II SA/Wa 976/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Andrzej Góraj, Sędzia WSA Ewa Kwiecińska (spr.), po rozpoznaniu na posiedzeniu niejawnym w dniu 30 września 2021 r. sprawy ze skargi A. B. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę. Prezes Urzędu Ochrony Danych osobowych wydał w dniu [...] stycznia 2021 r. decyzję nr [...], którą utrzymał w mocy własną decyzję z dnia [...] maja 2019 r. o sygn. [...] dotyczącą odmowy uwzględnienia wniosku A. B. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Gminny Ośrodek Pomocy Społecznej w D. W uzasadnieniu decyzji z dnia [...] stycznia 2021 r. nr [...] Prezes UODO stwierdził, że do Biura Generalnego Inspektora Ochrony Danych Osobowych (obecnie: Urząd Ochrony Danych Osobowych) wpłynęła skarga A. B. dotycząca przetwarzania jej danych osobowych przez Gminny Ośrodek Pomocy Społecznej w D. Skarżąca podniosła, że GOPS przetwarza i udostępnia osobom postronnym dane o jej dochodach, bez jej wiedzy i zgody. W piśmie z dnia [...] października 2017 r. strona doprecyzowała, że GOPS naruszył jej dane osobowe, bez jej wiedzy i zgody uzyskał od ZUS-u dane o wysokości emerytury. Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny. GOPS przetwarzał dane osobowe skarżącej w związku z prowadzonym postępowaniem w przedmiocie świadczenia dla J. L. na skutek jego wniosku z dnia [...] lipca 2016 r. o przyznanie zasiłku stałego z pomocy społecznej. W toku tego postępowania skarżącą zaliczono do składu rodziny J. L. W związku z zaliczeniem do rodziny J. L. GOPS wystąpił do Zakładu Ubezpieczeń Społecznych o wydanie zaświadczenia o wysokości świadczenia emerytalnego skarżącej. Zakład Ubezpieczeń Społecznych, działając na podstawie art. 50 ust. 3 ustawy z 13 października 1998 r. o systemie ubezpieczeń społecznych (Dz. U. 2016 r. poz. 963 ze zm.) w zw. z art. 105 ustawy z dnia 12 marca 2004 r. o pomocy społecznej (Dz. U. 2016 r., poz. 930 ze zm.), udostępnił na rzecz GOPS dane w zakresie wysokości świadczenia emerytalnego netto za czerwiec 2016. GOPS uznał się ostatecznie za organ niewłaściwy do załatwienia sprawy z wniosku J. L. o przyznanie zasiłku stałego z pomocy społecznej i przekazał przedmiotowy wniosek wraz aktami sprawy do Gminnego Ośrodka Pomocy Społecznej w S. Prezes Urzędu Ochrony Danych Osobowych w dniu [...] maja 2019 r. wydał decyzję odmawiającą uwzględniania wniosku. Skarżąca złożyła wniosek o ponowne rozpatrzenie sprawy, w którym zarzuciła, iż została błędnie uznana przez GOPS za rodzinę J. L. W rzeczywistości bowiem nie jest z nim w żaden sposób spokrewniona, nie pozostaje i nie pozostawała w faktycznym związku, nie zamieszkiwała z nim wspólnie, ani nie gospodarowała wspólnie. Prezes Urzędu Ochrony Danych Osobowych w decyzji z dnia [...] stycznia 2021 r. nr [...] wskazał, że z dniem 25 maja 2018 r. weszły w życie przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016, str. 1, z późn. zm.), zwane dalej rozporządzeniem 2016/679. Począwszy od tej daty polski porządek prawny musi zapewniać skuteczne stosowanie tych przepisów. W tym celu krajowy ustawodawca uchwalił nową ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), uchylającą tym samym obowiązywanie ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2016 r., poz. 922 ze zm.). Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2016 r. poz. 922 ze zm.) zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2020 r. poz. 256 ze zm.), zwanej dalej k.p.a. Czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. pozostają skuteczne (art. 160 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych). W toku przedmiotowego postępowania organ ustalił, że pozyskanie od Zakładu Ubezpieczeń Społecznych danych osobowych skarżącej i dalsze ich przetwarzanie w związku z prowadzonym postępowaniem administracyjnym nastąpiło w okresie obowiązywania ustawy o ochronie danych osobowych z 1997 r. Przetwarzanie danych osobowych skarżącej objęte jej skargą miało miejsce i zakończyło się w czasie, gdy obowiązywały przepisy ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997 r. Postępowanie administracyjne przed organem nadzorczym również zostało zainicjowane w czasie obowiązywania ustawy z dnia 29 sierpnia 1997 r., wobec czego zdaniem organu - do oceny zgodności z prawem procesu przetwarzania danych osobowych zastosowanie znajdują przepisy ustawy o ochronie danych osobowych z 1997 r. Zgodnie z art. 18 ust. 1 ustawy o ochronie danych osobowych z 1997 r., w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor (aktualnie Prezes Urzędu) z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności m.in. usunięcie uchybień. W okresie obowiązywania ustawy o ochronie danych osobowych z 1997 r. przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, był art. 23 ust. 1 tej ustawy, zgodnie z którym przetwarzanie danych było dopuszczalne tylko wtedy, gdy spełniona była jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 23 ust. 1 ustawy o ochronie danych osobowych z 1997 r. był zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych miała charakter autonomiczny i niezależny. Stosownie do przepisu art. 23 ust. 1 przesłankami przetwarzania danych osobowych, były: 1) zgoda osoby, której dane dotyczą, obejmująca przetwarzanie w jednym lub większej liczbie celów; 2) niezbędność przetwarzania do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na wniosek tej osoby przed zawarciem umowy; 3) niezbędność przetwarzania do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa; 4) niezbędność przetwarzania do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; 5) niezbędność do wykonania określonych prawem zadań realizowanych dla dobra publicznego; 6) niezbędność dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Spełnienie jednej z ww. przesłanek stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Ustawodawca dopuścił możliwość przetwarzania danych także na mocy innych przesłanek niż zgoda osoby, której dane dotyczą. Zgodnie z art. 105 ust. 1 ustawy z dnia 12 marca 2004 r. o pomocy społecznej (Dz. U. z 2019 r. poz. 1507 ze zm.) zwana dalej u.o.p.s., w brzmieniu obowiązującym w dniu pozyskania przez GOPS danych osobowych skarżącej, jednostki sektora finansów publicznych, w tym sądy, Policja, Zakład Ubezpieczeń Społecznych, Kasa Rolniczego Ubezpieczenia Społecznego i organy administracji publicznej, a także kuratorzy sądowi, pracodawcy, podmioty wykonujące działalność leczniczą, przedszkola, szkoły, placówki, poradnie i ośrodki, o których mowa w art. 2 pkt 1-7 ustawy z dnia 7 września 1991 r. o systemie oświaty (Dz. U. z 2015 r. Nr 256, poz. 2156 oraz z 2016 r. poz. 35, 64, 195 i 668), szkoły wyższe, organizacje pozarządowe, o których mowa w art. 3 ust. 2 ustawy z dnia 24 kwietnia 2003 r. o działalności pożytku publicznego i o wolontariacie, oraz podmioty wymienione w art. 3 ust. 3 tej ustawy są obowiązani niezwłocznie, nie później jednak niż w terminie 7 dni od dnia otrzymania wniosku kierownika ośrodka pomocy społecznej lub pracownika socjalnego udostępnić informacje, które mają znaczenie dla rozstrzygnięcia o przyznaniu lub wysokości świadczeń z pomocy społecznej, dla ustalenia wysokości odpłatności za świadczenia z pomocy społecznej lub dla weryfikacji uprawnień do świadczeń z pomocy społecznej, wysokości tych świadczeń lub odpłatności za te świadczenia. Zdaniem organu w niniejszej sprawie, wbrew zarzutom skarżącej, kwestionowane działanie GOPS polegające na pozyskaniu jej danych osobowych o wysokości jej emerytury z Zakładu Ubezpieczeń Społecznych i ich przetwarzaniu w prowadzonym postępowaniu wobec J. L. znajdowało oparcie w art. 23 ust. 1 pkt 2) ustawy o ochronie danych osobowych z 1997 r. Z materiału dowodowego sprawy wynika, iż w toku ww. postępowania skarżąca zaliczona została do składu z rodziny J. L. w rozumieniu art. 6 pkt. 14 u.o.p.s.. Przepis ten stanowi, że rodzina to osoby spokrewnione lub niespokrewnione pozostające w faktycznym związku, wspólnie zamieszkujące i gospodarujące. Z kolei zgodnie z art. 8 ust. 1 ustawy o pomocy społecznej, prawo do świadczeń pieniężnych z pomocy społecznej, z zastrzeżeniem art. 40, art. 41, art. 53a i art. 91, przysługuje: 1) osobie samotnie gospodarującej, której dochód nie przekracza kwoty 701 zł, zwanej dalej "kryterium dochodowym osoby samotnie gospodarującej", 2) osobie w rodzinie, w której dochód na osobę nie przekracza kwoty 528 zł, zwanej dalej "kryterium dochodowym na osobę w rodzinie", 3) rodzinie, której dochód nie przekracza sumy kwot kryterium dochodowego na osobę w rodzinie, zwanej dalej "kryterium dochodowym rodziny" – przy jednoczesnym wystąpieniu co najmniej jednego z powodów wymienionych w art. 7 pkt 2-15 lub innych okoliczności uzasadniających udzielenie pomocy społecznej. Podczas rozpatrywania wniosku o przyznanie świadczenia pieniężnego GOPS uwzględnia kryterium dochodowe, celem ustalenia dochodu rodziny. GOPS zobligowany był zatem do ustalenia dochodu skarżącej. Na mocy art. 105 ust. 1 u.o.p.s. GOPS był uprawniony do pozyskania danych o wysokości emerytury skarżącej z Zakładu Ubezpieczeń Społecznych. W ocenie Prezesa UODO, kwestionowane przez skarżącą pozyskanie przez GOPS jej danych osobowych w postaci informacji o wysokości jej emerytury od Zakładu Ubezpieczeń Społecznych oraz dalsze przetwarzanie tych danych przez GOPS dla celów postępowania w przedmiocie świadczenia o przyznanie zasiłku stałego z pomocy społecznej J. L., stanowiło działanie niezbędne do wypełnienia obowiązku prawnego ciążącego na GOPS. Prezes UODO uznał, że przetwarzanie danych osobowych skarżącej, w zakresie objętym skargą, znajdowało oparcie w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych z 1997 r. Skarżąca we wniosku o ponowne rozpatrzenie sprawy zarzuciła błędy w postępowaniu prowadzonym przez GOPS. Organ wskazał, iż nie jest organem kontrolującym ani nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych organów, służb czy sądów, których orzeczenia podlegają ocenom w toku instancji czy w inny sposób określony odpowiednimi procedurami. W związku z powyższym nie ma kompetencji do ingerowania w czynności podejmowane przez inne organy w prowadzonych przez nie postępowaniach. Merytoryczna prawidłowość ustaleń faktycznych przez GOPS nie może być kwestionowana w postępowaniu przed Prezesem Urzędu Ochrony Danych Osobowych, a jedynie przez właściwe miejscowo Samorządowe Kolegium Odwoławcze, w toku instancji. A.B. wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2021 r. nr [...]. Stwierdziła, że Gminny Ośrodek Pomocy Społecznej w D. przetwarzał jej dane osobowe bez jej wiedzy i zgody. GOSP zaliczył skarżącą do osób odpowiedzialnych za utrzymanie J. L. Podkreśliła, że jest to inwalida z orzeczeniem o niepełnosprawności, nieposiadjący majątku, żyjący w skrajnym ubóstwie. GOPS w D. próbuje przerzucić odpowiedzialność za utrzymanie tej osoby na skarżącą, która jest wolontariuszką i społeczniczką – osobą czułą na biedę, nędzę, ubóstwo i głód.  Skarżąca podkreśliła, że jest jedynie wolontariuszką świadczącą pomoc osobom potrzebującym. Wyjaśniła, że J. L. przebywa doraźnie pod jej opieką. Stwierdziła, że pracownicy GOPS wyśmiewali się z jej niskiej emerytury. Takie postępowanie naruszyło jej dobra osobiste, przysporzyło wielu cierpień i doprowadziło do pogorszenia stanu zdrowia. Dane osobowe pozyskane przez GOPS w D. powinny zostać usunięte ze zbioru danych. Podniosła też, że nikt w tej jednostce pomocy społecznej nie interesował się losem J. L., ani warunkami życiowymi, urągającymi ludzkiej godności, mimo że są one doskonale znane pracownikom GOPS. W odpowiedzi na skargę organ wniósł o jej oddalenie oraz podtrzymał twierdzenia zawarte w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. W kontekście uwarunkowań prawnych należy wskazać, że w sprawie wszczętej pod rządami ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 z późn. zm.) generalnie zastosowanie mają przepisy tej ustawy, wobec treści art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 z późn. zm.). Należy jednak zastrzec, że uprzednie regulacje znajdowały zastosowania w tych aspektach sprawy, gdzie chodzi o ocenę zdarzeń, mających miejsce przed wejściem w życie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w "związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz.UE.L 119 z 04.05.2016, str. 1, z późn. zm.), zwanego dalej "RODO". Normuje ono bowiem reguły ochrony danych osobowych bezpośrednio od dnia jego wejścia w życie 25 maja 2018 r. (art. 99 ust. 2 RODO). Przypadki naruszenia zasad ochrony danych osobowych sprzed tej daty podlegają ocenie na gruncie RODO jedynie w sytuacji, gdy nie ustały do tego czasu. W art. 23 § 1 ustawy z 1997 r. zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z treścią tego przepisu, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: (1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, (2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, (3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, (4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, (5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Z materiału dowodowego niniejszej sprawy wynika, iż w toku ww. postępowania o przyznanie zasiłku stałego skarżąca zaliczona została do składu z rodziny J. L., w rozumieniu art. 6 pkt. 14 u.o.p.s. Zgodnie z art. 8 ust. 1 ustawy o pomocy społecznej, prawo do świadczenia pieniężnego z pomocy społecznej, z zastrzeżeniem art. 40, art. 41, art. 53a i art. 91, przysługuje: 1) osobie samotnie gospodarującej, której dochód nie przekracza kwoty 701 zł, zwanej dalej "kryterium dochodowym osoby samotnie gospodarującej", 2) osobie w rodzinie, w której dochód na osobę nie przekracza kwoty 528 zł, zwanej dalej "kryterium dochodowym na osobę w rodzinie", 3) rodzinie, której dochód nie przekracza sumy kwoty kryterium dochodowego na osobę w rodzinie, zwanej dalej "kryterium dochodowym rodziny" – przy jednoczesnym wystąpieniu co najmniej jednego z powodów wymienionych w art. 7 pkt. 2-15 lub innych okolicznościach uzasadniających udzielenie pomocy społecznej. Jak trafnie przyjął Prezes Urzędu Ochrony Danych Osobowych podczas rozpatrywania ww. wniosku J. L., GOPS uwzględniając kryterium dochodowe, o którym mowa w art. 8 ustawy o pomocy społecznej, celem ustalenia dochodu tej rodziny, zobligowany był do ustalenia dochodu skarżącej. Z kolei na mocy powołanych wyżej art. 105 ust. 1 u.o.p.s. GOPS był uprawniony do pozyskania danych o wysokości emerytury skarżącej z Zakładu Ubezpieczeń Społecznych. W ocenie Sądu Prezes UODO zasadnie uznał, że kwestionowane przez skarżącą pozyskanie przez GOPS w D. jej danych osobowych w postaci informacji o wysokości emerytury od Zakładu Ubezpieczeń Społecznych oraz dalsze przetwarzanie tych danych przez GOPS dla celów postępowania w przedmiocie świadczenia o przyznanie zasiłku stałego z pomocy społecznej J. L., stanowiło działanie niezbędne do wypełnienia obowiązku prawnego ciążącego na GOPS i znajdowało oparcie w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych z 1997 r. Podzielić jednocześnie należy pogląd Prezesa UODO, że nie jest organem monitorującym czy nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych aparatów, służb czy sądów, których orzeczenia podlegają ocenie w toku instancji, czy w inny sposób określony odpowiednimi procedurami (por. wyrok NSA z 2 marca 2001 r., sygn. akt II SA 401/00). Prezes UODO nie ma zatem kompetencji do ingerowania w czynności podejmowane przez inne organy administracji publicznej w związku z prowadzonymi przez te organy postępowaniami administracyjnymi i nie jest, co za tym idzie uprawniony do oceny prawidłowości zaliczenia skarżącej przez te organy do kręgu osób, o których mowa w art. 6 pkt 14 ustawy o pomocy społecznej. Kwestia ta może być natomiast przedmiotem oceny w toku postępowania odwoławczego od decyzji w sprawie odmowy przyznania zasiłku stałego z pomocy społecznej. Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 P.p.s.a. orzekł jak w sentencji.