Wyrok WSA w Warszawie, sygn. akt II SA/Wa 427/23
Wojewódzki Sąd Administracyjny w Warszawie
Data orzeczenia: 2024-01-23 00:00:00+01:00 (orzeczenie prawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne: Ochrona danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Oddalono skargi
Powołane przepisy: article: art. 151
journal: Dz.U. 2023 poz 259
law: Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.

SENTENCJA

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Kołodziej, Sędzia WSA Sławomir Fularski (spr.), Sędzia WSA Ewa Radziszewska-Krupa, , Protokolant starszy specjalista Aleksandra Weiher, , po rozpoznaniu na rozprawie w dniu 23 stycznia 2024 r. sprawy ze skarg Najwyższej Izby Kontroli oraz R. K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargi


UZASADNIENIE

Prezes Urzędu Danych Osobowych (dalej jako "Prezes UODO" lub "organ"), działając na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2022 r. poz. 2000), dalej jako "Kpa", art. 6 ust. 1, art. 5 ust. 1, art. 15 ust. 3 oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), "dalej jako "RODO", po przeprowadzeniu postępowania administracyjnego w sprawie skargi R. K. (dalej jako "skarżący") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Najwyższą Izbę Kontroli (dalej też jako "NIK" lub "pracodawca"), polegające na udostępnieniu Sądowi Okręgowemu w L. [...] Wydział Cywilny w związku z toczącym się postępowaniem danych osobowych skarżącego z postępowania dyscyplinarnego prowadzonego przeciwko niemu, zawartych w prawomocnej decyzji z [...] czerwca 2016 r. o umorzeniu tego postępowania wraz z uzasadnieniem z [...] czerwca 2016 r., dołączonej do akt osobowych skarżącego, oraz przetwarzaniu danych osobowych skarżącego, zawartych w treści notatek służbowych: z [...] lipca 2015 r. dot. kontroli nr [...], z [...] lipca 2015 r. dot. kontroli nr [...], z [...] stycznia 2016 r. dot. kontroli nr [...], dot. kontroli nr [...], z [...] lutego 2017 r. dot. kontroli nr [...]bez podstawy prawnej oraz udostępnienie podmiotom nieuprawnionym danych osobowych skarżącego zawartych w ww. notatkach i odmowie udostępnienia przez NIK skarżącemu kopii danych osobowych zawartych w przedmiotowych notatkach

1) udzielił NIK upomnienia za naruszenie art. 5 ust. 1 lit. a), c) i d) oraz art. 6 ust. 1 RODO, polegającego na udostępnieniu Sądowi Okręgowemu w L. [...] Wydział Cywilny, w związku z toczącym się przed nim postępowaniem, danych osobowych skarżącego zawartych w prawomocnej decyzji z [...] czerwca 2016 r. o umorzeniu tego postępowania wraz z uzasadnieniem z [...] czerwca 2016 r., dołączonej do jego akt osobowych;

2) umorzył postępowanie w zakresie przetwarzania przez NIK danych osobowych skarżącego zawartych w treści ww. notatek służbowych bez podstawy prawnej;

3) odmówił skarżącemu uwzględnienia wniosku w zakresie dostarczenia przez NIK kopii jego danych osobowych, zawartych w treści ww. notatek.

W uzasadnieniu organ w pierwszej kolejności przedstawił stan faktyczny sprawy. Wskazał, skarżący był zatrudniony jako kontroler w Delegaturze NIK w L. od [...] stycznia 1986 r. do [...] lutego 2018 r., tj. do przejścia na emeryturę. Podczas zapoznawania się z aktami postępowania sądowego o sygnaturze [...]prowadzonego przez Sąd Okręgowy w L., którego jest stroną w sprawie przeciwko Dyrektorowi Delegatury NIK w L. o ochronę dóbr osobistych, skarżący ujawnił, że pracodawca przekazał [...] października 2018 r. sądowi jego akta osobowe zawierające prawomocne orzeczenie z [...]czerwca 2016 r. o umorzeniu postępowania dyscyplinarnego przeciwko niemu wraz z uzasadnieniem z [...]czerwca 2016 r. NIK wyjaśniła, że akta osobowe skarżącego aktualnie znajdują się w ww. sądzie w związku z toczącym się postępowaniem. Pracodawca przekazał dane osobowe skarżącego wraz z aktami osobowymi zawierającymi prawomocne orzeczenie z [...] czerwca 2016 r.

o umorzeniu postępowania dyscyplinarnego przeciwko skarżącemu wraz

z uzasadnieniem z [...] czerwca 2016 r. na wniosek sądu z [...] października 2017 r. do sprawy [...]. NIK wyjaśniła, że aktualnie akta osobowe skarżącego znajdują się w sądzie i potwierdziła, że rzeczywiście w przekazanych aktach osobowych skarżącego znajdowało się orzeczenie o umorzeniu postępowania dyscyplinarnego wobec skarżącego z [...] czerwca 2016 r. wraz z uzasadnieniem, natomiast zostało usunięte

z akt [...] lipca 2021 r. Pracodawca wyjaśnił, że ww. należy przechowywać w zbiorze danych - aktach sprawy postępowania dyscyplinarnego, z oznaczeniem symbolu klasyfikacyjnego z wykazu akt, tj. [...]. Akta sprawy z postępowania dyscyplinarnego przechowywane są w archiwum zakładowym NIK i są przygotowywane do brakowania. Teczka z aktami ww. sprawy jest przygotowana do procedury brakowania. Skarżący pismem z [...] grudnia 2018 r. zwrócił się do NIK o przekazanie poświadczonych odpisów dotyczących go urzędowych dokumentów wytworzonych w Delegaturze NIK w L.

w postaci przedmiotowych wyżej już przywołanych notatek służbowych. Pismem z [...] stycznia 2019 r. NIK odmówiła wydania odpisów ww. dokumentów. Notatki służbowe

z przedmiotowych kontroli stosownie do treści Załącznika nr 2 do zarządzenia Nr [...] JRWA znajdują się w JRWA w klasie [...] Pomocnicza dokumentacja osobowa, z oznaczeniem kategorii archiwalnej B5. Termin brakowania notatek służbowych z 2015 r. przypada na 2021 r. Pracodawca wyjaśnił, że z uwagi na to, że notatki stanowią dowód w postępowaniu sądowym oraz w przedmiotowej sprawie będą przechowywane do czasu utraty znaczenia i ich wartości dowodowej. Przedmiotowe notatki służbowe nie zostały włączone do akt kontroli, ani do akt spraw z tego względu, że stosownie do treści załącznika nr [...] do zarządzenia Nr [...]Prezesa NIK z [...] listopada 2014 r.

w sprawie instrukcji kancelaryjnej, jednolitego rzeczowego wykazu akt oraz instrukcji

w sprawie organizacji i zakresu działania archiwów zakładowych w NIK ww. dokumenty stanowią pomocniczą dokumentację osobową, w związku z czym nie są dokumentacją pracowniczą zgodnie z art. 94 pkt 9a i 9b ustawy z dnia 26 czerwca 1974 r. Kodeks pracy, Dz.U. z 2020 r., poz. 1320.

Organ wskazał, że w związku z przetwarzaniem przez NIK danych osobowych skarżącego zawartych w decyzji o umorzeniu postępowania dyscyplinarnego z [...] czerwca 2016 r. wraz z uzasadnieniem z [...] czerwca 2016 r., które zamieszczone zostały w jego aktach osobowych, a następnie przesłane do Sądu Okręgowego w L. do sprawy o sygn. [...]doszło do przetwarzania danych osobowych skarżącego, w odniesieniu do którego mają zastosowanie przepisy art. 6 ust. 1 RODO.

Prezes UODO wyjaśnił, że w celu dokonania oceny zgodności procesu przetwarzania danych osobowych skarżącego, z przepisami o ochronie danych osobowych, który polegał na zamieszczeniu przez NIK w aktach osobowych skarżącego zawierającej jego dane osobowe decyzji o umorzeniu postępowania dyscyplinarnego z uzasadnieniem, w pierwszej kolejności należy dokonać analizy przepisów szczególnych, regulujących zakres i rodzaj dokumentacji, która może być zawarta w aktach osobowych pracownika NIK. Zgodnie z art. 97o ust. 1 ustawy z dnia 23 grudnia 1994 r. o Najwyższej Izbie Kontroli (Dz.U. z 2020 r., poz. 1200), w zw. z art. 94 pkt 9a ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz.U. z 2020 r., poz. 1320) w zw. z § 3 ust. 4 rozporządzenia Ministra Pracy i Polityki Społecznej z dnia z dnia 10 grudnia 2018 r. w sprawie dokumentacji pracowniczej (Dz.U. z 2018 r., poz. 2369)

w aktach osobowych może znajdować się tylko odpis prawomocnego orzeczenia

o ukaraniu lub inne dokumenty związane z ponoszeniem przez pracownika odpowiedzialności porządkowej lub odpowiedzialności określonej w odrębnych przepisach, które przewidują zatarcie kary po upływie określonego czasu. W związku

z powyższym jakiekolwiek inne orzeczenie niedotyczące ukarania pracownika, ani inne dokumenty niezwiązane z ponoszeniem przez pracownika odpowiedzialności porządkowej lub odpowiedzialności określonej w odrębnych przepisach, które przewidują zatarcie kary po upływie określonego czasu, nie powinny znajdować się

w jego aktach osobowych. Konkludując, przedmiotowa decyzja o umorzeniu postępowania dyscyplinarnego prowadzonego przez NIK przeciwko skarżącemu nie powinna znajdować się w jego aktach osobowych. Prezes UODO wskazał, że w przedmiotowej sprawie brak jest przesłanek, na podstawie których organ mógłby orzec o legalności przetwarzania danych osobowych skarżącego przez pracodawcę, polegającego na załączeniu do akt osobowych skarżącego prawomocnej decyzji z [...] czerwca 2016 r. o umorzeniu postępowania dyscyplinarnego wraz z uzasadnieniem [...] czerwca 2016 r. zawierającej jego dane osobowe, a następnie udostępnienie tych danych sądowi. W ocenie organu pracodawca nie zadbał o to, by przetwarzane przez niego dane osobowe skarżącego zawarte w aktach osobowych były aktualne i poprawne. Z wyjaśnień skarżącego wynika, że po osobistym zapoznaniu się z aktami postępowania [...]prowadzonego przez Sąd Okręgowy w L., do którego załączone zostały właśnie jego akta osobowe, powziął wiedzę, że w tych aktach znajduje się prawomocna decyzja o umorzeniu postępowania dyscyplinarnego wraz z uzasadnieniem, która nie powinna się w tych aktach osobowych znaleźć. Pracodawca również potwierdził, że w aktach osobowych skarżącego znajdowało się orzeczenie o umorzeniu postępowania dyscyplinarnego wraz z uzasadnieniem, które w tych aktach nie powinny się znajdować. Pracodawca przed przesłaniem do sądu akt osobowych skarżącego był w obowiązku zweryfikować, czy dokumenty, które się w nich znajdują powinny być na mocy obowiązujących przepisów prawa w aktach osobowych zawarte. Nadto, jak wynika

z wyjaśnień pracodawcy z [...] marca 2021 r. prawomocne orzeczenie z [...] czerwca 2016 r. jest częścią zbioru danych akt postępowania dyscyplinarnego, w którym orzeczenie zostało wydane, w związku z czym organ nie znajduje żadnego uzasadnienia, aby kwestionowaną decyzję dołączać do innego zbioru danych, w tym przypadku do danych zebranych w teczce osobowej skarżącego. W związku z tym, jeżeli w wyniku postępowania sądowego zaszła konieczność udostępnienia sądowi ww. orzeczenia dyscyplinarnego, pracodawca powinien przesłać ten dokument zawierający dane osobowe skarżącego, albo samodzielnie, albo z aktami postępowania dyscyplinarnego, natomiast niedopuszczalne było dołączenie prawomocnej decyzji o umorzeniu postępowania dyscyplinarnego oraz uzasadnienia do tej decyzji do akt pracowniczych (osobowych) skarżącego. Pracodawca swoimi działaniami nie dochował staranności

i nie zapewnił rzetelności przetwarzania danych osobowych skarżącego, bowiem dopuścił do przetwarzania jego danych osobowych w sposób niezgodny z prawem. Pracodawca naruszył art. 5 ust. 1 lit. a) RODO oraz zasady przetwarzania określone

w art. 5 ust. 1 lit. c) RODO, bowiem nie zapewnił aby przetwarzane przez niego dane były adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane i dopuścił do udostępnienia nadmiarowych i nierzetelnych danych innym podmiotom, wobec czego naruszył również zasadę przetwarzania określoną

w art. 5 ust. 1 lit. d RODO. W przeszłości w odniesieniu do danych osobowych skarżącego miała już zaś miejsce sytuacja, w której pracodawca zamieścił w aktach osobowych skarżącego nieprawomocną decyzję o ukaraniu dyscyplinarnym, mimo, że przepisy art. 97o ust. 1 ustawy o NIK jasno określają, że do akt osobowych dołącza się odpis prawomocnego orzeczenia o ukaraniu. Ostatecznie orzeczenie Komisji Dyscyplinarnej NIK zostało usunięte z akt osobowych skarżącego o czym został on poinformowany [...] listopada 2015 r. W związku z powyższym pracodawca powinien

w sposób szczególny dopilnować, aby powtórnie nie popełnić błędu i ponownie

w aktach osobowych skarżącego nie znalazły się dokumenty z jego danymi osobowymi. Administrator powinien przestrzegać zasad przetwarzania danych osobowych określonych w art. 5 RODO, a pracodawca w przedmiotowej sprawie dopuścił się naruszenia tych zasad. W tym stanie rzeczy organ upomniał pracodawcę za naruszenie art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. a, lit. c i lit. d RODO.

W związku z wyżej stwierdzonym naruszeniem oraz podjętymi przez pracodawcę działaniami zmierzającymi do usunięcia z akt osobowych skarżącego prawomocnej decyzji z [...] czerwca 2016 r. o umorzeniu postępowania dyscyplinarnego wraz

z uzasadnieniem z [...] czerwca 2016 r. (wyjaśnienia NIK z [...] czerwca 2021 r.), która ostatecznie została usunięta z akt 28 lipca 2021 r. organ nadzorczy upomniał administratora za naruszenie przepisów o ochronie danych osobowych.

Odnosząc się do zarzutu skarżącego przetwarzania jego danych osobowych przez NIK w wytworzonych przez innych pracowników NIK notatkach służbowych bez podstawy prawnej organ wskazał, że zgromadzony materiał dowodowy nie dał podstaw do stwierdzenia naruszenia ochrony danych osobowych skarżącego w tym zakresie. NIK wyjaśniła w piśmie z [...] września 2020 r., że dane osobowe skarżącego zawarte

w treści przedmiotowych notatek służbowych dotyczą okoliczności związanych

z przeprowadzanymi kontrolami przez skarżącego i zostały sporządzane w celu realizacji zadań nadzoru Dyrektora Delegatury NIK w L. nad wykonywaniem zadań przez pracowników oraz ustalenia okoliczności mających znaczenie dla realizacji zadań. Zgodnie z § 4 zarządzenia Nr [...]Prezesa NIK z [...] sierpnia 2011 r.

w sprawie szczegółowej organizacji wewnętrznej oraz właściwości jednostek organizacyjnych Najwyższej Izby Kontroli do zadań dyrektora delegatury NIK należy kierowanie pracą jednostki przy pomocy wicedyrektorów, a w szczególności dokonywanie podziału pracy i nadzorowanie wykonania poszczególnych zadań oraz ocena pracy podległych pracowników. NIK wyjaśniła, że kwestionowane notatki zostały sporządzone na potrzeby oceny realizacji zadań służbowych wykonywanych przez skarżącego, w celu realizacji zadań kontrolnych przez przełożonego. Pracodawca wyjaśnił, że dla potrzeb właściwego sprawowania nadzoru nad wykonywaniem zadań przez pracowników, przełożony może zwracać się do pracowników, w szczególności tych którzy nadzorują wykonywanie zadań kontrolnych, o przedstawienie na piśmie wszelkich okoliczności mających znaczenie dla toku przeprowadzanych kontroli. NIK wyjaśniła również, że pracownicy posiadający dostęp do danych osobowych skarżącego byli stosownie upoważnieni do przetwarzania danych osobowych, nadto

w odniesieniu do art. 73 ustawy o NIK byli również zobowiązani do zachowania tajemnicy kontrolerskiej. Ponadto, w odniesieniu do zarzutu skarżącego o niezałączeniu przedmiotowych notatek do akt poszczególnych kontroli czy akt osobowych skarżącego NIK wyjaśniła w piśmie z [...] marca 2021 r., że stosownie do treści załącznika nr 2 do zarządzenia Nr [...] Prezesa NIK z [...] listopada 2014 r. w sprawie instrukcji kancelaryjnej, jednolitego rzeczowego wykazu akt oraz instrukcji w sprawie organizacji

i zakresu działania archiwów zakładowych w NIK zbiorami, w których gromadzona jest dokumentacja pracownicza są zbiory o symbolach klasyfikacji JRWA [...] Akta osobowe pracowników oraz JRWA [...] Dokumentacja w sprawach związanych ze stosunkiem pracy. W przypadku przedmiotowych notatek służbowych została im przydzielona kategoria w klasie JRWA [...] Pomocnicza dokumentacja osobowa, w związku z czym nie są dokumentacją pracowniczą w rozumieniu art. 94 pkt 9a i 9b ustawy z dnia 26 czerwca 1974 r. Kodeks pracy (Dz.U. z 2020 r., poz. 1320) i nie można ich załączyć do akt osobowych skarżącego. Wobec powyższego przedmiotowe notatki nie mogły zostać załączone ani do akt osobowych skarżącego ani też do akt poszczególnych kontroli, pomimo, że ich treść dotyczy okoliczności związanych z przeprowadzonymi kontrolami. Pomimo odmiennego stanowiska skarżącego w powyższym zakresie organ ocenił wyjaśnienia NIK jako wiarygodne i znajdujące uzasadnienie w obowiązujących w NIK przepisach. Z tego względu w ocenie organu przetwarzanie danych osobowych skarżącego w powyższy sposób znajduje uzasadnienie w przepisach art. 6 ust. 1 lit c i f RODO. Zadania kontrolne i nadzorcze pracodawcy mogą być uznane za prawnie uzasadniony cel przetwarzania tych danych, jeżeli przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Za uzasadnione należy również ocenić przekazanie notatek służbowych zawierających dane osobowe skarżącego do Sądu Okręgowego w L.. Organ dał wiarę wyjaśnieniom NIK, że była zobligowana do przedłożenia tych notatek sądowi na podstawie art. 248 ustawy z dnia [...] listopada 1964 r. Kodeks postępowania cywilnego (Dz.U. z 2020 r. poz. 1575). Pracodawca kwestionowane notatki udostępnił wyłącznie na żądanie Sądu Okręgowego w L. z [...] października 2017 r. do sprawy sygn. akt [...]oraz

z [...] kwietnia 2019 r. do sprawy sygn. akt [...]. NIK nie udostępniła żadnym innym organom nieuprawnionym danych osobowych skarżącego.

W odniesieniu do wniosku skarżącego o nakazanie pracodawcy spełnienia żądania do uzyskania kopii danych osobowych organ wskazał, że w oparciu

o zgromadzony materiał dowodowy brak jest przesłanek do uwzględnienia tego wniosku. Osobie, której dane dotyczą przysługuje, na mocy art. 15 ust. 3 RODO prawo do uzyskania od administratora kopii danych, które podlegają przetwarzaniu. Skarżący pismem z [...] grudnia 2018 r. zwrócił się do pracodawcy na podstawie art. 51 ust. 3 Konstytucji Rzeczypospolitej Polskiej o przekazanie poświadczonych odpisów urzędowych dokumentów dotyczących skarżącego w postaci kopii przedmiotowych notatek służbowych, które to dokumenty pracodawca przekazał do sądu. Pracodawca pismem z [...] stycznia 2019 r. odmówił uwzględnienia wniosku skarżącego powołując się na art. 73 ust. 1 ustawy o NIK. W ocenie organu, żądanie skarżącego nie zasługuje na uwzględnienie przede wszystkim z tego względu, że zgodnie z art. 15 ust. 3 RODO, zdanie pierwsze, "administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu". Organ podkreślił, że RODO nie posługuje się pojęciem "kopii dokumentów zawierających dane osobowe", używa natomiast pojęcia "kopia danych". Wykonanie obowiązku określonego w art. 15 ust. 3 RODO może być realizowane zarówno poprzez sporządzenie kopii lub odpisu dokumentu (nośnika) zawierającego dane osobowe oraz inne dane osoby, której dane dotyczą ale

z pominięciem innych informacji, niebędących danymi osobowymi osoby, która złożyła wniosek, znajdującymi się w tym nośniku, jak i poprzez podanie uprawnionemu treści jego danych osobowych. Podsumowując - realizacja przez administratora żądania wydania kopii danych osobowych nie może być rozumiana jako wydanie kopii dokumentu, w którym dane osoby kierującej wniosek są przetwarzane. Realizacja przez administratora takiego żądania ogranicza się do udzielenia informacji, jakie dane są przez niego przetwarzane, natomiast nie obliguje do wydania kopii dokumentu. Prezes UODO jest upoważniony do wydania decyzji administracyjnej nakazującej m.in. spełnienie żądania osoby, której dane osobowe dotyczą, w zakresie dostarczenia jej kopii tych danych przetwarzanych przez danego administratora - nie zaś kopii dokumentów - i to wyłącznie w sytuacji stwierdzenia naruszenia przepisów RODO, polegającego na niespełnieniu prawidłowo wyrażonego żądania osoby, której dane dotyczą. Żaden przepis RODO ani ustawy o ochronie danych osobowych z 2018 r. nie uprawnia Prezesa UODO do wydawania nakazów udostępnienia dokumentów czy kopii dokumentów. Ww. akty normatywne nie zawierają również przepisów mogących stanowić dla osoby, której dane dotyczą, podstawę do żądania od administratora danych wydania dokumentów zawierających jej dane osobowe bądź kopii tych dokumentów. Prezes UODO nie może więc zrealizować uprawnienia naprawczego

z art. 58 ust. 2 w powyższym zakresie.

W konkluzji swojego rozstrzygnięcia organ wyjaśnił, że ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych - jest więc ona uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości

w procesie przetwarzania danych osobowych istnieją. W ocenie organu

w przedmiotowej sprawie doszło do naruszenia ochrony danych osobowych skarżącego, które polegało na naruszeniu przez pracodawcę zasady prawidłowości przetwarzanych danych osobowych gromadzonych w aktach osobowych skarżącego. Wobec powyższego, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO, Prezes UODO udzielił upomnienia za naruszenie przepisów o ochronie danych osobowych skarżącego w związku z przetwarzaniem w aktach osobowych jego danych zawartych w prawomocnej decyzji z [...] czerwca 2016 r. o umorzeniu postępowania dyscyplinarnego wraz z uzasadnieniem z [...] Czerwca 2016 r. przechowywanych w jego aktach osobowych, tj. za naruszenie art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. a), c) i d) RODO. Z kolei w zakresie zarzutu przetwarzania przez NIK bez podstawy prawnej danych osobowych skarżącego w przedmiotowych notatkach służbowych organ umorzył postępowanie, ze względu na niepotwierdzenie się tego zarzutu. Natomiast

w odniesieniu do żądania nakazania spełnienia prawa skarżącego z art. 15 ust. 3 RODO organ odmówił uwzględnienia wniosku.

Pismem z [...] stycznia 2023 r. Najwyższa Izba Kontroli (dalej też jako "skarżąca") wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie na ww. decyzję Prezesa UODO z [...]7 grudnia 2022 r. w części obejmującej pkt 1), tj. udzielenia NIK upomnienia za naruszenie art. 5 ust. 1 lit. a), c) i d) oraz art. 6 ust. 1 RODO, polegające na udostępnieniu Sądowi Okręgowemu w L. [...] Wydział Cywilny

w związku z toczącym się przed nim postępowaniem, danych osobowych skarżącego zawartych w prawomocnej decyzji z [...] czerwca 2016 r. o umorzeniu postępowania wraz z uzasadnieniem z [...] czerwca 2016 r. dołączonej do akt osobowych skarżącego. Skarżąca wniosła o uchylenie zaskarżonej decyzji Prezesa UODO w części obejmującej punkt 1) i umorzenie postępowania w tym zakresie. Zaskarżonej decyzji w części obejmującej punkt 1), zarzuciła naruszenie przepisów, które mogło mieć istotny wpływ na treść rozstrzygnięcia, a mianowicie:

- art. 58 ust. 2 pkt 2 lit. b) RODO poprzez jego niewłaściwe zastosowanie polegające na skorzystaniu z uprawnienia naprawczego, tj. udzieleniu upomnienia, w sytuacji gdy

w dacie wydania ww. decyzji Prezesa UODO, NIK nie przetwarzała danych osobowych skarżącego w postaci prawomocnej decyzji z [...] czerwca 2016 r. o umorzeniu postępowania wraz z uzasadnieniem z [...] czerwca 2016 r. poprzez udostępnienie ich Sądowi Okręgowemu w L. [...] Wydział Cywilny w aktach osobowych skarżącego;

- naruszenie art. 7, art. 77 § 1 Kpa poprzez nierozpatrzenie całości materiału dowodowego oraz jego dowolnej ocenie, przejawiającej się nie uwzględnieniem faktu, że na dzień wydania przedmiotowej decyzji Prezesa UODO z [...] grudnia 2022 r., NIK nie przetwarzała ww. decyzji z [...] czerwca 2016 r. o umorzeniu postępowania wraz

z uzasadnieniem z [...] czerwca 2016 r. poprzez udostępnienie ich Sądowi Okręgowemu w L. [...] Wydział Cywilny w aktach osobowych skarżącego.

W uzasadnieniu skarżąca wskazała, że Prezes UODO stosując art. 58 ust. 2 pkt 2 lit. b) RODO niewłaściwie uznał, iż stan faktyczny przyjęty w sprawie odpowiada hipotezie normy prawnej zawartej w tym przepisie prawa. Nie ma ona bowiem zastosowania do naruszenia, które nie istnieje w dniu wydania decyzji. Prezes UODO wydając decyzję administracyjną jest zaś zobowiązany do rozstrzygania w oparciu

o stan faktyczny istniejący w chwili wydania takiej decyzji. Decydujące znaczenie dla rozstrzygnięcia przedmiotowej sprawy ma okoliczność, że zarówno NIK, jak i Sąd Okręgowy w L. [...] Wydział Cywilny, a następnie Sąd Najwyższy nie przetwarzają obecnie danych osobowych skarżącego w postaci prawomocnego orzeczenia

o umorzeniu postępowania wraz z uzasadnieniem umieszczonych w jego aktach osobowych. W toku prowadzonego postępowania administracyjnego skarżąca poinformowała organ, że dane osobowe skarżącego nie są już przetwarzane przez NIK w jego aktach osobowych. Oznaczało to, że w konsekwencji ww. dane nie były również już udostępniane Sądowi Okręgowemu w L. [...] Wydział Cywilny. Przedmiotowe dokumenty zostały bowiem trwale usunięte w dniu [...] lipca 2021 r. po zwróceniu ich skarżącej przez Sąd Najwyższy.

Skarżąca wskazała, że w niniejszej sprawie jest istotne również, że NIK pomimo podejmowanych czynności zaradczych polegających na uzyskaniu tych dokumentów od właściwego sądu, nie miała możliwości usunąć ich w terminie wcześniejszym. NIK przekazała akta osobowe skarżącego do Sądu Okręgowego w L. [...] Wydział Cywilny w listopadzie 2017 r., przy czym nie była ona stroną postępowania toczącego się przed tym sądem. Od tego momentu zatem, nie była ich dysponentem i nie miała możliwości decydowania o ich zawartości. W niniejszej sprawie, istotnym elementem stanu faktycznego była okoliczność nieistnienia dalszego przetwarzania ww. dokumentów przejawiających się w udostępnianiu ich sądowi, w aktach osobowych skarżącego. Tym samym, wydając decyzję w części obejmującej punkt 1), Prezes UODO nie uwzględnił faktu, że na datę wydawania rozstrzygnięcia w przedmiotowej sprawie przedmiotowe dane nie są już przetwarzane. Ponadto, istotne jest również, że zarzucana skarżącej czynność udostępnienia orzeczenia o umorzeniu z dnia [...] czerwca 2016 r. wraz

z uzasadnieniem z dnia [...] czerwca 2016 r. miała charakter jednorazowy, a NIK pomimo podjętych działań nie miała możliwości zmiany stanu faktycznego, tj. usunięcia ww. dokumentów, które znajdowały się w aktach sprawy sądowej. Decyzja o zwrocie niniejszych dokumentów leżała w gestii ww. sądów, które pomimo podejmowanych działań przez NIK, nie wyraziły zgody na zwrot skarżącej, pomimo że w piśmie do Sądu Najwyższego NIK wskazywała na obowiązek prawny usunięcia kwestionowanych danych. Z powyższych względów postępowanie stało się bezprzedmiotowe i w związku z tym zachodziły przesłanki do jego umorzenia przez organ na podstawie art. 105 § 1 Kpa, wobec jego bezprzedmiotowości.

W odpowiedzi na skargę NIK organ wniósł o jej oddalenie podtrzymując swoją dotychczasową argumentację w sprawie.

Pismem z [...] lutego 2023 r. skarżący wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie na ww. decyzję Prezesa UODO z [...] grudnia 2022 r.

w części umarzającej postępowanie w zakresie przetwarzania przez NIK danych osobowych skarżącego zawartych w treści notatek służbowych (pkt 2 rozstrzygnięcia) oraz w części odmawiającej uwzględnienia wniosku w zakresie dostarczenia przez NIK skarżącemu kopii jego danych osobowych zawartych w treści notatek służbowych (pkt 3 rozstrzygnięcia). Skarżący wniósł o uwzględnienie skargi i uchylenie decyzji

w zaskarżonej części oraz zasądzenie na jego rzecz kosztów sądowych. Zarzucił organowi naruszenie: - przepisów postępowania, mianowicie art. 77 § 1 Kpa przez niedostateczne zebranie

i rozpatrzenie materiału dowodowego w postaci wewnętrznych regulacji prawnych NIK dotyczących organizacji i trybu sprawowania przez dyrektora jednostki kontrolnej NIK nadzoru nad postępowaniem kontrolnym oraz sposobu oceniania kontrolerów, co skutkowało przyjęciem przez organ błędnych ustaleń w tym zakresie, mających wpływ na rozstrzygnięcie w jego pkt. 2

- przepisów materialnych, mianowicie art. 5 ust. 1, art. 6 ust. 1 lit. c) i f) RODO przez ich błędne zastosowanie i przyjęcie, że znajduje w nich prawne uzasadnienie przetwarzanie danych osobowych zawartych w treści notatek służbowych w sytuacji, gdy przy prawidłowym zastosowaniu tych przepisów i uwzględnieniu okoliczności,

w jakich notatki powstały organ uznałby wytworzenie notatek na żądanie dyrektora

i przekazanie notatek sądom powszechnym i prokuraturze za działania poza granicami prawa

- art. 58 ust. 2 lit. c) w zw. z art. 15 ust. 3 RODO przez jego niezastosowanie i odmowę uwzględnienia wniosku skarżącego dotyczącego wydania kopii danych osobowych zawartych w służbowych notatkach, wskutek błędnej interpretacji żądania skarżącego.

W uzasadnieniu wskazał, że nie kwestionując decyzji co do rozstrzygnięcia

w pkt. 1 uznaje za nieodpowiadające prawu rozstrzygnięcia w pkt. 2 i 3 decyzji. Rozstrzygnięcie w pkt. 2 decyzji organ oparł na niedostatecznie ustalonym stanie prawnym w zakresie obowiązującej w NIK organizacji i trybu sprawowania nadzoru nad postępowaniem kontrolnym oraz procedury oceniania kontrolerów, jak również pominął okoliczności wytworzenia służbowych notatek. Stanowisko organu należy uznać za błędne, gdyż nie odpowiada ono porządkowi prawnemu w tym zakresie określonemu ustawą o NIK i wydanymi na tej podstawie aktami wewnętrznymi, które zostały pominięte przy wydaniu rozstrzygnięcia. Organ błędnie przyjął, że przedmiotowe notatki zostały przekazane Sądowi Okręgowemu w L. na jego żądanie, podczas gdy były to inicjatywy dowodowe pozwanego dyrektora Delegatury NIK w L. P. S. i pozwanej I. S. w sprawach (sygn. akt [...], [...]) z powództwa skarżącego o ochronę dóbr osobistych, co znajdowało potwierdzenie

w pismach procesowych pozwanych. Wszyscy 4 kontrolerzy - świadkowie w tej sprawie zeznali, że notatki sporządzili na żądanie pozwanego dyrektora. Wykorzystanie służbowych notatek przez pozwanych w prywatnych procesach stanowiło przetwarzanie danych osobowych skarżącego w sposób niezgodny z deklarowanym wobec organu przez NIK celem ich sporządzenia, co naruszało art. 5 ust 1 lit. b) RODO. Organ pominął ustalenie rzeczywistych motywów działania dyrektora delegatury, z którego "inicjatywy" notatki zostały wytworzone. Okoliczności w jakich doszło do powstania notatek oraz sposób ich przechowywania i wykorzystania całkowicie podważały twierdzenia NIK, uwzględnione w uzasadnieniu zaskarżonej decyzji. Skarżący widzi także potrzebę poddania kontroli sądowej prawidłowości rozstrzygnięcia organu

w przedmiocie odmowy zastosowania art. 58 ust. 2 lit. c) w z w. z art. 15 ust. 3 RODO. Dokonując swoistej wykładni żądania skarżącego w tym zakresie organ nie wziął pod uwagę intencji skarżącego, wyraźnie wybrzmiewającej z jego żądania

i przedstawionych w skardze do organu okoliczności uzasadniających żądanie.

W odpowiedzi na skargę skarżącego organ wniósł o jej oddalenie. Podtrzymując swoją dotychczasową argumentację w sprawie uznał zarzuty skargi za niezasadne.

Skarga skarżącego na decyzję Prezesa UODO z [...] grudnia 2022 r. została zarejestrowana w tutejszym Sądzie jako odrębna sprawa pod sygn. akt II SA/Wa 559/23.

W piśmie z [...] czerwca 2023 r. NIK jako uczestnik ww. postępowania sądowego wniosła o oddalenie skargi skarżącego.

Na rozprawie poprzedzającej wydanie wyroku w sprawie, Sąd postanowił na podstawie art. 111 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2023 r. poz. 259, dalej: "p.p.s.a.") połączyć sprawę o sygn. akt II SA/WA 427/23 i sprawę o sygn. akt II SA/Wa 559/23 do wspólnego rozpoznania i rozstrzygnięcia oraz prowadzić ją dalej pod sygn. akt II SA/Wa 427/23.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

W myśl art. 1 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2022 r. poz. 2492) sądy administracyjne kontrolują prawidłowość zaskarżonych aktów administracyjnych, między innymi decyzji ostatecznych, przy uwzględnieniu kryterium ich zgodności z prawem. Decyzja podlega uchyleniu, jeśli sąd stwierdzi naruszenie prawa materialnego w stopniu mającym wpływ na wynik sprawy, naruszenie prawa dające podstawę do wznowienia postępowania lub inne naruszenie przepisów postępowania, jeżeli mogło ono mieć istotny wpływ na wynik sprawy, o czym stanowi art. 145 § 1 pkt 1 lit. a-c p.p.s.a. lub też naruszenie prawa będące podstawą stwierdzenia nieważności decyzji (art. 145 § 1 pkt 2 p.p.s.a.). W razie zaś stwierdzenia, że zaskarżona decyzja odpowiada prawu, sąd oddala skargę

w całości albo w części (art. 151 p.p.s.a.). W myśl natomiast art. 134 § 1 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Sąd stosuje przewidziane ustawą środki w celu usunięcia naruszenia prawa w stosunku do aktów lub czynności wydanych lub podjętych we wszystkich postępowaniach prowadzonych w granicach sprawy, której dotyczy skarga, jeżeli jest to niezbędne dla końcowego jej załatwienia (art. 135 p.p.s.a.). Sąd orzekał w konwencji przepisu art. 153 p.p.s.a. - miał zatem obowiązek dokonać kontroli zgodności z prawem zaskarżonej decyzji w pełnym zakresie.

Skargi wniesione do tutejszego Sądu zarówno przez skarżącą, jak i skarżącego oceniane w świetle powyższych kryteriów nie zasługują na uwzględnienie bowiem zaskarżona decyzja Prezesa UODO odpowiada prawu. Przedmiotem kontroli Sądu jest decyzja Prezesa UODO z [...] grudnia 2022 r. w przedmiocie:

1) udzielenia NIK upomnienia za naruszenie art. 5 ust. 1 lit. a), c) i d) oraz art. 6 ust. 1 RODO, polegającego na udostępnieniu Sądowi Okręgowemu w L. [...] Wydział Cywilny, w związku z toczącym się przed nim postępowaniem, danych osobowych skarżącego zawartych w prawomocnej decyzji z [...] czerwca 2016 r. o umorzeniu tego postępowania wraz z uzasadnieniem z [...] czerwca 2016 r., dołączonej do jego akt osobowych;

2) umorzenia postępowania w zakresie przetwarzania przez NIK danych osobowych skarżącego zawartych w treści notatek służbowych z [...] lipca 2015 r. dot. kontroli nr [...], z [...] lipca 2015 r. dot. kontroli nr [...], z [...] stycznia 2016 r. dot. kontroli nr [...], dot. kontroli nr [...], z [...] lutego 2017 r. dot. kontroli nr [...]bez podstawy prawnej;

3) odmówił skarżącemu uwzględnienia wniosku w zakresie dostarczenia przez NIK kopii jego danych osobowych, zawartych w treści ww. notatek.

Skarżąca wniosła skargę na decyzję organu w części obejmującej pkt 1 tego rozstrzygnięcia, zaś skarżący wniósł skargę na pkt 2 i 3 kontrolowanej przez Sąd decyzji.

Podstawę prawną zaskarżonej decyzji stanowiły w szczególności przepisy ogólnego rozporządzenia o ochronie danych, w tym art. 58 ust. 2 lit. b RODO, zgodnie

z którym każdemu organowi nadzorczemu przysługują uprawnienia naprawcze m.in. do udzielania upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania. Może ono być stosowane – jak wyjaśniono w motywie [...] preambuły – w przypadku, gdy naruszenie przepisów rozporządzenia jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie. Natomiast, przepis art. 5 RODO statuuje katalog podstawowych zasad dotyczących przetwarzania danych osobowych. Jak podkreśla się w piśmiennictwie, zasady te mają charakter dyrektyw interpretacyjnych, zgodnie z którymi należy dokonywać wykładni poszczególnych przepisów. Z tego względu przypisuje się im moc nadrzędną w stosunku do pozostałych przepisów o ochronie danych osobowych. Zasady te określają obowiązki skierowane do administratorów danych.

Podstawową zasadą przetwarzania danych osobowych jest zasada rozliczalności określona w art. 5 ust. 2 rozporządzenia RODO. Przepis ten stanowi, że administrator danych jest odpowiedzialny za przestrzeganie wszystkich zasad przy przetwarzaniu danych osobowych (wymienionych w art. 5 ust. 1) i musi być w stanie wykazać ich przestrzeganie. Zasada rozliczalności bazuje więc na prawnej odpowiedzialności administratora za właściwe wypełnianie obowiązków i nakłada na niego obowiązek wykazania zarówno przed organem nadzorczym, jak i przed podmiotem danych, dowodów na przestrzeganie wszystkich zasad przetwarzania danych. Realizacji zasady rozliczalności służy zasada rzetelności i legalności oraz zasada przejrzystości wyrażone w art. 5 ust. 1 lit. a rozporządzenia RODO.

Zgodnie z treścią tego przepisu dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Wymóg przetwarzania danych zgodnie z prawem oznacza zarówno konieczność spełnienia przesłanek legalności przetwarzania danych, jak również zapewnienie zgodności

z pozostałymi przepisami o ochronie danych osobowych. Wymóg rzetelności odnosi się natomiast do wartości moralnych oraz do kryterium społecznej akceptacji operacji przetwarzania danych. Katalog podstaw dopuszczalności przetwarzania szczególnych kategorii danych otwiera zgoda osoby, której dane dotyczą. Pojęcie zgody zostało zdefiniowane w art. 4 pkt 11 komentowanego rozporządzenia i oznacza "dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych". Druga z podstaw dopuszczalności przetwarzania szczególnych kategorii danych została wskazana w ust. 2 lit. b komentowanego artykułu i obejmuje sytuacje, gdy "przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego

i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych

i interesów osoby, której dane dotyczą". Trzecia podstawa dopuszczalności przetwarzania szczególnych kategorii danych, określona w przepisie ust. 2 lit. c art. 9 RODO artykułu, dotyczy sytuacji, gdy "przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody". Czwartą podstawą dopuszczalności szczególnych kategorii danych jest przesłanka wskazana

w ust. 2 lit. d art. 9 RODO, zgodnie z którą zakaz przetwarzania nie ma zastosowania, jeżeli "przetwarzania dokonuje się w ramach uprawnionej działalności prowadzonej

z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, pod warunkiem że przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty w związku z jego celami oraz że dane osobowe nie są ujawniane poza tym podmiotem bez zgody osób, których dane dotyczą". Kolejną – piątą podstawę dopuszczalności przetwarzania danych – stanowi określona w ust. 2 lit. e przesłanka, w myśl której "przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą". Chodzi tu o sytuacje, gdy podmiot danych rezygnuje z ochrony swojej prywatności i podaje do publicznej wiadomości (upublicznia) informacje na swój temat. Komentowany przepis wymaga, aby fakt upublicznienia przez osobę, której dane dotyczą, był oczywisty, co rozumieć można w ten sposób, aby nie istniały wątpliwości co do tego, że to właśnie podmiot danych podał do publicznej wiadomości informacje na swój temat. Szóstą podstawą dopuszczalności przetwarzania szczególnych kategorii danych jest wskazane w art. 9 ust. 2 lit. f RODO przetwarzanie, które "jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy".

Przenosząc powyższe rozważanie na grunt rozpatrywanej sprawy, stwierdzić należy, że Prezes UODO zasadnie udzielił NIK upomnienia o którym mowa w pkt 1 zaskarżonej decyzji. Zgodnie z art. 58 ust. 2 lit. b RODO do uprawnień naprawczych organu nadzorczego należy udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania, które wykonuje. Zgodnie z motywem 148 RODO "aby egzekwowanie przepisów niniejszego rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne - oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. Jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia".

Zauważyć należy, że organ udzielił skarżącej przedmiotowego upomnienia po przeprowadzeniu postępowania wyjaśniającego i zebraniu materiału dowodowego, który potwierdził, że doszło do udostępnienia danych osobowych skarżącego przez NIK na rzecz Sądu Okręgowego w L. [...] Wydział Cywilny w związku z toczącym się postępowaniem, zawartych w prawomocnej decyzji z [...] czerwca 2016 r. o umorzeniu tego postępowania dyscyplinarnego wraz z uzasadnieniem z [...] czerwca 2016 r., dołączonej do akt osobowych skarżącego. Fakt udostępnienia danych osobowych skarżącego nie był w ogóle negowany przez NIK, która na żadnym etapie postępowania nie zakwestionowała zarzutu nieuprawnionego udostępnienia danych skarżącego. NIK przyznała w swoich wyjaśnieniach, że dopuściła się nieprawidłowości w procesie przetwarzania danych osobowych skarżącego. Organ trafnie ocenił więc działanie administratora i wobec stwierdzenia spełnienia przesłanek do zastosowania uprawnienia naprawczego miał prawo udzielić NIK upomnienia.

Podkreślenia wymaga, że bez znaczenia dla stwierdzenia naruszenia

i zastosowania kwestionowanego przez NIK uprawnienia naprawczego jest okoliczność czy stan naruszenia utrzymywał się w chwili wydania decyzji, czy nie. Samo stwierdzenie przez organ naruszenia art. 6 ust. 1 RODO przez NIK było wystarczającą podstawą do zastosowania upomnienia. Skorzystanie z tego środka naprawczego było adekwatne i niezbędne dla osiągnięcia celu jakim było ukaranie NIK i zapobieżenie

w przyszłości ponownemu naruszeniu przez nią przepisów.

Wydając decyzję organ miał na względzie to, że rozstrzygnięcie odnieść należy do aktualnego na dzień jej wydania stanu faktycznego. Dla organu wiążące było to, że nastąpiło naruszenie przepisów polegające na udostępnieniu danych skarżącego bez podstawy prawnej i z naruszeniem zasad przetwarzania danych osobowych (zgodności z prawem, minimalizacji danych i prawidłowości). Udostępnienie danych skarżącego bezspornie miało miejsce i zostało zakończone i wobec tego stwierdzonego naruszenia przepisów RODO odnośnie przetwarzania danych osobowych skarżącego przez administratora, organ nadzorczy wyraził stanowisko w decyzji. Decyzja została wydana w odniesieniu do oceny zdarzenia zakończonego - udostępnienia danych, a nie za zdarzenie udostępniania - czynność trwającą.

Zgodzić się należy z organem, że przyjęcie za prawidłowe stanowiska NIK wskazanego w skardze skutkowałoby tym, że organ nadzorczy nie mógłby merytorycznie oceniać zakończonych procesów przetwarzania danych osobowych, nawet w sposób oczywisty naruszających przepisy, a to byłoby sprzeczne

z samą definicją przetwarzania. Przetwarzaniem są bowiem nie tylko zdarzenia

z reguły ciągłe, jak przechowywanie, ale przede wszystkim czynne i jednorazowe jak udostępnianie, zmienianie, usuwanie. Uznanie zaś przetwarzania za niezgodne

z przepisami RODO, tj. przesłankami art. 6 RODO uzasadnia skorzystanie

z uprawnienia naprawczego w postaci upomnienia.

Wskazać przy tym należy, że upomnienie to jeden z najłagodniejszych środków stosowanych przez Prezesa UODO. Uprawnienia organu nadzorczego, wskazane

w ust. 2 artykułu 58, określone zostały mianem "uprawnień naprawczych" mają one charakter władczy. Ich realizacja stanowi istotę oddziaływania nadzorczego, które nie ogranicza się jedynie do sprawowania kontroli, ale obejmuje również władcze oddziaływanie organu na podmioty, wobec których sprawuje on nadzór. Organ pomimo tego, że nie poświęcił więcej uwagi w uzasadnieniu decyzji wyjaśnieniu proporcjonalności zastosowanego środka do stwierdzonej nieprawidłowości w przetwarzaniu danych osobowych nie przekroczył zasad proporcjonalności, czy równości wobec prawa. W konsekwencji Prezes UODO określił właściwy środek naprawczy aby stanowił on adekwatną reakcję organu nadzorczego na stopień naruszenia i spełnił swoją funkcję prewencyjną.

W ocenie Sądu nie zasługuje również na uwzględnienie zarzut skarżącej dotyczący naruszenia art. 7 i art. 77 Kpa polegający na nieuwzględnieniu faktu, że na datę wydania rozstrzygnięcia w przedmiotowej sprawie dane skarżącego nie były już przetwarzane. Prezes UODO prowadząc postępowanie w niniejszej sprawie podjął wszelkie przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych przedmiotowej sprawy i zebraniu materiału dowodowego potrzebnego do rozstrzygnięcia jej decyzją administracyjną. Przedmiot postępowania po dokonaniu kompleksowej analizy całości zebranego w postępowaniu materiału dowodowego, stosownie do treści art. 77 Kpa, został zaś rzetelnie oceniony przez organ pod kątem przepisów RODO. Organ wnikliwie zapoznał się z dowodami przedłożonymi przez NIK, czego dał wyraz w uzasadnieniu zaskarżonej decyzji. Ustalony stan faktyczny potwierdził, że NIK w sposób nieprawidłowy przetwarzała dane osobowe skarżącego, po czym podjęła działania zmierzające do naprawienia popełnionego naruszenia, jednak nieprawidłowość w procesie przetwarzania danych osobowych skarżącego zaistniała.

Sąd nie dopatrzył się takich naruszeń przepisów postępowania, które mogłyby mieć istotny wpływ na wynik sprawy. Postępowanie administracyjne, zdaniem Sądu, było prowadzone rzetelnie, a strona miała możliwość złożenia obszernych wyjaśnień. Uzasadnienie decyzji z kolei zawiera wszelkie wymagane prawem elementy,

a w szczególności wyjaśniona została w sposób obszerny podstawa prawna rozstrzygnięcia, przytoczone zostały kluczowe dla sprawy przepisy, przedstawiono stan faktyczny sprawy oraz dokonano subsumcji tego stanu faktycznego pod określone normy prawne. Także rozstrzygnięcie zawarte w zaskarżonej decyzji jest zrozumiałe, jasne i odpowiada wymaganiom prawa.

Przechodząc do zarzutów naruszenia przepisów prawa materialnego podnoszonych przez skarżącego, wskazać należy, że w niniejszym postępowaniu organ, na podstawie zgromadzonych wyjaśnień, dokonał indywidualnej oceny podstaw oraz okoliczności przetwarzania danych osobowych skarżącego w kwestionowanym przez niego zakresie. Za nietrafne należy uznać zarzuty odnoszące się do naruszenia art. 5 ust. 1, art. 6 ust. 1 lit. c oraz f RODO przez ich błędne zastosowanie. W toku postępowania ustalono, że dane osobowe skarżącego, zawarte w treści kwestionowanych przez niego notatek służbowych dotyczą okoliczności związanych

z przeprowadzanymi kontrolami przez skarżącego i zostały sporządzane w celu realizacji zadań nadzoru Dyrektora Delegatury NIK w L. nad wykonywaniem pracy przez pracowników oraz ustalenia okoliczności mających znaczenie dla realizacji zadań. Wyjaśnienia NIK złożone w tej sprawie słusznie organ ocenił jako wiarygodne

i znajdujące odzwierciedlenie w obowiązujących w NIK przepisach wewnętrznych. Prezes UODO jako organ właściwy do ochrony danych osobowych nie ingeruje

w prowadzone postępowania przez inne organy administracji publicznej w zakresie

w jakim jest to uregulowane przepisami, a jego rolą jest wyłącznie ocena legalności przetwarzania danych. W ocenie Sądu w przedmiotowej sprawie, w oparciu o całokształt materiału dowodowego organ prawidłowo uznał, że stanowisko NIK i okoliczności przez nią przedstawione dały podstawy do uznania za uzasadnione przetwarzanie danych skarżącego zawartych w treści kwestionowanych przez niego notatek służbowych. Zgromadzony w sprawie materiał dowodowy nie dał podstaw do stwierdzenia naruszenia ochrony danych osobowych skarżącego w tym zakresie. NIK w piśmie z [...] września 2020 r. wyjaśniła, że dane osobowe skarżącego zawarte w treści przedmiotowych notatek służbowych dotyczą okoliczności związanych

z przeprowadzanymi kontrolami przez skarżącego i zostały sporządzane w celu realizacji zadań nadzoru Dyrektora Delegatury NIK w L. nad wykonywaniem zadań przez pracowników oraz ustalenia okoliczności mających znaczenie dla realizacji zadań. Zgodnie z § 4 zarządzenia Nr [...] Prezesa Najwyższej Izbie Kontroli z dnia [...] sierpnia 2011 r. w sprawie szczegółowej organizacji wewnętrznej oraz właściwości jednostek organizacyjnych Najwyższej Izby Kontroli do zadań dyrektora delegatury NIK należy kierowanie pracą jednostki przy pomocy wicedyrektorów, a w szczególności dokonywanie podziału pracy i nadzorowanie wykonania poszczególnych zadań oraz ocena pracy podległych pracowników. NIK wyjaśniła, że kwestionowane notatki zostały sporządzone na potrzeby oceny realizacji zadań służbowych wykonywanych przez skarżącego, w celu realizacji zadań kontrolnych przez przełożonego. Dla potrzeb właściwego sprawowania nadzoru nad wykonywaniem zadań przez pracowników, przełożony może zwracać się do pracowników, w szczególności tych którzy nadzorują wykonywanie zadań kontrolnych, o przedstawienie na piśmie wszelkich okoliczności mających znaczenie dla toku przeprowadzanych kontroli. Pracodawca wyjaśnił również, że pracownicy posiadający dostęp do danych osobowych skarżącego byli stosownie upoważnieni do przetwarzania danych osobowych, nadto w odniesieniu do art. 73 ustawy o NIK byli również zobowiązani do zachowania tajemnicy kontrolerskiej.

Z kolei w odniesieniu do zarzutu skarżącego o niezałączeniu przedmiotowych notatek do akt poszczególnych kontroli czy akt osobowych skarżącego, organ wskazał, że NIK wyjaśniła w piśmie z [...] marca 2021 r., że stosownie do treści załącznika nr 2 do zarządzenia Nr [...]Prezesa NIK z [...] listopada 2014 r. w sprawie instrukcji kancelaryjnej, jednolitego rzeczowego wykazu akt oraz instrukcji w sprawie organizacji

i zakresu działania archiwów zakładowych w NIK zbiorami, w których gromadzona jest dokumentacja pracownicza są zbiory o symbolach klasyfikacji JRWA [...] Akta osobowe pracowników oraz JRWA [...] Dokumentacja w sprawach związanych ze stosunkiem pracy. W przypadku przedmiotowych notatek służbowych została im przydzielona kategoria w klasie JRWA [...] Pomocnicza dokumentacja osobowa, w związku z czym nie są dokumentacją pracowniczą w rozumieniu art. 94 pkt 9a i 9b ustawy z dnia [...] czerwca 1974 r. Kodeks pracy (Dz.U. z 2020 r., poz. 1320) i nie można ich załączyć do akt osobowych skarżącego. Wobec powyższego przedmiotowe notatki nie mogły zostać załączone ani do akt osobowych skarżącego ani też do akt poszczególnych kontroli, pomimo, że ich treść dotyczy okoliczności związanych z przeprowadzonymi kontrolami. Organ ocenił wyjaśnienia NIK jako wiarygodne i znajdujące uzasadnienie

w obowiązujących w NIK przepisach i słusznie uznał, że przetwarzanie danych osobowych skarżącego w powyższy sposób znajduje uzasadnienie w przepisach art. 6 ust. 1 lit. c, r, f RODO. Zadania kontrolne i nadzorcze pracodawcy mogą być uznane za prawnie uzasadniony cel przetwarzania tych danych, jeżeli przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Również oceniając proces przetwarzania danych osobowych skarżącego polegający na udostępnieniu jego danych osobowych zawartych w notatkach służbowych, Prezes UODO rzetelnie zbadał tę kwestię, w związku z czym zarzuty skarżącego w tym przedmiocie należy uznać za bezzasadne.

Zauważyć należy, że organ wezwał administratora pismem z [...] września 2020 r. do wykazania czy, a jeśli tak na rzecz jakich podmiotów NIK udostępniła dane osobowe skarżącego zawarte w notatkach służbowych. NIK wyjaśniła, że kopie notatek udostępniła wyłącznie na żądanie Sądu Okręgowego w L. z [...] października 2017 r. do sprawy sygn. akt [...]oraz z [...] kwietnia 2019 r. do sprawy sygn. akt [...] i nie udostępniła ich innym organom. Pracodawca wyjaśnił też, że był zobligowany do przedłożenia kwestionowanych przez skarżącego notatek sądowi na podstawie art. 248 ustawy z dnia [...] listopada 1964 r. Kodeks postępowania cywilnego (Dz.U. z 2021 r. poz. 1805), dalej jako "k.p.c.". Organ ocenił więc legalność procesu przetwarzania polegającego na udostępnieniu danych skarżącego, natomiast wbrew twierdzeniu skarżącego, nie było rolą Prezesa UODO ustalenie, z czyjej inicjatywy dowód w postępowaniach sądowych został powołany. Gospodarzem postępowania sądowego jest sąd i to on decyduje o działaniach podejmowanych w ramach prowadzonego przez siebie postępowania. Z załączonych przez NIK dokumentów wynika, że sąd zażądał nadesłania przez NIK dokumentów. Przepis art. 248 § 1 k.p.c. wprost wskazuje, że każdy obowiązany jest przedstawić na zarządzenie sądu

w oznaczonym terminie i miejscu dokument znajdujący się w jego posiadaniu

i stanowiący dowód faktu istotnego dla rozstrzygnięcia sprawy, chyba że dokument zawiera informacje niejawne. Wobec powyższego, organ nie mógł ocenić działań administratora jako bezprawnego, a tym samym zarzut skarżącego należy uznać za bezzasadny.

Odnosząc się do zarzutu Skarżącego dotyczącego naruszenia przez organ przepisów art. 58 ust. 2 lit. c w zw. z art. 15 ust. 3 RODO przez ich niezastosowanie

i odmowę uwzględnienia wniosku dotyczącego wydania kopii danych osobowych skarżącego zawartych w służbowych notatkach wskutek błędnej interpretacji żądania skarżącego przez organ, stwierdzić należy, że Prezes UODO podjął działania zmierzające do ustalenia intencji skarżącego i w odniesieniu do żądania nakazania NIK dostarczenia mu kopii danych osobowych przetwarzanych w notatkach służbowych przeprowadził postępowanie. Określenie żądania jest wymaganym i istotnym elementem podania, w którym osoba, której dane dotyczą składa skargę na naruszenie jej danych osobowych, bowiem wyznacza zakres sprawy. Skarżący w sposób nie budzący wątpliwości określił, że domaga się od organu nakazania spełnienia żądania

z art. 15 ust. 3 RODO, niemniej w oparciu o zgromadzony materiał dowodowy ustalone zostało, że nie zaistniały przesłanki uzasadniające spełnienie tego żądania. Wyjaśnić należy, że osobie, której dane dotyczą przysługuje, na mocy art. 15 ust. 3 RODO prawo do uzyskania od administratora kopii danych, które podlegają przetwarzaniu.

Z dowodów zgromadzonych w sprawie nie wynika, aby skarżący z tego uprawnienia skorzystał. Potwierdzone zostało, że 1 grudnia 2018 r. zwrócił się do NIK, w oparciu

o art. 51 ust. 3 Konstytucji Rzeczypospolitej Polskiej, o przekazanie poświadczonych odpisów urzędowych dokumentów w postaci kopii przedmiotowych notatek służbowych. NIK odmówiła realizacji wniosku skarżącego. Organ trafnie ocenił, że żądanie skarżącego nie zasługiwało na uwzględnienie przede wszystkim z tego względu, że zgodnie z art. 15 ust. 3 RODO, zdanie pierwsze administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Skarżący domagał się kopii konkretnych dokumentów, natomiast RODO nie posługuje się pojęciem "kopii dokumentów zawierających dane osobowe", używa natomiast pojęcia "kopia danych". Oznacza to, że ewentualna realizacja tak sformułowanego żądania,

w oparciu o art. 15 ust. 3 RODO, polegałaby na sporządzeniu kopii lub odpisu dokumentu (nośnika) zawierającego dane osobowe oraz inne dane osoby, której dane dotyczą, ale z pominięciem innych informacji, niebędących danymi osobowymi osoby, która złożyła wniosek, znajdującymi się w tym nośniku, jak i poprzez podanie uprawnionemu treści jego danych osobowych, co nie jest równoznaczne z wydaniem kopii dokumentu.

Zauważyć należy, że Prezes UODO jest upoważniony do wydania decyzji administracyjnej w oparciu o art. 58 ust. 2 lit. c RODO poprzez nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia. Skarżący żądał wydania kopii dokumentów w oparciu o przepisy Konstytucji, w związku z czym organ nie mógł zastosować uprawnienia naprawczego wynikającego z art. 58 ust. 2 lit. c RODO w zakresie dostarczenia mu kopii tych danych przetwarzanych przez danego administratora. Uprawnienie powyższe organ może zastosować wyłącznie w sytuacji stwierdzenia naruszenia przepisów RODO, polegającego na niespełnieniu prawidłowo wyrażonego żądania osoby, której dane dotyczą. Wbrew twierdzeniu skarżącego, organ nadzorczy w sposób prawidłowy zinterpretował jego żądanie dotyczące przekazania poświadczonych odpisów urzędowych dokumentów. W związku z tym, że żaden przepis RODO ani ustawy

o ochronie danych osobowych z 2018 r. nie uprawnia Prezesa UODO do wydawania nakazów udostępnienia dokumentów czy kopii dokumentów, organ prawidłowo odmówił uwzględnienia wniosku skarżącego w tym przedmiocie.

Reasumując, stwierdzić należy, że Prezes UODO wbrew zarzutowi skarżącego nie dopuścił się naruszenia art. 77 § 1 Kpa bowiem zebrał i rozpatrzył

w wystarczający sposób materiał dowodowy niezbędny do wydania rozstrzygnięcia

w sprawie. Prezes UODO prawidłowo w zakresie zarzutu przetwarzania przez NIK bez podstawy prawnej danych osobowych skarżącego w przedmiotowych notatkach służbowych umorzył postępowanie, ze względu na niepotwierdzenie się tego zarzutu. W odniesieniu zaś do żądania nakazania spełnienia prawa skarżącego z art. 15 ust. 3 RODO organ słusznie odmówił uwzględnienia wniosku.

Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 p.p.s.a., orzekł jak w sentencji.