II SA/Wa 240/21

SENTENCJA Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk Sędzia WSA Danuta Kania (spr.) Sędzia WSA Andrzej Góraj Protokolant specjalista Aleksandra Weiher po rozpoznaniu na rozprawie w dniu 14 października 2021 r. sprawy ze skargi Prezydenta Miasta J. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę UZASADNIENIE Decyzją nr [...] z dnia [...] listopada 2020 r. Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ"), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2019 r., poz. 1781 ze zm.), dalej: "k.p.a.", udzielił upomnienia Prezydentowi Miasta J. (dalej: "Prezydent Miasta", "strona skarżąca") za naruszenie art. 5 ust. 1 lit. a i c oraz art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z dnia 4 maja 2016, s. 1 oraz Dz. Urz. UE L 127 z dnia 23 maja 2018, s. 2), dalej: "ogólne rozporządzenie o ochronie danych", polegające na udostępnieniu danych osobowych J. H. (dalej: "wnioskodawczyni", "uczestniczka postępowania") zawartych w jej piśmie z dnia [...] listopada 2019 r., stanowiącym skargę na pracownika Urzędu Miasta J. (funkcjonariuszki Straży Miejskiej). W uzasadnieniu powyższej decyzji organ przedstawił dotychczasowy tok postępowania wskazując, co następuje: Do Urzędu Ochrony Danych Osobowych wpłynęła skarga J. H. na udostępnienie jej danych osobowych przez Prezydenta Miasta J. osobom nieuprawnionym. W uzasadnieniu skargi ww. wskazała, że w Urzędzie Miasta doszło do wycieku jej danych, poprzez udostępnienie przez Komendanta Straży Miejskiej jej danych osobowych na rzecz D. B. (funkcjonariuszki Straży Miejskiej), zawartych w jej skardze na działania tejże funkcjonariuszki, skierowanej m.in. do Prezydenta Miasta oraz Komendanta Straży Miejskiej. Zdaniem wnioskodawczyni doszło do dwukrotnego naruszenia ochrony jej danych poprzez udostępnienie ww. skargi oraz posłużenie się jej kserokopią "w prywatnej sprawie cywilnej, karnej (...) zanim odpowiednie organy wszczęły jakiekolwiek postępowanie". W związku z powyższym wnioskodawczyni wniosła o zbadanie legalności ww. procesu. Organ ustalił, że wnioskodawczyni, pismem z dnia [...] listopada 2019 r., złożyła zawiadomienie do Prokuratury Rejonowej w J. o podejrzeniu popełnienia przestępstwa przez funkcjonariuszkę Straży Miejskiej – D. B., polegającego na niedopełnieniu przez ww. obowiązków służbowych. Pismo to wnioskodawczyni złożyła także do wiadomości m.in. Prezydenta Miasta oraz Komendanta Straży Miejskiej. W treści pisma wskazała na niedopełnianie obowiązków przez ww. funkcjonariuszkę skutkujące narażaniem na utratę zdrowia lub życia osób bezdomnych znajdujących się w noclegowni w okresie grzewczym 2017/2018 r. Prokuratura Rejonowa w J. odmówiła wszczęcia dochodzenia w sprawie przekroczenia i niedopełnienia obowiązków w ogrzewalni dla osób bezdomnych w sezonie grzewczym, tj. od października 2017 r. do marca 2018 r., przez strażnika Straży Miejskiej D. B. na szkodę interesu publicznego, tj. o czyn z art. 231 § 1 k.k., na zasadzie art. 17 § 1 pkt 1 k.p.k. Wnioskodawczyni nie otrzymała w postępowaniu tym statusu strony. Prezydent Miasta wyjaśnił, że przetwarza dane osobowe wnioskodawczyni na podstawie przepisów k.p.a. oraz rozporządzenia Rady Ministrów z dnia 8 stycznia 2002 r. w sprawie organizacji przyjmowania i rozpatrywania skarg i wniosków (Dz. U. z 2002 r. Nr 5, poz. 46) w związku ze złożeniem przez wnioskodawczynię skargi na funkcjonariuszkę Straży Miejskiej. Skarga została zarejestrowana w rejestrze i rozpatrzona zgodnie z obowiązującymi przepisami prawa. Korespondencja prowadzona jest zgodnie z "Jednolitym rzeczowym wykazem akt" i posiada kategorię archiwalną A. Prezydent Miasta oświadczył, że dane osobowe wnioskodawczyni zostały udostępnione D. B., która konieczność ich posiadania argumentowała celem dochodzenia roszczeń przed sądem z tytułu naruszenia dóbr osobistych. Pismo wnioskodawczyni skierowane do Prezydenta Miasta stanowiło skargę w rozumieniu przepisów Działu VIII k.p.a. Zawarte w nim zarzuty dotyczyły rzekomo nienależytego wykonywania zadań przez pracownika Urzędu Miasta (strażniczkę Straży Miejskiej) i podejrzenie dopuszczenia się przez nią czynów zabronionych. Wskazał nadto, iż istotnym elementem skargi jest nie tylko zarzut pozaprawnej działalności pracownika, lecz również wskazanie, chociażby w ramach czynności wyjaśniających, osoby, od której skarga pochodzi. Zarówno treść zarzutów pod adresem określonego pracownika jak również dane skarżącego stanowią czynnik umożliwiający kompletne i obiektywne ustosunkowanie się pracownika, pod adresem którego zarzuty zostały sformułowane, co do ich zasadności. Podał również, że D. B. w dniu [...] listopada 2019 r. złożyła wniosek o udostępnienie jej kopii pisma złożonego w dniu [...] listopada 2019 r. do Urzędu Miasta w J. przez J. H., uzasadniając fakt koniecznością realizacji celu wynikającego z prawnie uzasadnionego interesu - skierowania sprawy na drogę sądową. Prezes UODO ustalił również, że w dniu [...] listopada 2019 r. D. B. złożyła wniosek o udostępnienie kopii pisma złożonego w dniu [...] listopada 2019 r. do Urzędu Miasta przez J. H.. Swój wniosek argumentowała tym, iż ww. pismo, zawierające fałszywe i obraźliwe zarzuty kierowane pod jej adresem oraz stanowiące podstawę do prowadzonego w stosunku do jej osoby postępowania wyjaśniającego (skargowego), jest jej niezbędne do realizacji celu wynikającego z prawnie uzasadnionego interesu. Organ wskazał nadto, że Straż Miejska jest umiejscowiona w strukturach Urzędu Miasta J. jako jego Wydział, którego Naczelnikiem jest Komendant Straży Miejskiej (Uchwała nr [...] Rady Miasta J. z dnia [...] marca 2005 r. w sprawie Regulaminu Straży Miejskiej w J.). W Urzędzie Miasta obowiązują "Jednolite zasady przyjmowania, rozpatrywania, załatwiania oraz ewidencjonowania skarg, wniosków i petycji w Urzędzie Miasta J." stanowiące załącznik do Zarządzenia nr [...] Prezydenta Miasta J. z dnia [...] marca 2018 r. Z oskarżenia prywatnego ww. funkcjonariuszki Straży Miejskiej zostało wszczęte postępowanie przeciwko wnioskodawczyni w Sądzie Rejonowym w J. w przedmiocie zniesławienia. Mając powyższe na względzie Prezes UODO wskazał, iż Prezydent Miasta jako organ publiczny przetwarzając dane (także je udostępniając) musi działać na podstawie prawa i w jego granicach. Zgodnie bowiem z zasadą uregulowaną w art. 5 ust. 1 ogólnego rozporządzenia o ochronie danych - dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (art. 5 ust. 1 lit. a - "zgodność z prawem, rzetelność i przejrzystość"), nadto muszą być adekwatne, stosowne oraz ograniczone do celów, w których są przetwarzane (art. 5 ust. 1 lit. c - "minimalizacja danych"). Przepis art. 6 ww. rozporządzenia, zawierający katalog równoprawnych przesłanek przetwarzania danych osobowych, uszczegóławia i nadaje skonkretyzowaną, normatywną treść ww. zasadzie. Jak wynika z wyjaśnień Prezydenta Miasta pismo wnioskodawczyni z dnia [...] listopada 2019 r. zostało uznane jako skarga na pracownika Urzędu (na czele, którego stoi Prezydent Miasta) i rozpatrzone zgodnie z przepisami Działu VIII k.p.a. oraz "Jednolitych zasad przyjmowania, rozpatrywania, załatwiania oraz ewidencjonowania skarg, wniosków i petycji w Urzędzie Miasta J.". Tym samym za administratora danych wnioskodawczyni zawartych w ww. piśmie należy uznać Prezydenta Miasta. Udostępnienie danych osobowych wnioskodawczyni nastąpiło w oparciu o wniosek funkcjonariuszki Straży Miejskiej z dnia [...] listopada 2019 r. Kopia pisma z dnia [...] listopada 2019 r. została następnie wykorzystana przez tę funkcjonariuszkę w postępowaniu z oskarżenia prywatnego przed Sądem Rejonowym (wydział karny). Prezes UODO podkreślił, iż Prezydent Miasta - jako administrator danych wnioskodawczyni - odpowiada za proces ich przetwarzania, w tym za ich udostępnienie. Administrator danych analizując wniosek o udostępnienie kopii dokumentu, w posiadaniu którego się znalazł, miał obowiązek zbadać, czy zachodzą przesłanki do jego udostępnienia, tj. czy osoba wnioskująca posiada interes prawny w jego pozyskaniu. Z akt sprawy wynika, że funkcjonariuszka Straży Miejskiej wskazywała na to, że treść tegoż pisma była dla niej obraźliwa i zawierała fałszywe zarzuty. Nie wskazała jednak w czym przejawia się jej uzasadniony interes, tj. w jaki sposób, w jakim celu pismo to wykorzysta. Dysponowanie stosownym wnioskiem, bądź udokumentowanie wniosku zgłoszonego inaczej niż na piśmie, jest niezbędne dla celów dowodowych, rozliczalności (art. 5 ust. 2 ogólnego rozporządzenia o ochronie danych). Obowiązkiem administratora jest zbadanie czy u podstaw żądania znajduje się przesłanka do jego realizacji. Prezydent Miasta nie dysponował bowiem zgodą wnioskodawczyni na udostępnienie jej danych osobowych zawartych w ww. piśmie, brak też było przepisu prawa, który nakazywałby ich udostępnienie. Jedyną podstawą prawną w tym przypadku, którą Prezydent Miasta powinien był rozważać była przesłanka usprawiedliwionego interesu administratora lub osoby wnioskującej. Tymczasem funkcjonariuszka Straży Miejskiej w ww. wniosku nie wykazała na czym polegał jej uzasadniony interes, nie podała bowiem w jakim celu zamierza dane osobowe zawarte w ww. dokumencie wykorzystać. Prezydent Miasta pozostawał w przekonaniu, iż funkcjonariuszka potrzebowała ww. pisma do ochrony swoich dóbr osobistych, tj. w postępowaniu przed sądem cywilnym, jednak w złożonym wniosku nie wskazała ona na tę okoliczność. Prezydent nie zbadał w sposób należyty i wyczerpujący na czym polegał uzasadniony interes funkcjonariuszki. Tym samym kopia pisma wnioskodawczyni wraz z jej danymi została udostępniona bez podstawy prawnej, z naruszeniem zasady legalizmu oraz zasady rozliczalności. Prezydent nie wykazał bowiem prawidłowości i legalności udostępnienia ww. danych. Nie wykazał również w jaki sposób dokonał wyważenia interesów obu stron - prawa do zachowania prywatności przez wnioskodawczynię oraz prawnie uzasadnionego interesu funkcjonariuszki Straży Miejskiej. Dla niniejszej sprawy nie ma jednocześnie znaczenia, w jakim celu faktycznie funkcjonariuszka wykorzystała pozyskane dane osobowe, bowiem sam proces oceny zasadności wniosku o udostępnienie danych osobowych był wadliwy. Na marginesie Prezes UODO wskazał, że funkcjonariuszka Straży Miejskiej pozyskany dokument wykorzystała w postępowaniu sądowym dla obrony swego dobrego imienia, tj. w czysto osobistym charakterze. Zgodnie natomiast z treścią art. 2 ust. 2 lit. c ogólnego rozporządzenia o ochronie danych przepisy tego rozporządzenia nie mają zastosowania do przetwarzania danych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. Zgodnie z motywem 18 ww. rozporządzenia (ściśle związanym z ww. przepisem), rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową. Oznacza to, że wykorzystanie danych osobowych wnioskodawczyni zawartych w kopii jej zawiadomienia pozostaje poza oceną Prezesa UODO. Ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 ogólnego rozporządzenia o ochronie danych służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości w procesie przetwarzania danych osobowych istnieją. Na podstawie art. 58 ust. 2 ww. rozporządzenia Prezesowi UODO przysługują uprawnienia naprawcze, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania (lit. b). Mając powyższe na uwadze organ uznał, że właściwe jest zastosowanie wobec Prezydenta Miasta upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 5 ust. 1 lit. a i lit. c oraz art. 6 ust. 1 ww. rozporządzenia, gdyż przetwarzanie danych osobowych wnioskodawczyni polegające na udostępnieniu jej danych osobowych zawartych w piśmie z dnia [...] listopada 2019 r. na rzecz funkcjonariuszki Straży Miejskiej stanowiło naruszenie ww. norm z zakresu ochrony danych osobowych. Pismem z dnia 23 grudnia 2020 r. Prezydent Miasta J. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa UODO z dnia [...] listopada 2020 r. zarzucając: - naruszenie art. 107 § 1 pkt 4 i 6 k.p.a. poprzez niewskazanie w decyzji precyzyjnie przepisu prawa, któremu uchybiono przy udostępnieniu danych osobowych, wskazując jedynie na art. 6 ust. 1 ogólnego rozporządzenia o ochronie danych przy jednoczesnym ustaleniu, że dane przekazano na wniosek strażnika miejskiego, którego skarga dotyczyła, a we wniosku wskazano, że skarga zawiera fałszywe i obraźliwe zarzuty, zaś uzyskanie tego dokumentu jest celowe ze względu na konieczność realizacji prawnie uzasadnionego interesu, - błędną wykładnię art. 6 ust. 1 ogólnego rozporządzenia o ochronie danych poprzez przyjęcie, że do uchybienia tego obowiązku może dojść w sytuacji, gdy udostępniono kopię skargi na pisemny wniosek strażnika miejskiego powołującego się na prawnie uzasadniony interes, który wyraźnie wynikał z kontekstu obraźliwych sformułowań naruszających dobra osobiste, oraz wiedzy Komendanta Straży Miejskiej, który udostępniając kopię miał pełną świadomość czego dotyczy i w jaki sposób będzie zrealizowany "prawnie uzasadniony interes", a potwierdzony później faktycznie wytoczoną sprawą z oskarżenia prywatnego, - sprzeczność ustaleń organu z treścią zebranego w sprawie materiału dowodowego wynikającego z przyjęcia, iż dla niniejszego postępowania nie ma znaczenia, w jakim celu faktycznie strażnik miejski wykorzystał pozyskane od Prezydenta Miasta dane osobowe, podczas gdy wykorzystanie tego dokumentu przed sądem potwierdza faktycznie zasadność, a nie fikcyjność uzasadnienia złożonego wniosku strażnika miejskiego zwłaszcza, że w orzecznictwie utrwalony jest pogląd, iż pozyskanie danych osobowych ma swe oparcie w art. 6 ust. 1 lit. f ogólnego rozporządzenia o ochronie danych dla obrony praw przed sądem przy wykorzystywaniu wszelkich środków dowodowych, podlegających ocenie niezawisłego sądu oraz jest działaniem w prawnie uzasadnionym interesie, o którym mowa w art. 6 ust. 1 lit. f ww. rozporządzenia. W związku z powyższymi zarzutami strona skarżąca wniosła o: uwzględnienie skargi w całości i uchylenie zaskarżonej decyzji oraz umorzenie postępowania; zasądzenie od organu na rzecz strony skarżącej kosztów postępowania. W motywach skargi strona skarżąca podniosła w szczególności, iż dowolne jest twierdzenie Prezesa UODO, że brak wskazania ochrony dóbr osobistych we wniosku stanowi o naruszeniu przepisów art. 5 i art. 6 ust. 1 ogólnego rozporządzenia o ochronie danych. Zarówno bowiem pozyskanie danych osobowych jak i ich późniejsze wykorzystanie przed sądem karnym w sprawie o pomówienie czy zniesławienie ma swe oparcie w art. 6 ust. 1 ww. rozporządzenia. Obrona praw przed sądem przy wykorzystywaniu wszelkich środków dowodowych, podlegających ocenie niezawisłego sądu jest działaniem w prawnie uzasadnionym interesie. Przetwarzanie danych osobowych w celach dowodowych, przy wykorzystaniu środków dowodowych zawierających te dane (dokumentów) przedkładanych w danej sprawie, jeżeli ma na celu obronę praw przed sądem, jest uzasadnione realizacją usprawiedliwionego interesu. Ubieganie się o dane osobowe w tym celu zostało potwierdzone faktycznym wszczęciem postępowania sądowego. Pismem z dnia [...] grudnia 2020 r. Sąd Rejonowy w J. Wydział [...][...] zwrócił się do strony skarżącej o podanie dodatkowych informacji dotyczących prowadzonej sprawy karnej. Nadto strona skarżąca wskazała, że prawna ochrona danych osobowych nie jest nieograniczona. Nie sięga przede wszystkim takich działań, które naruszają obowiązujący porządek prawny. Umożliwienie zatem podejmowania działań zmierzających do naprawy tej sytuacji, w tym też ścigania, i to nie tylko z urzędu, ale i w drodze prywatnego aktu oskarżenia, czy domaganie się ochrony dóbr osobistych na drodze cywilnej, jest działaniem w granicach prawa, pozwalającym na zwolnienie z tej ochrony. Uprawnienia te wynikają z przepisów prawa karnego, cywilnego oraz procedury obowiązującej w tym zakresie (art. 2 § 1 pkt 1 k.p.k. lub art. 126 § 1 pkt 1 k.p.c.). Nie można wszak dopuszczać do tego, aby osoby naruszające prawa osobiste osób trzecich pozostawały poza jakąkolwiek oceną legalności ich działań. Końcowo strona skarżąca podniosła, że ocena rzetelności działania administratora danych nie może być uznaniowa i oderwana od treści wszystkich dokumentów, w tym treści skargi oraz faktu wykorzystania dokumentu w celu opisanym we wniosku, tj. dochodzenia uzasadnionego interesu przed sądem. W odpowiedzi na skargę Prezes UODO wniósł o oddalenie skargi podtrzymując stanowisko jak w zaskarżonej decyzji. W piśmie procesowym z dnia 5 października 2021 r. uczestniczka postępowania podtrzymała stanowisko prezentowane w toku postępowania administracyjnego oraz przekazała informacje dotyczące sprawy zawisłej przed Sądem Rejonowym w J. Wydział [...][...] o sygn. akt [...]. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2019 r., poz. 2167), dalej: "p.u.s.a." oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. W myśl art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). Skarga oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie, bowiem zaskarżona decyzja nie narusza prawa. W pierwszej kolejności wskazać należy, iż od dnia 25 maja 2018 r. w polskim porządku prawnym obowiązuje ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), dalej: "u.o.d.o.", oraz ogólne rozporządzenie o ochronie danych 2016/679, które stosuje się bezpośrednio. Zgodnie z art. 4 pkt 1 ww. rozporządzenia dane osobowe oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"). Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Natomiast w myśl art. 4 pkt 2 ww. rozporządzenia, przetwarzanie danych osobowych oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Zgodnie z art. 4 pkt 7 ww. rozporządzenia "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Sposób postępowania przy przetwarzaniu danych osobowych wyznacza art. 5 ust. 1 ww. rozporządzenia, ujmując je w formę podstawowych obowiązków administratora. Z jego treści wynika, że dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (zgodność z prawem, rzetelność i przejrzystość), b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami (ograniczenie celu), c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (minimalizacja danych), d) prawidłowe i w razie potrzeby uaktualniane, a dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, muszą być niezwłocznie usunięte lub sprostowane (prawidłowość), e) przechowywane w formie umożliwiającej identyfikację osoby, której dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane (ograniczenie przechowywania), f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych (integralność i poufność). Zgodnie z ust. 2 omawianego przepisu, administrator jest odpowiedzialny za przestrzeganie powyższych zasad i musi być w stanie wykazać ich przestrzeganie (rozliczalność). Podkreślić należy, że przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 ww. rozporządzenia, a mianowicie: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów, b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Podstawa prawna przetwarzania danych osobowych wymieniona w przepisie art. 6 ust. 1 lit. f ogólnego rozporządzenia o ochronie danych ma zastosowanie w sytuacji, gdy administrator nie posiada zgody osoby, której dane dotyczą, nie istnieje żaden przepis, który mógłby stanowić podstawę do przetwarzania danych osobowych oraz gdy administrator nie może powołać się na realizację umowy, a mimo to przetwarzanie danych należy uznać za legalne z uwagi na "prawnie uzasadniony interes" administratora lub strony trzeciej. Przesłanka ta ma charakter dodatkowy, uzupełniający pozostałe podstawy dopuszczalności przetwarzania. Oparcie przetwarzania danych osobowych na przepisie art. 6 ust. 1 lit. f ww. rozporządzenia wymaga kumulatywnego spełnienia dwóch przesłanek pozytywnych. Po pierwsze, musi występować prawnie uzasadniony interes, który jest realizowany przez administratora lub przez stronę trzecią. Po drugie, przetwarzanie danych osobowych ma być niezbędne dla realizacji celu wynikającego z prawnie uzasadnionych interesów. Nie wystarczy zatem samo występowanie takich interesów, lecz dodatkowo ich realizacja musi wymagać przetwarzania danych osobowych. Oceny wymaga również spełnienie przesłanki o charakterze negatywnym w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej. Stosowanie tej negatywnej przesłanki polega w istocie na wyważeniu dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu administratora lub strony trzeciej z jednej strony i interesów, podstawowych praw oraz wolności podmiotu danych - z drugiej. Z treści motywu 47 ww. rozporządzenia wynika, iż aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której te dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. W świetle powyższego, gdyby administrator chciał skorzystać z podstawy przetwarzania danych wskazanej w art. 6 ust. 1 lit. f ww. rozporządzenia, powinien przeprowadzić tzw. test równowagi, tj. dokonać oceny, czy interes administratora lub strony trzeciej, przemawiający za przetwarzaniem danych, jest prawnie uzasadniony, czy przetwarzanie jest niezbędne do realizacji celu wynikającego z tego interesu, a następnie rozważyć, czy interesy lub podstawowe prawa i wolności osoby, której dane dotyczą nie przeważają nad prawnie uzasadnionym interesem administratora lub strony trzeciej. Przenosząc powyższe uwagi ogólne na stan niniejszej sprawy wskazać należy, iż podstawą faktyczną wydania przez Prezesa UODO decyzji udzielającej upomnienia administratorowi - Prezydentowi Miasta było zaniechanie dokonania przez administratora oceny zasadności wniosku funkcjonariuszki Straży Miejskiej z dnia [...] listopada 2019 r. o udostępnienie danych osobowych uczestniczki postępowania (imienia, nazwiska, adresu zamieszkania) w świetle przesłanek zawartych w art. 6 ust. 1 ogólnego rozporządzenia o ochronie danych. Jak trafnie wskazał Prezes UODO Prezydent Miasta nie dysponował zgodą wnioskodawczyni na udostępnienie jej danych osobowych zawartych w ww. wniosku, a jedyną przesłanką z art. 6 ust. 1 ww. rozporządzenia, którą Prezydent Miasta powinien był rozważać w okolicznościach faktycznych sprawy była przesłanka prawnie usprawiedliwionego interesu realizowanego przez administratora lub osobę wnioskującą. Z treści wniosku funkcjonariuszki Straży Miejskiej nie wynika na czym polegał jej prawnie usprawiedliwiony interes. Podnosząc, iż skarga uczestniczki z dnia [...] listopada 2019 r. postępowania zawiera fałszywe i obraźliwe zarzuty kierowane pod jej adresem, funkcjonariuszka nie wykazała w jakim celu zamierza dane osobowe uczestniczki postępowania zawarte w ww. skardze wykorzystać. Prezydent Miasta w wyjaśnieniach z dnia [...] czerwca 2020 r. skierowanych do Prezesa UODO wskazał, iż funkcjonariuszka Straży Miejskiej konieczność posiadania danych osobowych uczestniczki postępowania argumentowała celem dochodzenia roszczeń przed sądem z tytułu naruszenia dób osobistych. Jednakże we wniosku z dnia [...] listopada 2019 r. okoliczność ta nie została wskazana. Ma to o tyle istotne znaczenie, że w świetle zasady rozliczalności wyrażonej w art. 5 ust. 2 ogólnego rozporządzenia o ochronie danych, to na administratorze danych spoczywa obowiązek wykazania (w szczególności poprzez odpowiednie udokumentowanie powoływanych okoliczności faktycznych dla celów dowodowych), że przetwarzanie danych odbywało się zgodnie z ww. rozporządzeniem. W związku z powyższym Prezes UODO trafnie stwierdził, że wobec niesprecyzowania przez funkcjonariuszkę w ww. wniosku na czym polega jej "prawnie uzasadniony interes", w jaki sposób zamierza ona dane uczestniczki postępowania przetwarzać oraz czy owo przetwarzanie jest niezbędne dla realizacji tego celu - nie można uznać, że Prezydent Miasta w sposób wyczerpujący zbadał, czy ww. przesłanki pozytywne zostały spełnione. Z ww. wyjaśnień Prezydenta Miasta nie wynika również, aby dokonał on oceny, na gruncie stanu faktycznego sprawy, spełnienia przesłanki o charakterze negatywnym, tj. nie wyważył dóbr prawnie chronionych - prawnie uzasadnionego interesu funkcjonariuszki Straży Granicznej z jednej strony oraz interesów lub podstawowych praw i wolności uczestniczki postępowania z drugiej. Dokonując takiej oceny administrator powinien wziąć pod uwagę wszelkie okoliczności stanu faktycznego, a także charakter interesu realizowanego przez stronę trzecią oraz interesu podmiotu danych, rodzaj prawa podstawowego lub wolności, rodzaj przetwarzanych danych osobowych, sposób przetwarzania danych oraz wynikające z niego zagrożenia dla interesów, praw i wolności podmiotu danych, a także relację pomiędzy podmiotem danych a stroną trzecią. Z wyjaśnień Prezydenta Miasta z dnia [...] czerwca 2020 r. nie wynika, aby kwestie te zostały rozważone i ocenione. Jak podkreśla się doktrynie, ocena taka ma istotne znaczenie dla możliwości przetwarzania danych przez administratora lub osobę trzecią, bowiem interesy lub podstawowe prawa i wolności podmiotu danych mają być - w świetle art. 6 ust. 1 lit. f ww. rozporządzenia - nadrzędne względem prawnie uzasadnionych interesów. Oznacza to, że w przypadku ustalenia, że są one równoważne, brak będzie podstaw do przetwarzania danych na podstawie ww. przepisu nawet w sytuacji, gdy owe dobra chronione będą ze sobą sprzeczne (por. Ogólne rozporządzenie o ochronie danych. Komentarz, red. naukowa E. Bielak-Jomaa, D. Lubasz, 2018, s. 396, pkt 9 i powołane tam piśmiennictwo). W świetle powyższego zgodzić należy się ze stanowiskiem Prezesa UODO, że Prezydent Miasta nie dopełnił obowiązków administratora i nie zbadał w sposób wyczerpujący, czy u podstaw żądania funkcjonariuszki Straży Miejskiej leży przesłanka z art. 6 ust. 1 (lit. f) ogólnego rozporządzenia o ochronie danych. Skutkiem tego zaniechania jest wadliwość samego procesu oceny zasadności żądania udostępnienia danych. Stąd też nie ma istotnego znaczenia to, w jakim celu ww. funkcjonariuszka faktycznie (następczo) wykorzystała pozyskane dane. Uzasadnione jest stanowisko Prezesa UODO, że Prezydent Miasta dopuścił się naruszenia zasady rzetelności, legalności przetwarzania danych (art. 5 ust. 1 lit. a rozporządzenia) oraz zasady minimalizacji danych (art. 5 ust. 1 pkt 3 rozporządzenia) w związku z art. 6 ust. 1 rozporządzenia. Udostępnił bowiem dane osobowe uczestniczki postępowania nie dokonując oceny, czy u podstaw żądania funkcjonariuszki Straży Miejskiej leży którakolwiek z przesłanek legalizujących proces przetwarzania danych wymienionych w art. 6 ust. 1 rozporządzenia. W szczególności Prezydent nie rozważył, że spełnione zostały pozytywne i negatywne przesłanki określone w art. 6 ust. 1 lit. f rozporządzenia, który to przepis - jak trafnie wskazał Prezes UODO - jako jedyny spośród katalogu wymienionego w art. 6 ust. 1 rozporządzenia administrator powinien rozważyć w okolicznościach niniejszej sprawy. W świetle powyższego Prezes UODO miał podstawy do zastosowania uprawnienia naprawczego z art. 58 ust. 2 lit. b ogólnego rozporządzenia o ochronie danych, zgodnie z którym organ nadzorczy może udzielać upomnienia administratorowi (lub podmiotowi przetwarzającemu) w przypadku naruszenia przepisów rozporządzenia przez operacje przetwarzania. Naruszenie takie w niniejszej sprawie niewątpliwie miało miejsce. Na powyższą ocenę nie mają wpływu zarzuty skargi. Nie jest trafny zarzut naruszenia art. 107 § 1 i § 4 k.p.a. poprzez brak wskazania przez Prezesa UODO konkretnego przepisu ogólnego rozporządzenia o ochronie danych, którego naruszenia dopuścił się Prezydent Miasta. Organ bowiem wskazał, że Prezydent nie dokonał analizy żadnej z przesłanek zawartych w art. 6 ust. 1 ww. rozporządzenia, a w szczególności art. 6 ust. 1 lit. f, który to przepis jako jedyny mógł znaleźć zastosowanie w niniejszej sprawie. Wprawdzie organ nie powołał wskazanej powyżej konkretnej jednostki redakcyjnej rozporządzenia, ale jednoznacznie wskazał w uzasadnieniu decyzji na przesłankę "prawnie uzasadnionego interesu wnioskodawcy", która odpowiada tejże jednostce redakcyjnej. Nieuzasadniony jest również zarzut naruszenia art. 6 ust. 1 ogólnego rozporządzenia o ochronie danych w sytuacji, gdy - jak wskazano w skardze - prawnie uzasadniony interes, który "wyraźnie wynikał z kontekstu obraźliwych sformułowań naruszających dobra osobiste oraz wiedzy Komendanta Straży Miejskiej, został następnie potwierdzony faktycznie wytoczoną sprawą z oskarżenia prywatnego". Dla rozstrzygnięcia sprawy nie jest bowiem istotne to, że w istocie funkcjonariuszka Straży Miejskiej złożyła w dniu [...] listopada 2019 r. do Sądu Rejonowego w J. "Prywatny akt oskarżenia". Kluczowe pozostaje bowiem zaniechanie dopełnienia przez administratora obowiązków wynikających z przepisów ogólnego rozporządzenia o ochronie danych, tj. dokonania analizy i oceny przesłanek legalizujących przetwarzanie danych, które skutkowało wadliwością całego procesu tejże oceny. Późniejsze złożenie do sądu powszechnego ww. pisma nie może sanować uchybień jakich dopuścił się administrator w procesie przetwarzania danych uczestniczki postępowania. Również stanowisko strony skarżącej, zgodnie z którym "w świetle orzecznictwa pozyskanie danych osobowych ma swe oparcie w art. 6 ust. 1 lit. f rozporządzenia o ochronie danych dla obrony praw przed sądem przy wykorzystywaniu wszelkich środków dowodowych, podlegających ocenie niezawisłego sądu oraz jest działaniem w prawnie uzasadnionym interesie" nie może mieć wpływu na podjęte w sprawie rozstrzygnięcie. U jego podstaw leży bowiem uchybienie obowiązkom administratora w konkretnych okolicznościach indywidualnej sprawy administracyjnej, które to okoliczności nie zostały przez niego rzetelnie i wyczerpująco zbadane i ocenione na odpowiednim etapie postępowania, co potwierdził zgromadzony w sprawie materiał dowodowy. Konkludując Sąd stwierdza, że zaskarżona decyzja została wydana z poszanowaniem reguł wynikających z art. 7, art. 77 § 1 i art. 80 k.p.a., zaś jej uzasadnienie odpowiada wymogom z art. 107 § 3 k.p.a. Organ wyjaśnił w sposób adekwatny z jakich względów uznał za zasadne skorzystanie z kompetencji naprawczych przewidzianych w art. 58 ust. 2 lit. b ogólnego rozporządzenia o ochronie danych. W tym stanie rzeczy Wojewódzki Sąd Administracyjny w Warszawie, uznając skargę za niezasadną, na podstawie art. 151 p.p.s.a., orzekł, jak w sentencji wyroku.