II SA/Wa 906/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Stanisław Marek Pietras, Sędzia WSA Agnieszka Góra-Błaszczykowska (spr.), Asesor WSA Karolina Kisielewicz, Protokolant specjalista Ewa Kielak po rozpoznaniu na rozprawie w dniu 18 września 2019 r. sprawy ze skargi [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2019 r. nr [...] w przedmiocie udostępnienia danych osobowych oddala skargę Decyzją z dnia (...) marca 2019 r Prezes Urzędu Ochrony Danych Osobowych wydał decyzję administracyjną (znak: (...)), którą odmówił uwzględnienia wniosku Skarżącego. W uzasadnieniu decyzji wskazano, że do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga S. C. (zwanego dalej skarżącym), na udostępnienie przez Rodzinny Ogród Działkowy "(...)" we W. (zwany dalej ROD), danych osobowych Skarżącego w zakresie imienia, nazwiska i adresu, poprzez wywieszenie zawierającej te dane uchwały nr (...) Okręgowej Komisji Rewizyjnej Polskiego Związku Działkowców w B. z dnia (...) września 2016 r. w gablotach ogłoszeniowych ROD. Do gablot ogłoszeniowych ROD dostęp mają wszystkie osoby przebywające na terenie ROD, w tym również niebędące członkami ROD. W toku przeprowadzonego postępowania wyjaśniającego, Prezes Urzędu Ochrony Danych Osobowych ustalił, że ROD przetwarza dane skarżącego na podstawie jego oświadczenia z dnia (...) czerwca 2015r., związanego z jego członkostwem w ROD. Uchwała nr (...) Okręgowej Komisji Rewizyjnej Polskiego Związku Działkowców w B. z dnia (...) września 2016 r., dotycząca odwołania skarżącego z funkcji członka Okręgowej Komisji Rewizyjnej Polskiego Związku Działkowców w B., w części zawierającej dane skarżącego w zakresie jego imienia i nazwiska, była wywieszona w gablotach ROD "(...)" w okresie od 8 do 22 października 2016r., po tym terminie dane Skarżącego zostały usunięte z gablot. Dlatego wskazaną na wstępie decyzją z dnia (...) marca 2019r. Prezes Urzędu Ochrony Danych Osobowych odmówił uwzględnienia wniosku skarżącego. W skardze na tę decyzję, wniesioną do tutejszego Sądu, zaskarżono ją w całości. W uzasadnieniu skargi skarżący podkreślił, że fałszywe jest twierdzenie organu, jakoby uchwała, zawierająca dane skarżącego w zakresie imienia i nazwiska, była wywieszona w gablotach ROD "(...)" w okresie od 08 do 28 października 2016r., a po tym terminie dane skarżącego zostały usunięte z gablot. Jego zdaniem uchwała wisiała w gablotach do końca marca 2017r., a więc o wiele dłużej, niż przytoczono to w decyzji. Nadto w uchwale znajdowały się oprócz imienia i nazwiska skarżącego, także nr działki, którą użytkuje w ROD "(...)", oraz adres jego zamieszkania. Zdaniem skarżącego fakt, że ROD "(...)" posiada jego oświadczenie do przetwarzania danych nie upoważnia do łamania prawa, gdyż upoważnienie w związane było tylko z jego członkostwem w ROD "(...)", i nie rozciąga się na jego działalność w Okręgowej Komisji Rewizyjnej w B.. Przedmiotowa uchwała, wydana przez Okręgową Komisję Rewizyjną w B., nie ma nic wspólnego z podpisanym wcześniej oświadczeniem, gdyż dotyczy działań organu kontrolnego wyższego stopnia i stosunku do członka tego organu, a nie ROD "(...)". Zdaniem skarżącego jest to dowód na złamanie Statutu Stowarzyszenia Ogrodowego PZD z siedzibą w W., w zakresie wysłania przerobionej uchwały przez Okręgową Komisję Rewizyjną w B. do Zarządu ROD "(...)" w W.. Administrator danych przetwarzający dane, powinien z mocy ustawy dołożyć szczególnej staranności w celu ochrony osób, których one dotyczą. Udostępnienie jego danych poprzez wywieszenie ich w gablotach ROD "(...)" wskazuje na fakt złamania prawa w zakresie zapewnienia bezpieczeństwa danych. Zdaniem skarżącego, uchwała pozyskana została z ewidentnym naruszeniem prawa i w żaden sposób nie odnosiła się i nie dotyczyła członkostwa w ROD. Twierdzenie RODO, że brak jest jednak podstaw do zastosowania przepisu art.1 ust.1 Ustawy o Ochronie Danych Osobowych jest usankcjonowaniem działań, które wykonała Okręgowa Komisja Rewizyjna i Zarząd ROD "(...)"." Powoływanie się na fakt, iż uchwała nie wisi już w gablotach ogłoszeniowych w chwili wydania rozstrzygnięcia nie znajduje żadnego odzwierciedlenia w obowiązujących przepisach prawa. Skarżący zauważył też, że w decyzji wydanej przez Prezesa Urzędu Ochrony Danych Osobowych z dnia (...) marca 2017r. zasadniczo przyznaje się mu rację, ale nie rozstrzyga się sprawy. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując w całości stanowisko wyrażone w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga musiała zostać oddalona. Zgodnie z treścią art. 23 ust.1 ustawy z dnia 29.08.1997r. o ochronie danych osobowych (D.U. z 2016r., poz. 922 ze zm., dalej cytowana jako ustawa), obowiązującej w dacie zdarzenia, opisanego przez skarżącego, przetwarzanie danych osobowych, w tym ich udostępnianie było dopuszczalne, gdy: osoba, której dane dotyczą, wyraziła na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (pkt 1), było to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2), było to konieczne do realizacji umowy, gdy osoba, której dane dotyczą (pkt 3), była jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4), było to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5). W niniejszej sprawie, jak trafnie stwierdził organ, nie zachodziła żadna z powołanych wyżej przesłanek, uzasadniających udostępnienie danych Skarżącego w gablotach ROD "(...)". Przepis art. 26 ust. 1 ustawy tejże ustawy stanowił, iż administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą. W szczególności był on obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem (pkt 1), zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnie z tymi celami, z zastrzeżeniem ust. 2 (pkt 2), merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane (pkt 3), oraz przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania (pkt 4). Sąd podziela ocenę Prezesa Urzędu Ochrony Danych Osobowych, że brak było przesłanek uzasadniających ujawnienie danych osobowych Skarżącego w gablotach ROD "(...)" we Władysławowie. Powyższe doprowadziło do sytuacji, w której osobom trzecim zostały udostępnione dane osobowe Skarżącego w związku z treścią uchwały nr (...). Jednym z podstawowych obowiązków spoczywających na administratorze był, wynikający z art. 36 ust. 1 ustawy, obowiązek zastosowania środków technicznych i organizacyjnych, zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. W szczególności administrator powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Ustawodawca nie przesądzał, jakie to mają być środki, ale dzięki nim administrator danych powinien wyeliminować wystąpienie zdarzeń powodujących niewłaściwą ochronę danych osobowych, a gdy jest to niemożliwe - maksymalnie ograniczyć ryzyko ich pojawienia się. Postępowanie administracyjne prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych dotyczyło żądania skarżącego, zawartego w treści jego skargi, tj. podjęcia stosownych działań w stosunku do winnych opublikowania jego danych osobowych z ominięciem przepisów prawa; dokonania czynności kontrolnych mających na celu stwierdzenie zasad przestrzegania ustawy o ochronie danych osobowych oraz natychmiastowe spowodowanie zaprzestania przez Zarząd ROD "(...)" eksponowania wywieszonej w gablotach uchwały, naruszającej prawo. Zebrany w niniejszej sprawie materiał dowodowy nie pozostawia wątpliwości, iż doszło do wykorzystania danych osobowych Skarżącego w sposób niezgodny z pierwotnym celem ich pozyskania tj. z tytułu członkostwa w ROD, oraz że wszczęte przez organ postępowanie doprowadziło do uzyskania stanu faktycznego zgodnego z prawem. W efekcie działań organu, jak wynika z akt sprawy administracyjnej, załączonych do akt sądowych, zarząd zaprzestał wywieszania chwały naruszającej prawo. Zresztą w skardze skarżący sam przyznaje, że "uchwała wisiała (w czasie przeszłym) do końca marca 2017r.", a organ wydał decyzję (...) marca 2019r., czyli na pewno w dacie jej wydawania zaprzestano naruszania prawa w tym zakresie. W tym miejscu podkreślenia wymaga, że skarżący w istocie rzeczy żądał przywrócenia stanu zgodnego z prawem i stan ten ostatecznie został przywrócony: na dzień wydawania decyzji, zostały spełnione jego żądania. W chwili wydawania orzeczenia, ROD nie udostępniał osobom nieupoważnionym danych osobowych skarżącego. Dlatego brak jest podstaw do zastosowania przepisu art. 18 ust. 1 ustawy o ochronie danych osobowych, tj. przywrócenia stanu zgodnego z prawem. Podkreślenia wymaga, że sąd dokonuje oceny zaskarżonej decyzji na datę jej wydania. Skoro zatem w dacie wydania zaskarżonej decyzji nie udostępniano już danych skarżącego, decyzja jest prawidłowa, a Sąd nie znalazł podstaw do jej wyeliminowania z porządku prawnego. Odnosząc się do zarzutu podnoszonego w skardze, dotyczącego wydania zaskarżonej decyzji z naruszeniem art. 7 i art. 77 k.p.a. należy stwierdzić, że nie jest on trafny, gdyż zaskarżona decyzja została wydana w oparciu o całość prawidłowo zebranego materiału dowodowego. Odnosząc się do sugestii skarżącego, zawartych w skardze, co do obowiązku nałożenia kar administracyjnych i pieniężnych na osoby winne naruszeniom, zauważyć należy, że przepisy ustawy z dnia 29 sierpnia 1997r. o ochronie danych osobowych nie przewidywały możliwości nałożenia administracyjnych kar pieniężnych na administratorów danych za niedopełnienie obowiązków, wynikających art. 26 ust. 1 i art. 36 ust. 1 ustawy o ochronie danych osobowych z 1997r. Jeżeli w ocenie Skarżącego udostępnienie jego danych osobowych odbyło się z naruszeniem przepisów innych gałęzi prawa (np. karnego czy cywilnego), może on samodzielnie dochodzić swoich praw przed odpowiednim sądem lub organem. Z opisanych przyczyn Sąd orzekł jak w sentencji na podstawie art.151 p.p.s.a.