II SA/Wa 1489/21

SENTENCJA Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Andrzej Góraj (spr.), Sędzia WSA Tomasz Szmydt, Protokolant referent stażysta Radosław Fijałkowski po rozpoznaniu na rozprawie w dniu 16 listopada 2021 r. sprawy ze skargi K. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2021 r. nr [...] w przedmiocie naruszenia przepisów o ochronie danych osobowych uchyla punkt 1 zaskarżonej decyzji. UZASADNIENIE Postępowanie przed organem zainicjowała skarga Pani A. T. , dotycząca nieprawidłowości w przetwarzaniu jej danych osobowych przez Kancelarię [...] Sp. z o.o. w [...], polegające na udostępnieniu jej danych osobowych zawartych w PIT-11 osobom nieuprawnionym. W treści skargi Skarżąca wskazała, że Spółka wysłała jej PIT-11 za 2018 r., wystawiony w związki z ugodą zawartą [...] lutego 2018 r., na błędny adres: [...] , [...] , którego nigdy nie podawała jako adresu korespondencyjnego oraz pod którym nigdy nie mieszkała. Skarżąca wyjaśniła, że o nieprawidłowościach dowiedziała się [...] maja 2019 r. od Urzędu Skarbowego w [...] oraz z późniejszej rozmowy telefonicznej ze Spółką. Ponadto, Skarżąca wskazała, że Spółka nie udzieliła jej odpowiedzi na wezwanie z [...] czerwca 2019 r., którym zwracała się między innymi o wyjaśnienie okoliczności w jakich doszło do naruszenia ochrony jej danych osobowych. W związku z powyższym Skarżąca zawnioskowała o nakazanie Spółce dostosowania operacji przetwarzania danych osobowych do przepisów Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy UE, L 119, 4 maja 2016), zwanego dalej RODO. Prezes Urzędu Ochrony Danych Osobowych, w trakcie prowadzonego postępowania uzyskał wyjaśnienia odnośnie okoliczności sprawy i ustalił następujący stan faktyczny: 1. Spółka w dniu [...] czerwca 2009 r. zawarła z [...] Niestandaryzowanym Sekurytyzacyjnym Funduszem Inwestycyjnym Zamkniętym, zwanym dalej [...] NSFIZ lub Funduszem, umowę o obsługę sekurytyzowanych wierzytelności [...] Niestandaryzowanego Sekurytyzacyjnego Funduszu Inwestycyjnego Zamkniętego. W ramach ww. umowy Kancelaria zarządza wierzytelnościami dłużników [...] NSFIZ, w tym utrzymuje kontakt z dłużnikami z tytułu obsługiwanych wierzytelności, zawiera ugody w imieniu Funduszu, podejmuje działania zmierzające do odzyskania świadczeń z tytułu wierzytelności. [...] maja 2018 r. Fundusz zawarł ze Spółką umowę powierzenia przetwarzania danych osobowych dłużników (dowód: wyjaśnienia Spółki z [...] października 2019 r. i [...] września 2020 r. wraz z załącznikami). 2. Spółka wskazała, że Fundusz przetwarza dane osobowe Skarżącej w związku z uznaniem przez nią zadłużenia po zmarłej T. J. , co zostało objęte treścią ugody z dnia [...] lutego 2018 r. Celem przetwarzania danych osobowych Skarżącej jest dochodzenie roszczeń, obrona przed roszczeniami, a także realizacja obowiązków wynikających z prawa podatkowego. Kategorie przetwarzanych danych obejmują dane zwykłe w postaci imienia, nazwiska, adresu zamieszkania, numeru pesel, numeru telefonu, sygnatury akt sprawy sądowej (dowód: wyjaśnienia Spółki z [...] października 2019 r. wraz z załącznikami). 3. Odnosząc się do zarzutów udostępnienia danych osobowych Skarżącej zawartych w PIT-11 za 2018 r. Spółka wskazała, że nie udostępniła danych osobowych Skarżącej zawartych w deklaracji PIT-11 na rzecz osób trzecich. Spółka wyjaśniła, że przesłała w dniu [...] lutego 2 2019 r. na adres [...], [...] formularz PIT-11 w związku z zawartą ugodą pomiędzy Skarżącą, a [...] NSFIZ, ale korespondencja nie została odebrana. Jako dowód na powyższe Spółka przedstawiła druk zwrotnego potwierdzenia odbioru przesyłki poleconej o numerze nadawczym [...] zawierającej PIT-11 Skarżącej i wydruk z portalu Poczty Polskiej S.A., śledzenie przesyłek, dotyczący ww. przesyłki, z których wynika, że korespondencja nie została przez nikogo odebrana oraz że została zwrócona do nadawcy - Spółki (dowód: wyjaśnienia Spółki z [...] października 2019 r. wraz z załącznikami). 4. Spółka wskazała ponadto, że do nieprawidłowości doszło z uwagi na brak kontaktu ze Skarżącą (i pozostałymi spadkobierczyniami), w związku z czym dokumenty PIT-11 zostały wystawione na adres z systemu teleinformatycznego, który okazał się nieprawidłowy. Spółka oświadczyła również, że niezwłocznie po powzięciu wiedzy o nieprawidłowości adresu Spółka sporządziła korektę PIT-11 wskazując właściwy adres. W celu zapobieżenia wystąpieniu podobnych nieprawidłowości w przyszłości Spółka przeprowadziła rozmowy z pracownikami odpowiedzialnymi za sporządzenie i wysyłkę dokumentu PIT i ponowne szkolenia z zakresu danych osobowych obejmujące zwrócenie szczególnej uwagi na kwestie prawidłowości i aktualności danych posiadanych w systemie teleinformatycznym (dowód: wyjaśnienia Spółki z [...] września 2020 r. wraz z załącznikami). 5. Spółka wskazała, że udzieliła Skarżącej odpowiedzi na wezwanie Skarżącej z [...] czerwca 2019 r. zgodnie z zidentyfikowanym żądaniem zawartym w ww. piśmie i w dniu [...] czerwca 2019 r. przesłała korektę PIT-11, która została doręczona w dniu [...] czerwca 2019 r. (dowód: wyjaśnienia Spółki z [...] października 2019 r. wraz z załącznikami). Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] lutego 2021r. 1. udzielił Kancelarii [...] Sp. z o.o. (ul. [...], [...]) upomnienia za naruszenie art. 5 ust. 1 lit. a i lit. d Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46AVE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016) polegające na nierzetelnym przetwarzaniu danych osobowych Pani A. T. (zam. [...], [...]), w tym przetwarzaniu jej nieaktualnych danych osobowych, 2. umorzył postępowanie w pozostałym zakresie. W uzasadnieniu wskazano, że zgodnie z art. 5 ust. 1 lit. a RODO dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"). Co więcej, art. 5 ust. 1 lit. d RODO nakłada na administratora danych obowiązek przetwarzania prawidłowych danych osobowych i w razie potrzeby ich uaktualniania, a w tym celu podejmowania wszelkich rozsądnych działań, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane. W dalszej części uzasadnienia wskazano, że Spółka przetwarzała dane osobowe Skarżącej nierzetelnie, tj. do danych osobowych Skarżącej przyporządkowany był nieprawidłowy, nieaktualny adres [...], [...], na który wysłana została przesyłka zawierająca PIT-11 Skarżącej za 2018r. Odnosząc się zaś do zarzutu Skarżącej dotyczącego udostępnienia jej danych osobowych osobom nieuprawnionym, wskazano, że Prezes Urzędu Ochrony Danych Osobowych, jako organ administracji publicznej, przeprowadzając postępowanie w oparciu o przepisy Kpa, ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona. Dowodami w postępowaniu mogą być w szczególności dokumenty, zeznania świadków, opinie biegłych oraz oględziny (art. 75 § 1 Kpa). Podkreślono, że organ administracji publicznej może uznać stan faktyczny rozstrzyganej sprawy za ustalony jedynie na podstawie niebudzących wątpliwości dowodów i nie może poprzestać w tym zakresie na uprawdopodobnieniu chyba, że przepisy Kpa stanowią inaczej. W niniejszej sprawie analiza materiału dowodowego nie wykazała w sposób jednoznaczny i bezsporny, aby doszło do kwestionowanego przez Skarżącą udostępnienia jej danych osobowych osobom nieuprawnionym. Spółka w złożonych w sprawie wyjaśnieniach wykazała, że PIT-11 za 2018 r. zawierający dane osobowe Skarżącej przesłany na adres [...], [...] nie został przez nikogo odebrany, a zwrócony do Spółki (dowód: wyjaśnienia Spółki z [...] października 4 2019 r. wraz z załącznikami). Z kolei Skarżąca oparła skargę na własnym przekonaniu i nie przedstawiła niebudzących wątpliwości dowodów na potwierdzenie ww. okoliczności. Zgodnie z art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256), zwanej dalej Kpa, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji wydaje decyzję o umorzeniu postępowania. Dalej wyjaśniono, iż przedmiot postępowania wiąże się ze stosowaniem przez organ publiczny przepisów materialnego prawa administracyjnego. W doktrynie wskazuje się, że cyt.: "bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 Kpa, oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym." (B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, C.H. Beck, Warszawa 2006, s. 489). Ustalenie przez organ publiczny zaistnienia przesłanki, o której mowa w art. 105 § 1 Kpa, zobowiązuje go, jak podkreśla się w doktrynie i orzecznictwie, do umorzenia postępowania, nie ma bowiem w sytuacji zaistnienia tej przesłanki podstaw do rozstrzygnięcia sprawy co do istoty, a dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy. Bezprzedmiotowość postępowania może być także wynikiem zmiany stanu faktycznego sprawy. Od powyższej decyzji, w zakresie punktu 1, skargę do tut. Sądu wywiodła Kancelaria [...] Sp. z o.o. w [...] zarzucając jej naruszenie prawa materialnego tj. - art. 5 ust 1 lit d RODO poprzez jego błędną wykładnię wyrażającą się w uznaniu naruszenia zasady prawidłowości danych w związku z posiadaniem przez Kancelarię [...] Sp. z o.o. nieaktualnych danych, podczas gdy treść i prawidłowa wykładnia ww. przepisu nie zakłada bezwzględnego posiadania prawidłowych danych, a nakazuje podejmowanie czynności "w miarę potrzeby" i poprawianie danych. Naruszenie prawa materialnego - art. 5 ust 1 lit a RODO poprzez nieprawidłowe zastosowanie tego przepisu, w sytuacji gdy naruszenie zasady rzetelności w ocenie organu wynikać ma z naruszenia zasady prawidłowości, wobec czego dyspozycja art. 5 ust 1 lit d) powinna w niniejszej sprawie pochłaniać dyspozycję wynikającą z art. 5 ust 1 lit a) Rozporządzenia, w przypadku uznania że do naruszenia zasady prawidłowości rzeczywiście doszło. W związku z postawionymi zarzutami wniosła o uchylenie decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2021 roku wydanej w sprawie o sygn. akt: [...] w części tJ. w pkt 1 i umorzenie postępowania w tym zakresie. W odpowiedzi na skargę organ wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: zgodnie z treścią przepisu art.1 par. 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr.153, poz.1269 z późn. zm.) Sąd Administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należy, iż powinna zostać wyeliminowana z obrotu prawnego jako wadliwa. Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy organ ustalił w sposób wyczerpujący stan faktyczny. Na w/postawione pytanie, w ocenie tut. Sądu należało udzielić negatywnej odpowiedzi. Podstawą prawną skarżonego rozstrzygnięcia organ uczynił przepis art. 5 ust. 1 lit. a RODO [dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"(] i przepis art. 5 ust. 1 lit. d RODO [nakłada on na administratora danych obowiązek przetwarzania prawidłowych danych osobowych i w razie potrzeby ich uaktualniania, a w tym celu podejmowania wszelkich rozsądnych działań, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane]. W świetle powyższego, aby możliwym było przypisanie administratorowi danych osobowych faktu nierzetelnego przetwarzania konkretnych danych osobowych, koniecznym jest ustalenie : - czy administrator danych przetwarza konkretne dane osobowe (czy jest w ich posiadaniu – w tym m. in. adresu do korespondencji), - czy dane osobowe są przetwarzane prawidłowo (m. in czy są aktualne), - czy zaistniała potrzeba uaktualnienia danych a administrator danych zignorował tę potrzebę. Dopiero łączne spełnienie wszystkich powyższych przesłanek umożliwi organowi uznanie, że administrator danych osobowych nie podołał obowiązkowi opisanemu w omawianych regulacjach. Analiza uzasadnienia skarżonej decyzji prowadzi w ocenie tut. Sądu do konkluzji, iż organ nie przedstawił dowodów na spełnienie powyższych przesłanek. Przede wszystkim z uzasadnienia skarżonej decyzji nie wynika to, czy skarżący posiadał w ogóle adres korespondencyjny osoby inicjującej przedmiotowe postępowanie – przed wysłaniem spornego dokumentu PIT-11. W tym zakresie organ przywołał jedynie oświadczenie spółki, że z uwagi na brak kontaktu z A. T. , uzyskano jej adres z systemu teleinformatycznego. Przywołał też oświadczenie samej A. T. o tym, że adresu na który wysłano pierwotnie PIT-11 nigdy nie podawała stronie i nigdy pod nim nie mieszkała. Należy zauważyć, że takie stwierdzenia jak wyżej, nie zawierają jednoznacznej informacji. Może bowiem sugerować, iż spółka weszła w posiadanie adresu A. T. dopiero z chwilą ich ustalenia w owym systemie. Mimo tego organ nie dochowując należytej staranności nie ustalił tego, czy spółka dysponowała spornym adresem jeszcze przed sięgnięciem do systemu teleinformatycznego. Nadto, co również wielce istotne, organ nie ustalił tego o jakim systemie teleinformatyczny jest mowa (czy był to wewnętrzny system spółki czy np., system PESEL lub jeszcze inny). Zwrócić należało także organowi uwagę na to, iż w sposób nieuprawniony zdaje się zrównywać pojęcie "nieprawidłowego adresu" i "adresu nieaktualnego" pomijając fakt, że oba w/w pojęcia nie tworzą jednakowych zbiorów znaczeniowych. Adres nieprawidłowy, może być bowiem nie tylko adresem nieaktualnym, ale także adresem nie wynikającym z żadnych dokumentów (np. wymyślonym przez pracownika administratora danych). W realiach niniejszej sprawy powyższe rozróżnienie ma bardzo istotne znaczenie w sytuacji gdy organ nie ustalił tego, czy spółka dysponowała spornym adresem przed wysłaniem na niego dokumentu PIT-11 i czy w chwili dokonania kwestionowanej wysyłki adres ten był już nieaktualny czy nieistniejący w dokumentacji. Brak szczegółowych ustaleń powyższych faktów sprawia, że jako przedwczesne jawią się wnioski organu o przetwarzaniu przez spółkę danych osobowych A. T. z naruszeniem omawianych przepisów RODO. Nadto brak wskazanych ustaleń powoduje, że w chwili obecnej nie sposób rzetelnie ocenić tego, czy po stronie spółki - przed wysłaniem dokumentu PIT-11 na kwestionowany adres – zaistniała uzasadniona potrzeba uaktualnienia tego adresu. W związku z powyższym, uznając że skarżona decyzja narusza prawo, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w wyroku na podstawie art.145 par.1 pkt.1c ustawy z dnia 30 sierpnia 2002r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz.1270 z późn. zm.). Ponownie rozpoznając sprawę organ zastosuje się do uwag zawartych w przedmiotowym uzasadnieniu.