II SA/Wa 2484/19

SENTENCJA Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Piotr Borowiecki, Sędzia WSA Joanna Kube (spr.), Sędzia WSA Andrzej Góraj, po rozpoznaniu w trybie uproszczonym w dniu 15 października 2020 r. sprawy ze skargi W. F. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę UZASADNIENIE Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] sierpnia 2019 r. nr [...], na podstawie art. 138 § 1 pkt 1 w zw. z art. 127 § 3 - Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 z późn. zm., dalej: "k.p.a."), art. 57 ust. 1 pkt a) i f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str.1, z późn. zm., dalej: "RODO") oraz art. 18 ust. 1 pkt 6 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 z późn. zm.) w zw. z art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 z późn. zm.), po ponownym rozpatrzeniu sprawy, utrzymał w mocy decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2019 r. (znak: [...]) o odmowie uwzględnienia skargi W. F. na udostępnienie jego danych osobowych, przez Zakład Ubezpieczeń Społecznych z siedzibą w [...] przy ul. [...] na rzecz Prezydenta [...] z siedzibą w [...] przy pl. [...]. Jak wynika z ustaleń organu, do Prezesa Urzędu Ochrony Danych Osobowych, dalej: "Prezes Urzędu" wpłynęła w dniu [...] lipca 2017 r. skarga (datowana na [...] lipca 2017 r.) W. F., dalej: "skarżącego", na udostępnienie jego danych osobowych przez Zakład Ubezpieczeń Społecznych na rzecz Prezydenta [...]. Prezes Urzędu, w związku ze złożoną skargą, przeprowadził postępowanie administracyjne, w toku którego ustalił następujący stan faktyczny. 1. Pismem z dnia [...] grudnia 2015 r. Prezydent wystąpił z wnioskiem do ZUS o udostępnienie danych osobowych skarżącego w zakresie obejmującym informacje o pobieranych świadczeniach pieniężnych z ubezpieczenia społecznego (emerytura lub renta), odprowadzanych składkach oraz informacji o miejscu jego zatrudnienia (nazwa, adres i NIP pracodawcy skarżącego). We wniosku Prezydenta [...] skierowanym do ZUS nie została podana podstawa prawna obligująca ZUS do udostępnienia danych osobowych skarżącego w zakresie żądanym przez Prezydenta [...]. Wskazano jedynie, w jakim celu dane osobowe skarżącego są niezbędne, tj. w celu sprawnego przeprowadzenia postępowania egzekucyjnego, w związku z postępowaniem sądowym, które toczyło się przed Sądem [...] w [...] z powództwa skarżącego przeciwko Urzędowi [...]. 2. W odpowiedzi, ZUS pismem z dnia [...] stycznia 2016 r. udostępnił Prezydentowi [...] dane osobowe skarżącego w zakresie jego imienia i nazwiska, numeru PESEL, nazwy oraz adresu siedziby pracodawcy skarżącego, NIP i numeru identyfikacyjnego REGON, informacji o jego tytule podlegania ubezpieczeniom społecznym oraz ubezpieczeniu zdrowotnemu, informacji o niepobieraniu renty i emerytury. 3. W piśmie z dnia [...] stycznia 2016 r. ZUS, jako podstawę prawną udostępnienia danych osobowych wskazał art. 50 ust. 9 ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (Dz. U. z 2015 r. poz. 121 ze zm.; aktualnie Dz. U. z 2019 r. poz. 300 ze zm.), dalej: "jako u.s.u.s." Jednocześnie ZUS przyznał, że cyt.: " (...) z uwagi na fakt, że wniosek Urzędu [...] posiadał uchybienie formalno-prawne, a powołana w odpowiedzi Zakładu podstawa prawna nie była zawarta we wniosku Urzędu [...], postępowanie pracownika Zakładu opracowującego wniosek należy uznać, jako błędne, a udostępnienie danych W. F., na rzecz Prezydenta [...], jako nieuprawnione. Ujawniona nieprawidłowość miała charakter jednostkowego i niezamierzonego błędu (...). 4. W przedmiotowej sprawie Prezydent [...] był wierzycielem toczącego się postępowania egzekucyjnego, a nie organem egzekucyjnym. Prezes Urzędu stwierdził, że ZUS bez przeprowadzenia postępowania wyjaśniającego sam ustalił podstawę prawną, w oparciu o którą udostępnił dane osobowe skarżącego w ten sposób, że Prezydent [...], będący w tej sprawie wierzycielem, został przez ZUS uznany za organ egzekucyjny. Zdaniem organu nadzoru, działanie ZUS w tym zakresie było niezgodne z obowiązującymi przepisami prawa. Podał, że art. 50 ust. 3 u.s.u.s. wskazuje, że udostępnienie danych powinno odbywać się z uwzględnieniem przepisów dotyczących ochrony danych osobowych. W związku z tym, że ZUS nie dysponował przesłanką legalizującą udostępnienie danych osobowych skarżącego na rzecz Prezydenta [...] stwierdzono naruszenie ochrony danych osobowych. Odmawiając uwzględnienia wniosku ze skargi W. F. na udostępnienie jego danych osobowych przez ZUS, stwierdził, że postępowanie administracyjne prowadzone przez Prezesa Urzędu służy kontroli zgodności przetwarzania danych osobowych z przepisami o ich ochronie, a w przypadku stwierdzenia naruszenia prawa jest ukierunkowane na wydanie decyzji administracyjnej nakazującej przywrócenie stanu zgodnego z prawem. W związku z tym, że skarga została złożona przed 25 maja 2018 r., Prezes Urzędu nie może skorzystać z uprawnień naprawczych przewidzianych w art. 58 ust. 2 RODO, ponieważ w postępowaniu wszczętym i prowadzonym na podstawie RODO ich zastosowanie nie odnosi się do zdarzeń przeszłych i zakończonych przed rozpoczęciem stosowania RODO. Ponadto podniósł, że na podstawie art. 52 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, Prezes Urzędu może kierować do organów państwowych, organów samorządu terytorialnego, państwowych i komunalnych jednostek organizacyjnych, podmiotów niepublicznych realizujących zadania publiczne, osób fizycznych i prawnych, jednostek organizacyjnych niebędących osobami prawnymi oraz innych podmiotów, wystąpienia zmierzające do zapewnienia skutecznej ochrony danych osobowych. Korzystając z ww. uprawnienia, Prezes Urzędu zwrócił się do ZUS o podjęcie stosownych działań mających na celu zapewnienie, aby udostępnianie przez ZUS danych osobowych na rzecz innych podmiotów było zgodne z przepisami o ochronie danych osobowych. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 10 października 2019 r. W. F. zaskarżył w całości decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2019 r. nr [...], wnosząc o jej uchylenie i przekazanie sprawy do ponownego rozpoznania oraz zasądzenie kosztów postępowania według norm przepisanych. W odpowiedzi na skargę Prezes Urzędu wniósł o jej oddalenie, podtrzymując stanowisko zaprezentowane w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Skarga nie zasługuje na uwzględnienie, ponieważ Sąd, przeprowadzając kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej, stosownie do art. 1 § 1 i § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r., poz. 2325 z późn. zm.), dalej: "p.p.s.a.", nie stwierdził, aby Prezes Urzędu, wydając decyzję z dnia 23 sierpnia 2019 r. naruszył przepisy prawa materialnego w stopniu mającym wpływ na wynik sprawy, czy też przepisy postępowania administracyjnego w stopniu mogącym mieć istotny wpływ na wynik sprawy. Prezes Urzędu, wobec prawidłowo ustalonego stanu faktycznego w niniejszej sprawie, trafnie przyjął, że brak jest podstaw do uwzględnienia żądania wnioskodawcy, w myśl mających w sprawie zastosowanie regulacji normatywnych. W kontekście uwarunkowań prawnych należy wskazać, że w sprawie wszczętej pod rządami ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 z późn. zm.) (skarga datowana na 15 lipca 2017 r.) generalnie zastosowanie mają przepisy tej ustawy, wobec treści art. 160 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 z późn. zm.). Należy jednak zastrzec, że uprzednie regulacje znajdowały zastosowania w tych aspektach sprawy, w których chodzi o ocenę zdarzeń, mających miejsce przed wejściem w życie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm.), zwanego dalej "RODO". Normuje ono bowiem reguły ochrony danych osobowych bezpośrednio od dnia jego wejścia w życie, tj. od 25 maja 2018 r. (art. 99 ust. 2 RODO). Przypadki naruszenia zasad ochrony danych osobowych sprzed tej daty, podlegają ocenie na gruncie RODO jedynie w sytuacji, gdy nie ustały do tego czasu. W przedmiotowej sprawie, w związku z tym, że zarówno złożenie przez W. F. skargi na naruszenie ochrony danych osobowych, jak i zdarzenie, którego skarga dotyczyła, miało miejsce przed 25 maja 2018 r., Prezes Urzędu nie mógł skorzystać z uprawnień naprawczych przewidzianych w art. 58 ust. 2 RODO. Objęte skargą zdarzenie było niewątpliwie działaniem jednorazowym, tym samym, wobec treści art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, nie było podstaw do wydania decyzji nakazującej zaprzestanie udostępnienia danych osobowych wnioskodawcy, jak również ukształtowania innego nakazu, o którym mowa w tym przepisie. Rozważania Prezesa Urzędu, co do zdarzenia dotyczącego bezpodstawnego udostępnienia przez ZUS danych osobowych wnioskodawcy na rzecz innych podmiotów, które miało miejsce pod rządami poprzednich regulacji, są zatem trafne i stosownie umotywowane, w kontekście właściwie przytoczonych regulacji normatywnych. Prezes Urzędu prawidłowo przyjął, że skoro skarga dotyczyła udostępnienia danych osobowych skarżącego przez Zakład Ubezpieczeń Społecznych na rzecz Prezydenta [...], właściwym było skierowanie do Prezesa ZUS wystąpienia w sprawie zapewnienia przestrzegania zasad ochrony danych osobowych na podstawie art. 52 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 z późn. zm.). W ocenie Sądu, Prezes Urzędu w rozpoznawanej sprawie należycie przeprowadził postępowanie administracyjne, prawidłowo ustalił stan faktyczny (art. 7 k.p.a.), w sposób wyczerpujący zebrał materiał dowodowy, korzystając ze swych uprawnień i należycie go rozpatrzył (art. 77 § 1 k.p.a.). Ocena tego materiału dowodowego była zaś prawidłowa. Organ nie uchybił też art. 107 § 3 k.p.a. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151, art. 120 w związku z art. 119 pkt 2 p.p.s.a., orzekł jak w sentencji wyroku.