Uzasadnienie
Przedmiotem skargi kasacyjnej wniesionej w niniejszej sprawie przez Prezesa Urzędu Ochrony Danych Osobowych jest wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 28 lipca 2023 roku, sygn. akt II SA/Wa 515/23, którym po rozpatrzeniu sprawy ze skargi [...] S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 10 stycznia 2023 r. nr ZSPR.440.1307.2019 w przedmiocie przetwarzania danych osobowych, uchylno zaskarżoną decyzję oraz zasądzono od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego [...] S.A. z siedzibą w W. kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania.
Powyższy wyrok został wydany w oparciu o następujące ustalenia faktyczne i prawne:
Decyzją z dnia 10 stycznia 2023 roku Prezes Urzędu Ochrony Danych Osobowych – przywołując art. 104 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2022 r., poz. 2000 ze zm.), zwanej dalej "k.p.a.", oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO", wobec skargi A. M., zwanego dalej "Wnioskodawcą", na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] S.A., zwany dalej A. - udzielono A. upomnienia, w związku z naruszeniem art. 5 ust. 1 lit. f oraz art. 24 ust. 1 i art. 32 ust. 1 i 2 RODO, polegającym na niewłaściwym zabezpieczeniu przesyłek zawierających dane osobowe Wnioskodawcy.
W uzasadnieniu decyzji wskazano, że do organu wpłynęła skarga Wnioskodawcy, który wskazał, że doszło dwukrotnie do naruszenia ochrony jego danych osobowych. Pierwszy raz 16 grudnia 2018 r., o czym powiadomiono go pismem A. z 11 stycznia 2019 r. (przesłane listem zwykłym 28 stycznia 2019 r.). Drugi raz po tygodniu od wskazanej daty otrzymał telefon z A., że doszło do kolejnego incydentu. Zawarte w dokumentach bankowych jego dane osobowe - stanowiące zawartość przesyłki dostarczono do centrali A. w uszkodzonej - w otwartej kopercie. W skardze podniesiono, że do naruszenia bezpieczeństwa danych osobowych Wnioskodawcy przez A. doszło dwukrotnie - w ten sam sposób. Informacja, którą Wnioskodawca otrzymał od A., była spóźniona, nadto nie zawierała danych kontaktowych inspektora ochrony danych, nie wskazywała możliwych konsekwencji naruszenia ochrony danych osobowych, ani nie opisywała środków zastosowanych przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych.
Jak wyjaśniał Wnioskodawca, koperta z jego danymi osobowymi dotarła do centrali A. uszkodzona i otwarta, a A. winą za sytuację obarczał podmiot świadczący usługi kurierskie - jako odpowiedzialnego za naruszenie.
Pismem z 30 sierpnia 2019 r. A. wyjaśnił, że - zgodnie z RODO – A. każdorazowo oceniania ryzyko naruszenia praw i wolności osób, których dane dotyczą. Zdarzenia, w ramach których dokumenty Wnioskodawcy z oddziału A. dostarczono do centrali w uszkodzonych kopertach A. ocenił - zgodnie z metodyką opartą na europejskiej metodologii ENISA - jako zdarzenia mogące powodować średnie ryzyko naruszenia praw i wolności Wnioskodawcy. Dlatego A. nie zgłosił tych incydentów do Prezesa Urzędu Ochrony Danych Osobowych. Pomimo jednak, że - zgodnie z przyjętą przez A. metodyką – wskazane naruszenia ochrony danych osobowych oceniono jako zdarzenia mogące powodować średnie ryzyko naruszenia praw i wolności, A. skontaktował się z Wnioskodawcą w celu zawiadomienia o zaistniałych okolicznościach oraz poinformował o ofercie Alert BIK - w ramach rekompensaty. W przypadku zdarzenia, o którym A. powziął informację 18 grudnia 2018 r. - z uwagi na nieskuteczny kontakt telefoniczny z Wnioskodawcą - skierowano doń pismo, informujące o naruszeniu danych osobowych wraz z informacją o możliwości skorzystania z oferty Alert BIK (pocztą tradycyjną).
W przypadku zdarzenia, o którym A. powziął informację 8 lutego 2019 r. Wnioskodawcę poinformowano o naruszeniu danych osobowych oraz o możliwości skorzystania z oferty Alert BIK telefonicznie. A. oświadczył, że - w związku ze wskazanymi naruszeniami - podjął następujące działania w celu niedopuszczenie do zaistnienia w przyszłości naruszeń o podobnym charakterze:
- - skierowano do pracowników oddziałów komunikat przypominający o konieczności oraz sposobach prawidłowego zaklejania kopert,
- - do operatora pocztowego – [...] sp. z o.o., zwanej dalej "Spółką" - skierowano prośbę odnośnie sprawdzania paczek przez kurierów przy ich odbiorze.
Po naruszeniu, o którym A. powziął informację 18 grudnia 2018 r., doprecyzowano sposób prowadzenia ewidencji dokumentów przesyłanych pomiędzy oddziałami a centralą A. - poprzez dodatkowe zbieranie informacji, jakie raporty PDM (raporty wygenerowane w aplikacji wykorzystywanej przez A. m.in. do rejestracji dokumentów przesyłanych z placówki do centrali) znajdowały się w danej przesyłce kurierskiej; skany listów przewozowych wraz z raportami PDM są przechowywane w zasobie sieciowym. Dzięki temu - w przypadku problemów – szybciej można weryfikować zawartość paczek i niezwłocznie podejmować działania, ograniczające ewentualne ryzyko dla podmiotów danych.
Natomiast w dniu 8 sierpnia 2019 r. skierowano do pracowników oddziałów komunikat o obowiązku pakowania dokumentów przygotowanych do wysyłki w dwie koperty.
Natomiast pismem z 8 listopada 2019 r. A. wyjaśnił, że przetwarza następujące dane osobowe Wnioskodawcy, które pozyskał bezpośrednio od niego [...] listopada 2017 r. (w dniu zawarcia umowy rachunków bankowych, karty kredytowej oraz dostępu do usług przez kanały bankowości elektronicznej - dalej jako: "umowa"): imię i nazwisko, PESEL, imię ojca, imię matki, nazwisko rodowe matki, dane widniejące na dokumencie tożsamości, numer telefonu komórkowego, forma zatrudnienia, data urodzenia, stan cywilny, podstawowe obywatelstwo, status rezydencji, miejsce urodzenia, kraj urodzenia, adres zamieszkania, adres korespondencyjny. Dane te pozyskano w celu przygotowania umowy, jak również w związku z jej realizacją. A. aktualnie przetwarza wymienione wcześniej dane osobowe, jak również dotyczące posiadanych przez Wnioskodawcę produktów A. - w tym numer rachunku oraz nazwę i numer karty, numer CIF (numer identyfikacyjny nadawany klientom A.).
W przypadku zdarzenia, o którym A. powziął informację 18 grudnia 2018 r., przesyłka zawierała następujące dane dotycząc wnioskodawcy: imię, nazwisko, numer PESEL, adres zamieszkania, adres do korespondencji, telefon kontaktowy, seria i numer dowodu osobistego. Mając na uwadze powyższe okoliczności, Bank uznał za mało prawdopodobne, aby wskazane naruszenia skutkowały naruszeniem praw i wolności osób, których dane dotyczą.
Dokonując oceny ustalonego stanu faktycznego w niniejszej sprawie oraz stanowiska A. oraz Wnioskodawcy, Organ stwierdził, że niewłaściwe zabezpieczone przesyłki z dnia 18 grudnia 2018r. oraz z dnia 8 lutego 2019 roku, w których znajdowały się dokumenty zawierające dane osobowe wnioskodawcy dotarły do miejsca przeznaczenia uszkodzone. Po stronie A., jako administratora, leżała odpowiedzialność, za prawidłowe przygotowanie, w tym zapakowanie korespondencji kierowanej do klientów, zaś do firmy realizującej transport przesyłki – ich prawidłowe doręczenie. Organ nie zgodził się ze stanowiskiem A., że stwierdzone w niniejszej sprawie zdarzenia należało zakwalifikować jako mogące powodować średnie ryzyko naruszenia praw i wolności Wnioskodawcy. Z uwagi na zawartość danych osobowych w przesyłkach zdarzenie to należy uznać, że naruszenie to ma znaczną wagę i poważny charakter, ponieważ może doprowadzić do szkód majątkowych lub niemajątkowych dla osoby, której dane te dotyczą, a prawdopodobieństwo ich wystąpienia jest wysokie.
Nie jest przy tej ocenie istotne, czy nieuprawniony podmiot faktycznie wszedł w posiadanie tych danych i zapoznał się z nimi, lecz to, że wystąpiło takie ryzyko. W związku z powyższym, zdaniem organu doszło do uchybień ze strony A. polegających na niewłaściwym zabezpieczeniu przesyłek. Danym osobowym dotyczącym wnioskodawcy nie została zapewniona odpowiednia ochrona przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą. W ocenie Organu, A. poprzez brak wypełnienia obowiązku z art. 32 ust. 1 i ust. 2 rozporządzenia 2016/679, uchybił obowiązkom administratora danych osobowych tj. zapewnienia i wykazania zgodności przetwarzania danych z wymaganiami art. 24 ust. 1 powołanego rozporządzenia, co w konsekwencji skutkowało w niniejszej sprawie naruszeniem zasady poufności (art. 5 ust. 1 lit. f rozporządzenia 2016/679). Zdaniem Prezesa Urzędu Ochrony Danych Osobowych, A. jako administrator danych, w sposób niewystarczający dokonał weryfikacji doboru i skuteczności stosowanych środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania danych osobowych znajdujących się w dokumentach przesyłanych za pośrednictwem podmiotu świadczącego usługi kurierskie, co skutkowało naruszeniem art. 24 ust. 1 oraz art. 32 ust. 1 i 2 w zw. z art. 5 ust. 1 lit. f rozporządzenia 2016/679.
Mając na uwadze przestawione okoliczności oraz podjęte przez A. działania naprawcze, a także fakt, iż przekazał wnioskodawcy informacje dotyczące naruszenia i wskazał środki w celu zminimalizowania jego ewentualnych skutków jak i konieczność egzekwowania przepisów rozporządzenia 2016/679, organ stwierdził za konieczne skorzystanie jedynie w niniejszej sprawie z instrumentu o charakterze naprawczym przewidzianego w art. 58 ust. 2 lit. b rozporządzenia 2016/679 tj. udzielenia upomnienia.
W skardze do Sądu I instancji, [...] S.A. w W. wnosząc na podstawie art. 145 § 1 pkt 2 p.p.s.a. w zw. z art. 156 § 1 pkt 4 k.p.a. o stwierdzenie nieważności zaskarżonej decyzji, ewentualnie na podstawie art. 145 § 1 pkt 1 lit. a) i c) p.p.s.a. o jej uchylenie w całości oraz o zasadzenie zwrotu kosztów postępowania sądowego według norm przepisanych, podniósł zarzuty dotyczące naruszenia;
- - a) prawa materialnego:
- - art. 5 ust. 1 lit. f RODO – poprzez jego błędne zastosowanie; przyjęto, że A. doprowadził do naruszenia zasady poufności pomimo braku jakichkolwiek informacji na temat naruszenia poufności danych - jego zakresu, okoliczności, czasu trwania, wskazania podmiotu nieuprawnionego który wszedł w posiadanie danych;
- - art. 4 pkt 2 w zw. z art. 4 pkt 12 RODO - poprzez błędną ich wykładnię; polegała ona na utożsamieniu zdarzenia, stanowiącego skutek naruszenia ochrony danych osobowych (w rozumieniu art. 4 pkt 12 RODO), z operacją przetwarzania danych osobowych (w rozumieniu art. 4 pkt 2 RODO);
- - art. 24 ust. 1 RODO - poprzez jego błędne zastosowanie; przyjęto, że A. nie wdrożył odpowiednich środków technicznych i organizacyjnych uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw i wolności podmiotów danych;
- - art. 28 ust. 3 lit. c RODO - poprzez jego niezastosowanie;
- - art. 58 ust. 2 lit. b RODO poprzez jego błędne zastosowanie do A. i udzielenie mu upomnienia, mimo, że nie dopuścił się on naruszenia przepisów;
- - art. 32 ust. 1 i 2 RODO - poprzez przyjęcie, że A. jest zobowiązany do wdrożenia odpowiednich środków technicznych i organizacyjnych celem zapewnienia odpowiedniego stopnia bezpieczeństwa odpowiadającego ryzyku przetwarzania mimo, że zobowiązania te powinny zostać skierowane do innego podmiotu – Spółki; jest on procesorem zgodnie z powszechnie dostępną dokumentacją,
- - b) przepisów postępowania - art. 7, 77 § 1 i art. 80 k.p.a., polegające na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie; przejawiało się to w uznaniu, że A. niewłaściwie zabezpieczył przesyłki zawierające dane osobowe; doprowadziło to do uznania, że dopuścił się naruszenia przepisów o ochronie danych osobowych (art. 5 ust. 1 lit. f oraz art. 24 ust. 1 i art. 32 ust. 1 i 2 RODO) i - w konsekwencji - udzielenia upomnienia, w myśl art. 58 ust. 2 lit. b RODO.
W szerokim uzasadnieniu rozwinięto powyższe zarzuty.
W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko. Wskazywał m.in., że ewentualnego udostępnienia danych osobowych Wnioskodawcy osobom trzecim - wobec naruszenia integralności przesyłki - nie kwalifikował, wbrew zarzutom skargi, jako przetworzenie danych osobowych przez A., lecz jako zdarzenie "naruszenia ochrony danych osobowych", w rozumieniu art. 4 pkt 12 RODO, określone dalej mianem "incydentu".
W piśmie (k. 136-137) – replice wobec odpowiedzi na skargę – A. podtrzymał zarzuty.
Przestawiając stan faktyczny w niniejszej sprawie należy nadto mieć na uwadze, że pierwsza z wydanych w sprawie decyzji nosząca datę 22 czerwca 2021 roku, którą podobnie jak zaskarżoną na tej samej podstawie prawnej udzielono A. upomnienia została uchylona wyrokiem Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 24 maja 2022 roku, sygn. akt II SA/Wa 2949/21. W uzasadnieniu tegoż wyroku Sąd ten stwierdził, że organ nie wyjaśnił na czym polegało niewłaściwe zabezpieczenie przez A. przesyłek, wskazując jedynie, że dotarły one do miejsca docelowego uszkodzone. Nie wynika z treści zaskarżonej decyzji, czy w sprawie doszło do naruszenia przepisów RODO na skutek braku należytego nadzoru ze strony A., czy też wskutek innych działań banku polegających na niewłaściwym zabezpieczeniu przez A. tychże przesyłek.
Zaskarżonym wyrokiem Wojewódzki Sąd Administracyjny w Warszawie uznając, że skarga zasługuje na uwzględnienie uchylił zaskarżoną decyzję oraz zasądził na rzecz A. od organu zwrot poniesionych kosztów postępowania sądowego, w tym kosztów zastępstwa procesowego.
Na wstępie uzasadnienia zaskarżonego wyroku Sąd I instancji odwołując się także do oceny zawartej w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 24 maja 2022 roku stwierdził, że w istocie nie są sporne ramy prawne rozpoznawanej sprawy - co do brzmienia znajdujących w niej zastosowanie przepisów, powołanych przez organ. Nie jest też w istocie sporny w istotnych elementach stan faktyczny - kwestia naruszenia integralności przesyłek, gdzie znajdowały się określone dane osobowe Wnioskodawcy oraz ich zakres, a także działania, jakie podjął A. w następstwie stwierdzonych nieprawidłowości - wobec Wnioskodawcy oraz wewnątrzorganizacyjne.
Dalej Sąd I instancji stwierdził, że w niniejszej sprawie podlegające ocenie zdarzenia należy zakwalifikować jako nieuprawnione ujawnienie danych osobowych, incydent w rozumieniu art. 4 pkt 12 rozporządzenia i w tym kontekście mogą podlegać ocenie ewentualne zaniechania administratora wobec wymagań RODO. W świetle przepisów tego aktu - trafnie zresztą przywołanych przez organ, z uwzględnieniem poglądów doktryny i judykatury - obowiązki administratora zakreśla powinność analizy ryzyka naruszenia danych oraz podejmowania adekwatnych środków zaradczych – tak sformułowania w RODO:
- - "odpowiednie" bezpieczeństwo w art. 5 ust. 1 lit. f,
- - "odpowiednie" środki techniczne i organizacyjne w art. 24 ust. 1,
- - "odpowiednie" środki techniczne i organizacyjne "uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze" w art. 32 ust. 1 oraz w stosownie powoływanych przez organ motywach z preambuły.
W tym kontekście - skoro ujawnione dwa przypadki mogły stanowić wyłącznie incydenty (co bezsporne) - rolą wyspecjalizowanego organu było ustalenie, czy administrator (A.) dochował należytej staranności w myśl wymagań wskazanych przepisów - aby ograniczyć ryzyko naruszenia bezpieczeństwa danych osobowych jego klienta stosownie do rodzaju danych i ryzyka ich ujawnienia. Jak wskazano w uzasadnieniu uprzedniego orzeczenia - o sygn. akt II SA/Wa 2949/21 - ewentualne niedochowanie należytej staranności mogło dotyczyć braku właściwego zabezpieczenia przesyłek, czy wadliwego doboru operatora pocztowego - którego działania nie gwarantowały ich bezpieczeństwa, pomimo właściwego (adekwatnego do potrzeb) zabezpieczenia.
W takim przypadku nie można uznać, aby w uzasadnieniu zaskarżonego aktu wskazano przesłanki, przemawiające za zastosowaniem sankcji w postaci udzielenia upomnienia, czym uchybiono wymaganiu art. 7, 77 §. 1 art. 80 i 107 § 3 w zw. z art. 8 § 1 i art. 11 K.p.a.). Mogło mieć to więc istotny wpływ na wynik sprawy.
Zdaniem Sądu I instancji argumentacja organu koncentrowała się wyłącznie na samym fakcie naruszenia integralności przesyłek oraz analizie tego skutków - w kontekście zagrożeń, wynikających z ewentualnego nieuprawnionego ujawnienia danych osobowych Wnioskodawcy. W szczególności podkreślano skutki ewentualnego, nieuprawnionego uzyskania i wykorzystania tych danych w kontekście interesu Wnioskodawcy oraz wpływ danej sytuacji na poczucie jego bezpieczeństwa. Co nie ulega jednak wątpliwości, całkowite zabezpieczenie danych osobowych – tak, aby obiektywnie nie było możliwe ich nieuprawnione pozyskanie - nie jest w istocie możliwe, zaś podejmowane kroki winny być wyłącznie adekwatne do okoliczności - rodzaju danych i ryzyka naruszenia ich ochrony. Samo więc stwierdzenie naruszenia integralności danych nie może determinować wniosku o uchybieniu przez administratora powinności, wynikających z RODO.
Podstawowe znaczenie w danej sprawie ma zdaniem Sądu I instancji ocena, czy do danego wydarzenia prowadziło określone zaniechanie A. - wobec powinności zapewnienia stosownego bezpieczeństwa administrowanych danych osobowych. W tym kontekście organ w istocie nie wypowiedział się w ogóle, co do meritum sprawy. Odnotowano, jak zabezpieczane były przesyłki oraz, jakie zmiany wprowadzono po ujawnieniu incydentów - np. zasada pakowanie przesyłek w dodatkowe koperty. Organ nie zajął jednak stanowiska, czy np. - wobec ogólnych ciążących na administratorze powinności oraz przyjętych powszechnie i uznawanych za odpowiednio skuteczne zasad pakowania przesyłek - uprzednie rozwiązania nie były wystarczające, zaś dopiero obecnie stosowane są adekwatne do potrzeb. Bezwzględne zapewnienie bezpieczeństwa danych nie jest bowiem możliwe.
Trafnie zauważa też A. w złożonej skardze, zdaniem Sądu I instancji, że w uzasadnieniu skarżonego aktu nie wskazano na inne uchybienia w kontekście powinności stosownego zabezpieczenia danych w zakresie ich przetwarzania, poprzez dostarczanie treści dokumentów przesyłkami listowymi za pośrednictwem Spółki – np. w kontekście braku właściwego wyboru czy nadzoru nad operatorem, jako podmiotem gwarantującym odpowiednią jakość usług, a więc także bezpieczeństwo przesyłek. Organ nie zakwestionował także stosowanej dotąd przez A. praktyki przesyłania do centrali A. zawierających dane osobowe dokumentów pisemnych, przesyłkami listowymi nie zaś np. ich skanów - przy użyciu środków komunikacji elektronicznej - w kontekście uzasadnionych potrzeb administratora.
Dalej Sąd stwierdził, że w uzasadnieniu skarżonego aktu organ zasadnie wskazywał na wadliwe uznanie przez A., jakoby nie istniało znaczne ryzyko naruszenia danych osobowych Wnioskodawcy wobec niebezpieczeństwa nieuprawnionego ujawnienia jego danych, zawartych w przesyłkach, których integralność naruszono. W danym zakresie zarzuty skargi są chybione. Jednocześnie prawidłowo organ ocenił zastosowane przez A. środki zaradczej - poinformowanie Wnioskodawcy o fakcie naruszenia oraz udostępnienie mu usługi Alert BIK - jako adekwatne.
Z uzasadnienia skarżonego aktu, zdaniem Sądu I instancji nie wynika więc, jakie były faktyczne przesłanki udzielenia upomnienia, co czyni zasadnym zarzuty naruszenia przepisów postępowania w zakresie powinności wyjaśnienia sprawy, czemu należy dać wyraz w uzasadnieniu. Jednocześnie zdaniem Sądu z uwagi na powyższe uchybienie nie jest możliwa ocena pozostałych zarzutów kasacyjnych. W dalszej części uzasadnienia Sąd I instancji wskazał jakie zarzutów skargi należy uznać za bezzasadne. W szczególności zaskarżony akt nie jest dotknięty wadą nieważności. Co wynika z treści jego uzasadnienia, przedmiotem rozważań organu były ewentualnie uchybienia w ramach procesu przetwarzania danych osobowych Wnioskodawcy po stronie A.. Tego, że stosownych zaniechań w kontekście warunków formalnoprawnych oraz okoliczności faktycznych sprawy nie wykazano, nie można kwalifikować jako skierowanie decyzji do osoby, niebędącej stroną w sprawie.
W szczególności z uzasadnienia skarżonej decyzji nie wynika, aby przedmiotem analizy organu były uchybienia po stronie Spółki - np. w kontekście zapewnienia bezpieczeństwa przyjmowanych do dostarczenia przesyłek. Wypowiedzi organu dotyczyły wyłącznie stosownego zabezpieczenia przesyłek przez nadawcę.
Chybione są też wywody skargi, jakoby administratorem danych Wnioskodawcy, do których ujawnienia mogło dojść wobec naruszenia integralności przesyłek była Spółka. Administrowała ona wyłącznie zbiorem danych osobowych przekazanych przez A. w celu doręczenia przesyłek nie zaś tymi, znajdującymi się w przesłanej, zamkniętej korespondencji. Wejście w ich posiadanie przez Spółkę nie znajdowałby zresztą podstaw wobec reguł minimalizacji przetwarzania danych oraz czynienia tego wyłącznie w uzasadnionych przypadkach - wymienionych enumeratywnie w RODO (reguły ogólne art. 5 i 6).
Z przytoczonych wyżej przyczyn, na podstawie art. 145 §. 1 pkt 1 lit. a i c ustawy - Prawo o postępowaniu przed sądami administracyjnymi, Sąd I instancji uchylił zaskarżoną decyzję. O zwrocie kosztów postępowania rozstrzygnięto w pkt 2 sentencji, w myśl art. 200 w zw. z art. 205 § 2 powyższej ustawy oraz § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie (Dz.U. poz. 1800 ze zm.).
Skargę kasacyjną od powyższego wyroku złożył Prezes Urzędu Ochrony Danych Osobowych wnosząc na podstawie art. 188 p.p.s.a. o uchylenie w całości zaskarżonego wyroku i rozpoznanie skargi [...] S.A. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 10 stycznia 2023 r., poprzez jej oddalenie w całości, ewentualne, na podstawie art. 185 § 1 p.p.s.a, o uchylenie w całości zaskarżonego wyroku Wojewódzkiego Sądu Administracyjnego z 28 lipca 2023 r., sygn. II SA/Wa 515/23 i przekazanie sprawy do ponownego rozpoznania temuż Sądowi oraz o zasądzenie zwrotu kosztów postępowania na rzecz organu, w tym kosztów zastępstwa procesowego według norm prawem przepisanych. Zaskarżonemu wyrokowi zarzucono;
1. naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 7, art. 77 § 1, art. 80, art. 107 § 3, art. 8 § 1 oraz art. 11 k.p.a., polegające na błędnym uznaniu, że prowadząc postępowanie organ naruszył ww. przepisy, a w uzasadnieniu zaskarżonej decyzji nie wskazał przesłanek przemawiających za udzieleniem upomnienia, podczas gdy organ przeprowadził postępowanie, respektując zasady określone w powołanych przepisach k.p.a., a w uzasadnieniu ww. decyzji wyraźnie wskazał i wyjaśnił przesłanki zastosowania sankcji określonej w art. 58 ust. 2 lit. b rozporządzenia 2016/679,
2. naruszenie przepisów prawa materialnego, tj. art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), (Dz. Urz. UE L 119 z 4.05.2016, str. 1 ze zm.), zwanego dalej "rozporządzeniem 2016/679", poprzez błędną wykładnię i niezasadne przyjęcie, że organ nie wykazał przesłanek uzasadniających udzielenie upomnienia, tj. nie wskazał precyzyjnie w uzasadnieniu decyzji, w czym upatruje naruszenia przepisów dotyczących ochrony danych osobowych, podczas gdy Prezes Urzędu Ochrony Danych Osobowych, takie przesłanki zawarł w treści uzasadnienia zaskarżonej decyzji.
W uzasadnieniu skargi kasacyjnej przedstawiono argumentacje mającą przemawiać za jej uwzględnieniem.
Odpowiedzi na skargę kasacyjną nie złożono.
Naczelny Sąd Administracyjny zważył, co następuje
Stosownie do art. 183 § 1 ustawy z 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r. poz. 935 z późn. zm.) zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonej podstawy kasacyjnej.
Skargę kasacyjną można oprzeć na następujących podstawach:
- 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,
- 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 p.p.s.a.).
W skardze kasacyjnej zarzucono wyłącznie naruszenie przepisów postępowania.
Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy. Ze względu na sposób skonstruowania skargi kasacyjnej w niniejszej sprawie, należy przypomnieć, że Naczelny Sąd Administracyjny, ze względu na ograniczenia wynikające ze wskazanych regulacji prawnych, nie może we własnym zakresie konkretyzować zarzutów skargi kasacyjnej, uściślać ich bądź w inny sposób korygować. Związanie Naczelnego Sądu Administracyjnego granicami skargi kasacyjnej oznacza również związanie wskazanymi w niej podstawami zaskarżenia, które determinują zakres kontroli kasacyjnej, jaką Naczelny Sąd Administracyjny sprawuje na podstawie i w granicach prawa (art. 7 Konstytucji RP) - w celu stwierdzenia ewentualnej wadliwości zaskarżonego orzeczenia. Z faktu związania Naczelnego Sądu Administracyjnego granicami skargi kasacyjnej wynika wykluczenie możliwości domniemywania intencji strony składającej ten środek zaskarżenia, konkretyzowania jego zarzutów, czy też uzupełniania występujących w nim braków dotyczących podstaw skargi kasacyjnej i ich uzasadnienia.
Ze względu na wymogi konstrukcyjne skargi kasacyjnej, ich sporządzanie zostało powierzone profesjonalnym podmiotom, których fachowość powinna gwarantować prawidłowe skonstruowanie zarzutów, zgodnie z przepisami p.p.s.a. Do autora skargi kasacyjnej należy zatem wskazanie konkretnych przepisów prawa materialnego lub przepisów postępowania, które w jego ocenie naruszył Sąd I instancji i precyzyjne wyjaśnienie, na czym polegało ich niewłaściwe zastosowanie lub błędna interpretacja, w odniesieniu do prawa materialnego, bądź wykazanie istotnego wpływu naruszenia prawa procesowego na rozstrzygnięcie sprawy przez Sąd I instancji. Podkreślić należy, że zgodnie ze stanowiskiem przyjętym w uchwale pełnego składu NSA z 26 października 2009 r., I OPS 10/09, "Przytoczenie podstaw kasacyjnych, rozumiane jako wskazanie przepisów, które - zdaniem wnoszącego skargę kasacyjną - zostały naruszone przez wojewódzki sąd administracyjny, nakłada na Naczelny Sąd Administracyjny obowiązek odniesienia się do wszystkich zarzutów przytoczonych w podstawach kasacyjnych".
Naczelny Sąd Administracyjny tylko wtedy może uczynić zadość temu obowiązkowi, gdy wnoszący skargę kasacyjną poprawnie określi, jakie przepisy jego zdaniem naruszył wojewódzki sąd administracyjny i na czym owo naruszenie polegało.
Przed dokonaniem oceny zasadności poszczególnych zarzutów podniesionych w skardze kasacyjnej podkreślić należy, że podstawą uchylenia zaskarżonej decyzji było naruszenie w toku postępowania wyjaśniającego przez Prezesa Urzędu Ochrony Danych Osobowych przepisów art. 7, art. 77 § 1, art. 80 i art. 107 § 3 w zw. z art. 8 § 1 i art. 11 k.p.a. Zdaniem Sądu I instancji skoro przyjęto, że stwierdzone dwa przypadki nieuprawnionego ujawnienia danych osobowych Wnioskodawcy uznano za incydenty, rolą wyspecjalizowanego organu było ustalenie czy administrator tych danych (A.) dochował należytej staranności w myśl wymagań wynikających z przepisów określonych w art. 5 ust. 1 lit. f art. 24 ust. 1 oraz art. 32 ust. 1 rozporządzenia 2016/679, aby ograniczyć ryzyko naruszenia bezpieczeństwa danych osobowych jego klienta stoswanie do rodzaju danych i ryzyka ich ujawnienia. Ewentualny brak dochowania należytej staranności mógł dotyczyć braku właściwego zabezpieczenia przesyłek, czy wadliwego doboru operatora, którego działania nie gwarantowały ich bezpieczeństwa, pomimo właściwego (adekwatnego do potrzeb) zabezpieczenia. Samo bowiem stwierdzenie naruszenia integralności danych nie może determinować wniosku o uchybieniu przez administratora powinności wynikających z rozporządzenia 2016/679.
Przechodząc do oceny pierwszego zarzutu podniesionego w skardze kasacyjnej w sprawie, zdaniem Naczelnego Sądu Administracyjnego w składzie orzekającym w niniejszej sprawie nie doszło do naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 7, art. 77 § 1, art. 80, 107 § 3, 107 § 1 k.p.a. Naruszenia tych przepisów organ upatruje w uwzględnieniu skargi przez Sąd I instancji i stwierdzeniu naruszenia przez organ art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a. i art. 107 § 3 k.p.a., mimo, iż w jego ocenie - zaskarżona decyzja została wydana z zachowaniem powyższych przepisów postępowania i wyjaśnił przesłanki zastosowania sankcji określonej w art. 58 ust. 2 lit. b rozporządzenia 2016/679.
Co do zasady, przedmiot i zakres postępowania dowodowego prowadzonego przez organ administracji determinują przepisy administracyjnego prawa materialnego. To one kształtują okoliczności faktyczne relewantne w celu subsumpcji normy prawnej w drodze decyzji administracyjnej. Przepisy art. 5 ust. 1 lit. f i ust. 2 w związku z art. 24 ust. 1 rozporządzenia 2016/679 określają wprost obowiązki administratora danych osobowych. Przepis art. 5 ust. 1 lit. f RODO zobowiązuje administratora danych osobowych do przetwarzania danych osobowych w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). Przepis art. 5 ust. 1 lit. f rozporządzenia 2016/679 stanowi, że administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność").
Z kolei przepis art. 24 ust. 1 powołanego rozporządzenia nakłada na administratora obowiązek wdrożenia, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze, odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te w razie potrzeby winny być poddawane przez administratora danych osobowych przeglądom i uaktualniane.
Naruszenie tych przepisów – obowiązków przez administratora danych osobowych w przypadku nieuprawnionego ich ujawnienia stanowi jedną z przesłanek zastosowania art. 58 ust. 2 lit. b rozporządzenia tj. udzielenia upomnienia. Z uzasadnienia zaskarżonej decyzji wynika, że podstawą przyjęcia naruszenia przez Bank powyższych obowiązków stanowiły stwierdzone dwa przypadki doręczenia przez operatora pocztowego adresatowi uszkodzonych przesyłek zawierających dane osobowe Wnioskodawcy A. M. Jednak w zaskarżonej decyzji organ nie przedstawił ustaleń dotyczących nie tylko rodzaju uszkodzeń przesyłki, ale także sposobu w jaki zostały one nadane tj. zastosowanego technicznego zabezpieczenia przed dostępem ich zawartości przez osobami nieuprawnionymi. Analiza tego zagadnienia ma istny wpływ na ustalenie czy A. wywiązał się z obowiązków wynikających z art. 5 ust. 2 i art. 24 ust. 1 rozporządzenia 2016/679, a w konsekwencji czy została spełniona jedna z przesłanek do zastosowania art. 58 ust. 2 lit. b tegoż rozporządzenia.
Sam fakt nieuprawnionego ujawnienia danych osobowych nie wystarcza do nałożenia sankcji o której mowa w art. 58 ust. 2 lit. b rozporządzenia. Administrator winien mieć możliwość wykazania, że mimo nieuprawnionego ujawnienia danych osobowych uczynił zadość obowiązkom wynikającym z art. 5 ust. 2 lit. f i art. 24 ust. 1 rozporządzenia. Zdaniem Naczelnego Sądu Administracyjnego zabrakło w zaskarżonej decyzji analizy ustaleń, które dotyczą sposobu zabezpieczenia spornych przesyłek, a wynikających z informacji jaką udzielił sam A. w pismach adresowanych do organu jak i z przeprowadzonej analizy ryzyka dotyczącej obu przypadków stwierdzonego naruszenia.
Nadto analizie poddać należy wewnętrzną procedurę dotycząca przygotowania przez pracowników A. przesyłki do przekazania jej do firmy realizującej jej transport do adresata, a o której to regulacji A. wspomina w piśmie z dnia 8 listopada 2019 roku (procedurę obowiązującą w chwili nadania spornych uszkodzonych przesyłek) oraz sposób jej egzekwowania, sprawdzania czy pracownicy rzeczywiście ją realizują. Nadto pomocna w tym zakresie może być dokumentacja fotograficzna dołączona do tego pisma przedstawiająca uszkodzone przesyłki. Sam fakt, że w krótkich odstępach czasowych odnośnie tego samego podmiotu stwierdzono uszkodzenie przesyłek z dokumentami zawierającymi podlegające ochronie dane osobowe nie może jednoznacznie przesądzać, że administrator tych danych naruszył obowiązki wynikające z wyżej powołanych przepisów rozporządzenia 2016/679. Bez uwzględnienia innych okoliczności związanych z tym naruszeniem taki wniosek jest co najmniej przedwczesny.
Tym samym zasadnym było stwierdzenie przez Sąd i instancji, że postępowanie wyjaśniające poprzedzające wydanie zaskarżonej decyzji zostało przez organ przeprowadzone z naruszeniem art. 7, art. 77 § 1 k.p.a., a przedstawiona oceną zgromadzonego materiału dowodowego nie odpowiada zasadzie określonej w art. 80 k.p.a. Natomiast uzasadnienie zaskarżonej decyzji w tym zakresie nie odpowiada warunkom wskazanym w art. 107 § 3 k.p.a.
Powyższe rozważania dają jednocześnie podstawę do braku uwzględnienia drugiego z podniesionych zarzutów kasacyjnych tj. naruszenia naruszenie przepisów prawa materialnego, tj. art. 58 ust. 2 lit. b rozporządzenia poprzez błędną wykładnię i niezasadne przyjęcie, że organ nie wykazał przesłanek uzasadniających udzielenie upomnienia, tj. nie wskazał precyzyjnie w uzasadnieniu decyzji, w czym upatruje naruszenia przepisów dotyczących ochrony danych osobowych.
Mając powyższe na uwadze, uznając, że skarga kasacyjna nie zawiera usprawiedliwionych podstaw, na podstawie art. 184 p.p.s.a. oddalono skargę kasacyjną.