Wyrok WSA w Warszawie, sygn. akt II SA/Wa 1371/23
Wojewódzki Sąd Administracyjny w Warszawie
Data orzeczenia: 2024-02-28 00:00:00+01:00 (orzeczenie nieprawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne: Dostęp do informacji publicznej
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Oddalono skargę
Powołane przepisy: article: art. 151
journal: Dz.U. 2023 poz 1634
law: Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.

SENTENCJA

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube, Sędzia WSA Sławomir Fularski, Asesor WSA Arkadiusz Koziarski (spr.), po rozpoznaniu w trybie uproszczonym w dniu 28 lutego 2024 r. sprawy ze skargi F. S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę


UZASADNIENIE

Prezes Urzędu Ochrony Danych Osobowych, dalej "PUODO", decyzją z dnia [...] maja 2023 r. nr [...], wydaną na podstawie art. 104 § 1 oraz ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U.

z 2023 r. poz. 775), dalej "k.p.a." w zw. z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja

2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), i art. 5 ust. 1 lit f, art. 6 ust. 1, art. 28 ust. 1 oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. L 127 z 23.05.2018, str. 2 ze zm. oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej "RODO" udzielił F. S.A. z siedzibą w [...] (dalej "Spółka"), upomnienia za naruszenie art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO, polegające na udostępnieniu danych osobowych S. R. podmiotom i osobom do tego nieupoważnionym, podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum na rzecz Spółki.

W uzasadnieniu organ wyjaśnił, że do Urzędu wpłynęła skarga S. R., na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę, polegające na naruszeniu ochrony jego danych osobowych poprzez ich udostępnienie w zakresie imienia, nazwiska, adresu, numeru telefonu i numeru PESEL podmiotom

i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum na rzecz Spółki.

PUODO wskazał, że w toku przeprowadzonego postępowania wyjaśniającego

w niniejszej sprawie, ustalił następujący stan faktyczny:

1. Skarżący był klientem Spółki, która prowadzi działalność w zakresie sprzedaży i dostawy energii elektrycznej i paliwa gazowego od sierpnia 2013 r. do [...] grudnia 2020 r.;

2. Dnia [...] kwietnia 2020 r. Spółka wysłała skarżącemu wiadomość elektroniczną informującą o możliwym naruszeniu jego danych osobowych;

3. Dnia [...] maja 2018 r. Spółka zawarła umowę powierzenia przetwarzania danych

z P. sp. z o.o., z którą łączy ją również wcześniej zawarta umowa o współpracy;

4. Na podstawie ww. umów P. sp. z o.o. przetwarza w imieniu Spółki dane osobowe jej klientów w celu ich przechowywania wraz z usługami towarzyszącymi, archiwizacji cyfrowej dokumentów oraz skanowania dokumentacji wraz z indeksacją opisową na rzecz Spółki;

5. Dnia 16 kwietnia 2020 r. Spółka powzięła informację o możliwym naruszeniu bezpieczeństwa danych osobowych. Spółka ustaliła, że do naruszenia poufności danych osobowych doszło w środowisku informatycznym podmiotu przetwarzającego, tj. P. sp. z o.o. oraz że naruszenie to obejmowało pomocniczą bazę archiwum cyfrowego zawierającą indeksy wyszukiwania. Jeden z portów ww. bazy znajdującej się w chmurze nie został zabezpieczony hasłem, co umożliwiało osobom nieupoważnionym dostęp do tej bazy w okresie od [...] kwietnia 2020 r. do [...] kwietnia 2020 r.;

6. Po stwierdzeniu naruszenia bezpieczeństwa danych osobowych dostęp do bazy został zablokowany poprzez wdrożenie zabezpieczeń przez P. sp. z o.o.;

7. Dnia 18 kwietnia 2020 r. Spółka zgłosiła ww. naruszenie do PUODO;

8. Spółka ustaliła, że w przypadku skarżącego doszło do naruszenia poufności danych osobowych w zakresie imienia, nazwiska oraz numeru PESEL;

9. W związku z powyższym wyciekiem Spółka zawiadomiła o możliwości popełnienia czynu zabronionego Prokuraturę Okręgową w G. - Wydział [...] Dział do Prowadzenia i Nadzorowania Spraw o Przestępstwa z Wykorzystaniem Internetu oraz Zaawansowanych Technologii i Systemów Informatycznych, Komendę Wojewódzką Policji w [...] - Wydział do Walki z Cyberprzestępczością oraz N. Postępowanie w tej sprawie prowadzone jest pod sygnaturą [...];

10. W prowadzonym przez Departament Kontroli i Naruszeń Urzędu Ochrony Danych Osobowych postępowaniu pod sygnaturą [...] ustalono, że w wyniku pozostawienia bazy danych klientów Spółki na niezabezpieczonym serwerze doszło do dwóch nieuprawnionych połączeń z bazą, których charakterystyka wskazywała na kopiowanie zawartości bazy danych. Pierwsze połączenie nastąpiło z adresu [...] dnia [...] kwietnia 2020 r. pomiędzy godz. 19:22 a godz. 20:58. Aktywność ta może wskazywać na skopiowanie danych o rozmiarze ok. 5 MB. Natomiast drugie połączenie trwało od [...] kwietnia 2020 r. godz. 23:00 do 16.04.2020 r. godz. 04:06 i nastąpiło za pośrednictwem komputera lub serwera zdefiniowanego numerem [...] W jego wyniku mogło dojść do pobrania danych o wolumenie ok. 11 GB. Następnie organ wskazał, że RODO określa obowiązki administratora danych, do których należy m.in. przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tym rozporządzeniu. Przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 rozporządzenia 2016/679, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest co najmniej jedna z przesłanek wskazanych w tym przepisie.

PUODO wyjaśnił, że zebrany w sprawie materiał dowodowy wykazał, że skarżący był klientem Spółki do 31 grudnia 2020 r., wobec czego podstawę prawną uprawniającą Spółkę do przetwarzania jego danych osobowych stanowił art. 6 ust. 1 lit. b RODO, zgodnie z którym przetwarzanie jest zgodne z prawem, gdy jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Organ podkreślił, że przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie (art. 4 pkt 2 RODO). PUODO stwierdził, że Spółka była uprawniona do przetwarzania danych osobowych skarżącego, ale nie w kwestionowanym zakresie, tj. do ujawnienia poprzez ich udostępnienie.

Organ podniósł również, że proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi zasadę poufności (lit. f). Wspomniana zasada wymaga, aby proces przetwarzania danych osobowych odbywał się w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem danych osobowych oraz przypadkową ich utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. W motywie 39 RODO wyjaśniono, że dane osobowe powinny być przetwarzane w sposób zapewniający im odpowiednie bezpieczeństwo i odpowiednią poufność, w tym między innymi ochronę przed nieuprawnionym dostępem do nich. W przedmiotowej sprawie należało oczekiwać od Spółki określonego działania, tj. odpowiedniego zabezpieczenia danych, co zniwelowałoby ryzyko ich utraty. To jednak brak działania był przyczyną ujawnienia poprzez udostępnienie danych osobowych prowadząc do dwóch nieuprawnionych połączeń z bazą, których charakterystyka wskazywała na kopiowanie jej zawartości.

Dalej PUODO podał, że [...] maja 2018 r. Spółka zawarła umowę powierzenia przetwarzania danych z P. sp. z o.o., z którą łączy ją również wcześniej zawarta umowa o współpracy. Na podstawie ww. umowy P. sp. z o.o. przetwarza w imieniu Spółki dane osobowe jej klientów w celu ich przechowywania (archiwum dokumentów) wraz z usługami towarzyszącymi, archiwizacji cyfrowej dokumentów oraz skanowania dokumentacji wraz z indeksacją opisową na rzecz Spółki. W relacji tej Spółka jest administratorem danych a P. sp. z o.o. podmiotem przetwarzającym.

Organ wskazał, że zgodnie z art. 4 pkt 7 i 8 RODO "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Natomiast "podmiot przetwarzający" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. PUODO wyjaśnił, że przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora (art. 28 ust. 3 rozporządzenia 2016/679). Jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą (art. 28 ust. 1 RODO).

Następnie PUODO zwrócił uwagę na treść art. 32 RODO, zgodnie z którym uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w tym m.in. w stosownym przypadku: a) pseudonimizację i szyfrowanie danych osobowych, b) zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania, c) zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego, d) regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania. Oceniając, czy stopień bezpieczeństwa jest odpowiedni, uwzględnia się, w szczególności ryzyko wiążące się z przetwarzaniem, w szczególności wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych (art. 32 ust.2 RODO).

W ocenie organu ze zgromadzonego w niniejszej sprawie materiału dowodowego wynika, że w okresie od [...] kwietnia 2020 r. do [...] kwietnia 2020 r. doszło do naruszenia ochrony danych osobowych klientów Spółki, w tym danych osobowych skarżącego, poprzez ich udostępnienie podmiotom i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy, tj. P. sp. z o.o., świadczącego usługi cyfrowego archiwum na rzecz Spółki. W wyniku niezabezpieczenia hasłem jednego z portów pomocniczej bazy indeksów znajdującej się w chmurze doszło do dwóch nieuprawnionych połączeń z bazą, których charakterystyka wskazywała na kopiowanie zawartości bazy danych. Pierwsze połączenie nastąpiło z adresu [...] dnia [...] kwietnia 2020 r. pomiędzy godz. 19:22 a godz. 20:58. Aktywność ta może wskazywać na skopiowanie danych o rozmiarze ok. 5 MB. Natomiast drugie połączenie trwało od [...] kwietnia 2020 r. godz. 23:00 do 16.04.2020 r. godz. 04:06 i nastąpiło za pośrednictwem komputera lub serwera zdefiniowanego numerem [...]. W jego wyniku mogło dojść do pobrania danych o wolumenie ok. 11 GB. Powyższy incydent doprowadził do naruszenia poufności danych osobowych skarżącego w zakresie imienia, nazwiska oraz numeru PESEL.

Organ zwrócił uwagę, że do naruszenia bezpieczeństwa danych osobowych doszło w środowisku informatycznym podmiotu P. sp. z o.o., jednak w procesie przetwarzania danych osobowych działał on jako podmiot przetwarzający, a zatem w imieniu i na rzecz Spółki. W związku z tym, to Spółka ponosi odpowiedzialność za wskazane naruszenie. Udostępnienie danych osobowych skarżącego podmiotom i osobom do tego nieupoważnionym, odbyło się z naruszeniem przez Spółkę, jako administratora danych, przepisów ochrony danych osobowych (art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO). Zdaniem organu Spółka naruszyła również zasadę poufności poprzez przetwarzanie danych skarżącego w sposób niezapewniający im odpowiedniego bezpieczeństwa, gdyż port bazy danych, z której nastąpiło udostępnienie danych skarżącego nie był w żaden sposób zabezpieczony, co stanowi bezsprzecznie o niezastosowaniu właściwego poziomu bezpieczeństwa, a co za tym idzie, o odpowiedzialności Spółki za udostępnienie (w tym przypadku przetworzenie) danych osobowych.

PUODO następnie wyjaśnił, że prowadzone przez niego postępowanie administracyjne służy kontroli zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej. Decyzje PUODO służą zastosowaniu uprawnień naprawczych, o których mowa w art. 58 ust. 2 RODO, m.in. poprzez udzielenie upomnienia administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operację przetwarzania (art. 58 ust. 2 lit. b RODO).

Organ stwierdził, że Spółka dopuściła się naruszenia art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO poprzez udostępnienie danych osobowych skarżącego podmiotom i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum. W związku z powyższym, PUODO korzystając z przysługującego mu uprawnienia określonego w art. 58 ust. 2 lit. b RODO udzielił Spółce upomnienia.

Na powyższą decyzję Spółka wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. Zaskarżonej decyzji zarzuciła:

1) naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 7, art. 8, art. 11 w zw. z art. 107 § 3 oraz art. 77 § 1 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o., polegające na niezastosowaniu zasad ogólnych postępowania administracyjnego: prawdy obiektywnej, pogłębiania zaufania obywateli do organów administracji publicznej, wyjaśnienia zasadności przesłanek (zasady przekonywania) oraz obowiązku zebrania i rozpatrzenia całego materiału dowodowego w sposób wyczerpujący, co doprowadziło do wydania wadliwej i przedwczesnej decyzji;

2) naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 80 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o. polegające na przekroczeniu granic swobodnej oceny dowodów i - w konsekwencji - błędnym przyjęciu, że Spółka przetwarzała dane osobowe uczestnika postępowania bez podstawy prawnej, podczas gdy podstawa ta istniała w postaci art. 6 ust. 1 lit b RODO, a ewentualne naruszenie poufności danych osobowych uczestnika postępowania nie może zostać zakwalifikowane jako ujawnienie danych poprzez ich udostępnienie przez administratora;

3) naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 RODO, polegające na błędnej jego wykładni skutkującej przyjęciem, że Spółka przetwarzała dane osobowe uczestnika postępowania poprzez ich udostępnienie osobom nieupoważnionym, a zatem bez podstawy prawnej, podczas gdy w stanie faktycznym sprawy należało rozważyć jedynie możliwość naruszenia poufności danych osobowych, w rozumieniu art. 5 ust. 1 lit f RODO w zw. z 32 RODO.

Spółka wniosła o uchylenie zaskarżonej decyzji oraz zasądzenie od organu na jej rzecz kosztów postępowania, w tym kosztów zastępstwa procesowego. Ponadto wniosła o rozpoznanie sprawy w trybie uproszczonym.

W uzasadnieniu skargi Spółka na wstępie zwróciła uwagę, że organ błędnie powołał przepisy RODO, które rzekomo naruszyła Spółka, czym sam naruszył art. 7, 8 i art. 11 w zw. z art. 107 § 3 k.p.a. PUODO w uzasadnieniu zaskarżonej decyzji wskazał, iż Spółka dopuściła się naruszenia przepisów RODO przez udostępnienie danych osobowych skarżącego podmiotom i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum. W sentencji decyzji zaś PUODO orzekł, że udziela upomnienia za naruszenie przepisów art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO polegające na udostępnieniu danych osobowych uczestnika postępowania podmiotom i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum na rzecz Spółki. Sentencja decyzji w żadnym razie zatem nie odpowiada jej uzasadnieniu. Z uzasadnienia wnioskować bowiem można, że kara upomnienia została nałożona za naruszenie poufności danych (art. 5 ust. 1 lit. f RODO), ale już z samej sentencji wynika, że dotyczy ona przetwarzania bez podstawy prawnej (art. 6 ust. 1 RODO), polegającego na udostępnieniu danych osobom nieupoważnionym.

Zdaniem Spółki stanowisko organu wyrażone w uzasadnieniu zaskarżonej decyzji jest niekonsekwentne. Z jednej strony organ wydaje się całkowicie pomijać stan faktyczny sprawy oraz działania, które zostały podjęte przez Spółkę, z drugiej strony sam przywołuje działania podjęte przez nią. Spółka podniosła, że decyzja wydana przez PUODO w sprawie o sygnaturze [...], której ustalenia faktyczne stanowiły podstawę wydania zaskarżonej decyzji w sprawie niniejszej została uchylona w wyniku kontroli sądowej przez Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 10 października 2022 r. (sygn. akt. II SA/Wa 567/22) ze względu na istniejące poważne nieprawidłowości po stronie organu w zakresie ustalenia stanu faktycznego. Tym samym oznacza to, że zaskarżona decyzja narusza art. 77 i 80 k.p.a., gdyż nie została oparta na prawidłowo ustalonym stanie faktycznym. Organ nie ustalił w szczególności, czy rzeczywiście i w jakim zakresie doszło do naruszenia przez Spółkę zasady poufności z art. 5 ust. 1 lit f RODO w zw. z art. 32 i nast. RODO.

Spółka zarzuciła również, że zastosowany środek naprawczy w postaci upomnienia jest nieadekwatny i oderwany od realiów sprawy. PUODO wskazał wprawdzie stan, który uznał za niepożądany, udzielając Spółce upomnienia (organ określił go błędnie jako brak uprawnienia Spółki do przetwarzania danych osobowych skarżącego w zakresie ujawnienia poprzez ich udostępnienie); nie wskazał jednak czy

i w jakim zakresie Spółka uchybiła swoim obowiązkom - poza "udostępnieniem danych", czego w istocie nie uczyniła. Jak wskazał PUODO "do naruszenia bezpieczeństwa danych osobowych doszło w środowisku informatycznym podmiotu P. sp. z o.o." Spółka podniosła, że nie można jednak zgodzić się z dalszą częścią wywodu PUODO, wedle której "jednak w procesie przetwarzania danych osobowych działał on [P. sp. z o.o.] jako podmiot przetwarzający, a zatem w imieniu i na rzecz spółki [F.]. W związku z tym to Spółka [F.] ponosi odpowiedzialność za wskazane naruszenie". Zdaniem Spółki organ w płynny sposób przeszedł od "udostępnienia" danych do przypisania F. odpowiedzialności za "naruszenie bezpieczeństwa danych osobowych", nie dokonując w tym zakresie żadnych ustaleń faktycznych. Tymczasem kwestia naruszenia przez Spółkę poufności danych jest przedmiotem oceny w odrębnym postępowaniu, w którym decyzja [...] została uchylona przez WSA w Warszawie.

Następnie Spółka wskazała, iż zarzuca zaskarżonej decyzji także naruszenie przepisów prawa materialnego, tj. art. 6 ust. 1 RODO, polegające na błędnej jego wykładni skutkującej przyjęciem, że przetwarzała dane osobowe uczestnika postępowania poprzez ich udostępnienie osobom nieupoważnionym, a zatem, że nastąpiło to bez podstawy prawnej, podczas gdy w stanie faktycznym sprawy należało rozważyć jedynie możliwość naruszenia poufności danych osobowych, w rozumieniu art. 5 ust. 1 lit f RODO. Spółka nie zgodziła się z zarzutem organu wskazującym, iż dopuściła się naruszenia art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO. Zdaniem Spółki w żadnym wypadku w rozpatrywanej sprawie nie doszło do przetwarzania przez nią danych osobowych bez podstawy prawnej poprzez ich udostępnienie podmiotom nieupoważnionym.

Spółka zwróciła uwagę, że w orzecznictwie: pojęcie "przetwarzania" opisuje czynność. Ze swej natury musi mieć ona swojego sprawcę. Spółka przytoczyła fragmenty uzasadnienia wyroku wyrok WSA w Warszawie z dnia 23 czerwca 2022 r., sygn. akt II SA/Wa 3752/21 i wskazała, że w niniejszej sprawie celem przetwarzania danych uczestnika postępowania przez Spółkę nigdy nie było udostępnienie jego danych. Osoby lub podmioty, które potencjalnie mogły uzyskać dostęp do danych osobowych uczestnika nie są zaś w żadnym razie odrębnymi administratorami danych, na rzecz których udostępnienie nastąpiło. W czasie naruszenia bezpieczeństwa danych osobowych uczestnika, tj. w okresie od [...] do [...] kwietnia 2020 r., Spółka przetwarzała jego dane osobowe wyłącznie na podstawie art. 6 ust. 1 lit. b) RODO i nie dokonywała ich udostępnienia innym administratorom.

Zdaniem Spółki dostęp do danych przez osoby nieupoważnione należałoby rozważać wyłącznie w kategoriach naruszenia art. 5 ust. 1 lit. f w zw. z art. 32 RODO, jednakże w tym zakresie organ nie ustalił stanu faktycznego w zakresie pozwalającym na stwierdzenie, że wyżej wymienione przepisy mogą mieć zastosowanie. Jednocześnie nawet uznanie, że w rozpatrywanym stanie faktycznym mogło dojść do naruszenia bezpieczeństwa danych osobowych, nie oznacza, że Spółka dokonała czynności przetwarzania poprzez ujawnienie danych osobom nieupoważnionym. Kwestię ujawnienia (w tym również udostępnienia) danych bez podstawy prawnej odróżnić należy od przypadków, gdy osoba trzecia uzyskuje dostęp do danych bez działania osoby je przetwarzającej. Spółka przywołała wyrażony w doktrynie pogląd, z godnie z którym "Jeżeli zatem osoba trzecia złamie zabezpieczenia techniczne chroniące dane osobowe przed dostępem do nich lub ukradnie dokumenty zawierające dane osobowe, to nie będzie to udostępnienie danych osobowych. Takie sytuacje trzeba bowiem kwalifikować jako uzyskanie, niezgodnie z prawem, dostępu do danych osobowych." [D. Lubasz, W. Chomiczewski, M. Czerniawski, P. Drobek, U. Góral, M. Kuba, P. Makowski, K. Witkowska-Nowakowska, art. 4 (w:) RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, Warszawa 2018, pkt 16). Zdaniem Spółki w niniejszej sprawie za takie przełamanie zabezpieczeń należy właśnie uznać dwa połączenia z jej bazą danych, w ramach której były przetwarzane dane osobowe uczestnika postępowania.

W odpowiedzi na skargę organ wniósł o oddalenie skargi, podtrzymując argumentację zawartą w zaskarżonej decyzji.

Ponadto organ stwierdził, iż niezrozumiałe jest na jakiej podstawie Spółka stwierdziła, że z uzasadnienia zaskarżonej decyzji można było wywnioskować, że nałożone na Spółkę upomnienie było konsekwencją naruszenia jedynie zasady poufności. PUODO ustalił, iż doszło do naruszenia poufności danych osobowych. Kwestia ta w świetle zebranych dowodów jest bezsporna i nie budząca wątpliwości.

W myśl motywu 39 RODO, dane osobowe powinny być przetwarzane w sposób zapewniający im odpowiednie bezpieczeństwo i odpowiednią poufność, w tym między innymi ochronę przed nieuprawnionym dostępem do nich. W związku z tym należało się do ww. naruszenia odnieść w treści uzasadnienia decyzji, gdyż ten fakt spowodował przetworzenie danych osobowych uczestnika postępowania, tj. ich udostępnienie i to ono było przedmiotem postępowania. Podstawą badania udostępnienia było zaś znalezienie podstawy prawnej takiego przetworzenia, której - zgodnie z ustaleniami PUODO - nie było. W związku z powyższym, organ był zobligowany do odniesienia się do naruszenia zasady poufności przez Spółkę, której skutkiem było kwestionowane przetworzenie, tj. udostępnienie danych osobowych skarżącego i tak też określił podstawę prawną zarówno w sentencji, jak i uzasadnieniu decyzji (art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f).

Organ ustosunkowując się do treści skargi zwrócił również uwagę, że w sprawie nie doszło do złamania zabezpieczeń, lecz do ich niezastosowania polegającego na niezabezpieczeniu hasłem dostępu do bazy danych osobowych, tym samym zaś na umożliwieniu dostępu do nich i finalnie ich udostępnieniu, a więc przetworzeniu. Zgodnie bowiem z art. 4 pkt 2 RODO, "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, m.in. taką jak przechowywanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie.

Odnosząc się do wyroku wydanego w sprawie II SA/Wa 567/22 organ wskazał, że Sąd w tym wyroku orzekł o naruszeniu przez PUODO art. 11 k.p.a. polegającym na niewystarczającym uzasadnieniu ww. decyzji poprzez brak oceny wiarygodności oświadczeń stron skutkującym brakiem ustalenia stanu faktycznego sprawy w aspekcie niewdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych, w wyniku którego doszło do naruszenia ich poufności, oraz polegającym na braku weryfikacji, czy zapewnione zostały wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. Sąd nie uchylił ww. decyzji z powodu zakwestionowania faktu, że do samego udostępnienia doszło. Kwestionował jedynie ustalenia organu dotyczące zabezpieczeń bazy danych i mechanizmów ich kontroli przyjętych pomiędzy administratorem danych a podmiotem przetwarzającym. Przyczyną zaś zaistnienia przedmiotu sprawy, w której wydano zaskarżoną decyzję było udostępnienie danych osobowych prowadzące do dwóch nieuprawnionych połączeń z bazą, których charakterystyka wskazywała na kopiowanie jej zawartości. Takie zdarzenie zostało stwierdzone przez kontrolerów PUODO i dla Sądu orzekającego w sprawie sygn. akt. II SA/Wa 567/22 było ono bezsporne.

W piśmie procesowym z dnia 10 sierpnia 2023 r. Spółka podtrzymała zarzuty skargi. Spółka wniosła również o dopuszczenie i przeprowadzenie dowodu z dokumentu, tj. postanowienia Prokuratury Okręgowej w G. o umorzeniu dochodzenia z dnia [...] kwietnia 2021 r. w sprawie o sygn. akt [...].

Spółka podniosła, że w postanowieniu tym Prokuratura Okręgowa w G. postanowieniem umorzyła dochodzenie:

I. w sprawie uzyskania bez uprawnień w okresie od [...] kwietnia 2020 roku do [...] kwietnia 2020 roku w nieustalonym miejscu za pośrednictwem sieci Internet poprzez niezabezpieczony port serwera informacji dla niego nieprzeznaczonej w postaci bazy danych klientów firmy F. S.A. , tj. o czyn z art. 267 § 1 k.k. - wobec stwierdzenia, że czyn nie zawiera znamion czynu zabronionego;

II. w sprawie przetwarzania, w nieustalonym okresie od [...] kwietnia 2020 roku do [...] kwietnia 2020 roku w G., danych osobowych klientów firmy F. S.A. chociaż ich przetwarzanie nie jest dopuszczalne lub bez uprawnienia, tj. o czyń z art. 107 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych - wobec stwierdzenia, że czyn nie zawiera znamion czynu zabronionego.

Spółka zwróciła uwagę, że w treści uzasadnienia powyższego postanowienia wskazano: "Dane personalne klientów F. S.A. poprzez błąd ludzki zostały pozostawione na niezabezpieczonym serwerze danych, skąd zostały dwukrotnie skutecznie pobrane przez M. B. i V. D. Niezwłoczna reakcja tychże dwóch osób i powiadomienie właściciela danych o ich wycieku, uchroniło wskazane informacje przed dalszym skutecznym pobieraniem z serwera i następczym rozpowszechnianiem".

Zdaniem Spółki bezzasadny jest zatem zarzut PUODO jakoby Spółka nie podjęła określonego działania, bowiem niezwłocznie po uzyskaniu informacji od wyżej wskazanych osób dostęp do danych został zabezpieczony. Nie zaistniało wobec tego żadnego rodzaju udostępnianie danych klientów Spółki osobom nieupoważnionym.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Na wstępie należy wyjaśnić, że złożona w niniejszej sprawie skarga została rozpoznana na posiedzeniu niejawnym w trybie uproszczonym, stosownie do art. 119 pkt 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r. poz. 1634, z późn. zm.), dalej "p.p.s.a." Zgodnie z powołaną regulacją, sprawa może być rozpoznana w trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w trybie uproszczonym, a żadna z pozostałych stron w terminie czternastu dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy.

W skardze Spółka wniosł o rozpoznanie sprawy w trybie uproszczonym, zaś żadna z pozostałych stron nie zażądała przeprowadzenia rozprawy.

Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2022 r., poz. 2492, z późn. zm.) oraz art. 3 § 1 p.p.s.a., sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. Kontrola ta jest dokonywana według stanu faktycznego i prawnego obowiązującego w dacie wydania zaskarżonego aktu.

W myśl art. 134 § 1 i 2 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną,

z zastrzeżeniem art. 57a, przy czym sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności.

Rozpatrując skargę wedle powyższych kryteriów Sąd uznał, że nie zasługuje ona na uwzględnienie.

W niniejszej sprawie PUODO udzielił Spółce, upomnienia za naruszenie art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO, polegające na udostępnieniu danych osobowych uczestnika postępowania, podmiotom i osobom do tego nieupoważnionym, podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum na rzecz Spółki.

W sprawie istotne jest, a przy tym jest to okoliczność niekwestionowana przez Spółkę, że w dniu [...] kwietnia 2020 r. powzięła ona informację o możliwym naruszeniu bezpieczeństwa danych osobowych. Spółka ustaliła, że do naruszenia poufności danych osobowych doszło w środowisku informatycznym podmiotu przetwarzającego, tj. P. sp. z o.o. oraz że naruszenie to obejmowało pomocniczą bazę archiwum cyfrowego zawierającą indeksy wyszukiwania. Jeden z portów ww. bazy znajdującej się w chmurze nie został zabezpieczony hasłem, co umożliwiało osobom nieupoważnionym dostęp do tej bazy w okresie od [...] kwietnia 2020 r. do [...] kwietnia 2020 r. Okoliczności te potwierdza również treść uzasadnienia postanowienia Prokuratury Okręgowej w G. o umorzeniu dochodzenia z dnia [...] kwietnia 2021 r. w sprawie sygn. akt [...] Spółka samodzielnie ustaliła, że w przypadku uczestnika postępowania doszło do naruszenia poufności danych osobowych w zakresie imienia, nazwiska oraz numeru PESEL.

Uczestnik postępowania był klientem Spółki, stąd też przetwarzanie jego danych osobowych przez Spółkę znajdowało oparcie w art. 6 ust. 1 lit b RODO. Zgodnie z tym przepisem przetwarzanie jest zgodne z prawem, gdy jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.

Jak słusznie podnosi organ proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi zasadę poufności (lit. f). Wspomniana zasada wymaga, aby proces przetwarzania danych osobowych odbywał się w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem danych osobowych oraz przypadkową ich utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. W motywie 39 RODO wyjaśniono, że dane osobowe powinny być przetwarzane w sposób zapewniający im odpowiednie bezpieczeństwo i odpowiednią poufność, w tym między innymi ochronę przed nieuprawnionym dostępem do nich.

Z ustaleń organu, dokonanych m.in. w oparciu o wyjaśnienia Spółki, wynika, że

w okresie od [...] kwietnia 2020 r. do [...] kwietnia 2020 r. doszło do naruszenia ochrony danych osobowych klientów Spółki, w tym danych osobowych uczestnika postepowania, poprzez ich ujawnienie podmiotom i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy, tj. P. sp. z o.o., świadczącego usługi cyfrowego archiwum na rzecz Spółki. W wyniku niezabezpieczenia hasłem jednego z portów pomocniczej bazy indeksów znajdującej się w chmurze doszło do dwóch nieuprawnionych połączeń z bazą, których charakterystyka wskazywała na kopiowanie zawartości bazy danych. Pierwsze połączenie nastąpiło z adresu [...] dnia [...].04.2020 r. pomiędzy godz. 19:22 a godz. 20:58. Aktywność ta może wskazywać na skopiowanie danych o rozmiarze ok. 5 MB. Natomiast drugie połączenie trwało od [...].04.2020 r. godz. 23:00 do [...].04.2020 r. godz. 04:06 i nastąpiło za pośrednictwem komputera lub serwera zdefiniowanego numerem[...]. W jego wyniku mogło dojść do pobrania danych o wolumenie ok. 11 GB. Powyższy incydent doprowadził do naruszenia poufności danych osobowych uczestnika postępowania w zakresie imienia, nazwiska oraz numeru PESEL.

Słusznie organ podnosi, iż choć do naruszenia bezpieczeństwa danych osobowych doszło w środowisku informatycznym podmiotu P. sp. z o.o., to jednak

w procesie przetwarzania danych osobowych działał on jako podmiot przetwarzający,

a zatem w imieniu i na rzecz Spółki. W związku z tym, to Spółka ponosi odpowiedzialność za wskazane naruszenie. Zauważyć bowiem należy, że zgodnie z art. 28 ust. 1 RODO jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą.

W niniejszej sprawie Spółka skorzystała z usług podmiotu, który nie zapewniał wystarczających gwarancji wdrożenia odpowiednich środków technicznych

i organizacyjnych, by przetwarzanie spełniało wymogi RODO.

Podkreślić należy, że zgodnie z art. 5 ust. 1 lit. f RODO dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność").

Poufność danych należy rozumieć w ten sposób, że nie będą one udostępniane osobom i podmiotom nieuprawnionym. Dane osobowe powinny być również odpowiednio chronione przed przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych (zasada integralności danych). Integralność chroni dane przed ich nieuprawnionym zniszczeniem lub uszkodzeniem.

W celu wypełnienia zasady poufności i integralności danych administrator (a także podmiot przetwarzający) wdraża odpowiednie środki techniczne i organizacyjne. Wdrożenie środków technicznych i organizacyjnych nie może mieć charakteru jednorazowego. Środki te powinny podlegać okresowemu przeglądowi i ewentualnej aktualizacji. Art. 5 ust. 2 RODO stanowi, że administrator jest odpowiedzialny za przestrzeganie omówionych powyżej zasad i powinien być w stanie wykazać ich przestrzeganie, co zostało w rozporządzeniu nazwane "rozliczalnością".

Powyższe przepisy nakładają zatem na administratora obowiązki w zakresie przestrzegania zasad i obarczają go odpowiedzialnością za ich naruszenie. W przepisach RODO można zaobserwować tendencję do zapewnienia administratorom większej swobody w zakresie stosowanych zabezpieczeń, z jednoczesnym zwiększeniem odpowiedzialności za naruszenia przepisów o ochronie danych. Administrator danych powinien przeprowadzić analizę ryzyka i ocenić, z jakimi zagrożeniami ma do czynienia, aby móc zastosować odpowiednie środki pozwalające skutecznie zabezpieczyć przetwarzane dane.

Na gruncie RODO pojęcie rozliczalności oznacza odpowiedzialność za przestrzeganie przepisów rozporządzenia i możność wykazania ich przestrzegania.

W literaturze przedmiotu wskazuje się, że określenie "rozliczalność" (ang. accountability) powinno być rozumiane odmiennie od dotychczas przypisywanego mu znaczenia, jako synonim ponoszenia odpowiedzialności przez administratora, co prowadzi do wniosku, że polska wersja językowa komentowanego przepisu nie odpowiada w istocie jego zamierzonej treści (P. Litwiński, P. Barta, M. Kawecki, Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych. i swobodnym przepływem takich danych. Komentarz, red. P. Litwiński, s. 268). Stwierdzenie, że administrator powinien być w stanie wykazać przestrzeganie zasad, odczytywać można jako nałożenie na administratora ciężaru dowodowego w zakresie przestrzegania zasad przetwarzania danych. W razie sporu z osobą, której dane dotyczą, albo z organem nadzorczym, administrator powinien być w stanie przedstawić dowody na to, że przestrzega zasad. Dowodami takimi mogą być przede wszystkim dokumenty dotyczące przetwarzania i ochrony danych. Dlatego też, pomimo braku wyraźnego wymogu wynikającego z przepisów komentowanego rozporządzenia, zasadne wydaje się prowadzenie dokumentacji przetwarzania danych, obejmującej wskazanie działań, jakie zostały podjęte dla zapewnienia zgodności przetwarzania i ochrony danych z wymogami określonymi w rozporządzeniu (np. przeprowadzonej analizy ryzyka i doboru odpowiednich zabezpieczeń). Wymóg taki wynikał z krajowych przepisów wykonawczych (rozporządzenia wykonawczego do u.o.d.o.1997), jednak utrata ich mocy obowiązującej sprawiła, że wymóg taki nie jest zasadniczo obowiązkiem wyraźnie wskazanym w przepisach o ochronie danych osobowych. Informacje pozwalające wykazać przestrzeganie przepisów mogą być zawarte np. w polityce bezpieczeństwa lub w innym dokumencie, natomiast przewidziany w art. 30 obowiązek prowadzenia rejestru czynności przetwarzania ograniczony jest w tym zakresie jedynie do ogólnego opisu technicznych i organizacyjnych środków bezpieczeństwa (tak np., P.Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 5.)

Sąd podziela powyższe stanowisko. W przypadku naruszenia, do którego doszło (jak w niniejszej sprawie), to na administratorze spoczywał obowiązek wykazania, iż omówione wyżej zasady były przestrzegane. Okolicznością niesporną w sprawie jest zaś to, że miało miejsce naruszenie ochrony danych osobowych klientów Spółki, w tym danych osobowych uczestnika postępowania, poprzez ich ujawnienie podmiotom

i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy, tj. P. sp. z o.o., świadczącego usługi cyfrowego archiwum na rzecz Spółki. W wyniku niezabezpieczenia hasłem jednego z portów pomocniczej bazy indeksów znajdującej się w chmurze, co umożliwiło dostęp osobom nieupoważnionym. Tak wskazywała sama Spółka w toku postępowania przed PUODO. Potwierdza to również treść uzasadnienia postanowienia Prokuratury Okręgowej w G. o umorzeniu dochodzenia z dnia [...] kwietnia 2021 r. w sprawie sygn. akt [...]. Poza sporem pozostaje także fakt, że w wyniku niezabezpieczenia hasłem jednego z portów pomocniczej bazy indeksów znajdującej się w chmurze doszło do dwóch nieuprawnionych połączeń z bazą, których charakterystyka wskazywała na kopiowanie zawartości bazy danych. W świetle powyższego nie budzi wątpliwości poprawność konkluzji organu, iż administrator danych osobowych i podmiot zewnętrzny którym posługiwał się przy przetwarzaniu danych, nie wdrożyli należytego zabezpieczenia przetwarzanych danych.

Podkreślenia jednak wymaga, że w sprawie będącej przedmiotem rozpoznania przez Sąd nie chodziło o ustalenie stopnia wadliwości zabezpieczeń technicznych stosowanych przez P. sp. z o.o. Zwrócić trzeba uwagę, że innym postępowaniem jest postępowanie w ramach którego dokonywana jest ocena prawidłowości stosowania przepisów sekcji 1 (Obowiązki ogólne) czy sekcji 2 (Bezpieczeństwo danych osobowych) rozdziału IV RODO, czego w tej sprawie organ nie dokonywał, a innym rozpatrywanie przez organ indywidualnej skargi wniesionej przez osobę, której dane dotyczą w zakresie zgodności przetwarzania jej danych z przepisami RODO.

Zgodnie z art. 77 ust. 1 RODO, bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie.

Uczestnika postępowania miał zatem prawo wystąpić do PUODO z indywidualną skargą podnosząc kwestię niezgodnego z przepisami RODO przetwarzania (tj. ujawnienia) podmiotom nieuprawnionym jego danych osobowych przez administratora. Zasadnie zatem organ prowadził zatem to postępowanie i rozstrzygnął je decyzją udzielając upomnienia Spółce za naruszenie RODO polegające na udostępnieniu bez podstawy prawnej danych osobowych uczestnika postępowania podmiotom nieuprawnionym.

Należy podzielić stanowisko PUODO, iż zgodnie z motywem 39 RODO, dane osobowe powinny być przetwarzane w sposób zapewniający im odpowiednie bezpieczeństwo i odpowiednią poufność, w tym między innymi ochronę przed nieuprawnionym dostępem do nich.

Opisana wyżej okoliczność polegająca na niezabezpieczeniu hasłem jednego

z portów pomocniczej bazy indeksów znajdującej się w chmurze spowodowała, że dane osobowe uczestnika postepowania zostały ujawnione podmiotom do tego nieuprawnionym. W przedmiotowej sprawie nie doszło do złamania zabezpieczeń, lecz do ich niezastosowania polegającego na niezabezpieczeniu hasłem dostępu do bazy danych osobowych, tym samym zaś na umożliwieniu dostępu do nich i finalnie ich ujawnieniu, a więc przetworzeniu.

Nie można zgodzić się z zarzutem Spółki, że ujawnienie danych osobowych, które miało miejsce w niniejszej sprawie, nie było przetworzeniem danych w myśl przepisów RODO. Zgodnie bowiem z art. 4 pkt 2 RODO "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Ujawnienie danych osobowych, o którym mowa w powołanym wyżej art. art. 4 pkt 2 RODO, nie musi być wynikiem zaplanowanej operacji i nie musi być równoznaczne

z działaniem (aktywnością) takim jak przesłanie, czy rozpowszechnienie (aktywne dzielenie się danymi). Może ono polegać także na innego rodzaju udostępnieniu poprzez umożliwienie dostępu do danych. Do takiej sytuacji niewątpliwie doszło w realiach rozpoznanej sprawy. Chybione jest zatem stanowisko Spółki, która zmierza do wykazania, że ujawnienie danych osobowych uczestnika postępowania, o którym mowa w zaskarżonej decyzji, nie stanowi ich udostępnienia i w konsekwencji przetworzenia.

Poprzez opisane wyżej ujawnienie danych osobowych uczestnika postępowania doszło do ich przetworzenia i to ono było przedmiotem postępowania prowadzonego przez PUODO. Kluczowe dla oceny takiego przetworzenia było zaś znalezienie dającej do tego podstawy prawnej, której - zgodnie z ustaleniami PUODO - nie było. Sąd taką ocenę podziela.

W świetle przepisów RODO przetwarzanie danych osobowych uważa się bowiem za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 RODO, a mianowicie: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów, b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Żadna z powyższych przesłanek nie została w niniejszej sprawie spełniona.

Prawidłowo zatem organ uznał, że Spółka dopuściła się naruszenia art. 6 ust. 1

w zw. z art. 5 ust. 1 lit. f RODO poprzez ujawnienie danych osobowych uczestnika postępowania podmiotom i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy świadczącego usługi cyfrowego archiwum. W związku z powyższym. PUODO korzystając z przysługującego mu uprawnienia określonego w art. 58 ust. 2 lit. b RODO udzielił Spółce upomnienia.

Zastosowane przez organ uprawnienie naprawcze w postaci upomnienia,

w stosunku do ujawnionego naruszenia nie przekroczyło zasady proporcjonalności.

Wskazać należy, że jest to jeden z najłagodniejszych środków stosowanych przez PUODO. Organ pomimo tego, że nie poświęcił więcej uwagi w uzasadnieniu decyzji wyjaśnieniu proporcjonalności zastosowanego środka do stwierdzonej nieprawidłowości w przetwarzaniu danych osobowych nie przekroczył zasad proporcjonalności. W stanie faktycznym sprawy mamy do czynienia z rażącym brakiem zastosowania zabezpieczeń jakim jest niezabezpieczenie hasłem jednego z portów pomocniczej bazy indeksów znajdującej się w chmurze. Nadto, spowodowało to nieuprawnione połączenie z bazą, których charakterystyka wskazywała na kopiowanie zawartości bazy danych. Pierwsze połączenie nastąpiło z adresu [...] dnia [...] kwietnia 2020 r. pomiędzy godz. 19:22 a godz. 20:58. Aktywność ta może wskazywać na skopiowanie danych o rozmiarze ok. 5 MB. Natomiast drugie połączenie trwało od [...] kwietnia 2020 r. godz. 23:00 do [...] kwietnia 2020 r. godz. 04:06 i nastąpiło za pośrednictwem komputera lub serwera zdefiniowanego numerem [...]. W jego wyniku mogło dojść do pobrania danych o wolumenie ok. 11 GB. Doszło zatem do ujawnienie danych osobowych uczestnika postępowania podmiotom i osobom do tego nieupoważnionym podczas operacji przetwarzania danych na serwerze zewnętrznego dostawcy. Powyższe incydenty doprowadziły do naruszenia poufności danych osobowych uczestnika postępowania w zakresie imienia i nazwiska oraz numeru PESEL. Ponadto, o doniosłości naruszenia świadczy także treść postanowienia Prokuratury Okręgowej w G. o umorzeniu dochodzenia z dnia [...] kwietnia 2021 r. w sprawie sygn. akt [...]. W treści postanowienia wskazano, że "Dane personalne klientów Skarżącej poprzez błąd ludzki zostały pozostawione na niebezpiecznym serwerze danych, skąd dwukrotnie skutecznie pobrane przez określone w postanowieniu osoby."

Sąd uznał zatem, że skarga nie jest zasadna, gdyż zaskarżona decyzja nie narusza norm prawa materialnego czy procesowego. Organ prawidło ustalił stan faktyczny sprawy, w wystarczający sposób zebrał i ocenił materiał dowodowy,

a następnie w przekonywujący sposób uzasadnił swoje rozstrzygnięcie. Postępowanie administracyjne zostało przeprowadzone zgodnie z zasadami ogólnymi k.p.a.,

a w szczególności art. 7, art. 8, art. 11 k.p.a., a także innymi normami, zwłaszcza art. 77 i art. 80 k.p.a., a zaskarżone rozstrzygnięcie zostało oparte na prawidłowej interpretacji norm prawa materialnego.

Mając powyższe na względzie Sąd na podstawie art. 151 p.p.s.a. oddalił skargę.