Wyrok WSA w Warszawie, sygn. akt II SA/Wa 40/22
Wojewódzki Sąd Administracyjny w Warszawie
Data orzeczenia: 2022-09-19 00:00:00+02:00 (orzeczenie nieprawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne: Ochrona danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Oddalono skargę
Powołane przepisy: article: art. 8, art. 107 par 3
journal: Dz.U. 2022 poz 2000
law: Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.

SENTENCJA

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Karolina Kisielewicz, Sędzia WSA Andrzej Wieczorek, Asesor WSA Michał Sułkowski (spr.), , Protokolant referent Edyta Brzezicka, po rozpoznaniu na rozprawie w dniu 19 września 2022 r. sprawy ze skargi Banku [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę


UZASADNIENIE

Prezes Urzędu Ochrony Danych Osobowych (dalej "PUODO") decyzją z [...] października 2021 r. znak:[...] , na podstawie art. 104 K.p.a. w zw. z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, art. 5 ust. 1 lit. f, art. 6 ust. 1 oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej "RODO"), po przeprowadzeniu postępowania w sprawie skargi M. K. udzielił Bankowi [...]S.A. z siedzibą w W. (dalej "Bank") upomnienia za nieprawidłowości w procesie przetwarzania danych osobowych M. K., polegające na naruszeniu art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO poprzez udostępnienie w dniu [...] maja 2020 r. podmiotowi nieuprawnionemu danych osobowych M. K. w zakresie: imienia, nazwiska, numeru PSESL, serii i numeru dowodu osobistego, adresu zamieszkania lub pobytu oraz numeru telefonu.

Powołana decyzja zapadła w następujących okolicznościach faktycznych.

M. K. 18 maja 2020 r. wniosła do PUODO skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Bank polegające na udostępnieniu jej danych osobowych podmiotom nieuprawnionym. Podała, że 20 kwietnia 2020 r. złożyła w Banku wniosek o elektronicznie konto. [...] maja 2020 r. zadzwoniła do niej D. L. z informacją, że oprócz swoich dokumentów dostała od Banku również dokumenty z danymi osobowymi M. K., tj.: polecenie przelewu wynagrodzenia z jej imieniem i nazwiskiem, nr PESEL oraz wniosek o zawarcie umowy ubezpieczenia/polisy, na którym widniały wszystkie dane osobowe wnoszącej skargę. Tego samego dnia M. K. odebrała swój komplet dokumentów. Telefonicznie zgłosiła w Banku zaistniałą sytuację, gdzie poinformowano ją, że sprawa zostanie zgłoszona w odpowiednim dziale, oraz że ktoś w trybie pilnym się z nią skontaktuje. 5 maja 2020 r. wnosząca skargę ponownie zwróciła się do Banku telefonicznie, przedstawiając zaistniałą sytuacją, natomiast Bank udzielił jej tych samych informacji, co dzień wcześniej. Około godziny 1700 do M. K. zadzwonił pracownik Banku, by dopytać o szczegóły zdarzenia oraz przekazał, że po uzupełnieniu informacji od osoby, która była w posiadaniu dokumentów wnoszącej skargę ponownie się z nią skontaktuje. Jak podała M. K., 7 maja 2020 r. skontaktował się z nią pracownik Banku z przeprosinami, propozycją zastrzeżenia dowodu osobistego. Wnosząca skargę wskazała, że Bank nie poinformował jej, jakie będą procedury co do dokumentów, które znajdowały się w dalszym ciągu w posiadaniu D. L. W związku z tym skontaktowała się z wymienioną, która poinformowała ją, że cyt. "(...) i moje dokumenty kazali spalić, albo zanieść do najbliższego punktu [...] (pani zakładała konto internetowo po to, aby nie wychodzić z domu i nie chodzić do żadnej z placówek w ramach bezpieczeństwa związanego z panującą pandemią) [...]".

W związku z powyższym M. K. zwróciła się do PUODO o podjęcie działań w sprawie.

Bank w złożonych w odpowiedzi na pismo PUODO z 24 sierpnia 2020 r. wyjaśnieniach z 3 września 2020 r. oświadczył, że pozyskał dane osobowe bezpośrednio od M. K. 2 lutego 2018 r. w celu zawarcia umowy kredytowej, następnie pozyskane w celu zwarcia umowy prowadzenia rachunku bankowego Konto 360 oraz Konta Oszczędnościowego Profit na podstawie art. 6 ust. 1 lit. b RODO. Bank podał, że w celu zawarcia wyżej wymienionych umów pozyskał dane osobowe skarżącej w zakresie obejmującym: imię, nazwisko, nr PESEL, nr, seria i data ważności dokumentu tożsamości, data, miejsce i kraj urodzenia, obywatelstwo, nr telefonu, adres e-mail, adres zamieszkania, adres do korespondencji, dane dotyczące zatrudnienia, tj. typ dochodu, wysokość dochodu, stan cywilny. Bank wskazał, że poza realizacją umów, przetwarza dane osobowe M. K. w celach: (1) realizacji obowiązków Banku związanych z identyfikacją i weryfikacją tożsamości klientów Banku w celu przeciwdziałania praniu pieniędzy i finansowaniu terroryzm oraz zapobieganiu przestępstwom, na podstawie art. 6 ust. 1 lit. c RODO; (2) realizacji obowiązków Banku wynikających z przepisów księgowych i podatkowych na podstawie art. 6 ust. 1 lit. c RODO zgodnie z art. art. 74 ustawy z dnia 29 września 1994 r. o rachunkowości oraz art. 70 § 1 w zw. z art. 86 § 1 ustawy z dnia 29 sierpnia 1997 r. Ordynacja podatkowa; (3) archiwalnych i dowodowych, w szczególności w celu ustalenia, dochodzenia i obrony roszczeń zgodnie z terminami przedawnienia roszczeń określonymi w art. 118 Kodeksu Cywilnego, w związku z wejściem w życie 9 lipca 2018 r. nowelizacji, tj. ustawy z dnia 13 kwietnia 2018 r. o zmianie ustawy - Kodeks cywilny oraz niektórych innych ustaw (art. 5) oraz w związku z realizacją reklamacji na podstawie art. 6 ust. 1 lit. f RODO.

Bank wskazał, że doszło do incydentu bezpieczeństwa, który został zgłoszony do PUODO, a 13 maja 2020 r. zostało wysłane zawiadomienie do wnoszącej skargę. Bank nadmienił również, że w sprawie zarejestrowano reklamację skarżącej, na którą udzielono odpowiedzi.

Kopia pisma z 13 maja 2020 r. i zgłoszenie naruszenia ochrony danych osobowych zostały dołączone do wyjaśnień z 3 września 2020 r. Z opisu charakteru naruszenia wynika, że w dniu 6 maja 2020 r. Bank powziął informację o ujawnieniu danych osobowych M. K. osobie trzeciej. Koperta z umową ubezpieczenia pakietu Bardzo Pomocnego została przez pomyłkę niewłaściwie spakowana do przesyłki innej klientki Banku. 7 maja 2020 r., po zweryfikowaniu okoliczności stwierdzono naruszenie ochrony danych osobowych M. K. W przesyłce znajdowały się dokumenty zawierające jej dane osobowe, tj. wniosek o zawarcie umowy ubezpieczenia/polisa z [...] S.A. W związku z błędną wysyłką dokumentów miało miejsce naruszenie poufności następujących danych wnoszącej skargę: imię i nazwisko, PESEL, seria i numer dowodu osobistego, adres zamieszkania, adres korespondencyjny, telefon kontaktowy. W piśmie z 13 maja 2020 r. Bank udzielił także informacji o punkcie kontaktowym w sprawie naruszenia, przedstawił możliwe konsekwencje naruszenia ochrony danych osobowych, opis zastosowanych lub proponowanych przez Bank środków w celu zaradzenia naruszenia ochrony danych osobowych.

Bank w złożonych w odpowiedzi na pismo PUODO z 27 października 2020 r. wyjaśnieniach z 6 listopada 2020 r. oświadczył, że wobec naruszenia ochrony danych osobowych M. K. podjął następujące środki techniczne i organizacyjne: (1) Departament Bezpieczeństwa (DBC) przeprowadził niezwłocznie po uzyskaniu zgłoszenia incydentu, analizę zdarzenia z udziałem jednostki biznesowej obsługującej proces, jednostki bezpieczeństwa, Biura Ochrony Danych Banku; (2) uzyskał kopię błędnie przekazanego dokumentu; (3) skontaktował się niezwłocznie z M. K. oraz klientką, która omyłkowo otrzymała dokument zawierający dane osobowe wnoszącej skargę, wyjaśniając okoliczności zdarzenia i przepraszając za wszelkie niedogodności; (4) zaproponował M. K. w ramach rozmowy nieodpłatny voucher BIK oraz wyjaśnił procedury związane z ewentualną wymianą dowodu osobistego; (5) potwierdził z towarzystwem ubezpieczeniowym, że polisa zawarta przez klientkę jest ważna i aktywna; (6) uzyskał potwierdzenie od klientki, która otrzymała dokument zawierający dane osobowe M. K, że zniszczyła ten dokument i nie utrwala danych skarżącej w inny sposób; (7) poinformował niezwłocznie o zdarzeniu (tj. do 24 godzin od stwierdzenia incydentu) administratora danych – [...], przekazując szczegółowy opis incydentu; (8) przekazał skarżącej powołane wyżej pisemne zawiadomienie o zdarzeniu z [...] maja 2020 r. opisując m.in.: okoliczności zdarzenia, punkt kontaktowy w Banku w sprawie naruszenia, opis możliwych konsekwencji związanych z ujawnieniem danych, wskazał na możliwie działania mitygujące (np. skorzystanie z nieodpłatnego vouchera BIK, wymiana dowodu osobistego, ostrożność przy kontaktach telemarketerów, czy ofert usług finansowych składanych drogą elektroniczną), przysługujących uprawnieniach do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, a także prawie do skorzystania ze środków ochrony prawnej przed sądem.

W wyjaśnieniach z 6 listopada 2020 r. Bank stwierdził też, że zdarzenie dotyczące naruszenia danych osobowych M. K. wynikało wyłącznie z incydentalnego błędu ludzkiego związanego z nieprzestrzeganiem obowiązujących w Banku procedur związanych z kontrolą poprawności zawartości przesyłki. Z osobami odpowiedzialnymi za zdarzenie odbyte zostały przez przełożonego rozmowy mające na celu wyeliminowanie błędów na przyszłość. Przypomniano również zasady w zakresie niezwłocznego zgłaszania do Departamentu Bezpieczeństwa i Biura Ochrony Danych wszelkich zdarzeń dotyczących ryzyka naruszenia bezpieczeństwa danych osobowych klientów Banku.

W opisanych okolicznościach faktycznych powołaną na wstępie decyzją z [...] października 2020 r. PUODO udzielił bankowi upomnienia, wyjaśniając, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, jest art. 6 ust. 1 RODO. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO jest zamknięty, zaś każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Dodatkowo, jak wskazał organ nadzorczy, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi zasada integralności i poufność danych (art. 5 ust. 1 lit. f). Wymaga ona, by proces przetwarzania odbywał się w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). PUODO odwołał się w tym względzie także do motywu 39 RODO wskazując, że zgodnie z nim dane osobowe powinny być przetwarzane w sposób zapewniający im odpowiednie bezpieczeństwo i odpowiednią poufność, w tym między innymi ochronę przed nieuprawnionym dostępem do nich.

Organ nadzorczy zaznaczył, że na administratorze danych osobowych, którym w rozumieniu art. 4 pkt 7 RODO jest Bank, ciąży obowiązek prawny przetwarzania danych osobowych zgodnie zobowiązującymi przepisami, a w szczególności obowiązek zapewnienia, by przetwarzanie odbywało się na podstawie co najmniej jednej z przesłanek wymienionych w art. 6 ust. 1 RODO. Z kolei art. 5 ust. 1 lit. f RODO nakłada na administratora danych obowiązek przetwarzania danych osobowych zgodnie z zasadą integralności i poufności. Oznacza to, że administrator powinien zapewnić odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych.

Następnie, odwołując się do opisanych wyżej wyjaśnień Banku, organ nadzorczy stwierdził, że w wyniku błędu ludzkiego doszło do udostępnienia danych osobowych M. K. w zakresie: imienia, nazwiska, numeru PESEL, serii i numeru dowodu osobistego, adresu zamieszkania lub pobytu, numeru telefonu innemu klientowi Banku bez podstawy prawnej. Jak ustalił PUODO, do udostępnienia doszło [...] maja 2020 r., zaś wiedzę o nim Bank powziął 6 maja 2020 r.

Organ nadzorczy stwierdził dalej, że przedmiotowe udostępnienie nie znajdowało oparcia w żadnej przesłance legalizującej ten proces przetwarzania, a ponadto nastąpiło z naruszeniem zasady poufności danych. Tym samym, jak skonstatował PUODO, Bank udostępniając bez podstawy prawnej dane osobowe M. K. innemu klientowi Banku naruszył art. 6 ust. 1 RODO w zw. z art. 5 ust. 1 lit. f RODO. Bank nie dysponował zgodą M. K. na takie działanie, więc podstawy przedmiotowego udostępnienia nie stanowił art. 6 ust. 1 lit. a RODO. Nie zachodziła również sytuacja określona w art. 6 ust. 1 lit. b RODO, gdyż Bank nie wykazał, aby udostępnienie to było niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Na Banku nie ciążył również obowiązek prawny, dla którego wypełnienia konieczne było udostępnienie danych M. K., a co za tym idzie nie wystąpiła podstawa przetwarzania, o której mowa w art. 6 ust. 1 lit. c RODO. Nie znalazły też zastosowania przesłanki legalizujące określone w art. 6 ust. 1 lit. d i e RODO, ponieważ udostępnienie to nie było niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, ani do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Udostępnienie danych osobowych M. K. przez Bank nie mogło odbywać się także na podstawie przesłanki wskazanej w art. 6 ust. 1 lit. f RODO, ponieważ nie wykazano istnienia interesu prawnego, który uzasadniałby przetwarzanie danych w kwestionowany przez wnoszącą skargę sposób.

W ocenie PUODO, powyższe naruszenie art. 6 ust. 1 RODO nastąpiło ponadto w związku z naruszeniem art. 5 ust. 1 lit f RODO, tj. dane osobowe M. K. nie były przetwarzane przez Bank w sposób zapewniający ich poufność, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem tych danych.

Następnie organ nadzorczy zaznaczył, że w przedmiotowym postępowaniu zainicjowanym indywidualną skargą mógł dokonać wyłącznie oceny legalności przetwarzania danych. Natomiast ogólne, stosowane przez administratora danych w procesach ich przetwarzania praktyki, w tym sposoby zabezpieczeń, jak również ich adekwatność oraz skuteczność mogą być jedynie przedmiotem postępowania wszczętego przez organ z urzędu. PUODO podkreślił, że skarga indywidualna nie służy dokonywaniu kontroli zabezpieczenia danych na wniosek osoby, której dane dotyczą. Jej funkcją jest egzekwowanie przestrzegania przepisów o ochronie danych osobowych w operacjach przetwarzania danych, które bezpośrednio wpływają na osobę, której przetwarzane dane dotyczą. Ocena prawidłowości zabezpieczeń następuje zatem wyłącznie w postępowaniu wszczętym przez organ z urzędu. W ocenie PUODO przyjęcie przeciwnego stanowiska oznaczałoby de facto możliwość zapoznania się przez wnioskodawcę w ramach postępowania przed organem ze sposobem zabezpieczenia danych (w tym danych innych osób) przez administratora danych osobowych, co samo w sobie zmniejsza poziom ochrony danych oraz może zwiększyć ryzyko naruszenia ochrony danych osobowych. Postępowanie prowadzone przez organ nadzorczy nie jest zatem ukierunkowane na pozyskanie informacji na temat stosowanych przez administratora danych zabezpieczeń oraz na przekazanie tychże informacji na rzecz osób fizycznych zainteresowanych sprawą.

Jak dalej wywiódł organ nadzorczy, prowadzone przez niego postępowanie administracyjne służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej. Decyzje PUODO służą przywróceniu stanu zgodnego z prawem, na podstawie art. 58 ust. 2 lit. b RODO między innymi poprzez udzielenie upomnienia administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operację przetwarzania. Udostępnienie przez Bank[...] maja 2020 r. danych osobowych M. K. innemu klientowi Banku bez podstawy prawnej naruszało art. 6 ust. 1 RODO w zw. z art. 5 ust. 1 lit. f RODO, jednak stanowiło zdarzenie o charakterze jednorazowym i nieodwracalnym. Wobec tego, w ocenie PUODO, zasadnym było skorzystanie z uprawnienia określonego w art. 58 ust. 2 lit. b RODO i udzielenie Bankowi upomnienia za stwierdzone naruszenie.

Bank, reprezentowany przez radcę prawnego, wniósł skargę na decyzję PUODO z [...] października 2021 r. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Zaskarżając ją w całości, zarzucił naruszenie:

I. prawa materialnego, które miało wpływ na wynik sprawy, tj.:

1. art. 5 ust. 1 lit. f RODO poprzez jego błędną wykładnię i niewłaściwe zastosowanie, polegające na uznaniu, że ujawnienie danych osobowych nieuprawnionej osobie na skutek błędu pracownika Banku przesądza o naruszeniu art. 5 ust. 1 lit. f RODO, podczas gdy PUODO nie zakwestionował jakiegokolwiek ze stosowanych przez Bank środków technicznych i organizacyjnych zapewniających odpowiednie bezpieczeństwo przetwarzanych danych osobowych;

2. art. 58 ust. 2 lit. b RODO poprzez jego niewłaściwe zastosowanie i udzielenie Bankowi upomnienia, które w świetle stanu faktycznego sprawy stanowi środek naprawczy nadmierny (nieadekwatny), nieproporcjonalny oraz zbędny.

W ocenie Banku powyższe naruszenia przepisów prawa materialnego wpłynęły na decyzję PUODO i doprowadziły do błędnego przyjęcia, że ujawnienie przez Bank danych osobowych podmiotowi nieuprawnionemu w okolicznościach sprawy stanowi naruszenie zasady bezpieczeństwa danych osobowych wynikającej z przepisów RODO oraz w rezultacie uprawnia do nałożenia na Bank środka naprawczego w postaci upomnienia;

II. przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.:

1. art. 7, art. 77 § 1 oraz art. 80 K.p.a. poprzez brak wnikliwego i wszechstronnego wyjaśnienia stanu faktycznego sprawy i rozważania całokształtu zebranego materiału oraz zbadania wszystkich okoliczności istotnych dla prawidłowego rozstrzygnięcia sprawy, a w szczególności poprzez:

a. pominięcie w rozstrzygnięciu przedstawionych przez Bank informacji dotyczących wdrożonych przez Bank środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzanych danych osobowych;

b. błędne przyjęcie w sposób sprzeczny z materiałem dowodowym zgromadzonym w sprawie, że Bank dopuścił się naruszenia art. 5 ust. 1 lit. f RODO, podczas gdy z materiału tego wynika, że Bank wdrożył środki techniczne i organizacyjne zapewniające odpowiednie bezpieczeństwo danych osobowych zgodnie z wymogami RODO;

c. pominięcie istotnych dla prawidłowego rozstrzygnięcia sprawy okoliczności przedstawionych szczegółowo przez Bank w zgłoszeniu wstępnym naruszenia ochrony danych z [...] maja 2020 r. oraz w zgłoszeniu uzupełniającym z 15 maja 2020 r., jak również pominięcie przez PUODO wniosków, do których organ nadzorczy doszedł oceniając przyjęte przez Bank środki na skutek przedmiotowych zgłoszeń.

W ocenie Banku, w konsekwencji powyższych uchybień doszło do wydania zaskarżonej decyzji w oparciu o błędne założenia natury faktycznej i prawnej oraz dokonania niepełnych i nieprecyzyjnych zarazem ustaleń w zakresie naruszenia przez Bank zasady bezpieczeństwa (poufności) danych osobowych, podczas gdy prawidłowa ocena zebranego w sprawie materiału dowodowego powinna doprowadzić PUODO do wniosku, że Bank nie dopuścił się naruszenia przedmiotowej zasady;

2. art. 8 § 1 i 2 K.p.a. poprzez odstąpienie przez PUODO bez uzasadnionej przyczyny od utrwalonej praktyki rozstrzygania spraw w takim samym lub zbliżonym stanie faktycznym i prawnym oraz w rezultacie udzielenie Bankowi upomnienia w sytuacji, gdy w świetle orzecznictwa sądów administracyjnych oraz decyzji PUODO środek nałożony zaskarżoną decyzją jest nadmierny i nieproporcjonalny w stosunku do charakteru naruszenia, co ponadto narusza zasadę równego traktowania Banku oraz innych administratorów danych (podmiotów przetwarzających);

3. art. 107 § 3 K.p.a. w zw. z art. 8, art. 11 oraz art. 80 K.p.a. poprzez zaniechanie wskazania i wyjaśnienia w uzasadnieniu zaskarżonej decyzji, z jakich przyczyn i na jakiej podstawie organ przyjął, że:

a. wdrożone przez Bank środki techniczne i organizacyjne są niewystarczające w celu zapewnienia odpowiedniego bezpieczeństwa danych osobowych oraz realizacji zasady bezpieczeństwa (poufności) danych osobowych, a w efekcie, że Bank dopuścił się naruszenia art. 5 ust. 1 lit. f RODO oraz ujętej w nim zasady bezpieczeństwa (poufności) danych osobowych;

b. niezbędne jest udzielenie Bankowi upomnienia, przy braku wyjaśnienia jakimi przesłankami PUODO kierował się w tym zakresie;

co miało istotny wpływ na wynik sprawy wobec:

– braku możliwości oceny motywów, jakimi kierował się PUDO przy wydaniu zaskarżonej decyzji oraz nałożeniu środka w postaci upomnienia,

– ograniczenia się przez organ do arbitralnego stwierdzenia, że Bank dopuścił się naruszenia przepisu art. 5 ust. 1 lit. f RODO z tego jedynie powodu (jak należy wnosić), że wystąpił skutek w postaci ujawnienia danych osobowych nieuprawnionej osobie, co dodatkowo stanowi o

– naruszeniu przez PUODO zasady przekonywania i pogłębiania zaufania do władzy publicznej;

a w konsekwencji uniemożliwienie przeprowadzenia kontroli poprawności i spójności wywodu i rozumowania PUODO oraz rzetelnego zaskarżenia decyzji.

Podnosząc powyższe zarzuty, Bank wniósł o:

1. uchylenie zaskarżonej decyzji;

2. zasądzenie kosztów postępowania;

3. przeprowadzenie dowodów uzupełniających z dołączonych do skargi dokumentów w postaci:

a. pisma PUODO z 26 maja 2020 r. znak: [...] na okoliczność dokonanej przez organ nadzorczy oceny prawidłowości podjętych przez Bank działań w związku z naruszeniem, w tym odpowiedniości zastosowanych przez Bank środków technicznych i organizacyjnych chroniących dane osobowe, jak również na okoliczność przywrócenia stanu zgodności z prawem na etapie i w ramach zgłaszania przez Bank naruszenia;

b. zestawienia "Struktura incydentów za lata 2019-2021YTD (17.11.2021)" na okoliczność wskazania ilości incydentów związanych z wysyłką przez Bank korespondencji pocztowej w latach 2019 – 2021 oraz dla zobrazowania tendencji spadkowych występujących w tym zakresie.

PUODO wniósł o oddalenie skargi, podtrzymując w odpowiedzi na skargę stanowisko zajęte w uzasadnieniu zaskarżonej decyzji.

Bank, reprezentowany przez radcę prawnego, w piśmie z 10 marca 2022 r. podtrzymał w całości twierdzenia, zarzuty i wnioski zawarte w skardze, a ponadto przedstawił dodatkową argumentację dotyczącą: specyfiki postępowań prowadzonych przez PUODO; braku podstaw do utożsamiania naruszenia zasady poufności z naruszenie poufności danych osobowych; niewykazania przez organ nadzorczy, że Bank naruszył wskazana zasadę; nieproporcjonalności, nieadekwatności i zbędności zastosowanego środka naprawczego; odstąpienia przez PUODO od utrwalonej praktyki; zasadności odwołania się w skardze do przepisów działu IVA K.p.a.

Na rozprawie przed Wojewódzkim Sądem Administracyjnym w Warszawie w dniu 19 września 2022 r. pełnomocnik skarżącej podtrzymał zarzuty i wnioski skargi. Sąd oddalił wnioski dowodowe zawarte w skardze.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.

Skarga nie podlegała uwzględnieniu.

Zaskarżoną decyzją PUODO skorzystał z uprawnienia naprawczego przewidzianego w art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 ze zm.; dalej powoływane jako "RODO"), który stanowi dla organu nadzorczego podstawę do udzielania upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów rozporządzenia przez operacje przetwarzania.

"Przetwarzanie", zgodnie z art. 4 pkt 2 RODO, oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Warunki uznania przetwarzania danych osobowych za legalne określono z kolei w art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;

f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

Z akt sprawy w sposób niebudzący wątpliwości wynika i nie jest to okoliczność podważana przez skarżącą, że dane osobowe M. K. w zakresie imienia, nazwiska, numeru PESEL, serii i numeru dowodu osobistego, adresu zamieszkania lub pobytu oraz numeru telefonu, których administratorem jest Bank – na skutek błędu pracownika Banku związanego z nieprzestrzeganiem procedur kontroli poprawności zawartości korespondencji - zostały udostępnione innej klientce tego Banku.

Akta sprawy dawały także PUODO podstawę do stwierdzenia, że właściwie ustalone w toku postępowania udostępnienie danych osobowych, polegające na ich ujawnieniu przez przesłanie innej klientce Banku, nie znajdowało oparcia w żadnej z wymienionych w powołanym wyżej art. 6 ust. 1 RODO podstaw legalizujących proces przetwarzania danych osobowych.

Mając powyższe na względzie, należy zauważyć, że w motywie 11 RODO, w celu zapewnienia skuteczności ochrony danych osobowych w Unii, założono wzmocnienie i doprecyzowanie praw osób, których dane dotyczą, oraz obowiązków podmiotów przetwarzających dane osobowe i decydujących o przetwarzaniu, jak również zapewnienie równorzędnych uprawnień w zakresie monitorowania i egzekwowania przepisów o ochronie danych osobowych oraz równorzędnych kar za naruszenia tych przepisów w państwach członkowskich. Jak wskazuje się w literaturze przedmiotu, w celu zapewnienia spójnego monitorowania oraz egzekwowania przepisów rozporządzenia państwom członkowskim odebrano w tym zakresie swobodę, powinny one bowiem dokładnie odzwierciedlić w prawie krajowym odpowiednie unormowania unijne (zob.: U. Góral, P. Makowski [w:] RODO. Ogólne rozporządzenie o ochronie danych, Komentarz, red. E. Bielak-Jomaa, D. Lubasz, Warszawa 2018 r., art. 58).

Należy zatem dalej podkreślić, że w świetle motywu 141 (zd. 1 i zd. 2) RODO, każda osoba, której dane dotyczą, powinna mieć prawo wniesienia skargi do jednego organu nadzorczego oraz prawo do skutecznego środka ochrony prawnej przed sądem, zgodnie z art. 47 Karty praw podstawowych, (...) jeżeli uzna, że jej prawa wynikające z (...) rozporządzenia są naruszane, lub jeżeli organ nadzorczy nie reaguje na skargę, częściowo lub w całości ją odrzuca lub oddala, lub nie podejmuje działania, choć jest to niezbędne do ochrony praw tej osoby. Postępowanie wyjaśniające na podstawie skargi powinno być prowadzone - z zastrzeżeniem kontroli sądowej - w zakresie odpowiadającym konkretnej sprawie.

Powyższe założenie znajduje wyraz w art. 77 ust. 1 RODO, zgodnie z którym bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie. Należy w tym miejscu także zaznaczyć, że w świetle motywu 129 RODO środki naprawcze przysługują organowi nadzorczemu w szczególności w przypadku skarg osób fizycznych.

Wedle art. 57 ust. 1 lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy (...) rozporządzenia każdy organ nadzorczy na swoim terytorium rozpatruje skargi wniesione przez osobę, której dane dotyczą, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (...). Stosownie do treści art. 77 ust. 2 RODO, organ nadzorczy, do którego wniesiono skargę, informuje skarżącego o postępach i efektach rozpatrywania skargi, w tym o możliwości skorzystania z sądowego środka ochrony prawnej na mocy art. 78.

Przepis art. 78 ust. 1 RODO stanowi natomiast, że bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej każda osoba fizyczna lub prawna ma prawo do skutecznego środka ochrony prawnej przed sądem przeciwko prawnie wiążącej decyzji organu nadzorczego jej dotyczącej. Przepis art. 78 ust. 2 RODO potwierdza natomiast prawo do skutecznego środka ochrony sadowej, jeżeli organ nadzorczy nie rozpatrzył skargi lub nie poinformował osoby, której dane dotyczą, w terminie trzech miesięcy o postępach lub efektach rozpatrywania skargi wniesionej zgodnie z art. 77.

M. K. miała zatem prawo wystąpić do PUODO z indywidualną skargą, zarzucając niezgodne z przepisami RODO przetwarzanie (ujawnienie podmiotowi nieuprawnionemu) jej danych osobowych przez Bank, a PUODO był zobowiązany do rozpatrzenia tej skargi. Właściwie ustaliwszy naruszenie przepisów RODO przez operację przetwarzania, organ prawidłowo stwierdził podstawę do skorzystania z uprawnienia przewidzianego w art. 58 ust. 2 lit. b rozporządzenia. Wynikające z akt sprawy (1) jednorazowy i nieodwracalny charakter naruszenia, (2) zgłoszenie zgodnie z art. 33 RODO organowi nadzorczemu naruszenia ochrony danych osobowych, zawiadomienie wnoszącej skargę zgodnie z art. 34 w zw. z art. 33 ust. 3 lit. b), c) i d) RODO o naruszeniu oraz kontakt z klientką, której udostępniono dane osobowe M. K., a także (3) podjęcie przez Bank działań zapobiegających podobnym naruszeniom oraz (4) skierowanie przez organ nadzorczy do administratora informacji, że ten podjął działania mające na celu zminimalizowanie ryzyka ponownego naruszenia, bynajmniej nie zwalniało PUODO z obowiązku rozpatrzenia - złożonej przez osobę, której dane dotyczą - skargi na przetwarzanie jej danych z naruszeniem przepisów RODO oraz władczego rozstrzygnięcia - podlegającego następnie kontroli sądowej (art. 77 ust. 2 w zw. z art. 78 RODO) - o tym, czy do zarzucanego naruszenia faktycznie doszło.

W ocenie Sądu, wzgląd na prawo osoby fizycznej, której dane dotyczą, a która sądzi, że przetwarzanie danych osobowych jej dotyczące narusza RODO, do skutecznego środka ochrony prawnej przed sądem przeciwko organowi nadzorczemu, przemawia za przyjęciem stanowiska, że osoba ta ma prawo żądania od tego organu podjęcia środków naprawczych przewidzianych w art. 58 ust. 2 RODO. Wdrożenie wymogów RODO jest bowiem zadaniem państw członkowskich i ich krajowych organów nadzorczych, co wymaga dostępu osób, których prawa zostały naruszone do publicznoprawnych środków ochrony przeciwko przetwarzaniu ich danych z naruszeniem przepisów RODO i poddania tych środków kontroli sądowej.

Przepisy art. 77 ust. 1 w zw. z art. 58 ust. 2 RODO zawierają zatem zdaniem Sądu normę zobowiązującą organ nadzorczy do wydania władczego rozstrzygnięcia

– podlegającego następnie kontroli sądowej – o tym, czy dane osobowe osoby, która wniosła skargę, są przetwarzane zgodnie z RODO. Stwierdzenie takiego naruszenia skutkuje zaktualizowaniem się prawa organu nadzorczego do zastosowania środka naprawczego, a zarazem prawa osoby, która wniosła skargę, do uzyskania wiążącego rozstrzygnięcia potwierdzającego takie naruszenie (por. też: N. Härting, C. Flisek, L. Thiess, DSGVO: Der Verwaltungsakt wird zum Normalfall. Das neue Beschwerderecht des Bürgers, Computer und Recht 2015 r. nr 5, str. 296 i nast.).

Także z powyższych względów, ale przede wszystkim ze względu na nieadekwatną systemowo normę proceduralną przyjętą za podstawę zaprezentowanej przez stronę wykładni komparatystycznej, nie jest zdaniem Sądu uprawnione wywodzenie w uzasadnieniu skargi z porównania treści art. 189f § 1 pkt 1 K.p.a. z treścią motywu 148 RODO wniosku, że skoro w świetle przepisów K.p.a. odstąpienie od nałożenia administracyjnej kary pieniężnej skutkuje koniecznością pouczenia, to w świetle przepisów RODO, odstąpieniu przez organ rozpatrujący skargę wniesiona na podstawie art. 77 ust. 1 RODO od nałożenia administracyjnej kary pieniężnej (pomimo stwierdzonego naruszenia RODO) może towarzyszyć niezastosowanie żadnego z przewidzianych przez prawodawcę unijnego środków prawnych służących zapewnieniu skuteczności stosowania przepisów o ochronie danych osobowych.

W prawidłowo ustalonym stanie faktycznym sprawy PUODO, rozpatrzywszy skargę M. K., był zatem zobowiązany do stwierdzenia naruszenia przepisów RODO poprzez udostępnienie przez Bank jej danych osobowych osobie trzeciej bez podstawy prawnej. Stwierdziwszy natomiast, z jednej strony, że dane zostały już udostępnione, zatem nie jest możliwe przywrócenie stanu zgodnego z prawem, natomiast z drugiej strony, że okoliczności sprawy nie dają podstaw do nałożenia sankcji, zastosował odpowiedni, niezbędny i proporcjonalny środek naprawczy w postaci upomnienia. Materialnoprawna podstawa udzielenia upomnienia zawarta w art. 58 ust. 2 lit. b RODO nie wymaga, aby stan naruszenia był kontynuowany w dacie rozstrzygnięcia. Aktualizuje się ona "w przypadku naruszenia przepisów (...) rozporządzenia przez operacje przetwarzania". Incydentalność, czy jednorazowość naruszenia nie skutkuje zatem brakiem przedmiotu sprawy, co uzasadniałoby umorzenie postępowania na podstawie art. 105 § 1 K.p.a.

Eksponowane przez skarżącą (z odwołaniem się do motywu 129 RODO) wymogi odpowiedniości, niezbędności i proporcjonalności stosowanego środka naprawczego należy odnosić nie tylko do potencjalnej dolegliwości dla administratora (podmiotu przetwarzającego), ale do całokształtu okoliczności konkretnej sprawy. Mając to na uwadze, należy przypomnieć, że ujawnione przez Bank bez podstawy prawnej dane osobowe M. K. objęły imię, nazwisko, numer PESEL, serię i numer dowodu osobistego, adres zamieszkania lub pobytu oraz numer telefonu. Jednocześnie, w momencie rozstrzygania sprawy przez organ nadzorczy skutek w postaci ujawnienia wymienionych danych osobie nieuprawnionej już nastąpił, a przywrócenie stanu sprzed tego udostępnienia, nie było możliwe. W tych okolicznościach zastosowanie środka naprawczego w postaci upomnienia Banku za stwierdzone naruszenie nie może być uznane za nieodpowiednie, zbędne, czy nieproporcjonalne.

Zasadność udzielenia upomnienia w okolicznościach przedmiotowej sprawy potwierdza także brzmienie powoływanego przez skarżącą motywu 148 RODO. Wynika z niego, że aby egzekwowanie przepisów RODO było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne - oprócz lub zamiast odpowiednich środków nakładanych na mocy RODO przez organ nadzorczy. Jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące. Nakładanie sankcji, w tym administracyjnych kar pieniężnych, powinno podlegać odpowiednim zabezpieczeniom proceduralnym zgodnym z ogólnymi zasadami prawa Unii i z Kartą praw podstawowych, w tym skutecznej ochronie prawnej i prawu do rzetelnego procesu.

W ocenie Sądu treść przywołanego motywu zawiera wskazanie, w jakich sytuacjach - pomimo stwierdzenia naruszenia przepisów RODO - dla zapewnienia jego maksymalnej skuteczności wystarczające jest udzielenie upomnienia zamiast nałożenia sankcji, a nie, w jakich sytuacjach należy w ogóle odstąpić od zastosowania środków przewidzianych w RODO.

Za chybione Sąd uznał natomiast odwołanie się w zaskarżonej decyzji do art. 5 ust. 1 lit. f RODO, zgodnie z którym dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). Kwestie dotyczące zastosowania odpowiednich środków technicznych lub organizacyjnych w celu zapewnienia bezpieczeństwa danych osobowych nie były bowiem, jak trafnie dostrzegł organ nadzorczy, objęte zakresem postępowania zakończonego zaskarżoną decyzją. Jak natomiast zasadnie wywiodła skarżąca w piśmie z 10 marca 2022 r., czym innym jest naruszenie poufności danych osobowych, a czym innym naruszenie zasady poufności określonej w art. 5 ust. 1 lit. f RODO.

Zaskarżona decyzja nie rozstrzygała kwestii dotyczących zastosowania odpowiednich środków technicznych i organizacyjnych zapewniających przetwarzanie przez Bank danych osobowych zgodnie z RODO, w tym w sposób odpowiadający ryzyku naruszenia zdolności do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemu przetwarzania danych osobowych, a także zapewniający zdolność skutecznego i szybkiego stwierdzenia naruszenia ochrony danych osobowych oraz zapewniających regularną ocenę skuteczności tych środków. Innym bowiem postępowaniem jest postępowanie, w ramach którego dokonywana jest ocena prawidłowości stosowania przepisów sekcji 1 (Obowiązki ogólne), czy sekcji 2 (Bezpieczeństwo danych osobowych) rozdziału IV RODO, co w przedmiotowej sprawie nie miało miejsca, a innym rozpatrywanie przez PUODO indywidualnej skargi wniesionej przez osobę, której dane dotyczą w zakresie zgodności przetwarzania jej danych osobowych z przepisami RODO.

Z powyższych względów nie miała znaczenia dla oceny legalności zaskarżonej decyzji podniesiona w skardze argumentacja dotycząca niezakwestionowania przez organ nadzorczy zastosowania przez Bank środków technicznych i organizacyjnych zapewniających odpowiednie bezpieczeństwo przetwarzanych danych osobowych oraz pominięcia w rozstrzygnięciu przedstawionych przez Bank informacji dotyczących wdrożonych środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych, w tym wniosków, które w ocenie skarżącej płynął z pisma PUODO z [...] maja 2020 r. znak: [...] skierowanego do Banku w związku ze zgłoszonym naruszeniem ochrony danych osobowych. Z tych względów Sąd nie znalazł też podstaw do przeprowadzenia dowodów uzupełniających z dokumentów w postaci rzeczonego pisma oraz zestawienia "Struktura incydentów za lata 2019-2021YTD (17.11.2021)". Wynikające z nich okoliczności nie są bowiem istotne dla oceny legalności zaskarżonej decyzji.

Stwierdzone powyżej uchybienie polegające na błędnym zastosowaniu art. 5 ust. 1 lit. f RODO nie miało jednak wpływu na wynik sprawy, ponieważ w jej właściwie ustalonych okolicznościach faktycznych zaistniały przesłanki uprawniające organ nadzorczy do udzielenia upomnienia na podstawie art. 58 ust. 2 lit. b RODO. Jak już bowiem wywiedziono, doszło do naruszenia przepisów RODO przez operację przetwarzania (udostępnienia) bez podstawy prawnej. Ustalenie naruszenia art. 6 ust. 1 RODO pozostaje natomiast w związku z zasadą wyrażoną w art. 5 ust. 1 lit. a RODO, zgodnie z którym dane osobowe muszą być przetwarzane zgodnie z prawem, (...) ["zgodność z prawem, (...)"].

Sąd nie znalazł natomiast podstaw do stwierdzenia naruszenia art. 8 § 1 i § 2 K.p.a., ani art. 107 § 3 K.p.a.

Zgodnie z art. 8 K.p.a., organy administracji publicznej prowadzą postępowanie w sposób budzący zaufanie jego uczestników do władzy publicznej, kierując się zasadami proporcjonalności, bezstronności i równego traktowania (§ 1). Organy administracji publicznej bez uzasadnionej przyczyny nie odstępują od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym (§ 2).

Stosownie natomiast do treści art. 107 § 3 K.p.a., uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne

- wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa.

W ocenie skarżącej, organ nadzorczy bez uzasadnionej przyczyny odstąpił od utrwalonej praktyki rozstrzygania spraw w takim samym lub zbliżonym stanie faktycznym i prawnym oraz w rezultacie udzielił Bankowi upomnienia w sytuacji, gdy w świetle orzecznictwa sądów administracyjnych oraz decyzji organu środek nałożony zaskarżoną decyzją jest nadmierny i nieproporcjonalny w stosunku do charakteru naruszenia, co ponadto narusza zasadę równego traktowania Banku oraz innych administratorów danych.

W tym względzie skarżąca przywołała w uzasadnieniu skargi przykłady decyzji organu nadzorczego i orzeczenie Wojewódzkiego Sądu Administracyjnego w Warszawie, z których jej zdaniem wynika, że w dotychczasowej praktyce środek naprawczy w postaci upomnienia stosowany był w przypadku poważniejszych naruszeń. Odwołała się też do decyzji PUODO z [...] kwietnia 2021 r. znak: [...], którą odmówiono uwzględniania wniosku.

W powołanej decyzji, na co skarżąca zwróciła zresztą uwagę w uzasadnieniu skargi, PUODO podejmował jednak rozstrzygnięcie w odmiennym stanie prawnym, kiedy to zgodnie z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), w przypadku naruszenia przepisów o ochronie danych osobowych Prezes Urzędu z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej nakazywał przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych.

W uzasadnieniu decyzji z [...] kwietnia 2021 r. znak: [...] organ nadzorczy odwołał się do tego przepisu i jednoznacznie stwierdził, że "(...) w (...) sprawie brak jest przesłanek do wydania nakazu przywrócenia stanu zgodnego z prawem na podstawie art. 18 ustawy z 1997 roku [...]". Dalej natomiast zauważył, że "(...) na gruncie przepisów ustawy z 1997 roku, działania naprawcze organu ochrony danych osobowych ograniczone zostały do wydawania nakazów przywrócenia stanu zgodnego z prawem, wymienionych w art. 18 tejże ustawy. Nie przewidywały zaś możliwości zastosowania przez organ takich środków naprawczych jak np. udzielenie upomnienia czy nałożenie administracyjnej kary pieniężnej, które to środki zostały wprowadzone dopiero przez przepisy Rozporządzenia 2016/679, a ich w niniejszym postępowaniu nie można zastosować [...]".

W sprawie rozstrzygniętej powołaną decyzją organowi nadzorczemu nie przysługiwało zatem prawo udzielenia upomnienia na podstawie art. 58 § 2 lit. b RODO. Nie ma więc podstaw, by na podstawie tej decyzji wysnuć wniosek o odstąpieniu przez organ od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym.

Z kolei okoliczność, że w innych sprawach organ nadzorczy udzielał upomnień z uwagi na – jak wywodzi skarżąca - "znacznie poważniejsze naruszenia ochrony danych osobowych" nie oznacza, że zobowiązany do rozpatrzenia indywidualnej skargi i przeprowadzenia postępowania wyjaśniającego na podstawie skargi w zakresie odpowiadającym konkretnej sprawie, stwierdziwszy, że dane osobowe M. K. w zakresie obejmującym imię, nazwisko, numer PESEL, serię i numer dowodu osobistego, adres zamieszkania lub pobytu oraz numer telefonu zostały udostępnione osobie trzeciej bez podstawy prawnej, PUODO nie miał podstaw do zastosowania tego samego środka wobec Banku.

W uzasadnieniu zaskarżonej decyzji w sposób niedwuznaczny wskazano fakty, które organ uznał za udowodnione (1. udostępnienie danych osobowych M. K. innej klientce Banku wskutek błędu pracownika Banku związanego z nieprzestrzeganiem obowiązujących procedur związanych z kontrolą poprawności zawartości przesyłki; 2. nielegitymowanie się przez Bank przesłanką legalizującą stwierdzone udostępnienie) oraz dowody, na których się oparł (treść skargi z 18 maja 2020 r., wyjaśnienia Banku z 3 września 2020 r. i z 6 listopada 2020 r. z załącznikami). PUODO przytoczył też w uzasadnieniu decyzji przepisy prawa stanowiące podstawę jej wydania i wyjaśnił, dlaczego znalazły zastosowanie w ustalonym stanie faktycznym. Jak powyżej wywiedziono, wyjaśnienie podstawy prawnej decyzji jest w ocenie Sądu częściowo błędne (w zakresie stwierdzenia naruszenia art. 5 ust. 1 lit. f RODO), niemniej uchybienie to niemiało wpływu na prawidłowość zaskarżonego rozstrzygnięcia.

Reasumując, kontrola decyzji PUODO z [...] października 2021 r. znak: [...] w granicach sprawy nie dała podstaw do stwierdzenia, że została ona wydana z naruszeniem przepisów postępowania, zaś stwierdzone naruszenie prawa materialnego, nie miało wpływu na wynik sprawy. Brak jest podstaw do uznania, że w postępowaniu zakończonym wydaniem zaskarżonej decyzji nie wyjaśniono wszystkich kwestii mających wpływ na rozstrzygnięcie sprawy wszczętej skargą osoby, której dane osobowe przetwarzano niezgodnie z prawem. Uzasadnienie zaskarżonej decyzji odpowiada prawu.

W tym stanie rzeczy, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r. poz. 329 ze zm.), Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę.