Wyrok WSA w Warszawie, sygn. akt II SA/Wa 2485/21
Wojewódzki Sąd Administracyjny w Warszawie
Data orzeczenia: 2022-05-31 00:00:00+02:00 (orzeczenie nieprawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Oddalono skargę

SENTENCJA

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska, Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Iwona Maciejuk (spr.), , Protokolant starszy sekretarz sądowy Agnieszka Wiechowicz, po rozpoznaniu na rozprawie w dniu 31 maja 2022 r. sprawy ze skargi I. Sp. z o.o. w likwidacji z siedzibą w W. na pkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę.


UZASADNIENIE

Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] maja 2021 r.

nr [...] na podstawie art. 104 § 1, art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735), zwanej dalej k.p.a., w zw. z art. 7 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz na podstawie art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f i art. 58 ust. 2 lit. b Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej RODO, po przeprowadzeniu postępowania administracyjnego w sprawie skargi K. W. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez I. Sp. z o.o. w likwidacji z siedzibą w W. polegające na udostępnieniu przez Spółkę danych osobowych wymienionego podmiotom nieuprawnionym, w punkcie 1. udzielił upomnienia I. Sp. z o.o. w likwidacji z siedzibą w W. za naruszenie art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. f RODO, polegające na udostępnieniu bez podstawy prawnej danych osobowych K. W. podmiotom nieuprawnionym; w punkcie 2. w pozostałym zakresie umorzył postępowanie.

W uzasadnieniu Prezes UODO wskazał, że ustalił następujący stan faktyczny: 1. Wnioskodawca w treści skargi wskazał, że Spółka bez jego wiedzy i zgody w dniach [...] marca 2020 r. udostępniła jego dane osobowe podmiotom nieuprawnionym, informując go o tym za pośrednictwem smsów (z dnia [...],[...] i [...] marca 2020 r.) i wiadomości e-mail (z dnia [...] i [...] marca 2020 r.). Wobec powyższego wnioskodawca zwrócił się z żądaniem usunięcia jego danych osobowych w bazy danych Spółki 2. Jak wyjaśniła Spółka cyt.: "(...) dane osobowe udostępnione w skardze, tj. imię i nazwisko, PESEL oraz miejsce zamieszkania Skarżącego już na tamten moment uniemożliwiały zweryfikowanie, czy dane osobowe Skarżącego znajdują łub znajdowały się w bazie danych Spółki. Powyższe mogło wynikać z faktu, że Skarżący utworzył konto użytkownika na portalu [...] podając niezbędne do tego celu numer telefonu komórkowego oraz adres e-mail, ale nie dokończył rejestracji, tj. nie podał dalszych danych, m.in. imienia i nazwiska oraz numeru PESEL (...)". 3. Spółka wskazała, że cyt.: "(,..) W związku z brakiem możliwości odnalezienia danych osobowych Skarżącego w bazie danych, nie jesteśmy w stanie stwierdzić, czy dane Skarżącego zostały objęte naruszeniem. Osobom, których dane zostały objęte naruszeniem, wysyłano m.in. wiadomość e-mail z [...] marca 2020 r. (...) Komunikaty wysyłano na podstawie art. 6 ust. 1 lit. c RODO w zw. z obowiązkami zarządzania naruszeniem ochrony danych wynikającymi z art. 32 ust. 1 oraz art. 34 RODO (...)". 4. Spółka w wiadomości email z dnia [...] marca 2020 r. wskazała, iż błąd pracownika

podmiotu, któremu Spółka powierzyła przetwarzanie danych osobowych wnioskodawcy polegał na braku zabezpieczenia danych osobowych Skarżącego w okresie od dnia [...] marca 2020 r. przez podmiot współpracujący ze Spółką w zakresie imię, nazwisko, PESEL, serię i numer dokumentu tożsamości, NIP, obywatelstwo, miejsce urodzenia, numer rachunku bankowego, adres korespondencyjny, adres zameldowania, adres e-mail, numer telefonu stacjonarnego, numer telefonu komórkowego, poprzedni numer telefonu komórkowego (jeśli uległ zmianie), numer telefonu pracodawcy, adres e-mail osoby, której klient rekomendował pożyczkę (jeśli rekomendował), nazwę pracodawcy, zatrudnienie (rodzaj umowy), przychód miesięczny netto, źródło przychodu, ilość osób pozostających na utrzymaniu, stan cywilny, wykształcenie, hasło do profilu klienta na [...]. 5. Spółka wyjaśniła, iż ze względu na usunięcie danych osobowych Skarżącego, nie jest w stanie w chwili obecnej jednoznacznie stwierdzić, czy dane wnioskodawcy byty objęte naruszeniem. Jednakże wskazuje, iż jeśli wnioskodawca został poinformowany o naruszeniu ochrony danych, to jego dane osobowe zostały najprawdopodobniej objęte przedmiotowym. 6. Jak wskazała Spółka udostępniła ona dane osobowe wnioskodawcy podmiotom współpracującym ze Spółką, na podstawie zawartych w trybie art. 28 RODO umów powierzenia przetwarzania danych osobowych z [...] Sp. z o. o. z siedzibą w [...] na [...], dalej jako [...] podmiotowi należącemu do tej samej grupy kapitałowej co Spółka, odpowiedzialnej m.in. za obsługę strony internetowej www.[...], w tym aplikacji służącej do składania wniosków o pożyczkę oraz systemu obsługi klienta (CRM) oraz [...] S.A. z siedzibą w [...] —podmiotowi, od którego Spółka dzierżawi wirtualną powierzchnię dyskową (serwery). 7. Spółka wskazała, iż podmiotem, którego pracownik popełnił błąd skutkujący naruszeniem ochrony danych, jest [...].

Prezes UODO, mając na uwadze ten stan faktyczny, wskazał, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Organ wskazał, że na administratorze danych osobowych, którym w rozumieniu art. 4 pkt 7 RODO jest Spółka, ciąży obowiązek prawny przetwarzania danych osobowych zgodnie z obowiązującymi przepisami, a w szczególności obowiązek zapewnienia by przetwarzanie odbywało się na podstawie co najmniej jednej z enumeratywnie wymienionych przesłanek art. 6 ust. 1 RODO. Organ wskazał też, że art. 5 ust. 1 lit. f RODO nakłada na administratora danych obowiązek przetwarzania danych osobowych zgodnie z zasadą integralności i poufności. Oznacza to, że administrator powinien zapewnić odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. Podał, że zgodnie z art. 28 ust. 1 RODO to na administratorze spoczywa obowiązek wyboru takiego podmiotu przetwarzającego który zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi ww. rozporządzenia i chroniło prawa osób, których dane dotyczą. Organ podał, że w złożonych wyjaśnieniach Spółka wskazała, że osobom, których dane zostały objęte naruszeniem, wysyłano m.in. wiadomość e-mail z [...] marca 2020 r.

Prezes UODO stwierdził, że zebrany w sprawie materiał dowodowy wykazał, iż wnioskodawca otrzymała od Spółki zarówno wiadomości SMS w przedmiocie automatycznej zmiany hasła wynikającego ze względów bezpieczeństwa, jak i również wiadomość email z dnia [...] marca 2020 r., informującą o tym, iż jego dane osobowe zapisane na koncie użytkownika założonego za pośrednictwem strony internetowej www. www.[...] zostały ujawnione osobie trzeciej na skutek błędu pracownika podmiotu, któremu Spółka powierzyła przetwarzanie jego danych osobowych. Spółka w ww. wiadomości email wskazała również, iż błąd ten polegał na braku zabezpieczenia danych osobowych wnioskodawcy w okresie od dnia [...] marca 2020 r. przez podmiot współpracujący ze Spółką w zakresie imię, nazwisko, PESEL, serię i numer dokumentu tożsamości, NIP, obywatelstwo, miejsce urodzenia, numer rachunku bankowego, adres korespondencyjny, adres zameldowania, adres e-mail, numer telefonu stacjonarnego, numer telefonu komórkowego, poprzedni numer telefonu komórkowego (jeśli uległ zmianie), numer telefonu pracodawcy, adres e-mail osoby, której klient rekomendował pożyczkę (jeśli rekomendował), nazwę pracodawcy, zatrudnienie (rodzaj umowy), przychód miesięczny netto, źródło przychodu, ilość osób pozostających na utrzymaniu, stan cywilny, wykształcenie, hasło do profilu klienta na [...].

Prezes UODO stwierdził, że w zakresie powyższego udostępnienia nie została spełniona żadna z przesłanek legalizujących proces przetwarzania danych osobowych określonych w art. 6 ust. 1 RODO. Ustalone powyżej okoliczności potwierdzają w ocenie organu, że w przedmiotowej sprawie doszło do udostępnienia danych osobowych wnioskodawczyni na rzecz nieznanego nieuprawnionego odbiorcy, co nie znajdowało oparcia w żadnej z przesłanek legalizujących proces przetwarzania danych osobowych, wyrażonych w art. 6 ust. 1 RODO.

Niezależnie od powyższego, organ wskazał również, że w niniejszym postępowaniu zainicjowanym indywidualną skargą organ właściwy do spraw ochrony danych osobowych może dokonać wyłącznie oceny legalności przetwarzania danych. Natomiast ogólne, stosowane przez administratora danych w procesach ich przetwarzania praktyki, w tym sposoby zabezpieczeń, jak również ich adekwatność oraz skuteczność mogą być jedynie przedmiotem postępowania wszczętego przez organ z urzędu. Powołał się na wyrok WSA w Warszawie z dnia 7 stycznia 2016 r. sygn. akt II SA/Wa 1238/15. Organ zaznaczył, że skarga do Prezesa UODO nie służy dokonywaniu kontroli zabezpieczenia danych na wniosek osoby, której dane dotyczą. Funkcją skargi jest egzekwowanie przestrzegania przepisów o ochronie danych osobowych w operacjach przetwarzania danych, które bezpośrednio wpływają na osobę, której przetwarzane dane dotyczą. Ocena prawidłowości zabezpieczeń następuje zatem wyłącznie w postępowaniu wszczętym przez organ z urzędu. Przyjęcie przeciwnego stanowiska oznaczałoby de facto możliwość zapoznania się przez wnioskodawcę, w ramach postępowania przed organem, ze sposobem zabezpieczenia danych (w tym danych innych osób) przez administratora danych osobowych, co samo w sobie zmniejsza poziom ochrony danych oraz może zwiększyć ryzyko naruszenia ochrony danych osobowych. Postępowanie prowadzone przez Prezesa UODO nie jest zatem ukierunkowane na pozyskanie informacji na temat stosowanych przez administratora danych zabezpieczeń oraz na przekazanie tychże informacji na rzecz osób fizycznych, zainteresowanych sprawą.

Organ wskazał, że na podstawie art. 58 ust. 2 RODO przysługują mu uprawnienia naprawcze, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania (lit. b). Mając powyższe na uwadze. Prezes Urzędu uznał, że w realiach niniejszej sprawy, z uwagi na charakter przedmiotowego udostępnienia, właściwe jest zastosowanie wobec Spółki upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 6 ust. 1 RODO w zw. z art. 5 ust. 1 lit. f, gdyż przetwarzanie danych osobowych wnioskodawcy, polegające na udostępnieniu w dniach 3-14 marca 2020 roku danych osobowych wnioskodawcy na rzecz nieznanej i nieuprawnionej osoby stanowiło naruszenie norm z zakresu ochrony danych osobowych.

Jednocześnie organ powołując się na art. 105 § 1 k.p.a. wskazał, że zgodnie z żądaniem zawartym w skardze Spółka usunęła dane osobowe wnioskodawcy. W związku z usunięciem tych danych i nieposiadaniem przez Spółkę informacji dotyczących przetwarzania danych osobowych wnioskodawcy, nie można uznać że poza potwierdzonym w niniejszym postępowaniu udostępnieniem jego danych osobowych podmiotom nieuprawnionym, kwestionowany przez niego proces przetwarzania jego danych osobowych bez podstawy prawnej zaistniał. Wobec powyższego postępowanie w tym zakresie stało się bezprzedmiotowe i podlega umorzeniu.

Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2021 r.

nr [...] w zakresie jej punktu 1 stała się przedmiotem skargi I. Sp. z o.o. w likwidacji z siedzibą w W., reprezentowanej przez adwokata, do Wojewódzkiego Sądu Administracyjnego w Warszawie. Pełnomocnik wnosząc o uchylenie punktu 1 zaskarżonej decyzji i zasądzenie, na podstawie art. 200 P.p.s.a., zwrotu kosztów postępowania według norm przepisanych zarzucił:

1) naruszenie przepisów prawa materialnego, mające istotny wpływ na wynik sprawy, tj. art. 6 ust. 1 RODO, polegające na błędnym przyjęciu, że art. 6 ust 1 RODO miał w niniejszej sprawie zastosowanie w zakresie podstawy prawnej udostępnienia danych, podczas gdy incydent polegający na cyberataku na bazę danych oraz uzyskanie dostępu do niej przez nieznaną osobę trzecią nie oznacza, że Skarżąca udostępniła dane osobowe na rzecz nieznanej osoby trzeciej.

2) naruszenie przepisów prawa materialnego, mające wpływ na wynik sprawy, tj. art. 6 ust. 1 oraz art. 5 ust. 1 lit. f RODO, polegające na błędnym przyjęciu, że ważność podstawy prawnej przetwarzania danych zależy od odpowiedniego zabezpieczenia danych osobowych, podczas gdy zasada zgodności z prawem (art. 5 ust. 1 lit. a RODO) jest niezależna od zasady integralności i poufności (art. 5 ust. 1 lit. f RODO), zaś ewentualne naruszenie wymogów bezpieczeństwa, np. art. 32 RODO nie oznacza automatycznie, że dane były przetwarzane bez ważnej podstawy prawnej.

3) naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 6, 7, 8 § 1, art. 77 § 1 oraz art. 80 k.p.a. polegające na braku zgromadzenia materiału dowodowego pozwalającego uznać naruszenie zasady integralności i poufności oraz niezgodne z prawem przetwarzanie danych osobowych przez Skarżącą za udowodnione.

4) naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 8 ust. 1 i 2, art. 77 § 1 i 4 i art. 110 § 1 k.p.a. poprzez całkowity brak uwzględnienia znanego z urzędu faktu, że działanie Skarżącej będące w istocie przedmiotem skargi K. W. do Prezesa UODO, tzn. rzekome nieadekwatne zabezpieczenie przez Skarżącą bazy danych osobowych użytkowników portalu [...], było już przedmiotem decyzji Prezesa UODO z dnia [...] grudnia 2020 r., sygn. akt [...], do którego to postępowania Skarżąca odwoływała się w swoich pismach procesowych (sprawa na etapie WSA w Warszawie, sygn. II SA/Wa 528/21), jak również jest przedmiotem szeregu podobnych postępowań w sprawach indywidualnych, co prowadzi do wielokrotnej oceny tego działania lub zaniechania, wielokrotnego nakładania sankcji w rożnych postępowaniach, jak również wprowadzenie do obrotu prawnego sytuacji, w których jeden i ten sam incydent w części spraw jest uznany za naruszenie przez Skarżącą przepisów prawa, a w innych nie.

W uzasadnieniu pełnomocnik rozszerzył argumentację w zakresie podniesionych zarzutów. Wskazał m.in., że udostępnianie danych osobowych jest z definicji działaniem aktywnym, tzn. polega na czynnym umożliwieniu dostępu do danych osobowych na rzecz odbiorcy. O nieuprawnionym udostępnieniu danych osobowych, można byłoby mówić, gdyby Skarżąca aktywnie przesłała dane osobowe będące przedmiotem postępowania stronom trzecim, nie posiadając w tym zakresie ważnej podstawy prawnej. Podobnie, nie można mówić o nieuprawnionym ujawnieniu danych osobowych przez Skarżącą.

Zdaniem pełnomocnika zdarzenie ocenione przez Prezesa UODO jako naruszenie art. 6 ust. 1 RODO (tzn. uzyskanie przez nieznaną osobę nieuprawnionego dostępu do bazy danych użytkowników portalu [...] w drodze cyberataku) nie stanowiło przetwarzania danych osobowych przez Skarżącą, a zatem art. 6 ust. 1 RODO w ogóle nie miał w tej sprawie zastosowania. Podał, że istnieje zasadnicza różnica między udostępnieniem danych osobowych bez podstawy prawnej (przez Skarżącą), a nieuprawnionym dostępem do danych osobowych (przez cyberprzestępców) - w niniejszej sprawie miał miejsce ten drugi przypadek. Pełnomocnik podniósł, że zdarzenie ocenione przez Prezesa UODO jako naruszenie art. 6 ust. 1 RODO stanowiło naruszenie bezpieczeństwa prowadzące do nieuprawnionego dostępu do danych osobowych, a zatem należało je zakwalifikować jako naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO. Z tej perspektywy Prezes UODO mógł co najwyżej, zdaniem pełnomocnika, rozważyć poziom zabezpieczenia danych osobowych w świetle art. 5 ust. 1 lit. f lub art. 32 RODO, nie zaś oceniać podstawy prawne przetwarzania danych osobowych. Z kolei jak sam Prezes UODO wskazał w swojej decyzji, "(...) sposoby zabezpieczeń, jak również ich adekwatność oraz skuteczność mogą być jedynie przedmiotem postępowania wszczętego przez organ z urzędu''.

Pełnomocnik wskazał też m.in., że Prezes UODO nie uzasadnił w swojej decyzji, dlaczego jego zdaniem istnieje możliwość zastosowania art. 6 ust. 1 RODO w zw. z art. 5 ust. 1 lit. f RODO. Ewentualny brak ważnych podstaw prawnych przetwarzania danych osobowych w rozumieniu art. 6 lub art. 9 RODO może skutkować co najwyżej naruszeniem zasady zgodności z prawem, tzn. art. 5 ust. 1 lit. a RODO. Nie ma to żadnego związku z zasadą integralności i poufności - jej naruszenie można stwierdzić w powiązaniu z art. 32 RODO, który ustanawia obowiązek stosowania odpowiednich środków bezpieczeństwa.

Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując stanowisko zawarte w zaskarżonej decyzji. Organ odniósł się do zarzutów skargi. Wskazał m.in., że w niniejszym postępowaniu organ ochrony danych osobowych rozpatrywał indywidualną skargę K. W., zaś zebrany w sprawie materiał dowodowy odnosił się wyłącznie do okoliczności związanych z nieprawidłowościami w procesie przetwarzania danych osobowych ww. Skarżącej. Postępowanie zaś o sygn. akt [...] było postępowaniem wszczętym z urzędu, w wyniku zgłoszenia przez Spółkę do Prezesa Urzędu Ochrony Danych Osobowych naruszenia ochrony danych osobowych klientów Spółki, zatem wyłącznie Spółka mogła być stroną takiego postępowania. Organ przywołał art. 77 ust. 1 RODO. Wskazał, że postępowanie administracyjne zainicjowane skargą osoby, której dane dotyczą jest odrębnym postępowaniem, wynikającym z ustanowionego w art. 77 ust. 1 RODO prawa osoby, której dane dotyczą. W postępowaniu takim badany jest wyłącznie skarżony proces przetwarzania danych osoby, która złożyła skargę. Zgłoszenie przez Spółkę do Prezesa Urzędu Ochrony Danych Osobowych naruszenia ochrony danych osobowych klientów Spółki, nie wyłącza wbrew temu, co twierdzi Spółka, prawa osoby, której dane dotyczą do wniesienia skargi, o której mowa w art. 77 ust. 1 RODO. Wskazał, że postępowanie dotyczące zgłoszenia przez administratora naruszenia ochrony danych osobowych nie jest zatem tożsame z postępowaniem prowadzonym w wyniku wniesienia do organu nadzorczego skargi przez osobę, której dane dotyczą. Postępowania określone powyżej regulowane są w odrębnych przepisach RODO i różnią się przedmiotem postępowania. Organ podniósł m.in., że sama Spółka wskazuje na różnice pomiędzy powyższymi postępowaniami i fakt, że w sprawie o sygnaturze [...] badane były zabezpieczenia stosowane przez Spółkę w procesie przetwarzania danych osobowych, natomiast w niniejszym postępowaniu, co jednoznacznie wynika także z treści decyzji, powyższe nie miało (i nie mogło mieć) miejsca.

W piśmie procesowym z dnia [...] sierpnia 2021 r. stanowiącym replikę na odpowiedź na skargę, pełnomocnik skarżącej podtrzymał skargę. Wskazał m.in., że przedmiotem niniejszego postępowania i złożonej przez Skarżącą skargi jest decyzja Prezesa UODO, w treści której, zostało wskazane, że w toku postępowania nie dokonano zbadania środków bezpieczeństwa stosowanych przez Skarżącą. Jeżeli zatem nie dokonano oceny adekwatności zastosowanych przez Skarżącą środków technicznych i organizacyjnych mających na celu ochronę przetwarzanych przez nią danych osobowych, nie można uznać, że zgromadzony materiał dowodowy jest wystarczający do stwierdzenia naruszenia zasady integralności i poufności, wyrażonej w art. 5 ust. 1 lit. f RODO. Pełnomocnik podtrzymał także podniesiony w skardze zarzut niewłaściwego zastosowania art. 6 ust. 1 RODO, jako niemającego zastosowania w niniejszej sprawie. Odnosząc się do, argumentacji Prezesa UODO wskazał, iż nieuprawniony dostęp do danych osobowych stanowi naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO, a nie przetwarzanie danych przez administratora w rozumieniu art. 4 pkt 2 RODO.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.

Skarga nie podlegała uwzględnieniu.

Zaskarżona w zakresie punktu 1 decyzja Prezesa UODO nie narusza przepisów postępowania, w tym powołanych w skardze przepisów art. 6, art. 7, art. 8, art. 77 § 1, § 4, art. 80, jak również art. 110 § 1 k.p.a. Organ w sposób wyczerpujący i wystarczający dla rozstrzygnięcia niniejszej sprawy (zainicjowanej wnioskiem K. W.) zebrał niezbędny materiał dowodowy. Dokonana przez organ ocena tego materiału dowodowego nie była dowolna. Także uzasadnienie zaskarżonej decyzji spełnia wymogi art. 107 § 3 k.p.a. i nie pozostawia wątpliwości dlaczego organ rozstrzygnął sprawę w punkcie 1 decyzji w sposób w nim określony. Sąd nie stwierdził w tej sprawie również naruszenia przepisu art. 6 ust. 1 RODO, który to przepis organ prawidłowo zastosował, zasadnie kwalifikując ujawnienie jako udostępnienie bez podstawy prawnej danych osobowych K. W. podmiotom nieuprawnionym, dające podstawę do udzielenia upomnienia.

W sprawie jest bezsporne, że K. W. otrzymał od Spółki (Skarżącej) zarówno wiadomości SMS, w przedmiocie automatycznej zmiany hasła wynikającego ze względów bezpieczeństwa, jak również wiadomość email z dnia [...] marca 2020 r., informującą wnioskodawcę o tym, że jego dane osobowe zapisane na koncie użytkownika założonego za pośrednictwem strony internetowej www.[...] zostały ujawnione osobie trzeciej na skutek błędu pracownika podmiotu, któremu Spółka powierzyła przetwarzanie jej danych osobowych. Spółka w ww. wiadomości email wskazała, jak podał w decyzji Prezes UODO, na czym polegał błąd i o jaki zakres danych osobowych wnioskodawcy w sprawie chodzi.

W stanie faktycznym tej sprawy nie ma wątpliwości co do tego, że nastąpiło ujawnienie danych osobowych K. W. osobie trzeciej.

Wbrew twierdzeniom skargi złożonej do Sądu, ujawnienie danych osobowych konkretnej osoby fizycznej podmiotowi trzeciemu zasadnie potraktowane zostało przez Prezesa UODO jak udostępnienie danych osobowych w rozumieniu RODO. Trafnie Prezes UODO potraktował to ujawnienie danych osobowych wnioskodawcy jako jeden z rodzajów "operacji" wykonywanych na danych osobowych.

Zgodnie z art. 4 pkt 2 RODO, "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Ujawnienie danych osobowych może mieć miejsce nie tylko poprzez zaplanowane działanie administratora, tj. zamierzone przesłanie ich do innego podmiotu (gdy istnieje nadto do tego podstawa prawna), ale również poprzez innego rodzaju

ich udostępnienie. Każde ujawnienie (udostępnienie) danych osobowych stanowi ich przetwarzanie w rozumieniu RODO.

Argumentacja skargi zmierzająca do wykazania, że ujawnienie danych osobowych wnioskodawcy, o którym mowa w zaskarżonej decyzji, nie stanowi

ich udostępnienia, nie jest trafna na gruncie RODO.

Podkreślenia wymaga jednocześnie, że aby można było mówić o zgodnym

z prawem przetwarzaniu danych osobowych, w tym ich udostępnieniu (ujawnieniu), konieczne jest istnienie jednej z przesłanek legalizujących proces przetwarzania

(a zatem ujawniania, udostępniania) danych osobowych, o których mowa w art. 6 ust. 1 RODO.

Zgodnie z powołanym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden

z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

Trafnie Prezes UODO wskazał w decyzji, że ustalone w sprawie okoliczności faktyczne potwierdzają, iż w sprawie doszło do udostępnienia danych osobowych K. W. na rzecz nieznanego nieuprawnionego odbiorcy, co nie znajdowało oparcia w żadnej z przesłanek legalizujących proces przetwarzania danych osobowych, określonych w art. 6 ust. 1 RODO.

Odnosząc się do skargi Spółki podkreślenia wymaga, że sprawa niniejsza

nie dotyczy stosowanych przez skarżącą Spółkę sposobów zabezpieczeń danych osobowych i ich skuteczności.

Postępowanie prowadzone przez Prezesa UODO w niniejszej sprawie dotyczyło wyłącznie oceny zgodności z prawem przetwarzania (ujawnienia) danych osobowych wnioskodawcy podmiotowi nieuprawnionemu i z jego inicjatywy było prowadzone.

Wbrew twierdzeniom skargi, zaskarżona do Sądu decyzja z dnia [...] maja 2021 r. nie rozstrzyga sprawy już poprzednio rozstrzygniętej inną decyzją administracyjną,

tj. decyzją z dnia [...] grudnia 2020 r., na którą to decyzję powołuje się Spółka. Sądowi

z urzędu znany jest wyrok WSA w Warszawie z dnia 5 października 2021 r. sygn. akt II SA/Wa 528/21 (nieprawomocny).

Podnieść jednocześnie należy, że za nietrafne Sąd uznał powołanie się przez organ w zaskarżonej decyzji z dnia [...] maja 2021 r. na art. 5 ust. 1 lit f RODO, albowiem kwestia oceny bezpieczeństwa danych, w tym ich ochrony, w aspekcie, o jakim mowa w tym przepisie nie była przedmiotem niniejszej sprawy. Jednakże to błędne powołanie się na art. 5 ust. 1 lit f w zaskarżonej decyzji nie waży na wyniku sprawy, jak również nie daje podstaw do stwierdzenia, iż organ wielokrotnie stosuje sankcję za jedno naruszenie.

Stwierdzenie organu w decyzji, że nastąpiło naruszenie RODO (w tym przypadku art. 6 ust. 1 RODO) polegające na udostępnieniu bez podstawy prawnej danych osobowych K. W. podmiotom nieuprawnionym jest – w stanie faktycznym tej sprawy – trafne i wystarczające do zastosowania art. 58 ust. 2 lit. b RODO. Ustalenie naruszenia art. 6 ust. 1 RODO pozostaje w związku z zasadą wyrażoną w art. 5 ust. 1 lit. a RODO, zgodnie z którym dane osobowe muszą być przetwarzane zgodnie z prawem, (...). Okoliczność niepowołania przez organ art. 5 ust. 1 lit. a RODO, a błędnego powołania art. 5 ust. 1 lit. f RODO nie daje podstaw do wyeliminowania zaskarżonej decyzji z obrotu prawnego.

Zwrócić trzeba przy tym uwagę, że innym postępowaniem jest postępowanie w ramach którego dokonywana jest ocena prawidłowości stosowania przepisów sekcji 1 (Obowiązki ogólne) czy sekcji 2 (Bezpieczeństwo danych osobowych) rozdziału IV RODO, czego w tej sprawie organ nie dokonywał, a innym rozpatrywanie przez organ indywidualnej skargi wniesionej przez osobę, której dane dotyczą w zakresie zgodności przetwarzania jej danych z przepisami RODO.

Zgodnie z art. 77 ust. 1 RODO, bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie.

K. W. miał prawo wystąpić do Prezesa UODO z indywidualną skargą podnosząc kwestię niezgodnego z przepisami RODO przetwarzania (tj. ujawnienia) podmiotom nieuprawnionym jego danych osobowych przez administratora.

Zasadnie Prezes UODO prowadził zatem to postępowanie i rozstrzygnął

je decyzją udzielając w punkcie 1 upomnienia Skarżącej Spółce za naruszenie RODO polegające na udostępnieniu bez podstawy prawnej danych osobowych K. W. podmiotowi nieuprawnionemu. Zastosowanie przez Prezesa UODO

art. 58 ust. 2 lit b) RODO, tj. udzielenie Spółce upomnienia wobec stwierdzonego naruszenia przepisów RODO przez operację przetwarzania (ujawnienia, udostępnienia) danych nie narusza prawa. Raz jeszcze wskazania wymaga, że sprawa niniejsza nie rozstrzygała o stosowanych środkach technicznych i organizacyjnych w zakresie bezpieczeństwa danych. Osoba fizyczna, której dane zostały ujawnione miała prawo domagać się od Prezesa UODO rozpatrzenia jej sprawy i stwierdzenia naruszenia przepisów RODO w zakresie przetwarzania jej danych osobowych.

Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2022 r., poz. 329), orzekł jak w wyroku.