi danymi osobowymi (imię, nazwisko, adres zamieszkania, PESEL w podpisie zaufanym)". Na podstawie zgromadzonego w sprawie materiału dowodowego Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny. Organ podał, że Generalny Dyrektor wyjaśnił, że przetwarza dane osobowe skarżącej w związku ze złożoną przez Skarżącą petycją z dnia [...] kwietnia 2024 r. w sprawie ustawienia ekranów akustycznych wzdłuż drogi krajowej [...] w [...]. Jak wyjaśnił Dyrektor, dane te są przetwarzane w celu realizacji obowiązku prawnego nałożonego na GDDKiA polegającego na obowiązku rozpatrzenia petycji; podstawą prawną przetwarzania są przepisy ustawy z 11 lipca 2014 r. o petycjach (Dz. U. z 2018 r. poz. 870 ze zm.), dalej jako ustawa o petycjach, (wyjaśnienia Dyrektora z dnia [...] czerwca 2024 r. – w aktach sprawy). Dyrektor wyjaśnił, że petycja skarżącej została umieszczona w dniu [...] kwietnia 2024 r. w Biuletynie Informacji Publicznej, dalej jako BIP, w celu realizacji obowiązku wynikającego z art. 8 ust. 1 ustawy o petycjach Jak wyjaśnił Dyrektor cyt. "[w] petycji nie zostały zanonimizowane dane osobowe skarżącej (imię i nazwisko, adres korespondencyjny, adres skrytki e-puap). Dodatkowo petycja była podpisana kwalifikowanym podpisem zawierającym numer PESEL" (wyjaśnienia Dyrektora z dnia [...] czerwca 2024 r. - w aktach sprawy). Dyrektor wyjaśnił, że wniosek skarżącej o usunięcie jej danych osobowych z BIP wpłynął do GDDKiA [...] kwietnia 2024 r. Tego samego dnia GDDKiA uznał żądanie za zasadne i usunął petycję zawierającą dane osobowe skarżącej z BIP. Jednocześnie GDDKiA uznał zaistniałą sytuację za naruszenie ochrony danych osobowych i dokonał stosownego zgłoszenia do PUODO. Ponadto Dyrektor wyjaśnił, że obecnie nie są udostępniane dane osobowe skarżącej w BIP GDDKiA, gdyż w ww. biuletynie dostępna jest zanonimizowana treść petycji skarżącej (wyjaśnienia Dyrektora z dnia [...] czerwca 2024 r. - w aktach sprawy). Prezes UODO podał, że z jego ustaleń poczynionych w wyniku sprawdzenia strony internetowej BIP GDDKiA wynika, że pod adresem [...] znajduje się zanonimizowana petycja z dnia [...] kwietnia 2024 r. w sprawie ustawienia ekranów akustycznych wzdłuż drogi [...] w [...]. Ww. petycja nie zawiera danych osobowych skarżącej w zakresie jej imienia, nazwiska, adresu zamieszkania oraz numeru PESEL (notatka służbowa z dnia [...] lipca 2024 r. - w aktach sprawy). Z ustaleń Prezesa UODO poczynionych w wyniku sprawdzenia wyszukiwarki internetowej Google, po wpisaniu wskazanego w piśmie skarżącej z dnia [...] sierpnia 2022 r. hasła "hałas [...] petycja" oraz po otwarciu strony [...] (GDDKiA) pojawia się w formacie PDF zanonimizowana petycja skarżącej z dnia [...] kwietnia 2024 r. w sprawie ustawienia ekranów akustycznych wzdłuż drogi [...] w [...]. Ww. petycja nie zawiera danych osobowych skarżącej w zakresie imienia, nazwiska, adresu zamieszkania oraz numeru PESEL (organ wskazał na notatkę służbową z dnia [...] stycznia 2025 r.). Rozstrzygając w sprawie organ wskazał, że administrator zobowiązany jest zapewnić, by dane osobowe były przetwarzane zgodnie z prawem. Oznacza to, że administrator przetwarzając dane osobowe, musi legitymować się przynajmniej jedną z przesłanek określonych w art. 6 ust. 1 RODO. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Organ przytoczył powołany przepis. Ponadto administrator danych ma obowiązek zapewnić, aby dane osobowe były przetwarzane zgodnie z zasadami określonymi w art. 5 ust. 1 RODO. Wspomniany przepis nakazuje, by przetwarzanie danych następowało zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (art. 5 ust. 1 lit. a RODO). Zgodnie natomiast z zasadą minimalizacji danych, dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (ast. 5 ust. 1 lit. c RODO). Przepis ten nakazuje ograniczenie przetwarzania danych jedynie do niezbędnego minimum i przetwarzanie tylko takich danych, bez których nie da się osiągnąć celu. Ponadto na administratorze danych spoczywa obowiązek przetwarzania danych osobowych zgodnie z zasadą integralności i poufności (art. 5 ust. 1 lit. f RODO). Organ wskazał, że petycja zawierać musi m.in. oznaczenie podmiotu, który wnosi petycję (art. 4 ust. 2 pkt 1 ustawy o petycjach) oraz jego miejsce zamieszkania lub siedzibę (art. 4 ust. 2 pkt 2 ustawy o petycjach). Zgodnie z art. 4 ust. 3 ustawy o petycjach - petycja może zawierać zgodę na ujawnienie na stronie internetowej podmiotu rozpatrującego petycję lub urzędu go obsługującego danych osobowych podmiotu wnoszącego petycję. Zgodnie z art. 8 ust. 1 ustawy o petycjach, na stronie internetowej podmiotu rozpatrującego petycję lub urzędu go obsługującego niezwłocznie zamieszcza się informację zawierającą odwzorowanie cyfrowe (skan) petycji, datę jej złożenia oraz - w przypadku wyrażenia zgody, o której mowa w art. 4 ust. 3 - imię i nazwisko albo nazwę podmiotu wnoszącego petycję lub podmiotu, w interesie którego petycja jest składana. Powyższy przepis nakłada zatem na podmiot rozpatrujący petycję obowiązek niezwłocznego umieszczenia na stronie internetowej BIP informacji zawierającej cyfrowe odwzorowanie petycji (skan), datę jej złożenia oraz w przypadku wyrażenia zgody, o której mowa w art. 4 ust. 3, imię i nazwisko wnoszącego petycję. Mając powyższe na uwadze organ wskazał, że zgodnie z art. 8 ust. 1 ustawy o petycjach udostępnienie danych osobowych osoby składającej petycję - w postaci imienia i nazwiska - na stronie internetowej podmiotu rozpatrującego petycję lub urzędu go obsługującego jest dopuszczalne pod warunkiem wyrażenia przez tę osobę zgody na publikację ww. danych osobowych. Z materiału dowodowego zgromadzonego w niniejszej sprawie wynika natomiast, że Skarżąca składając petycję nie wyraziła zgody na publikację jej danych osobowych na stronie internetowej BIP. Mając na uwadze, że przepisy art. 8 ust. 1 ustawy o petycjach zezwalają na upublicznienie danych osobowych osoby składającej petycję w postaci imienia i nazwiska pod warunkiem wyrażenia przez tę osobę zgody na publikację ww. danych osobowych na stronie internetowej podmiotu przetwarzającego dane osobowe, uznać należy, że w przypadku niewyrażenia takiej zgody, brak jest podstaw do upublicznienia danych osobowych wnoszącego petycję w zakresie wskazanym w ww. przepisie. Wówczas dokument taki powinien być umieszczony na stronie BIP po uprzedniej anonimizacji danych osobowych osoby wnoszącej petycję. Organ wskazał, że z jego ustaleń wynika, że w dniu [...] kwietnia 2024 r. do GDDKiA wpłynęła petycja skarżącej z dnia [...] kwietnia 2024 r. Ww. petycja Skarżącej została umieszczona w dniu [...] kwietnia 2024 r. na stronie internetowej BIP GDDKiA pod adresem wskazanym już wyżej w celu realizacji obowiązku wynikającego z art. 8 ust. 1 ustawy o petycjach. W dniu [...] kwietnia 2024 r. wpłynęło do GDDKiA zgłoszenie skarżącej o braku anonimizacji jej danych osobowych zawartych w zamieszczonej na stronie internetowej BIP GDDKiA petycji. Z analizy materiału dowodowego wynika, że zamieszczona na stronie BIP GDDKiA petycja zawierała dane osobowe skarżącej w zakresie imienia, nazwiska, adresu zamieszkania oraz numeru PESEL zawartego w kwalifikowanym podpisie cyfrowym, jakim było opatrzone pismo skarżącej. Jak wyjaśnił Dyrektor, natychmiast po powzięciu informacji o umieszczeniu petycji bez zanonimizowania w/w. danych osobowych skarżącej, w dniu [...] kwietnia 2024 r. publikacja została usunięta z BIP, o czym poinformowana została również skarżąca. Mając to na uwadze organ stwierdził, że GDDKiA publikując w okresie od dnia [...] kwietnia 2024 r. do dnia [...] kwietnia 2024 r. dane osobowe skarżącej w zakresie imienia, nazwiska, adresu zamieszkania oraz numeru PESEL, w związku ze złożoną przez skarżącą petycją z dnia [...] kwietnia 2024 r. na stronie internetowej BIP GDDKiA pod adresem wskazanym już wyżej, nie legitymował się zatem żadną z przesłanek określonych w art. 6 ust. 1 RODO, która stanowiłaby o legalności tego udostępnienia, co przesądza o tym, że udostępnienie nastąpiło bez podstawy prawnej. Jednocześnie z materiału dowodowego zgromadzonego w sprawie wynika, że przetwarzanie przez Dyrektora danych osobowych skarżącej w zakwestionowany przez nią sposób nie jest obecnie kontynuowane. Prezes UODO wskazał, że jak ustalono, w dniu [...] kwietnia 2024 r., po otrzymaniu wniosku od Skarżącej o usunięcie jej danych. Dyrektor usunął z BIP dane osobowe skarżącej w postaci imienia, nazwiska, adresu zamieszkania oraz numeru PESEL zawartego w kwalifikowanym podpisie cyfrowym skarżącej. Następnie cyfrowe odwzorowanie petycji skarżącej zostało zastąpione dokumentem, w którym nie ma danych osobowych Skarżącej. Tym samym, na dzień wydania niniejszej decyzji. Dyrektor nie przetwarza danych osobowych skarżącej w sposób zakwestionowany w skardze. Prezes UODO w sytuacji stwierdzenia naruszenia przepisów o ochronie danych osobowych reaguje odpowiednio do wagi konkretnego naruszenia korzystając z uprawnień, jakie przysługują mu na podstawie RODO. Prezes UODO stwierdził, że opisane w przedmiotowej sprawie naruszenie miało charakter jednorazowego incydentu. Jednakże wskazać należy, że Dyrektor naruszył przepisy o ochronie danych osobowych udostępniając bez podstawy prawnej na stronie BIP GDDKiA pod adresem wskazanym już wyżej dane osobowe skarżącej w zakresie imienia, nazwiska, adresu zamieszkania oraz numeru PESEL zawartego w kwalifikowanym podpisie cyfrowym skarżącej w związku ze złożoną przez nią petycją z dnia [...] kwietnia 2024 r., naruszając tym samym przepis art. 6 ust. 1 RODO. Organ stwierdził, że mając na uwadze powyższe, oraz fakt, że ww. dane osobowe skarżącej nie są obecnie udostępniane na stronie BIP w kwestionowany przez nią sposób, uznał za zasadne skorzystanie w niniejszej sprawie z instrumentu o charakterze naprawczym przewidzianego w art. 58 ust. 2 lit. b RODO i udzielił Dyrektorowi upomnienia za udostępnienie na stronie BIP GDDKiA pod wskazanym już wyżej adresem danych osobowych skarżącej w postaci imienia, nazwiska, adresu zamieszkania oraz numeru PESEL zawartego w kwalifikowanym podpisie cyfrowym Skarżącej w związku ze złożoną przez nią petycją z dnia [...] kwietnia 2024 r. w sprawie ustawienia ekranów akustycznych wzdłuż drogi krajowej [...] w [...]. Odnosząc się zaś do zarzutu zwartego w treści pisma Skarżącej z dnia [...] sierpnia 20224 r. odnośnie dalszego udostępniania jej danych osobowych w związku ze złożoną petycją z dnia [...] kwietnia 2024 r. w sprawie ustawienia ekranów akustycznych wzdłuż drogi krajowej [...] w [...], organ stwierdził, że z jego z ustaleń poczynionych w wyniku sprawdzenia wyszukiwarki internetowej Google wynika, że po wpisaniu wskazanego przez Skarżącą hasła "hałas [...] petycja" oraz po otwarciu strony [...] (Generalna Dyrekcja Dróg Krajowych i Autostrad) pojawia się w formacie PDF zanonimizowana petycja skarżącej z dnia [...] kwietnia 2024 r. w sprawie ustawienia ekranów akustycznych wzdłuż drogi [...] w [...], która nie zawiera danych osobowych Skarżącej w zakresie imienia, nazwiska, adresu zamieszkania oraz numeru PESEL zawartego w kwalifikowanym podpisie cyfrowym Skarżącej. Decyzja Prezesa UODO z dnia [...] kwietnia 2025 r. nr [...] stała się przedmiotem skargi K. Z. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżąca zarzuciła naruszenie przepisów prawa procesowego, które miało istotny wpływ na wynik sprawy, tj.: art. 8 § 1 k.p.a. poprzez przeprowadzenie postępowania w sposób niebudzący zaufania do władzy publicznej w związku z niedokładnym niewyjaśnieniem stanu faktycznego, a przez to błędnym ustaleniem, że do naruszenia polegającego na udostępnieniu danych osobowych bez podstawy prawnej doszło w okresie od dnia [...] kwietnia 2024 r. do [...] kwietnia 2024 r., podczas gdy do takiego naruszenia doszło w okresie od dnia [...] kwietnia 2024 r. do co najmniej [...] września 2024 r.; art. 7 k.p.a. poprzez niepodjęcie z urzędu przez Prezesa Urzędu Ochrony Danych Osobowych czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego, tj. niezwrócenie się o wyjaśnienia do GDDKiA po otrzymaniu pisma z dnia [...] sierpnia 2024 r. z informacją o bezprawnym udostępnianiu danych osobowych przez GDDKiA na stronie Internetowej; art. 77 § 1 k.p.a. poprzez niezebranie i nierozpatrzenie całego materiału dowodowego w związku z pominięciem dowodu w postaci załącznika do pisma z dnia [...] sierpnia 2024 r. potwierdzającego, że w dniu [...] sierpnia 2024 r. dochodziło do bezprawnego udostępniania jej danych osobowych na stronie internetowej; art. 107 § 3 k.p.a. poprzez pominięcie w uzasadnieniu zaskarżonej decyzji wyjaśnienia przyczyn, z powodu których Prezes UODO odmówił wiarygodności i mocy dowodowej załącznika do pisma z dnia [...] sierpnia 2024 r. potwierdzającego, że w dniu [...] sierpnia 2024 r. dochodziło do udostępniania jej danych osobowych na stronie internetowej. Skarżąca wniosła o uchylenie zaskarżonej decyzji i zasądzenie zwrotu kosztów postępowania sądowego. W uzasadnieniu wskazała m.in., że w dniu [...].08.2024 r. dowiedziała się od osób trzecich, że petycja w sprawie ustawienia ekranów akustycznych wzdłuż drogi krajowej [...] w [...] wraz z jej danymi osobowymi jest wciąż dostępna w Internecie. Tego samego dnia zweryfikowała tę informację i stwierdziłam, że wpisując w wyszukiwarkę Google hasła tematycznie związane z moją petycją, np. "hałas [...] petycja" wśród wyników pojawiają się jej dane osobowe, tj. imię, nazwisko, adres zamieszkania, a po wejściu w link otwiera się petycja wraz z moimi danymi osobowymi. Podała, że w dniu [...].08.2024 r. wysłała do GDDKiA maila z prośbą o pilne podjęcie działań w celu zaprzestania udostępniania moich danych osobowych na stronie internetowej. Do maila, jako dowód, dołączyła zrzut ekranu wykonany w dniu [...].08.2024 o nazwie "Dane osobowe widoczne w wyszukiwarce [...].08.2024" (data i godzina wykonania zrzutu ekranu jest widoczna w prawym dolnym rogu na zrzucie ekranu). W tym samym dniu, tj. [...].08.2024 r., wysłała również pismo do UODO stanowiące odpowiedź na zawiadomienie Prezesa UODO z dnia [...].08.2024 r. o zebraniu całości materiału dowodowego. W piśmie poinformowała UODO, że w dalszym ciągu dochodzi do udostępniania moich danych osobowych na stronie internetowej GDDKiA. Po wpisaniu w wyszukiwarkę internetową haseł "hałas [...] petycja" pod linkiem [...] wyświetlają się jej dane osobowe (imię, nazwisko, adres zamieszkania), a po kliknięciu w dokument PDF otwiera się dokument z petycją i jej danymi osobowymi (imię, nazwisko, adres zamieszkania, PESEL w podpisie zaufanym). Do pisma dołączyła zrzut ekranu z przeglądarki internetowej i pierwszą stronę dokumentu PDF (petycji) otwartego z przeglądarki (ten sam załącznik o nazwie "Dane osobowe widoczne w wyszukiwarce [...].08.2024", który wysłała do GDDKiA, z datą i godziną widoczną w prawym dolnym rogu wykonania zrzutu ekranu). Podniosła, że z uwagi na to, że jej dane osobowe w dalszym ciągu były udostępniane w Internecie, w dniu [...].09.2024 r. ponownie wysłała do GDDKiA maila na adres [...], gdzie ponownie zwróciła się z prośbą o skuteczne usunięcie jej danych osobowych ze stron internetowych, na których zostały opublikowane, tak aby nie wyświetlały się w wyszukiwarce po wpisaniu haseł związanych tematycznie z jej petycją. Do maila jako dowód dołączyła zrzut ekranu wykonany w dniu [...].09.2024 r. o nazwie "Dane osobowe widoczne w wyszukiwarce [...].09.2024" (data i godzina wykonania zrzutu ekranu jest widoczna w prawym dolnym rogu na zrzucie ekranu). Skarżąca podała, że pismem z dnia [...].09.2024 r. GDDKiA poinformowała ją o skutecznym usunięciu pliku z jej danymi osobowymi z serwera [...]. Pismem z dnia [...].03.2025 r. zwróciła się do UODO z pytaniem czy sprawa dotycząca udostępniania jej danych osobowych na stronie internetowej przez GDDKiA została zakończona, a jeśli tak, to poprosiła o przesłanie rozstrzygnięcia w sprawie. Pismem z dnia [...].03.2025 r. UODO poinformował, że na podstawie jej pisma z dnia [...].08.2024 r. zawierającego dodatkowe zarzuty w przedmiocie złożonej skargi, Prezes UODO poczynił dodatkowe ustalenia w sprawie, na skutek których został uzupełniony materiał dowodowy. Jednocześnie poinformowano, że Prezes UODO zgromadził materiał dowodowy wystarczający do wydania decyzji administracyjnej w sprawie. Pismo nie zawierało żadnych szczegółów do zebranego materiału dowodowego. Skarżąca podniosła, że w jej ocenie doszło do błędnego ustalenia stanu faktycznego przez UODO i uznania, że naruszenie polegające na udostępnieniu jej danych osobowych (imienia, nazwiska, adresu zamieszkania, PESEL) bez podstawy prawnej na stronie internetowej przez GDDKiA miało miejsce w okresie od [...].04.2024 r. do [...].04.2024 r. Faktycznie do bezprawnego udostępnienia doszło w okresie od [...].04.2024 r. do co najmniej [...].09.2024. Podniosła, że jeśli Prezes UODO sprawdził dopiero w dniu [...].01.2025 r., na co wskazuje podana w zaskarżonej decyzji data notatki, czy dane osobowe są w dalszym ciągu udostępniane w Internecie przez GDDKiA w związku ze złożoną petycją, to nie mógł już stwierdzić nieprawidłowości w postaci udostępniania danych osobowych. Gdyby Prezes UODO dokonał takiej weryfikacji po moim zgłoszeniu z dnia [...].08.2024 r., to do dnia [...].09.2024 r. miałby możliwość ustalenia stanu faktycznego w sprawie zgodnego ze stanem rzeczywistym. W ocenie Skarżącej Prezes UODO nie zebrał i nie rozpatrzył całego materiału dowodowego skutkiem czego organ nieprawidłowo ustalił stan faktyczny, co miało istotny wpływ na wynik sprawy. Organ pominął dowód w postaci załącznika do pisma z dnia [...].08.2024 r. zawierającego zrzut ekranu, który potwierdzał, że jeszcze w dniu [...].08.2024 r. dochodziło do udostępniania danych osobowych w Internecie, co stanowi naruszenie art. 77 § 1 k.p.a. Ponadto uzasadnienie zaskarżonej decyzji nie zawiera wyjaśnienia przyczyn, z powodu których organ odmówił wiarygodności i mocy dowodowej załącznika do pisma z dnia [...].08.2024 r. zawierającego zrzut ekranu, który potwierdzał, że jeszcze w dniu [...].08.2024 r. dochodziło do udostępniania jej danych osobowych na stronie internetowej, co stanowi naruszenie art. 107 § § 3 k.p.a. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie podtrzymując stanowisko zawarte w zaskarżonej decyzji. Wniósł o rozpoznanie sporawy w trybie uproszczonym. Uzasadniając wniosek o oddalenie skargi stwierdził, że przedsięwziął przewidziane prawem czynności służące prawidłowemu przeprowadzeniu postępowania, w tym wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych przedmiotowej sprawy. Organ podniósł, że ze skarżonej decyzji wynika, że Prezes UODO nie pozostawił poza swoimi rozważaniami argumentów podnoszonych przez stronę, nie pominął istotnych dla rozstrzygnięcia sprawy materiałów dowodowych, a także nie dokonał oceny tych materiałów wbrew zasadom logiki lub doświadczenia życiowego. Organ odnosząc się do zarzutów skargi wskazał m.in., że w dniu [...] sierpnia 2024 r. do Urzędu Ochrony Danych Osobowych wpłynęło pismo skarżącej, w którym wskazała, że "(...) w dalszym ciągu dochodzi do udostępniania moich danych osobowych na stronie internetowej Generalnej Dyrekcji Dróg Krajowych i Autostrad (...). Po wpisaniu w wyszukiwarkę internetową haseł "hałas [...] petycja" pod linkiem [...] wyświetlają się moje dane osobowe (imię, nazwisko, adres zamieszkania), a po kliknięciu w dokument PDF otwiera się dokument z petycją i moimi danymi osobowymi (imię, nazwisko, adres zamieszkania, PESEL w podpisie zaufanym).". Jednocześnie w dniu [...] marca 2025 r. do Urzędu Ochrony Danych Osobowych wpłynęło pismo skarżącej, w którym zwróciła się o informację "(...) czy sprawa nr [...] dotycząca udostępnienia moich danych osobowych na stronie internetowej Generalnej Dyrekcji Dróg Krajowych i Autostrad (GDDKiA) została zakończona?(...)". W związku z powyższym, organ ponownie dokonał analizy strony internetowej Generalnej Dyrekcji Dróg Krajowych i Autostrad i ustalił, że na dzień [...] marca 2025 r., po wpisaniu w wyszukiwarkę internetową Google wskazanego przez Skarżącą hasła "hałas [...] petycja" oraz po otwarciu strony [...] (Generalna Dyrekcja Dróg Krajowych i Autostrad) znajduje się w formacie PDF zanonimizowana petycja z dnia [...] kwietnia 2024 r. w sprawie ustawienia ekranów akustycznych wzdłuż drogi [...] w [...], która nie zawiera danych osobowych skarżącej w zakresie jej imienia, nazwiska, adresu zamieszkania oraz numeru PESEL w podpisie zaufanym. Zdaniem organu pozyskany w wyniku postępowania materiał dowodowy był pełny i w ocenie organu nie budził wątpliwości co do swojej wiarygodności. Organ do spraw ochrony danych osobowych przedsięwziął przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych przedmiotowej sprawy. W ocenie organu zaskarżona decyzja została wydana w oparciu o wystarczający i niebudzący wątpliwości organu materiał dowodowy, pozyskany w wyniku postępowania administracyjnego przeprowadzonego zgodnie z zasadami określonymi w przepisach k.p.a. Skarżąca w piśmie procesowym z dnia [...] czerwca 2025 r. stanowiącym replikę na odpowiedź na skargę, podtrzymała skargę. Raz jeszcze podniosła, że do pisma z dnia [...] sierpnia 2024 r. skierowanego do Prezesa UODO dołączyła dowód w postaci zrzutu ekranu z wyszukiwarki internetowej oraz pierwszą stronę dokumentu PDF (petycji) otwartego z wyszukiwarki, który potwierdza fakt, że jej dane były w tym dniu udostępniane. Na zrzucie ekranu widoczna jest data i godzina jego wykonania (w prawym, dolnym rogu zrzutu ekranu). Wskazała, że jeżeli organ dopiero [...] stycznia 2025 r. sprawdził czy jej dane są udostępniane na stronie internetowej, za którą odpowiada GDDKiA, to nie mógł już stwierdzić naruszenia, ponieważ GDDKiA zaprzestała udostępniania jej danych osobowych we wrześniu 2024 r. Jednak fakt, że w dniu [...] stycznia 2025 r. jej dane nie były już udostępniane, nie oznacza, że dane nie były udostępniane przed tym dniem. Pomimo że organ miał potwierdzenie w postaci przesłanego zrzutu ekranu, że na dzień [...] sierpnia 2024 r. dochodziło do bezprawnego udostępniania jej danych osobowych na stronie internetowej GDDKiA, organ nie wyjaśnił tej okoliczności. Organ pomijając w toku postępowania administracyjnego dowód w postaci zrzutu ekranu z dnia [...] sierpnia 2024 r. błędnie ustalił stan faktyczny. Skarżąca wniosła jednocześnie o przeprowadzenie dowodu z dokumentów dołączonych do skargi z dnia [...] maja 2025 r. na okoliczność błędnego ustalenia stanu faktycznego przez organ, tj. z pisma do UODO z [...].08.2024 wraz z załącznikiem (dane osobowe widoczne w wyszukiwarce [...].08.2024); potwierdzenia udostępniania danych w dniu [...].09.2024 (dane osobowe widoczne w wyszukiwarce [...].09.2024); pisma GDDKiA z [...].09.2024 r., na okoliczność potwierdzającą bezprawne udostępnianie danych osobowych do dnia [...] września 2025 r. oraz błędne ustalenie stanu faktycznego przez organ. Skarżąca przychyliła się do wniosku organu o rozpoznanie sprawy w trybie uproszczonym. Uczestnik postępowania Generalny Dyrektor Dróg Krajowych i Autostrad wezwany do ustosunkowania się do wniosku organu o rozpoznanie sprawy w trybie uproszczonym nie żądał przeprowadzenia rozprawy (wezwanie Sądu z dnia [...] czerwca 2025 r.). Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r., poz. 935), zwanej dalej P.p.s.a.). W świetle powołanych przepisów, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego. Sprawa rozpoznana została w trybie uproszczonym. Zgodnie z art. 119 pkt 2 P.p.s.a., sprawa może być rozpoznana w trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w trybie uproszczonym, a żadna z pozostałych stron w terminie czternastu dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy. Prezes Urzędu Ochrony Danych Osobowych jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i jednocześnie organem nadzorczym w rozumieniu RODO (art. 34 ust. 2 u.o.d.o.). Jak stanowi art. 57 ust. 1 lit. a i lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, a także rozpatruje skargi wniesione przez osobę, której dane dotyczą. Uwzględniając powyższe Sąd stwierdził, że skarga jest zasadna. Zaskarżona decyzja narusza bowiem przepisy prawa procesowego, tj. art. 7, art. 8, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. w stopniu, który mógł mieć istotny wpływ na wynik sprawy. Wobec uzasadnionych zarzutów naruszenia prawa procesowego przedwczesna była ocena prawidłowości zastosowania prawa materialnego. Zgodnie z art. 106 § 3 P.p.s.a. sąd może z urzędu lub na wniosek stron przeprowadzić dowody uzupełniające z dokumentów, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania w sprawie. Skarżąca podnosiła w toku postępowania administracyjnego w piśmie z dnia [...] sierpnia 2024 r. przed organem istotne okoliczności dotyczące dalszego przetwarzania, tj. po dniu [...] kwietnia 2024 r., jej danych osobowych przez Generalnego Dyrektora Dróg Krajowych i Autostrad, które to okoliczności nie zostały – w ocenie Sądu – wyjaśnione przez Prezesa UODO w postępowaniu administracyjnym. Przedłożenie w toku postępowania sądowego dodatkowych dokumentów dotyczących podnoszonych w tym piśmie kwestii, w tym dokumentów dotyczących działań podjętych przez Generalnego Dyrektora Dróg Krajowych i Autostrad w związku z informacjami przedstawianymi przez skarżącą Prezesowi UODO w piśmie z dnia [...] sierpnia 2024 r. wymagało uwzględnienia ich w postępowaniu sądowym. Sąd uwzględnił wniosek zawarty w piśmie procesowym skarżącej z dnia [...] czerwca 2025 r. o wzięcie pod uwagę jako dowodu załączonych do skargi dokumentów, tj. pisma GDDKiA z dnia [...] września 2024 r. skierowanego do skarżącej, a także wydruku z wyszukiwarki internetowej potwierdzenia udostępniania danych osobowych skarżącej w dniu [...] września 2024 r. Jednocześnie Sąd wskazuje, że akta administracyjne zawierają wskazywane przez skarżącą pismo skierowane do UODO z dnia [...] sierpnia 2024 r. wraz z załącznikiem (dane osobowe widoczne w wyszukiwarce [...] sierpnia 2024 r.), a zatem w tym zakresie nie było podstaw do przeprowadzania uzupełniającego postępowania. Sąd rozstrzyga bowiem na podstawie akt administracyjnych. Sąd stwierdził, że skarga jest zasadna, albowiem akta postępowania administracyjnego wskazują, że organ nie dokonał w tej sprawie pełnych ustaleń faktycznych, nie zgromadził pełnego materiału dowodowego i nie dokonał wszechstronnej oceny wszystkich przedstawionych przez skarżącą okoliczności faktycznych (art. 77 § 1 k.p.a.), co mogło mieć istotny wpływ na wynik sprawy. Sąd za zasadne uznał podniesione w skardze zarzuty naruszenia przepisów postępowania administracyjnego w tym zakresie. Zgodnie z art. 7 k.p.a., w toku postępowania organy administracji publicznej stoją na straży praworządności, z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. Stosownie zaś do art. 77 § 1 k.p.a., organ administracji publicznej jest obowiązany w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy. Organ administracji publicznej ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona (art. 80 k.p.a.). Zgodnie z art. 107 § 3 k.p.a., uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne - wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa. W sprawie niniejszej uzasadnienie zaskarżonej decyzji wymogów powołanego przepisu nie spełnia, co mogło mieć istotny wpływ na wynik sprawy. Zarówno RODO, jak i ustawa o ochronie danych osobowych nie regulują kwestii postępowania dowodowego i powinności organu nadzorczego związanych z czynieniem ustaleń faktycznych. W związku z tym zastosowanie w tym zakresie znajdują reguły i zasady określone w k.p.a. Podkreślenia wymaga, że celem postępowania administracyjnego jest rozstrzygnięcie sprawy administracyjnej dotyczącej konkretnej osoby (podmiotu danych). Jednym ze stadiów postępowania jest stadium wyjaśniające - pozwalające ustalić dokładny stan faktyczny w danej sprawie. W wyniku postępowania wyjaśniającego organ administracji publicznej ma dojść do wskazanej w art. 7 k.p.a. prawdy obiektywnej, co czyni za pomocą środków dowodowych. Zgodnie z art. 75 k.p.a., jako dowód należy dopuścić wszystko, co może przyczynić się do wyjaśnienia sprawy, a nie jest sprzeczne z prawem. W szczególności dowodem mogą być dokumenty, zeznania świadków, opinie biegłych oraz oględziny. Na tle uregulowania postępowania dowodowego w k.p.a. w orzecznictwie wyrażany jest pogląd, że niedopuszczalne jest stosowanie formalnej (legalnej) teorii dowodów poprzez twierdzenie, że daną okoliczność można udowodnić wyłącznie określonymi środkami dowodowymi bądź też przez tworzenie nowych reguł korzystania ze środków dowodowych (por. wyrok NSA z 9 marca 1989 r., sygn. akt II SA 961/88). W postępowaniu administracyjnym, organ powinien wykorzystać wszelkie dostępne środki dowodowe, a niedopuszczalna jest sytuacja, w której organ dokonuje rozstrzygnięcia na podstawie tylko jednego, wybranego środka dowodowego. W świetle powyższego stwierdzić należy, że jednym z podstawowych środków gwarantujących sprawiedliwy rezultat postępowania są na gruncie procedury administracyjnej reguły prowadzenia postępowania dowodowego (art. 75-81 k.p.a.) oraz obowiązek dochodzenia przez organ administracji do prawdy obiektywnej (art. 7 k.p.a.) w oparciu o wszechstronną analizę materiału dowodowego w sprawie (art. 77 § 1 i art. 80 k.p.a.). W sprawie tej Prezes UODO ustalił, że Generalny Dyrektor Dróg Krajowych i Autostrad przetwarza dane osobowe skarżącej w związku ze złożoną przez skarżącą petycją z dnia [...] kwietnia 2024 r. w sprawie ustawienia ekranów akustycznych wzdłuż drogi krajowej [...] w [...]. Organ powołując się na wyjaśnienia Generalnego Dyrektora Dróg Krajowych i Autostrad z dnia [...] czerwca 2024 r. stwierdził, że petycja skarżącej została umieszczona w dniu [...] kwietnia 2024 r. w Biuletynie Informacji Publicznej, dalej jako BIP, w celu realizacji obowiązku wynikającego z art. 8 ust. 1 ustawy o petycjach. Na podstawie wyjaśnień Generalnego Dyrektora Prezes UODO ustalił, że nie zostały zanonimizowane dane osobowe skarżącej (imię i nazwisko, adres korespondencyjny, adres skrytki e-puap). Dodatkowo petycja była podpisana kwalifikowanym podpisem zawierającym numer PESEL, który też został ujawniony. W sprawie jako bezsporne ustalono też, że [...] kwietnia 2024 r. wpłynął do Generalnej Dyrekcji wniosek skarżącej o usunięcie jej danych osobowych z BIP. Jednocześnie, co istotne, Prezes UODO przyjął za ustalone w sprawie, na podstawie wyjaśnień Generalnego Dyrektora z dnia [...] czerwca 2024 r., że tego samego dnia, tj. [...] kwietnia 2024 r., GDDKiA usunęła petycję zawierającą dane osobowe skarżącej z BIP i dane osobowe skarżącej nie są już udostępniane w BIP Generalnej Dyrekcji Dróg Krajowych i Autostrad, gdyż w ww. biuletynie dostępna jest zanonimizowana treść petycji. Jak wynika z notatki służbowej pracownika UODO z dnia [...] lipca 2024 r., w wyniku sprawdzenia strony internetowej BIP Generalnej Dyrekcji Dróg Krajowych i Autostrad organ stwierdził, że pod adresem [...] znajduje się zanonimizowana petycja z dnia [...] kwietnia 2024 r. Skarżąca zawiadomiła jednakże Prezesa UODO pismem z dnia [...] sierpnia 2024 r., że w dalszym ciągu dochodzi do udostępnienia jej danych osobowych na stronie internetowej Generalnej Dyrekcji Dróg Krajowych i Autostrad. Wskazała, że po wpisaniu w wyszukiwarkę internetową haseł "hałas [...] petycja" pod linkiem [...] wyświetlają się jej dane osobowe (imię, nazwisko, adres zamieszkania), a po kliknięciu w dokument PDF otwiera się dokument z petycją i jej danymi osobowymi (imię, nazwisko, adres zamieszkania, PESEL w podpisie zaufanym). Jedynym działaniem organu w nawiązaniu do powyższego było sporządzenie notatki służbowej z dnia [...] marca 2025 r., na podstawie której Prezes UODO stwierdził, że w wyniku sprawdzenia wyszukiwarki internetowej Google, po wpisaniu wskazanego w piśmie skarżącej z dnia [...] sierpnia 2022 r. hasła "hałas [...] petycja" oraz po otwarciu strony [...] (Generalna Dyrekcja Dróg Krajowych i Autostrad) pojawia się w formacie PDF zanonimizowana petycja z dnia [...] kwietnia 2024 r. w sprawie ustawienia ekranów akustycznych wzdłuż drogi [...] w [...]. Ww. petycja nie zawiera danych osobowych skarżącej w zakresie imienia, nazwiska, adresu zamieszkania oraz numeru PESEL. Prezes UODO powołując się zatem wyłącznie na notatkę służbową pracownika stwierdził, że niezgodne z prawem udostępnienie na stronie Biuletynu Informacji Publicznej Generalnej Dyrekcji Dróg Krajowych i Autostrad danych osobowych K. Z. w zakresie imienia, nazwiska, adresu zamieszkania oraz numeru PESEL, w związku ze złożoną przez nią petycją z dnia [...] kwietnia 2024 r. miało miejsce wyłącznie w okresie od dnia [...] kwietnia 2024 r. do [...] kwietnia 2024 r., co jest kwestionowane przez skarżącą. W nawiązaniu do zarzutów pisma skarżącej z dnia [...] sierpnia 2024 r., że dane nadal są udostępniane na stronie internetowej Generalnej Dyrekcji Dróg Krajowych i Autostrad (GDDKiA), albowiem po wpisaniu w wyszukiwarkę internetową haseł "hałas [...] petycja" pod linkiem [...] wyświetlają się jej dane osobowe (imię, nazwisko, adres zamieszkania), a po kliknięciu w dokument PDF otwiera się dokument z petycją i danymi osobowymi (imię, nazwisko, adres zamieszkania, PESEL w podpisie zaufanym) Prezes UODO stwierdził w uzasadnieniu zaskarżonej decyzji, że dane osobowe skarżącej "nie są obecnie" udostępniane na stronie BIP w kwestionowany przez nią sposób. Powyższe nie wskazuje na pełną ocenę kwestionowanego przez skarżącą procesu przetwarzania danych osobowych przez GDDKiA. Organ nie przeprowadził należycie postępowania dowodowego. Z akt administracyjnych nie wynika, aby Prezes UODO po otrzymaniu pisma skarżącej z dnia [...] sierpnia 2024 r. zwracał się do Generalnego Dyrektora Dróg Krajowych i Autostrad o wyjaśnienie, czy w istocie, zgodnie z zapewnieniami Generalnej Dyrekcji zawartymi w wyjaśnieniach złożonych Prezesowi UODO w piśmie z dnia [...] czerwca 2024 r. dane osobowe skarżącej zostały w całości i skutecznie usunięte przez Generalną Dyrekcję, czy też – odmiennie niż w złożonych wyjaśnieniach uczestnika, w dalszym ciągu były ewentualnie przetwarzane i na jakiej podstawie. Prezes UODO nie zawiadomił GDDKiA o twierdzeniach skarżącej zawartych w piśmie do Prezesa UODO z dnia [...] sierpnia 2024 r., wskazujących, że jej dane osobowe nadal są udostępniane na stronie internetowej Generalnej Dyrekcji Dróg Krajowych i Autostrad (GDDKiA). Zauważyć należy, że skarżąca kierując do Prezesa UODO pismo z dnia [...] sierpnia 2024 r. załączyła zrzut ekranu z przeglądarki internetowej i pierwszą stronę dokumentu PDF (petycji) z przeglądarki z [...] sierpnia 2024 r. potwierdzające jej zarzuty. Ze skargi do Sądu wynika, że z uwagi na to, iż dane osobowe w dalszym ciągu były udostępniane w Internecie, w dniu [...] września 2024 r. ponownie wysłała do GDDKiA maila, w którym ponownie zwróciła się z prośbą o skuteczne tym razem usunięcie jej danych osobowych ze stron internetowych, na których zostały opublikowane, tak aby nie wyświetlały się w wyszukiwarce po wpisaniu haseł związanych tematycznie z petycją. Wskazała, że do maila jako dowód dołączyła zrzut ekranu wykonany w dniu [...] września 2024 r. o nazwie "Dane osobowe widoczne w wyszukiwarce [...].09.2024" (data i godzina wykonania zrzutu ekranu jest widoczna w prawym dolnym rogu na zrzucie ekranu). Skarżąca wskazała w skardze do Sądu, że pismem z dnia [...] września 2024 r. GDDKiA poinformowała ją o skutecznym usunięciu pliku z jej danymi osobowymi z serwera gov.pl. W świetle wszystkich przedstawionych okoliczności, stwierdzić należy, że Prezes UODO nie podjął w postępowaniu administracyjnym przed wydaniem decyzji działań w celu pełnego ustalenia stanu faktycznego. Skarżąca wskazywała na sprzeczność wyjaśnień Generalnej Dyrekcji z dnia [...] czerwca 2024 r. o usunięciu jej danych osobowych przez organ publikujący petycję ze stanem faktycznym na dzień sporządzenia pisma z dnia [...] sierpnia 2024 r., co zostało zupełnie pominięte przez Prezesa UODO. Organ nie poczynił żadnych ustaleń faktycznych, co do tego, kiedy, w jakiej dacie faktycznie dane osobowe skarżącej zostały w pełni usunięte w związku z opublikowaniem przez Generalną Dyrekcję jej petycji z danymi osobowymi mimo braku zgody na ich opublikowanie. W ocenie Sądu, na podstawie całokształtu okoliczności sprawy stwierdzić należy, że zasadne są zarzuty skargi dotyczące naruszenia przepisów postępowania w stopniu, który mógł mieć istotny wpływ na wynik sprawy, w tym art. 8 k.p.a. poprzez prowadzenie postępowania w sposób nie budzący zaufania do władzy publicznej. Z akt administracyjnych jednoznacznie wynika, że organ nie podjął działań w celu należytego wyjaśnienia wszystkich okoliczności faktycznych podnoszonych przez stronę w toku postępowania. Twierdzenie Prezesa UODO, z powołaniem się na notatkę służbową, że "obecnie" dane nie są już udostępniane przez Generalną Dyrekcję, nie stanowi rzetelnego wyjaśnienia wszystkich okoliczności sprawy. Zadaniem organu było wyjaśnienie sprzeczności zaistniałych w postępowaniu i bezsporne ustalenie do kiedy w istocie dane osobowe skarżącej zawarte w petycji opublikowanej przez Generalną Dyrekcję, były udostępniane przez ten podmiot. Ustalić należało, czy rzeczywiście dane - mimo wyjaśnień uczestnika z dnia [...] czerwca 2024 r. - były nadal udostępniane (ujawnione na stronie internetowej), a zatem powszechnie dostępne i do jakiej daty. Jako działanie sprzeczne z procedurą administracyjną uznać należy brak zwrócenia się przez Prezesa UODO do GDDKiA w celu zweryfikowania informacji podanych przez skarżącą w piśmie z dnia [...] sierpnia 2024 r., albowiem jest to jednoznaczne z rezygnacją pozyskania przez organ materiału dowodowego niezbędnego do rozpatrzenia sprawy. Tymczasem, Prezes UODO w drodze wyjaśnień od Generalnej Dyrekcji powinien pozyskać materiał dowodowy i dokonać pełnych i bezspornych ustaleń faktycznych. Brak dokonania takich działań skutkował niepełnym zgromadzeniem materiału dowodowego, niepełnym ustaleniem stanu faktycznego. Ustalony przez organ stan faktyczny dotyczący udostępnienia danych osobowych skarżącej wyłącznie do [...] kwietnia 2024 r. jest niepełny, co potwierdza przedstawiona przez skarżącą w skardze do Sądu informacja uzyskana przez nią od GDDKiA w piśmie z dnia [...] września 2024 r. o trwałym usunięciu pliku z jej danymi osobowymi z serwera [...]. Zasadny jest zarzut naruszenia art. 107 § 3 k.p.a. poprzez pominięcie w uzasadnieniu zaskarżonej decyzji wyjaśnienia przyczyn, z powodu których Prezes UODO odmówił wiarygodności i mocy dowodowej załącznika do pisma skarżącej z dnia [...] sierpnia 2024 r. potwierdzającego, że w dniu [...] sierpnia 2024 r. dochodziło do udostępniania jej danych osobowych na stronie internetowej. Organ w istocie nie odniósł się do podnoszonej przez skarżącą okoliczności faktycznej dotyczącej dalszego udostępniania jej danych osobowych we wskazywanej dacie. Nie stanowi żadnego odniesienia się do podnoszonej okoliczności faktycznej – pominiętej w istocie przez organ – stwierdzenie w notatce służbowej z dnia [...] marca 2025 r., że dane osobowe skarżącej już nie są udostępniane. Istotne jest to, do jakiej daty dane osobowe skarżącej faktycznie były udostępniane. Czas faktycznego trwania ewentualnego naruszenia, jeśli w istocie dane były udostępniane po [...] kwietnia 2024 r. bez podstawy prawnej, jak podnosi skarżąca, może mieć znaczenie dla rozstrzygnięcia sprawy, w tym zastosowania określonego środka prawnego, a z pewnością czas trwania ewentualnego naruszenia winien być wzięty pod uwagę przy rozstrzyganiu. Okoliczność, że dane nie są "obecnie" (na dzień wydania zaskarżonej decyzji) udostępniane nie stanowi przeszkody do dokonania pełnych ustaleń poprzez zwrócenie się o wyjaśnienia do Generalnej Dyrekcji w związku z pismem skarżącej z dnia [...] sierpnia 2024 r. Organ tymczasem w zaskarżonej decyzji przyjął, że skoro dane nie są "obecnie" udostępniane (na dzień wydania decyzji bądź sporządzenia notatki służbowej przez pracownika) to zdaniem organu, nie powstaje zagadnienie do kiedy istotnie były udostępniane i czy to ewentualne późniejsze udostępnianie danych osobowych skarżącej przez GDDKiA po [...] kwietnia 2024 r. miało podstawę prawną, czy też nie. Są to tymczasem, na gruncie RODO, istotne okoliczności faktyczne tej sprawy. Prezes UODO nie podjął czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego, tj. nie zwrócił się o wyjaśnienia do GDDKiA po otrzymaniu pisma z dnia [...] sierpnia 2024 r. z informacją o bezprawnym udostępnianiu danych osobowych przez GDDKiA na stronie Internetowej, w związku z czym stwierdzić należało, że w sprawie nie dokonano pełnych i wyczerpujących ustaleń stanu faktycznego, czym naruszono art. 7 i art. 77§ 1 k.p.a. Z uzasadnienia zaskarżonej decyzji nie wynika dlaczego organ nie dał wiary twierdzeniom skarżącej zawartym w piśmie z dnia [...] sierpnia 2024 r. W konsekwencji powyższych uchybień, za przedwczesną uznać należało ocenę organu co do podstaw i zasadności zastosowanego w sprawie środka naprawczego. Ponownie rozpatrując sprawę organ weźmie pod uwagę przedstawioną wyżej ocenę prawną i wskazania co do postępowania. Organ, w nawiązaniu do pisma skarżącej z dnia [...] sierpnia 2024 r. zwróci się do GDDKiA o stosowne wyjaśnienia dotyczące faktycznych czynności podjętych przez organ w sprawie usunięcia danych osobowych skarżącej w tym ustali, w jakiej dacie w sposób skuteczny (trwały) GDDKiA usunęła dane osobowe skarżącej w związku z wcześniejszym opublikowaniem ich w treści petycji. Oceniając wyniki postępowania dowodowego (wiarygodność i moc dowodów), organ powinien uwzględnić treść wszystkich przeprowadzonych i rozpatrzonych dowodów, wskazując w uzasadnieniu decyzji fakty, które uznał za udowodnione, dowody, na których się oparł oraz przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Ponownie rozpatrując sprawę organ rozważy w sposób wszechstronny cały zgromadzony materiał dowodowy. Z uzasadnienia decyzji powinno jasno wynikać, jakie fakty organ uznał za udowodnione i na podstawie jakich dowodów (należy je wymienić w decyzji), a jakim dowodom odmówił wiarygodności i mocy dowodowej i wyjaśnić dlaczego określonym dowodom organ odmówił mocy dowodowej. Swoboda w dokonywaniu oceny dowodów nie jest nieograniczona. Zasada swobodnej oceny dowodów oznacza nakaz oceny wszelkich faktów i środków dowodowych w sposób wszechstronny (zob. A. Wiktorowska, (w:) M. Wierzbowski, Postępowanie administracyjne, 2015, str. 117). Dlatego organ administracji publicznej zobowiązany jest do wskazania w uzasadnieniu swego rozstrzygnięcia, którym dowodom dał wiarę i dlaczego. Zgodnie bowiem z treścią art. 107 § 3 k.p.a. uzasadnienie faktyczne decyzji powinno zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne - wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa. Zależnie od poczynionych w sprawie pełnych ustaleń faktycznych i dokonanej wszechstronnej oceny materiału dowodowego organ podejmie stosowną decyzję. W przypadku zastosowania określonego środka prawnego organ uzasadni jego zastosowanie, w tym wypowie się o proporcjonalności zastosowanego środka w nawiązaniu do stwierdzonego naruszenia przepisów ochrony danych osobowych. Organ oceni wagę stwierdzonego naruszenia i jego charakter. Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. c w zw. z art. 119 pkt 2 i art. 120 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2023 r., poz. 1634 ze zm.), orzekł jak w punkcie 1 wyroku. O zwrocie kosztów postępowania, jak w punkcie 2 wyroku, Sąd orzekł na podstawie art. 200 w zw. z art. 205 powołanej ustawy. Do kosztów tych Sąd zaliczył uiszczony wpis od skargi (200 zł).